Великобритания: открываем услуги по кибербезопасности — регулируется ли сфера и где регистрироваться?

С точки зрения права самый скользкий момент — Computer Misuse Act 1990. Доступ к чужой системе без явного согласия владельца считается уголовным преступлением, даже если это пентест. Поэтому перед каждым проектом критически важно подписывать подробный договор с авторизацией работ (scope of work), где четко зафиксированы цели, время и границы тестирования.

Мы открылись два года назад с похожей структурой. Регистрация компании обошлась примерно в 50 фунтов. Регистрационный сбор в Информационную комиссию для масштаба МСП был около 40 фунтов в год. За профессиональную компенсационную страховку на 2 000 000 фунтов и страхование киберрисков мы заплатили 850 фунтов премии за первый год. Полностью вышли на операционную работу за две недели.

По законодательству о защите данных вы обязательно должны заключить с клиентами договор об обработке данных. Поскольку во время пентеста может возникнуть вероятность доступа к персональным данным третьих лиц, заранее прописанные протоколы защиты данных и процедуры уведомления на случай возможной утечки станут вашей юридической гарантией.

Для старта придерживайтесь такого порядка: 1) Зарегистрируйте компанию. 2) Откройте регистрацию в Информационной комиссии и оплатите сбор. 3) Оформите полис профессиональной компенсационной ответственности у хорошего страхового агента. 4) Закажите договор на оказание услуг и форму авторизации на тестирование, соответствующие британскому праву. Всё, вы готовы давать предложения.

Ваша клиентская база будет только малым бизнесом в частном секторе, или вы планируете участвовать в госзакупках и предлагать услуги местным органам власти? Потому что на государственной стороне правила меняются, и наличие сертификатов кибербезопасности, одобренных государством, становится фактически обязательным.

Не надо путать лицензию и аккредитацию. Государство не говорит "без лицензии тестировать нельзя". Но участники рынка и аудиторские организации могут сказать "если ты не аккредитован твоему отчёту я не доверяю". На этапе становления, чтобы не проесть бюджет самое разумное — сначала запустить услугу и на первые доходы податься на добровольные отраслевые аккредитации.

добро пожаловать в Лондон, рынок очень живой, но порог доверия высокий. британские МСП даже без регуляции очень внимательно смотрят на вашу страховку. пока вы вкладываете полис в досье и крепко составляете договор на старте никаких официальных препятствий не возникнет, удачи.

Официального лицензионного требования нет; достаточно оплатить сбор за защиту данных и оформить надёжную страховку профессиональной компенсационной ответственности.

Буду рад, если напишете о результате.

Я бы не торопился. Время обнаружения проблемы напрямую определяет ее стоимость.

Проверено опытом.

Мы тоже какое-то время назад застряли на том же месте. Без измерений мы всегда приходим к одному и тому же.

Спасибо, очень помогло.

хочу задать вопрос. ну если путь уведомления длинный уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

исправьте, если я ошибаюсь.

Взял на заметку, спасибо. в общем если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Конечно, если ваша ситуация отличается всё меняется.

Мы тоже какое-то время назад застряли на том же месте. Ошибка, сделанная на стороне регулирование услуг кибербезопасности, обычно исправима, но дорого.

Проверено опытом.

Не могли бы вы это пояснить? Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Ошибка, сделанная на стороне регулирование услуг кибербезопасности, обычно исправима, но дорого. Удачи.

Попробую. Главное не цифра, а то, на основе чего она получена.

При принятии решений записывайте и худший сценарий, а не только лучший. Пишите, если есть вопросы, отвечу по мере возможности.

У нас было так. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Надеюсь это будет полезно.