Rehber
UAE'de Yönetilen Siber Güvenlik veya SOC Şirketi Kurma
Kısa yanıt
İşaret edilebilecek tek bir siber güvenlik lisansı yoktur. Bölgeniz veya emirliğiniz için lisanslandırma otoritesi ticari lisansı verir; UAE Cyber Security Council ile Telecommunications and Digital Government Regulatory Authority (TDRA) ise her biri kendi yetki alanındaki konulara karar verir. Rotayı en çok belirleyen husus, şirketin müşteri sistemlerine ve verilerine ayrıcalıklı erişime sahip olup olmayacağı ve bunun kimin yazılı yetkisi altında gerçekleşeceğidir.
Karar veren kim, ve her kurum neyi kapsar
Bu iş etrafında üç tür karar verici yer alır ve bunlar birbirleriyle düzgün biçimde örtüşmez.
Bölge veya emirlik için lisanslandırma otoritesi, ticari lisans üzerindeki faaliyeti onaylar. Bu, sıradan bir şirket kuruluşudur. Bir mainland şirketi ile bir free zone rotası arasındaki seçim, hizmet vermeniz gereken müşterilere ve analistlerinizin nerede konumlanacağına bağlıdır.
UAE Cyber Security Council ve TDRA, lisanslandırma otoritesinden ayrıdır. Her biri kendi yetki alanına giren konulara karar verir ve bir ticari lisans bunların hiçbirinin yerine geçmez. Güncel ve kesin gereklilikler, herhangi bir başvurudan önce varsayılmak yerine her bir otoriteyle teyit edilir.
Müşteri üçüncü karar vericidir ve uygulamada çoğu zaman en katı olanıdır. Düzenlemeye tabi müşteriler ve devletle bağlantılı alıcılar, personel, güvenlik izni, veri konumu ve alt yükleniciler konusunda kendi şartlarını koyar. Kâğıt üzerinde geçerli bir lisans, yine de bir müşterinin güvenlik uygunluk incelemesinde başarısız olabilir. Müşteri sigortacılık alanındaysa, InsurTech aracı rehberi faaliyeti hangi düzenleyicinin lisansladığını ve gereken sermayeyi ortaya koyar.
Planınız endüstriyel kontrol sistemlerini veya kritik altyapıyı da kapsıyorsa, OT ve kritik altyapı güvenliği rehberini de okuyun. Bu alanın kendine özgü sınır soruları vardır.
Önce işletme modelini seçin
Dört model birbirinden farklı işler, bu nedenle bir yargı bölgesi seçmeden önce planınızı en iyi tanımlayan modeli seçin.
- Yönetilen güvenlik operasyon merkezi. Müşteri ortamlarının sürekli izlenmesi. En yüksek veri maruziyeti, en yüksek personel yükü.
- Sızma testi ve red-team hizmetleri. Sistemlerin aktif olarak test edilmesi. Risk, araçlarda değil yetkilendirmede yatar.
- Olay müdahalesi ve dijital adli bilişim. Delil işleme, gözetim zinciri (chain of custody) ve zaman zaman kolluk kuvvetleriyle temas.
- İsteğe bağlı yönetilen destekle birlikte sunulan güvenlik yazılımı. Müşteriler yazılımı çalıştırmak için yardım istediğinde hizmet sunumuna doğru kayan bir ürün şirketi.
Birçok kurucu bunlardan birinde başlar ve daha sonra bir diğerini ekler. Bunu şimdiden iş planında belirtin, çünkü yalnızca ilk modele uyan bir faaliyet tanımı sonradan bir değişiklik yapılmasını zorunlu kılabilir.
Yazılı yetki ve veri işleme
Bu sektörde işin büyük kısmını iki konu belirler.
Test etme veya erişim yetkisi. Bir sistemi, sahibinden kesin ve yazılı bir onay almadan test etmek, bir güvenlik şirketinin sorumluluk doğurmasının en açık yoludur. Rules-of-engagement (çalışma kuralları) belgesi; hangi sistemlerin, hangi tekniklerin, hangi tarihlerin test edileceğini ve müşteri tarafında çalışmayı kimin durdurabileceğini tanımlar. Bu şablonları ilk sözleşmeden önce hazırlayın, sözleşme sürerken değil.
Kişisel ve gizli veriler. Güvenlik telemetri verisi teknik görünür, ancak rutin olarak kullanıcı adları, IP adresleri, e-posta içeriği ve kimlik bilgileri taşır. Bunu hassas olmayan veri olarak ele almak yaygın bir hatadır. BAE Hükûmeti'nin veri koruma mevzuatına ilişkin sayfası, federal ve free zone rejimleri için başlangıç noktasıdır. Hangi rejimin uygulanacağı, şirketin nerede kurulduğuna ve veri sahiplerinin ve müşterilerin nerede bulunduğuna bağlıdır. Sınır ötesi izleme, yani BAE dışındaki bir analistin bir BAE müşterisinin kayıtlarını (log) görüntülemesi, aktarım, erişim kontrolü ve müşteri rızası konusunda bilinçli bir yanıt gerektirir. Tam olarak sizin kurulumunuz için durumu, BAE'de çalışma yetkisine sahip avukatlara teyit ettirin.
Substance, personel ve pozisyonlar
Yönetilen bir güvenlik şirketi, insan odaklı bir iştir ve müşteri sözleşmelerini imzalayan şirket; analistleri istihdam etmeli, araçları elinde bulundurmalı ve mesleki sorumluluk ile siber sigortasını taşımalıdır. Yurt dışındaki bir ana şirket veya bir fikri mülkiyet şirketi grubun başka bir yerinde konumlanabilir, ancak her birinin gerçek bir rolü olması gerekir.
Başvurmadan önce şunlara karar verin:
- Analistlerin BAE'de mi, offshore'da mı yoksa her ikisinde mi konumlanacağı ve her müşterinin neye izin verdiği.
- Analistleri kimin incelediği (vetting) ve müşteri kimlik bilgilerine erişimin nasıl verildiği, kaydedildiği ve iptal edildiği.
- Ayrıcalıklı kimlik bilgilerini şirketin mi yoksa müşterinin mi elinde tuttuğu.
- Hangi alt yüklenicilerin müşteri verisine temas ettiği ve gözetim zincirinin nasıl korunduğu.
- İsmen belirlenmiş kıdemli güvenlik ve uyum liderinin kim olduğu.
Vize kapasitesi personel sayısına göre belirlenir. Kesintisiz çalışan bir SOC, vardiya kapsamasına ihtiyaç duyar; bu yüzden planlamayı yalnızca kurucular üzerinden değil, gerçek kadro üzerinden yapın. İş planı ve destekleyici belgeler, bu kadroyu ve arkasındaki teslimat modelini göstermelidir. Maliyet katmanlar hâlinde oluşur ve firmanın ücreti, Velarozone nasıl çalışır bölümünde açıklandığı gibi sözleşme mektubunda kalem kalem belirtilir. Bu sektörde en büyük katman genellikle lisans değil, bordro, araçlar ve sigortadır.
Bir bankanın dikkat ettiği unsurlar
Bankalar, bir güvenlik şirketini başkalarının verisini işleyen bir iş olarak değerlendirir. Başvurmadan önce şunları gösterebilecek durumda olun:
- Rules-of-engagement (çalışma kuralları) ve onay şablonları.
- Analist inceleme (vetting) ve erişim kontrolü prosedürleri.
- Delil işleme ve saklama prosedürleri.
- Olay müdahale kılavuzları (playbook) ve müşterilere verilen taahhütler.
- Sahip olunan sertifikalar ve güvence yol haritası.
Müşteriler ve ödeme rotaları; sunumda, finansal modelde ve banka dosyasında birbiriyle örtüşmelidir. Teslimat modeli önceden yazılı hâle getirildiğinde kurumsal banka hesabına hazır olma daha kolay olur. Bu bir hesabı garanti etmez.
Yaygın olarak nerede hata yapılır
- Kesin yazılı yetkilendirme olmadan test yapmak. Kapsam bir e-posta yazışması üzerinden kararlaştırılmıştı ve müşteri daha sonra nelerin kapsama dahil olduğuna itiraz ediyor.
- Telemetriyi hassas olmayan veri olarak ele almak. Günlükler, müşterinin sözleşmesinin izin vermediği bir yerde saklanıyor veya analiz ediliyor.
- Müşteri şartlarına aykırı şekilde yurt dışından personel kullanmak. Devletle bağlantılı bir alıcı yerel personel talep ediyor, ancak hizmet sunum modeli bunun aksini varsaymış.
- Önleme vaadinde bulunmak. Her saldırıyı durduracağını vaat eden sözleşmeler bir sorumluluk riskidir. Triyaj süresi gibi ölçülebilir müdahale taahhütleri ise savunulabilir niteliktedir.
- Çalışma sırasında tespit edilen yasa dışı faaliyetler için bir plan bulunmaması. Şirket bir suça dair kanıt bulur, ancak kime ve ne zaman bilgi verileceğine dair yazılı bir prosedürü yoktur.
