متحدہ عرب امارات میں OT Cybersecurity یا Critical-Infrastructure Security کمپنی کیسے قائم کریں

DET یا کسی فری زون اتھارٹی سے جاری ٹریڈ لائسنس کمرشل سرگرمی کا اندراج کرتا ہے۔ یہ خود بخود یہ نہیں بتاتا کہ آیا کمپنی ایسا کچھ کر رہی ہے جسے TDRA یا Cyber Security Council ریگولیٹڈ سمجھتی ہیں۔ TDRA کا دائرہ کار UAE کے ٹیلی کام نیٹ ورکس، آلات اور اینکرپشن کا احاطہ کرتا ہے؛ ایسی کمپنی جو کنیکٹیویٹی تیار کرتی، دوبارہ فروخت کرتی یا چلاتی ہے، یا کرپٹوگرافک آلات فراہم کرتی ہے، اس کے لائسنس کے الفاظ سے قطع نظر اسی دائرہ کار میں آ جاتی ہے۔ Cyber Security Council کو UAE کی قومی سائبر سیکیورٹی حکمت عملی تیار کرنے کے لیے قائم کیا گیا تھا اور یہ Critical Information Infrastructure Protection پالیسی چلاتی ہے، جو نامزد کریٹیکل انفراسٹرکچر کے آپریٹرز کے لیے بنیادی سیکیورٹی ذمہ داریاں طے کرتی ہے۔ یہ ذمہ داریاں انفراسٹرکچر آپریٹر پر عائد ہوتی ہیں، لیکن یہ معاہدے کے ذریعے وینڈر (vendor) تک پہنچتی ہیں: کوئی بینک، یوٹیلیٹی یا ٹرانسپورٹ آپریٹر جو خود ایک نامزد CII ادارہ ہو، عام طور پر اپنے بنیادی کنٹرولز، رسائی کے قواعد اور انسیڈنٹ رپورٹنگ کی ذمہ داریاں اس OT سیکیورٹی فراہم کنندہ تک منتقل کر دے گا جسے وہ شامل کرتا ہے۔

بانی کے لیے عملی سوال یہ ہے کہ مجوزہ کام ان تینوں اداروں میں سے کس کے قواعد کو حقیقتاً چھوتا ہے، بالکل ویسا ہی سوال جس کا جواب ایک آئیڈنٹٹی سیکیورٹی یا پریولیجڈ ایکسیس مینجمنٹ کمپنی کو اپنے رسائی کے حقوق کے بارے میں دینا پڑتا ہے۔ خالص تشخیصی یا آرکیٹیکچر ریویو کا کاروبار، جس کے پاس نہ براہِ راست رسائی ہو اور نہ اپنا کوئی سازوسامان، عام تجارتی سرگرمی کے سب سے قریب ہوتا ہے۔ جو کاروبار کسی کسٹمر کے نیٹ ورک کی مسلسل نگرانی کرتا ہے، مستقل ریموٹ کنکشن رکھتا ہے، یا گیٹ ویز فراہم اور کنفیگر کرتا ہے، وہ TDRA اور کونسل کے دائرے کے زیادہ قریب چلا جاتا ہے، بالکل ویسے ہی جیسے پوسٹ کوانٹم کرپٹوگرافی یا محفوظ مواصلات کی کمپنی کو لائسنس کی درجہ بندی سے پہلے اپنے کرپٹوگرافک کام کی درجہ بندی کرنی پڑتی ہے۔

نہ TDRA کا دائرہ کار اور نہ کونسل کا CIIP فریم ورک کسی ایسی واحد فیس یا لائسنس کیٹگری تک محدود کیا جا سکتا ہے جسے عمومی طور پر شائع کیا جا سکے۔ TDRA ہر معاملے میں الگ سے فیصلہ کرتا ہے کہ کوئی نیٹ ورک، سازوسامان یا انکرپشن کی سرگرمی ٹیلی کام ریگولیشن کے دائرے میں آتی ہے یا نہیں؛ جس کمپنی کی پیشکش میں کنکشن، مداخلت کی صلاحیت رکھنے والی نگرانی یا کرپٹوگرافک ہارڈ ویئر شامل ہو، اسے یہ سوال براہِ راست TDRA سے پوچھنا چاہیے، نہ کہ کسی حریف کی مارکیٹنگ سے جواب اخذ کرنا چاہیے۔ سائبر سیکیورٹی کونسل کی CIIP پالیسی وہ دستاویز ہے جو اہم اثاثوں کی نشاندہی کرتی ہے، CII اداروں کے لیے بنیادی سیکیورٹی تقاضے طے کرتی ہے اور ان کے گرد نگرانی اور نفاذ کا نظام چلاتی ہے؛ یہ انفراسٹرکچر آپریٹر کے لیے لکھی گئی ہے، اس لیے اس کے تحت وینڈر کی ذمہ داریاں معاہداتی نوعیت کی ہوتی ہیں، کوئی الگ لائسنس نہیں جس کے لیے وینڈر خود درخواست دے۔ ڈیٹا پروٹیکشن کی ذمہ داریاں ان دونوں کے ساتھ ساتھ موجود رہتی ہیں: جو کمپنی اپنی نگرانی کی سروس کے حصے کے طور پر ذاتی یا آپریشنل ڈیٹا پر کارروائی کرتی ہے، اسے یہ دکھانے کے قابل ہونا چاہیے کہ وہ ڈیٹا کہاں رکھا جاتا ہے اور اس تک کس کی رسائی ہے۔ یہاں کوئی سرگرمی کوڈ، لائسنس کیٹگری یا سرمائے کی رقم بیان نہیں کی گئی؛ انہیں ادارے کی شکل منتخب کرنے سے پہلے TDRA اور کونسل کے موجودہ مواد سے تصدیق کیا جاتا ہے۔

کسی OT سیکیورٹی فراہم کنندہ کا جائزہ لینے والی بینک یا انٹرپرائز پروکیورمنٹ ٹیم بنیادی طور پر بیلنس شیٹ نہیں دیکھ رہی ہوتی۔ وہ یہ دیکھ رہی ہوتی ہے کہ گاہک کے لائیو کنٹرول سسٹمز تک کون رسائی حاصل کر سکتا ہے، کس تحریری اختیار کے تحت، اور جب وہ رسائی غلط استعمال ہو یا محض بھلا دی جائے تو کیا ہوتا ہے۔ ریموٹ ایکسیس انتظام کے دائرہ کار، رسائی کو ٹائم باکس اور منسوخ کرنے کے طریقے، کس قسم کی لاگنگ موجود ہے، اور آیا رسائی دراصل کمپنی کے اپنے عملے کے پاس ہے یا کسی ذیلی ٹھیکیدار کے پاس، ایسے سوالات کی توقع رکھیں۔ کسی پیرنٹ، ایفیلیٹ یا اسپیشلسٹ پارٹنر کو ایک غیر دستاویزی ہینڈ آف عام طور پر وہ پہلی چیز ہوتی ہے جو اکاؤنٹ کھولنے کی بات چیت کو روک دیتی ہے۔ پہلی بینک میٹنگ سے پہلے، لائسنس جاری ہونے کے بعد نہیں، یہ شواہد تیار کرنا وہ فرق ہے جسے بند کرنے کے لیے کارپوریٹ بینک اکاؤنٹ ریڈینس کا کام تیار کیا گیا ہے۔

OT اور کریٹیکل انفراسٹرکچر گاہک شیئر ہولڈر رجسٹر سے آگے دیکھتے ہیں، ان لوگوں کی طرف جو دراصل ان کے سسٹمز کو ہاتھ لگائیں گے۔ فائل کا جائزہ لینے والا ریگولیٹر، بینک یا گاہک کسی لائیو انڈسٹریل ماحول پر کوئی بھی اسکیننگ، مانیٹرنگ یا تبدیلی کا کام منظور کرنے سے پہلے ایسے شخص کو دیکھنا چاہے گا جو OT انجینئرنگ کی اہلیت دکھا سکے، نہ کہ محض عمومی IT سیکیورٹی کا پس منظر۔ جہاں کمپنی کی اپنی ملکیت کئی ہولڈنگ تہوں، فنڈز یا خاندانی ساختوں سے گزرتی ہو، وہ سلسلہ اسی فائل کا حصہ ہے جسے گاہک یا بینک پڑھے گا، اور ریگولیٹڈ اینڈ کمپلیکس اونرشپ سیٹ اپ روٹ بالکل اسی صورت کے لیے تیار کیا گیا ہے۔ ایک تحریری بزنس پلان اینڈ سپورٹنگ ڈاکیومینٹیشن کو ایک ہی جگہ پر آپریٹنگ ماڈل، رسائی کی حد اور اسے رکھنے والے لوگوں کو بیان کرنا چاہیے۔

مشترکہ دھاگا وہی ہے جس کا سامنا ایک کنیکٹیویٹی انفراسٹرکچر کاروبار کو ہوتا ہے: ایک درست ٹریڈ لائسنس کو ان اجازتوں، معاہدوں اور تکنیکی اختیار کے مترادف سمجھ لیا جاتا ہے جن کی اس شعبے میں کام کرنے کے لیے دراصل ضرورت ہوتی ہے۔ لائسنس آسان حصہ ہے؛ رسائی کی حد اور اس کے پیچھے موجود تحریری اختیار آسان نہیں ہیں۔

اس نوعیت کی کنسلٹنسی یا ٹیکنالوجی سرگرمی کے لیے معیاری مین لینڈ (mainland) کمرشل لائسنس AED 14,000 سے شروع ہوتا ہے، جبکہ فری زون (free zone) کا صرف لائسنس والا پیکج تقریباً AED 5,000 سے 6,000 تک دستیاب ہے؛ ان دونوں رقوم میں انجینئرنگ عملہ، محفوظ سہولیات، ٹیسٹنگ انفراسٹرکچر اور واقعات سے نمٹنے کی صلاحیت شامل نہیں جو آپریٹنگ ماڈل کو درکار ہے۔ ویزا کی گنجائش ان OT انجینئرز اور آپریشنز عملے کی تعداد کے مطابق ہونی چاہیے جنہیں کمپنی واقعی بھرتی کرنے کا ارادہ رکھتی ہے، نہ کہ قیام کے وقت طے کی گئی کوئی فرضی تعداد۔ لائسنس اور اسٹیبلشمنٹ کارڈ (establishment card) سالانہ تجدید ہوتے ہیں، اور جس کمپنی کے پاس سازوسامان، نگرانی کی سہولت یا محفوظ آپریشنز روم ہو، اسے اس تجدید کی منصوبہ بندی کسی بھی احاطے کے لیز کے ساتھ کرنی چاہیے، نہ کہ اسے الگ واقعہ سمجھنا چاہیے۔ ان رقوم سے آگے کی لاگت تہہ در تہہ بنتی ہے، اور سروس فیس Velarozone کو نمایاں عدد کے طور پر شائع کرنے کے بجائے اینگیجمنٹ لیٹر (engagement letter) میں تفصیل سے درج کیا جاتا ہے۔