როგორ უნდა დააფუძნოთ იდენტობის უსაფრთხოების ან სპეციალური წვდომის მართვის კომპანია UAE-ში

დაწყებითი წერტილი არის ჩვეულებრივი კომპანიის ფორმირება: DET Dubai-ში, ეკონომიკური განვითარების მოღვაწეობის ექვივალენტი სხვა მხარეში ან თავისუფალი ზონის ხელისუფლება, გამოწერავს ლიცენზიას IT კონსულტაციის, პროგრამული განვითარების ან ინფორმაციული უსაფრთხოების კონსულტაციის აქტივობის ქვეშ. არცერთი ინარჩუნებს განსხვავებულ "უპირატესობით წვდომის მართვის" ან "იდენტიფიკაციის მმართველობის" აქტივობის კოდს, ამიტომ კომპანია არის ლიცენზირებული როგორც ტექნოლოგიური ბიზნესი პირველ რიგში.

ანალიზს შემდგომ ცვლის მომსახურება და არა ლიცენზია. გამყიდველი, რომელიც ყიდის PAM პროგრამას, რომელსაც კლიენტი თავად დააინსტალირებს და ამუშავებს, ჩვეულებრივ პროგრამულ ბიზნესთან უფრო ახლოსაა. პროვაიდერი, რომელიც სეიფს მართავს, ადმინისტრატორის მონაცემებს ინახავს ან საგანგებო წვდომის (break-glass) პროცედურას მართავს, სხვისი სისტემების ოპერაციულ კონტროლს იღებს, რაც განსაზღვრავს, რას მოითხოვენ კლიენტის უსაფრთხოებისა და შესყიდვების გუნდები არაბთა გაერთიანებული საამიროების კომპანიისგან დასამტკიცებლად, სანამ ის რაიმე მოქმედ სისტემას დაუკავშირდება.

როცა საბოლოო კლიენტი თავად რეგულირებადია, მაგალითად ბანკი, ბირჟა ან სამთავრობო ერთეული, მისი რეგულატორი ადგენს აუთსორსინგისა და წვდომის კონტროლის მოლოდინებს, რომლებსაც კლიენტი შემდეგ ხელშეკრულებით აკისრებს მომწოდებლებს. არაბთა გაერთიანებული საამიროების კომპანია შეზღუდულია იმით, რასაც კლიენტი მოითხოვს, და ამ რეგულატორისგან უშუალოდ ლიცენზიას არ იღებს.

ორ სიუჟეტზე უფრო მნიშვნელობა აქვს ორ ცნებას, ვიდრე ლიცენზიის კატეგორიას. ფედერალური დეკრეტულ-კანონი N45/2021 არეგულირებს UAE-ში მცხოვრები პირების პირადი მონაცემების დამუშავებას, DIFC და ADGM-მ ისევე ატარებს საკუთარ მონაცემთა დაცვის კანონებს. შესვლების ლოგები და წარმოდგენები რეგულარულად შეიცავს პირად მონაცემებს, ამიტომ PAM ან იდენტობაზე სამართლის ოპერატორი იქნება მონაცემთა მმართველი ან პროცესორი იმ მონაცემებზე, რომელიც ანიჭებს ხელშეკრულების ზოგად უსაფრთხოების და ვერდაქტურ ვალდებულებებს სტატუსზე დაშვებიდან გამომდინარე.

UAE კიბერ-საფრთხეების დაცვის საბჭო მართავს ეროვნული კიბერუსაფრთხოების სტრატეგიას, ჟურნალური მიზნის რეალიზებას კრიტიკული ინფრასტრუქტურის დაცვისა და ინციდენტის რეაგირების სუბუჯექლების სამხარეში. ის არ გამოადგენს ლიცენზიას კერძო იდენტიფიკაციის უსაფრთხოების მოვაჭრეებისთვის, მაგრამ სადაც კლიენტი ეკუთვნის სექტორს, რომელსაც ის მიიჩნევს კრიტიკულ ინფრასტრუქტურად, საბჭოს ცემა იზიდება მოვაჭრეს კლიენტის საკუთარი უსაფრთხოების და ინციდენტის დამუშავების დახურული პუნქტების მეშვეობით და არა პირდაპირი ლიცენზიის მეშვეობით. კომპანიებმა, რომელთა მუშაობა შეეხოს შიფრივარალურ მასალაზე პირდაპირ და არა წვდომის კონტროლის მარტო, უნდა გააფრისოს ცალკეული გზა პოსტ-კვანტუმური კრიპტოგრაფიის ან უსაფრთხო კომუნიკაციების კომპანიისათვის.

აღჭურვილობა არის ერთი სფერო, სადაც მეშვეობითი და ციფრული ბრძოლის რეგულატორს (TDRA) აქვს ბროლის როლი: მყარ საგნები და ქსელური მოწყობილობები, რომლებიც გამოიყენება, იყიდება ან ვრცელდება UAE-ში, გენერალურად საჭიროებს TDRA რეგისტრაციას გამოყენებამდე. სუფთა პროგრამული უზრუნველყოფის ან SaaS ბიზნესისთვის ეს გენერალურად არ ხდება, მაგრამ ვენდორი, რომელიც ასრულებს მყარ უსაფრთხოების მოდულების ან ქსელური მოწყობილობების გაგზავნას, უნდა იყოს რეგისტრაციაზე საქმიანობის დაწყებამდე.

კომპანიის საკუთარი კორპორატიული ანგარიშის გახსნა არაბთა გაერთიანებულ საამიროებში არის მომენტი, როცა ავტორიზაციის მონაცემების მეურვეობა ხდება საბანკო და არა მხოლოდ ტექნიკური საკითხი. ბანკი იკითხავს, რის დანახვა და შეხება შეუძლია კომპანიას კლიენტის გარემოში, როგორ ფიქსირდება წვდომა და ვის შეუძლია საგანგებო გადაფარვის დამტკიცება. ეს უფრო მართული მომსახურების პროვაიდერის შემოწმებას ჰგავს, ვიდრე პროგრამული უზრუნველყოფის რეიდილერისას. ამისთვის მომზადება ანგარიშის გახსნის პირველ შეხვედრამდე ღირს; იხილეთ კორპორატიული საბანკო ანგარიშისთვის მზადყოფნა.

საწარმოო და სამთავრობო კლიენტები წვდომის მიცემამდე საკუთარ შეფასებას ატარებენ მომწოდებლის მიმართ, რომელიც მოიცავს პერსონალის შემოწმებას, მოვალეობების გამიჯვნას და აღდგენის მექანიზმებს. სარწმუნო პასუხი ჩვეულებრივ ოპერაციულ მოდელს გამოყოფს გაუმართაობის შემთხვევისგან: ვინ ხელმძღვანელობს ინციდენტზე რეაგირებას და ვინ იღებს ზარალს, თუ პრივილეგირებული სესია ბოროტად იქნა გამოყენებული. დაფინანსებული გეგმის მტკიცებულება, ანუ უკვე ნაკისრი ხელშეკრულებები, პერსონალი და ინფრასტრუქტურა, უფრო მეტ წონას ატარებს, ვიდრე მომავალი განზრახვის აღწერა; იხილეთ ბიზნეს-გეგმები და დოკუმენტაცია.

PAM ან იდენტობაზე სამართლის ბიზნესს სჭირდება წამყვანი პერსონები, რომლებიც იქნება პასუხისმგებელი მისი სამართლებრივი კონტროლების სახეზე, არა მხოლოდ აქციების რეგისტრზე. კლიენტები მოელიან განაღდებულ მეპატრონეს მისამართით, სათადარიგო დამტკიცებას დროებითი ხელშეკრულებების გამოყენებით ისე რომ ისურვებ არა ერთი და იგივე პიროვნებით, პასუხისმგებელი დაკავდებოდეს და გამოიყენებოდროს მეხმარებელ სესიებში, და ინციდენტის რეკვიზიტური კონტაქტი, რომელსაც შეუძლია დაუკავშირდეს სამუშაო საათების გარეთ. ნომინალური დირექტორები, რომლებიც არაა სახვლადებაში მართვის გადაწყვეტილებებს მისაქომედ, ზიანს აყენებენ უსაფრთხოების კომენდანტებს, რომლებიც პირველად კომპანიას უნდა დაასრულონ.

როცა საკუთრება მოიცავს უცხოელ ინვესტორებს, ჰოლდინგების რამდენიმე დონეს ან ფიზიკური და იურიდიული პირი აქციონერების ნაზავს, დაფუძნების გზა და დოკუმენტაცია, რომელსაც ბანკი ან კლიენტი მოითხოვს, უფრო რთულდება; იხილეთ რეგულირებადი და რთული საკუთრების სტრუქტურები. როცა ანგარიშის გახსნისას ინვესტორის საკუთარი დაფინანსების ისტორია შემოწმდება, ეს მტკიცებულება მოამზადეთ პარალელურად და არა მას შემდეგ, რაც ბანკი მოითხოვს; იხილეთ სიმდიდრისა და სახსრების წყარო.

გამოუსვლელი წარუმატებლობა არის არქიტექტურული, არა ადმინისტრაციული. უნივერსალური მხარდაჭერის კრედენციალი, რომელსაც ყველა ინჟინერი გამოიყენებს, შლის აუდიტის კვალი, რომელიდ ჩურჩულას აფრიდი იყიდება. ერთი ადმინისტრატორი, რომელიც შედეგს მართავს და უსინდისობით გამოიყენებს უპირატესობის წვდომას, ართმევს შეცდომილებას იმ კონტროლს როგორიც პროდუქტის პოპულარიზაციისაა მითითებისთვის. არქანიშნული განხორციელებით განსაზღვრავს ერთ სახელს და ჩურჩულობის, აქცენს უბიძგებს თითოეულ კლიენტს, რომელიც სერვისის გაწებულებათ ქმნის პრაქტიკას საზოგადოებისთვის. მართვითი საკონტრაქტო, კრედენციალების შეშლილსერვისის კონტრაქტო პირობები დაფასმითი პირობების არასრულება პასუხისმგებლებს სააგენტოთა მაგალითზე.

მეორე გავრცელებული ხარვეზია დაუდოკუმენტებელი პარტნიორული ურთიერთობა. როცა მომსახურების ნაწილი სხვა პროვაიდერთანაა (ჰოსტინგი, კონკრეტული ინტეგრაცია ან სამუშაო საათების გარეთ რეაგირება), ხელშეკრულებაში წერილობით უნდა იყოს მითითებული მოცულობა, სტანდარტები, მტკიცებულებებზე წვდომა, პასუხისმგებლობა და შეწყვეტა, სანამ კლიენტი ივარაუდებს, რომ არაბთა გაერთიანებული საამიროების კომპანია მთელ მომსახურებას ფლობს.

ლიცენზიის გაცემის შემდეგ ვიზები, ფართი და განახლებები იმავე წესებს ექვემდებარება, რასაც ნებისმიერი ტექნოლოგიური კომპანია, ერთი დამატებით: პერსონალი, რომელიც პრივილეგირებულ წვდომას ფლობს ან ამტკიცებს, არის ის ადამიანები, ვისაც კლიენტის შემოწმების პროცესი სახელით იკითხავს, ამიტომ დაქირავება პირველ საწარმოო ხელშეკრულებამდე უნდა დაიგეგმოს და არა მის შემდეგ. მეინლენდის (mainland) კომერციული ლიცენზიის მოსაკრებელს DET ადგენს არჩეული სამართლებრივი ფორმისა და საქმიანობის მიხედვით, ხოლო მხოლოდ ლიცენზიის შემცველი თავისუფალი ზონის პაკეტი, როგორც წესი, იაფია, მაგრამ ზონების მიხედვით განსხვავდება; ბიუჯეტის შედგენამდე მიმდინარე თანხა პირდაპირ DET-სგან ან არჩეული თავისუფალი ზონისგან გაიგეთ, რადგან არც ერთი გზის მოსაკრებელი არ ფარავს საინჟინრო, შემოწმებისა და ინციდენტებზე რეაგირების შესაძლებლობას, რომლის დაფინანსებასაც კლიენტი ან ბანკი ელოდება. Federal Tax Authority (FTA)-ში კორპორატიული გადასახადის რეგისტრაცია კომპანიისთვის, როგორც იურიდიული პირისთვის, საჭიროა FTA Decision No. (3) of 2024-ით დადგენილ ვადაში, რომელიც ითვლება დაფუძნებიდან ან ლიცენზიის გაცემიდან და არა ვაჭრობის დაწყებიდან. FTA რეგისტრაციას უფასოდ ასახელებს, ითხოვს სავაჭრო ლიცენზიას, დაფუძნების მოწმობას ან წესდებას და 25 %-ზე მეტის მფლობელი ყველა მესაკუთრისა და უფლებამოსილი ხელმომწერების Emirates ID-ს და პასპორტს და სრული განაცხადის მიღებიდან 20 სამუშაო დღეს მოითხოვს. ლიცენზიის მოსაკრებელს გარდა, ხარჯი ფენებად იქმნება, ხოლო Velarozone-ის მომსახურების საფასური დეტალურად არის მითითებული წერილში-შეთანხმებაში მომსახურების პირობებზე (engagement letter); იხილეთ როგორ მუშაობს Velarozone.