Gids
Een Managed Cybersecurity of SOC-bedrijf opzetten in de VAE
Het korte antwoord
Er is geen enkele cyberbeveiligingslicentie om naar te verwijzen. De licentieverlenende autoriteit voor uw zone of emiraat geeft de handelslicentie af, terwijl de UAE Cyber Security Council en de Telecommunications and Digital Government Regulatory Authority (TDRA) elk zaken beslissen binnen hun eigen bevoegdheid. Wat het vaakst de route bepaalt, is of het bedrijf bevoorrechte toegang zal hebben tot systemen en gegevens van klanten, en onder wiens schriftelijke gezag.
Wie beslist, en wat elke autoriteit omvat
Drie soorten besluitvormers spelen een rol rond dit bedrijf, en zij overlappen niet netjes.
De licentieverlenende autoriteit voor de zone of het emiraat keurt de activiteit op de handelslicentie goed. Dat is gewone bedrijfsoprichting. De keuze tussen een mainland-onderneming en een free zone-route volgt uit de klanten die u moet bedienen en waar uw analisten gevestigd zullen zijn.
De UAE Cyber Security Council en de TDRA staan los van de licentieverlenende autoriteit. Elk bepaalt wat binnen zijn eigen bevoegdheid valt, en een handelslicentie is voor geen van beide een vervanging. De exacte actuele vereisten worden v贸贸r elke indiening bij elke autoriteit geverifieerd, niet aangenomen.
De klant is de derde beslisser, en in de praktijk vaak de strengste. Gereguleerde klanten en kopers met banden met de overheid stellen eigen voorwaarden voor personeel, veiligheidsmachtiging, locatie van gegevens en onderaannemers. Een licentie die op papier geldig is, kan toch falen bij de beveiligingsonderzoeken van een klant. Als de klant in de verzekeringssector zit, zet de gids voor digitale verzekeringsmakelaars uiteen welke toezichthouder de activiteit licentieert en welk kapitaal nodig is.
Als uw plan zich uitstrekt tot industri毛le controlesystemen of kritieke infrastructuur, lees dan ook de gids over OT- en kritieke-infrastructuurbeveiliging. Dat werkterrein kent zijn eigen perimetervragen.
Kies eerst het operationele model
De vier modellen gedragen zich verschillend, kies daarom degene die het plan het beste beschrijft voordat u een jurisdictie kiest.
- Beheerd security operations center (SOC). Continue monitoring van klantomgevingen. Hoogste blootstelling aan gegevens, hoogste personeelsbelasting.
- Penetratietesten en red-teamdiensten. Actief testen van systemen. Het risico zit in de autorisatie, niet in de tools.
- Incidentrespons en digitale forensiek. Omgang met bewijsmateriaal, bewaring van de bewijsketen (chain of custody) en soms contact met wetshandhavingsinstanties.
- Beveiligingssoftware met optionele beheerde ondersteuning. Een productbedrijf dat afglijdt naar dienstverlening zodra klanten om hulp vragen bij het beheer ervan.
Veel oprichters beginnen met 茅茅n model en voegen later een ander toe. Vermeld dit nu al in het ondernemingsplan, want een activiteitomschrijving die alleen bij het eerste model past, kan een wijziging afdwingen.
Schriftelijke machtiging en gegevensverwerking
In deze sector draait het vooral om twee kwesties.
Bevoegdheid om te testen of toegang te krijgen. Een systeem testen zonder nauwkeurige schriftelijke toestemming van de eigenaar is voor een beveiligingsbedrijf de duidelijkste manier om aansprakelijkheid te cre毛ren. Het rules-of-engagement-document bepaalt welke systemen, welke technieken, welke data en wie bij de klant het werk kan stopzetten. Stel deze sjablonen op v贸贸r het eerste contract, niet tijdens.
Persoonlijke en vertrouwelijke gegevens. Beveiligingstelemetrie oogt technisch, maar bevat doorgaans gebruikersnamen, IP-adressen, e-mailinhoud en inloggegevens. Dit als niet-gevoelig behandelen is een veelgemaakte fout. De pagina van de overheid van de VAE over wetgeving inzake gegevensbescherming is het startpunt voor de federale en free zone-regimes. Welk regime van toepassing is, hangt af van waar het bedrijf is gevestigd en waar de betrokkenen en klanten zich bevinden. Grensoverschrijdende monitoring, waarbij een analist buiten de VAE de logs van een klant in de VAE bekijkt, vereist een weloverwogen antwoord op het gebied van overdracht, toegangscontrole en toestemming van de klant. Laat advocaten die bevoegd zijn om in de VAE te praktiseren de positie voor uw exacte opzet bevestigen.
Substance, personeel en rollen
Een beheerd beveiligingsbedrijf is een mensenbedrijf, en het bedrijf dat klantcontracten ondertekent, moet de analisten in dienst hebben, de tools in bezit hebben en de beroepsaansprakelijkheids- en cyberverzekering dragen. Een buitenlandse moedermaatschappij of een intellectueel-eigendomsbedrijf kan elders in de groep zitten, maar elk heeft een oprechte rol nodig.
Beslis dit voordat u een aanvraag indient:
- Of analisten in de VAE, offshore of beide zijn gevestigd, en wat elke klant toestaat.
- Wie analisten screent, en hoe toegang tot inloggegevens van klanten wordt verleend, geregistreerd en ingetrokken.
- Of het bedrijf of de klant de bevoorrechte inloggegevens in bezit heeft.
- Welke onderaannemers toegang hebben tot klantgegevens, en hoe de bewijsketen (chain of custody) wordt gehandhaafd.
- Wie de aangewezen senior security- en complianceverantwoordelijke is.
Visumcapaciteit volgt de personeelsomvang. Een 24-uurs SOC heeft ploegendekking nodig, plan daarom op basis van de werkelijke bezetting, niet alleen de oprichters. Het ondernemingsplan en de onderbouwende documenten moeten die bezetting en het onderliggende leveringsmodel laten zien. Kosten zijn in lagen opgebouwd, en de vergoeding van het kantoor wordt gespecificeerd in de opdrachtbevestiging, zoals uiteengezet in hoe Velarozone werkt. Voor deze sector is de grootste laag doorgaans de loonkosten, tools en verzekering, niet de licentie.
Waar een bank naar kijkt
Banken beschouwen een beveiligingsbedrijf als een onderneming die gegevens van anderen verwerkt. Wees er voordat u een aanvraag indient klaar voor om het volgende te tonen:
- Rules-of-engagement- en toestemmingssjablonen.
- Screeningsprocedures voor analisten en toegangscontroleprocedures.
- Procedures voor de omgang met en bewaring van bewijsmateriaal.
- Incidentresponsplaybooks en de toezeggingen aan klanten.
- Eventuele behaalde certificeringen en de assuranceroadmap.
Klanten en betaalroutes moeten overeenkomen tussen de pitch, het financi毛le model en het bankdossier. Gereedheid voor een zakelijke bankrekening is eenvoudiger wanneer het leveringsmodel al is vastgelegd. Het garandeert geen rekening.
Wat er vaak misgaat
- Testen zonder nauwkeurige schriftelijke autorisatie. De reikwijdte werd overeengekomen in een e-mailthread, en de klant betwist later wat was gedekt.
- Telemetrie behandelen als niet-gevoelig. Logs worden opgeslagen of geanalyseerd op een plek die het contract van de klant niet toestaat.
- Offshore personeelsinzet in strijd met de voorwaarden van de klant. Een overheidsgelieerde afnemer vereist lokaal personeel, terwijl het leveringsmodel van iets anders uitging.
- Preventie beloven. Contracten die beloven elke aanval te stoppen, vormen een aansprakelijkheidsrisico. Meetbare toezeggingen over de respons, zoals de tijd tot triage, zijn wel te verdedigen.
- Geen plan voor onrechtmatige activiteiten die tijdens de werkzaamheden worden aangetroffen. Het bedrijf ontdekt bewijs van een misdrijf en heeft geen schriftelijke procedure voor wie wordt ge茂nformeerd en wanneer.
