გიდი
მართვადი კიბერ უსაფრთხოების ან SOC კომპანიის შექმნა UAE-ში
მოკლე პასუხი
არ არსებობს ერთიანი კიბერუსაფრთხოების ლიცენზია, რომელზეც შეიძლებოდა მითითება. თქვენი ზონის ან საემიროს მალიცენზირებელი ორგანო გასცემს კომერციულ ლიცენზიას, ხოლო UAE Cyber Security Council და Telecommunications and Digital Government Regulatory Authority (TDRA) თითოეული წყვეტს საკითხებს საკუთარი კომპეტენციის ფარგლებში. ყველაზე ხშირად მარშრუტს განსაზღვრავს ის, ექნება თუ არა კომპანიას პრივილეგირებული წვდომა მომხმარებლის სისტემებსა და მონაცემებზე და ვისი წერილობითი უფლებამოსილებით.
ვინ იღებს გადაწყვეტილებას და რას მოიცავს თითოეული ორგანო
ამ ბიზნესის გარშემო სამი სახის გადაწყვეტილების მიმღები დგას და ისინი ერთმანეთს ზუსტად არ ემთხვევა.
ზონის ან საემიროს მალიცენზირებელი ორგანო ამტკიცებს საქმიანობას კომერციულ ლიცენზიაზე. ეს არის ჩვეულებრივი კომპანიის დაფუძნება. არჩევანი მეინლენდის (mainland) კომპანიასა და თავისუფალი ზონის (free zone) მარშრუტს შორის მიჰყვება იმ მომხმარებლებს, რომელთა მომსახურებაც გჭირდებათ, და იმას, თუ სად დასხდებიან თქვენი ანალიტიკოსები.
UAE Cyber Security Council და TDRA ცალკე დგას მალიცენზირებელი ორგანოსგან. თითოეული წყვეტს, რა ხვდება მის საკუთარ კომპეტენციაში, და კომერციული ლიცენზია არცერთს ვერ ანაცვლებს. ზუსტი მოქმედი მოთხოვნები დასტურდება თითოეულ ორგანოსთან ნებისმიერი განაცხადის შეტანამდე და არ არის დაშვებული ვარაუდის საფუძველზე.
მომხმარებელი არის მესამე გადაწყვეტილების მიმღები და პრაქტიკაში ხშირად ყველაზე მკაცრი. რეგულირებადი მომხმარებლები და მთავრობასთან დაკავშირებული მყიდველები საკუთარ პირობებს ადგენენ პერსონალის, გაფორმების, მონაცემთა ადგილმდებარეობისა და ქვეკონტრაქტორების შესახებ. ქაღალდზე მოქმედი ლიცენზიაც კი შეიძლება ვერ გაივლის მომხმარებლის უსაფრთხოების გულმოდგინე შემოწმებას. როცა მომხმარებელი სადაზღვევო სფეროშია, ინსურტექ ბროკერის სახელმძღვანელო აღწერს, რომელი რეგულატორი ლიცენზირებს საქმიანობას და რა კაპიტალია საჭირო.
თუ თქვენი გეგმა ვრცელდება სამრეწველო საკონტროლო სისტემებზე ან კრიტიკულ ინფრასტრუქტურაზე, წაიკითხეთ ასევე OT და კრიტიკული ინფრასტრუქტურის უსაფრთხოების გზამკვლევი. ამ სფეროს საკუთარი პერიმეტრის საკითხები გააჩნია.
ჯერ აირჩიე საოპერაციო მოდელი
ოთხი მოდელი განსხვავებულად იქცევა, ამიტომ აირჩიეთ ის, რომელიც ყველაზე ზუსტად აღწერს გეგმას, სანამ იურისდიქციას აირჩევთ.
- მართვადი უსაფრთხოების საოპერაციო ცენტრი (Security Operations Centre, SOC). მომხმარებლის გარემოს უწყვეტი მონიტორინგი. ყველაზე მაღალი მონაცემთა ექსპოზიცია, ყველაზე მაღალი საკადრო დატვირთვა.
- შეღწევადობის ტესტირება და წითელი გუნდის (red-team) მომსახურებები. სისტემების აქტიური ტესტირება. რისკი ავტორიზაციაშია, არა ინსტრუმენტებში.
- ინციდენტზე რეაგირება და ციფრული სასამართლო ექსპერტიზა (digital forensics). მტკიცებულებების დამუშავება, დაცულობის ჯაჭვი (chain of custody) და, ზოგჯერ, სამართალდამცავ ორგანოებთან კონტაქტი.
- უსაფრთხოების პროგრამული უზრუნველყოფა არჩევითი მართვადი მხარდაჭერით. პროდუქტის კომპანია, რომელიც მომსახურების მიწოდებისკენ იხრება, როცა მომხმარებლები მის გაშვებაში დახმარებას ითხოვენ.
ბევრი დამფუძნებელი იწყებს ერთით და მოგვიანებით სხვას დაამატებს. ეს ახლავე ბიზნეს-გეგმაში ჩაწერეთ, რადგან საქმიანობის აღწერა, რომელიც მხოლოდ პირველ მოდელს შეესაბამება, შეიძლება ცვლილების შეტანას აიძულოს.
წერილობითი უფლებამოსილება და მონაცემთა დამუშავება
ამ სექტორში ძირითად როლს ორი საკითხი თამაშობს.
ტესტირების ან წვდომის უფლებამოსილება. სისტემის ტესტირება მისი მფლობელის ზუსტი წერილობითი თანხმობის გარეშე არის ყველაზე ნათელი გზა, რომლითაც უსაფრთხოების კომპანიამ შეიძლება პასუხისმგებლობა შექმნას. ჩართულობის წესების (rules of engagement) დოკუმენტი განსაზღვრავს, რომელი სისტემები, რომელი ტექნიკები, რომელი თარიღები და ვინ, მომხმარებლის მხრიდან, შეუძლია სამუშაოს შეჩერება. ეს შაბლონები შეადგინეთ პირველ კონტრაქტამდე და არა მისი მოქმედების დროს.
პერსონალური და კონფიდენციალური მონაცემები. უსაფრთხოების ტელემეტრია ტექნიკურად გამოიყურება, მაგრამ რეგულარულად შეიცავს მომხმარებლის სახელებს, IP მისამართებს, ელ.ფოსტის შიგთავსსა და წვდომის მონაცემებს (credentials). მისი არასენსიტიურად მიჩნევა ხშირი შეცდომაა. UAE-ის მთავრობის გვერდი მონაცემთა დაცვის კანონმდებლობის შესახებ წარმოადგენს ამოსავალ წერტილს როგორც ფედერალური, ისე თავისუფალი ზონების რეჟიმებისთვის. რომელი რეჟიმი გავრცელდება, დამოკიდებულია იმაზე, სად არის დაფუძნებული კომპანია და სად მდებარეობენ მონაცემთა სუბიექტები და მომხმარებლები. საზღვრისგარეშე მონიტორინგი, როდესაც ანალიტიკოსი UAE-ის ფარგლებს გარეთ ათვალიერებს UAE-ის მომხმარებლის ჟურნალებს, მოითხოვს გააზრებულ პასუხს გადაცემაზე, წვდომის კონტროლსა და მომხმარებლის თანხმობაზე. მოიწვიეთ UAE-ში პრაქტიკის უფლების მქონე იურისტები, რომ დაადასტურონ პოზიცია თქვენი კონკრეტული სქემისთვის.
არსობრივი ყოფნა, ადამიანები და როლები
მართვადი უსაფრთხოების კომპანია არის ადამიანებზე დაფუძნებული ბიზნესი, და კომპანიამ, რომელიც მომხმარებელთა კონტრაქტებს აწერს ხელს, უნდა დაასაქმოს ანალიტიკოსები, ფლობდეს ინსტრუმენტებს და ჰქონდეს პროფესიული პასუხისმგებლობისა და კიბერდაზღვევის დაფარვა. საზღვარგარეთული მშობელი კომპანია ან ინტელექტუალური საკუთრების კომპანია შეიძლება ჯგუფში სხვაგან იყოს განთავსებული, მაგრამ თითოეულს ნამდვილი ფუნქცია სჭირდება.
ეს საკითხები გადაწყვიტეთ განაცხადის შეტანამდე:
- დასხდებიან თუ არა ანალიტიკოსები UAE-ში, მის ფარგლებს გარეთ, თუ ორივეგან, და რას უშვებს თითოეული მომხმარებელი.
- ვინ ამოწმებს ანალიტიკოსებს და როგორ ხდება მომხმარებლის მონაცემებზე (credentials) წვდომის მინიჭება, აღრიცხვა და გაუქმება.
- კომპანია ფლობს პრივილეგირებულ მონაცემებს (credentials), თუ მომხმარებელი.
- რომელი ქვეკონტრაქტორები ეხება მომხმარებლის მონაცემებს და როგორ ინარჩუნებენ დაცულობის ჯაჭვს (chain of custody).
- ვინ არის დასახელებული უფროსი უსაფრთხოებისა და შესაბამისობის ხელმძღვანელი.
ვიზის რესურსი პერსონალის რაოდენობას მიჰყვება. 24-საათიან SOC-ს ცვლების დაფარვა სჭირდება, ამიტომ დაგეგმეთ რეალური შტატის მიხედვით და არა მხოლოდ დამფუძნებლების მიხედვით. ბიზნეს-გეგმამ და დამხმარე დოკუმენტებმა უნდა აჩვენოს ეს შტატი და მის მიღმა მდგომი მიწოდების მოდელი. ხარჯი ფენებად არის აგებული, და ფირმის საფასური დეტალურადაა ასახული წერილი-შეთანხმებაში მომსახურების პირობებზე (engagement letter), როგორც ეს აღწერილია Velarozone-ის მუშაობის პრინციპებში. ამ სექტორისთვის ყველაზე დიდი ფენა ჩვეულებრივ არის ხელფასები, ინსტრუმენტები და დაზღვევა და არა ლიცენზია.
რას აკვირდება ბანკი
ბანკები უსაფრთხოების კომპანიას აღიქვამენ, როგორც ბიზნესს, რომელიც სხვისი მონაცემების დამუშავებას ეხება. განაცხადის შეტანამდე მზად იყავით, აჩვენოთ:
- ჩართულობის წესების (rules of engagement) და თანხმობის შაბლონები.
- ანალიტიკოსების შემოწმებისა და წვდომის კონტროლის პროცედურები.
- მტკიცებულებების დამუშავებისა და შენახვის პროცედურები.
- ინციდენტზე რეაგირების სახელმძღვანელოები (playbooks) და მომხმარებლებისთვის აღებული ვალდებულებები.
- ნებისმიერი მოპოვებული სერტიფიკატი და უზრუნველყოფის (assurance) გეგმა.
კლიენტები და გადახდის მარშრუტები უნდა თანხვედრაში იყოს პრეზენტაციაში, ფინანსურ მოდელსა და საბანკო ფაილში. კორპორატიული საბანკო ანგარიშის მზაობა უფრო მარტივდება, როდესაც მომსახურების მოდელი უკვე წერილობით არის ჩამოყალიბებული. ეს არ იძლევა ანგარიშის გარანტიას.
რა ცდება ყველაზე ხშირად
- ტესტირება ზუსტი წერილობითი უფლებამოსილების გარეშე. ფარგლები შეთანხმებული იყო ელფოსტის მიმოწერაში, და კლიენტი შემდგომში დავობს იმაზე, თუ რა იყო გათვალისწინებული.
- ტელემეტრიის მიჩნევა არამგრძნობიარე მონაცემებად. ჟურნალები ინახება ან მუშავდება ისეთ ადგილას, სადაც კლიენტის ხელშეკრულება ამის უფლებას არ იძლევა.
- საზღვარგარეთული პერსონალის გამოყენება კლიენტის პირობების საწინააღმდეგოდ. სახელმწიფოსთან დაკავშირებული მყიდველი მოითხოვს ადგილობრივ პერსონალს, ხოლო მომსახურების მოდელი საწინააღმდეგოს ითვალისწინებდა.
- პრევენციის დაპირება. ხელშეკრულებები, რომლებიც პირობას დებენ ყველა შეტევის შეჩერებაზე, პასუხისმგებლობის რისკს წარმოადგენს. გაზომვადი რეაგირების ვალდებულებები, როგორიცაა ტრიაჟის დრო, დასაბუთებადია.
- გეგმის არარსებობა სამუშაოს პროცესში აღმოჩენილი უკანონო საქმიანობისთვის. კომპანია აღმოაჩენს დანაშაულის მტკიცებულებას და არ გააჩნია წერილობითი პროცედურა იმის თაობაზე, თუ ვის და როდის ეცნობება.
