在阿联酋建立管理的网络安全或SOC公司

围绕这一业务存在三类决策方,彼此之间并非完全重叠。

所在自由区(free zone)或酋长国的发牌机构负责核准贸易许可证(business licence)上的经营活动,这属于普通的公司注册事务。选择内陆(mainland)公司还是自由区路径,取决于你需要服务的客户群体以及分析师的所在地。

阿联酋网络安全委员会和 TDRA 与发牌机构是相互独立的。各自在其职责范围内作出决定,贸易许可证(business licence)并不能替代其中任何一方的授权。确切的现行要求应在任何申请提交之前,逐一向各机构确认,而非想当然地假定。

客户是第三个决策者，实际上往往也是最严格的一个。受监管的客户和政府关联的买家会就人员配备、许可、数据存放地和分包商设定自己的条款。一张纸面上有效的牌照，仍可能无法通过客户的安全尽职调查。如果客户在保险业，保险科技经纪指南说明了由哪个监管机构为该活动颁发牌照以及所需资本。

如果你的计划延伸至工业控制系统或关键基础设施,还应阅读《OT 与关键基础设施安全指南》。该指南涉及其自身的一套监管边界问题。

这四种模式的运作方式各不相同,因此应先确定与自身计划最贴近的模式,再选择管辖区(jurisdiction)。

许多创始人最初只做其中一种模式,之后再增加其他模式。应在商业计划中提前说明这一点,因为只符合第一种模式的业务活动描述,可能迫使日后进行修订。

这一行业中,大部分问题都集中在两个方面。

测试或访问的授权。在未获得系统所有者明确书面同意的情况下对系统进行测试,是安全公司招致责任的最常见方式。交战规则(rules-of-engagement)文件应界定涉及哪些系统、采用何种技术、测试的具体日期,以及客户方哪些人员可以叫停工作。这些模板应在签订第一份合同之前拟定,而不是在合同履行过程中才拟定。

个人与保密数据。安全遥测数据看似属于纯技术性质,但其中经常包含用户名、IP 地址、电子邮件内容和凭证信息。将其视为非敏感信息是常见的错误。阿联酋政府关于数据保护法律的网页,是了解联邦及各自由区制度的起点。适用哪一制度,取决于公司的注册地点,以及数据主体和客户的所在地。跨境监控（即身处阿联酋境外的分析师查看阿联酋客户的日志）需要就数据传输、访问控制和客户同意作出审慎的安排。应聘请获准在阿联酋执业的律师,就具体方案确认其合规性。

托管安全公司本质上是一门人员业务,与客户签订合同的公司应雇用分析师、持有相关工具,并承担职业责任险和网络安全保险。境外母公司或知识产权公司可以设于集团内的其他位置,但每一方都需要承担真实的职能。

在提交申请之前,应先确定以下事项:

签证名额取决于员工人数。全天候运作的 SOC 需要轮班覆盖,因此应按照实际的人员编制来规划,而不仅是按创始人团队来规划。商业计划与支持文件应体现这一人员编制及其背后的服务模式。成本由多个层次构成,公司的费用会在业务约定书(engagement letter)中逐项列明,具体见Velarozone 的运作方式。在这一行业,最大的成本层通常是薪酬、工具和保险,而非许可证本身。

银行会将安全公司视为处理他人数据的企业。在提交申请之前,应准备好出示以下内容:

客户群体和付款渠道应在项目陈述、财务模型和银行文件中保持一致。当交付模式已经明确记录时，企业银行账户准备会更容易。这并不保证能够开立账户。