Cum să înființați o companie de securitate a identității sau de gestionare a accesului privilegiat în EAU

Punctul de plecare este formarea obișnuită a companiei: DET în Dubai, departamentul echivalent de dezvoltare economică în altă parte sau o autoritate de free-zone, care emit o licență sub o activitate cum ar fi consultanța IT, dezvoltarea software sau consultanța de securitate a informației. Niciuna nu menține un cod de activitate distinct pentru „gestionarea accesului privilegiat” sau „guvernanța identității”, astfel încât compania este licențiată mai întâi ca o afacere tehnologică.

Ceea ce schimbă analiza ulterior este serviciul, nu licența. Un furnizor care vinde software PAM pe care clientul îl instalează și îl operează se apropie mai mult de o afacere obișnuită de software. Un prestator care operează seiful, deține credențiale de administrator sau gestionează procedura de acces de urgență (break-glass) preia controlul operațional asupra sistemelor altcuiva, ceea ce determină ce vor cere echipele de securitate și achiziții ale unui client ca societatea din EAU să demonstreze înainte de a se conecta la ceva aflat în producție.

Atunci când clientul final este el însuși reglementat, de exemplu o bancă, o bursă sau o entitate guvernamentală, propriul regulator stabilește așteptări privind externalizarea și controlul accesului, pe care clientul le impune apoi furnizorilor prin contract. Societatea din EAU este legată de ceea ce cere clientul și nu este licențiată direct de acel regulator.

Două surse contează mai mult decât o categorie de licență. Decretul-Lege Federal Nr. 45 din 2021 reglementează procesarea datelor personale ale oricărei persoane din EAU, cu excepții pentru DIFC și ADGM, care aplică propriile legi de protecție a datelor. Jurnalele de acces și metadatele acreditivelor conțin de rutină date personale, astfel încât un operator PAM sau guvernanță a identității este un controlor sau procesator de date pentru datele pe care le atinge, cu obligații generale de securitate și gestionare a încălcărilor derivând din acel statut.

Consiliul de Securitate Cibernetică al EAU coordonează strategia națională de securitate cibernetică, cu scopul declarat de a proteja infrastructura critică și de a îmbunătăți răspunsul la incidente pentru partenerii guvernamentali și din sectorul privat. Nu licențiază furnizorii privați de securitate a identității, dar atunci când un client se află într-un sector pe care Consiliul îl consideră infrastructură critică, așteptările Consiliului ajung în general la furnizor prin clauzele proprii de securitate și raportare a incidentelor ale clientului, nu printr-o licență directă. Companiile a căror activitate implică direct materiale criptografice, mai degrabă decât controlul accesului singur, ar trebui să verifice ruta separată pentru o companie de criptografie post-cuantică sau comunicații securizate.

Echipamentele sunt singura zonă unde Autoritatea de Reglementare a Telecomunicațiilor și Guvernului Digital (TDRA) are un rol direct: echipamentele hardware și de rețea utilizate, vândute sau distribuite în EAU necesită în general înregistrare TDRA înainte de utilizare. O afacere pur software sau SaaS nu declanșează de obicei acest lucru, dar un furnizor care expediază module de securitate hardware sau aparate de rețea ar trebui să verifice înregistrarea înainte de import.

Deschiderea contului corporativ propriu în EAU este momentul în care custodia credențialelor devine o chestiune bancară, nu doar tehnică. O bancă va întreba ce poate vedea și atinge societatea în mediul unui client, cum este înregistrat accesul și cine poate aproba o derogare de urgență. Acest lucru se apropie mai mult de analiza făcută unui furnizor de servicii gestionate decât de cea a unui revânzător de software. Merită pregătit înainte de prima întâlnire de deschidere a contului; a se vedea pregătirea pentru contul bancar corporativ.

Clienții din mediul enterprise și guvernamental realizează propria evaluare a furnizorilor înainte de a acorda acces, cuprinzând verificarea personalului, separarea atribuțiilor și măsurile de recuperare. Un răspuns credibil separă modelul operațional normal de cazul de defecțiune: cine conduce răspunsul la incidente și cine suportă pierderea dacă o sesiune privilegiată este folosită abuziv. Dovada unui plan finanțat, adică contracte, personal și infrastructură deja angajate, cântărește mai mult decât descrierea unei intenții viitoare; a se vedea planuri de afaceri și documentație.

O afacere de guvernanță PAM sau identitate are nevoie de persoane desemnate în spatele controalelor sale, nu doar de un registru al acționarilor. Clienții se așteaptă la un proprietar definit pentru seiful de acreditive, un aprobat separat pentru accesul de urgență, astfel încât aceeași persoană să nu autorizeze și să utilizeze sesiuni privilegiate, și un contact de răspuns la incidente disponibil în afara orelor de program. Directori nominali care nu sunt persoanele care iau efectiv deciziile de acces slăbesc fiecare chestionar de securitate pe care compania este solicitată să îl completeze.

Atunci când proprietatea include investitori străini, mai multe niveluri de holdinguri sau un amestec de asociați persoane fizice și juridice, ruta de înființare și documentația pe care o va dori o bancă sau un client devin mai complexe; a se vedea structuri de proprietate reglementate și complexe. Atunci când istoricul de finanțare al investitorului însuși va fi examinat la deschiderea contului, pregătiți dovada respectivă în paralel, nu după ce o bancă o cere; a se vedea sursa averii și a fondurilor.

Eșecul recurent este arhitectural și nu administrativ. Un acreditiv universal de suport pe care fiecare inginer îl poate folosi elimină pista de audit pentru care clientul plătește. Permițând unui singur administrator să aprobe și să folosească accesul privilegiat învinge controlul pe care produsul ar trebui să-l vândă. Făcând ca recuperarea de urgență să depindă de o singură persoană nominalizată, sau o singură regiune, transformă o singură absență într-o întrerupere pentru fiecare client servit de companie. Vânzând un serviciu gestionat, care deține acreditive, conform termenilor contractuali scriși doar pentru livrarea de software, lasă compania responsabilă pentru controlul pe care nu l-a prevăzut ca preț.

Al doilea eșec frecvent este o relație de parteneriat nedocumentată. Atunci când o parte a serviciului se află la alt furnizor (găzduire, o integrare anume sau răspuns în afara programului), contractul ar trebui să precizeze în scris sfera, standardele, accesul la dovezi, răspunderea și încetarea, înainte ca un client să presupună că societatea din EAU deține întregul serviciu.

După emiterea licenței, vizele, sediul și reînnoirile urmează aceleași reguli ca la orice societate de tehnologie, cu un adaos: personalul care va deține sau va aproba accesul privilegiat este cel despre care procesul de verificare al unui client va întreba nominal, astfel că recrutarea trebuie planificată înaintea primului contract enterprise, nu după el. Taxa pentru licența comercială mainland este stabilită de DET în funcție de forma juridică și activitatea selectate, iar un pachet free zone doar cu licență este de obicei mai ieftin, dar variază în funcție de zonă; obțineți cifra actuală direct de la DET sau de la free zone aleasă înainte de a întocmi bugetul, deoarece taxa niciuneia dintre rute nu acoperă capacitatea de inginerie, verificare și răspuns la incidente pe care un client sau o bancă se va aștepta să o vadă finanțată. Înregistrarea pentru impozitul pe profit la Federal Tax Authority (FTA) este cerută societății ca persoană juridică în termenul stabilit prin FTA Decision No. (3) of 2024, care curge de la înființare sau de la emiterea licenței, nu de la începutul activității comerciale. FTA indică înregistrarea ca fiind gratuită, solicită licența comercială, certificatul de înregistrare sau actul constitutiv, precum și Emirates ID și pașaportul oricărui proprietar cu peste 25 % și ale semnatarilor autorizați, și durează 20 de zile lucrătoare de la primirea unei cereri complete. Dincolo de taxa de licență, costul se construiește în straturi, iar onorariul de serviciu Velarozone este detaliat în scrisoarea de misiune; a se vedea cum funcționează Velarozone.