Question 1

Какво е UAE Information Assurance и кой трябва да го спазва?

Accepted Answer

UAE Information Assurance (UAE IA) обозначава стандартите за киберсигурност и защита на информацията, установени от правителството на ОАЕ чрез Регулаторния орган за телекомуникации и цифрово управление (TDRA) и други секторни регулатори. Стандартите UAE IA се прилагат за всички държавни органи, оператори на критична национална инфраструктура (CNI) и регулирани организации от частния сектор, които работят в ОАЕ. Секторни регулатори, сред които Органът за финансови услуги на Дубай (DFSA), Abu Dhabi Global Market (ADGM) и Органът за регулиране на виртуалните активи (VARA), налагат допълнителни изисквания на субектите в своята юрисдикция. Съответствието е задължително за организациите, които обработват държавни данни, работят в свободни зони, предоставят финансови услуги или управляват критична инфраструктура в седемте емирства.

Question 2

Какво е VARA и какви са изискванията му за съответствие?

Accepted Answer

Органът за регулиране на виртуалните активи (VARA) е базираният в Дубай регулатор на виртуалните активи и свързаните с тях дейности, създаден със Закон № 4 от 2022 г. на Дубай. VARA изисква от лицензираните доставчици на услуги, свързани с виртуални активи (VASP), да прилагат цялостни програми за киберсигурност, включително рамки за управление на риска, процедури за реагиране при инциденти, мерки за защита на данните, планове за непрекъснатост на дейността и редовни оценки на сигурността. VASP трябва да спазват Правилника за съответствие и управление на риска на VARA (Compliance and Risk Management Rulebook), който обхваща управлението на технологиите, управлението на киберриска, управлението на данните и оперативната устойчивост. VARA изисква също периодични независими одити и тестове за проникване. Venvera съпоставя изискванията на VARA със съществуващите ви контроли и проследява статуса на съответствие във всички задължителни области.

Question 3

Кои са областите на стандартите UAE IA?

Accepted Answer

Стандартите UAE IA са организирани в няколко области на сигурността, които обхващат целия спектър на управлението на информационната сигурност. Ключовите области включват Управление на информационната сигурност (изграждане на ръководство и отговорност за сигурността), Управление на риска (идентифициране, оценяване и третиране на рисковете за информационната сигурност), Управление на активите (инвентаризация и класифициране на информационните активи), Сигурност на човешките ресурси (проверка на персонала, обучение и отговорности), Физическа сигурност (защита на сградите и оборудването), Сигурност на комуникациите и мрежите (защита на мрежовата инфраструктура), Контрол на достъпа (управление на правата за достъп и удостоверяването на потребителите), Придобиване и разработване на информационни системи (практики за сигурна разработка), Управление на инциденти (откриване, докладване и реагиране на инциденти със сигурността), Непрекъснатост на дейността (осигуряване на оперативна устойчивост) и Съответствие (изпълнение на правните и регулаторните задължения). Venvera покрива всички области със структурирани оценки и проследяване на контролите.

Question 4

Как UAE IA се свързва с ISO 27001?

Accepted Answer

Стандартите UAE IA са силно повлияни от ISO 27001 и имат значително структурно сходство с него. Много изисквания за контроли на UAE IA се съпоставят директно с контролите от Annex A на ISO 27001, а организациите със съществуващ сертификат по ISO 27001 ще установят, че вече изпълняват 60 до 75 процента от изискванията на UAE IA. UAE IA обаче включва допълнителни изисквания, специфични за регулаторната среда в ОАЕ, като разпоредби за локализация на данните, според които определени категории данни трябва да се съхраняват в ОАЕ, специфични задължения за докладване на инциденти пред органите в ОАЕ, изисквания за поддръжка на арабски език в определени системи и специфични за CNI изисквания за сигурност на операционните технологии (OT). Venvera съпоставя контролите между UAE IA и ISO 27001, така че организациите, които преследват и двете, да избегнат дублирането на усилия и да видят точно къде са нужни допълнителни специфични за ОАЕ контроли.

Question 5

Какви са санкциите при неспазване на UAE IA?

Accepted Answer

Санкциите при неспазване на изискванията за информационна сигурност в ОАЕ варират според сектора и регулатора. TDRA може да налага административни санкции, да спира или отнема лицензи и да изисква задължително отстраняване на нарушенията от несъответстващите субекти. DFSA може да налага глоби до 100 милиона щатски долара за сериозни регулаторни нарушения от финансови институции в DIFC. Регулаторът на финансовите услуги в ADGM може да налага подобни санкции в рамките на своята юрисдикция. VARA може да глобява доставчиците на услуги, свързани с виртуални активи, да спира разрешенията им за търговия и да отнема лицензите им при пропуски в киберсигурността. За операторите на критична национална инфраструктура неспазването може да доведе до наказателна отговорност по федералното законодателство на ОАЕ за киберпрестъпленията (Федерален указ-закон № 34 от 2021 г.). Отвъд официалните санкции неспазването може да доведе до загуба на държавни договори, вреди за репутацията и невъзможност за работа в регулираните сектори.

Question 6

Какво представлява Националната стратегия за киберсигурност на ОАЕ?

Accepted Answer

Националната стратегия за киберсигурност на ОАЕ, под надзора на Съвета за киберсигурност, определя стратегическата посока за защита на цифровата инфраструктура и данните на ОАЕ. Тя се фокусира върху пет стълба: защита на критичните цифрови активи и инфраструктура, създаване на безопасна и устойчива киберсреда, изграждане на национален капацитет и таланти в киберсигурността, насърчаване на иновациите в киберсигурността и укрепване на международните партньорства. Стратегията движи регулаторните изисквания във всички сектори, като задължава организациите да внедряват контроли за сигурност, основани на риска, да извършват редовни оценки, да докладват инциденти на националния CERT (aeCERT) и да поддържат способности за непрекъснатост на дейността. Venvera съгласува вашата програма за сигурност с тези стратегически цели и ви помага да докажете съответствие с произтичащите от тях регулаторни изисквания на TDRA, DFSA, ADGM и VARA.

Question 7

Как регулациите на свободните зони в Дубай взаимодействат с UAE IA?

Accepted Answer

В Дубай действат няколко свободни зони, всяка със собствена регулаторна рамка, която надгражда федералните изисквания на ОАЕ. Международният финансов център на Дубай (DIFC) се регулира от DFSA, който налага собствени правила за киберсигурност и защита на данните, съгласувани с международните стандарти. ADGM в Абу Даби също има собствена регулаторна рамка за финансовите услуги. Dubai Multi Commodities Centre (DMCC), Dubai Internet City и други свободни зони имат различни нива на изисквания за киберсигурност. Организациите трябва да спазват както федералните стандарти UAE IA, така и всички допълнителни изисквания, наложени от регулатора на тяхната свободна зона. На практика това означава многопластови задължения за съответствие, при които федералните изисквания формират основата, а регулациите на свободните зони добавят секторни или юрисдикционни контроли. Venvera проследява изискванията в няколко юрисдикции, така че да управлявате на едно място задълженията си за съответствие към федералните регулатори, регулаторите на отделните емирства и тези на свободните зони.

Question 8

Има ли софтуер за съответствие със стандартите UAE IA?

Accepted Answer

Да. Venvera е софтуер за съответствие с UAE IA, който покрива областите на UAE Information Assurance и техните контроли. Той ви дава набор от контроли, съобразен с вашия обхват, оценка на пропуските, която измерва готовността ви спрямо стандарта, и работно пространство с доказателства, съпоставено с всяка област. Тъй като съпоставя контроли между рамките, доказателствата, които вече имате за ISO 27001 или NIST CSF, попълват предварително голяма част от вашата позиция по UAE IA. Започнете с безплатна проверка за съответствие, преди да поемете ангажимент.

Област	NIST SP 800-53	UAE IA
Криптиране	SC-13Криптографска защита SC-28Защита на информацията в покой SC-8Поверителност и цялост при предаване	T3.4Уредена ли е криптографията с политика, прилага ли се към данните в покой и при пренос, подкрепена ли е с управление на ключовете през целия им жизнен цикъл и оценена ли е готовността за постквантова криптография?
Контрол на достъпа	AC-3Налагане на правилата за достъп AC-6Най-малки привилегии	T5.2Управляват ли се идентичностите при постъпване, преместване и напускане, разрешават ли се правата на достъп от собствениците, води ли се опис на привилегирования достъп и контролира ли се той и преглеждат ли се правата на достъп?
Удостоверяване и MFA	IA-2Идентификация и удостоверяване (потребители от организацията) IA-5Управление на средствата за удостоверяване	T5.3Сигурно ли е удостоверяването, с многофакторно удостоверяване, където се изисква, ограничен ли е достъпът в приложенията, контролиран ли е отдалеченият достъп и ограничени ли са привилегированите помощни програми?
Управление на инциденти	IR-4Обработване на инциденти	T8.2Има ли план за реагиране при инциденти с поименно определено лице с правомощия за вземане на решения и схема за класифициране, съотнесена с праговете за външно уведомяване?
Докладване на инциденти	IR-6Докладване на инциденти	T8.2Документират ли се инцидентите, включително времето на откриване и направените уведомления, преглеждат ли се за установяване на първопричината с изпълнени последващи действия и събират ли се и съхраняват ли се доказателствата така, че да останат допустими?
Непрекъснатост на дейността	CP-2План за действие при извънредни ситуации	T9.1Осигурена ли е готовност на ИКТ за непрекъснатост на дейността спрямо целите за възстановяване, определени от бизнеса, като контролите за сигурност се поддържат и по време на прекъсване?
Управление на риска от трети страни	SR-2План за управление на риска във веригата на доставки	T6.2Поддържа ли субектът регистър на третите страни с оценка на риска и оценява ли сигурността им, преди да им предостави достъп?
Договори с доставчици	SR-5Стратегии, инструменти и методи за придобиване PS-7Сигурност на външния персонал	T6.2Адресирани ли са изискванията за сигурност в споразуменията с трети страни и надолу по веригата на доставки на ИКТ и наблюдават ли се и преглеждат ли се услугите на трети страни през цялото времетраене на отношенията?
Оценка на риска	RA-3Оценка на риска PM-9Стратегия за управление на риска	M2.2Идентифицира ли, анализира ли и оценява ли субектът систематично рисковете за информационната сигурност спрямо определените от него критерии за информационните активи в обхвата?
Политика за информационна сигурност	AC-1Политика и процедури PL-2Планове за сигурност и поверителност на системите	M1.2Одобрило ли е висшето ръководство политика за информационна сигурност, определило ли е измерими цели за сигурност и издало ли е изискваните от стандарта тематични политики в нейна подкрепа?
Обучение за осведоменост по сигурността	AT-2Обучение за грамотност по сигурност и осведоменост AT-3Обучение според ролята	M3.2Има ли програма за осведоменост и обучение по информационна сигурност, която обхваща целия персонал, с определени съдържание и честота?
Класификация на данните	MP-4Съхранение на носители	T1.3Класифицирана и етикетирана ли е информацията по определена схема, като правилата за работа с всяко ниво на класификация се прилагат на практика?
Тестване на сигурността	SA-11Тестване и оценка от разработчика CA-2Оценки на контролите	T3.3Използва ли субектът разузнаване на заплахите и управлява ли техническите уязвимости, със срокове за отстраняване според тежестта и измерване на изпълнението спрямо тях?
Уведомяване за нарушения	IR-6Докладване на инциденти SR-8Споразумения за уведомяване	T8.2Документират ли се инцидентите, включително времето на откриване и направените уведомления, преглеждат ли се за установяване на първопричината с изпълнени последващи действия и събират ли се и съхраняват ли се доказателствата така, че да останат допустими?

Работете в ОАЕ в съответствие с IA / NESA.

Каква част от UAE IA вече покривате?

Софтуер за съответствие с UAE IA за Стандарта за информационна сигурност

Какво е UAE Information Assurance и защо ви е нужен, за да правите бизнес?

Всичките 134 контроли на UAE IA в един жив запис.

Сертифицирани сте по ISO 27001? Вече сте изминали по-голямата част от пътя.

Регистър на рисковете, който регулаторът признава.

Знайте къде сте, преди проверяващият да пристигне.

Доказателствата, които проверяващият изисква, вече подредени.

Политики, съпоставени директно с контролите, които покриват.

Отчети с един клик за всеки регулатор в ОАЕ, пред когото отговаряте.

Надзор на ниво CNI, зад който бордът ви може да застане.

Таблицата или Venvera.

UAE IA, с отговори.

Наръчници за UAE IA

Готови за UAE IA, готови за пазара.