UAE에서 OT 사이버 보안 또는 중요 인프라 보안 회사 설립하는 방법

DET 또는 프리존(free zone) 당국이 발급한 트레이드 라이선스(business licence)는 상업 활동을 등록하는 것일 뿐입니다. 그 자체로는 회사가 TDRA 또는 Cyber Security Council이 규제 대상으로 보는 행위를 하고 있는지를 말해주지 않습니다. TDRA의 관할 범위는 UAE의 통신 네트워크, 장비 및 암호화를 포괄하며, 연결성을 구축·재판매·운영하거나 암호화 장비를 공급하는 회사는 라이선스에 어떻게 기재되어 있든 그 관할 범위에 들어갑니다. Cyber Security Council은 UAE의 국가 사이버보안 전략을 수립하기 위해 설립되었으며, 지정된 핵심 기반시설 운영자에게 기본적인 보안 의무를 부과하는 Critical Information Infrastructure Protection 정책을 운영합니다. 이러한 의무는 기반시설 운영자에게 부과되지만, 계약을 통해 공급업체에까지 영향을 미칩니다. 즉, 지정된 CII 주체인 은행, 유틸리티 또는 운송 운영자는 일반적으로 자신의 기본 통제, 접근 규칙 및 사고 보고 의무를 자신이 계약한 모든 OT 보안 공급업체에 전가합니다.

창업자에게 실무상 중요한 질문은 제안하는 업무가 이 세 기관의 규정 중 어느 것에 실제로 해당하는가이며, 이는 아이덴티티 보안 또는 특권 접근 관리 회사가 자사의 접근 권한에 대해 답해야 하는 질문과 유사합니다. 실시간 접근 권한도 자체 장비도 없는 순수 평가 또는 아키텍처 검토 사업은 일반 상업 활동에 가장 가깝습니다. 고객의 네트워크를 상시 모니터링하거나, 상시 원격 연결을 유지하거나, 게이트웨이를 공급·설정하는 사업은 TDRA와 위원회의 관할 영역에 더 가까워지며, 이는 양자내성 암호 또는 보안 통신 회사가 자사의 라이선스를 분류하기에 앞서 암호화 업무를 먼저 분류해야 하는 것과 같습니다.

TDRA의 관할 범위도, 위원회의 CIIP 프레임워크도 일반적으로 공표할 수 있는 단일 요금이나 라이선스 범주로 환원되지 않습니다. 특정 네트워크, 장비 또는 암호화 활동이 통신 규제 범위에 들어가는지는 TDRA가 개별 사안별로 판단하며, 연결 서비스, 감청 가능한 모니터링 또는 암호화 하드웨어를 포함하는 서비스를 제공하는 회사는 경쟁사의 마케팅 자료에서 답을 유추할 것이 아니라 TDRA에 직접 문의해야 합니다. 사이버보안위원회(Cyber Security Council)의 CIIP 정책은 핵심 자산을 식별하고, CII 기관의 기본 보안 요건을 정하며, 이를 둘러싼 감독 및 집행 체계를 운영하는 수단입니다. 이 정책은 인프라 운영자를 대상으로 작성되었으므로, 벤더의 의무는 벤더가 직접 신청하는 별도의 라이선스가 아니라 계약상의 의무입니다. 개인정보 보호 의무는 이 둘과 병행하여 적용됩니다. 모니터링 서비스의 일부로 개인 데이터 또는 운영 데이터를 처리하는 회사는 해당 데이터가 어디에 보관되는지와 누가 접근할 수 있는지를 소명할 수 있어야 합니다. 여기에서는 활동 코드, 라이선스 범주 또는 자본금 수치를 명시하지 않으며, 이들은 법인 형태를 선택하기 전에 TDRA 및 위원회의 최신 자료와 대조하여 확인합니다.

OT 보안 공급업체를 심사하는 은행이나 기업 구매팀은 주로 재무상태표를 확인하는 것이 아닙니다. 이들은 누가 어떤 서면 권한 아래 고객의 실제 운영 제어 시스템에 접근할 수 있는지, 그리고 그 접근 권한이 오용되거나 단순히 방치될 경우 어떤 일이 벌어지는지를 확인합니다. 원격 접근 체계의 범위, 접근 권한이 어떻게 기한이 설정되고 회수되는지, 어떤 로그가 존재하는지, 그리고 실제로 접근 권한을 보유한 것이 회사 자체 직원인지 하위 계약업체인지에 대한 질문을 예상해야 합니다. 모회사, 계열사 또는 전문 파트너사로의 문서화되지 않은 단일 인수인계는 보통 계좌 개설 논의를 가장 먼저 막는 요인입니다. 트레이드 라이선스(business licence)가 발급된 이후가 아니라 첫 은행 미팅 전에 이러한 증빙을 마련해 두는 것, 이것이 바로 법인 은행 계좌 개설 준비 서비스가 메워주고자 하는 차이입니다.

OT 및 핵심 기반시설 고객은 주주 명부보다 실제로 시스템을 다룰 사람들을 더 중요하게 봅니다. 서류를 검토하는 규제 기관, 은행 또는 고객은 실제 운영 중인 산업 환경에서의 스캐닝, 모니터링 또는 변경 작업이 승인되기 전에, 일반적인 IT 보안 경력이 아니라 OT 엔지니어링 역량을 증명할 수 있는 사람을 확인하고자 합니다. 회사 자체의 소유 구조가 여러 단계의 지주회사, 펀드 또는 가족 구조를 거치는 경우, 그 구조는 고객이나 은행이 검토하는 동일한 서류의 일부가 되며, 규제 대상 및 복잡한 소유 구조 설정 경로는 바로 그러한 경우를 위해 마련된 것입니다. 서면으로 작성된 사업계획서 및 관련 문서는 운영 모델, 접근 권한의 경계, 그리고 이를 보유한 사람들을 한곳에 정리해 제시해야 합니다.

공통적인 맥락은 연결성 기반시설 사업이 마주치는 것과 동일합니다. 유효한 트레이드 라이선스(business licence)를 이 업종에서 실제로 운영하는 데 필요한 허가, 계약 및 기술적 권한으로 오해하는 것입니다. 라이선스를 받는 것은 쉬운 부분이며, 접근 권한의 경계와 그 뒤에 있는 서면 권한은 그렇지 않습니다.

이러한 유형의 컨설팅 또는 기술 활동에 대한 표준 메인랜드(mainland) 상업 라이선스는 AED 14,000부터 시작하며, 프리존(free zone) 라이선스 단독 패키지는 대략 AED 5,000에서 6,000까지 이용할 수 있습니다. 두 금액 모두 운영 모델에 실제로 필요한 엔지니어링 인력, 보안 시설, 테스트 인프라 또는 사고 대응 역량은 포함하지 않습니다. 비자 쿼터는 설립 시 임의로 정한 인원이 아니라 회사가 실제로 채용할 계획인 OT 엔지니어와 운영 인력의 수에 맞춰야 합니다. 라이선스와 설립 카드(establishment card)는 매년 갱신되며, 장비, 모니터링 시설 또는 보안 운영실을 보유한 회사는 이 갱신을 별도의 사안으로 취급하지 말고 사무실 임대차와 함께 계획해야 합니다. 이 금액을 넘어서는 비용은 여러 층으로 구성되며, Velarozone 서비스 요금은 헤드라인 금액으로 공표하지 않고 용역 계약서에 항목별로 명시합니다.