Cum să înființați o companie de securitate OT sau de securitate a infrastructurii critice în EAU

O licență comercială de la DET sau de la o autoritate din free zone înregistrează activitatea comercială. Aceasta nu indică, prin ea însăși, dacă compania desfășoară ceva ce TDRA sau Cyber Security Council consideră a fi reglementat. Domeniul de competență al TDRA acoperă rețelele de telecomunicații, echipamentele și criptarea din UAE; o companie care construiește, revinde sau operează conectivitate, ori furnizează echipamente criptografice, intră în acest domeniu de competență, indiferent de modul în care este formulată licența sa. Cyber Security Council a fost înființat pentru a construi strategia națională de securitate cibernetică a UAE și administrează politica Critical Information Infrastructure Protection, care stabilește obligații minime de securitate pentru operatorii de infrastructură critică desemnați. Aceste obligații revin operatorului de infrastructură, dar ajung la furnizor prin contract: o bancă, un furnizor de utilități sau un operator de transport care este el însuși o entitate CII desemnată va transfera, de regulă, controalele sale minime, regulile de acces și obligațiile de raportare a incidentelor către orice furnizor de securitate OT pe care îl angajează.

Întrebarea practică pentru un fondator este care dintre regulile acestor trei organisme vizează efectiv activitatea propusă, întrebare similară celei la care trebuie să răspundă o companie de securitate a identității sau de gestionare a accesului privilegiat în privința propriilor drepturi de acces. O activitate de evaluare sau de revizuire a arhitecturii, fără acces în direct și fără echipamente proprii, se apropie cel mai mult de activitatea comercială obișnuită. O activitate care monitorizează continuu rețeaua unui client, deține o conexiune la distanță permanentă sau furnizează și configurează gateway-uri se apropie de domeniul TDRA și al Consiliului, la fel cum o companie de criptografie post-cuantică sau de comunicații securizate trebuie să își clasifice propria activitate criptografică înainte de a-și putea clasifica licența.

Nici competența TDRA, nici cadrul CIIP al Consiliului nu se pot reduce la o singură taxă sau categorie de licență care să poată fi publicată în termeni generali. TDRA stabilește, de la caz la caz, dacă o anumită activitate privind rețele, echipamente sau criptare intră în sfera reglementării telecomunicațiilor; o companie a cărei ofertă include conectivitate, monitorizare capabilă de interceptare sau hardware criptografic ar trebui să adreseze această întrebare direct TDRA, în loc să deducă un răspuns din materialele de marketing ale unui concurent. Politica CIIP a Cyber Security Council este instrumentul care identifică activele critice, stabilește cerințele de securitate de bază pentru entitățile CII și derulează mecanismul de supraveghere și de aplicare din jurul acestora; ea este redactată pentru operatorul de infrastructură, astfel încât obligațiile unui furnizor în temeiul ei sunt contractuale, nu o licență separată pe care furnizorul însuși să o solicite. Obligațiile privind protecția datelor se aplică în paralel cu ambele: o companie care prelucrează date personale sau operaționale în cadrul serviciului său de monitorizare ar trebui să poată arăta unde sunt stocate acele date și cine are acces la ele. Aici nu se indică niciun cod de activitate, nicio categorie de licență și nicio valoare a capitalului; acestea se confirmă în raport cu materialele actuale ale TDRA și ale Consiliului înainte de alegerea formei de entitate.

O bancă sau o echipă de achiziții dintr-o companie care evaluează un furnizor de securitate OT nu verifică, în primul rând, bilanțul contabil. Aceasta verifică cine poate avea acces la sistemele de control live ale unui client, în baza cărei autorități scrise, și ce se întâmplă atunci când acel acces este utilizat greșit sau pur și simplu uitat. Este de așteptat să existe întrebări privind sfera oricărui aranjament de acces de la distanță, modul în care accesul este limitat în timp și revocat, ce înregistrări (logging) există și dacă accesul este deținut efectiv de personalul propriu al companiei sau de un subcontractant. Un singur transfer nedocumentat către o societate-mamă, o afiliată sau un partener specializat este, de regulă, primul lucru care blochează o discuție privind deschiderea unui cont. Construirea acestor dovezi înainte de prima întâlnire cu banca, și nu după emiterea licenței, este diferența pe care activitatea de pregătire pentru contul bancar corporativ este concepută să o aducă.

Clienții din domeniul OT și al infrastructurii critice privesc dincolo de registrul acționarilor, către persoanele care vor avea efectiv contact cu sistemele lor. Un reglementator, o bancă sau un client care analizează dosarul va dori să vadă pe cineva care poate demonstra competență în ingineria OT, nu doar o experiență generală în securitatea IT, înainte de a aproba orice activitate de scanare, monitorizare sau modificare într-un mediu industrial live. În cazul în care structura de proprietate a companiei trece prin mai multe niveluri de holding, fonduri sau structuri de familie, acel lanț face parte din același dosar pe care îl va citi un client sau o bancă, iar traseul configurare pentru structuri de proprietate reglementate și complexe este conceput exact pentru acest caz. Un plan de afaceri și documentație justificativă scris ar trebui să prezinte, într-un singur loc, modelul operațional, limitele de acces și persoanele care le dețin.

Firul comun este același cu cel pe care îl întâlnește o afacere de infrastructură de conectivitate: o licență comercială valabilă este confundată cu permisiunile, contractele și autoritatea tehnică de care operarea în acest sector are nevoie în realitate. Licența este partea facilă; limita de acces și autoritatea scrisă din spatele acesteia nu sunt.

O licență comercială standard de pe teritoriul continental pentru acest tip de consultanță sau activitate tehnologică începe de la 14.000 AED, iar un pachet de zonă liberă doar cu licență este disponibil de la aproximativ 5.000 până la 6.000 AED; niciuna dintre cifre nu include personalul de inginerie, spațiile securizate, infrastructura de testare sau capacitatea de răspuns la incidente de care modelul operațional are de fapt nevoie. Capacitatea de vize ar trebui să corespundă numărului de ingineri OT și de personal operațional pe care societatea intenționează cu adevărat să îl angajeze, nu unui număr teoretic stabilit la constituire. Licențele și cărțile de stabilire se reînnoiesc anual, iar o societate care deține echipamente, o unitate de monitorizare sau o sală de operațiuni securizată ar trebui să planifice reînnoirea împreună cu orice contract de închiriere a spațiilor, nu să o trateze ca pe un eveniment separat. Costul dincolo de aceste cifre se construiește în straturi, iar onorariul serviciului Velarozone este detaliat în scrisoarea de angajament, nu publicat ca o cifră principală.