UAE'de Bir OT Siber Güvenlik veya Kritik Altyapı Güvenliği Şirketi Kurma

DET veya bir free zone otoritesinden alınan ticari lisans, ticari faaliyeti tescil eder. Bu, tek başına, şirketin TDRA veya Cyber Security Council'ın düzenlemeye tabi saydığı bir şey yapıp yapmadığını belirtmez. TDRA'nın yetki alanı, BAE'nin telekomünikasyon ağlarını, ekipmanlarını ve şifrelemesini kapsar; bağlantı hizmeti kuran, yeniden satan veya işleten ya da kriptografik ekipman tedarik eden bir şirket, lisansının nasıl ifade edildiğine bakılmaksızın bu yetki alanına girer. Cyber Security Council, BAE'nin ulusal siber güvenlik stratejisini oluşturmak amacıyla kurulmuştur ve belirlenmiş kritik altyapı işletmecileri için temel güvenlik yükümlülüklerini belirleyen Critical Information Infrastructure Protection politikasını yürütür. Bu yükümlülükler altyapı işletmecisinin üzerindedir, ancak sözleşme yoluyla tedarikçiye de ulaşır: kendisi belirlenmiş bir CII kuruluşu olan bir banka, kamu hizmeti kuruluşu veya ulaştırma işletmecisi, genellikle temel kontrollerini, erişim kurallarını ve olay bildirim yükümlülüklerini anlaştığı herhangi bir OT güvenlik tedarikçisine aktarır.

Bir kurucu için pratik soru, önerilen işin bu üç kurumun hangisinin kurallarına fiilen dokunduğudur; bu, bir kimlik güvenliği veya ayrıcalıklı erişim yönetimi şirketinin kendi erişim hakları konusunda yanıtlaması gereken soruya benzer. Canlı erişimi ve kendi ekipmanı olmayan saf bir değerlendirme veya mimari inceleme işi, olağan ticari faaliyete en yakın konumdadır. Bir müşterinin ağını sürekli izleyen, kalıcı bir uzaktan bağlantı bulunduran veya ağ geçitleri tedarik edip yapılandıran bir iş ise TDRA'nın ve Konsey'in alanına daha çok yaklaşır; tıpkı bir kuantum sonrası kriptografi veya güvenli iletişim şirketinin lisansını sınıflandırabilmesi için önce kendi kriptografik çalışmasını sınıflandırması gerektiği gibi.

Ne TDRA'nın yetki alanı ne de Konsey'in CIIP çerçevesi, genel olarak yayımlanabilecek tek bir ücret veya lisans kategorisine indirgenebilir. TDRA, belirli bir ağ, ekipman veya şifreleme faaliyetinin telekom düzenlemesinin kapsamına girip girmediğine her olayda ayrı ayrı karar verir; teklifinde bağlantı hizmeti, dinleme kabiliyetine sahip izleme veya kriptografik donanım bulunan bir şirket, yanıtı bir rakibin pazarlama malzemesinden çıkarmak yerine bu soruyu doğrudan TDRA'ya yöneltmelidir. Siber Güvenlik Konseyi'nin CIIP politikası ise kritik varlıkları belirleyen, CII kuruluşları için asgari güvenlik gereklilikleri koyan ve bunların çevresindeki denetim ve yaptırım mekanizmasını işleten araçtır; altyapı işletmecisi için yazılmıştır, dolayısıyla bir tedarikçinin bu politika kapsamındaki yükümlülükleri sözleşmeseldir ve tedarikçinin kendisinin başvurduğu ayrı bir lisans değildir. Veri koruma yükümlülükleri her ikisinin yanında yer alır: izleme hizmetinin bir parçası olarak kişisel veya operasyonel verileri işleyen bir şirket, bu verilerin nerede tutulduğunu ve bunlara kimin erişebildiğini gösterebilmelidir. Burada hiçbir faaliyet kodu, lisans kategorisi veya sermaye tutarı belirtilmemiştir; bunlar, bir şirket yapısı seçilmeden önce güncel TDRA ve Konsey materyaline karşı doğrulanır.

Bir OT güvenlik tedarikçisini değerlendiren bir banka veya kurumsal satın alma ekibi, öncelikle bilançoyu kontrol etmez. Bir müşterinin canlı kontrol sistemlerine kimin, hangi yazılı yetki altında erişebildiğini ve bu erişimin kötüye kullanılması veya basitçe unutulması durumunda ne olacağını kontrol eder. Herhangi bir uzaktan erişim düzenlemesinin kapsamı, erişimin nasıl süreyle sınırlandırılıp iptal edildiği, hangi günlük kayıtlarının bulunduğu ve erişimi fiilen şirketin kendi personelinin mi yoksa bir alt yüklenicinin mi elinde tuttuğuna ilişkin sorular beklenmelidir. Bir ana şirkete, bağlı kuruluşa veya uzman bir ortağa yapılan, belgelenmemiş tek bir devir, bir hesap açma görüşmesini durma noktasına getiren ilk şey olur genellikle. Bu kanıtı lisans verilmesinden sonra değil ilk banka görüşmesinden önce oluşturmak, kurumsal banka hesabı hazırlığı çalışmasının kapatmak için tasarlandığı farktır.

OT ve kritik altyapı müşterileri, hissedar sicilinin ötesine geçip sistemlerine fiilen dokunacak kişilere bakar. Bir düzenleyici, banka veya müşteri dosyayı incelerken, canlı bir endüstriyel ortamda herhangi bir tarama, izleme veya değişiklik çalışması onaylanmadan önce, genel bir BT güvenliği geçmişi değil, OT mühendisliği yetkinliği gösterebilen birini görmek isteyecektir. Şirketin kendi sahipliğinin birden fazla holding katmanı, fon veya aile yapısı üzerinden geçtiği durumlarda, bu zincir bir müşteri veya bankanın okuyacağı dosyanın bir parçasıdır ve düzenlemeye tabi ve karmaşık sahiplik kurulumu rotası tam olarak bu durum için tasarlanmıştır. Yazılı bir iş planı ve destekleyici belgeler, işletim modelini, erişim sınırını ve bunu elinde tutan kişileri bir yerde ortaya koymalıdır.

Ortak nokta, bir bağlantı altyapısı işletmesinin karşılaştığı noktayla aynıdır: geçerli bir ticari lisans, bu sektörde faaliyet göstermenin fiilen gerektirdiği izinler, sözleşmeler ve teknik yetkiyle karıştırılır. Lisans kolay kısımdır; erişim sınırı ve bunun arkasındaki yazılı yetki öyle değildir.

Bu tür bir danışmanlık veya teknoloji faaliyeti için standart bir mainland ticari lisansı AED 14.000'den başlar; yalnızca lisanstan oluşan bir free zone paketi ise yaklaşık AED 5.000 ile 6.000 arasında sunulur; her iki rakam da işletme modelinin fiilen ihtiyaç duyduğu mühendislik personelini, güvenli tesisleri, test altyapısını veya olay müdahale kapasitesini içermez. Vize kapasitesi, kuruluş aşamasında belirlenen kuramsal bir kadro sayısına göre değil, şirketin gerçekten işe almayı planladığı OT mühendisi ve operasyon personeli sayısına göre belirlenmelidir. Lisanslar ve establishment card yıllık olarak yenilenir; ekipman, izleme tesisi veya güvenli operasyon odası bulunduran bir şirket, bu yenilemeyi ayrı bir olay olarak ele almak yerine herhangi bir mekân kirası ile birlikte planlamalıdır. Bu rakamların ötesindeki maliyet katmanlar halinde oluşturulur ve Velarozone hizmet bedeli, başlık niteliğinde bir rakam olarak yayımlanmak yerine sözleşme mektubunda kalem kalem gösterilir.