Comment établir une entreprise de sécurité des identités ou de gestion des accès privilégiés aux Émirats Arabes Unis

Le point de départ est la création ordinaire d'une entreprise : le DET à Dubaï, le département équivalent de développement économique ailleurs, ou une autorité de free zone, délivrant une licence sous une activité telle que le conseil en IT, le développement de logiciels ou le conseil en sécurité de l'information. Aucun ne maintient de code d'activité distinct pour "gestion de privilèges d'accès" ou "gouvernance de l'identité", donc l'entreprise est d'abord licenciée en tant qu'entreprise technologique.

Ce qui modifie ensuite l'analyse, c'est le service, et non la licence. Un éditeur qui vend un logiciel PAM que le client installe et exploite lui-même se rapproche d'une activité logicielle ordinaire. Un prestataire qui exploite le coffre-fort, détient des identifiants d'administrateur ou gère la procédure d'accès d'urgence (break-glass) prend le contrôle opérationnel des systèmes d'autrui, ce qui détermine ce que les équipes sécurité et achats d'un client demanderont à la société des EAU de démontrer avant de se connecter à quoi que ce soit en production.

Lorsque le client final est lui-même réglementé, par exemple une banque, une bourse ou une entité publique, son propre régulateur fixe des attentes en matière d'externalisation et de contrôle d'accès que le client impose ensuite à ses fournisseurs par contrat. La société des EAU est liée par ce que le client exige ; elle n'est pas licenciée directement par ce régulateur.

Deux sources importent plus qu'une catégorie de licence. Le Décret-Loi Fédéral n° 45 de 2021 régit le traitement des données personnelles de toute personne à l'intérieur des EAU, avec des exceptions pour la DIFC et l'ADGM, qui appliquent leurs propres lois sur la protection des données. Les journaux d'accès et les métadonnées des identifiants contiennent régulièrement des données personnelles, donc un opérateur PAM ou de gouvernance de l'identité est un contrôleur ou un processeur de données pour les données qu'il touche, avec les obligations générales de sécurité et de gestion des violations de la loi découlant de ce statut.

Le UAE Cyber Security Council coordonne la stratégie nationale en matière de cybersécurité, avec pour objectif déclaré de protéger les infrastructures critiques et d'améliorer la réponse aux incidents parmi les partenaires gouvernementaux et du secteur privé. Il ne délivre pas de licence aux fournisseurs privés de sécurité d'identité, mais lorsqu'un client appartient à un secteur qu'il considère comme une infrastructure critique, les attentes du Conseil atteignent généralement le fournisseur par les clauses de sécurité et de déclaration des incidents propres au client plutôt qu'une licence directe. Les entreprises dont le travail touche directement à la matière cryptographique, plutôt qu'au seul contrôle d'accès, devraient vérifier la voie distincte pour une entreprise de cryptographie post-quantum ou de communications sécurisées.

L'équipement est le seul domaine où l'Autorité de Régulation des Télécommunications et du Gouvernement Numérique (TDRA) joue un rôle direct : le matériel et l'équipement réseau utilisés, vendus ou distribués aux EAU nécessitent généralement un enregistrement TDRA avant utilisation. Une entreprise purement logicielle ou SaaS ne déclenche normalement pas cela, mais un fournisseur expédiant des modules de sécurité matérielle ou des appareils réseau doit vérifier l'enregistrement avant l'importation.

L'ouverture du compte bancaire professionnel de la société aux EAU est le moment où la garde des identifiants devient une question bancaire, et pas seulement technique. Une banque demandera ce que la société peut voir et toucher dans l'environnement d'un client, comment les accès sont journalisés et qui peut approuver une dérogation d'urgence. Cela se rapproche davantage de l'examen réservé à un prestataire de services gérés que de celui d'un revendeur de logiciels. Il convient de s'y préparer avant le premier rendez-vous d'ouverture de compte ; voir préparation à l'ouverture d'un compte bancaire professionnel.

Les clients grands comptes et publics mènent leur propre évaluation des fournisseurs avant d'accorder l'accès, portant sur la vérification du personnel, la séparation des tâches et les dispositifs de reprise. Une réponse crédible distingue le modèle d'exploitation normal du cas de défaillance : qui dirige la réponse aux incidents, et qui supporte la perte si une session privilégiée est détournée. La preuve d'un plan financé, c'est-à-dire des contrats, du personnel et une infrastructure déjà engagés, pèse davantage qu'une description d'intentions futures ; voir plans d'affaires et documentation.

Une entreprise de PAM ou de gouvernance de l'identité a besoin de personnes nommées derrière ses contrôles, et pas seulement d'un registre des actionnaires. Les clients s'attendent à un propriétaire défini pour le coffre à identifiants, un approbateur distinct pour l'accès d'urgence afin qu'une même personne n'autorise pas et n'utilise pas des sessions privilégiées, et un contact pour la réponse aux incidents joignable en dehors des heures de bureau. Des directeurs nominaux qui ne sont pas ceux réellement impliqués dans les décisions d'accès affaiblissent chaque questionnaire de sécurité que l'entreprise doit compléter.

Lorsque l'actionnariat comprend des investisseurs étrangers, plusieurs niveaux de holdings ou un mélange d'actionnaires personnes physiques et personnes morales, la voie de constitution et les documents qu'une banque ou un client voudra obtenir se compliquent ; voir structures d'actionnariat réglementées et complexes. Lorsque l'historique de financement d'un investisseur sera examiné lors de l'ouverture du compte, préparez ces justificatifs en parallèle plutôt qu'après la demande d'une banque ; voir origine du patrimoine et des fonds.

L'échec récurrent est architectural, pas administratif. Un identifiant de support universel que chaque ingénieur peut utiliser supprime la piste d'audit pour laquelle un client paie. Laisser un seul administrateur à la fois approuver et utiliser l'accès privilégié annule le contrôle que le produit est censé vendre. Faire dépendre la récupération d'urgence d'une seule personne nommée, ou d'une seule région, transforme une absence unique en une panne pour chaque client que l'entreprise dessert. Vendre un service de gestion de garde des identifiants sous des termes contractuels écrits pour une livraison de logiciel uniquement laisse l'entreprise responsable d'un contrôle qu'elle n'a jamais prévu.

Le deuxième défaut courant est une relation de partenariat non documentée. Lorsqu'une partie du service relève d'un autre prestataire (hébergement, intégration particulière ou réponse hors heures ouvrées), le contrat doit énoncer par écrit le périmètre, les normes, l'accès aux preuves, la responsabilité et la résiliation, avant qu'un client ne suppose que la société des EAU est responsable de l'ensemble du service.

Une fois la licence délivrée, les visas, les locaux et les renouvellements suivent les mêmes règles que pour toute société technologique, avec un ajout : le personnel qui détiendra ou approuvera les accès privilégiés est celui sur lequel le processus de vérification d'un client posera des questions nominatives, de sorte que le recrutement doit être planifié avant le premier contrat grand compte et non après. Les frais de licence commerciale mainland sont fixés par le DET selon la forme juridique et l'activité retenues, et un forfait free zone limité à la licence est généralement moins cher mais varie selon la zone ; obtenez le montant actuel directement auprès du DET ou de la free zone choisie avant de budgétiser, car les frais d'aucune des deux voies ne couvrent la capacité d'ingénierie, de vérification et de réponse aux incidents qu'un client ou une banque s'attendra à voir financée. L'immatriculation à l'impôt sur les sociétés auprès de la Federal Tax Authority (FTA) est exigée de la société en tant que personne morale dans le délai fixé par la FTA Decision No. (3) of 2024, qui court à compter de la constitution ou de la délivrance de la licence, et non du début de l'activité. La FTA indique que l'immatriculation est gratuite, demande la licence commerciale, le certificat de constitution ou le mémorandum d'association, ainsi que l'Emirates ID et le passeport de tout propriétaire détenant plus de 25 % et des signataires autorisés, et prend 20 jours ouvrables à compter de la réception d'une demande complète. Au-delà des frais de licence, le coût se construit par couches, et les honoraires de service Velarozone sont détaillés dans la lettre de mission ; voir comment fonctionne Velarozone.