Wie man ein Identity-Security- oder Privileged-Access-Management-Unternehmen in den VAE gründet

Der Ausgangspunkt ist die gewöhnliche Unternehmensgründung: DET in Dubai, das entsprechende Amt für wirtschaftliche Entwicklung anderswo oder eine Free-Zone-Behörde, die eine Lizenz für eine Aktivität wie IT-Beratung, Softwareentwicklung oder Informationssicherheitsberatung ausstellt. Keine dieser Behörden pflegt einen separaten Aktivitätscode für „Privileged Access Management“ oder „Identity Governance“, sodass das Unternehmen zunächst als Technologieunternehmen lizenziert wird.

Was die Analyse im Weiteren verändert, ist die Dienstleistung, nicht die Lizenz. Ein Anbieter, der PAM-Software verkauft, die der Kunde selbst installiert und betreibt, steht einem gewöhnlichen Softwaregeschäft näher. Ein Anbieter, der den Vault betreibt, Administrator-Zugangsdaten verwahrt oder das Break-Glass-Verfahren verwaltet, übernimmt die operative Kontrolle über fremde Systeme; das bestimmt, was die Sicherheits- und Beschaffungsteams eines Mandanten vom Unternehmen in den VAE als Nachweis verlangen, bevor es sich mit irgendetwas Produktivem verbindet.

Wenn der Endmandant selbst reguliert ist, etwa eine Bank, eine Börse oder eine Regierungsstelle: Seine eigene Aufsichtsbehörde legt Erwartungen an Auslagerung und Zugriffskontrolle fest, die der Mandant den Lieferanten vertraglich auferlegt. Das Unternehmen in den VAE ist an das gebunden, was der Mandant verlangt, und wird nicht unmittelbar von dieser Aufsichtsbehörde lizenziert.

Zwei Quellen sind wichtiger als eine Lizenzkategorie. Bundeserlass-Gesetz Nr. 45 aus 2021 regelt die Verarbeitung von personenbezogenen Daten von Personen innerhalb der VAE, mit Ausnahmen für die DIFC und ADGM, die ihre eigenen Datenschutzgesetze anwenden. Zugangsprotokolle und Anmeldeinformationen enthalten routinemäßig personenbezogene Daten, sodass ein PAM- oder Identity-Governance-Anbieter ein Datenverantwortlicher oder -verarbeiter für die Daten ist, die er berührt, mit den allgemeinen Sicherheits- und Verletzungspflichten des Gesetzes, die sich aus diesem Status ergeben.

Der UAE Cyber Security Council koordiniert die nationale Cybersicherheitsstrategie mit dem erklärten Ziel, kritische Infrastrukturen zu schützen und die Reaktion auf Vorfälle bei Regierungs- und privatwirtschaftlichen Partnern zu verbessern. Er lizenziert keine privaten Identitätssicherheitsanbieter, aber wenn ein Kunde in einem Sektor tätig ist, den der Rat als kritische Infrastruktur betrachtet, erreichen die Erwartungen des Rates typischerweise den Anbieter durch die eigenen Sicherheits- und Vorfallmeldeverträge des Kunden anstatt durch eine direkte Lizenz. Unternehmen, deren Arbeit direkt mit kryptografischem Material in Berührung kommt, und nicht nur mit Zugangskontrolle, sollten den getrennten Weg für ein post-quantum kryptografie- oder sichere Kommunikationsunternehmen prüfen.

Ausrüstung ist der eine Bereich, in dem die Telecommunications and Digital Government Regulatory Authority (TDRA) eine direkte Rolle spielt: Hardware und Netzausrüstung, die in den VAE verwendet, verkauft oder vertrieben wird, benötigt im Allgemeinen eine TDRA-Registrierung vor der Nutzung. Ein reines Software- oder SaaS-Unternehmen löst dies normalerweise nicht aus, aber ein Anbieter, der Hardware-Sicherheitsmodule oder Netzwerkanlagen liefert, sollte die Registrierung vor dem Import überprüfen.

Bei der Eröffnung des eigenen Firmenkontos in den VAE wird die Verwahrung von Zugangsdaten zu einer Frage des Bankwesens und nicht nur zu einer technischen Frage. Eine Bank wird fragen, was das Unternehmen in der Umgebung eines Mandanten sehen und berühren kann, wie Zugriffe protokolliert werden und wer eine Notfallfreigabe genehmigen darf. Das ähnelt eher der Prüfung eines Managed-Service-Providers als der eines Software-Wiederverkäufers. Es lohnt sich, dies vor dem ersten Termin zur Kontoeröffnung vorzubereiten; siehe Bereitschaft für das Firmenkonto.

Unternehmens- und Regierungsmandanten führen vor der Zugangsfreigabe eine eigene Lieferantenprüfung durch, die Mitarbeiterüberprüfung, Aufgabentrennung und Wiederherstellungsvorkehrungen umfasst. Eine glaubwürdige Antwort trennt das normale Betriebsmodell vom Störungsfall: Wer leitet die Reaktion auf Sicherheitsvorfälle, und wer trägt den Schaden, wenn eine privilegierte Sitzung missbraucht wird? Der Nachweis eines finanzierten Plans, also bereits verpflichteter Verträge, Personal und Infrastruktur, hat mehr Gewicht als die Beschreibung künftiger Absichten; siehe Businesspläne und Dokumentation.

Ein PAM- oder Identity-Governance-Geschäft benötigt namentlich benannte Personen hinter den Schaltflächen, nicht nur ein Aktionärsregister. Kunden erwarten einen bestimmten Verantwortlichen für den Anmeldedatentresor, einen separaten Genehmiger für den Notzugang, sodass nicht dieselbe Person sowohl privilegierte Sitzungen autorisiert als auch nutzt, und eine Kontaktperson für die Vorfallreaktion, die außerhalb der Geschäftszeiten erreichbar ist. Nominale Direktoren, die nicht die Personen sind, die tatsächlich Zugangsentscheidungen treffen, schwächen jedes Sicherheitsfragebogen, den das Unternehmen ausfüllen muss.

Wenn zur Eigentümerstruktur ausländische Investoren, mehrere Holdingebenen oder eine Mischung aus natürlichen und juristischen Gesellschaftern gehören, werden der Gründungsweg und die Unterlagen, die eine Bank oder ein Mandant verlangt, aufwendiger; siehe regulierte und komplexe Eigentümerstrukturen. Wenn die eigene Mittelherkunft eines Investors bei der Kontoeröffnung geprüft wird, sollte dieser Nachweis parallel vorbereitet werden und nicht erst, nachdem eine Bank danach fragt; siehe Herkunft des Vermögens und der Mittel.

Das wiederkehrende Scheitern ist architektonisch, nicht administrativ. Ein universelles Unterstützungsanmeldedatum, das jeder Ingenieur verwenden kann, entfernt den Prüfpfad, für den ein Kunde bezahlt. Wenn ein Administrator sowohl privilegierten Zugriff genehmigen als auch nutzen kann, wird die Kontrolle zunichte gemacht, die das Produkt verkaufen soll. Wenn die Notfallwiederherstellung von einer bestimmten Person oder einer Region abhängt, führt eine einzelne Abwesenheit zu einem Ausfall für jeden Kunden, den das Unternehmen bedient. Der Verkauf eines Managed-, Anmeldedaten-haltenden Dienstes unter Vertragsbedingungen, die für die reine Softwarelieferung geschrieben wurden, macht das Unternehmen haftbar für eine Kontrolle, die nie eingepreist wurde.

Das zweite häufige Versäumnis ist eine nicht dokumentierte Partnerbeziehung. Wenn ein Teil der Dienstleistung bei einem anderen Anbieter liegt (Hosting, eine bestimmte Integration oder Reaktion außerhalb der Geschäftszeiten), sollte der Vertrag Umfang, Standards, Zugang zu Nachweisen, Haftung und Beendigung schriftlich regeln, bevor ein Mandant davon ausgeht, dass das Unternehmen in den VAE den gesamten Service verantwortet.

Nach Erteilung der Lizenz folgen Visa, Räumlichkeiten und Verlängerungen denselben Regeln wie bei jedem Technologieunternehmen, mit einer Ergänzung: Mitarbeiter, die privilegierten Zugriff halten oder genehmigen, sind diejenigen, nach denen das Prüfverfahren eines Mandanten namentlich fragt; die Personalgewinnung sollte daher vor dem ersten Unternehmensvertrag eingeplant werden und nicht danach. Die Gebühr für die mainland-Handelslizenz wird vom DET nach der gewählten Rechtsform und Tätigkeit festgesetzt, und ein free-zone-Paket nur mit Lizenz ist in der Regel günstiger, variiert aber je nach Zone; holen Sie den aktuellen Betrag vor der Budgetplanung direkt beim DET oder der gewählten free zone ein, da die Gebühr keiner der beiden Varianten die Engineering-, Überprüfungs- und Incident-Response-Fähigkeit abdeckt, deren Finanzierung ein Mandant oder eine Bank erwarten wird. Die Registrierung für die Körperschaftsteuer bei der Federal Tax Authority (FTA) ist für das Unternehmen als juristische Person innerhalb der Frist nach FTA Decision No. (3) of 2024 erforderlich, die ab der Gründung oder der Erteilung der Lizenz läuft und nicht ab dem Beginn der Geschäftstätigkeit. Die FTA führt die Registrierung als gebührenfrei auf, verlangt die Handelslizenz, das Gründungszertifikat oder den Gesellschaftsvertrag (memorandum of association) sowie Emirates ID und Reisepass jedes Eigentümers mit mehr als 25 % und der Zeichnungsberechtigten und benötigt 20 Werktage ab Eingang eines vollständigen Antrags. Über die Lizenzgebühr hinaus setzen sich die Kosten schichtweise zusammen, und die Velarozone Servicegebühr wird in der Mandatsvereinbarung einzeln aufgeführt; siehe so arbeitet Velarozone.