Como Estabelecer uma Empresa de Segurança de Identidade ou Gestão de Acesso Privilegiado nos EAU

O ponto de partida é a formação comum de empresa: DET em Dubai, o departamento equivalente de desenvolvimento econômico em outro lugar ou uma autoridade de free zone, emitindo uma licença sob uma atividade como consultoria de TI, desenvolvimento de software ou consultoria de segurança da informação. Nenhuma mantém um código de atividade distinto de "gestão de acesso privilegiado" ou "governança de identidade", então a empresa é licenciada como uma empresa de tecnologia primeiro.

O que altera a análise depois é o serviço, não a licença. Um fornecedor que vende software PAM para o cliente instalar e operar aproxima-se de um negócio de software comum. Um prestador que opera o cofre, detém credenciais de administrador ou gere o procedimento de acesso de emergência (break-glass) assume o controlo operacional dos sistemas de outrem, o que determina o que as equipas de segurança e de compras de um cliente pedirão à empresa dos EAU que demonstre antes de se ligar a qualquer sistema em produção.

Quando o cliente final é ele próprio regulado, como um banco, uma bolsa ou uma entidade pública, o seu regulador define expectativas de subcontratação e de controlo de acessos que o cliente depois impõe aos fornecedores por contrato. A empresa dos EAU fica vinculada ao que o cliente exige, não sendo licenciada diretamente por esse regulador.

Duas fontes importam mais do que uma categoria de licença. O Decreto-Lei Federal nº 45 de 2021 rege o processamento de dados pessoais de qualquer pessoa nos Emirados Árabes Unidos, com exceções para o DIFC e o ADGM, que aplicam suas próprias leis de proteção de dados. Logs de acesso e metadados de credenciais rotineiramente contêm dados pessoais, então um operador de PAM ou governança de identidade é um controlador ou processador de dados para os dados que toca, com as obrigações gerais de segurança e de manejo de violações da lei derivando desse status.

O Conselho de Segurança Cibernética dos Emirados coordena a estratégia nacional de cibersegurança, com o objetivo declarado de proteger a infraestrutura crítica e melhorar a resposta a incidentes entre parceiros do governo e do setor privado. Ele não licencia fornecedores privados de segurança de identidade, mas quando um cliente está em um setor que trata como infraestrutura crítica, as expectativas do Conselho geralmente atingem o fornecedor através das cláusulas de segurança e relatório de incidentes do próprio cliente, em vez de uma licença direta. Empresas cujo trabalho toca diretamente material criptográfico, em vez de controle de acesso apenas, devem verificar a rota separada para uma empresa de criptografia pós-quântica ou comunicações seguras.

Equipamentos são a única área onde a Telecommunications and Digital Government Regulatory Authority (TDRA) tem um papel direto: equipamentos de hardware e rede usados, vendidos ou distribuídos nos Emirados Árabes Unidos geralmente precisam de registro no TDRA antes do uso. Um negócio puro de software ou SaaS geralmente não aciona isso, mas um fornecedor que envia módulos de segurança de hardware ou aparelhos de rede deve verificar o registro antes da importação.

A abertura da conta empresarial própria nos EAU é o momento em que a custódia de credenciais passa a ser uma questão bancária, e não apenas técnica. Um banco perguntará o que a empresa pode ver e tocar no ambiente de um cliente, como o acesso é registado e quem pode aprovar uma anulação de emergência. Isto aproxima-se mais da revisão feita a um prestador de serviços geridos do que à de um revendedor de software. Vale a pena preparar-se antes da primeira reunião de abertura de conta; veja preparação da conta bancária empresarial.

Os clientes empresariais e públicos realizam a sua própria avaliação de fornecedores antes de conceder acesso, abrangendo a verificação do pessoal, a segregação de funções e os mecanismos de recuperação. Uma resposta credível separa o modelo operacional normal do caso de falha: quem lidera a resposta a incidentes e quem suporta a perda se uma sessão privilegiada for usada indevidamente. A prova de um plano financiado, isto é, contratos, pessoal e infraestrutura já comprometidos, pesa mais do que a descrição de uma intenção futura; veja planos de negócios e documentação.

Um negócio de governança de identidades ou PAM precisa de pessoas nominais por trás de seus controles, não apenas um registro de acionistas. Os clientes esperam um proprietário definido para o cofre de credenciais, um aprovador separado para acesso de emergência, para que a mesma pessoa não autorize e utilize sessões privilegiadas, e um contato de resposta a incidentes acessível fora do horário comercial. Diretores nominais que não são as pessoas que realmente gerenciam as decisões de acesso enfraquecem todos os questionários de segurança que a empresa é solicitada a completar.

Quando a titularidade inclui investidores estrangeiros, várias camadas de holdings ou uma mistura de sócios pessoas singulares e coletivas, o caminho de constituição e a documentação que um banco ou cliente quererá tornam-se mais complexos; veja estruturas de titularidade reguladas e complexas. Quando o historial de financiamento do próprio investidor for escrutinado na abertura de conta, prepare essa prova em paralelo e não depois de um banco a pedir; veja origem do património e dos fundos.

A falha recorrente é arquitetônica, não administrativa. Uma credencial de suporte universal que todo engenheiro pode usar remove a trilha de auditoria que um cliente está pagando para obter. Permitir que um administrador aprove e utilize acesso privilegiado derrota o controle que o produto pretende vender. Dependência da recuperação de emergência em uma pessoa nomeada ou região transforma uma única ausência em uma interrupção para todos os clientes que a empresa atende. Vender um serviço gerenciado com manutenção de credenciais sob termos contratuais escritos para entrega apenas de software deixa a empresa responsável por um controle que nunca foi precificado.

A segunda falha comum é uma relação de parceria sem documentação. Quando parte do serviço está com outro prestador (alojamento, uma integração específica ou resposta fora de horas), o contrato deve indicar por escrito o âmbito, as normas, o acesso a provas, a responsabilidade e a cessação, antes de um cliente presumir que a empresa dos EAU detém todo o serviço.

Depois de emitida a licença, os vistos, as instalações e as renovações seguem as mesmas regras de qualquer empresa tecnológica, com um acréscimo: o pessoal que deterá ou aprovará acessos privilegiados é aquele sobre o qual o processo de verificação de um cliente perguntará por nome, pelo que o recrutamento deve ser sequenciado antes do primeiro contrato empresarial e não depois. A taxa da licença comercial mainland é fixada pelo DET de acordo com a forma jurídica e a atividade selecionadas, e um pacote free zone apenas de licença é tipicamente mais barato, mas varia consoante a zona; obtenha o valor atual diretamente do DET ou da free zone escolhida antes de orçamentar, uma vez que a taxa de nenhum dos dois caminhos cobre a capacidade de engenharia, verificação e resposta a incidentes que um cliente ou um banco esperará ver financiada. O registo do imposto sobre as sociedades na Federal Tax Authority (FTA) é exigido à empresa como pessoa coletiva dentro do prazo fixado pela FTA Decision No. (3) of 2024, que corre desde a constituição ou a emissão da licença e não desde o início da atividade. A FTA indica o registo como gratuito, solicita a licença comercial, o certificado de constituição ou o memorando de associação, e o Emirates ID e o passaporte de qualquer proprietário com mais de 25 % e dos signatários autorizados, e demora 20 dias úteis a partir da receção de um pedido completo. Além da taxa de licença, o custo constrói-se em camadas, e os honorários de serviço Velarozone são discriminados na carta de contratação; veja como funciona a Velarozone.