Come costituire un'azienda di sicurezza dell'identità o gestione degli accessi privilegiati negli UAE

Il punto di partenza è la formazione ordinaria dell'azienda: DET a Dubai, l'equivalente dipartimento dello sviluppo economico altrove, o un'autorità di free zone, rilasciando una licenza per un'attività come consulenza IT, sviluppo software o consulenza sulla sicurezza informatica. Nessuno mantiene un codice attività distinto per "privileged access management" o "identity governance", quindi la società viene licenziata come un'azienda tecnologica prima di tutto.

Ciò che cambia l'analisi successivamente è il servizio, non la licenza. Un fornitore che vende software PAM che il cliente installa e gestisce si avvicina a una normale attività software. Un fornitore che gestisce il vault, detiene credenziali di amministratore o amministra la procedura di accesso di emergenza (break-glass) assume il controllo operativo di sistemi altrui, il che determina ciò che i team sicurezza e acquisti di un cliente chiederanno alla società degli EAU di dimostrare prima di collegarsi a qualsiasi sistema in produzione.

Quando il cliente finale è a sua volta regolamentato, come una banca, una borsa o un ente pubblico, il suo regolatore stabilisce aspettative in materia di esternalizzazione e controllo degli accessi che il cliente impone poi ai fornitori per contratto. La società degli EAU è vincolata da ciò che il cliente richiede e non è autorizzata direttamente da quel regolatore.

Due fonti contano più di una categoria di licenza. Il Decreto Legge Federale n. 45 del 2021 regola il trattamento dei dati personali di chiunque si trovi all'interno degli Emirati Arabi Uniti, con esclusioni per il DIFC e l'ADGM, che applicano le proprie leggi sulla protezione dei dati. I log di accesso e i metadati delle credenziali contengono regolarmente dati personali, quindi un operatore di PAM o identity-governance è un titolare o un responsabile del trattamento dei dati per i dati che tocca, con i doveri generali di sicurezza e gestione delle violazioni che discendono da tale status.

Il Consiglio per la Cyber Sicurezza degli Emirati Arabi Uniti coordina la strategia nazionale sulla cybersecurity, con l'obiettivo dichiarato di proteggere le infrastrutture critiche e migliorare la risposta agli incidenti tra partner governativi e del settore privato. Non rilascia licenze a fornitori privati di sicurezza dell'identità, ma quando un cliente è in un settore considerato come infrastruttura critica, le aspettative del Consiglio tipicamente raggiungono il fornitore attraverso le clausole di sicurezza e di segnalazione degli incidenti del cliente, piuttosto che tramite una licenza diretta. Le aziende il cui lavoro tocca direttamente il materiale crittografico, piuttosto che solo il controllo accessi, dovrebbero verificare il percorso separato per una società di crittografia post-quantum o comunicazioni sicure.

L'equipaggiamento è l'unica area in cui la Telecommunications and Digital Government Regulatory Authority (TDRA) ha un ruolo diretto: l'hardware e le apparecchiature di rete utilizzate, vendute o distribuite negli Emirati Arabi Uniti generalmente necessitano di registrazione TDRA prima dell'uso. Un'azienda di puro software o SaaS di solito non innesca questo processo, ma un fornitore che spedisce moduli di sicurezza hardware o apparecchi di rete dovrebbe controllare la registrazione prima dell'importazione.

L'apertura del conto aziendale della società negli EAU è il momento in cui la custodia delle credenziali diventa una questione bancaria, e non solo tecnica. Una banca chiederà che cosa la società può vedere e toccare all'interno dell'ambiente di un cliente, come vengono registrati gli accessi e chi può approvare una deroga di emergenza. Ciò è più vicino alla verifica riservata a un fornitore di servizi gestiti che a quella di un rivenditore di software. Conviene prepararsi prima del primo incontro per l'apertura del conto; si veda preparazione al conto bancario aziendale.

I clienti enterprise e governativi conducono una propria valutazione dei fornitori prima di concedere l'accesso, che riguarda la verifica del personale, la separazione dei compiti e i meccanismi di ripristino. Una risposta credibile separa il modello operativo ordinario dal caso di guasto: chi guida la risposta agli incidenti e chi sopporta la perdita se una sessione privilegiata viene usata in modo improprio. La prova di un piano finanziato, cioè contratti, personale e infrastruttura già impegnati, ha più peso di una descrizione di intenzioni future; si veda business plan e documentazione.

Un'azienda di PAM o governance identitaria richiede persone nominate dietro i suoi controlli, non solo un registro degli azionisti. I clienti si aspettano un proprietario definito per il vault delle credenziali, un approvatore separato per l'accesso d'emergenza in modo che la stessa persona non autorizzi e utilizzi sessioni privilegiate, e un contatto per la risposta agli incidenti raggiungibile fuori dall'orario d'ufficio. Direttori nominali che non sono le persone che effettivamente prendono decisioni di accesso indeboliscono ogni questionario di sicurezza che viene chiesto alla società di completare.

Quando la compagine proprietaria comprende investitori stranieri, più livelli di holding o una combinazione di soci persone fisiche e giuridiche, il percorso di costituzione e la documentazione che una banca o un cliente vorrà diventano più complessi; si veda strutture proprietarie regolamentate e complesse. Quando la storia dei finanziamenti di un investitore sarà esaminata durante l'apertura del conto, preparare tali prove in parallelo piuttosto che dopo la richiesta di una banca; si veda origine del patrimonio e dei fondi.

Il fallimento ricorrente è architettonico, non amministrativo. Una credenziale universale di supporto che ogni ingegnere può utilizzare rimuove la pista di controllo per cui un cliente sta pagando. Permettere a un solo amministratore di approvare e utilizzare l'accesso privilegiato annulla il controllo che il prodotto intendeva vendere. Fare affidamento su una sola persona nominata o una sola regione per il recupero d'emergenza trasforma una singola assenza in un'inattività per ogni cliente servito dall'azienda. Vendere un servizio gestito con custodia delle credenziali sotto termini contrattuali scritti per un software in sola consegna lascia la società responsabile di un controllo mai prezzato.

Il secondo difetto comune è un rapporto di partnership non documentato. Quando una parte del servizio spetta a un altro fornitore (hosting, una specifica integrazione o risposta fuori orario), il contratto dovrebbe indicare per iscritto ambito, standard, accesso alle evidenze, responsabilità e cessazione, prima che un cliente dia per scontato che la società degli EAU sia titolare dell'intero servizio.

Una volta rilasciata la licenza, visti, sede e rinnovi seguono le stesse regole di qualsiasi società tecnologica, con un'aggiunta: il personale che deterrà o approverà accessi privilegiati è quello su cui il processo di verifica di un cliente farà domande nominative, quindi l'assunzione dovrebbe essere pianificata prima del primo contratto enterprise e non dopo. La tassa per la licenza commerciale mainland è stabilita dal DET in base alla forma giuridica e all'attività selezionate, e un pacchetto free zone con la sola licenza è in genere più economico ma varia a seconda della zona; ottenere l'importo aggiornato direttamente dal DET o dalla free zone scelta prima di definire il budget, poiché la tassa di nessuno dei due percorsi copre la capacità di ingegneria, verifica e risposta agli incidenti che un cliente o una banca si aspetterà di vedere finanziata. La registrazione all'imposta sulle società presso la Federal Tax Authority (FTA) è richiesta alla società come persona giuridica entro il termine stabilito dalla FTA Decision No. (3) of 2024, che decorre dalla costituzione o dal rilascio della licenza e non dall'avvio dell'attività. La FTA indica la registrazione come gratuita, richiede la licenza commerciale, il certificato di costituzione o il memorandum di associazione, nonché l'Emirates ID e il passaporto di ogni titolare con oltre il 25 % e dei firmatari autorizzati, e impiega 20 giorni lavorativi dal ricevimento di una domanda completa. Oltre alla tassa di licenza, il costo si compone a strati, e l'onorario di servizio Velarozone è dettagliato nella lettera di incarico; si veda come funziona Velarozone.