Thiết lập công ty an ninh mạng quản lý hoặc SOC tại UAE

Có ba loại bên ra quyết định xoay quanh lĩnh vực kinh doanh này, và vai trò của họ không trùng khớp một cách gọn gàng.

Cơ quan cấp phép của khu vực hoặc tiểu vương quốc phê duyệt hoạt động ghi trên giấy phép thương mại. Đó là việc thành lập công ty thông thường. Lựa chọn giữa một công ty mainland và một hướng đi theo free zone phụ thuộc vào đối tượng khách hàng bạn cần phục vụ và nơi các chuyên viên phân tích của bạn sẽ làm việc.

UAE Cyber Security Council và TDRA là các cơ quan tách biệt với cơ quan cấp phép. Mỗi cơ quan quyết định những vấn đề thuộc phạm vi thẩm quyền riêng của mình, và giấy phép thương mại không thể thay thế cho bất kỳ cơ quan nào trong số đó. Các yêu cầu hiện hành chính xác cần được xác nhận với từng cơ quan trước khi nộp bất kỳ hồ sơ nào, chứ không được mặc định suy đoán.

Khách hàng là người ra quyết định thứ ba, và trên thực tế thường là người khắt khe nhất. Khách hàng thuộc diện quản lý và bên mua liên kết với chính phủ tự đặt điều khoản về nhân sự, thẩm tra an ninh, vị trí dữ liệu và nhà thầu phụ. Một giấy phép hợp lệ trên giấy tờ vẫn có thể không vượt qua được thẩm định an ninh của khách hàng. Khi khách hàng thuộc lĩnh vực bảo hiểm, hướng dẫn về môi giới InsurTech nêu cơ quan quản lý nào cấp phép cho hoạt động và vốn yêu cầu.

Nếu kế hoạch của bạn mở rộng sang hệ thống điều khiển công nghiệp hoặc hạ tầng trọng yếu, hãy đọc thêm hướng dẫn về an ninh OT và hạ tầng trọng yếu. Mảng công việc đó có những câu hỏi riêng về phạm vi quản lý.

Bốn mô hình này vận hành khác nhau, vì vậy hãy chọn mô hình mô tả sát nhất với kế hoạch của bạn trước khi chọn khu vực pháp lý.

Nhiều nhà sáng lập bắt đầu với một mô hình rồi bổ sung thêm mô hình khác sau này. Hãy nêu rõ điều này trong kế hoạch kinh doanh ngay từ bây giờ, vì một mô tả hoạt động chỉ phù hợp với mô hình đầu tiên có thể buộc phải sửa đổi sau này.

Hai vấn đề chiếm phần lớn khối lượng công việc trong lĩnh vực này.

Quyền được kiểm thử hoặc truy cập. Việc kiểm thử một hệ thống mà không có sự đồng ý rõ ràng bằng văn bản từ chủ sở hữu hệ thống đó là cách rõ ràng nhất khiến một công ty bảo mật phải gánh chịu trách nhiệm pháp lý. Tài liệu quy tắc tác nghiệp xác định những hệ thống nào, những kỹ thuật nào, những ngày nào, và ai bên phía khách hàng có quyền dừng công việc. Hãy soạn thảo các mẫu tài liệu này trước hợp đồng đầu tiên, chứ không phải trong lúc thực hiện hợp đồng đó.

Dữ liệu cá nhân và bảo mật. Dữ liệu đo từ xa về an ninh trông có vẻ mang tính kỹ thuật, nhưng nó thường xuyên chứa tên người dùng, địa chỉ IP, nội dung email và thông tin xác thực. Xem đây là dữ liệu không nhạy cảm là một sai lầm phổ biến. Trang thông tin của Chính phủ UAE về luật bảo vệ dữ liệu là điểm khởi đầu cho các chế độ pháp lý cấp liên bang và cấp free zone. Chế độ pháp lý nào được áp dụng phụ thuộc vào nơi công ty được thành lập và nơi các chủ thể dữ liệu cũng như khách hàng đang có mặt. Việc giám sát xuyên biên giới, khi một chuyên viên phân tích ở ngoài UAE xem nhật ký của một khách hàng tại UAE, đòi hỏi câu trả lời được cân nhắc kỹ về việc chuyển dữ liệu, kiểm soát truy cập và sự đồng ý của khách hàng. Hãy để các luật sư được cấp phép hành nghề tại UAE xác nhận lập trường pháp lý cho đúng mô hình cụ thể của bạn.

Một công ty an ninh được quản lý về bản chất là một hoạt động kinh doanh dựa trên con người, và công ty ký kết hợp đồng với khách hàng nên là công ty trực tiếp tuyển dụng các chuyên viên phân tích, sở hữu công cụ và có bảo hiểm trách nhiệm nghề nghiệp cùng bảo hiểm an ninh mạng. Một công ty mẹ ở nước ngoài hoặc một công ty sở hữu trí tuệ có thể nằm ở vị trí khác trong tập đoàn, nhưng mỗi công ty đều cần có vai trò thực chất.

Hãy quyết định những điều sau trước khi nộp hồ sơ:

Hạn mức visa đi theo số lượng nhân sự. Một SOC hoạt động liên tục 24/7 cần có người trực theo ca, vì vậy hãy lập kế hoạch dựa trên đội ngũ nhân sự thực tế, chứ không chỉ dựa trên các nhà sáng lập. Kế hoạch kinh doanh và tài liệu hỗ trợ cần thể hiện rõ đội ngũ nhân sự đó và mô hình cung cấp dịch vụ đằng sau nó. Chi phí được xây dựng theo nhiều lớp, và phí của công ty được liệt kê chi tiết trong thư thỏa thuận dịch vụ, như được trình bày trong cách Velarozone hoạt động. Đối với lĩnh vực này, lớp chi phí lớn nhất thường là lương nhân sự, công cụ và bảo hiểm, chứ không phải giấy phép.

Ngân hàng nhìn nhận một công ty bảo mật là một doanh nghiệp xử lý dữ liệu của người khác. Trước khi nộp hồ sơ, hãy chuẩn bị sẵn sàng để trình bày:

Khách hàng và các kênh thanh toán cần phải khớp nhau xuyên suốt bài thuyết trình, mô hình tài chính và hồ sơ gửi ngân hàng. Chuẩn bị mở tài khoản ngân hàng doanh nghiệp sẽ dễ dàng hơn khi mô hình cung cấp dịch vụ đã được viết ra rõ ràng. Điều này không đảm bảo sẽ có được tài khoản.