Cómo establecer una empresa de seguridad de identidad o gestión de acceso privilegiado en los EAU

El punto de partida es la formación ordinaria de la empresa: el DET en Dubai, el departamento equivalente de desarrollo económico en otro lugar o una autoridad de free zone, emitiendo una licencia bajo una actividad como consultoría de TI, desarrollo de software o consultoría de seguridad de la información. Ninguno mantiene un código de actividad distinto para "gestión de acceso privilegiado" o "gobernanza de identidad," por lo que la empresa se licencia como un negocio de tecnología en primer lugar.

Lo que cambia el análisis después es el servicio, no la licencia. Un proveedor que vende software PAM para que el cliente lo instale y lo explote se parece más a un negocio de software ordinario. Un proveedor que opera la bóveda, custodia credenciales de administrador o gestiona el procedimiento de acceso de emergencia (break-glass) asume el control operativo de sistemas ajenos, lo que determina qué pedirán los equipos de seguridad y compras de un cliente que la empresa de EAU demuestre antes de conectarse a nada en producción.

Cuando el cliente final está a su vez regulado, como un banco, una bolsa o una entidad pública, su propio regulador fija expectativas de externalización y de control de acceso que el cliente impone después a los proveedores por contrato. La empresa de EAU queda vinculada por lo que exige el cliente; ese regulador no le concede una licencia directamente.

Dos fuentes son más importantes que una categoría de licencia. El Decreto-Ley Federal No. 45 de 2021 regula el procesamiento de datos personales de cualquier persona dentro de los EAU, con exenciones para el DIFC y ADGM, que aplican sus propias leyes de protección de datos. Los registros de acceso y los metadatos de las credenciales suelen contener datos personales, por lo que un operador de PAM o gobernanza de identidad es un controlador o procesador de datos para los datos que toca, con las obligaciones generales de seguridad y manejo de incumplimientos de la ley siguiendo ese estatus.

El Consejo de Seguridad Cibernética de los EAU coordina la estrategia nacional de ciberseguridad, con el objetivo declarado de proteger la infraestructura crítica y mejorar la respuesta a incidentes en el gobierno y los socios del sector privado. No licencia a los proveedores privados de seguridad de identidad, pero cuando un cliente se encuentra en un sector que trata como infraestructura crítica, las expectativas del Consejo generalmente llegan al proveedor a través de las propias cláusulas de seguridad e informes de incidentes del cliente en lugar de una licencia directa. Las empresas cuyo trabajo toca material criptográfico directamente, en lugar de solo el control de acceso, deben revisar la ruta separada para una empresa de criptografía post-cuántica o comunicaciones seguras.

El equipamiento es el único área donde la Telecommunications and Digital Government Regulatory Authority (TDRA) tiene un papel directo: el hardware y equipo de red utilizados, vendidos o distribuidos en los EAU generalmente necesitan registro en la TDRA antes de su uso. Un negocio puramente de software o SaaS no suele desencadenar esto, pero un proveedor que envía módulos de seguridad de hardware o aparatos de red debe verificar el registro antes de la importación.

La apertura de la cuenta corporativa propia en EAU es el momento en que la custodia de credenciales pasa a ser una cuestión bancaria y no solo técnica. Un banco preguntará qué puede ver y tocar la empresa dentro del entorno de un cliente, cómo se registra el acceso y quién puede aprobar una anulación de emergencia. Esto se parece más a la revisión que se hace a un proveedor de servicios gestionados que a la de un revendedor de software. Conviene prepararlo antes de la primera reunión de apertura de cuenta; véase preparación de la cuenta bancaria corporativa.

Los clientes empresariales y públicos realizan su propia evaluación de proveedores antes de conceder acceso, que abarca la verificación del personal, la segregación de funciones y los mecanismos de recuperación. Una respuesta creíble separa el modelo operativo normal del caso de fallo: quién dirige la respuesta a incidentes y quién asume la pérdida si se hace un uso indebido de una sesión privilegiada. La prueba de un plan financiado, es decir, contratos, personal e infraestructura ya comprometidos, pesa más que la descripción de una intención futura; véase planes de negocio y documentación.

Un negocio de PAM o gobernanza de identidad necesita personas nombradas detrás de sus controles, no solo un registro de accionistas. Los clientes esperan un propietario definido para el cofre de credenciales, un aprobador separado para el acceso de emergencia para que la misma persona no autorice y use sesiones privilegiadas, y un contacto de respuesta a incidentes disponible fuera de horario laboral. Los directores nominales que no son las personas que realmente toman decisiones de acceso debilitan cada cuestionario de seguridad que la empresa se ve obligada a completar.

Cuando la titularidad incluye inversores extranjeros, varias capas de sociedades holding o una mezcla de socios personas físicas y jurídicas, la vía de constitución y la documentación que querrán un banco o un cliente se vuelven más complejas; véase estructuras de titularidad reguladas y complejas. Cuando el historial de financiación del propio inversor vaya a examinarse en la apertura de la cuenta, prepare esa prueba en paralelo y no después de que un banco la pida; véase origen del patrimonio y de los fondos.

El fracaso recurrente es arquitectónico, no administrativo. Una credencial de soporte universal que cada ingeniero pueda usar elimina la pista de auditoría por la que un cliente está pagando. Permitir que un administrador apruebe y use el acceso privilegiado derrota el control que el producto pretende vender. Hacer que la recuperación de emergencia dependa de una persona nombrada o de una región convierte una ausencia única en una interrupción para cada cliente que la empresa sirve. Vender un servicio gestionado y que retiene credenciales bajo condiciones contractuales escritas para una entrega solo de software deja a la empresa responsable de un control que nunca presupuestó.

El segundo fallo habitual es una relación con un socio sin documentar. Cuando parte del servicio está en manos de otro proveedor (alojamiento, una integración concreta o respuesta fuera de horario), el contrato debe fijar por escrito el alcance, los estándares, el acceso a las pruebas, la responsabilidad y la terminación, antes de que un cliente dé por hecho que la empresa de EAU es dueña de todo el servicio.

Una vez emitida la licencia, los visados, los locales y las renovaciones siguen las mismas reglas que cualquier empresa tecnológica, con una adición: el personal que vaya a custodiar o aprobar accesos privilegiados es aquel por el que el proceso de verificación de un cliente preguntará por su nombre, por lo que la contratación debe programarse antes del primer contrato empresarial y no después. La tasa de la licencia comercial mainland la fija el DET según la forma jurídica y la actividad elegidas, y un paquete free zone solo de licencia suele ser más barato pero varía según la zona; obtenga la cifra vigente directamente del DET o de la free zone elegida antes de presupuestar, ya que la tasa de ninguna de las dos vías cubre la capacidad de ingeniería, verificación y respuesta a incidentes que un cliente o un banco esperarán ver financiada. El registro del impuesto sobre sociedades ante la Federal Tax Authority (FTA) es obligatorio para la empresa como persona jurídica dentro del plazo fijado por la FTA Decision No. (3) of 2024, que corre desde la constitución o la emisión de la licencia y no desde que el negocio empieza a operar. La FTA indica que el registro es gratuito, solicita la licencia comercial, el certificado de constitución o el memorando de asociación, y el Emirates ID y el pasaporte de todo propietario con más del 25 % y de los firmantes autorizados, y tarda 20 días hábiles desde la recepción de una solicitud completa. Más allá de la tasa de la licencia, el coste se construye por capas, y los honorarios de servicio de Velarozone se detallan en la carta de encargo; véase cómo funciona Velarozone.