UAE'de Bir Kimlik Güvenliği veya Yetkili Erişim Yönetimi Şirketi Kurma

Başlangıç noktası olağan şirket kuruluşudur: Dubai'deki DET, başka yerlerdeki eşdeğer ekonomik kalkınma departmanı veya bir free zone yetkisi, IT danışmanlığı, yazılım geliştirme veya bilgi güvenliği danışmanlığı gibi bir faaliyet altında bir lisans verir. Hiçbiri "privileged access management" veya "identity governance" faaliyet kodunu ayrı tutmaz, dolayısıyla şirket ilk olarak bir teknoloji işi olarak lisanslanır.

Analizi sonradan değiştiren lisans değil, hizmettir. Müşterinin kendisinin kurup çalıştırdığı PAM yazılımı satan bir satıcı, sıradan bir yazılım işine daha yakındır. Kasayı işleten, yönetici kimlik bilgilerini elinde tutan veya acil erişim (break-glass) prosedürünü yöneten bir sağlayıcı ise başkasının sistemleri üzerinde operasyonel kontrol üstlenir; bu da bir müşterinin güvenlik ve satın alma ekiplerinin BAE şirketinden canlı herhangi bir sisteme bağlanmadan önce neyi göstermesini isteyeceğini belirler.

Nihai müşterinin kendisi düzenlemeye tabi olduğunda, örneğin bir banka, borsa veya kamu kuruluşu, kendi düzenleyicisi dış kaynak kullanımı ve erişim kontrolü beklentilerini belirler ve müşteri bunları sözleşmeyle tedarikçilere dayatır. BAE şirketi müşterinin gerektirdiği şeylerle bağlıdır; söz konusu düzenleyici tarafından doğrudan lisanslanmaz.

İki kaynak, bir lisans kategorisinden daha önemlidir. Federal Decree-Law No. 45 of 2021, BAE içindeki herhangi birine ait kişisel verilerin işlenmesini düzenler, DIFC ve ADGM için kendi veri koruma yasalarını uygulayan muafiyetlerle. Erişim logları ve kimlik bilgisi metaverisi rutinde kişisel veri içerir, bu nedenle bir PAM veya kimlik yönetim operatörü, temas ettiği veri için bir veri denetleyicisi veya işlemcisidir ve bu durumdan itibaren yasanın genel güvenlik ve ihlal yönetim görevleri takip eder.

BAE Siber Güvenlik Konseyi, kritik altyapıyı korumayı ve hükümet ve özel sektör ortakları genelinde olay yanıtını iyileştirmeyi hedefleyen ulusal siber güvenlik stratejisini koordine eder. Özel kimlik güvenliği satıcılarını lisanslamaz, ancak bir müşteri, Konseyin kritik altyapı olarak değerlendirdiği bir sektördedir ise, Konseyin beklentileri tipik olarak müşterinin kendi güvenlik ve olay raporlama maddeleri aracılığıyla satıcıya ulaşır, doğrudan bir lisans aracılığıyla değil. Çalışmaları doğrudan kriptografik malzeme ile ilgilenen, yalnızca erişim kontrolü ile uğraşmayan firmalar, post-kuantum kriptografi veya güvenli iletişim şirketi için ayrı rotayı kontrol etmelidir.

Ekipman, Telecommunications and Digital Government Regulatory Authority (TDRA) için doğrudan bir role sahip olan tek alan: BAE'de kullanılan, satılan veya dağıtılan donanım ve ağ ekipmanları genelde kullanım öncesi TDRA kaydı gerektirir. Saf yazılım veya SaaS işletmesi genellikle bunu tetiklemez, ancak donanım güvenlik modülleri veya ağ cihazları gönderen bir satıcı ithalattan önce kaydı kontrol etmelidir.

Şirketin kendi BAE kurumsal hesabını açmak, kimlik bilgilerinin saklanmasının yalnızca teknik değil, bankacılığa ilişkin bir soru haline geldiği noktadır. Banka, şirketin bir müşterinin ortamında neyi görebildiğini ve neye dokunabildiğini, erişimin nasıl kaydedildiğini ve acil bir geçersiz kılmayı kimin onaylayabileceğini soracaktır. Bu, bir yazılım bayisinin değil, yönetilen hizmet sağlayıcının incelenmesine daha yakındır. İlk hesap açılışı görüşmesinden önce hazırlanmaya değer; bkz. kurumsal banka hesabı hazırlığı.

Kurumsal ve kamu müşterileri erişim vermeden önce personel incelemesi, görev ayrılığı ve kurtarma düzenlemelerini kapsayan kendi tedarikçi değerlendirmelerini yürütür. Güvenilir bir yanıt, normal işletme modelini arıza durumundan ayırır: olay müdahalesine kim liderlik eder ve ayrıcalıklı bir oturum kötüye kullanılırsa kayıp kime ait olur. Finanse edilmiş bir planın kanıtı, yani halihazırda taahhüt edilmiş sözleşmeler, personel ve altyapı, gelecekteki niyetin tarifinden daha fazla ağırlık taşır; bkz. iş planları ve dokümantasyon.

Bir PAM veya kimlik yönetim işi, kontrol arkasında sadece hisse sahibi listesi ile değil, adı geçen kişilere ihtiyaç duyar. Müşteriler, kimlik bilgisi kasası için atanmış bir sahip, acil erişim için ayrı bir onaylayıcı ve mesai saatleri dışında ulaşılabilir bir olay yanıtı kişisi beklerler. Erişim kararlarını aslında yürütmeyen nominal yöneticiler, şirketin tamamlaması istenen her güvenlik soruşturmasını zayıflatır.

Mülkiyet yabancı yatırımcılar, birden çok holding katmanı veya gerçek kişi ile tüzel kişi ortakların karışımını içerdiğinde, kuruluş yolu ve bir bankanın ya da müşterinin isteyeceği belgeler daha karmaşık hale gelir; bkz. düzenlemeye tabi ve karmaşık mülkiyet yapıları. Hesap açılışı sırasında bir yatırımcının kendi finansman geçmişi incelenecekse, bu kanıtı banka istedikten sonra değil, eş zamanlı olarak hazırlayın; bkz. servet ve fon kaynağı.

Tekrarlayan hata yapısaldır, idari değil. Her mühendisin kullanabileceği evrensel bir destek kimliği, bir müşterinin ödeme yaptığı denetim izini kaldırır. Bir yöneticinin hem onaylatması hem de ayrıcalıklı erişimi kullanması, ürünün satması amaçlanan kontrolü geçersiz kılar. Acil kurtarmanın bir adla anılan kişiye veya bir bölgeye bağlı olması, her müşteriye hizmet veren şirket için bir yokluğu bir kesintiye dönüştürür. Yönetilen, kimlik bilgisi tutan bir hizmetin yalnızca yazılım teslimatına göre yazılmış sözleşme şartları altında satılması, şirketi hiç hesaplanmamış bir kontrol için sorumlu bırakır.

İkinci yaygın hata, belgelenmemiş bir iş ortaklığı ilişkisidir. Hizmetin bir kısmı başka bir sağlayıcıdaysa (barındırma, belirli bir entegrasyon veya mesai dışı müdahale), bir müşteri BAE şirketinin hizmetin tamamına sahip olduğunu varsaymadan önce sözleşme kapsamı, standartları, kanıta erişimi, sorumluluğu ve feshi yazılı olarak belirtmelidir.

Lisans verildikten sonra vizeler, mekân ve yenilemeler diğer teknoloji şirketleriyle aynı kuralları izler, bir ilaveyle: ayrıcalıklı erişimi elinde tutacak veya onaylayacak personel, bir müşterinin inceleme sürecinin isim isim soracağı kişilerdir; bu nedenle işe alım, ilk kurumsal sözleşmeden sonra değil, öncesinde planlanmalıdır. Mainland ticari lisans ücretini DET, seçilen hukuki şekle ve faaliyete göre belirler; yalnızca lisanslı bir free zone paketi genellikle daha ucuzdur ancak bölgeye göre değişir; bütçelemeden önce güncel tutarı doğrudan DET'ten veya seçilen free zone'dan alın, çünkü iki yolun ücreti de bir müşterinin veya bankanın finanse edilmiş görmeyi bekleyeceği mühendislik, inceleme ve olay müdahale kabiliyetini kapsamaz. Federal Tax Authority (FTA) nezdinde kurumlar vergisi kaydı, şirket için tüzel kişi olarak FTA Decision No. (3) of 2024 ile belirlenen süre içinde zorunludur; bu süre ticari faaliyetin başlamasından değil, kuruluştan veya lisansın verilmesinden itibaren işler. FTA kaydı ücretsiz olarak belirtir, ticari lisansı, kuruluş belgesini veya ana sözleşmeyi, ayrıca %25'ten fazla paya sahip her sahibin ve yetkili imza sahiplerinin Emirates ID ile pasaportunu ister ve tamamlanmış bir başvurunun alınmasından itibaren 20 iş günü sürer. Lisans ücretinin ötesinde maliyet katmanlar halinde oluşur ve Velarozone hizmet bedeli sözleşme mektubunda kalem kalem gösterilir; bkz. Velarozone nasıl çalışır.