Управление информационной безопасностью в ОАЭ

Always applicable контроли — это управленческие контроли, перечисленные в Приложении A Регламента информационной безопасности ОАЭ. Их нужно внедрить независимо от результатов оценки рисков, и регламент прямо указывает, что пропуск любого из них означает несоответствие. Они делятся на пять семейств:

• M1, стратегия и планирование. Контекст организации, приверженность руководства, определённые роли, политика информационной безопасности и поддерживающие политики, ресурсы, коммуникация и документация.
• M2, управление рисками ИБ. Полный цикл: идентификация, анализ, оценка, варианты обработки, план обработки рисков, заявление о применимости, цели, мониторинг и консультации.
• M3, осведомлённость и обучение. Документированная программа, выявленные потребности в обучении, план внедрения и доказательства того, что обучение действительно проведено.
• M4, безопасность персонала. Весь цикл найма: проверка кандидатов, условия трудового договора, обязанности руководителей, дисциплинарный процесс, обязанности при увольнении, возврат активов и отзыв прав доступа.
• M6, оценка результативности и улучшение. Мониторинг и измерения, внутренние аудиты, корректирующие действия и постоянное улучшение.

Обратите внимание на частую путаницу: always applicable — не то же самое, что приоритетный уровень P1. В P1 входит 39 контролей, и он задаёт очерёдность внедрения, а не применимость контроля. Регламент держит их в разных приложениях. Полный список always applicable контролей с идентификаторами мы приводим на справочной странице UAE IA (NESA).

Ответственность распределена. Национальная система Information Assurance относится к федеральным органам радиотехнической разведки и кибербезопасности: изначально она выпущена под эгидой NESA и поддерживается их правопреемниками. Дубай добавляет Дубайский центр электронной безопасности с его Регламентом информационной безопасности. Здравоохранение Абу-Даби подпадает под ADHICS. Финансовые свободные зоны, такие как DIFC и ADGM, поверх этого применяют собственные режимы защиты данных.

Федеральный декрет-закон № 45 от 2021 года применяется к обработке персональных данных людей, находящихся в ОАЭ, в том числе контролёрами и обработчиками за пределами страны. Финансовые свободные зоны с собственными законами о защите данных, прежде всего DIFC и ADGM, выведены из-под него и применяют свой режим, что важно, если ваше юрлицо находится в одной из них. Наша справочная страница UAE PDPL описывает сферу действия, трансграничную передачу и сроки уведомления об утечке.

Сопоставьте всё с одним набором контролей, а поверх поддерживайте представления под конкретные стандарты. Большинство требований ОАЭ и ЕС сильно пересекаются в части управления доступом, журналирования, реагирования на инциденты и работы с поставщиками, а различаются в основном сроками уведомлений, размещением данных и тем, кого нужно уведомить. Один реестр с несколькими сопоставлениями избавляет от поддержки двух противоречащих друг другу библиотек политик.

Минимум раз в год плюс внеплановый пересмотр всякий раз, когда существенно меняются архитектура, регуляторный периметр или состав поставщиков. Проверяющие ищут доказательства того, что пересмотр действительно состоялся и был утверждён уполномоченным лицом, а не просто дату в шапке документа.

Подотчётность лежит на совете директоров или исполнительном комитете; повседневная ответственность — на назначенном руководителе по безопасности, чья линия отчётности не проходит через проверяемое подразделение. Стандарты информационной безопасности ОАЭ фиксируют это прямо: M1.1.3 требует определённых ролей и обязанностей, а M1.1.2 — доказуемой приверженности руководства. Оргструктура, где безопасность подчинена тому же руководителю, который отвечает за сроки поставки, почти в любой проверке становится замечанием.

Меньше, чем подразумевает большинство вендоров, при условии что конвейер доказательств автоматизирован. Средняя компания в ОАЭ обычно обходится одним руководителем по безопасности на полной ставке, частью времени аналитика по рискам или комплаенсу и назначенными владельцами контролей внутри команд, которые и так эксплуатируют системы. Штат раздувает именно ручной сбор доказательств, поэтому важнейшее решение по очерёдности — автоматизировать доказательства раньше, чем нанимать людей под них.

Четыре вещи: что изменилось в картине угроз и регулирования, какие риски сдвинулись и почему, сколько стоила программа устранения по сравнению с тем, что она дала, и какой остаточный риск совету предлагается принять. Количество контролей и тепловые карты без привязанного решения — шум. Пакет отчётности должен формироваться из того же реестра, с которым работают операционные команды, чтобы взгляд совета и рабочий взгляд не расходились.

Назначьте каждому риску владельца поимённо, а не отдел, задайте дату пересмотра, которая создаёт задачу, а не напоминание, и привяжите планы обработки к работе, уже отслеживаемой в вашем обычном процессе поставки. Реестр, живущий вне систем, в которых люди работают, обновляется за неделю до аудита и больше никогда, и проверяющие распознают этот шаблон мгновенно.