رہنما کتاب
متحدہ عرب امارات میں منظم سائبر سیکیورٹی یا SOC کمپنی قائم کرنا
مختصر جواب
اشارہ کرنے کے لیے کوئی ایک مخصوص سائبر سیکیورٹی لائسنس موجود نہیں ہے۔ آپ کے زون یا امارت کی لائسنسنگ اتھارٹی کمرشل لائسنس جاری کرتی ہے، جبکہ UAE Cyber Security Council اور Telecommunications and Digital Government Regulatory Authority (TDRA) ہر ایک اپنے اپنے دائرہ کار کے اندر معاملات کا فیصلہ کرتی ہیں۔ اکثر یہ بات راستے کا تعین کرتی ہے کہ آیا کمپنی کسٹمر کے نظام اور ڈیٹا تک مراعات یافتہ رسائی رکھے گی، اور کس کی تحریری اجازت کے تحت۔
فیصلہ کون کرتا ہے، اور ہر اتھارٹی کیا احاطہ کرتی ہے
اس کاروبار کے اردگرد تین قسم کے فیصلہ ساز موجود ہوتے ہیں، اور ان کے دائرہ کار صاف طور پر ایک دوسرے سے نہیں ملتے۔
زون یا امارت کی لائسنسنگ اتھارٹی کمرشل لائسنس پر درج سرگرمی کی منظوری دیتی ہے۔ یہ محض عام کمپنی کی تشکیل ہے۔ ایک مین لینڈ (mainland) کمپنی اور ایک فری زون (free zone) راستے کے درمیان انتخاب اس بات پر منحصر ہے کہ آپ کو کن کسٹمرز کی خدمت کرنی ہے اور آپ کے تجزیہ کار کہاں بیٹھیں گے۔
UAE Cyber Security Council اور TDRA لائسنسنگ اتھارٹی سے الگ ہیں۔ ہر ایک یہ طے کرتی ہے کہ کیا اس کے اپنے دائرہ کار میں آتا ہے، اور کمرشل لائسنس ان میں سے کسی کا متبادل نہیں بن سکتا۔ موجودہ درست تقاضوں کی تصدیق کسی بھی فائلنگ سے پہلے ہر اتھارٹی سے کی جاتی ہے، فرض نہیں کی جاتی۔
گاہک تیسرا فیصلہ ساز ہے، اور عملاً اکثر سب سے سخت۔ ریگولیٹڈ گاہک اور حکومت سے منسلک خریدار عملے، کلیئرنس، ڈیٹا کے مقام اور ذیلی ٹھیکیداروں کے بارے میں اپنی شرائط خود طے کرتے ہیں۔ کاغذ پر درست لائسنس بھی گاہک کی سیکیورٹی جانچ میں ناکام ہو سکتا ہے۔ جہاں گاہک انشورنس کے شعبے میں ہو، وہاں انشورٹیک بروکر گائیڈ بتاتی ہے کہ سرگرمی کا لائسنس کون سا ریگولیٹر دیتا ہے اور کتنا سرمایہ درکار ہے۔
اگر آپ کا منصوبہ انڈسٹریل کنٹرول سسٹمز یا کریٹیکل انفراسٹرکچر تک وسعت رکھتا ہے، تو OT اور کریٹیکل انفراسٹرکچر سیکیورٹی گائیڈ بھی پڑھیں۔ اس کام کے اپنے حدود (perimeter) سے متعلق سوالات ہیں۔
پہلے آپریٹنگ ماڈل منتخب کریں
چاروں ماڈلز مختلف انداز میں کام کرتے ہیں، اس لیے دائرہ اختیار منتخب کرنے سے پہلے وہ ماڈل چنیں جو منصوبے کی سب سے قریب سے عکاسی کرتا ہو۔
- منیجڈ سیکیورٹی آپریشنز سینٹر۔ کسٹمر کے ماحول کی مسلسل نگرانی۔ سب سے زیادہ ڈیٹا ایکسپوژر، سب سے زیادہ افرادی قوت کا بوجھ۔
- پینیٹریشن ٹیسٹنگ اور ریڈ ٹیم خدمات۔ نظاموں کی فعال جانچ۔ خطرہ اجازت نامے میں ہوتا ہے، اوزاروں میں نہیں۔
- انسیڈنٹ رسپانس اور ڈیجیٹل فارنزکس۔ شواہد کی ہینڈلنگ، چین آف کسٹڈی اور، کبھی کبھار، قانون نافذ کرنے والے اداروں سے رابطہ۔
- اختیاری منیجڈ سپورٹ کے ساتھ سیکیورٹی سافٹ ویئر۔ ایک پروڈکٹ کمپنی جو سروس ڈیلیوری کی طرف مائل ہو جاتی ہے جب کسٹمرز اسے چلانے میں مدد مانگتے ہیں۔
بہت سے بانی ایک ماڈل سے شروع کرتے ہیں اور بعد میں دوسرا شامل کر لیتے ہیں۔ یہ بات ابھی بزنس پلان میں درج کریں، کیونکہ ایسی سرگرمی کی تفصیل جو صرف پہلے ماڈل سے مطابقت رکھتی ہو، ترمیم پر مجبور کر سکتی ہے۔
تحریری اختیار اور ڈیٹا ہینڈلنگ
اس شعبے میں زیادہ تر کام دو مسائل طے کرتے ہیں۔
ٹیسٹ یا رسائی کی اجازت۔ مالک کی درست تحریری رضامندی کے بغیر کسی نظام کی جانچ کرنا، سیکیورٹی کمپنی کے لیے ذمہ داری پیدا کرنے کا واضح ترین طریقہ ہے۔ رولز آف اینگیجمنٹ کی دستاویز یہ طے کرتی ہے کہ کون سے نظام، کون سی تکنیکیں، کون سی تاریخیں، اور کسٹمر کی جانب سے کون کام روک سکتا ہے۔ یہ ٹیمپلیٹس پہلے معاہدے سے پہلے تیار کر لیں، اس کے دوران نہیں۔
ذاتی اور خفیہ ڈیٹا۔ سیکیورٹی ٹیلی میٹری تکنیکی نظر آتی ہے، لیکن اس میں معمول کے طور پر یوزر نیمز، آئی پی ایڈریسز، ای میل کا مواد اور کریڈینشلز شامل ہوتے ہیں۔ اسے غیر حساس سمجھنا ایک عام غلطی ہے۔ UAE حکومت کا ڈیٹا پروٹیکشن قوانین سے متعلق صفحہ وفاقی اور فری زون (free zone) نظاموں کے لیے نقطہ آغاز ہے۔ کون سا نظام لاگو ہوتا ہے یہ اس بات پر منحصر ہے کہ کمپنی کہاں قائم ہے اور ڈیٹا سبجیکٹس اور کسٹمرز کہاں موجود ہیں۔ سرحد پار نگرانی، جہاں UAE سے باہر موجود کوئی تجزیہ کار UAE کے کسی کسٹمر کے لاگز دیکھتا ہے، کو منتقلی، رسائی کے کنٹرول اور کسٹمر کی رضامندی کے بارے میں سوچا سمجھا جواب درکار ہوتا ہے۔ اپنے مخصوص سیٹ اپ کے لیے UAE میں پریکٹس کرنے کے لائسنس یافتہ وکلا سے پوزیشن کی تصدیق کروائیں۔
سبسٹنس (substance)، عملہ اور کردار
ایک منیجڈ سیکیورٹی کمپنی بنیادی طور پر افراد پر مبنی کاروبار ہے، اور وہ کمپنی جو کسٹمر کے معاہدوں پر دستخط کرتی ہے اسے تجزیہ کاروں کو ملازم رکھنا چاہیے، اوزار اپنے پاس رکھنے چاہئیں اور پروفیشنل انڈیمنٹی اور سائبر کور رکھنا چاہیے۔ ایک بیرونِ ملک پیرنٹ کمپنی یا دانشورانہ املاک کی کمپنی گروپ میں کہیں اور موجود ہو سکتی ہے، لیکن ہر ایک کا ایک حقیقی کردار ہونا ضروری ہے۔
درخواست دینے سے پہلے ان باتوں کا فیصلہ کریں:
- آیا تجزیہ کار UAE میں بیٹھتے ہیں، آف شور یا دونوں جگہ، اور ہر کسٹمر کیا اجازت دیتا ہے۔
- تجزیہ کاروں کی جانچ پڑتال کون کرتا ہے، اور کسٹمر کے کریڈینشلز تک رسائی کیسے دی جاتی، لاگ کی جاتی اور منسوخ کی جاتی ہے۔
- آیا مراعات یافتہ کریڈینشلز کمپنی کے پاس ہیں یا کسٹمر کے پاس۔
- کون سے ذیلی ٹھیکیدار کسٹمر کے ڈیٹا تک رسائی رکھتے ہیں، اور چین آف کسٹڈی کیسے برقرار رکھی جاتی ہے۔
- نامزد سینئر سیکیورٹی اور کمپلائنس لیڈ کون ہے۔
ویزا کی گنجائش افرادی قوت کی تعداد کے مطابق ہوتی ہے۔ ایک چوبیس گھنٹے کام کرنے والے SOC کو شفٹ کوریج درکار ہوتی ہے، اس لیے اصل روسٹر کے مطابق منصوبہ بندی کریں، صرف بانیوں کے مطابق نہیں۔ بزنس پلان اور معاون دستاویزات کو وہ روسٹر اور اس کے پیچھے کا ڈیلیوری ماڈل ظاہر کرنا چاہیے۔ لاگت تہوں میں تشکیل پاتی ہے، اور فرم کی فیس اینگیجمنٹ لیٹر میں تفصیل سے درج ہوتی ہے، جیسا کہ Velarozone کیسے کام کرتا ہے میں بیان کیا گیا ہے۔ اس شعبے میں سب سے بڑی تہہ عام طور پر تنخواہیں، اوزار اور انشورنس ہوتی ہے، لائسنس نہیں۔
بینک کس چیز پر توجہ دیتا ہے
بینک ایک سیکیورٹی کمپنی کو ایسے کاروبار کے طور پر دیکھتے ہیں جو دوسرے لوگوں کے ڈیٹا کو ہینڈل کرتا ہے۔ درخواست دینے سے پہلے، یہ دکھانے کے لیے تیار رہیں:
- رولز آف اینگیجمنٹ اور رضامندی کے ٹیمپلیٹس۔
- تجزیہ کاروں کی جانچ پڑتال اور رسائی کے کنٹرول کے طریقہ کار۔
- شواہد کی ہینڈلنگ اور ریٹینشن کے طریقہ کار۔
- انسیڈنٹ رسپانس پلے بکس اور کسٹمرز سے کیے گئے وعدے۔
- کوئی بھی حاصل کردہ سرٹیفیکیشنز اور اشورنس روڈ میپ۔
گاہکوں اور ادائیگی کے ذرائع کو پچ، مالیاتی ماڈل اور بینک فائل میں ایک دوسرے سے مطابقت رکھنی چاہیے۔ جب ڈیلیوری ماڈل پہلے سے تحریری طور پر طے شدہ ہو تو کارپوریٹ بینک اکاؤنٹ کی تیاری آسان ہو جاتی ہے۔ یہ اکاؤنٹ کی ضمانت نہیں دیتا۔
عام طور پر کیا غلط ہو جاتا ہے
- درست تحریری اختیار کے بغیر ٹیسٹنگ کرنا۔ دائرہ کار پر ای میل تھریڈ میں اتفاق کیا گیا تھا، اور گاہک بعد میں اس بات پر اختلاف کرتا ہے کہ کیا شامل تھا۔
- ٹیلی میٹری کو غیر حساس سمجھنا۔ لاگز کو ایسی جگہ محفوظ یا تجزیہ کیا جاتا ہے جس کی گاہک کا معاہدہ اجازت نہیں دیتا۔
- گاہک کی شرائط کے برخلاف آف شور اسٹافنگ۔ حکومت سے منسلک خریدار مقامی عملے کا تقاضا کرتا ہے، جبکہ ڈیلیوری ماڈل میں اس کے برعکس فرض کیا گیا تھا۔
- روک تھام کا وعدہ کرنا۔ وہ معاہدے جو ہر حملے کو روکنے کا وعدہ کرتے ہیں خود ایک خطرہ ہیں۔ قابلِ پیمائش ردعمل کے وعدے، جیسے کہ ٹریاج تک پہنچنے کا وقت، قابلِ دفاع ہوتے ہیں۔
- کام کے دوران غیر قانونی سرگرمی پائے جانے کی صورت میں کوئی منصوبہ نہ ہونا۔ کمپنی کسی جرم کا ثبوت دریافت کرتی ہے مگر اس کے پاس یہ تحریری طریقہ کار نہیں ہوتا کہ کسے اور کب بتایا جائے۔
