Poradnik
Zakładanie firmy zarządzającej cyberbezpieczeństwem lub SOC w ZEA
Krótka odpowiedź
Nie istnieje jedna, konkretna licencja cyberbezpieczeństwa, na którą można by wskazać. Organ licencjonujący dla danej strefy lub emiratu wydaje licencję handlową, podczas gdy UAE Cyber Security Council oraz Telecommunications and Digital Government Regulatory Authority (TDRA) decydują, każdy w zakresie swoich własnych kompetencji. O wyborze ścieżki najczęściej decyduje to, czy spółka będzie posiadać uprzywilejowany dostęp do systemów i danych klienta oraz na podstawie czyjego pisemnego upoważnienia.
Kto decyduje, i co obejmuje każdy organ
Wokół tej działalności funkcjonują trzy rodzaje decydentów, których kompetencje nie pokrywają się w sposób uporządkowany.
Organ licencjonujący dla danej strefy lub emiratu zatwierdza działalność wskazaną na licencji handlowej. To zwykła rejestracja spółki. Wybór między spółką mainland a ścieżką free zone zależy od klientów, których musisz obsługiwać, oraz od tego, gdzie będą siedzieć twoi analitycy.
UAE Cyber Security Council oraz TDRA są odrębne od organu licencjonującego. Każdy z nich decyduje o tym, co mieści się w zakresie jego własnych kompetencji, a licencja handlowa nie zastępuje żadnego z nich. Dokładne aktualne wymogi należy potwierdzić z każdym z tych organów przed złożeniem jakiegokolwiek wniosku, a nie zakładać z góry.
Klient jest trzecim decydentem i w praktyce często najsurowszym. Klienci z sektorów regulowanych i nabywcy powiązani z rządem stawiają własne warunki dotyczące zatrudnienia, poświadczeń, lokalizacji danych i podwykonawców. Licencja ważna na papierze może mimo to nie przejść kontroli bezpieczeństwa u klienta. Gdy klient działa w ubezpieczeniach, przewodnik po cyfrowych brokerach ubezpieczeniowych InsurTech wskazuje, który regulator licencjonuje działalność i jaki kapitał jest wymagany.
Jeśli twój plan obejmuje systemy sterowania przemysłowego lub infrastrukturę krytyczną, zapoznaj się również z przewodnikiem po bezpieczeństwie OT i infrastruktury krytycznej. Ta działalność wiąże się z własnymi kwestiami dotyczącymi zakresu regulacji.
Najpierw wybierz model działania
Te cztery modele działają inaczej, dlatego przed wyborem jurysdykcji należy wybrać ten, który najdokładniej opisuje plan.
- Zarządzane centrum operacji bezpieczeństwa (SOC). Ciągłe monitorowanie środowisk klienta. Najwyższa ekspozycja na dane, najwyższe obciążenie kadrowe.
- Testy penetracyjne i usługi red-team. Aktywne testowanie systemów. Ryzyko leży po stronie autoryzacji, a nie narzędzi.
- Reagowanie na incydenty i informatyka śledcza. Postępowanie z dowodami, łańcuch dowodowy oraz, niekiedy, kontakt z organami ścigania.
- Oprogramowanie zabezpieczające z opcjonalnym wsparciem zarządzanym. Spółka produktowa, która stopniowo przechodzi do świadczenia usług, gdy klienci proszą o pomoc w jego obsłudze.
Wielu założycieli zaczyna od jednego modelu, a kolejny dodaje później. Należy to ująć w biznesplanie już teraz, ponieważ opis działalności pasujący wyłącznie do pierwszego modelu może wymusić późniejszą zmianę.
Pisemne upoważnienie i przetwarzanie danych
W tym sektorze o większości spraw decydują dwie kwestie.
Upoważnienie do testowania lub dostępu. Testowanie systemu bez precyzyjnej pisemnej zgody jego właściciela to najpewniejszy sposób, w jaki spółka zajmująca się bezpieczeństwem może narazić się na odpowiedzialność. Dokument zasad zaangażowania (rules of engagement) określa, które systemy, jakie techniki, jakie terminy oraz kto po stronie klienta może wstrzymać prace. Te wzory należy opracować przed pierwszą umową, a nie w jej trakcie.
Dane osobowe i poufne. Telemetria bezpieczeństwa wygląda technicznie, ale rutynowo zawiera nazwy użytkowników, adresy IP, treść wiadomości e-mail oraz dane uwierzytelniające. Traktowanie ich jako danych niewrażliwych to częsty błąd. Strona rządu UAE poświęcona przepisom o ochronie danych jest punktem wyjścia dla reżimów federalnego oraz reżimów obowiązujących w strefach free zone. To, który reżim ma zastosowanie, zależy od tego, gdzie spółka jest zarejestrowana oraz gdzie znajdują się osoby, których dane dotyczą, i klienci. Monitorowanie transgraniczne, w którym analityk spoza UAE przegląda logi klienta z UAE, wymaga przemyślanej odpowiedzi w zakresie transferu danych, kontroli dostępu i zgody klienta. Należy zlecić prawnikom uprawnionym do wykonywania zawodu w UAE potwierdzenie sytuacji dla konkretnej konfiguracji.
Substance, personel i role
Spółka świadcząca zarządzane usługi bezpieczeństwa to biznes oparty na ludziach, a spółka podpisująca umowy z klientami powinna zatrudniać analityków, posiadać narzędzia oraz utrzymywać ubezpieczenie odpowiedzialności zawodowej i ubezpieczenie cybernetyczne. Zagraniczna spółka matka lub spółka zarządzająca własnością intelektualną mogą funkcjonować w innym miejscu grupy, ale każda z nich musi pełnić rzeczywistą rolę.
Przed złożeniem wniosku należy ustalić:
- Czy analitycy znajdują się w UAE, poza granicami, czy w obu miejscach, oraz co dopuszcza każdy klient.
- Kto weryfikuje analityków oraz w jaki sposób dostęp do danych uwierzytelniających klienta jest przyznawany, rejestrowany i odbierany.
- Czy uprzywilejowane dane uwierzytelniające posiada spółka, czy klient.
- Którzy podwykonawcy mają dostęp do danych klienta oraz w jaki sposób utrzymywany jest łańcuch dowodowy.
- Kto jest imiennie wskazanym starszym liderem ds. bezpieczeństwa i zgodności.
Liczba dostępnych wiz zależy od liczby pracowników. Centrum SOC działające całodobowo wymaga pokrycia zmianowego, dlatego należy planować w oparciu o rzeczywisty skład zespołu, a nie samych założycieli. Biznesplan i dokumentacja uzupełniająca powinny pokazywać ten skład zespołu oraz stojący za nim model realizacji usług. Koszt składa się z warstw, a opłata firmy jest wyszczególniona w umowie o świadczenie usług, zgodnie z opisem w jak działa Velarozone. W tym sektorze największą warstwą jest zwykle płace, narzędzia i ubezpieczenie, a nie licencja.
Na co zwraca uwagę bank
Banki postrzegają spółkę zajmującą się bezpieczeństwem jako podmiot, który przetwarza dane innych osób. Przed złożeniem wniosku należy być gotowym przedstawić:
- Wzory zasad zaangażowania (rules of engagement) i zgód.
- Procedury weryfikacji analityków oraz kontroli dostępu.
- Procedury postępowania z dowodami i ich przechowywania.
- Plany reagowania na incydenty oraz zobowiązania wobec klientów.
- Posiadane certyfikaty oraz plan rozwoju w zakresie zapewnienia bezpieczeństwa.
Klienci i ścieżki płatności powinny być spójne w prezentacji, modelu finansowym i dokumentacji bankowej. Gotowość do otwarcia firmowego rachunku bankowego jest łatwiejsza, gdy model realizacji usług został już opisany na piśmie. Nie gwarantuje to otwarcia rachunku.
Co najczęściej idzie nie tak
- Testowanie bez precyzyjnego pisemnego upoważnienia. Zakres uzgodniono w wątku e-mailowym, a klient później kwestionuje, co było objęte.
- Traktowanie telemetrii jako danych niewrażliwych. Logi są przechowywane lub analizowane w miejscu, na które umowa z klientem nie zezwala.
- Zatrudnianie personelu za granicą wbrew warunkom klienta. Nabywca powiązany z rządem wymaga lokalnego personelu, a model świadczenia usług zakładał inaczej.
- Obiecywanie prewencji. Umowy obiecujące powstrzymanie każdego ataku stanowią zagrożenie odpowiedzialnością. Mierzalne zobowiązania dotyczące reakcji, takie jak czas do wstępnej oceny (triage), są uzasadnione.
- Brak planu na wypadek wykrycia bezprawnej działalności w trakcie pracy. Firma znajduje dowody przestępstwa i nie ma pisemnej procedury określającej, kto i kiedy zostaje o tym poinformowany.
