Як створити компанію з безпеки ідентичності або управління привілейованим доступом в ОАЕ

Відправною точкою є звичайне створення компанії: DET у Дубаї, еквівалентний департамент економічного розвитку в іншому місці або орган вільної зони, який видає ліцензію під таку діяльність, як IT-консалтинг, розробка програмного забезпечення або інформаційно-безпековий консалтинг. Жоден з них не підтримує окремий код діяльності "управління привілейованим доступом" або "керування ідентичністю," тому компанію ліцензують як технологічний бізнес спочатку.

Подальший аналіз змінює не ліцензія, а послуга. Постачальник, який продає ПЗ для PAM, що його замовник встановлює й експлуатує сам, ближчий до звичайного програмного бізнесу. Постачальник, який експлуатує сховище, утримує облікові дані адміністраторів або керує процедурою аварійного доступу (break-glass), бере на себе операційний контроль над чужими системами, і від цього залежить, що служби безпеки та закупівель клієнта вимагатимуть від компанії в ОАЕ підтвердити до підключення до будь-яких чинних систем.

Якщо кінцевий клієнт сам регулюється, наприклад банк, біржа чи державна установа: його власний регулятор встановлює вимоги до аутсорсингу та контролю доступу, які клієнт потім договором покладає на постачальників. Компанія в ОАЕ зв'язана тим, чого вимагає клієнт, і не отримує ліцензію безпосередньо від цього регулятора.

Два джерела мають більше значення, ніж категорія ліцензії. Федеральний Декрет-Закон № 45 від 2021 року регулює обробку персональних даних будь-якого, хто знаходиться в ОАЕ, з винятками для DIFC і ADGM, які застосовують власні закони про захист даних. Журнали доступу та метадані облікових даних рутинно містять персональні дані, тож оператор ПЗУ або керування ідентичністю є контролером даних або процесором для даних, з якими він взаємодіє, з основними обов'язками щодо безпеки та реакції на порушення, що походять з цього статусу.

Рада кібербезпеки ОАЕ координує національну стратегію кібербезпеки з задекларованою метою захисту критичної інфраструктури та покращення реагування на інциденти серед партнерів уряду та приватного сектору. Вона не ліцензує приватних постачальників ідентифікаційної безпеки, але коли клієнт працює в секторі, який вважається критичною інфраструктурою, очікування Ради зазвичай доходять до постачальника через власні положення про безпеку та звітність про інциденти клієнта, а не через пряму ліцензію. Компанії, чия робота безпосередньо стосується криптографічного матеріалу, а не тільки управління доступом, повинні переглянути окремий маршрут для постквантової криптографії або компанії безпечного зв'язку.

Обладнання: це єдина область, де Telecommunications and Digital Government Regulatory Authority (TDRA) має пряму роль: апаратне та мережеве обладнання, яке використовується, продається або розповсюджується в ОАЕ, зазвичай потребує реєстрації TDRA до використання. Чисто програмний або служба SaaS бізнес зазвичай цього не викликає, але постачальник, що постачає апаратні модулі безпеки або мережеву техніку, повинен перевірити реєстрацію перед імпортом.

Під час відкриття власного корпоративного рахунку в ОАЕ зберігання облікових даних стає питанням банківським, а не лише технічним. Банк запитає, що компанія може бачити й зачіпати всередині середовища клієнта, як фіксується доступ і хто може схвалити екстрене обхідне рішення. Це ближче до перевірки постачальника керованих послуг, ніж до перевірки реселера програмного забезпечення. До цього варто підготуватися до першої зустрічі щодо відкриття рахунку; див. готовність до відкриття корпоративного банківського рахунку.

Корпоративні та державні клієнти проводять власну оцінку постачальника до надання доступу, що охоплює перевірку персоналу, розподіл обов'язків і заходи відновлення. Переконлива відповідь розмежовує звичайну операційну модель і випадок збою: хто очолює реагування на інциденти та хто несе збиток, якщо привілейований сеанс використано неналежно. Підтвердження профінансованого плану, тобто вже укладених договорів, залученого персоналу та розгорнутої інфраструктури, важить більше, ніж опис майбутніх намірів; див. бізнес-плани та документація.

ПЗУ або бізнес з керування ідентичностями потребує визначених осіб, які стоять за його контролем, а не тільки реєстру акціонерів. Клієнти очікують визначеного власника сховища облікових даних, окремого затверджувача для екстреного доступу, щоб одна й та ж особа не мала змоги і авторизувати, і використовувати привілейовані сеанси, та контакту для реагування на інциденти, з яким можна зв’язатися поза робочими годинами. Номінальні директори, які не є людьми, що фактично приймають рішення з доступу, послаблюють кожну анкету з безпеки, яку компанія має заповнити.

Якщо серед власників є іноземні інвестори, кілька рівнів холдингів або поєднання фізичних і юридичних осіб серед акціонерів, маршрут створення компанії та документи, яких вимагатимуть банк чи клієнт, ускладнюються; див. регульовані та складні структури володіння. Якщо під час відкриття рахунку перевірятиметься історія фінансування самого інвестора, підготуйте ці підтвердження заздалегідь, а не після запиту банку; див. джерело статків і коштів.

Повторюваний недолік є архітектурним, а не адміністративним. Універсальний обліковий запис підтримки, який може використовувати кожен інженер, знищує аудиторський слід, за який клієнт платить. Дозволити одному адміністратору як схвалювати, так і використовувати привілейований доступ, знищує контроль, що продукт має продавати. Запровадження аварійного відновлення, яке залежить від однієї названої особи або одного регіону, перетворює одиночну відсутність на відмову для кожного клієнта, якого обслуговує компанія. Продаж керованої послуги зі зберігання облікових даних за умовами контракту, написаними для доставки лише програмного забезпечення, залишає компанію відповідальною за контроль, що вона ніколи не включала в ціну.

Друга поширена помилка: недокументовані відносини з партнером. Якщо частину послуги виконує інший постачальник (хостинг, окрема інтеграція чи реагування поза робочим часом), договір має письмово закріплювати обсяг, стандарти, доступ до підтвердних матеріалів, відповідальність і припинення, перш ніж клієнт вирішить, що компанія в ОАЕ відповідає за всю послугу.

Після видачі ліцензії візи, приміщення та продовження підпорядковуються тим самим правилам, що й для будь-якої технологічної компанії, з одним доповненням: працівники, які володітимуть привілейованим доступом або схвалюватимуть його, це люди, про яких процес перевірки клієнта запитає поіменно, тому добір персоналу слід запланувати до першого корпоративного договору, а не після нього. Збір за комерційну ліцензію мейнленду (mainland) встановлює DET залежно від обраної організаційно-правової форми та діяльності, а пакет лише з ліцензією у вільній зоні (free zone), як правило, дешевший, але залежить від зони; актуальну суму слід дізнатися безпосередньо в DET або обраній вільній зоні до складання бюджету, оскільки збір за жодним із маршрутів не покриває інженерні можливості, перевірку персоналу та здатність реагувати на інциденти, фінансування яких очікують клієнт чи банк. Реєстрація за корпоративним податком у Federal Tax Authority (FTA) обов'язкова для компанії як юридичної особи у строк, встановлений FTA Decision No. (3) of 2024, який відраховується від створення компанії або видачі ліцензії, а не від початку торгової діяльності. FTA зазначає реєстрацію як безкоштовну, запитує торгову ліцензію, свідоцтво про реєстрацію або установчий договір, а також Emirates ID і паспорт кожного власника з часткою понад 25 % та уповноважених підписантів, і розглядає повну заяву 20 робочих днів з моменту її отримання. Крім збору за ліцензію, вартість складається з шарів, а власна плата за послуги Velarozone зазначається окремим рядком у листі-угоді про умови надання послуг (engagement letter); див. як працює Velarozone.