როგორ უნდა დააფუძნოთ პენეტრაციის ტესტირების, წითელი გუნდის ან კიბერ-დარღვევების კომპანია UAE-ში

აქ ფარგლებს ორი დამოუკიდებელი საკითხი განსაზღვრავს. პირველი ლიცენზირების საკითხია: აღინიშნება თუ არა ლიცენზირების ორგანოს მიერ კომპანიის რეგისტრირებული საქმიანობის აღწერა, როგორც უსაფრთხოებასთან დაკავშირებული, რაც მოითხოვს გარე თანხმობას სავაჭრო ლიცენზიის გაცემამდე? Dubai's Department of Economy and Tourism-ს და თავისუფალი ზონის (free zone) ორგანოებს თითოეულს თავისი საქმიანობათა ნუსხა აქვს, რომელიც იწვევს ამ გადამისამართებას, და ხშირად ასეთ ნუსხაში ხვდება ფორმულირება „ინფორმაციული უსაფრთხოება" ან „პენეტრაციული ტესტირება". მეორე სტანდარტების საკითხია: შედის თუ არა კლიენტურის ბაზაში სამთავრობო სუბიექტები, ტელეკომ-ოპერატორები ან კრიტიკული ინფრასტრუქტურის ოპერატორები, რომელთა საკუთარი უსაფრთხოების ვალდებულებები გადის UAE Cyber Security Council-ზე და არა მხოლოდ ტესტირების ფირმის ლიცენზიაზე.

ფირმა, რომელიც მხოლოდ კერძო კომერციული აპლიკაციების ტესტირებას ახორციელებს კერძო კომერციული კლიენტებისთვის, ვიწრო ფარგლების წინაშე დგას, ვიდრე ის, ვინც სამთავრობო ან კრიტიკული ეროვნული ინფრასტრუქტურის ჩართულობებზე აპლიკაციას აწვდის, ეს სფერო განხილულია UAE-ში კრიტიკული ინფრასტრუქტურის უსაფრთხოების სტატიაში. ერთი და იგივე კომპანია შესაძლოა ორივე კატეგორიაში მოხვდეს განვითარების სხვადასხვა ეტაპზე, ამიტომ გაშვების მოდელმა უნდა აღწეროს ის კლიენტურის ბაზა, რომლისთვისაც ის დღეს არის შექმნილი და არა ის, რომლის მიღწევასაც მომავალში ესწრაფვის.

კიბერუსაფრთხოების საბჭო ადგენს და კოორდინაციას უწევს ეროვნულ კიბერუსაფრთხოების პოლიტიკასა და სტანდარტებს სამთავრობო უწყებებსა და კრიტიკულ სექტორებში. სადაც ფირმის ანგარიშები ამ უფლებამოსილებაში ექცევა, კლიენტის საკუთარი ვალდებულებები ამ სტანდარტების მიხედვით განსაზღვრავს, რა უნდა დააფიქსიროს სატესტო ფირმამ: დასახელებული, შემოწმებული ტესტერები, განსაზღვრული ფარგლები და ჩართულობის წესები და სისუსტეების დამუშავების პროცესი. ტელეკომუნიკაციებისა და ციფრული მთავრობის მარეგულირებელი ორგანო არეგულირებს ტელეკომუნიკაციის ქსელებსა და სპექტრს, რომელსაც წითელი გუნდის ჩართულობა შეიძლება შეეხოს, თუ ტესტირება აღწევს ტელეკომუნიკაციის ოპერატორის ინფრასტრუქტურამდე, რაც განსხვავებული ფარგლებია კლიენტის საკუთარი ვებ აპლიკაციის ტესტირებისგან.

ფედერალური მონაცემთა დაცვის კანონი მოქმედებს, როცა ჩართულობა პერსონალურ მონაცემებს შემცველ სისტემებს ეხება, რაც აქ თითქმის ავტომატურია: პენტესტი, რომელიც მონაცემთა ბაზას აღადგენს, ან რედ-თიმის სავარჯიშო, რომელიც HR სისტემამდე აღწევს, ფირმას ჩართულობის ხანგრძლივობით მონაცემებთან მომუშავის როლში აყენებს. ხელშეკრულებაში უნდა იყოს მითითებული, როგორ ინახება ეს მონაცემები, ვის შეუძლია მათი ნახვა და როდის ნადგურდება ისინი ჩართულობის დასრულების შემდეგ, და არ უნდა დარჩეს იმ სტანდარტულ პირობებზე, რომლებსაც ფორმირების პაკეტი ნაგულისხმევად გვთავაზობს.

ბანკები, რომლებიც აფასებენ კიბერუსაფრთხოების უზრუნველყოფის ფირმის ანგარიშის განაცხადს, სავაჭრო ლიცენზიის მიღმა უყურებენ ოპერირების ფაქტებს: ვინ არიან კლიენტები, ეხება თუ არა ჩართულობები რეგულირებულ ან სამთავრობო სისტემებს, როგორ ხდება ტესტერების შემოწმება და როგორ იმოქმედებს ფირმა ინციდენტზე ცოცხალი ტესტის დროს. ჩართულობის წესების შაბლონი, სახელდებული ინციდენტზე რეაგირების საკონტაქტო პირი და მოქმედი პროფესიული პასუხისმგებლობის დაზღვევის პოლისი პირველი შემოწმებისას პასუხობს ამის უმეტეს ნაწილს; გეგმა ამათ გარეშე იკითხება, როგორც საფირმო გარსი, რომელიც ანგარიშზე აპლიკაციას აწვდის და არა როგორც მოქმედი ფირმა. კორპორაციული საბანკო ანგარიშის მზაობა, აგებული იმ ჩართულობის ტიპების გარშემო, რასაც კომპანია რეალურად ასრულებს, უფრო სწრაფად მოქმედებს, ვიდრე ზოგადი საბანკო პაკეტი.

ხარჯი აქ ფორმირებულია შრეებად და არა როგორც ერთი ზოგადი ციფრი: სუბიექტის დაფუძნება, ნებისმიერი უსაფრთხოების თანხმობა ან პროფესიული შემოწმება, საოპერაციო მოწყობა (ტესტირების ინფრასტრუქტურა, მტკიცებულებების უსაფრთხო შენახვა, ხელსაწყოები, დაზღვევა), პერსონალი და პერიოდული განახლებები. ფირმის საკუთარი საფასური დეტალურად არის მოცემული წერილი-შეთანხმებაში მომსახურების პირობებზე (engagement letter); როგორ მუშაობს Velarozone აღწერს ამ სტრუქტურას.

სანდო სატესტო ფირმას ლიცენზიის უკან რეალური ადამიანები სჭირდება: ტესტერები, რომელთა კომპეტენცია და ფონის შემოწმება დასაბუთებადია, ვინმე, ვისაც შეუძლია ფარგლების ავტორიზება სამუშაოს დაწყებამდე, და დასახელებული საკონტაქტო პირი საგანგებო შეჩერებისთვის. საკუთრების სტრუქტურები, რომლებიც სატესტო სამუშაოს რამდენიმე UAE-სა და ოფშორულ სუბიექტში ატარებს, ბანკებისა და სამთავრობო კლიენტების მხრიდან მეტ და არა ნაკლებ გადამოწმებას იწვევს, რადგან არავის ესმის, ვინ არის პასუხისმგებელი. იქ, სადაც საკუთრება მართლაც მრავალშრიანია (მაგალითად, საერთაშორისო ჯგუფი, რომელიც UAE-ს საოპერაციო კომპანიის მეშვეობით ტესტავს), დოკუმენტაცია, რომელიც გადაწყვეტილების მიღების სტრუქტურას გადმოსცემს, მოსამზადებელია მანამდე, სანამ ბანკი იკითხავს, ვინ აწერს ხელს. ფირმას, რომლის კლიენტურაც რეგულირებულ ან სამთავრობოსთან მიახლოებულ სფეროში გადადის, სარგებელს მოუტანს რეგულირებული და რთული საკუთრების სტრუქტურის შექმნაში აღწერილი დისციპლინა.

ყველაზე ხშირი ხარვეზია ფარგლების გადაცდომა: ტესტერი პოულობს გზას საერთო ინფრასტრუქტურაში ან სისტემაში, რომელიც კლიენტს სინამდვილეში არ ეკუთვნის, და აგრძელებს ავტორიზაციის მიღების გარეშე. წერილობით ავტორიზაციაში უნდა იყოს დასახელებული სამიზნე და მისი მფლობელი და არა მხოლოდ კლიენტი, რომელიც ინვოისს იხდის: კლიენტს შეუძლია საკუთარი სისტემების ტესტირების ავტორიზება და არა მისი ღრუბლოვანი პროვაიდერის ან პარტნიორის სისტემებისა.

მეორე ხშირი ხარვეზი მტკიცებულებების დამუშავებაა: ექსპლოიტის მონაცემები და მოწყვლადობის დეტალები, რომლებიც ჩართულობის დასრულების შემდეგ გაზიარებულ დისკებზე ან არამართულ ჩატის ხელსაწყოებში რჩება. მყიდველი, დამზღვეველი ან სამთავრობო კლიენტი ჰკითხავს, როგორ და რამდენი ხნის განმავლობაში ინახება მტკიცებულება, და პასუხი „სადაც ტესტერს შემთხვევით შეეძლო შენახვა" არ გაუძლებს სათანადო გულისხმიერების (due diligence) შემოწმებას. მესამე ხარვეზი გადაჭარბებული პრეტენზიაა: ერთი ტესტის წარმოჩენა, როგორც უსაფრთხოების უწყვეტობის მტკიცებულება, როდესაც დასკვნა მხოლოდ იმ თარიღსა და შეთანხმებულ ფარგლებს ფარავს, როდესაც ის ჩატარდა.

როდესაც ლიცენზია და ნებისმიერი უსაფრთხოების თანხმობა უკვე მოპოვებულია, საოპერაციო საკითხები ძირითადად პერსონალსა და განახლებებს ეხება. UAE-ს გარედან დაქირავებულ სპეციალისტ ტესტერებს ვიზები სჭირდებათ სუბიექტის იმიგრაციული კვოტის მეშვეობით, ხოლო უსაფრთხოებასთან დაკავშირებული საქმიანობის თანხმობა, სადაც ეს ვრცელდება, ჩვეულებრივ განახლდება სავაჭრო ლიცენზიასთან ერთად და არა როგორც ერთჯერადი ნაბიჯი. პროფესიული პასუხისმგებლობის დაზღვევა და ნებისმიერი კლიენტისთვის სპეციფიკური სერტიფიკატები საკუთარი განახლების ციკლებით ფუნქციონირებს, და ერთ-ერთის შეწყვეტამ შესაძლოა შეაჩეროს კლიენტის მიერ კონტრაქტის განახლება, მაშინაც, როდესაც ლიცენზია თავისთავად მოქმედია.