Ghid
Configurarea unei companii gestionate de securitate cibernetică sau SOC în EAU
Răspunsul scurt
Nu există o singură licență de securitate cibernetică la care să vă raportați. Autoritatea de licențiere pentru zona sau emiratul dumneavoastră emite licența comercială, în timp ce UAE Cyber Security Council și Telecommunications and Digital Government Regulatory Authority (TDRA) decid fiecare asupra aspectelor din propriul domeniu de competență. Ceea ce decide cel mai adesea traseul este dacă societatea va deține acces privilegiat la sistemele și datele clienților și sub a cui autoritate scrisă.
Cine decide și ce acoperă fiecare autoritate
În jurul acestei activități există trei tipuri de factori de decizie, iar rolurile lor nu se suprapun în mod clar.
Autoritatea de licențiere pentru zonă sau emirat aprobă activitatea înscrisă pe licența comercială. Aceasta este o înființare obișnuită de societate. Alegerea dintre o companie mainland și o rută de tip free zone depinde de clienții pe care trebuie să îi deserviți și de locul unde vor fi amplasați analiștii dumneavoastră.
UAE Cyber Security Council și TDRA sunt separate de autoritatea de licențiere. Fiecare decide ce intră în propriul domeniu de competență, iar o licență comercială nu ține loc niciuneia dintre ele. Cerințele exacte și actuale se confirmă cu fiecare autoritate înainte de orice depunere, nu se presupun.
Clientul este al treilea factor de decizie și, în practică, adesea cel mai strict. Clienții reglementați și cumpărătorii legați de guvern își stabilesc propriii termeni privind personalul, autorizările, locația datelor și subcontractanții. O licență valabilă pe hârtie poate totuși eșua la verificarea de securitate a unui client. Când clientul este din asigurări, ghidul brokerului de asigurări digitale arată ce regulator licențiază activitatea și ce capital este necesar.
Dacă planul dumneavoastră se extinde la sisteme de control industrial sau infrastructură critică, citiți și ghidul privind securitatea OT și a infrastructurii critice. Acest domeniu de activitate are propriile întrebări privind perimetrul.
Alegeți mai întâi modelul de operare
Cele patru modele se comportă diferit, așadar alegeți-l pe cel care descrie cel mai bine planul înainte de a alege o jurisdicție.
- Centru de operațiuni de securitate administrat (managed SOC). Monitorizare continuă a mediilor clienților. Cea mai mare expunere a datelor, cea mai mare sarcină de personal.
- Teste de penetrare și servicii de tip red-team. Testare activă a sistemelor. Riscul constă în autorizare, nu în instrumentele folosite.
- Răspuns la incidente și criminalistică digitală. Gestionarea probelor, lanțul de custodie și, uneori, contactul cu autoritățile de aplicare a legii.
- Software de securitate cu suport administrat opțional. O companie de produse care alunecă spre livrarea de servicii atunci când clienții cer ajutor pentru operarea acestuia.
Mulți fondatori încep cu un singur model și adaugă altul mai târziu. Menționați acest lucru în planul de afaceri încă de acum, deoarece o descriere a activității care se potrivește doar primului model poate impune ulterior o modificare.
Autorizație scrisă și gestionarea datelor
Două aspecte contează cel mai mult în acest sector.
Autoritatea de a testa sau de a accesa. Testarea unui sistem fără consimțământul scris precis al proprietarului acestuia este cea mai clară modalitate prin care o companie de securitate își poate crea răspundere. Documentul privind regulile de angajament (rules-of-engagement) definește ce sisteme, ce tehnici, ce date calendaristice și cine, din partea clientului, poate opri lucrările. Elaborați aceste șabloane înainte de primul contract, nu în timpul acestuia.
Date cu caracter personal și confidențiale. Telemetria de securitate pare tehnică, dar conține frecvent nume de utilizator, adrese IP, conținutul e-mailurilor și credențiale. Tratarea acesteia ca nesensibilă este o greșeală frecventă. Pagina Guvernului EAU privind legile de protecție a datelor este punctul de plecare pentru regimurile federale și cele din free zone. Regimul aplicabil depinde de locul unde este înființată societatea și de locul unde se află persoanele vizate și clienții. Monitorizarea transfrontalieră, în care un analist aflat în afara EAU vizualizează jurnalele unui client din EAU, necesită un răspuns deliberat privind transferul, controlul accesului și consimțământul clientului. Solicitați avocaților autorizați să practice în EAU să confirme poziția pentru configurația dumneavoastră exactă.
Substanță, personal și roluri
O companie de securitate administrată este o afacere bazată pe oameni, iar societatea care semnează contractele cu clienții ar trebui să angajeze analiștii, să dețină instrumentele și să aibă asigurarea de răspundere profesională și asigurarea cibernetică. O societate-mamă din străinătate sau o companie de proprietate intelectuală pot fi situate în altă parte în cadrul grupului, dar fiecare trebuie să aibă un rol real.
Decideți următoarele înainte de a depune cererea:
- Dacă analiștii sunt situați în EAU, în străinătate sau în ambele, și ce permite fiecare client.
- Cine verifică analiștii și cum este acordat, înregistrat și revocat accesul la credențialele clienților.
- Dacă societatea sau clientul deține credențialele privilegiate.
- Ce subcontractanți au acces la datele clienților și cum este păstrat lanțul de custodie.
- Cine este responsabilul senior desemnat pentru securitate și conformitate.
Capacitatea de vize urmează numărul de angajați. Un SOC care funcționează non-stop are nevoie de acoperire pe ture, așadar planificați în funcție de schema reală de personal, nu doar de fondatori. Planul de afaceri și documentele justificative ar trebui să arate această schemă de personal și modelul de livrare din spatele ei. Costul este structurat pe straturi, iar onorariul firmei este detaliat în scrisoarea de misiune, așa cum este descris în cum funcționează Velarozone. Pentru acest sector, cel mai mare strat este de obicei salarizarea, instrumentele și asigurarea, nu licența.
Ce verifică o bancă
Băncile privesc o companie de securitate ca pe o afacere care gestionează datele altor persoane. Înainte de a depune cererea, fiți pregătiți să arătați:
- Șabloane privind regulile de angajament și consimțământul.
- Proceduri de verificare a analiștilor și de control al accesului.
- Proceduri de gestionare și păstrare a probelor.
- Planuri de răspuns la incidente și angajamentele asumate față de clienți.
- Certificările deținute și planul de asigurare a calității (assurance roadmap).
Clienții și rutele de plată trebuie să corespundă în prezentare, în modelul financiar și în dosarul bancar. Pregătirea contului bancar corporativ este mai simplă atunci când modelul de livrare este deja consemnat în scris. Nu garantează un cont.
Ce greșeli apar frecvent
- Testare fără autoritate scrisă precisă. Sfera de aplicare a fost convenită într-un fir de e-mailuri, iar clientul contestă ulterior ce anume a fost acoperit.
- Tratarea telemetriei ca nesensibilă. Jurnalele sunt stocate sau analizate într-un loc pe care contractul clientului nu îl permite.
- Personal angajat în străinătate contrar condițiilor clientului. Un cumpărător afiliat guvernului solicită personal local, iar modelul de livrare presupunea altceva.
- Promisiunea prevenirii. Contractele care promit oprirea fiecărui atac reprezintă o răspundere. Angajamentele de răspuns măsurabile, precum timpul de triaj, sunt apărabile.
- Lipsa unui plan pentru activitatea ilegală descoperită în timpul lucrărilor. Societatea descoperă dovezi ale unei infracțiuni și nu are o procedură scrisă privind cine este informat și când.
