指南
在阿联酋如何设立OT网络安全或关键基础设施安全公司
已发布
简短的回答
OT(运营技术,operational technology)或关键基础设施安全公司同时受三个独立的阿联酋监管机构管辖,具体适用哪一个取决于该公司对客户实时运行系统究竟做了什么。Telecommunications and Digital Government Regulatory Authority(TDRA)负责监管电信网络、设备和加密技术;UAE Cyber Security Council制定关键信息基础设施保护(Critical Information Infrastructure Protection,CIIP)框架,该框架影响与指定关键基础设施运营商签订的合同;而其基础业务仍需要从Dubai Department of Economy and Tourism(DET)或相应的自由区(free zone)管理机构取得普通贸易许可证。最常决定适用路径的关键细节,是该公司仅进行评估和咨询,还是持有常设远程访问权限以运行或变更客户的运营系统。
谁来决定监管范围,谁仅负责签发许可证
从DET或自由区(free zone)管理机构取得的贸易许可证,只是对商业活动进行登记,本身并不能说明该公司所做的事情是否属于TDRA或Cyber Security Council认定需要监管的范畴。TDRA的职权范围涵盖阿联酋的电信网络、设备和加密技术;任何建设、转售或运营连接服务,或提供加密设备的公司,无论其许可证上如何表述,都会落入该职权范围。Cyber Security Council的设立目的是构建阿联酋的国家网络安全战略,并负责执行关键信息基础设施保护政策,该政策为指定关键基础设施的运营方设定了基线安全义务。这些义务由基础设施运营方承担,但会通过合同传导至供应商:若银行、公用事业公司或交通运营商本身被指定为CII实体,通常会将其基线控制措施、访问规则和事件报告义务,下传给其聘用的任何OT安全供应商。
对创始人而言，实际问题在于拟开展的业务究竟触及这三个机构中哪一个的规则，这与身份安全或特权访问管理公司必须回答的自身访问权限问题类似。纯评估或架构审查类业务，既无实时访问权限，也无自有设备，最接近一般商业活动。若业务涉及持续监控客户网络、保持常设远程连接，或提供并配置网关，则更接近 TDRA 和网络安全委员会（Council）的监管范围，正如后量子密码或安全通信公司必须先对自身的密码类业务作出归类，才能确定其许可证类别。
监管机构的实际要求
无论是 TDRA 的职责范围，还是网络安全委员会的关键信息基础设施保护（CIIP）框架，都无法归结为一项可以统一公布的费用或许可证类别。某项网络、设备或加密活动是否属于电信监管范围，由 TDRA 逐案判定；服务内容包含连接服务、具备拦截能力的监控或加密硬件的公司，应当直接向 TDRA 提出这一问题，而不是从竞争对手的营销材料中推断答案。网络安全委员会的 CIIP 政策是用于识别关键资产、为关键信息基础设施实体设定基线安全要求，并围绕这些要求运行监督和执法机制的文件；该政策面向基础设施运营方，因此供应商在其下的义务源于合同，而不是供应商自己需要另行申请的许可证。数据保护义务与上述两者并行：在监控服务中处理个人数据或运营数据的公司，应当能够说明这些数据存放在何处以及谁可以访问。本文未列明任何活动代码、许可证类别或资本金额；这些事项须在选定实体路径之前，对照 TDRA 和网络安全委员会现行资料予以确认。
资金如何流转,以及银行审查的重点
银行或企业采购团队在审查一家OT安全供应商时,主要关注的并不是资产负债表,而是谁能够访问客户的实时控制系统、依据什么书面授权,以及当该访问权限被滥用或被遗忘时会发生什么。可以预期会被问到:任何远程访问安排的范围、访问权限如何设定时限并被撤销、是否存在日志记录,以及实际持有访问权限的是公司自身员工还是分包商。一次未有书面记录、交由母公司、关联公司或专业合作方处理的权限移交,往往是最先让开户谈话陷入停滞的问题。在首次银行会议之前而不是许可证发出之后就建立好这些证据,正是企业银行账户筹备工作致力弥补的差距。
股权结构、实质要求与客户期望看到的角色
OT和关键基础设施领域的客户,关注的不只是股东登记名册,更会看向真正会接触其系统的人员。监管机构、银行或客户在审阅资料时,会希望看到能够证明OT工程能力(而非仅是一般IT安全背景)的人员,之后才会批准在实时工业环境中进行任何扫描、监控或变更工作。若公司自身的所有权结构经过多层持股、基金或家族架构,该股权链条同样是客户或银行会审阅资料的一部分,而受监管及复杂所有权架构设立路径正是为此类情况而设计的。一份书面的商业计划书及配套文件应在同一处清楚列明运营模式、访问边界以及持有该访问权限的人员。
OT(运营技术)与关键基础设施相关业务中常见的失误
- 在没有客户书面安全批准的情况下,对实时生产系统进行扫描或测试。
- 在没有工程技术输入评估扫描或变更对运行中流程可能造成的影响的情况下,将IT安全操作手册直接套用于运营技术。
- 让供应商的远程访问连接无限期保持开放,而不是按每次合作对其设定时限并记录日志。
- 在没有针对该场地的具体行动授权的情况下,承担事件响应职责。
- 将分包商的访问权限等同于公司自身的访问权限,且在出现问题时没有书面记录说明实际是谁在连接系统。
这里的共同点,与连接基础设施业务所遇到的问题相同:有效的贸易许可证被误认为等同于在该行业开展业务实际所需的许可、合同和技术授权。许可证本身是容易取得的部分;真正困难的是访问边界以及支撑它的书面授权。
从许可证到正式运营:签证、经营场所与续期
此类咨询或技术业务的标准内陆 (mainland) 商业许可证起价为 AED 14,000，自由区 (free zone) 仅含许可证的套餐大约为 AED 5,000 至 6,000；这两个数字均不包含运营模式实际所需的工程人员、安全场所、测试基础设施或事件响应能力。签证名额应与公司真正计划聘用的运营技术（OT）工程师和运营人员数量相匹配，而不是在设立时设定一个名义上的人数。许可证和机构卡 (establishment card) 每年续期；持有设备、监控场所或安全运营室的公司，应将这一续期与任何场地租约一并规划，而不要将其视为单独的事项。超出上述数字的成本分层构成，Velarozone 服务费在业务约定书中逐项列明，而不是作为醒目的总数公布。
