Как создать компанию по кибербезопасности OT или безопасности критической инфраструктуры в ОАЭ

Торговая лицензия от DET или органа свободной зоны (free zone) регистрирует коммерческую деятельность. Сама по себе она не определяет, занимается ли компания чем-то, что TDRA или Cyber Security Council относят к регулируемой деятельности. Сфера ответственности TDRA охватывает телекоммуникационные сети, оборудование и шифрование в ОАЭ; компания, которая строит, перепродает или эксплуатирует каналы связи либо поставляет криптографическое оборудование, подпадает под эту сферу независимо от формулировки ее лицензии. Cyber Security Council был создан для формирования национальной стратегии кибербезопасности ОАЭ и реализует политику Critical Information Infrastructure Protection, которая устанавливает базовые требования безопасности для операторов, отнесенных к критической инфраструктуре. Эти обязательства лежат на операторе инфраструктуры, но доходят до поставщика через договор: банк, энергоснабжающая организация или транспортный оператор, сами являющиеся отнесенным к CII субъектом, как правило, перекладывают свои базовые меры контроля, правила доступа и обязанности по информированию об инцидентах на любого поставщика услуг безопасности OT, с которым они работают.

Практический вопрос для основателя: правил какого из этих трёх органов фактически касается предполагаемая работа, подобно вопросу, на который должна ответить о собственных правах доступа компания по безопасности идентификации или управлению привилегированным доступом. Бизнес, занимающийся только оценкой или проверкой архитектуры, без действующего доступа и без собственного оборудования, находится ближе всего к обычной коммерческой деятельности. Бизнес, который постоянно отслеживает сеть клиента, удерживает постоянное удалённое соединение или поставляет и настраивает шлюзы, приближается к территории TDRA и Совета, подобно тому как компания по постквантовой криптографии или защищённой связи должна классифицировать собственную криптографическую работу, прежде чем сможет классифицировать свою лицензию.

Ни полномочия TDRA, ни система CIIP Совета не сводятся к единому сбору или категории лицензии, которые можно опубликовать в общем виде. TDRA решает в каждом случае, подпадает ли конкретная сеть, оборудование или деятельность в области шифрования под телекоммуникационное регулирование; компании, чьё предложение включает связь, мониторинг с возможностью перехвата или криптографическое оборудование, следует задать этот вопрос TDRA напрямую, а не выводить ответ из маркетинга конкурента. Политика CIIP Совета по кибербезопасности это документ, который определяет критические активы, устанавливает базовые требования безопасности для организаций критической информационной инфраструктуры и запускает механизм надзора и принуждения вокруг них; он написан для оператора инфраструктуры, поэтому обязательства поставщика по нему носят договорный характер, а не являются отдельной лицензией, за которой обращается сам поставщик. Обязательства по защите данных действуют параллельно с обоими: компания, обрабатывающая персональные или операционные данные в рамках своей услуги мониторинга, должна уметь показать, где хранятся эти данные и кто имеет к ним доступ. Ни код деятельности, ни категория лицензии, ни сумма капитала здесь не указываются; они подтверждаются по действующим материалам TDRA и Совета до выбора маршрута для юридического лица.

Банк или закупочная команда предприятия, проверяющие поставщика услуг безопасности OT, в первую очередь смотрят не на баланс. Они проверяют, кто может получить доступ к действующим системам управления клиента, на основании какого письменного полномочия и что происходит, если этим доступом злоупотребляют или просто забывают о нем. Следует ожидать вопросов об объеме любых соглашений об удаленном доступе, о том, как этот доступ ограничивается по времени и отзывается, какое ведется протоколирование и действительно ли доступом владеют собственные сотрудники компании или субподрядчик. Единичная недокументированная передача доступа материнской компании, аффилированному лицу или специализированному партнеру, как правило, становится первым, что останавливает разговор об открытии счета. Подготовка этих доказательств до первой встречи с банком, а не после выдачи лицензии, это именно та разница, на устранение которой направлена работа по готовности к открытию корпоративного банковского счета.

Клиенты в сфере OT и критической инфраструктуры смотрят не только на реестр акционеров, но и на людей, которые реально будут иметь дело с их системами. Регулятор, банк или клиент, изучающий досье компании, захочет увидеть специалиста, способного подтвердить инженерную компетенцию в области OT, а не только общий опыт в сфере ИТ-безопасности, прежде чем одобрить какое-либо сканирование, мониторинг или внесение изменений в действующую промышленную среду. Если собственная структура владения компанией проходит через несколько уровней холдингов, фондов или семейных структур, эта цепочка становится частью того же досье, которое будет изучать клиент или банк, и решение для регулируемых и сложных структур владения создано именно для такого случая. Письменный бизнес-план с подтверждающей документацией должен в одном документе описывать операционную модель, границу доступа и лиц, которые этим доступом владеют.

Общая проблема та же, с которой сталкивается бизнес, работающий в сфере инфраструктуры связи: действующую торговую лицензию принимают за те разрешения, договоры и технические полномочия, которые на деле требуются для работы в этом секторе. Лицензия, это простая часть; граница доступа и письменное полномочие, стоящее за ней, нет.

Стандартная торговая лицензия мейнленд (mainland) для такого рода консалтинговой или технологической деятельности стартует от 14 000 AED, а пакет только лицензии в свободной зоне (free zone) доступен примерно от 5 000 до 6 000 AED; ни одна из этих сумм не включает инженерный персонал, защищённые помещения, тестовую инфраструктуру или мощности для реагирования на инциденты, которые фактически требуются операционной модели. Квота виз должна соответствовать количеству OT-инженеров и операционного персонала, которых компания действительно планирует нанять, а не условной численности, заданной при учреждении. Лицензии и карты учреждения (establishment card) продлеваются ежегодно, и компании, владеющей оборудованием, центром мониторинга или защищённым операционным залом, следует планировать это продление вместе с любой арендой помещений, а не рассматривать его как отдельное событие. Затраты сверх этих сумм формируются послойно, а плата за услуги Velarozone указывается отдельной строкой в письме-соглашении об условиях оказания услуг (engagement letter) и не публикуется в виде итоговой цифры.