วิธีการตั้งบริษัท OT Cybersecurity หรือ บริษัท ความปลอดภัยโครงสร้างพื้นฐานที่สำคัญในสหรัฐอาหรับเอมิเรตส์

ใบอนุญาตการค้าจาก DET หรือหน่วยงานฟรีโซน (free zone) เป็นการจดทะเบียนกิจกรรมทางพาณิชย์ ลำพังแล้วใบอนุญาตนี้ไม่ได้บอกว่าบริษัทกำลังทำสิ่งที่ TDRA หรือ Cyber Security Council ถือว่าอยู่ภายใต้การกำกับดูแลหรือไม่ อำนาจหน้าที่ของ TDRA ครอบคลุมโครงข่ายโทรคมนาคม อุปกรณ์ และการเข้ารหัสของสหรัฐอาหรับเอมิเรตส์ บริษัทที่สร้าง ขายต่อ หรือดำเนินการด้านการเชื่อมต่อ หรือจัดหาอุปกรณ์เข้ารหัส จะเข้าอยู่ภายใต้อำนาจหน้าที่นั้น ไม่ว่าใบอนุญาตของตนจะเขียนไว้อย่างไรก็ตาม Cyber Security Council ก่อตั้งขึ้นเพื่อสร้างยุทธศาสตร์ความมั่นคงปลอดภัยทางไซเบอร์แห่งชาติของสหรัฐอาหรับเอมิเรตส์ และดำเนินนโยบาย Critical Information Infrastructure Protection ซึ่งกำหนดภาระผูกพันด้านความปลอดภัยขั้นพื้นฐานสำหรับผู้ดำเนินการโครงสร้างพื้นฐานสำคัญที่ได้รับการกำหนด ภาระผูกพันเหล่านี้ตกอยู่กับผู้ดำเนินการโครงสร้างพื้นฐาน แต่ส่งผลไปถึงผู้ให้บริการผ่านทางสัญญา ธนาคาร หน่วยงานไฟฟ้า หรือผู้ดำเนินการด้านการขนส่งที่เป็นนิติบุคคล CII ที่ได้รับการกำหนดเอง มักจะส่งต่อการควบคุมขั้นพื้นฐาน กฎการเข้าถึง และหน้าที่รายงานเหตุการณ์ของตนลงไปยังผู้จัดหาด้านความปลอดภัย OT ที่ตนทำสัญญาด้วย

คำถามเชิงปฏิบัติสำหรับผู้ก่อตั้งคือ งานที่เสนอนั้นเข้าข่ายกฎของหน่วยงานทั้งสามแห่งนี้แห่งใดจริง ๆ ซึ่งคล้ายกับคำถามที่ บริษัทด้านความปลอดภัยของอัตลักษณ์หรือการจัดการสิทธิ์การเข้าถึงระดับสูง ต้องตอบเกี่ยวกับสิทธิ์การเข้าถึงของตนเอง ธุรกิจที่ทำเพียงการประเมินหรือการตรวจสอบสถาปัตยกรรม โดยไม่มีการเข้าถึงระบบจริงและไม่มีอุปกรณ์เป็นของตนเอง อยู่ใกล้กับกิจกรรมเชิงพาณิชย์ทั่วไปมากที่สุด ส่วนธุรกิจที่ เฝ้าระวังเครือข่ายของลูกค้าอย่างต่อเนื่อง ถือการเชื่อมต่อระยะไกลแบบถาวร หรือจัดหาและกำหนดค่าเกตเวย์ จะเข้าใกล้ขอบเขตของ TDRA และสภา (Council) มากขึ้น เช่นเดียวกับที่ บริษัทด้านการเข้ารหัสลับหลังยุคควอนตัมหรือการสื่อสารที่ปลอดภัย ต้องจัดประเภทงานเข้ารหัสลับของตนเองก่อนจึงจะจัดประเภทใบอนุญาตได้

ทั้งขอบเขตอำนาจของ TDRA และกรอบ CIIP ของสภา (Council) ไม่สามารถสรุปเป็นค่าธรรมเนียมหรือประเภทใบอนุญาตเดียวที่เผยแพร่เป็นการทั่วไปได้ TDRA เป็นผู้พิจารณาเป็นรายกรณีว่าเครือข่าย อุปกรณ์ หรือกิจกรรมด้านการเข้ารหัสลับใดอยู่ภายใต้การกำกับดูแลด้านโทรคมนาคมหรือไม่ บริษัทที่ข้อเสนอของตนรวมถึงการเชื่อมต่อ การเฝ้าระวังที่สามารถดักข้อมูลได้ หรือฮาร์ดแวร์เข้ารหัสลับ ควรสอบถาม TDRA โดยตรง แทนที่จะอนุมานคำตอบจากสื่อการตลาดของคู่แข่ง นโยบาย CIIP ของ Cyber Security Council เป็นเครื่องมือที่ระบุสินทรัพย์สำคัญ กำหนดข้อกำหนดความปลอดภัยขั้นพื้นฐานสำหรับหน่วยงาน CII และดำเนินกลไกการกำกับดูแลและการบังคับใช้ที่เกี่ยวข้อง นโยบายนี้เขียนขึ้นสำหรับผู้ดำเนินการโครงสร้างพื้นฐาน ดังนั้นภาระผูกพันของผู้ขายภายใต้นโยบายนี้จึงเกิดจากสัญญา ไม่ใช่ใบอนุญาตแยกต่างหากที่ผู้ขายต้องยื่นขอเอง ภาระผูกพันด้านการคุ้มครองข้อมูลมีผลควบคู่ไปกับทั้งสองกรอบ บริษัทที่ประมวลผลข้อมูลส่วนบุคคลหรือข้อมูลเชิงปฏิบัติการเป็นส่วนหนึ่งของบริการเฝ้าระวังควรสามารถแสดงได้ว่า ข้อมูลนั้นถูกจัดเก็บไว้ที่ใด และใครเข้าถึงได้บ้าง ที่นี่ไม่ได้ระบุรหัสกิจกรรม ประเภทใบอนุญาต หรือตัวเลขทุนจดทะเบียนใด ๆ ซึ่งจะยืนยันกับเอกสารปัจจุบันของ TDRA และสภา (Council) ก่อนเลือกรูปแบบนิติบุคคล

ธนาคารหรือทีมจัดซื้อขององค์กรที่ตรวจสอบผู้ให้บริการความมั่นคงปลอดภัยด้าน OT จะไม่ได้ตรวจสอบงบดุลเป็นหลัก แต่จะตรวจสอบว่าใครสามารถเข้าถึงระบบควบคุมที่ใช้งานจริงของลูกค้าได้ ภายใต้อำนาจที่เป็นลายลักษณ์อักษรแบบใด และจะเกิดอะไรขึ้นเมื่อการเข้าถึงนั้นถูกใช้ในทางที่ผิดหรือถูกปล่อยปละละเลยไปเฉย ๆ ควรเตรียมรับคำถามเกี่ยวกับขอบเขตของข้อตกลงการเข้าถึงระยะไกลใด ๆ วิธีกำหนดระยะเวลาและเพิกถอนสิทธิ์การเข้าถึง มีการบันทึกล็อกอะไรบ้าง และพนักงานของบริษัทเองหรือผู้รับเหมาช่วงเป็นผู้ถือสิทธิ์การเข้าถึงนั้นจริงหรือไม่ การส่งต่อสิทธิ์โดยไม่มีการบันทึกเป็นลายลักษณ์อักษรแม้เพียงครั้งเดียวไปยังบริษัทแม่ บริษัทในเครือ หรือพันธมิตรผู้เชี่ยวชาญ มักเป็นสิ่งแรกที่ทำให้บทสนทนาการเปิดบัญชีหยุดชะงัก การสร้างหลักฐานดังกล่าวก่อนการประชุมกับธนาคารครั้งแรก แทนที่จะทำหลังจากได้รับใบอนุญาตการค้าแล้ว คือความแตกต่างที่งานความพร้อมด้านบัญชีธนาคารนิติบุคคลถูกออกแบบมาเพื่อปิดช่องว่างนี้

ลูกค้าด้าน OT และโครงสร้างพื้นฐานสำคัญจะมองข้ามทะเบียนผู้ถือหุ้นไปที่ตัวบุคคลที่จะเข้าถึงระบบของตนจริง ๆ หน่วยงานกำกับดูแล ธนาคาร หรือลูกค้าที่ตรวจสอบแฟ้มเอกสารจะต้องการเห็นบุคคลที่สามารถแสดงความสามารถด้านวิศวกรรม OT ได้ ไม่ใช่เพียงพื้นฐานด้านความมั่นคงปลอดภัยไอทีทั่วไป ก่อนที่งานตรวจสแกน เฝ้าติดตาม หรือเปลี่ยนแปลงใด ๆ บนสภาพแวดล้อมอุตสาหกรรมที่ใช้งานจริงจะได้รับการอนุมัติ ในกรณีที่โครงสร้างการถือหุ้นของบริษัทเองมีหลายชั้นของบริษัทโฮลดิง กองทุน หรือโครงสร้างครอบครัว สายโครงสร้างนั้นก็เป็นส่วนหนึ่งของแฟ้มเดียวกันที่ลูกค้าหรือธนาคารจะอ่าน และแนวทางการจัดโครงสร้างการถือหุ้นที่มีการกำกับดูแลและซับซ้อนถูกออกแบบมาสำหรับกรณีนี้โดยเฉพาะ แผนธุรกิจและเอกสารประกอบที่เป็นลายลักษณ์อักษรควรกำหนดไว้ในที่เดียวกัน ทั้งรูปแบบการดำเนินงาน ขอบเขตการเข้าถึง และบุคคลผู้ถือสิทธิ์นั้น

ประเด็นร่วมเป็นเรื่องเดียวกับที่ธุรกิจโครงสร้างพื้นฐานด้านการเชื่อมต่อต้องเผชิญ นั่นคือการเข้าใจผิดว่าใบอนุญาตการค้าที่ถูกต้องคือสิทธิ สัญญา และอำนาจทางเทคนิคที่การดำเนินงานในภาคส่วนนี้ต้องการจริง ๆ ใบอนุญาตคือส่วนที่ง่าย แต่ขอบเขตการเข้าถึงและอำนาจที่เป็นลายลักษณ์อักษรเบื้องหลังนั้นไม่ใช่

ใบอนุญาตการค้าเมนแลนด์ (mainland) มาตรฐานสำหรับธุรกิจที่ปรึกษาหรือกิจกรรมด้านเทคโนโลยีประเภทนี้เริ่มต้นที่ 14,000 AED ส่วนแพ็กเกจใบอนุญาตอย่างเดียวของฟรีโซน (free zone) อยู่ราว 5,000 ถึง 6,000 AED ตัวเลขทั้งสองไม่รวมวิศวกร สถานที่ที่มีความปลอดภัย โครงสร้างพื้นฐานสำหรับการทดสอบ หรือขีดความสามารถในการรับมือเหตุการณ์ที่รูปแบบการดำเนินงานต้องการจริง จำนวนวีซ่าควรสอดคล้องกับจำนวนวิศวกร OT และเจ้าหน้าที่ปฏิบัติการที่บริษัทวางแผนจะจ้างจริง ไม่ใช่จำนวนสมมติที่กำหนดไว้ ณ ตอนจัดตั้ง ใบอนุญาตและบัตรสถานประกอบการ (establishment card) ต้องต่ออายุทุกปี และบริษัทที่ถือครองอุปกรณ์ ศูนย์เฝ้าระวัง หรือห้องปฏิบัติการที่มีความปลอดภัยควรวางแผนการต่ออายุนี้ควบคู่กับสัญญาเช่าสถานที่ ไม่ใช่มองเป็นเหตุการณ์แยกต่างหาก ต้นทุนนอกเหนือจากตัวเลขเหล่านี้ประกอบขึ้นเป็นชั้น ๆ และค่าบริการ Velarozone จะระบุเป็นรายการในหนังสือข้อตกลงการให้บริการ ไม่ได้เผยแพร่เป็นตัวเลขหลัก