Посібник
Налаштування керованої компанії з кібербезпеки або SOC в ОАЕ
Коротка відповідь
Єдиної ліцензії на кібербезпеку, на яку можна було б вказати, не існує. Орган ліцензування вашої зони чи емірату видає торгову ліцензію, тоді як UAE Cyber Security Council та Telecommunications and Digital Government Regulatory Authority (TDRA) кожен вирішує питання в межах власної компетенції. Найчастіше вибір маршруту визначається тим, чи матиме компанія привілейований доступ до систем і даних клієнта, і на підставі чийого письмового дозволу.
Хто приймає рішення, і що охоплює кожен орган
Навколо цього бізнесу є три типи осіб, що ухвалюють рішення, і їхні повноваження не перетинаються чітко.
Орган ліцензування зони чи емірату затверджує вид діяльності в торговій ліцензії. Це звичайне створення компанії. Вибір між компанією мейнленду (mainland) та маршрутом вільної зони (free zone) залежить від клієнтів, яких вам потрібно обслуговувати, та від того, де будуть розташовані ваші аналітики.
UAE Cyber Security Council та TDRA є окремими від органу ліцензування. Кожен з них вирішує, що належить до його власної компетенції, і комерційна ліцензія не замінює жодного з них. Точні чинні вимоги підтверджуються в кожному органі влади до подання будь-яких документів, а не припускаються.
Клієнт є третім ухвалювачем рішень і на практиці часто найсуворішим. Регульовані клієнти та покупці, пов'язані з державою, встановлюють власні умови щодо персоналу, допуску, розташування даних і субпідрядників. Ліцензія, дійсна на папері, все одно може не пройти перевірку безпеки клієнта. Якщо клієнт працює в страхуванні, посібник про InsurTech-брокера пояснює, який регулятор ліцензує діяльність і який потрібен капітал.
Якщо ваш план поширюється на системи промислового контролю чи критичну інфраструктуру, ознайомтеся також із посібником з безпеки операційних технологій (OT) та критичної інфраструктури. Ця сфера діяльності має власні питання щодо меж регулювання.
Спочатку оберіть операційну модель
Ці чотири моделі поводяться по-різному, тому оберіть ту, яка найточніше описує план, перш ніж обирати юрисдикцію.
- Керований центр моніторингу безпеки (SOC). Безперервний моніторинг середовищ клієнтів. Найвищий рівень доступу до даних, найбільше навантаження на персонал.
- Тестування на проникнення та послуги команди з імітації атак (red team). Активне тестування систем. Ризик полягає в авторизації, а не в інструментарії.
- Реагування на інциденти та цифрова криміналістика. Поводження з доказами, ланцюг зберігання доказів (chain of custody) і, іноді, контакт із правоохоронними органами.
- Програмне забезпечення для безпеки з опціональною керованою підтримкою. Продуктова компанія, яка поступово переходить до надання послуг, коли клієнти просять допомоги з його експлуатацією.
Багато засновників починають з однієї моделі, а пізніше додають іншу. Вкажіть це в бізнес-плані вже зараз, оскільки опис виду діяльності, що відповідає лише першій моделі, може змусити вносити зміни пізніше.
Письмова згода та обробка даних
У цьому секторі основну роль відіграють два питання.
Повноваження на тестування або доступ. Тестування системи без чіткої письмової згоди її власника це найпростіший спосіб для компанії з безпеки створити для себе відповідальність. Документ про правила взаємодії (rules of engagement) визначає, які системи, які методи, які дати та хто з боку клієнта може зупинити роботу. Розробіть ці шаблони до укладення першого контракту, а не під час нього.
Персональні та конфіденційні дані. Телеметрія безпеки виглядає технічною, але вона регулярно містить імена користувачів, IP-адреси, вміст електронної пошти та облікові дані. Поширеною помилкою є ставлення до них як до несуттєвих. Сторінка уряду ОАЕ про закони захисту даних є відправною точкою для федерального режиму та режиму вільних зон (free zone). Який режим застосовується, залежить від того, де заснована компанія та де перебувають суб'єкти даних і клієнти. Транскордонний моніторинг, коли аналітик за межами ОАЕ переглядає журнали клієнта з ОАЕ, потребує продуманої відповіді щодо передачі даних, контролю доступу та згоди клієнта. Залучіть юристів, ліцензованих практикувати в ОАЕ, щоб підтвердити позицію для вашої конкретної конфігурації.
Економічна присутність (substance), персонал та ролі
Компанія з надання керованих послуг безпеки це бізнес, що залежить від людей, і компанія, яка підписує контракти з клієнтами, повинна наймати аналітиків, володіти інструментарієм та мати страхування професійної відповідальності й кіберстрахування. Закордонна материнська компанія або компанія з управління інтелектуальною власністю можуть перебувати в іншому місці групи, але кожна з них повинна мати справжню роль.
Визначте це до подання заявки:
- Чи перебувають аналітики в ОАЕ, за кордоном, чи і там, і там, та що дозволяє кожен клієнт.
- Хто перевіряє аналітиків і як надається, фіксується та відкликається доступ до облікових даних клієнта.
- Чи утримує привілейовані облікові дані компанія, чи клієнт.
- Які субпідрядники мають доступ до даних клієнта і як підтримується ланцюг зберігання доказів (chain of custody).
- Хто є призначеним старшим відповідальним за безпеку та відповідність вимогам.
Візова квота визначається чисельністю персоналу. Цілодобовий SOC потребує змінного покриття, тому плануйте виходячи з реального штату, а не лише із засновників. Бізнес-план і супровідні документи мають відображати цей штат і модель надання послуг, що стоїть за ним. Вартість формується пошарово, і плата компанії детально вказана в листі-угоді про умови надання послуг, як викладено в тому, як працює Velarozone. У цьому секторі найбільшим шаром зазвичай є заробітна плата, інструментарій і страхування, а не ліцензія.
На що звертає увагу банк
Банки сприймають компанію з безпеки як бізнес, що працює з чужими даними. Перед поданням заявки будьте готові показати:
- Шаблони правил взаємодії (rules of engagement) та форми згоди.
- Процедури перевірки аналітиків та контролю доступу.
- Процедури поводження з доказами та їх зберігання.
- Плани реагування на інциденти (incident response) та зобов'язання перед клієнтами.
- Наявні сертифікати та дорожня карта забезпечення (assurance).
Клієнти та платіжні маршрути повинні збігатися в презентації, фінансовій моделі та банківському досьє. Готовність до відкриття корпоративного банківського рахунку є простішою, коли модель надання послуг вже чітко описана. Це не гарантує відкриття рахунку.
Що найчастіше йде не так
- Тестування без чіткого письмового дозволу (authority). Обсяг робіт узгоджено в електронному листуванні, а клієнт згодом заперечує, що саме було охоплено.
- Ставлення до телеметрії як до не чутливих даних. Журнали (логи) зберігаються або аналізуються там, де це не дозволено договором із клієнтом.
- Залучення офшорного персоналу всупереч умовам клієнта. Покупець, пов'язаний з державними структурами, вимагає місцевого персоналу, а модель надання послуг передбачала інше.
- Обіцянки запобігання. Договори, що обіцяють зупинити кожну атаку, є джерелом відповідальності (liability). Вимірювані зобов'язання щодо реагування, наприклад час до первинної оцінки (triage), є обґрунтованими.
- Відсутність плану дій на випадок виявлення протиправної діяльності під час роботи. Компанія виявляє докази злочину, але не має письмової процедури щодо того, кого і коли слід повідомити.
