Ինչպես հիմնել ինքնության անվտանգության կամ արտոնված մուտքի կառավարման ընկերություն ՄԱԿ-ում

Սկզբնակետը սովորական ընկերությունը ձեւավորումն է ՝ DET-ն Դուբայում, տնտեսական զարգացման համարժեք բաժինը ուր կանեք, կամ ազատ գոտու մարմին է, որը թողարկում է լիցենզիա IT խորհրդատվության, ծրագրային մշակույթի կամ տեղեկատվության անվտանգության խորհրդատվության գործունեության ներքո։ Որևէ մեկը չի պահպանում հատուկ “privileged access management” կամ “identity governance” գործունեության կոդ, այնպես որ ընկերությունը լիցենզավորվում է որպես տեխնոլոգիական բիզնես առջին։

Վերլուծությունը հետագայում փոխում է ծառայությունը, ոչ թե լիցենզիան։ Վաճառողը, որը վաճառում է PAM ծրագրային ապահովում՝ հաճախորդի կողմից տեղադրելու և շահագործելու համար, ավելի մոտ է սովորական ծրագրային բիզնեսին։ Մատակարարը, որը շահագործում է պահոցը, պահում է ադմինիստրատորների հավատարմագրերը կամ կառավարում է արտակարգ մուտքի (break-glass) ընթացակարգը, ստանձնում է ուրիշի համակարգերի գործառնական վերահսկողությունը, ինչը որոշում է, թե հաճախորդի անվտանգության և գնումների թիմերն ինչ կպահանջեն Արաբական Միացյալ Էմիրությունների ընկերությունից ցույց տալ՝ նախքան որևէ գործող համակարգի հետ կապվելը։

Երբ վերջնական հաճախորդն ինքը կարգավորվող է, օրինակ՝ բանկ, բորսա կամ պետական կառույց, նրա սեփական կարգավորողը սահմանում է արտապատվիրակման և մուտքի վերահսկողության ակնկալիքներ, որոնք հաճախորդն այնուհետև պայմանագրով պարտադրում է մատակարարներին։ Արաբական Միացյալ Էմիրությունների ընկերությունը կապված է նրանով, ինչ պահանջում է հաճախորդը, և այդ կարգավորողը նրան անմիջականորեն լիցենզավորված չէ։

Երկու աղբյուր ավելի կարևոր են լիցենզիայի կատեգորիանից: Ֆեդերալ Դեկրետ-Օրենսդրություն N 45 2021-ը կարգավորում է ՀԱԵ անձի մեջ գտնվող անձանց անձնական տվյալների մշակումը, DIFC և ADGM գոտիներում դրանց չափազանցում ունեցող: Մուտքի լոգերը և հավատարմագրային տվյալների ցուցանիշները պարբերաբար պարունակում են անձնական տվյալներ, ուրեմն PAM կամ ինքնաթիռային վերահսկման օպերատորը տվյալների վերահսկողի կամ մշակողի դիրք է զբաղեցնում տվյալների համար, որոնց առնչվում են իրենք, և օրենքի ընդհանուր անվտանգության և խախտումների կարգերի պատասխանատվությունները հետևում են այդ վիճակին:

Կաթերվածային ապահովակայության խորհուրդը համակարգում է ազգային կիբերանվտանգության ռազմավարությունը, նշված նպատակով պաշտպանել կրիտիկական ենթակառուցվածքը և բարելավել միջադեպերի արձագանքը կառավարության և մասնավոր հատվածի գործընկերների միջակայքում: Այն լիցենզավորում չի իդենտիկավորային ապահովակայության վաճառողներին, բայց, երբ հաճախորդը գտնվում է հատվածում, որին այն վերաբերվում է եզրահատված ենթակառուցվածքում, Խորհրդի սպասարկումները սովորաբար աջակցվում են վաճառողներին հաճախորդի սեփական ապահովակայության և միջադեպերի հաշվետվման հատուկ պայմանների միջոցով, այլ ոչ բջի լիցենզիայի միջոցով: Ընկերությունները, որոնք ուղղակիորեն զբաղված են կրիփտագրական նյութի վրդովանքով, այլ ոչ թե հասանելիության վերահսկման միայնակ, պետք է ստուգեն քվանտանտ երգֆիկացիոն կրիփոտագրական կամ անվտանգ կապի ընկերության արդյունավետ տարբերակը:

Սարքավորումը այն միակ ոլորտն է, որտեղ Թեկոնցքալի Ներկառուցվածքային մշակման Վարչությունը (TDRA) ունենում է ուղղակի դեր. մեխանիկական և ցանցային սարքեր, որոնք օգտագործվում, վաճառվում կամ տարածվում է UAE-ում, պահանջում է TDRA գրանցում նախքան օգտագործումը։ Մաքուր ծրագրային ապահովումը կամ SaaS բիզնեսը սովորաբար չի հարուցում սա, բայց սարքավորողներ, որոնք առաքում են մեխանիկական անվտանգության մոդուլներին կամ ցանցային արտադրանքներին, պետք է ստուգեն գրանցումը նախքան ներմուծումը։

Ընկերության սեփական կորպորատիվ հաշվի բացումը Արաբական Միացյալ Էմիրություններում այն պահն է, երբ հավատարմագրերի պահպանումը դառնում է բանկային, ոչ միայն տեխնիկական հարց։ Բանկը կհարցնի, թե ինչ կարող է ընկերությունը տեսնել և դիպչել հաճախորդի միջավայրում, ինչպես է գրանցվում մուտքը և ով կարող է հաստատել արտակարգ վերացումը։ Սա ավելի մոտ է կառավարվող ծառայությունների մատակարարի ստուգմանը, քան ծրագրային ապահովման վերավաճառողի։ Արժե դրան պատրաստվել հաշվի բացման առաջին հանդիպումից առաջ. տե՛ս կորպորատիվ բանկային հաշվի պատրաստվածություն։

Ձեռնարկությունների և պետական հաճախորդները մուտք տրամադրելուց առաջ իրականացնում են մատակարարի սեփական գնահատում, որը ներառում է անձնակազմի ստուգումը, պարտականությունների տարանջատումը և վերականգնման պայմանավորվածությունները։ Վստահելի պատասխանը տարանջատում է սովորական գործառնական մոդելը խափանման դեպքից. ով է ղեկավարում միջադեպերին արձագանքը և ով է կրում կորուստը, եթե արտոնյալ սեսիան չարաշահվի։ Ֆինանսավորված ծրագրի ապացույցը, այսինքն՝ արդեն ստանձնված պայմանագրերը, անձնակազմը և ենթակառուցվածքը, ավելի մեծ կշիռ ունի, քան ապագա մտադրության նկարագրությունը. տե՛ս բիզնես պլաններ և փաստաթղթավորում։

PAM կամ ինքնության տնօրինության բիզնեսը պահանջում է մշտապես որոշվող մարդկանց իր վերահսկողականներում, ոչ միայն բաժնետիրական գրանցում։ Հաճախորդները սպասում են սահմանված սեփականատիրոջ համար հավատարմահավատի պահեստում, առանձին հավանարար արտակարգ մուտքի համար՝ նույն մարդը չլինի, ով ավտորիզացնում և օգտագործում է արտոնյալ նստաշրջաններ, և միջադեպի արձագանքման կոնտակտ, հասանելի աշխատանքային ժամերից։ Ներդրված տնօրենները, ովքեր իրականում չեն վարում մուտքի որոշումներ, թուլացնում են անվտանգության հարցաթերթի յուրաքանչյուր ձևերը, որոնց ընկերությունը հարցվում է լրացնել։

Երբ սեփականությունը ներառում է օտարերկրյա ներդրողներ, մի քանի հոլդինգային մակարդակ կամ ֆիզիկական և իրավաբանական անձ բաժնետերերի խառնուրդ, հիմնադրման ուղին և այն փաստաթղթերը, որ կուզենա բանկը կամ հաճախորդը, դառնում են ավելի բարդ. տե՛ս կարգավորվող և բարդ սեփականության կառուցվածքներ։ Երբ հաշվի բացման ժամանակ կստուգվի ներդրողի սեփական ֆինանսավորման պատմությունը, այդ ապացույցը պատրաստեք զուգահեռ, այլ ոչ թե բանկի պահանջից հետո. տե՛ս հարստության և միջոցների աղբյուր։

Պարբերաբար պահանջվող ձախողումը կառուցային է, ոչ թե վարչական։ Ճակատակի համակողության ստանդարտ հավատարմագիր, որը կարող է օգտագործել յուրաքանչյուր ինժեներ, հանում է տեղեկացնելը, որի համար հաճախորդը վճարում է։ Մեկ ադմինիստրատորի թե՛ հավանարարում և թե՛ արտոնյալ մուտք օգտագործելու հնարավորություն շահում է այն վերահսկողությունը, որը արտադրանքը նպատակ ունի վաճարել։ Արտակարգ վերականգնումը մի անունով անձումվա կամ մի տարածաշրջանում կախված սարքերը դարձնում է փոխվածություն յուրաքանչյուր հաճախորդի համար, որը ընկերությունը ծառայում է։ Կառավարվող, հավատարմագրող ծառայություն, որը վաճառվում է ծրագրային ապահովման մենավորված անկյան պայմանագրերով, թողնում է ընկերությունը վերահսկողություն, որը երբեք չի արժևորել։

Երկրորդ տարածված թերությունը չփաստաթղթավորված գործընկերային հարաբերությունն է։ Երբ ծառայության մի մասը գտնվում է մեկ այլ մատակարարի մոտ (հոսթինգ, որոշակի ինտեգրում կամ աշխատանքային ժամերից դուրս արձագանք), պայմանագրում գրավոր պետք է նշված լինեն շրջանակը, ստանդարտները, ապացույցների հասանելիությունը, պատասխանատվությունը և դադարեցումը, նախքան հաճախորդը կենթադրի, որ Արաբական Միացյալ Էմիրությունների ընկերությունը տիրապետում է ամբողջ ծառայությանը։

Լիցենզիան տրվելուց հետո վիզաները, տարածքները և երկարաձգումները ենթարկվում են նույն կանոններին, ինչ ցանկացած տեխնոլոգիական ընկերություն, մեկ լրացումով. այն աշխատակիցները, ովքեր կպահեն կամ կհաստատեն արտոնյալ հասանելիություն, այն մարդիկ են, որոնց մասին հաճախորդի ստուգման գործընթացը կհարցնի անունով, ուստի նորանշանակումը պետք է կազմակերպվի ձեռնարկության առաջին պայմանագրից առաջ, ոչ թե դրանից հետո։ Մեյնլենդի (mainland) առևտրային լիցենզիայի վճարը սահմանում է DET-ը՝ ըստ ընտրված իրավական ձևի և գործունեության, իսկ միայն լիցենզիա ներառող ազատ գոտու փաթեթը սովորաբար ավելի էժան է, բայց տարբերվում է ըստ գոտու. նախքան բյուջե կազմելը ընթացիկ թիվը ստացեք անմիջապես DET-ից կամ ընտրված ազատ գոտուց, քանի որ ոչ մի ուղու վճարը չի ծածկում ինժեներական, ստուգման և միջադեպերին արձագանքման այն կարողությունը, որի ֆինանսավորումը կսպասի հաճախորդը կամ բանկը։ Federal Tax Authority (FTA)-ում կորպորատիվ հարկի գրանցումը պահանջվում է ընկերությունից՝ որպես իրավաբանական անձից, FTA Decision No. (3) of 2024-ով սահմանված ժամկետում, որը հաշվվում է հիմնադրումից կամ լիցենզիայի տրումից, ոչ թե առևտրի սկսելուց։ FTA-ն գրանցումը նշում է որպես անվճար, պահանջում է առևտրային լիցենզիա, հիմնադրման վկայական կամ կանոնադրություն, ինչպես նաև 25 %-ից ավելի մասնաբաժին ունեցող յուրաքանչյուր սեփականատիրոջ և լիազորված ստորագրողների Emirates ID-ն ու անձնագիրը, և լրիվ դիմումի ստացումից տևում է 20 աշխատանքային օր։ Լիցենզիայի վճարից բացի ծախսը ձևավորվում է շերտերով, իսկ Velarozone-ի ծառայության վճարը մանրամասնվում է ծառայությունների պայմանների նամակ-համաձայնագրում (engagement letter). տե՛ս ինչպես է աշխատում Velarozone-ը։