Guia
Criando uma Empresa de Cibersegurança ou SOC Gerenciado nos EAU
A resposta curta
Não existe uma única licença de cibersegurança a ser apontada. A autoridade licenciadora da sua zona ou emirado emite a licença comercial, enquanto o UAE Cyber Security Council e a Telecommunications and Digital Government Regulatory Authority (TDRA) decidem, cada um, as questões dentro de sua própria competência. O que mais frequentemente determina o caminho é se a empresa terá acesso privilegiado aos sistemas e dados dos clientes, e sob a autorização escrita de quem.
Quem decide, e o que cada autoridade abrange
Três tipos de tomador de decisão cercam esse negócio, e eles não se sobrepõem de forma clara.
A autoridade licenciadora da zona ou do emirado aprova a atividade na licença comercial. Isso é a constituição comum de empresas. A escolha entre uma empresa mainland e uma rota de free zone depende dos clientes que você precisa atender e de onde seus analistas vão ficar.
O UAE Cyber Security Council e a TDRA são distintos da autoridade licenciadora. Cada um decide o que está dentro de sua própria competência, e uma licença comercial não substitui nenhum dos dois. Os requisitos exatos e atuais são confirmados junto a cada autoridade antes de qualquer protocolo, nunca presumidos.
O cliente é o terceiro decisor e, na prática, muitas vezes o mais exigente. Os clientes regulados e os compradores ligados ao Estado definem os seus próprios termos quanto a pessoal, habilitação, localização dos dados e subcontratantes. Uma licença válida no papel pode ainda assim falhar na diligência de segurança de um cliente. Quando o cliente é do setor segurador, o guia do corretor de tecnologia de seguros indica que regulador licencia a atividade e o capital exigido.
Se o seu plano se estender a sistemas de controle industrial ou infraestrutura crítica, leia também o guia de segurança de OT e infraestrutura crítica. Esse trabalho traz suas próprias questões de perímetro.
Escolha primeiro o modelo operacional
Os quatro modelos se comportam de maneira diferente, portanto escolha aquele que melhor descreve o plano antes de escolher uma jurisdição.
- Centro de operações de segurança gerenciado (SOC). Monitoramento contínuo dos ambientes dos clientes. Maior exposição de dados, maior carga de pessoal.
- Testes de penetração e serviços de red team. Testes ativos de sistemas. O risco está na autorização, não nas ferramentas.
- Resposta a incidentes e perícia digital. Tratamento de evidências, cadeia de custódia e, às vezes, contato com autoridades policiais.
- Software de segurança com suporte gerenciado opcional. Uma empresa de produto que acaba migrando para a prestação de serviços quando os clientes pedem ajuda para operá-lo.
Muitos fundadores começam em um modelo e acrescentam outro depois. Diga isso no plano de negócios desde já, porque uma descrição de atividade que se encaixa apenas no primeiro modelo pode forçar uma alteração posterior.
Autorização por escrito e tratamento de dados
Duas questões respondem pela maior parte do trabalho neste setor.
Autorização para testar ou acessar. Testar um sistema sem o consentimento preciso e por escrito de seu proprietário é a forma mais clara de uma empresa de segurança criar responsabilidade. O documento de regras de engajamento define quais sistemas, quais técnicas, quais datas e quem, do lado do cliente, pode interromper o trabalho. Elabore esses modelos antes do primeiro contrato, não durante ele.
Dados pessoais e confidenciais. A telemetria de segurança parece técnica, mas costuma carregar nomes de usuário, endereços IP, conteúdo de e-mails e credenciais. Tratá-la como não sensível é um erro comum. A página do Governo dos Emirados Árabes Unidos sobre as leis de proteção de dados é o ponto de partida para os regimes federal e de free zone. O regime aplicável depende de onde a empresa está estabelecida e de onde estão os titulares dos dados e os clientes. O monitoramento transfronteiriço, em que um analista fora dos Emirados Árabes Unidos visualiza os registros de um cliente nos Emirados Árabes Unidos, exige uma resposta deliberada sobre transferência, controle de acesso e consentimento do cliente. Peça a advogados licenciados para atuar nos Emirados Árabes Unidos que confirmem a posição para a sua configuração exata.
Substance, equipe e funções
Uma empresa de segurança gerenciada é um negócio de pessoas, e a empresa que assina os contratos com os clientes deve empregar os analistas, deter as ferramentas e manter a cobertura de responsabilidade profissional e cibernética. Uma matriz no exterior ou uma empresa de propriedade intelectual pode estar em outro ponto do grupo, mas cada uma precisa ter um papel genuíno.
Decida o seguinte antes de solicitar:
- Se os analistas ficam nos Emirados Árabes Unidos, offshore ou em ambos, e o que cada cliente permite.
- Quem avalia os analistas, e como o acesso às credenciais dos clientes é concedido, registrado e revogado.
- Se a empresa ou o cliente detém as credenciais privilegiadas.
- Quais subcontratados têm contato com os dados dos clientes, e como a cadeia de custódia é mantida.
- Quem é o responsável sênior nomeado para segurança e compliance.
A capacidade de vistos acompanha o quadro de pessoal. Um SOC que opera 24 horas por dia precisa de cobertura por turnos, portanto planeje com base na equipe real, não apenas nos fundadores. O plano de negócios e a documentação de apoio devem mostrar essa equipe e o modelo de prestação de serviços por trás dela. O custo é construído em camadas, e os honorários da empresa são detalhados na carta de contratação, conforme explicado em como a Velarozone funciona. Neste setor, a maior camada costuma ser folha de pagamento, ferramentas e seguro, não a licença.
O que um banco observa
Os bancos enxergam uma empresa de segurança como um negócio que lida com dados de terceiros. Antes de solicitar, esteja pronto para apresentar:
- Modelos de regras de engajamento e de consentimento.
- Procedimentos de avaliação de analistas e de controle de acesso.
- Procedimentos de tratamento e retenção de evidências.
- Playbooks de resposta a incidentes e os compromissos assumidos com os clientes.
- Quaisquer certificações obtidas e o roteiro de certificações futuras.
Os clientes e as rotas de pagamento devem ser consistentes entre o pitch, o modelo financeiro e o arquivo bancário. Prontidão para conta bancária corporativa fica mais fácil quando o modelo de prestação de serviços já está documentado. Isso não garante uma conta.
O que costuma dar errado
- Testes sem autorização escrita precisa. O escopo foi acordado em uma troca de e-mails, e o cliente mais tarde contesta o que foi coberto.
- Tratar a telemetria como não sensível. Os registros (logs) são armazenados ou analisados em um local que o contrato do cliente não permite.
- Equipe offshore contrária aos termos do cliente. Um comprador ligado ao governo exige equipe local, e o modelo de entrega pressupunha o contrário.
- Prometer prevenção. Contratos que prometem impedir todos os ataques representam um risco. Compromissos de resposta mensuráveis, como o tempo até a triagem, são defensáveis.
- Ausência de plano para atividade ilícita identificada durante o trabalho. A empresa descobre evidências de um crime e não possui um procedimento escrito sobre quem deve ser informado e quando.
