ガイド
UAEにおけるアイデンティティセキュリティまたは特権アクセス管理会社の設立方法
公開済み
短い回答
UAEには「特権アクセス管理」という名称のライセンスを発行する規制当局はありません。基本となる商業ライセンスは、Dubai Department of Economy and Tourism (DET)、他の首長国の経済開発局、またはフリーゾーン（free zone）から、IT、ソフトウェア、または情報セキュリティのコンサルティング活動の区分で取得します。経路を実際に決めるのは、会社がクライアント自身の管理下にあるソフトウェアを販売・導入するだけなのか、それともクライアントのシステム上で稼働中の管理者認証情報を保持・リセット・昇格させるマネージド型のボールトを運用するのかという点です。製品名ではなく認証情報の保管というこの一点の違いが、データ保護義務や業界特有のセキュリティ要件が会社にどこまで及ぶかを左右します。
ライセンスを決定する者、および活動ラベルだけでは十分でない理由
出発点は一般的な会社設立です。ドバイではDET、それ以外の場所では同等の経済発展局、またはフリーゾーン当局が、ITコンサルタントやソフトウェア開発、情報セキュリティコンサルタントのような活動下でライセンスを発行します。いずれも「特権アクセス管理」または「IDガバナンス」の活動コードは保持しておらず、まず技術企業としてライセンスされます。
その後の分析を変えるのはライセンスではなくサービスです。顧客が自ら導入・運用するPAMソフトウェアを販売するベンダーは、通常のソフトウェア事業に近い立場にあります。ボールトを運用し、管理者認証情報を保持し、またはブレークグラス（break-glass）手順を管理するプロバイダーは、他者のシステムに対する運用上の管理権を引き受けることになり、これによって、クライアントのセキュリティ部門や調達部門が、UAEの会社に対して稼働中のシステムへ接続する前に何を示すよう求めるかが決まります。
エンドクライアント自身が規制対象である場合、たとえば銀行、取引所、政府機関では、そのクライアントの規制当局がアウトソーシングやアクセス制御に関する要件を定め、クライアントが契約によってそれをサプライヤーに課します。UAEの会社はクライアントが求める内容に拘束されるのであり、その規制当局から直接ライセンスを受けるわけではありません。
規制当局が実際に求める要件
ライセンスカテゴリーよりも重要な2つの情報源があります。Federal Decree-Law No. 45 of 2021は、UAE国内の誰かの個人データの処理を管理しており、DIFCとADGMには独自のデータ保護法が適用されています。アクセスログとクレデンシャルメタデータには通常個人情報が含まれているため、PAMまたはIDガバナンスオペレーターは触れるデータの管理者または処理者であり、法律の一般的なセキュリティと違反処理義務がそのステータスから派生します。
UAE Cyber Security Councilは国家サイバーセキュリティ戦略を調整し、重要なインフラストラクチャの保護と、政府および民間セクターパートナー全体でのインシデント対応の改善を掲げています。国内のアイデンティティセキュリティベンダーにライセンスを発行することはありませんが、クライアントが重要インフラとされるセクターに所属している場合、カウンシルの期待は通常クライアント自身のセキュリティとインシデント報告条項を通じてベンダーに届きます。暗号素材に直接関与する企業は、アクセス管理だけでなく、ポスト量子暗号またはセキュアコミュニケーション企業のための別のルートを確認すべきです。
設備はTelecommunications and Digital Government Regulatory Authority (TDRA)が直接役割を持つ唯一の分野です：UAEで使用、販売、または配布されるハードウェアとネットワーク機器は一般的に使用前にTDRA登録が必要です。純粋なソフトウェアまたはSaaSビジネスは通常この条件に当てはまらないですが、ハードウェアセキュリティモジュールやネットワークアプライアンスを出荷するベンダーは輸入前に登録を確認すべきです。
銀行および企業クライアントがビジネスを評価する方法
自社のUAE法人口座を開設する段階で、認証情報の保管は技術的な問題だけでなく銀行の問題になります。銀行は、会社がクライアントの環境内で何を閲覧し操作できるのか、アクセスがどのように記録されるのか、緊急時のオーバーライドを誰が承認できるのかを尋ねます。これはソフトウェア再販業者に対する審査というより、マネージドサービスプロバイダーに対する審査に近いものです。最初の口座開設の面談の前に準備しておく価値があります。法人銀行口座の準備状況をご覧ください。
大企業や政府機関のクライアントは、アクセスを付与する前に独自のサプライヤー評価を行い、従業員の身元確認、職務分掌、復旧体制などを確認します。信頼できる回答は、通常の運用モデルと障害時のケースを切り分けています。インシデント対応を誰が主導するのか、特権セッションが悪用された場合の損失を誰が負担するのかという点です。契約、人員、インフラがすでに確定している資金手当て済みの計画の証拠は、将来の意図の説明よりも重みがあります。事業計画と関連書類をご覧ください。
所有権、実体およびビジネスが満たすべき役割
PAMまたはIDガバナンスビジネスは、単なる株主名簿だけでなく、コントロールの背後に名のある人が必要です。クライアントはクレデンシャルボールトの定義された所有者、緊急アクセスの別の承認者を期待しており、同じ人が特権的セッションを許可して使用しないように期待しています。また、業務時間外でも連絡可能なインシデント対応の連絡先が必要です。実際にアクセス決定を行っていない名目上の取締役は、会社が求められるすべてのセキュリティ質問表を弱めます。
所有構造に外国人投資家、複数の持株会社の階層、または個人株主と法人株主の混在が含まれる場合、設立の経路と銀行やクライアントが求める書類はより複雑になります。規制対象および複雑な所有構造をご覧ください。口座開設時に投資家自身の資金の経緯が精査される場合は、銀行に求められてからではなく、並行してその証拠を準備してください。資産および資金の出所をご覧ください。
この業界でよくある失敗
よくある失敗は建築的であり、管理的ではありません。すべてのエンジニアが使用できるユニバーサルサポートクレデンシャルは、クライアントが支払っている監査証跡を取り除きます。一人の管理者が特権的アクセスを承認し使用できるようにすると、製品が販売を目的としているコントロールを台無しにします。緊急復旧を一人の指名された人、または一つの地域に依存させると、一人の不在が、会社がサービスするすべてのクライアントに対して停電を引き起こします。管理されたクレデンシャル保持サービスを、ソフトウェアのみの提供で書かれた契約条件の下で販売すると、会社はそれらを価格に見込んでいなかったコントロールに対して責任を負うことになります。
二つ目のよくある不備は、文書化されていないパートナー関係です。サービスの一部が別のプロバイダー（ホスティング、特定の連携、時間外対応など）にある場合、クライアントがUAEの会社がサービス全体を担っていると思い込む前に、契約書で範囲、基準、証拠へのアクセス、責任、終了を書面で定めておくべきです。
ライセンスと運営の関係
ライセンスが発行された後、ビザ、事務所、更新は他のテクノロジー企業と同じ規則に従いますが、一点だけ追加があります。特権アクセスを保持または承認するスタッフは、クライアントの審査プロセスが名指しで尋ねる人物であるため、採用は最初の大企業との契約の後ではなく前に順序立てて進めるべきです。メインランド（mainland）の商業ライセンス料は、選択した法的形態と活動に応じてDETが定めます。ライセンスのみのフリーゾーン（free zone）パッケージは通常より安価ですが、ゾーンによって異なります。予算を組む前に、現在の金額をDETまたは選択したフリーゾーンに直接確認してください。どちらの経路の料金も、クライアントや銀行が資金手当てを期待するエンジニアリング、身元確認、インシデント対応の能力をカバーしていないためです。Federal Tax Authority (FTA)への法人税登録は、法人として会社に求められ、FTA Decision No. (3) of 2024が定める期限内に行う必要があります。この期限は、事業の取引開始時ではなく、設立またはライセンス発行時から起算されます。FTAは登録を無料としており、トレードライセンス、設立証明書または定款、25%を超える持分を持つ所有者と認可署名者のEmirates IDとパスポートを求め、完全な申請書の受領から20営業日かかります。ライセンス料のほかに、費用は層状に構成され、Velarozone サービス料は業務委託契約書（engagement letter）に項目別に記載されます。Velarozoneの仕組みをご覧ください。
