UAE에서 관리 사이버 보안 또는 SOC 회사 설정 방법

이 업종을 둘러싼 의사결정권자는 세 종류이며, 이들은 깔끔하게 겹치지 않는다.

프리존(free zone) 또는 에미레이트의 라이선스 발급 당국은 상업 라이선스상의 활동을 승인한다. 이는 통상적인 법인 설립 절차이다. 메인랜드(mainland) 법인과 프리존 경로 중 어느 쪽을 선택할지는 귀하가 상대해야 할 고객과 분석 인력이 상주할 위치에 따라 달라진다.

UAE Cyber Security Council과 TDRA는 라이선스 발급 당국과는 별개의 기관이다. 각각 자신의 소관 범위에 해당하는 사항을 결정하며, 상업 라이선스는 어느 쪽도 대신하지 못한다. 정확한 현행 요건은 신청 전에 추측하지 말고 반드시 각 당국에 확인해야 한다.

고객은 세 번째 의사결정자이며, 실제로는 가장 엄격한 경우가 많습니다. 규제 대상 고객과 정부 연계 구매자는 인력, 보안 승인, 데이터 위치, 하도급업체에 대해 자체 조건을 정합니다. 서류상 유효한 라이선스도 고객의 보안 실사에서 탈락할 수 있습니다. 고객이 보험 분야라면 인슈어테크 중개 가이드가 어느 규제기관이 해당 활동을 허가하는지와 필요한 자본금을 설명합니다.

계획이 산업 제어 시스템(industrial control system) 또는 핵심 기반시설(critical infrastructure)까지 포함한다면, 운영기술(OT) 및 핵심 기반시설 보안 가이드도 함께 참고해야 한다. 해당 분야는 그 자체의 적용범위(perimeter) 관련 쟁점을 안고 있다.

이 네 가지 모델은 서로 다르게 작동하므로, 관할 구역(jurisdiction)을 선택하기 전에 계획을 가장 정확하게 설명하는 모델부터 선택해야 한다.

많은 창업자가 한 가지 모델로 시작했다가 나중에 다른 모델을 추가한다. 첫 번째 모델에만 맞는 활동 설명은 추후 수정을 강제할 수 있으므로, 지금 사업계획서에 이를 명시해 두어야 한다.

이 업종에서는 두 가지 쟁점이 대부분의 비중을 차지한다.

테스트 또는 접근에 대한 권한. 시스템 소유자로부터 정확한 서면 동의 없이 시스템을 테스트하는 것은 보안 회사가 책임을 발생시키는 가장 확실한 방법이다. 교전 규칙서(rules-of-engagement document)는 어떤 시스템을, 어떤 기법으로, 어떤 일정에 테스트하는지, 그리고 고객 측 누가 작업을 중단시킬 수 있는지를 정의한다. 이러한 템플릿은 첫 계약 중이 아니라 그 이전에 작성해 두어야 한다.

개인정보 및 기밀 데이터. 보안 텔레메트리(telemetry)는 기술적인 것처럼 보이지만, 실제로는 사용자명, IP 주소, 이메일 내용, 자격증명(credential)을 일상적으로 담고 있다. 이를 민감하지 않은 정보로 취급하는 것은 흔한 실수이다. 연방 및 프리존(free zone) 체계에 대해서는 UAE 정부의 데이터 보호법 관련 페이지가 출발점이 된다. 어떤 체계가 적용되는지는 회사가 어디에 설립되었는지, 그리고 정보주체와 고객이 어디에 있는지에 따라 달라진다. UAE 외부의 분석가가 UAE 고객의 로그를 열람하는 국경 간 모니터링의 경우, 이전(transfer), 접근 통제, 고객 동의에 관해 신중한 답을 마련해야 한다. UAE에서 변호사 자격을 보유한 법률가를 통해 귀하의 정확한 구조에 맞는 입장을 확인받아야 한다.

매니지드 보안 회사는 결국 사람이 핵심인 사업이며, 고객과 계약을 체결하는 법인이 분석가를 고용하고, 도구를 보유하며, 전문직 배상책임보험(professional indemnity)과 사이버 보험(cyber cover)에 가입해야 한다. 해외 모회사나 지식재산권(IP) 보유 회사는 그룹 내 다른 곳에 위치할 수 있지만, 각각 실질적인 역할을 맡아야 한다.

신청하기 전에 다음 사항을 결정해야 한다:

비자 쿼터(visa capacity)는 인력 규모를 따라간다. 24시간 운영되는 보안운영센터(SOC)는 교대 근무 체계가 필요하므로, 창업자만이 아니라 실제 인력 구성에 맞추어 계획을 세워야 한다. 사업계획서 및 첨부 서류에는 이러한 인력 구성과 그 이면의 서비스 제공 모델이 드러나야 한다. 비용은 여러 층으로 구성되며, 당사의 수수료는 Velarozone의 업무 방식에 설명된 대로 용역 계약서(engagement letter)에 항목별로 명시된다. 이 업종에서는 대개 급여, 도구, 보험이 가장 큰 비중을 차지하며, 라이선스 비용이 아니다.

은행은 보안 회사를 타인의 데이터를 다루는 사업체로 간주한다. 신청하기 전에 다음을 제시할 준비가 되어 있어야 한다:

고객과 결제 경로는 제안서, 재무 모델, 은행 제출 서류 전반에서 일치해야 합니다. 전달 모델이 이미 문서화되어 있으면 법인 은행 계좌 준비가 더 쉬워집니다. 다만 이는 계좌 개설을 보장하지 않습니다.