UAE에서 신원 보안 또는 특권 접근 관리 회사 설립하는 방법

출발점은 일반적인 회사 설립입니다: 두바이의 DET, 다른 곳의 경제 개발부, 또는 프리존 권한이 IT 컨설팅, 소프트웨어 개발 또는 정보 보안 컨설팅과 같은 활동 하에서 라이선스를 발급합니다. 어디에도 "특권 액세스 관리" 또는 "신원 관리"에 대한 고유 코드가 없으므로 회사는 먼저 기술 비즈니스로 라이선스됩니다.

이후 분석을 바꾸는 것은 라이선스가 아니라 서비스입니다. 고객이 직접 설치하고 운영하는 PAM 소프트웨어를 판매하는 벤더는 일반 소프트웨어 사업에 더 가깝습니다. 볼트를 운영하거나 관리자 자격 증명을 보관하거나 비상 접근(break-glass) 절차를 관리하는 제공자는 타인의 시스템에 대한 운영 통제권을 맡게 되며, 이는 고객의 보안 및 구매 팀이 UAE 회사에 운영 중인 어떤 시스템에 연결하기 전에 무엇을 입증하라고 요구할지를 결정합니다.

최종 고객 자신이 은행, 거래소, 정부 기관처럼 규제 대상인 경우, 그 고객의 규제기관이 아웃소싱과 접근 통제에 대한 기대 사항을 정하고 고객은 이를 계약으로 공급업체에 부과합니다. UAE 회사는 고객이 요구하는 내용에 구속될 뿐, 해당 규제기관으로부터 직접 라이선스를 받지는 않습니다.

라이선스 카테고리보다 더 중요한 두 가지 출처가 있습니다. 2021년 연방 포고법 제45호는 UAE 내의 모든 개인의 개인 데이터 처리에 대해 통치하며, 자체 데이터 보호법을 적용하는 DIFC와 ADGM에 대한 예외를 포함합니다. 액세스 로그와 자격 증명 메타데이터는 종종 개인 데이터를 포함하므로, PAM 또는 신원 관리 운영자는 그들이 접촉하는 데이터에 대한 데이터 관리자나 프로세서로서의 역할을 하며, 그 상태로부터 일반적인 보안 및 위반 처리 의무가 따릅니다.

UAE 사이버 보안 위원회는 국가 사이버 보안 전략을 조정하며, 주요 인프라 보호 및 정부와 민간 부문 파트너 간의 사고 대응을 개선하는 것을 명시적인 목표로 합니다. 민간 신원 보안 벤더들에게 직접 라이선스를 발행하진 않지만, 고객이 중요한 인프라로 간주되는 부문에 속할 경우, 위원회의 기대는 보통 직접적인 라이선스가 아닌 고객의 보안 및 사건 보고 조항을 통해 벤더에게 도달합니다. 업무가 단지 액세스 제어가 아닌 암호 자료와 직접적으로 관련이 있는 기업들은 포스트 양자 암호화 또는 안전한 커뮤니케이션 회사에 대한 별도 경로를 확인해야 합니다.

장비는 통신 및 디지털 정부 규제 기관(TDRA)이 직접적으로 역할을 하는 유일한 분야입니다: UAE 내에서 사용, 판매 또는 배포되는 하드웨어 및 네트워크 장비는 일반적으로 사용 전에 TDRA 등록이 필요합니다. 순수 소프트웨어 또는 SaaS 비즈니스는 보통 이를 촉발하지 않지만, 하드웨어 보안 모듈이나 네트워크 장비를 배송하는 벤더는 수입 전 등록을 확인해야 합니다.

회사 자체의 UAE 법인 계좌를 개설하는 단계에서 자격 증명 보관은 기술적 문제만이 아니라 은행의 문제가 됩니다. 은행은 회사가 고객 환경 안에서 무엇을 볼 수 있고 조작할 수 있는지, 접근이 어떻게 기록되는지, 긴급 우회를 누가 승인할 수 있는지를 물을 것입니다. 이는 소프트웨어 재판매업체보다는 관리형 서비스 제공업체에 대한 심사에 더 가깝습니다. 첫 계좌 개설 면담 전에 준비해 두는 것이 좋으며, 법인 은행 계좌 준비를 참고하십시오.

대기업 및 정부 고객은 접근 권한을 부여하기 전에 직원 심사, 직무 분리, 복구 체계를 포함하는 자체 공급업체 평가를 진행합니다. 신뢰할 수 있는 답변은 정상 운영 모델과 장애 상황을 구분합니다. 즉 사고 대응을 누가 이끄는지, 특권 세션이 오용될 경우 손실을 누가 부담하는지입니다. 이미 확정된 계약, 인력, 인프라 등 자금이 확보된 계획의 증거는 향후 의도에 대한 설명보다 더 무게가 있으며, 사업 계획 및 문서화를 참고하십시오.

PAM 또는 신원 관리 비즈니스는 주주 명부뿐만 아니라 제어에 관련된 사람이 필요합니다. 고객은 자격 증명 금고의 명확한 소유자, 긴급 액세스에 대한 별도의 승인자(동일한 사람이 특권 세션을 승인 및 사용할 수 없는)가 필요하며, 업무 시간 외에 연락할 수 있는 사건 대응 연락처가 필요합니다. 액세스 결정을 실제로 운영하는 사람이 아닌 명목상의 이사들은 회사가 완성하라는 모든 보안 설문지를 약화시킵니다.

소유 구조에 외국인 투자자, 여러 단계의 지주회사 계층, 또는 개인과 법인 주주의 혼합이 포함되는 경우 설립 경로와 은행이나 고객이 요구할 서류가 더 복잡해지며, 규제 대상 및 복잡한 소유 구조를 참고하십시오. 계좌 개설 과정에서 투자자 본인의 자금 조달 이력이 심사될 경우, 은행이 요구한 후가 아니라 병행하여 해당 증빙을 준비하십시오. 자산 및 자금의 출처를 참고하십시오.

반복적인 실패는 행정적이 아닌 구조적인 문제입니다. 모든 기술자가 사용할 수 있는 범용 지원 자격 증명은 고객이 지불하고 있는 감사 증적을 제거합니다. 하나의 관리자가 승인 및 특권 액세스를 사용할 수 있게 하는 것은 제품이 판매하려는 제어를 무력화합니다. 비상 복구가 하나의 명명된 사람 또는 하나의 지역에 의존하게 되면, 단 하나의 부재가 회사가 서비스하는 모든 고객에게 중단을 초래합니다. 계약 조건에 따라 관리, 자격 증명 보유 서비스를 판매하면서 소프트웨어 전용 납품을 위해 작성된 계약을 통해 처벌될 위험이 있습니다.

두 번째로 흔한 실패는 문서화되지 않은 파트너 관계입니다. 서비스의 일부를 다른 제공자가 맡는 경우(호스팅, 특정 연동, 업무 시간 외 대응), 고객이 UAE 회사가 서비스 전체를 책임진다고 가정하기 전에 계약서에 범위, 기준, 증빙 접근, 책임, 종료를 서면으로 명시해야 합니다.

라이선스가 발급된 후 비자, 사무 공간, 갱신은 다른 기술 회사와 동일한 규칙을 따르며, 한 가지가 추가됩니다. 특권 접근을 보유하거나 승인할 직원은 고객의 심사 과정에서 이름까지 물어볼 사람들이므로, 채용은 첫 대기업 계약 이후가 아니라 이전에 순서를 잡아야 합니다. 메인랜드(mainland) 상업 라이선스 수수료는 선택한 법적 형태와 활동에 따라 DET가 정하며, 라이선스만 포함된 프리존(free zone) 패키지는 일반적으로 더 저렴하지만 존에 따라 다릅니다. 예산을 세우기 전에 현재 금액을 DET 또는 선택한 프리존에서 직접 확인하십시오. 어느 경로의 수수료도 고객이나 은행이 자금이 확보되어 있기를 기대하는 엔지니어링, 심사, 사고 대응 역량을 포함하지 않기 때문입니다. Federal Tax Authority (FTA)에 대한 법인세 등록은 법인으로서의 회사에 FTA Decision No. (3) of 2024가 정한 기한 내에 요구되며, 이 기한은 영업 개시 시점이 아니라 설립 또는 라이선스 발급 시점부터 진행됩니다. FTA는 등록을 무료로 안내하고, 트레이드 라이선스, 설립 증명서 또는 정관, 25%를 초과하는 지분을 보유한 모든 소유자와 권한 있는 서명인의 Emirates ID 및 여권을 요구하며, 완비된 신청서를 접수한 날로부터 20영업일이 걸립니다. 라이선스 수수료 외에 비용은 층층이 구성되며, Velarozone 서비스 요금은 용역 계약서(engagement letter)에 항목별로 명시됩니다. Velarozone 운영 방식을 참고하십시오.