როგორ უნდა დავაარსოთ OT კიბერსაგზაო ან კრიტიკული ინფრასტრუქტურის უსაფრთხოების კომპანია UAE-ში

სავაჭრო ლიცენზია DET-დან ან თავისუფალი ზონის ხელისუფლებისგან რეგისტრირებს კომერციულ საქმიანობას. ეს თავისთავად არ განსაზღვრავს, აკეთებს თუ არა კომპანია რაიმეს, რასაც TDRA ან Cyber Security Council რეგულირებულად მიიჩნევს. TDRA-ს კომპეტენცია მოიცავს UAE-ს ტელეკომუნიკაციის ქსელებს, მოწყობილობასა და დაშიფვრას; კომპანია, რომელიც ქმნის, ხელახლა ყიდის ან ოპერირებს კავშირგაბმულობას, ან აწვდის კრიპტოგრაფიულ მოწყობილობას, ექცევა ამ კომპეტენციაში, მიუხედავად იმისა, როგორ არის ფორმულირებული მისი ლიცენზია. Cyber Security Council შეიქმნა UAE-ს ეროვნული კიბერუსაფრთხოების სტრატეგიის შესაქმნელად და ახორციელებს Critical Information Infrastructure Protection პოლიტიკას, რომელიც ადგენს საბაზისო უსაფრთხოების ვალდებულებებს დანიშნული კრიტიკული ინფრასტრუქტურის ოპერატორებისთვის. ეს ვალდებულებები ეკისრება ინფრასტრუქტურის ოპერატორს, მაგრამ მიმწოდებელს ხელშეკრულების მეშვეობით ეხება: ბანკი, უტილიტი ან ტრანსპორტის ოპერატორი, რომელიც თავადაა დანიშნული CII ერთეული, ჩვეულებრივ გადაცემს თავის საბაზისო კონტროლს, წვდომის წესებსა და ინციდენტების შესახებ რეპორტირების ვალდებულებებს ნებისმიერ OT უსაფრთხოების მიმწოდებელზე, რომელსაც ის ჩააბამს.

დამფუძნებლისთვის პრაქტიკული კითხვაა, ამ სამი ორგანოდან რომელთა წესებს ეხება შემოთავაზებული სამუშაო სინამდვილეში, ისევე, როგორც კითხვას, რომელზეც იდენტობის უსაფრთხოების ან პრივილეგირებული წვდომის მართვის კომპანიამ საკუთარი წვდომის უფლებების შესახებ უნდა უპასუხოს. წმინდა შეფასებისა და არქიტექტურის განხილვის ბიზნესი, რომელსაც არც რეალური წვდომა აქვს და არც საკუთარი მოწყობილობა, ჩვეულებრივ კომერციულ საქმიანობასთან ყველაზე ახლოსაა. ბიზნესი, რომელიც მომხმარებლის ქსელს უწყვეტად აკონტროლებს, ინახავს მუდმივ დისტანციურ კავშირს ან აწვდის და აკონფიგურირებს გეითვეის მოწყობილობებს, TDRA-სა და საბჭოს კომპეტენციის სფეროს უახლოვდება, ისევე როგორც პოსტკვანტური კრიპტოგრაფიის ან დაცული კომუნიკაციების კომპანიამ საკუთარი კრიპტოგრაფიული სამუშაო უნდა დააკლასიფიციროს, სანამ ლიცენზიას დააკლასიფიცირებდეს.

არც TDRA-ს კომპეტენცია და არც საბჭოს CIIP ჩარჩო არ დაიყვანება ერთ საფასურზე ან ლიცენზიის კატეგორიაზე, რომლის ზოგადად გამოქვეყნებაც შესაძლებელია. TDRA ყოველ კონკრეტულ შემთხვევაში წყვეტს, ექცევა თუ არა გარკვეული ქსელის, მოწყობილობის ან დაშიფვრის საქმიანობა სატელეკომუნიკაციო რეგულირების ფარგლებში; კომპანიამ, რომლის შეთავაზებაც მოიცავს კავშირგაბმულობას, ჩარევის შესაძლებლობის მქონე მონიტორინგს ან კრიპტოგრაფიულ აპარატურას, ეს კითხვა უშუალოდ TDRA-სთვის უნდა დასვას და არ უნდა გამოიტანოს პასუხი კონკურენტის მარკეტინგული მასალიდან. კიბერუსაფრთხოების საბჭოს CIIP პოლიტიკა არის ინსტრუმენტი, რომელიც განსაზღვრავს კრიტიკულ აქტივებს, ადგენს CII სუბიექტების უსაფრთხოების საბაზისო მოთხოვნებს და მართავს მათ გარშემო ზედამხედველობისა და აღსრულების მექანიზმს; იგი დაწერილია ინფრასტრუქტურის ოპერატორისთვის, ამიტომ მის მიხედვით მიმწოდებლის ვალდებულებები სახელშეკრულებოა და არა ცალკე ლიცენზია, რომელსაც თავად მიმწოდებელი ითხოვს. მონაცემთა დაცვის ვალდებულებები ორივესთან ერთად მოქმედებს: კომპანიას, რომელიც მონიტორინგის სერვისის ფარგლებში პერსონალურ ან საოპერაციო მონაცემებს ამუშავებს, უნდა შეეძლოს აჩვენოს, სად ინახება ეს მონაცემები და ვის აქვს მათზე წვდომა. საქმიანობის კოდი, ლიცენზიის კატეგორია ან კაპიტალის ოდენობა აქ არ არის მითითებული; ისინი დასტურდება TDRA-სა და საბჭოს მოქმედ მასალებთან შედარებით, სანამ სუბიექტის მარშრუტი შეირჩევა.

ბანკი ან საწარმოს შესყიდვების გუნდი, რომელიც განიხილავს OT უსაფრთხოების მიმწოდებელს, უპირველეს ყოვლისა არ ამოწმებს ბალანსს. ის ამოწმებს, ვის შეუძლია წვდომა კლიენტის აქტიურ საკონტროლო სისტემებზე, რა წერილობითი უფლებამოსილების ფარგლებში, და რა ხდება, როდესაც ეს წვდომა არასწორად გამოიყენება ან უბრალოდ დავიწყებულია. უნდა ველოდოთ კითხვებს ნებისმიერი დისტანციური წვდომის შეთანხმების მოცულობაზე, როგორ არის წვდომა დროში შეზღუდული და გაუქმებული, რა ჟურნალირება არსებობს, და თავად კომპანიის პერსონალს თუ ქვეკონტრაქტორს ფაქტობრივად აქვს წვდომა. ერთი დაუდოკუმენტირებული გადაცემა მშობელ კომპანიაზე, შვილობილზე ან სპეციალისტ პარტნიორზე, ჩვეულებრივ, პირველი რამ არის, რაც აყოვნებს ანგარიშის გახსნის საუბარს. ამ მტკიცებულების მომზადება პირველ ბანკთან შეხვედრამდე, და არა ლიცენზიის გაცემის შემდეგ, არის ის განსხვავება, რომლის დასახურავადაც შექმნილია კორპორატიული ბანკის ანგარიშის მზაობის სამუშაო.

OT და კრიტიკული ინფრასტრუქტურის კლიენტები აქციონერთა რეესტრს გასცდებიან და ყურებენ ადამიანებს, რომლებიც ფაქტობრივად შეეხებიან მათ სისტემებს. რეგულატორი, ბანკი ან კლიენტი, რომელიც განიხილავს ფაილს, მოისურვებს ნახოს ვიღაც, ვისაც შეუძლია აჩვენოს OT ინჟინერიული კომპეტენცია და არა ზოგადი IT უსაფრთხოების გამოცდილება, სანამ დამტკიცდება ნებისმიერი სკანირება, მონიტორინგი ან ცვლილების სამუშაო აქტიურ ინდუსტრიულ გარემოში. სადაც კომპანიის საკუთარი საკუთრება გაივლის რამდენიმე ჰოლდინგ-დონეს, ფონდს ან საოჯახო სტრუქტურას, ეს ჯაჭვი არის იმავე ფაილის ნაწილი, რომელსაც კლიენტი ან ბანკი წაიკითხავს, და რეგულირებული და რთული საკუთრების სტრუქტურის შექმნის გზა ზუსტად ამ შემთხვევისთვისაა შექმნილი. წერილობითი ბიზნეს-გეგმა და დამხმარე დოკუმენტაცია ერთ ადგილზე უნდა მოიცავდეს ოპერირების მოდელს, წვდომის საზღვარს და ადამიანებს, რომლებსაც ეს წვდომა აკისრიათ.

საერთო ხაზი იგივეა, რასაც ხშირად ეჯახება კავშირგაბმულობის ინფრასტრუქტურის ბიზნესი: მოქმედი სავაჭრო ლიცენზია შეცდომით მიიჩნევა იმ ნებართვების, კონტრაქტების და ტექნიკური უფლებამოსილების ეკვივალენტად, რომლებიც ამ სექტორში მოქმედებისთვის ფაქტობრივად არის საჭირო. ლიცენზია არის ადვილი ნაწილი; წვდომის საზღვარი და მის მიღმა არსებული წერილობითი უფლებამოსილება ასეთი არ არის.

ამგვარი საკონსულტაციო ან ტექნოლოგიური საქმიანობისთვის სტანდარტული მატერიკის კომერციული ლიცენზია იწყება AED 14,000-დან, ხოლო მხოლოდ ლიცენზიის თავისუფალი ზონის პაკეტი ხელმისაწვდომია დაახლოებით AED 5,000-დან 6,000-მდე; არც ერთი თანხა არ მოიცავს საინჟინრო პერსონალს, დაცულ ობიექტებს, სატესტო ინფრასტრუქტურას ან ინციდენტებზე რეაგირების შესაძლებლობას, რაც საოპერაციო მოდელს სინამდვილეში სჭირდება. ვიზების ლიმიტი უნდა ემთხვეოდეს OT ინჟინრებისა და საოპერაციო პერსონალის იმ რაოდენობას, რომლის აყვანასაც კომპანია ნამდვილად გეგმავს და არა დაარსებისას დაწესებულ პირობით რაოდენობას. ლიცენზიები და დაწესებულების ბარათები ყოველწლიურად ახლდება, და კომპანიამ, რომელსაც აქვს მოწყობილობა, მონიტორინგის ობიექტი ან დაცული საოპერაციო ოთახი, ეს განახლება ფართის იჯარის გვერდით უნდა დაგეგმოს და არა ცალკე მოვლენად განიხილოს. ამ თანხების მიღმა ხარჯი ფენებად იკრიბება, ხოლო Velarozone-ის მომსახურების საფასური დეტალურად მითითებულია საკონსულტაციო ხელშეკრულებაში და არ ქვეყნდება როგორც მთავარი ციფრი.