كيفية تأسيس شركة لأمن الهوية أو إدارة الوصول المتميز في الإمارات العربية المتحدة

نقطة الانطلاق هي تكوين الشركة العادي: دائرة الاقتصاد والسياحة في دبي، والدائرة المكافئة للتنمية الاقتصادية في مكان آخر، أو هيئة المنطقة الحرة، حيث تصدر رخصة تحت نشاط مثل استشارات تكنولوجيا المعلومات، تطوير البرمجيات أو استشارات الأمان المعلوماتي. لا تحافظ أي منها على رمز نشاط مميز لإدارة الوصول المميز أو إدارة الهوية، لذلك يتم ترخيص الشركة كأعمال تكنولوجية أولاً.

ما يغيّر التحليل لاحقاً هو الخدمة لا الرخصة. فالمورّد الذي يبيع برمجيات PAM ليقوم العميل بتثبيتها وتشغيلها أقرب إلى نشاط برمجيات عادي. أما المزوّد الذي يشغّل الخزنة أو يحتفظ ببيانات اعتماد المسؤولين أو يدير إجراء الوصول الطارئ (break-glass) فإنه يتولى سيطرة تشغيلية على أنظمة تعود لغيره، وهذا يحدد ما سيطلب فريقا الأمن والمشتريات لدى العميل من الشركة في الإمارات إثباته قبل أن ترتبط بأي نظام حي.

حين يكون العميل النهائي نفسه خاضعاً للتنظيم، كبنك أو بورصة أو جهة حكومية، فإن الجهة التنظيمية الخاصة به تضع توقعات للاستعانة بمصادر خارجية ولضبط الوصول يفرضها العميل بعد ذلك على الموردين بموجب العقد. وتلتزم الشركة في الإمارات بما يطلبه العميل، ولا تحصل على ترخيص من تلك الجهة التنظيمية مباشرة.

تعد مصادران أكثر أهمية من فئة الترخيص. يحكم المرسوم بقانون اتحادي رقم 45 لعام 2021 معالجة البيانات الشخصية لأي شخص داخل الإمارات، مع استثناءات لمركز دبي المالي العالمي (DIFC) وسلطة تنظيم الخدمات المالية بأبوظبي (ADGM)، اللذان يطبقان قوانين حماية البيانات الخاصة بهما. تحتوي سجلات الوصول وبيانات اعتماد البيانات بشكل روتيني على بيانات شخصية، لذلك فإن مشغل إدارة الوصول المميز أو إدارة الهوية يعد مراقب بيانات أو معالج للبيانات التي يتعامل معها، وتتبعه واجبات الأمان العامة والتعامل مع الانتهاكات لهذا الوضع.

يقوم مجلس الأمن السيبراني الإماراتي بتنسيق الاستراتيجية الوطنية للأمن السيبراني، بهدف معلن هو حماية البنية التحتية الحيوية وتحسين استجابة الحوادث عبر الشركاء في الحكومة والقطاع الخاص. لا يقوم بترخيص بائعي أمان الهوية الخاصين، ولكن عندما يجلس العميل في قطاع يعامله كالبنية التحتية المهمة، تمتد توقعات المجلس عادةً للبائع عبر بنود الأمان وتقديم التقارير عن الحوادث الخاصة بالعميل، بدلاً من ترخيص مباشر. الشركات التي تمس عملها المواد التشفيرية مباشرة، وليس التحكم في الوصول وحده، يجب أن تحقق في المسار المنفصل لـشركة التشفير بعد الكوانتم أو الاتصالات الآمنة.

المعدات هي المنطقة الوحيدة التي تقوم فيها هيئة تنظيم الاتصالات والحكومة الرقمية (TDRA) بدور مباشر: تحتاج الأجهزة والشبكات المستخدمة أو المباعة أو الموزعة في الإمارات بشكل عام إلى تسجيل TDRA قبل الاستخدام. عادةً لا يؤدي نشاط برمجيات أو SaaS بحت إلى هذا، ولكن يجب على البائع الذي يشحن وحدات أمان الأجهزة أو الأجهزة الشبكية التحقق من التسجيل قبل الاستيراد.

عند فتح الحساب المصرفي للشركة في الإمارات تصبح حيازة بيانات الاعتماد مسألة مصرفية لا تقنية فحسب. فسيسأل البنك عما تستطيع الشركة رؤيته والتعامل معه داخل بيئة العميل، وكيف يُسجَّل الوصول، ومن يملك الموافقة على تجاوز طارئ. وهذا أقرب إلى المراجعة التي تُجرى لمزوّد خدمات مُدارة منه إلى موزّع برمجيات. ويستحق الأمر التحضير قبل أول اجتماع لفتح الحساب؛ راجع الجاهزية لفتح حساب مصرفي للشركة.

تجري المؤسسات والجهات الحكومية تقييمها الخاص للمورّد قبل منح الوصول، ويشمل التدقيق في الموظفين وفصل المهام وترتيبات التعافي. والإجابة الموثوقة تفصل بين نموذج التشغيل المعتاد وحالة الإخفاق: من يقود الاستجابة للحوادث، ومن يتحمل الخسارة إذا أُسيء استخدام جلسة مميزة. ودليل الخطة الممولة، أي العقود والموظفون والبنية التحتية الملتزم بها فعلاً، أثقل وزناً من وصف النوايا المستقبلية؛ راجع خطط الأعمال والوثائق.

تحتاج شركة إدارة الوصول المميز أو حوكمة الهوية إلى أشخاص محددين خلف عناصر التحكم فيها، وليس فقط سجل المساهمين. يتوقع العملاء وجود مالك محدد لخزنة بيانات الاعتماد، وموافق منفصل للوصول الطارئ حتى لا يكون نفس الشخص هو الذي يقوم بكل من التفويض واستخدام الجلسات المميزة، وتواصل للاستجابة للحوادث يمكن الوصول إليه خارج ساعات العمل. المديرون الاسميون الذين ليسوا الأشخاص الذين يديرون قرارات الوصول فعليًا يضعفون كل استبيان أمان يُطلب من الشركة إكماله.

حين تشمل الملكية مستثمرين أجانب أو عدة طبقات من الشركات القابضة أو مزيجاً من المساهمين الأفراد والشركات، يصبح مسار التأسيس والوثائق التي سيطلبها البنك أو العميل أكثر تعقيداً؛ راجع هياكل الملكية الخاضعة للتنظيم والمعقدة. وحين يُتوقع تدقيق تاريخ تمويل المستثمر نفسه عند فتح الحساب، يُحضَّر هذا الدليل بالتوازي لا بعد أن يطلبه البنك؛ راجع مصدر الثروة والأموال.

الفشل المتكرر هو معماري، وليس إداري. إلغاء بيانات الاعتماد العالمية التي يمكن لكل مهندس استخدامها يزيل مسار التدقيق الذي يدفع العميل مقابله. السماح لمسؤول واحد بأن يقوم بكلًا من التفويض واستخدام الوصول المميز يقضي على التحكم الذي يُفترض أن يبيعه المنتج. جعل الاسترداد الطارئ يعتمد على شخص واحد محدد، أو منطقة واحدة، يتحول إلى تعطل لأي عميل تخدمه الشركة في حالة غياب واحدة. بيع خدمة مُدارة تحتفظ ببيانات الاعتماد تحت شروط العقد المكتوبة للتسليم البرمجي فقط تترك الشركة مسئولة عن التحكم الذي لم يتم تحديد سعر له.

الإخفاق الشائع الثاني هو علاقة شراكة غير موثقة. فحين يكون جزء من الخدمة لدى مزوّد آخر (استضافة أو تكامل محدد أو استجابة خارج ساعات العمل)، ينبغي أن ينص العقد كتابةً على النطاق والمعايير والاطلاع على الأدلة والمسؤولية والإنهاء، قبل أن يفترض العميل أن الشركة في الإمارات تملك الخدمة كاملة.

بعد إصدار الرخصة، تتبع التأشيرات والمقار والتجديدات القواعد نفسها المطبقة على أي شركة تقنية، مع إضافة واحدة: الموظفون الذين سيحتفظون بالوصول المميز أو يوافقون عليه هم من سيسأل عنهم تدقيق العميل بالاسم، ولذلك ينبغي ترتيب التوظيف قبل أول عقد مع مؤسسة لا بعده. وتحدد DET رسم الرخصة التجارية في البر الرئيسي (mainland) بحسب الشكل القانوني والنشاط المختارين، وتكون باقة الرخصة وحدها في المنطقة الحرة (free zone) أرخص عادةً لكنها تتفاوت بحسب المنطقة؛ فاحصل على الرقم الحالي مباشرة من DET أو من المنطقة الحرة المختارة قبل وضع الميزانية، لأن رسم أي من المسارين لا يغطي القدرة الهندسية والتدقيق في الموظفين والاستجابة للحوادث التي يتوقع العميل أو البنك أن يراها ممولة. والتسجيل لأغراض ضريبة الشركات لدى الهيئة الاتحادية للضرائب (FTA) مطلوب للشركة بوصفها شخصاً اعتبارياً خلال المهلة المحددة في FTA Decision No. (3) of 2024، وهي تسري من التأسيس أو من إصدار الرخصة لا من بدء التداول. وتذكر FTA أن التسجيل مجاني، وتطلب الرخصة التجارية وشهادة التأسيس أو عقد التأسيس، والهوية الإماراتية وجواز السفر لكل مالك تزيد حصته على 25 % وللمفوضين بالتوقيع، وتستغرق 20 يوم عمل من استلام طلب مكتمل. وإلى جانب رسم الرخصة، تتكون التكلفة من طبقات، وتُفصَّل رسوم خدمة Velarozone في كتاب الارتباط (engagement letter)؛ راجع كيف تعمل Velarozone.