Jak založit společnost pro zabezpečení identity nebo správu privilegovaného přístupu v SAE

Výchozím bodem je založení běžné firmy: DET v Dubaji, ekvivalentní oddělení hospodářského rozvoje jinde nebo úřad free zóny, které vydává licenci pod činností, jako je IT poradenství, vývoj softwaru nebo informačně bezpečnostní poradenství. Žádný z nich neudržuje samostatný kód činnosti "privilegovaná správa přístupu" nebo "governance identity", takže společnost je licencována jako technologická firma nejprve.

To, co analýzu následně mění, je služba, nikoli licence. Dodavatel, který prodává software PAM, jejž si zákazník sám nainstaluje a provozuje, je blíže běžnému softwarovému podnikání. Poskytovatel, který provozuje trezor, drží přihlašovací údaje administrátorů nebo spravuje postup nouzového přístupu (break-glass), přebírá provozní kontrolu nad cizími systémy, což určuje, co bude bezpečnostní a nákupní tým klienta po společnosti v SAE požadovat prokázat, než se připojí k čemukoli v ostrém provozu.

Pokud je koncový klient sám regulovaný, například banka, burza nebo vládní subjekt, jeho vlastní regulátor stanoví očekávání ohledně outsourcingu a řízení přístupu, která klient následně ukládá dodavatelům smlouvou. Společnost v SAE je vázána tím, co klient vyžaduje, a není licencována přímo tímto regulátorem.

Dva zdroje mají větší význam než kategorie licence. Federal Decree-Law No. 45 of 2021 reguluje zpracování osobních údajů kohokoliv uvnitř SAE, s vyjmutím pro DIFC a ADGM, které uplatňují vlastní zákony o ochraně dat. Přístupové logy a metaúdaje přihlašovacích údajů běžně obsahují osobní údaje, takže operátor PAM nebo správy identity je správcem nebo zpracovatelem dat pro údaje, které se dotýká, s obecnými povinnostmi bezpečnosti a řešení porušení vyplývajícími z tohoto statusu.

Rada pro kybernetickou bezpečnost Spojených arabských emirátů koordinuje národní strategii kybernetické bezpečnosti s deklarovaným cílem chránit kritickou infrastrukturu a zlepšovat reakci na incidenty mezi vládními a soukromými partnery. Nelicencuje soukromé bezpečnostní dodavatele identity, ale když klient spadá do sektoru, který považuje za kritickou infrastrukturu, často se očekávání Rady dostávají k dodavateli prostřednictvím klientových vlastních bezpečnostních a incident-reportingových ustanovení místo přímo udělené licence. Firmy, jejichž práce přímo zahrnuje kryptografický materiál, nikoli pouze kontrolu přístupu, by měly zkontrolovat samostatnou cestu pro post-kvantovou kryptografii nebo společnosti zabývající se zabezpečenou komunikací.

Vybavení je jedinou oblastí, kde má Telekomunikační a digitální vládní regulační úřad (TDRA) přímou roli: hardware a síťové vybavení používané, prodávané nebo distribuované v SAE obecně potřebuje registraci TDRA před použitím. Čistě softwarový nebo SaaS podnik obvykle toto nevyvolává, ale dodavatel zasílající zařízení pro bezpečnost hardwaru nebo síťové zařízení by měl před dovozem zkontrolovat registraci.

Otevření vlastního firemního účtu v SAE je okamžik, kdy se úschova přihlašovacích údajů stává bankovní otázkou, nejen technickou. Banka se zeptá, co společnost může v prostředí klienta vidět a čeho se dotýkat, jak se zaznamenává přístup a kdo může schválit nouzové obejití. To je bližší prověrce poskytovatele spravovaných služeb než prověrce prodejce softwaru. Je záhodno se na to připravit před první schůzkou o otevření účtu; viz připravenost na firemní bankovní účet.

Podniková a vládní klientela provádí před udělením přístupu vlastní posouzení dodavatele, které zahrnuje prověření zaměstnanců, oddělení povinností a opatření k obnově. Důvěryhodná odpověď odděluje běžný provozní model od případu selhání: kdo vede reakci na incidenty a kdo nese ztrátu, pokud je privilegovaná relace zneužita. Důkaz o financovaném plánu, tedy o smlouvách, personálu a infrastruktuře, které již jsou závazné, má větší váhu než popis budoucích záměrů; viz podnikatelské plány a dokumentace.

PAM nebo správy identity potřebují určené osoby za svými kontrolami, nikoli pouze seznam akcionářů. Klienti očekávají definovaného vlastníka pro trezor přihlašovacích údajů, samostatného schvalovatele pro nouzový přístup, aby stejná osoba neautorizovala a nepoužívala privilegované přístupy, a kontakt pro reakci na incidenty dosažitelný mimo pracovní dobu. Nominální ředitelé, kteří nejsou lidmi ve skutečnosti řídícími rozhodnutí o přístupu, oslabují každý bezpečnostní dotazník, který je společností požádán o vyplnění.

Pokud vlastnictví zahrnuje zahraniční investory, více holdingových úrovní nebo směs společníků fyzických i právnických osob, cesta založení i dokumentace, kterou banka nebo klient bude chtít, se komplikují; viz regulované a složité vlastnické struktury. Pokud bude při otevírání účtu zkoumána vlastní historie financování investora, připravte tento důkaz souběžně, nikoli až poté, co o něj banka požádá; viz původ majetku a prostředků.

Opakující se selhání je architektonické, nikoli administrativní. Univerzální podpůrný přístup, který může používat každý inženýr, odstraňuje auditní stopu, za kterou klient platí. Nechat jednoho administrátora schvalovat i používat privilegovaný přístup popírá kontrolu, kterou produkt znamená prodat. Závislost na jednom jmenovaném člověku nebo jednom regionu pro nouzovou obnovu přeměňuje jednotlivou nepřítomnost na odstávku pro každého klienta, kterého společnost obsluhuje. Prodej spravované služby držení přihlašovacích údajů za smluvních podmínek napsaných pro dodávku pouze softwarem nechává společnost odpovědnou za kontrolu, kterou nikdy nezahrnula do ceny.

Druhým častým selháním je nezdokumentovaný vztah s partnerem. Pokud část služby spadá k jinému poskytovateli (hosting, konkrétní integrace nebo reakce mimo pracovní dobu), měla by smlouva písemně stanovit rozsah, standardy, přístup k důkazům, odpovědnost a ukončení, než klient předpokládá, že společnost v SAE vlastní celou službu.

Po vydání licence se víza, prostory a obnovy řídí stejnými pravidly jako u jakékoli technologické společnosti, s jedním doplněním: zaměstnanci, kteří budou držet nebo schvalovat privilegovaný přístup, jsou lidé, na něž se prověřovací proces klienta zeptá jmenovitě, proto je třeba nábor naplánovat před první podnikovou smlouvou, nikoli po ní. Poplatek za obchodní licenci mainland stanoví DET podle zvolené právní formy a činnosti a balíček free zone pouze s licencí bývá levnější, ale liší se podle zóny; aktuální částku si zjistěte přímo u DET nebo zvolené free zone před sestavením rozpočtu, protože poplatek žádné z obou cest nepokrývá inženýrské, prověřovací a incidentní kapacity, jejichž financování klient či banka očekává. Registrace k dani z příjmu právnických osob u Federal Tax Authority (FTA) je pro společnost jako právnickou osobu vyžadována ve lhůtě stanovené FTA Decision No. (3) of 2024, která běží od založení nebo vydání licence, nikoli od zahájení obchodování. FTA uvádí registraci jako bezplatnou, žádá obchodní licenci, osvědčení o založení nebo zakladatelskou smlouvu a Emirates ID a pas každého vlastníka s podílem nad 25 % i oprávněných signatářů a trvá 20 pracovních dní od přijetí úplné žádosti. Kromě poplatku za licenci se náklady skládají po vrstvách a servisní poplatek Velarozone je rozepsán ve smluvním dopise; viz jak Velarozone funguje.