Jak założyć firmę zajmującą się bezpieczeństwem tożsamości lub zarządzaniem dostępem uprzywilejowanym w ZEA

Punktem wyjścia jest zwykłe zakładanie firmy: DET w Dubaju, równoważny departament rozwoju gospodarczego w innym miejscu lub organ w wolnej strefie wydający licencję na działalność taką jak konsulting IT, rozwój oprogramowania lub konsulting w zakresie bezpieczeństwa informacji. Żaden z nich nie prowadzi oddzielnego kodu działalności "zarządzanie dostępem uprzywilejowanym" ani "governance tożsamości", więc firma jest licencjonowana jako pierwsza jako firma technologiczna.

To, co zmienia analizę w dalszej kolejności, to usługa, a nie licencja. Dostawca sprzedający oprogramowanie PAM, które klient sam instaluje i obsługuje, jest bliższy zwykłej działalności programistycznej. Dostawca, który obsługuje sejf, przechowuje poświadczenia administratorów lub zarządza procedurą awaryjnego dostępu (break-glass), przejmuje kontrolę operacyjną nad cudzymi systemami, co decyduje o tym, czego zespoły ds. bezpieczeństwa i zakupów klienta zażądają od spółki w ZEA, zanim połączy się ona z czymkolwiek produkcyjnym.

Gdy klient końcowy sam podlega regulacjom, jak bank, giełda lub podmiot rządowy: jego własny organ nadzoru ustala oczekiwania dotyczące outsourcingu i kontroli dostępu, które klient następnie narzuca dostawcom w umowie. Spółka w ZEA jest związana tym, czego wymaga klient, a nie jest licencjonowana bezpośrednio przez ten organ nadzoru.

Dwa źródła mają większe znaczenie niż kategoria licencji. Federal Decree-Law No. 45 of 2021 reguluje przetwarzanie danych osobowych każdego na terenie ZEA, z wyłączeniami dla DIFC i ADGM, które stosują swoje własne przepisy dotyczące ochrony danych. Dzienniki dostępu i metadane uwierzytelniające rutynowo zawierają dane osobowe, więc operator PAM lub identity-governance jest administratorem danych lub procesorem danych, które dotyka, z ogólnymi obowiązkami bezpieczeństwa i obsługi naruszeń prawa wynikającymi z tego statusu.

Rada ds. Cyberbezpieczeństwa UAE koordynuje krajową strategię cyberbezpieczeństwa, z deklarowanym celem ochrony infrastruktury krytycznej oraz poprawy reakcji na incydenty wśród partnerów rządowych i sektora prywatnego. Nie wydaje licencji prywatnym dostawcom zabezpieczeń tożsamości, ale gdy klient działa w sektorze uważanym za infrastrukturę krytyczną, oczekiwania Rady zazwyczaj docierają do dostawcy poprzez klauzule bezpieczeństwa i raportowania incydentów klienta, a nie bezpośrednią licencję. Firmy, których praca dotyczy bezpośrednio materiałów kryptograficznych, a nie tylko kontroli dostępu, powinny sprawdzić oddzielną ścieżkę dla post-quantum cryptography lub secure-communications company.

Sprzęt to jeden obszar, gdzie Telecommunications and Digital Government Regulatory Authority (TDRA) ma bezpośrednią rolę: sprzęt i urządzenia sieciowe używane, sprzedawane lub dystrybuowane w ZEA generalnie wymagają rejestracji TDRA przed użyciem. Czysto programowy lub SaaS biznes zazwyczaj tego nie wyzwala, ale dostawca wysyłający moduły bezpieczeństwa sprzętowego lub urządzenia sieciowe powinien sprawdzić rejestrację przed importem.

Otwarcie własnego rachunku firmowego w ZEA to moment, w którym przechowywanie poświadczeń staje się kwestią bankową, a nie tylko techniczną. Bank zapyta, co spółka może zobaczyć i czego dotknąć w środowisku klienta, jak rejestrowany jest dostęp i kto może zatwierdzić awaryjne obejście. To bliższe przeglądowi stosowanemu wobec dostawcy usług zarządzanych niż wobec odsprzedawcy oprogramowania. Warto się do tego przygotować przed pierwszym spotkaniem w sprawie otwarcia rachunku; zob. gotowość do otwarcia firmowego rachunku bankowego.

Klienci korporacyjni i rządowi przeprowadzają własną ocenę dostawcy przed udzieleniem dostępu, obejmującą weryfikację personelu, rozdział obowiązków i ustalenia dotyczące odtwarzania. Wiarygodna odpowiedź oddziela normalny model działania od przypadku awarii: kto kieruje reakcją na incydenty i kto ponosi stratę, jeśli sesja uprzywilejowana zostanie nadużyta. Dowód sfinansowanego planu, czyli już zawartych umów, zatrudnionego personelu i zaangażowanej infrastruktury, waży więcej niż opis przyszłych zamiarów; zob. biznesplany i dokumentacja.

Biznes PAM lub governance tożsamości potrzebuje osób mających kontrolę, a nie tylko rejestru akcjonariuszy. Klienci oczekują określonego właściciela magazynu danych uwierzytelniających, oddzielnego zatwierdzającego dla dostępu awaryjnego, aby ta sama osoba nie mogła jednocześnie autoryzować i wykorzystać uprzywilejowanych sesji, oraz kontaktu ds. reakcji na incydenty osiągalnego poza godzinami pracy. Dyrektorzy nominalni, którzy nie są osobami rzeczywiście zarządzającymi decyzjami o dostępie, osłabiają każdy kwestionariusz bezpieczeństwa, który firma musi wypełnić.

Gdy struktura własnościowa obejmuje inwestorów zagranicznych, wiele poziomów spółek holdingowych albo mieszankę wspólników będących osobami fizycznymi i prawnymi, ścieżka założenia spółki i dokumentacja, której zażąda bank lub klient, stają się bardziej złożone; zob. regulowane i złożone struktury własnościowe. Gdy historia finansowania samego inwestora będzie badana przy otwieraniu rachunku, należy przygotować te dowody równolegle, a nie dopiero po prośbie banku; zob. źródło majątku i środków.

Ciągły błąd jest architektoniczny, a nie administracyjny. Uniwersalne uwierzytelnienia wsparcia, które może używać każdy inżynier, usuwa ścieżkę audytu, za którą płaci klient. Pozwolenie jednemu administratorowi na jednoczesne zatwierdzanie i wykorzystanie uprzywilejowanego dostępu niweczy kontrolę, którą produkt ma sprzedawać. Uzależnienie odzyskiwania awaryjnego od jednej nazwanej osoby lub jednego regionu zmienia jedną nieobecność w przestój dla każdego klienta, którego firma obsługuje. Sprzedając zarządzaną usługę przechowywania danych uwierzytelniających na warunkach umowy napisanej dla dostawy tylko oprogramowania, firma staje się odpowiedzialna za kontrolę, której nigdy nie wyceniła.

Drugą częstą wadą jest niezadokumentowana relacja z partnerem. Gdy część usługi leży po stronie innego dostawcy (hosting, określona integracja lub reakcja poza godzinami pracy), umowa powinna pisemnie określać zakres, standardy, dostęp do dowodów, odpowiedzialność i rozwiązanie, zanim klient założy, że spółka w ZEA odpowiada za całą usługę.

Po wydaniu licencji wizy, lokal i odnowienia podlegają tym samym zasadom co w każdej spółce technologicznej, z jednym dodatkiem: pracownicy, którzy będą posiadać lub zatwierdzać dostęp uprzywilejowany, to osoby, o które proces weryfikacji klienta zapyta imiennie, dlatego rekrutację należy zaplanować przed pierwszą umową korporacyjną, a nie po niej. Opłatę za licencję handlową mainland ustala DET zależnie od wybranej formy prawnej i działalności, a pakiet free zone obejmujący samą licencję jest zwykle tańszy, lecz różni się w zależności od strefy; aktualną kwotę należy uzyskać bezpośrednio w DET lub w wybranej free zone przed ustaleniem budżetu, ponieważ opłata na żadnej z tych ścieżek nie pokrywa zdolności inżynieryjnych, weryfikacji i reagowania na incydenty, których sfinansowania oczekuje klient lub bank. Rejestracja w podatku dochodowym od osób prawnych w Federal Tax Authority (FTA) jest wymagana od spółki jako osoby prawnej w terminie określonym w FTA Decision No. (3) of 2024, który biegnie od założenia spółki lub wydania licencji, a nie od rozpoczęcia obrotu. FTA podaje, że rejestracja jest bezpłatna, wymaga licencji handlowej, świadectwa założenia lub umowy spółki oraz Emirates ID i paszportu każdego właściciela posiadającego ponad 25 % oraz osób upoważnionych do podpisu, a rozpatrzenie kompletnego wniosku zajmuje 20 dni roboczych od jego otrzymania. Poza opłatą licencyjną koszt składa się z warstw, a opłata za usługi Velarozone jest wyszczególniona w umowie o świadczenie usług; zob. jak działa Velarozone.