Консалтинг по кибербезопасности в Дубае

Определите, какие режимы обязательны для вашего дубайского юрлица, закройте always applicable контроли и уровень P1 стандартов информационной безопасности ОАЭ, затем добавьте сверху отраслевые и договорные требования. Дорожная карта состоит из шести шагов примерно за полгода:

1. Недели 1–2, регуляторный периметр. Установите, какие режимы обязательны, а какие договорные. Компании на материковой части, в DIFC и ADGM подчиняются разным режимам, и ошибка на этом шаге дорого обходится.
2. Недели 3–4, инвентаризация активов и данных. Системы, потоки данных, юрисдикции и владельцы. Любой последующий контроль опирается на знание того, что у вас работает и где лежат данные.
3. Недели 5–8, укрепление идентификации и доступа. Многофакторная аутентификация везде, привилегированный доступ отделён от повседневных учётных записей, процесс приёма-перевода-увольнения реально исполняется, а не описан на бумаге.
4. Недели 9–12, технический базис. Сегментация сети, журналирование и мониторинг со сроками хранения, которые выдержат проверку, и резервные копии, из которых вы действительно восстанавливались.
5. Недели 13–20, реагирование на инциденты и доказательства управления. Плейбуки, маршруты эскалации, штабные учения, оформленные политики, реестр рисков с поимёнными владельцами и оценка поставщиков.
6. Недели 21–24, формальная оценка. Оценка разрывов относительно обязательного стандарта с формированием пакета доказательств, который попросят показать регулятор или заказчик.

Последовательность важнее календаря. Попытка построить мониторинг, криптографию или реагирование до появления инвентаризации активов означает, что эти контроли придётся пересобирать заново.

Зависит от отрасли и от того, кто ваши заказчики. Регламент информационной безопасности ОАЭ нацелен на организации критических отраслей и государственные цепочки поставок, но стандарты стали фактическим ориентиром корпоративной безопасности в стране. У частных компаний, участвующих в государственных и полугосударственных тендерах, регулярно запрашивают подтверждение соответствия, даже когда регламент не обязывает их напрямую. Полный перечень контролей приведён на нашей справочной странице UAE IA (NESA).

ISO 27001 — международный сертифицируемый стандарт системы управления информационной безопасностью. Регламент информационной безопасности DESC — дубайское требование, распространяющееся на государственные структуры эмирата и на организации, которые обрабатывают их данные или оказывают им услуги. ISO 27001 даёт систему управления; ISR говорит, что Дубай ожидает внутри неё. Уже проделанная работа по ISO 27001 обычно засчитывается, но не заменяет набор контролей ISR.

Точечная оценка разрывов по одному стандарту занимает четыре-шесть недель. Полный обзор уровня защищённости с дорожной картой устранения — восемь-двенадцать недель. Поддержка внедрения зависит от того, сколько нужно построить, а не описать, и обычно занимает три-девять месяцев параллельно с работой вашей команды.

Да. Всё, что мы проектируем, по умолчанию self-hosted, поэтому данные оценки, журналы и доказательства могут оставаться на инфраструктуре внутри ОАЭ на всём протяжении проекта. Мы также работаем в полностью изолированных средах, где инструментам оценки вообще не разрешён выход в интернет.

Да, и это различие важнее, чем ожидает большинство групп. Материковое юрлицо подчиняется федеральному режиму, тогда как компании в DIFC и ADGM применяют собственный закон о защите данных и отвечают перед собственным надзорным органом. Администрации свободных зон также публикуют свои требования к технологиям и аутсорсингу. Мы определяем применимый режим для каждого юрлица до начала работ по контролям, потому что ошибки периметра дорого исправлять потом.

Регулярно. Мы оцениваем ту услугу, которую вы фактически получаете, относительно подписанного договора, и это часто вскрывает пробелы в покрытии журналов, настройке оповещений и эскалации, которых не видела ни одна из сторон. Если провайдер работает хорошо, мы так и говорим и переносим фокус в другое место. Мы не перепродаём мониторинг, поэтому у нас нет коммерческого мотива рекомендовать его замену.

Да. Мы работаем из офиса в дубайском Meydan, и этапы с большим числом интервью — определение периметра и воркшопы — обычно проводятся на площадке. Оценка и подготовка документации выполняются удалённо по системам под вашим контролем, что снижает стоимость и не переносит ваши данные туда, где вы этого не одобрили.

Обзор архитектуры, перечень юрлиц и юрисдикций в периметре, существующий набор политик и реестр рисков, а также имя одного человека с правом принимать решения. Этого достаточно для определения объёма. Детальный сбор доказательств начинается после этого, чтобы никто неделями не собирал документы, которые окажутся ненужными.