Como Criar uma Empresa de Cibersegurança OT ou Segurança de Infraestrutura Crítica nos EAU

Uma licença comercial emitida pelo DET ou por uma autoridade de free zone registra a atividade comercial. Isso, por si só, não indica se a empresa está fazendo algo que a TDRA ou o Cyber Security Council trata como regulado. O âmbito da TDRA cobre as redes de telecomunicações, os equipamentos e a criptografia dos Emirados Árabes Unidos; uma empresa que constrói, revende ou opera conectividade, ou que fornece equipamentos criptográficos, entra nesse âmbito independentemente de como sua licença esteja redigida. O Cyber Security Council foi criado para construir a estratégia nacional de cibersegurança dos Emirados Árabes Unidos e administra a política de Critical Information Infrastructure Protection, que estabelece obrigações mínimas de segurança para os operadores de infraestrutura crítica designada. Essas obrigações recaem sobre o operador da infraestrutura, mas chegam ao fornecedor por meio do contrato: um banco, uma concessionária ou um operador de transporte que seja, ele próprio, uma entidade CII designada normalmente repassa seus controles mínimos, regras de acesso e deveres de notificação de incidentes a qualquer fornecedor de segurança de OT que contrate.

A questão prática para um fundador é saber quais regras desses três órgãos o trabalho proposto realmente alcança, semelhante à questão que uma empresa de segurança de identidade ou de gestão de acesso privilegiado precisa responder sobre seus próprios direitos de acesso. Um negócio puramente de avaliação ou de revisão de arquitetura, sem acesso em produção e sem equipamentos próprios, fica mais próximo de uma atividade comercial comum. Um negócio que monitora continuamente a rede de um cliente, mantém uma conexão remota permanente ou fornece e configura gateways se aproxima do território da TDRA e do Council, assim como uma empresa de criptografia pós-quântica ou de comunicações seguras precisa classificar o seu próprio trabalho criptográfico antes de poder classificar a sua licença.

Nem a competência da TDRA nem o framework CIIP do Council se reduzem a uma única taxa ou categoria de licença que possa ser publicada de forma genérica. A TDRA decide, caso a caso, se determinada atividade de rede, de equipamentos ou de criptografia se enquadra na regulação de telecomunicações; uma empresa cuja oferta inclua conectividade, monitoramento com capacidade de interceptação ou hardware criptográfico deve submeter essa questão diretamente à TDRA, em vez de inferir uma resposta a partir do material de marketing de um concorrente. A política CIIP do Cyber Security Council é o instrumento que identifica ativos críticos, estabelece requisitos básicos de segurança para as entidades de CII e conduz o mecanismo de supervisão e fiscalização em torno delas; ela é redigida para o operador da infraestrutura, de modo que as obrigações de um fornecedor nesse âmbito são contratuais, e não uma licença separada que o próprio fornecedor solicite. As obrigações de proteção de dados caminham ao lado de ambas: uma empresa que trate dados pessoais ou operacionais como parte de seu serviço de monitoramento deve ser capaz de demonstrar onde esses dados são mantidos e quem pode acessá-los. Nenhum código de atividade, categoria de licença ou valor de capital é indicado aqui; esses pontos são confirmados com o material atual da TDRA e do Council antes de se escolher a via societária.

Um banco ou uma equipe de compras corporativa que analisa um fornecedor de segurança de OT não está, em primeiro lugar, verificando o balanço patrimonial. Está verificando quem pode acessar os sistemas de controle em produção de um cliente, sob qual autoridade escrita, e o que acontece quando esse acesso é usado de forma indevida ou simplesmente esquecido. É de se esperar perguntas sobre o alcance de qualquer arranjo de acesso remoto, sobre como o acesso é limitado no tempo e revogado, sobre quais registros existem e sobre se o acesso é efetivamente mantido pela própria equipe da empresa ou por um subcontratado. Uma única transferência não documentada para uma controladora, afiliada ou parceiro especializado costuma ser o primeiro ponto que paralisa uma conversa de abertura de conta. Reunir essas evidências antes da primeira reunião com o banco, em vez de depois de a licença ser emitida, é a diferença que o trabalho de preparação para abertura de conta bancária corporativa foi concebido para suprir.

Os clientes de OT e de infraestrutura crítica olham além do registro de acionistas, para as pessoas que efetivamente terão contato com seus sistemas. Um regulador, banco ou cliente que analisa o dossiê vai querer ver alguém capaz de demonstrar competência em engenharia de OT, e não apenas experiência geral em segurança de TI, antes que qualquer trabalho de varredura, monitoramento ou alteração em um ambiente industrial em produção seja aprovado. Quando a própria propriedade da empresa passa por várias camadas de holding, fundos ou estruturas familiares, essa cadeia faz parte do mesmo dossiê que um cliente ou banco vai analisar, e o caminho de estrutura de propriedade regulada e complexa foi criado exatamente para esse caso. Um plano de negócios e documentação de apoio escrito deve apresentar, em um único lugar, o modelo operacional, o limite de acesso e as pessoas que o detêm.

O ponto em comum é o mesmo que uma empresa de infraestrutura de conectividade enfrenta: uma licença comercial válida é confundida com as autorizações, contratos e autoridade técnica que operar nesse setor realmente exige. A licença é a parte fácil; o limite de acesso e a autoridade escrita que o sustenta não são.

Uma licença comercial mainland padrão para esse tipo de consultoria ou atividade de tecnologia começa em AED 14.000, com um pacote free zone apenas de licença disponível de aproximadamente AED 5.000 a 6.000; nenhum dos valores inclui a equipe de engenharia, as instalações seguras, a infraestrutura de testes ou a capacidade de resposta a incidentes de que o modelo operacional realmente necessita. A capacidade de vistos deve corresponder ao número de engenheiros de OT e de equipe de operações que a empresa realmente pretende contratar, e não a um número hipotético definido na constituição. As licenças e os establishment card são renovados anualmente, e uma empresa que mantenha equipamentos, uma instalação de monitoramento ou uma sala de operações segura deve planejar essa renovação em conjunto com qualquer contrato de locação das instalações, em vez de tratá-la como um evento separado. O custo além desses valores é composto em camadas, e os honorários de serviço Velarozone são detalhados item a item na carta de contratação, e não publicados como um número de destaque.