Jak założyć firmę zajmującą się bezpieczeństwem OT lub krytyczną infrastrukturą w ZEA

Licencja handlowa od DET lub organu free zone rejestruje działalność gospodarczą. Sama w sobie nie określa, czy spółka robi coś, co TDRA lub Cyber Security Council traktuje jako podlegające regulacji. Zakres kompetencji TDRA obejmuje sieci telekomunikacyjne, sprzęt i szyfrowanie w ZEA; spółka, która buduje, odsprzedaje lub obsługuje łączność albo dostarcza sprzęt kryptograficzny, wchodzi w ten zakres niezależnie od tego, jak sformułowana jest jej licencja. Cyber Security Council został powołany w celu budowania krajowej strategii cyberbezpieczeństwa ZEA i prowadzi politykę Critical Information Infrastructure Protection, która ustanawia podstawowe obowiązki w zakresie bezpieczeństwa dla operatorów wyznaczonej infrastruktury krytycznej. Obowiązki te spoczywają na operatorze infrastruktury, ale docierają do dostawcy poprzez umowę: bank, zakład energetyczny lub operator transportowy, który sam jest wyznaczonym podmiotem CII, zazwyczaj przenosi swoje podstawowe mechanizmy kontroli, zasady dostępu i obowiązki zgłaszania incydentów na każdego dostawcę usług bezpieczeństwa OT, z którym współpracuje.

Praktyczne pytanie dla założyciela brzmi: której z tych trzech instytucji przepisów dotyka planowana praca, podobnie jak pytanie, na które musi odpowiedzieć spółka od bezpieczeństwa tożsamości lub zarządzania dostępem uprzywilejowanym w sprawie własnych praw dostępu. Firma zajmująca się wyłącznie oceną lub przeglądem architektury, bez dostępu na żywo i bez własnego sprzętu, leży najbliżej zwykłej działalności handlowej. Firma, która stale monitoruje sieć klienta, utrzymuje stałe połączenie zdalne lub dostarcza i konfiguruje bramy, przesuwa się bliżej terytorium TDRA i Rady, podobnie jak spółka od kryptografii postkwantowej lub bezpiecznej komunikacji musi sklasyfikować własną pracę kryptograficzną, zanim sklasyfikuje swoją licencję.

Ani zakres właściwości TDRA, ani ramy CIIP Rady nie dają się sprowadzić do jednej opłaty lub kategorii licencji, które można by opublikować w sposób ogólny. TDRA rozstrzyga indywidualnie, czy dana działalność związana z siecią, sprzętem lub szyfrowaniem podlega regulacji telekomunikacyjnej; firma, której oferta obejmuje łączność, monitorowanie umożliwiające przechwytywanie lub sprzęt kryptograficzny, powinna zadać to pytanie bezpośrednio TDRA, zamiast wnioskować z materiałów marketingowych konkurenta. Polityka CIIP Rady ds. Cyberbezpieczeństwa (Cyber Security Council) to instrument, który identyfikuje aktywa krytyczne, ustala podstawowe wymogi bezpieczeństwa dla podmiotów CII oraz uruchamia mechanizm nadzoru i egzekwowania wokół nich; jest on skierowany do operatora infrastruktury, więc obowiązki dostawcy na jego podstawie mają charakter umowny, a nie stanowią odrębnej licencji, o którą dostawca sam się ubiega. Obok obu tych reżimów obowiązują zobowiązania w zakresie ochrony danych: firma przetwarzająca dane osobowe lub operacyjne w ramach usługi monitorowania powinna umieć wykazać, gdzie te dane są przechowywane i kto ma do nich dostęp. Nie podano tu żadnego kodu działalności, kategorii licencji ani kwoty kapitału; te elementy są potwierdzane na podstawie aktualnych materiałów TDRA i Rady, zanim wybrana zostanie droga założenia podmiotu.

Bank lub zespół zakupowy przedsiębiorstwa oceniający dostawcę usług bezpieczeństwa OT nie sprawdza przede wszystkim bilansu. Sprawdza, kto może uzyskać dostęp do aktywnych systemów kontrolnych klienta, na jakiej podstawie formalnej, oraz co się dzieje, gdy ten dostęp jest wykorzystywany niewłaściwie lub po prostu o nim zapominają. Należy oczekiwać pytań o zakres każdej umowy zdalnego dostępu, sposób jego ograniczania w czasie i odwoływania, istniejące mechanizmy rejestrowania zdarzeń oraz to, czy dostęp faktycznie posiada własny personel spółki, czy podwykonawca. Jedno nieudokumentowane przekazanie dostępu spółce macierzystej, podmiotowi powiązanemu lub wyspecjalizowanemu partnerowi jest zwykle pierwszą rzeczą, która wstrzymuje rozmowę o otwarciu rachunku. Zbudowanie takiej dokumentacji przed pierwszym spotkaniem z bankiem, a nie po wydaniu licencji, to różnica, którą ma zapewnić usługa przygotowanie do otwarcia rachunku firmowego.

Klienci z sektora OT i infrastruktury krytycznej patrzą nie tylko na rejestr udziałowców, ale na osoby, które faktycznie będą mieć kontakt z ich systemami. Organ regulacyjny, bank lub klient przeglądający dokumentację będzie chciał zobaczyć osobę, która może wykazać kompetencje inżynierskie w zakresie OT, a nie ogólne doświadczenie w bezpieczeństwie IT, zanim zatwierdzone zostaną jakiekolwiek skanowanie, monitorowanie lub prace zmianowe w aktywnym środowisku przemysłowym. Jeśli własna struktura własnościowa spółki przebiega przez kilka warstw holdingowych, fundusze lub struktury rodzinne, ten łańcuch jest częścią tej samej dokumentacji, którą przeczyta klient lub bank, a ścieżka regulowana i złożona struktura własnościowa jest przygotowana właśnie na taki przypadek. Pisemny biznesplan i dokumentacja uzupełniająca powinien przedstawiać w jednym miejscu model operacyjny, granicę dostępu oraz osoby, które go posiadają.

Wspólnym wątkiem jest to samo, z czym styka się firma zajmująca się infrastrukturą łączności: ważną licencję handlową myli się z pozwoleniami, umowami i uprawnieniami technicznymi, których faktycznie wymaga działanie w tym sektorze. Licencja jest łatwą częścią; granica dostępu i stojące za nią pisemne uprawnienia już nie.

Standardowa licencja handlowa na mainland dla tego rodzaju działalności doradczej lub technologicznej zaczyna się od AED 14,000, a pakiet obejmujący wyłącznie licencję w free zone kosztuje od około AED 5,000 do 6,000; żadna z tych kwot nie obejmuje personelu inżynieryjnego, zabezpieczonych obiektów, infrastruktury testowej ani zdolności reagowania na incydenty, których faktycznie wymaga model operacyjny. Liczba wiz powinna odpowiadać liczbie inżynierów OT i pracowników operacyjnych, których spółka rzeczywiście planuje zatrudnić, a nie umownej liczbie ustalonej przy zakładaniu spółki. Licencje i establishment card są odnawiane co roku, a spółka posiadająca sprzęt, ośrodek monitorowania lub zabezpieczone pomieszczenie operacyjne powinna planować to odnowienie razem z ewentualną umową najmu lokalu, a nie traktować go jako odrębnego zdarzenia. Koszty ponad te kwoty składają się warstwowo, a opłata za usługi Velarozone jest wyszczególniona w umowie o świadczenie usług, a nie publikowana jako kwota nagłówkowa.