คู่มือ
การตั้งบริษัทความปลอดภัยไซเบอร์จัดการหรือ SOC ในสหรัฐอาหรับเอมิเรตส์
คำตอบสั้นๆ
ไม่มีใบอนุญาตด้านความปลอดภัยไซเบอร์ใบเดียวที่ชี้ชัดได้ หน่วยงานออกใบอนุญาตประจำฟรีโซน (free zone) หรือเอมิเรตของท่านเป็นผู้ออกใบอนุญาตการค้า ในขณะที่ UAE Cyber Security Council และ Telecommunications and Digital Government Regulatory Authority (TDRA) ต่างตัดสินใจเรื่องที่อยู่ในขอบเขตอำนาจของตนเอง สิ่งที่มักเป็นตัวตัดสินแนวทางมากที่สุดคือบริษัทจะมีสิทธิเข้าถึงระบบและข้อมูลของลูกค้าในระดับสิทธิพิเศษหรือไม่ และภายใต้อำนาจเป็นลายลักษณ์อักษรของผู้ใด
ใครตัดสินใจ และแต่ละหน่วยงานครอบคลุมอะไร
มีผู้มีอำนาจตัดสินใจสามประเภทที่เกี่ยวข้องกับธุรกิจนี้ และขอบเขตอำนาจของแต่ละฝ่ายไม่ได้ทับซ้อนกันอย่างลงตัว
หน่วยงานออกใบอนุญาตประจำฟรีโซน (free zone) หรือเอมิเรตเป็นผู้อนุมัติกิจกรรมบนใบอนุญาตการค้า นั่นคือขั้นตอนการจัดตั้งบริษัทตามปกติ การเลือกระหว่างบริษัทเมนแลนด์ (mainland) และแนวทางฟรีโซน ขึ้นอยู่กับลูกค้าที่ท่านต้องให้บริการและสถานที่ที่นักวิเคราะห์ของท่านจะประจำการ
UAE Cyber Security Council และ TDRA แยกต่างหากจากหน่วยงานออกใบอนุญาต แต่ละแห่งตัดสินใจในเรื่องที่อยู่ในขอบเขตอำนาจของตนเอง และใบอนุญาตการค้าไม่สามารถใช้แทนหน่วยงานใดหน่วยงานหนึ่งได้ ข้อกำหนดปัจจุบันที่แน่ชัดต้องได้รับการยืนยันกับแต่ละหน่วยงานก่อนยื่นคำขอทุกครั้ง ไม่ใช่การสันนิษฐานเอาเอง
ลูกค้าเป็นผู้ตัดสินใจคนที่สาม และในทางปฏิบัติมักเข้มงวดที่สุด ลูกค้าที่อยู่ภายใต้การกำกับดูแลและผู้ซื้อที่เกี่ยวข้องกับรัฐบาลกำหนดเงื่อนไขของตนเองเรื่องบุคลากร การตรวจสอบความปลอดภัย ที่ตั้งข้อมูล และผู้รับเหมาช่วง ใบอนุญาตที่ถูกต้องบนกระดาษยังอาจไม่ผ่านการตรวจสอบความปลอดภัยของลูกค้าได้ หากลูกค้าอยู่ในธุรกิจประกันภัย คู่มือนายหน้าประกันภัยดิจิทัล ระบุว่าหน่วยงานกำกับดูแลใดออกใบอนุญาตกิจกรรมนั้นและต้องมีเงินทุนเท่าใด
หากแผนงานของท่านครอบคลุมไปถึงระบบควบคุมอุตสาหกรรมหรือโครงสร้างพื้นฐานสำคัญ โปรดอ่านคู่มือความปลอดภัยด้าน OT และโครงสร้างพื้นฐานสำคัญ ประกอบด้วย งานประเภทนี้มีคำถามเกี่ยวกับขอบเขตของตนเองโดยเฉพาะ
เลือกรูปแบบการดำเนินงานก่อน
รูปแบบธุรกิจทั้งสี่แบบมีลักษณะการดำเนินงานที่แตกต่างกัน ดังนั้นควรเลือกรูปแบบที่ตรงกับแผนงานมากที่สุดก่อนที่จะเลือกเขตอำนาจทางกฎหมาย (jurisdiction)
- ศูนย์ปฏิบัติการด้านความปลอดภัยแบบบริหารจัดการ (Managed SOC) เฝ้าติดตามสภาพแวดล้อมของลูกค้าอย่างต่อเนื่อง มีความเสี่ยงด้านการเปิดเผยข้อมูลสูงสุดและภาระด้านบุคลากรสูงสุด
- บริการทดสอบเจาะระบบ (penetration testing) และทีมแดง (red team) คือการทดสอบระบบเชิงรุก ความเสี่ยงอยู่ที่การได้รับอนุญาต ไม่ใช่ที่เครื่องมือที่ใช้
- การตอบสนองต่อเหตุการณ์ (incident response) และนิติวิทยาศาสตร์ดิจิทัล ครอบคลุมการจัดการพยานหลักฐาน การรักษาสายการควบคุมพยานหลักฐาน (chain of custody) และบางครั้งอาจต้องติดต่อกับหน่วยงานบังคับใช้กฎหมาย
- ซอฟต์แวร์ด้านความปลอดภัยพร้อมบริการสนับสนุนแบบบริหารจัดการที่เลือกใช้ได้ตามต้องการ เป็นบริษัทผลิตภัณฑ์ที่ค่อย ๆ เปลี่ยนไปสู่การให้บริการเมื่อลูกค้าขอความช่วยเหลือในการใช้งาน
ผู้ก่อตั้งหลายรายเริ่มต้นจากรูปแบบเดียวแล้วค่อยเพิ่มรูปแบบอื่นในภายหลัง ควรระบุเรื่องนี้ไว้ในแผนธุรกิจตั้งแต่ตอนนี้ เพราะคำอธิบายกิจกรรมที่เหมาะกับรูปแบบแรกเพียงอย่างเดียวอาจทำให้ต้องแก้ไขในภายหลัง
อำนาจเป็นหนังสือและการจัดการข้อมูล
ประเด็นสำคัญสองเรื่องเป็นตัวกำหนดงานส่วนใหญ่ในภาคธุรกิจนี้
อำนาจในการทดสอบหรือเข้าถึงระบบ การทดสอบระบบโดยไม่มีความยินยอมเป็นลายลักษณ์อักษรที่ชัดเจนจากเจ้าของระบบเป็นวิธีที่ชัดเจนที่สุดที่จะทำให้บริษัทด้านความปลอดภัยต้องรับผิด เอกสารกำหนดกฎการปฏิบัติงาน (rules of engagement) ระบุว่าจะทดสอบระบบใด ใช้เทคนิคใด วันที่ใด และใครในฝ่ายลูกค้าที่มีอำนาจสั่งหยุดงาน ควรร่างแม่แบบเอกสารเหล่านี้ก่อนทำสัญญาฉบับแรก ไม่ใช่ระหว่างดำเนินการ
ข้อมูลส่วนบุคคลและข้อมูลที่เป็นความลับ ข้อมูลเชิงเทคนิคด้านความปลอดภัย (telemetry) ดูเหมือนเป็นเรื่องทางเทคนิค แต่ในทางปฏิบัติมักมีชื่อผู้ใช้ ที่อยู่ IP เนื้อหาอีเมล และข้อมูลรับรองตัวตนปะปนอยู่ด้วย การมองว่าข้อมูลเหล่านี้ไม่อ่อนไหวเป็นความผิดพลาดที่พบได้บ่อย หน้าเว็บของรัฐบาลสหรัฐอาหรับเอมิเรตส์ว่าด้วยกฎหมายคุ้มครองข้อมูลเป็นจุดเริ่มต้นสำหรับระบบระดับสหพันธรัฐและระบบของฟรีโซน (free zone) ระบบใดจะมีผลบังคับใช้ขึ้นอยู่กับว่าบริษัทจัดตั้งอยู่ที่ใด และเจ้าของข้อมูลกับลูกค้าตั้งอยู่ที่ใด การเฝ้าติดตามข้ามพรมแดน ซึ่งนักวิเคราะห์นอกสหรัฐอาหรับเอมิเรตส์เข้าดูบันทึกข้อมูล (logs) ของลูกค้าในสหรัฐอาหรับเอมิเรตส์ ต้องมีคำตอบที่พิจารณาอย่างรอบคอบในเรื่องการโอนข้อมูล การควบคุมการเข้าถึง และความยินยอมของลูกค้า ควรให้ทนายความที่ได้รับใบอนุญาตประกอบวิชาชีพในสหรัฐอาหรับเอมิเรตส์ยืนยันสถานะทางกฎหมายสำหรับรูปแบบธุรกิจของท่านโดยเฉพาะ
ซับสแตนซ์ (substance) บุคลากร และตำแหน่ง
บริษัทด้านความปลอดภัยแบบบริหารจัดการเป็นธุรกิจที่ขับเคลื่อนด้วยบุคลากร และบริษัทที่ลงนามในสัญญากับลูกค้าควรเป็นผู้จ้างนักวิเคราะห์ ถือครองเครื่องมือ และรับผิดชอบกรมธรรม์ประกันความรับผิดทางวิชาชีพและการประกันภัยไซเบอร์ บริษัทแม่ในต่างประเทศหรือบริษัทที่ถือครองทรัพย์สินทางปัญญาอาจอยู่ที่ส่วนอื่นของกลุ่มบริษัทได้ แต่แต่ละบริษัทต้องมีบทบาทที่แท้จริง
ตัดสินใจเรื่องต่อไปนี้ก่อนยื่นคำขอ:
- นักวิเคราะห์จะประจำอยู่ในสหรัฐอาหรับเอมิเรตส์ นอกประเทศ หรือทั้งสองแห่ง และลูกค้าแต่ละรายอนุญาตให้ทำอะไรได้บ้าง
- ใครเป็นผู้ตรวจสอบคุณสมบัติของนักวิเคราะห์ และการเข้าถึงข้อมูลรับรองตัวตนของลูกค้าได้รับการอนุมัติ บันทึก และเพิกถอนอย่างไร
- บริษัทหรือลูกค้าเป็นผู้ถือครองข้อมูลรับรองตัวตนระดับสิทธิพิเศษ
- ผู้รับเหมาช่วงรายใดเข้าถึงข้อมูลของลูกค้า และสายการควบคุมพยานหลักฐาน (chain of custody) ได้รับการรักษาไว้อย่างไร
- ใครคือผู้นำอาวุโสด้านความปลอดภัยและการปฏิบัติตามกฎระเบียบที่ได้รับการแต่งตั้งอย่างเป็นทางการ
โควตาวีซ่าเป็นไปตามจำนวนบุคลากร ศูนย์ปฏิบัติการตลอด 24 ชั่วโมงต้องมีการจัดกะทำงาน ดังนั้นควรวางแผนตามอัตรากำลังจริง ไม่ใช่เฉพาะผู้ก่อตั้งเท่านั้น แผนธุรกิจและเอกสารประกอบ ควรแสดงอัตรากำลังดังกล่าวและรูปแบบการให้บริการที่อยู่เบื้องหลัง ต้นทุนถูกจัดเป็นชั้น ๆ และค่าบริการของบริษัทจะถูกระบุรายละเอียดไว้ในหนังสือข้อตกลงการให้บริการ (engagement letter) ตามที่ระบุไว้ในวิธีการทำงานของ Velarozone สำหรับภาคธุรกิจนี้ ชั้นต้นทุนที่ใหญ่ที่สุดมักเป็นเงินเดือน เครื่องมือ และประกันภัย ไม่ใช่ค่าใบอนุญาต
ธนาคารพิจารณาอะไร
ธนาคารมองว่าบริษัทด้านความปลอดภัยเป็นธุรกิจที่จัดการข้อมูลของบุคคลอื่น ก่อนยื่นคำขอ ท่านควรเตรียมแสดงสิ่งต่อไปนี้ให้พร้อม:
- แม่แบบเอกสารกำหนดกฎการปฏิบัติงาน (rules of engagement) และแม่แบบหนังสือยินยอม
- ขั้นตอนการตรวจสอบคุณสมบัตินักวิเคราะห์และการควบคุมการเข้าถึง
- ขั้นตอนการจัดการและการเก็บรักษาพยานหลักฐาน
- แนวทางปฏิบัติการตอบสนองต่อเหตุการณ์ (incident response playbook) และข้อผูกพันที่ให้ไว้กับลูกค้า
- ใบรับรองใด ๆ ที่มีอยู่ และแผนงานด้านการรับรองมาตรฐานในอนาคต
ลูกค้าและช่องทางการชำระเงินควรสอดคล้องกันทั้งในการนำเสนอธุรกิจ แบบจำลองทางการเงิน และเอกสารยื่นธนาคาร การเตรียมความพร้อมสำหรับบัญชีธนาคารนิติบุคคล จะง่ายขึ้นเมื่อมีการเขียนรูปแบบการให้บริการไว้แล้วอย่างชัดเจน ทั้งนี้ไม่ได้เป็นการรับประกันว่าจะได้เปิดบัญชี
ข้อผิดพลาดที่พบได้ทั่วไป
- การทดสอบโดยไม่มีอำนาจเป็นลายลักษณ์อักษรที่ชัดเจน ขอบเขตงานตกลงกันผ่านอีเมล แล้วลูกค้ากลับโต้แย้งในภายหลังว่าอะไรอยู่ในขอบเขตบ้าง
- การมองว่าข้อมูลเชิงเทคนิค (telemetry) ไม่อ่อนไหว บันทึกข้อมูล (logs) ถูกจัดเก็บหรือวิเคราะห์ในสถานที่ที่สัญญาของลูกค้าไม่อนุญาต
- การจัดบุคลากรนอกประเทศที่ขัดกับเงื่อนไขของลูกค้า ผู้ซื้อที่เชื่อมโยงกับภาครัฐต้องการบุคลากรในประเทศ แต่รูปแบบการให้บริการตั้งสมมติฐานไว้ตรงกันข้าม
- การให้คำมั่นว่าจะป้องกันได้ทั้งหมด สัญญาที่รับปากว่าจะหยุดการโจมตีได้ทุกครั้งถือเป็นความเสี่ยงด้านความรับผิด ข้อผูกพันด้านการตอบสนองที่วัดผลได้ เช่น ระยะเวลาในการคัดกรองเหตุการณ์ (triage) เป็นสิ่งที่สามารถยืนยันได้
- ไม่มีแผนรองรับกรณีพบกิจกรรมที่ผิดกฎหมายระหว่างปฏิบัติงาน บริษัทพบพยานหลักฐานของการกระทำผิดทางอาญา แต่ไม่มีขั้นตอนเป็นลายลักษณ์อักษรว่าจะแจ้งใครและเมื่อใด
