Руководство
Создание управляемой кибербезопасности или SOC компании в ОАЭ
Краткий ответ
Единой лицензии в области кибербезопасности, на которую можно было бы указать, не существует. Лицензирующий орган вашей свободной зоны (free zone) или эмирата выдаёт коммерческую лицензию, при этом UAE Cyber Security Council и Telecommunications and Digital Government Regulatory Authority (TDRA) каждый решает вопросы в рамках своей собственной компетенции. Чаще всего выбор маршрута определяется тем, будет ли у компании привилегированный доступ к системам и данным клиента, и на основании чьего письменного разрешения.
Кто принимает решение, и что охватывает каждый орган
Вокруг этого бизнеса существует три типа лиц, принимающих решения, и их полномочия не совпадают аккуратным образом.
Лицензирующий орган зоны или эмирата утверждает вид деятельности в коммерческой лицензии. Это обычная процедура создания компании. Выбор между компанией мейнленда (mainland) и маршрутом через свободную зону (free zone) зависит от того, каких клиентов вам нужно обслуживать и где будут находиться ваши аналитики.
UAE Cyber Security Council и TDRA это отдельные органы, не входящие в лицензирующий орган. Каждый из них решает, что относится к его собственной компетенции, и коммерческая лицензия не заменяет ни один из них. Точные действующие требования нужно уточнять в каждом из этих органов перед подачей документов, а не предполагать заранее.
Клиент это третий, кто принимает решение, и на практике часто самый строгий. Регулируемые клиенты и покупатели, связанные с государством, устанавливают собственные условия по персоналу, допуску, местоположению данных и субподрядчикам. Лицензия, действительная на бумаге, всё равно может не пройти проверку безопасности у клиента. Если клиент работает в страховании, руководство по инсуртех-брокерам объясняет, какой регулятор лицензирует эту деятельность и какой нужен капитал.
Если ваш план распространяется на промышленные системы управления или критическую инфраструктуру, также ознакомьтесь с руководством по безопасности OT и критической инфраструктуры. У этого направления деятельности есть собственные вопросы о периметре регулирования.
Сначала выберите операционную модель
Эти четыре модели ведут себя по-разному, поэтому прежде чем выбирать юрисдикцию, выберите ту модель, которая наиболее точно описывает ваш план.
- Управляемый центр мониторинга и реагирования на инциденты безопасности. Непрерывный мониторинг сред клиента. Наивысший уровень доступа к данным, наивысшая кадровая нагрузка.
- Тестирование на проникновение и услуги по имитации атак силами условного противника. Активное тестирование систем. Риск заключается в разрешении, а не в инструментарии.
- Реагирование на инциденты и цифровая криминалистика. Работа с доказательствами, цепочка хранения доказательств и, иногда, взаимодействие с правоохранительными органами.
- Программное обеспечение для безопасности с опциональной управляемой поддержкой. Продуктовая компания, которая постепенно переходит к оказанию услуг, когда клиенты начинают просить помощь в эксплуатации продукта.
Многие основатели начинают с одной модели, а позже добавляют другую. Укажите это в бизнес-плане уже сейчас, потому что описание деятельности, подходящее только под первую модель, может впоследствии потребовать внесения изменений.
Письменное согласие и обработка данных
В этом секторе основную роль играют два вопроса.
Разрешение на тестирование или доступ. Тестирование системы без точного письменного согласия её владельца это самый верный способ для компании, занимающейся безопасностью, создать себе ответственность. Документ о правилах взаимодействия определяет, какие системы, какие методы, какие даты и кто со стороны клиента может остановить работу. Разработайте эти шаблоны до заключения первого договора, а не во время его исполнения.
Персональные и конфиденциальные данные. Телеметрия систем безопасности выглядит технической, но в ней регулярно содержатся имена пользователей, IP-адреса, содержимое электронной почты и учётные данные. Считать её нечувствительной распространённая ошибка. Страница Правительства ОАЭ, посвящённая законам о защите данных, это отправная точка для понимания федерального режима и режимов свободных зон (free zone). То, какой режим применяется, зависит от того, где учреждена компания и где находятся субъекты данных и клиенты. Трансграничный мониторинг, при котором аналитик, находящийся за пределами ОАЭ, просматривает журналы клиента из ОАЭ, требует продуманного решения по вопросам передачи данных, контроля доступа и согласия клиента. Поручите юристам, имеющим право практиковать в ОАЭ, подтвердить позицию применительно к вашей конкретной схеме работы.
Экономическое присутствие (substance), персонал и роли
Компания, оказывающая управляемые услуги безопасности, это бизнес, основанный на людях, и именно компания, подписывающая договоры с клиентами, должна нанимать аналитиков, владеть инструментарием и иметь страхование профессиональной ответственности и киберстрахование. Зарубежная материнская компания или компания, владеющая интеллектуальной собственностью, может находиться в другом месте группы, но у каждой из них должна быть подлинная роль.
Определите следующее до подачи заявки:
- Находятся ли аналитики в ОАЭ, за рубежом или и там, и там, и что допускает каждый клиент.
- Кто проверяет аналитиков и как предоставляется, регистрируется и отзывается доступ к учётным данным клиента.
- Кто владеет привилегированными учётными данными: компания или клиент.
- Какие субподрядчики имеют доступ к данным клиента и как обеспечивается цепочка хранения доказательств.
- Кто является назначенным ответственным руководителем по безопасности и комплаенсу.
Визовая квота определяется численностью персонала. Круглосуточному центру мониторинга и реагирования на инциденты безопасности необходимо сменное покрытие, поэтому планируйте исходя из реального штата, а не только основателей. Бизнес-план и сопроводительные документы должны показывать этот штат и модель оказания услуг, стоящую за ним. Стоимость формируется по уровням, а вознаграждение компании детализировано в письме-соглашении об условиях оказания услуг, как это описано в разделе как работает Velarozone. В этом секторе наибольшую долю обычно составляют расходы на персонал, инструментарий и страхование, а не лицензия.
На что обращает внимание банк
Банки рассматривают компанию в сфере безопасности как бизнес, работающий с чужими данными. Прежде чем подавать заявку, будьте готовы предоставить:
- Шаблоны правил взаимодействия и согласий.
- Процедуры проверки аналитиков и контроля доступа.
- Процедуры работы с доказательствами и их хранения.
- Сценарии реагирования на инциденты и обязательства, принятые перед клиентами.
- Имеющиеся сертификации, а также дорожная карта повышения уровня соответствия требованиям.
Клиенты и платёжные маршруты должны совпадать в презентации, финансовой модели и банковском досье. Готовность корпоративного банковского счёта становится проще, когда модель оказания услуг уже прописана. Это не гарантирует открытие счёта.
Что обычно идёт не так
- Тестирование без чётко оформленного письменного разрешения. Объём работ был согласован в переписке по электронной почте, и клиент впоследствии оспаривает, что было в него включено.
- Отношение к телеметрии как к несущественным данным. Журналы хранятся или анализируются в месте, которое не допускается договором с клиентом.
- Привлечение офшорного персонала вопреки условиям клиента. Покупатель, связанный с государственными структурами, требует наличия местного персонала, тогда как модель оказания услуг предполагала иное.
- Обещание предотвращения атак. Договоры, обещающие остановить любую атаку, создают риск ответственности. Измеримые обязательства по реагированию, такие как время до начала разбора инцидента, можно обосновать.
- Отсутствие плана действий на случай обнаружения незаконной деятельности в ходе работы. Компания обнаруживает доказательства преступления, но не имеет письменной процедуры о том, кого и когда следует уведомить.
