Die Cyber-Security-Roadmap für Unternehmen mit neuer Niederlassung in Dubai

Kurzantwort. Sechs Schritte über rund sechs Monate: regulatorisches Scoping, Asset- und Dateninventar, Härtung von Identität und Zugriff, technische Baseline, Incident Response und Governance-Nachweise, dann formale Prüfung. Zuerst die Always-Applicable-Controls und die P1-Stufe der UAE Information Assurance Standards schließen, danach Branchen- und Vertragsanforderungen darauflegen.

Die Reihenfolge zählt mehr als der Kalender. Fast jeder teure Neubau, zu dem wir gerufen werden, hat dieselbe Ursache: Ein Control wurde umgesetzt, bevor das Inventar existierte, das seinen Geltungsbereich definiert.

Die erste Frage ist nicht, welches Framework man einführt. Sie lautet, welche Regime die Gesellschaft gesetzlich binden, welche vertraglich, und welche der Markt schlicht erwartet. Die drei Antworten unterscheiden sich meist, und in der Lücke dazwischen entsteht Scope-Inflation.

Eine Mainland-Gesellschaft in Dubai unterliegt dem föderalen Regime, einschließlich der UAE Information Assurance Regulation, soweit anwendbar, und dem Bundesdekret-Gesetz Nr. 45 von 2021 zum Schutz personenbezogener Daten. Eine Gesellschaft im DIFC oder ADGM ist vom föderalen Datenschutzrecht ausgenommen und wendet ihr eigenes Regime mit eigener Aufsichtsbehörde an. Ein Lieferant einer Dubaier Regierungsstelle wird über den Vertrag in die DESC Information Security Regulation hineingezogen, nicht über das Gesetz. Freihandelszonen legen eigene Technologie- und Auslagerungserwartungen darauf.

Ergebnis: eine einseitige Karte aus Gesellschaften, Jurisdiktionen und bindenden Instrumenten, samt der Nachweise, die jedes davon irgendwann verlangt. Dieses Dokument bestimmt das Budget für alles Weitere.

Zugriffskontrolle lässt sich nicht scopen, ohne zu wissen, worauf zugegriffen werden kann, und eine Frage zur Datenresidenz lässt sich nicht beantworten, ohne zu wissen, wo die Daten heute liegen. Das Inventar umfasst Systeme, Datenflüsse, die Jurisdiktion jedes Speichers und einen namentlichen Verantwortlichen.

Zwei Dinge tauchen hier zuverlässig auf: Schatten-Infrastruktur, etwa ein Marketing-SaaS mit Kundendaten, von dem die IT nichts wusste, und ein Datenfluss, der eine Grenze überschreitet, von der alle annahmen, er tue es nicht. Beides ist in Woche drei günstig zu beheben und während einer Prüfung teuer.

Ergebnis: ein abfragbares Inventar, keine Folie. Wenn die Pflege manuell ist, stimmt es etwa einen Monat lang.

Bei Identität liegt die größte Risikoreduktion pro Dirham, und es ist die Control-Familie, mit der jeder Prüfer beginnt. Drei Dinge müssen zutreffen: Multi-Faktor-Authentifizierung ist überall erzwungen statt überall verfügbar, privilegierter Zugriff läuft über separate Konten, die nicht für die tägliche Arbeit genutzt werden, und der Joiner-Mover-Leaver-Prozess wird von einem System erzwungen statt in einer Richtlinie beschrieben.

Nutzen Sie phishing-resistente Faktoren, wo es geht. In dieser Region dominieren Business E-Mail Compromise und Executive Impersonation, und ein Push-Faktor, den ein müder Finanzleiter um 23 Uhr bestätigt, ist deutlich schwächer als ein Hardware-Key. Die vollständige Verteidigung steht in unserem Beitrag zu Spear-Phishing und Executive Impersonation in den VAE.

Ergebnis: ein Zugriffsmodell, ein erzwungener MFA-Rollout und ein Austrittsprozess, der Zugriffe nachweislich am selben Tag entzieht.

Segmentierung, Logging und Monitoring sowie Backup und Wiederherstellung. Die Reihenfolge innerhalb dieser Phase ist weniger wichtig als der Maßstab: Jedes dieser Themen muss verifiziert und nicht behauptet werden.

Logging wird am häufigsten für fertig erklärt und ist dabei ungeeignet. Der Test ist nicht, ob ein SIEM existiert. Er lautet, ob Sie aus aufbewahrten Logs beantworten können, wer vor vier Monaten an einem bestimmten Tag auf einen bestimmten Datensatz zugegriffen hat. Ist die Aufbewahrung kürzer als die übliche Zeit bis zur Entdeckung einer Kompromittierung, hat das Log keinen Ermittlungswert.

Backup ist das zweite Thema. Ein Backup, aus dem nie wiederhergestellt wurde, ist eine Hypothese. Zum Ergebnis dieser Phase gehört ein dokumentierter Restore-Test mit gemessener Wiederherstellungszeit, kein Screenshot eines erfolgreichen Backup-Jobs.

Diese Phase macht aus einer Menge von Controls etwas Prüfbares. Playbooks mit benannten Eskalationswegen, mindestens eine Tabletop-Übung mit jemandem außerhalb des Security-Teams, dokumentierte Richtlinien mit Freigabenachweisen, ein Risikoregister mit namentlichen Verantwortlichen statt Abteilungen und Lieferantenbewertungen im Verhältnis zum jeweiligen Risiko.

Die Always-Applicable-Controls der UAE Information Assurance Standards liegen fast vollständig in dieser Phase. Es sind Management-Controls, sie können nicht aufgrund einer Risikobewertung entfallen, und das Weglassen eines einzelnen ist eine Nichtkonformität. Die vollständige Liste mit Control-IDs steht in unserem Beitrag zu den Always-Applicable-Controls und auf der UAE-IA-(NESA)-Referenzseite.

Bauen Sie die Nachweis-Pipeline in dieser Phase, nicht danach. Manuell gesammelte Nachweise werden unter Druck rekonstruiert, und an rekonstruierten Nachweisen scheitern Audits.

Eine Gap-Analyse gegen das bindende Framework, mit dem Nachweispaket, das eine Behörde oder ein Kunde einsehen will. Für die meisten Gruppen ist das eine UAE-IA-Gap-Analyse, ein DESC-ISR-Readiness-Review oder ein internes ISO-27001-Audit vor dem Besuch der Zertifizierungsstelle. Was jeweils dazugehört, steht unter Information Security Audit in Dubai.

Führen Sie sie durch, als wäre es der Ernstfall. Eine interne Prüfung, die nachsichtig ist, erzeugt einen angenehmen Bericht und drei Monate später eine unangenehme Überraschung.

Tooling vor dem Inventar kaufen. Eine Monitoring-Plattform, die gegen eine unvollständige Asset-Liste dimensioniert wurde, überwacht das Falsche zum falschen Preis, und die Lizenz läuft meist ein Jahr.

Richtlinien vor dem Control schreiben. Eine Richtlinie, die ein Control beschreibt, das niemand betreibt, ist schlechter als keine: Sie macht aus einer Lücke eine dokumentierte Nichtkonformität.

Einstellen, bevor Nachweise automatisiert sind. Governance-Personal wird fast vollständig durch manuelle Nachweissammlung getrieben. Erst automatisieren, dann feststellen, wie wenige Personen nötig sind.

Wir fahren diese Roadmap als Engagement von unserem Standort im Meydan in Dubai. Scoping und Workshops finden vor Ort statt, Bewertung und Dokumentation remote gegen Systeme, die Sie kontrollieren, und die Bewertungsdaten bleiben auf Infrastruktur in den VAE, auch vollständig air-gapped. Siehe Cyber Security Consulting in Dubai, oder IT Security Governance in den VAE, wenn die Governance-Ebene fehlt.