Як створити компанію з кібербезпеки OT або безпеки критично важливої інфраструктури в ОАЕ

Торгова ліцензія від DET чи органу вільної зони (free zone) реєструє господарську діяльність. Сама по собі вона не визначає, чи займається компанія чимось, що TDRA або Рада з кібербезпеки вважають регульованим. Компетенція TDRA охоплює телекомунікаційні мережі, обладнання та шифрування в ОАЕ; компанія, яка створює, перепродає чи експлуатує засоби зв'язку або постачає криптографічне обладнання, потрапляє в цю сферу незалежно від формулювання її ліцензії. Рада з кібербезпеки (Cyber Security Council) була створена для розробки національної стратегії кібербезпеки ОАЕ і впроваджує політику захисту критичної інформаційної інфраструктури (CIIP), яка встановлює базові вимоги безпеки для операторів визначеної критичної інфраструктури. Ці зобов'язання покладаються на оператора інфраструктури, але вони доходять до постачальника через договір: банк, енергопостачальна компанія чи транспортний оператор, які самі є визначеним суб'єктом CII, зазвичай перекладають свої базові заходи контролю, правила доступу та обов'язки щодо повідомлення про інциденти на будь-якого постачальника послуг безпеки OT, якого вони залучають.

Практичне питання для засновника: правил яких із цих трьох органів реально торкається запропонована робота, подібно до питання, на яке має відповісти компанія з безпеки ідентифікації чи керування привілейованим доступом щодо власних прав доступу. Чисто оціночний чи архітектурно-оглядовий бізнес без живого доступу та власного обладнання найближчий до звичайної комерційної діяльності. Бізнес, який безперервно відстежує мережу клієнта, тримає постійне віддалене з'єднання або постачає й налаштовує шлюзи, ближчий до території TDRA та Ради, так само як компанія з постквантової криптографії чи захищеного зв'язку має класифікувати власну криптографічну роботу, перш ніж класифікувати свою ліцензію.

Ні сфера повноважень TDRA, ні рамка CIIP Ради не зводиться до єдиного збору чи категорії ліцензії, які можна опублікувати узагальнено. TDRA вирішує в кожному випадку, чи потрапляє певна діяльність щодо мережі, обладнання чи шифрування під регулювання телекомунікацій; компанії, чия пропозиція включає підключення, моніторинг з можливістю перехоплення чи криптографічне апаратне забезпечення, слід поставити це питання безпосередньо TDRA, а не робити висновок із маркетингу конкурента. Політика CIIP Ради з кібербезпеки є інструментом, що визначає критичні активи, встановлює базові вимоги безпеки для суб'єктів CII та запускає механізм нагляду й примусу навколо них; вона написана для оператора інфраструктури, тому зобов'язання постачальника за нею є договірними, а не окремою ліцензією, яку постачальник сам оформлює. Зобов'язання щодо захисту даних діють поряд з обома: компанія, що обробляє персональні чи операційні дані в рамках послуги моніторингу, має вміти показати, де зберігаються ці дані і хто має до них доступ. Код діяльності, категорія ліцензії чи розмір капіталу тут не зазначені; їх підтверджують за чинними матеріалами TDRA та Ради до вибору маршруту юридичної особи.

Банк або команда закупівель підприємства, яка перевіряє постачальника послуг безпеки OT, насамперед не аналізує баланс. Вона перевіряє, хто може отримати доступ до живих систем керування клієнта, на підставі якого письмового повноваження, і що відбувається, коли цей доступ використовується неналежним чином або про нього просто забувають. Слід очікувати запитань про межі будь-якої угоди про дистанційний доступ, про те, як доступ обмежується в часі та відкликається, яке ведеться журналювання, і чи доступ фактично тримають власні працівники компанії, чи субпідрядник. Один незадокументований перехід доступу до материнської компанії, афілійованої особи чи спеціалізованого партнера зазвичай є першим, що зупиняє розмову про відкриття рахунку. Формування таких доказів до першої зустрічі з банком, а не після видачі ліцензії, саме та різниця, яку покликана усунути робота з готовності до відкриття корпоративного банківського рахунку.

Клієнти у сфері OT та критичної інфраструктури дивляться не лише на реєстр акціонерів, а на людей, які реально матимуть справу з їхніми системами. Регулятор, банк чи клієнт, що розглядає справу, захоче побачити фахівця, який може підтвердити інженерну компетенцію саме в OT, а не лише загальний досвід у сфері IT-безпеки, перш ніж буде погоджено будь-яке сканування, моніторинг чи зміни в живому промисловому середовищі. Якщо власна структура володіння компанії проходить через кілька рівнів холдингів, фондів чи сімейних структур, цей ланцюжок є частиною тієї самої справи, яку читатиме клієнт чи банк, і рішення для регульованої та складної структури володіння створене саме для такого випадку. Письмовий бізнес-план і супровідна документація повинні в одному документі викладати операційну модель, межі доступу та осіб, які цей доступ мають.

Спільна проблема та сама, з якою стикається бізнес у сфері інфраструктури зв'язку: чинну торгову ліцензію помилково сприймають за дозволи, договори та технічні повноваження, які реально потрібні для роботи в цьому секторі. Ліцензія: це найпростіша частина; межі доступу та письмові повноваження, що стоять за ними, ні.

Стандартна торгова ліцензія мейнленд (mainland) для такого виду консалтингової або технологічної діяльності починається від 14 000 AED, а пакет вільної зони (free zone) лише з ліцензією доступний приблизно від 5 000 до 6 000 AED; жодна з цих сум не включає інженерний персонал, захищені приміщення, тестову інфраструктуру чи спроможність реагувати на інциденти, потрібні операційній моделі. Кількість віз має відповідати кількості інженерів з операційних технологій (OT) і персоналу експлуатації, яких компанія реально планує найняти, а не умовній чисельності, визначеній під час створення компанії. Ліцензії та картки установи (establishment card) продовжуються щороку, і компанії, що володіє обладнанням, центром моніторингу або захищеним операційним залом, слід планувати це продовження разом із будь-якою орендою приміщень, а не вважати його окремою подією. Витрати понад ці суми формуються поетапно, а плата за послуги Velarozone деталізується в листі-угоді про умови надання послуг, а не публікується як підсумкова цифра.