Как создать компанию по безопасности идентификации или управлению привилегированным доступом в ОАЭ

Отправной точкой является обычное создание компании: DET в Дубае, эквивалентный департамент экономического развития в другом месте или орган свободной зоны, выдающий лицензию на деятельность, такую как IT-консалтинг, разработка программного обеспечения или консалтинг по информационной безопасности. Никто не поддерживает отдельный код деятельности для «управления привилегированным доступом» или «управления идентификацией», поэтому компания лицензируется как технологический бизнес в первую очередь.

Дальнейший анализ меняет не лицензия, а услуга. Поставщик, который продаёт ПО для PAM, устанавливаемое и эксплуатируемое самим заказчиком, ближе к обычному программному бизнесу. Поставщик, который эксплуатирует хранилище, удерживает учётные данные администраторов или управляет процедурой аварийного доступа (break-glass), берёт на себя операционный контроль над чужими системами, и от этого зависит, что службы безопасности и закупок клиента потребуют от компании в ОАЭ подтвердить до подключения к каким-либо действующим системам.

Если конечный клиент сам регулируется, например банк, биржа или государственная организация: его собственный регулятор устанавливает требования к аутсорсингу и контролю доступа, которые клиент затем договором возлагает на поставщиков. Компания в ОАЭ связана тем, чего требует клиент, и не получает лицензию непосредственно от этого регулятора.

Два источника имеют большее значение, чем категория лицензии. Федеральный декрет-закон № 45 от 2021 года регулирует обработку персональных данных всех, кто находится внутри ОАЭ, с исключениями для DIFC и ADGM, которые применяют свои собственные законы о защите данных. Журналы доступа и метаданные учётных данных обычно содержат персональные данные, так что оператор PAM или управления идентификацией является контролирующим или обрабатывающим данные для тех данных, к которым он прикасается, с общими обязанностями закона по безопасности и обработке нарушений, вытекающими из этого статуса.

Совет по кибербезопасности ОАЭ координирует национальную стратегию кибербезопасности с заявленной целью защиты критической инфраструктуры и улучшения реагирования на инциденты у государственных и частных партнёров. Он не лицензирует частных поставщиков по безопасности идентификации, но когда клиент находится в секторе, который Совет считает критической инфраструктурой, ожидания Совета обычно достигают поставщика через положения по безопасности и отчётности об инцидентах самого клиента, а не посредством прямой лицензии. Компании, чья работа непосредственно касается криптографического материала, а не только контроля доступа, должны проверить отдельный маршрут для компании по постквантовой криптографии или безопасным коммуникациям.

Оборудование, это единственная область, в которой у Управления по регулированию телекоммуникаций и цифрового правительства (TDRA) есть прямое участие: оборудование и сетевое оборудование, используемое, продаваемое или распространяемое в ОАЭ, в общем случае требует регистрации TDRA перед использованием. Чисто программный или SaaS-бизнес обычно этого не вызывает, но поставщик, отгружающий модули аппаратной безопасности или сетевые устройства, должен проверить регистрацию перед импортом.

При открытии собственного корпоративного счёта в ОАЭ хранение учётных данных становится вопросом банковским, а не только техническим. Банк спросит, что компания может видеть и затрагивать внутри среды клиента, как фиксируется доступ и кто вправе одобрить экстренное обхождение ограничений. Это ближе к проверке поставщика управляемых услуг, чем к проверке реселлера программного обеспечения. К этому стоит подготовиться до первой встречи по открытию счёта; см. готовность к открытию корпоративного банковского счёта.

Корпоративные и государственные клиенты проводят собственную оценку поставщика до предоставления доступа, охватывающую проверку персонала, разделение обязанностей и меры восстановления. Убедительный ответ разделяет обычную операционную модель и случай сбоя: кто руководит реагированием на инциденты и кто несёт убыток, если привилегированный сеанс использован не по назначению. Подтверждение профинансированного плана, то есть уже заключённых договоров, набранного персонала и развёрнутой инфраструктуры, весит больше, чем описание будущих намерений; см. бизнес-планы и документация.

Бизнес по управлению привилегированным доступом или управлению идентификацией требует именованных лиц, стоящих за его контролями, а не только реестр акционеров. Клиенты ожидают обозначенного владельца для хранилища учётных данных, отдельного утверждающего для аварийного доступа, чтобы один и тот же человек не мог одновременно авторизовать и использовать привилегированные сеансы, и контакт для реагирования на инциденты, доступный вне рабочих часов. Номинальные директора, которые фактически не управляют решениями по доступу, ослабляют каждую анкету по безопасности, которую компании просят заполнить.

Если среди владельцев есть иностранные инвесторы, несколько уровней холдингов или сочетание физических и юридических лиц среди акционеров, маршрут создания компании и документы, которые потребуют банк или клиент, усложняются; см. регулируемые и сложные структуры владения. Если при открытии счёта будет проверяться история финансирования самого инвестора, подготовьте эти подтверждения заранее, а не после запроса банка; см. источник благосостояния и средств.

Постоянная ошибка архитектурного, а не административного характера. Универсальные поддерживающие учётные данные, которые может использовать каждый инженер, уничтожают аудиторский след, за который платит клиент. Позволение одному администратору одновременно одобрять и использовать привилегированный доступ подрывает контроль, который продукт должен был обеспечить. Зависимость аварийного восстановления от одного человека или одного региона превращает одно отсутствие в отказ обслуживания для каждого клиента компании. Продажа управляемой, хранящей учётные данные услуги по условиям контракта, написанным для доставки только программного обеспечения, оставляет компанию ответственной за контроль, который она никогда не предусматривала в цене.

Вторая распространённая ошибка: недокументированные отношения с партнёром. Если часть услуги выполняет другой поставщик (хостинг, отдельная интеграция или реагирование вне рабочего времени), договор должен письменно закреплять объём, стандарты, доступ к подтверждающим материалам, ответственность и прекращение, прежде чем клиент решит, что компания в ОАЭ отвечает за всю услугу.

После выдачи лицензии визы, помещения и продления подчиняются тем же правилам, что и для любой технологической компании, с одним дополнением: сотрудники, которые будут владеть привилегированным доступом или одобрять его, это люди, о которых процесс проверки клиента спросит поимённо, поэтому найм следует запланировать до первого корпоративного договора, а не после него. Сбор за коммерческую лицензию мейнленда (mainland) устанавливает DET в зависимости от выбранной организационно-правовой формы и деятельности, а пакет только с лицензией в свободной зоне (free zone), как правило, дешевле, но зависит от зоны; актуальную сумму следует узнать напрямую в DET или выбранной свободной зоне до составления бюджета, поскольку сбор ни по одному из маршрутов не покрывает инженерные возможности, проверку персонала и способность реагировать на инциденты, финансирования которых ожидают клиент или банк. Регистрация по корпоративному налогу в Federal Tax Authority (FTA) обязательна для компании как юридического лица в срок, установленный FTA Decision No. (3) of 2024, который отсчитывается от создания компании или выдачи лицензии, а не от начала торговой деятельности. FTA указывает регистрацию как бесплатную, запрашивает торговую лицензию, свидетельство о регистрации или учредительный договор, а также Emirates ID и паспорт каждого владельца с долей более 25 % и уполномоченных подписантов, и рассматривает полную заявку 20 рабочих дней с момента её получения. Помимо сбора за лицензию, стоимость складывается из слоёв, а собственная плата за услуги Velarozone указывается отдельной строкой в письме-соглашении об условиях оказания услуг (engagement letter); см. как работает Velarozone.