Cách thành lập công ty an ninh mạng OT hoặc công ty bảo mật cơ sở hạ tầng quan trọng tại UAE

Một giấy phép thương mại từ DET hoặc một cơ quan free zone chỉ đăng ký hoạt động kinh doanh. Việc này, tự nó, không cho biết liệu công ty có đang thực hiện điều gì mà TDRA hoặc Cyber Security Council coi là hoạt động được quản lý hay không. Phạm vi quản lý của TDRA bao gồm các mạng viễn thông, thiết bị và mã hóa của UAE; một công ty xây dựng, bán lại hoặc vận hành kết nối, hoặc cung cấp thiết bị mã hóa, sẽ rơi vào phạm vi đó bất kể giấy phép của công ty được ghi như thế nào. Cyber Security Council được thành lập để xây dựng chiến lược an ninh mạng quốc gia của UAE và vận hành chính sách Critical Information Infrastructure Protection, quy định các nghĩa vụ an ninh cơ bản đối với các đơn vị vận hành hạ tầng trọng yếu được chỉ định. Các nghĩa vụ đó thuộc về đơn vị vận hành hạ tầng, nhưng chúng tác động đến nhà cung cấp thông qua hợp đồng: một ngân hàng, công ty điện lực hoặc đơn vị vận hành giao thông vận tải mà bản thân là một thực thể CII được chỉ định thường sẽ chuyển các biện pháp kiểm soát cơ bản, quy tắc truy cập và nghĩa vụ báo cáo sự cố xuống cho bất kỳ nhà cung cấp an ninh OT nào mà họ sử dụng.

Câu hỏi thực tế đối với nhà sáng lập là công việc dự kiến thực sự chạm đến quy định của cơ quan nào trong ba cơ quan này, tương tự câu hỏi mà một công ty bảo mật danh tính hoặc quản lý truy cập đặc quyền phải trả lời về quyền truy cập của chính mình. Một doanh nghiệp thuần túy đánh giá hoặc rà soát kiến trúc, không có quyền truy cập trực tiếp và không có thiết bị riêng, gần nhất với hoạt động thương mại thông thường. Một doanh nghiệp giám sát mạng của khách hàng liên tục, duy trì kết nối từ xa thường trực, hoặc cung cấp và cấu hình cổng kết nối sẽ tiến gần hơn đến phạm vi quản lý của TDRA và của Council, giống như một công ty mật mã hậu lượng tử hoặc truyền thông an toàn phải phân loại công việc mật mã của mình trước khi có thể phân loại giấy phép thương mại của mình.

Phạm vi quản lý của TDRA cũng như khung CIIP của Council đều không thể quy về một mức phí hay một loại giấy phép duy nhất để công bố chung chung. TDRA quyết định theo từng trường hợp liệu một hoạt động về mạng, thiết bị hoặc mã hóa có thuộc phạm vi quản lý viễn thông hay không; một công ty có dịch vụ bao gồm kết nối, giám sát có khả năng chặn bắt dữ liệu hoặc phần cứng mật mã nên đặt câu hỏi đó trực tiếp cho TDRA thay vì suy ra câu trả lời từ quảng cáo của đối thủ. Chính sách CIIP của Cyber Security Council là văn bản xác định các tài sản trọng yếu, đặt ra các yêu cầu bảo mật cơ bản cho các đơn vị CII và vận hành cơ chế giám sát và thực thi xung quanh các yêu cầu đó; chính sách này được soạn cho đơn vị vận hành hạ tầng, nên nghĩa vụ của nhà cung cấp theo chính sách này mang tính hợp đồng, không phải một giấy phép riêng mà chính nhà cung cấp phải xin. Các nghĩa vụ về bảo vệ dữ liệu tồn tại song song với cả hai: một công ty xử lý dữ liệu cá nhân hoặc dữ liệu vận hành trong khuôn khổ dịch vụ giám sát phải có khả năng chứng minh dữ liệu đó được lưu giữ ở đâu và ai có thể truy cập. Tài liệu này không nêu mã hoạt động, loại giấy phép hay mức vốn nào; những nội dung đó được xác nhận đối chiếu với tài liệu hiện hành của TDRA và của Council trước khi chọn lộ trình thành lập pháp nhân.

Một ngân hàng hoặc một bộ phận mua sắm của doanh nghiệp khi đánh giá một nhà cung cấp an ninh OT không chủ yếu kiểm tra bảng cân đối kế toán. Họ kiểm tra ai có thể tiếp cận các hệ thống điều khiển đang hoạt động của khách hàng, theo thẩm quyền bằng văn bản nào, và điều gì xảy ra khi quyền truy cập đó bị lạm dụng hoặc đơn giản là bị bỏ quên. Hãy lường trước các câu hỏi về phạm vi của bất kỳ thỏa thuận truy cập từ xa nào, cách quyền truy cập được giới hạn thời gian và bị thu hồi, hệ thống ghi nhật ký nào tồn tại, và liệu nhân viên của chính công ty hay một nhà thầu phụ thực sự nắm quyền truy cập. Một lần chuyển giao không có văn bản cho công ty mẹ, công ty liên kết hoặc đối tác chuyên môn thường là điều đầu tiên khiến cuộc trao đổi về việc mở tài khoản bị đình trệ. Việc xây dựng các chứng cứ đó trước buổi gặp đầu tiên với ngân hàng, thay vì sau khi giấy phép được cấp, chính là sự khác biệt mà công việc chuẩn bị sẵn sàng mở tài khoản ngân hàng doanh nghiệp được thiết kế để khắc phục.

Khách hàng trong lĩnh vực OT và hạ tầng trọng yếu nhìn xa hơn sổ đăng ký cổ đông, hướng đến những người thực sự sẽ tiếp cận hệ thống của họ. Một cơ quan quản lý, ngân hàng hoặc khách hàng khi xem xét hồ sơ sẽ muốn thấy một người có thể chứng minh năng lực kỹ thuật OT, không chỉ là nền tảng an ninh IT nói chung, trước khi bất kỳ công việc quét, giám sát hoặc thay đổi nào trên một môi trường công nghiệp đang hoạt động được phê duyệt. Trong trường hợp quyền sở hữu của chính công ty đi qua nhiều lớp công ty holding, quỹ đầu tư hoặc cấu trúc gia đình, chuỗi sở hữu đó là một phần của cùng hồ sơ mà khách hàng hoặc ngân hàng sẽ xem xét, và hướng giải quyết thiết lập quyền sở hữu phức tạp và được quản lý được xây dựng chính xác cho trường hợp đó. Một kế hoạch kinh doanh và tài liệu hỗ trợ bằng văn bản cần trình bày, trong một tài liệu duy nhất, mô hình vận hành, ranh giới truy cập và những người nắm quyền truy cập đó.

Điểm chung giống như những gì một doanh nghiệp hạ tầng kết nối gặp phải: một giấy phép thương mại hợp lệ bị nhầm lẫn với các quyền, hợp đồng và thẩm quyền kỹ thuật mà việc hoạt động trong lĩnh vực này thực sự cần. Giấy phép là phần dễ dàng; ranh giới truy cập và thẩm quyền bằng văn bản phía sau nó thì không.

Giấy phép thương mại mainland tiêu chuẩn cho loại hình tư vấn hoặc hoạt động công nghệ này bắt đầu từ AED 14,000, còn gói chỉ gồm giấy phép tại free zone có mức khoảng từ AED 5,000 đến 6,000; cả hai mức đều không bao gồm nhân sự kỹ thuật, cơ sở vật chất an toàn, hạ tầng kiểm thử hay năng lực ứng phó sự cố mà mô hình vận hành thực sự cần. Số lượng visa nên tương ứng với số kỹ sư OT và nhân viên vận hành mà công ty thực sự dự định tuyển dụng, chứ không phải một con số danh nghĩa đặt ra khi thành lập. Giấy phép thương mại và establishment card được gia hạn hằng năm, và một công ty có thiết bị, cơ sở giám sát hoặc phòng vận hành an toàn nên lên kế hoạch gia hạn song song với hợp đồng thuê mặt bằng chứ không coi đó là một sự kiện riêng. Chi phí ngoài các mức này được hình thành theo từng lớp, và phí dịch vụ Velarozone được liệt kê chi tiết trong thư thỏa thuận dịch vụ chứ không công bố như một con số tiêu đề.