رہنما کتاب
متحدہ عرب امارات میں Identity-Security یا Privileged-Access-Management کمپنی کیسے قائم کریں
شائع شدہ
مختصر جواب
یو اے ای کا کوئی ریگولیٹر "پریولیجڈ ایکسیس مینجمنٹ" نام کا لائسنس جاری نہیں کرتا۔ بنیادی تجارتی لائسنس Dubai Department of Economy and Tourism (DET)، کسی دوسری امارت کے محکمۂ اقتصادی ترقی یا فری زون (free zone) سے، آئی ٹی، سافٹ ویئر یا معلوماتی سلامتی کی مشاورتی سرگرمی کے تحت ملتا ہے۔ راستے کا حقیقی فیصلہ اس سے ہوتا ہے کہ کمپنی صرف ایسا سافٹ ویئر بیچتی یا نافذ کرتی ہے جو کلائنٹ کے اپنے کنٹرول میں رہے، یا وہ ایک منظم والٹ چلاتی ہے جو کلائنٹ کے سسٹمز پر فعال ایڈمنسٹریٹر کریڈینشل رکھتا، ری سیٹ کرتا یا ایسکلیٹ کرتا ہے۔ یہی ایک فرق، یعنی مصنوع کے نام کے بجائے کریڈینشل کی تحویل، طے کرتا ہے کہ ڈیٹا کے تحفظ کی ذمہ داریاں اور شعبے سے متعلق سلامتی کی توقعات کمپنی میں کتنی دور تک پہنچتی ہیں۔
کون لائسنس کا فیصلہ کرتا ہے، اور کیوں سرگرمی کا لیبل کافی نہیں ہے
ابتدائی نقطہ معمولی کمپنی تشکیل ہے: دبئی میں DET، دوسرے جگہوں پر اقتصادی ترقی کا متعلقہ محکمہ، یا ایک فری زون اتھارٹی، جو ایک سرگرمی جیسے آئی ٹی کنسلٹنسی، سافٹ ویئر ترقی یا معلوماتی سیکیورٹی کنسلٹنسی کے تحت ایک لائسنس جاری کرتا ہے۔ کوئی بھی "Privileged Access Management" یا "Identity Governance" سرگرمی کوڈ برقرار نہیں رکھتا، اسلئے کمپنی کو پہلے ٹیکنالوجی کاروبار کے طور پر لائسنس کیا جاتا ہے۔
بعد کے تجزیے کو لائسنس نہیں، سروس بدلتی ہے۔ جو وینڈر PAM سافٹ ویئر بیچتا ہے جسے گاہک خود انسٹال کرکے چلاتا ہے، وہ عام سافٹ ویئر کاروبار کے زیادہ قریب ہے۔ جو فراہم کنندہ والٹ چلاتا ہے، ایڈمنسٹریٹر کریڈینشل رکھتا ہے یا بریک گلاس طریقۂ کار کا انتظام کرتا ہے، وہ کسی اور کے سسٹمز پر عملی کنٹرول لے رہا ہے؛ اسی سے طے ہوتا ہے کہ کلائنٹ کی سلامتی اور خریداری کی ٹیمیں یو اے ای کی کمپنی سے کسی بھی فعال سسٹم سے جڑنے سے پہلے کیا ثابت کرنے کو کہیں گی۔
جہاں حتمی کلائنٹ خود ریگولیٹڈ ہو، جیسے بینک، ایکسچینج یا سرکاری ادارہ: اس کا اپنا ریگولیٹر آؤٹ سورسنگ اور رسائی کے کنٹرول کی توقعات طے کرتا ہے، جنہیں کلائنٹ پھر معاہدے کے ذریعے سپلائرز پر عائد کرتا ہے۔ یو اے ای کی کمپنی اس کی پابند ہے جو کلائنٹ مانگتا ہے؛ اسے وہ ریگولیٹر براہِ راست لائسنس نہیں دیتا۔
ریگولیٹرز اصل میں کیا تقاضا کرتے ہیں
لائسنس کی قسم سے زیادہ دو ذرائع اہم ہیں۔ وفاقی فرمان نمبر 45 برائے 2021 کسی بھی شخص کے یو اے ای کے اندر دیے گئے ذاتی معلومات کے عمل کو منظم کرتا ہے، انکشافات کے ساتھ DIFC اور ADGM کے لئے، جو اپنے ڈيٹا پروٹیکشن قوانین کو نافذ کرتے ہیں۔ رسائی لاگز اور سرٹیفیکیٹ کے مواد معمولی ذاتی معلومات پر مشتمل ہوتے ہیں، اسلئے PAM یا شناختی حکومت کاری کاروائی کرنے والا ذاتی ڈیٹا کے حوالے سے ایک کنٹرولر یا پروسیسر ہوتا ہے، قانون کی عمومی سیکیورٹی اور برچ ہینڈلنگ کی وظائف اس کی حیثیت سے پیروی کرتی ہیں۔
متحدہ عرب امارات کی سائبر سیکیورٹی کونسل قومی سائبر سیکیورٹی حکمت علمی کی معاونت کرتی ہے، جس کا مقصد اہم ڈھانچے کی حفاظت اور واقعاتی جواب کو بہتر بنانا ہوتا ہے، یہ حکومت اور نجی شعبے کے شراکت داروں کے درمیان کی جاتی ہے۔ یہ نجی شناخت-سیکیورٹی وینڈرز کو لائسنس نہیں دیتی، لیکن جب کوئی کلائنٹ کسی ایسے شعبے میں ہوتا ہے جسے وہ اہم ڈھانچے کے طور پر سمجھتی ہے، تو کونسل کی توقعات عموماً وینڈر تک کلائنٹ کی اپنی سیکیورٹی اور واقعاتی رپورٹنگ کی دفعات کے ذریعے پہنچتی ہیں بجائے کہ براہ راست لائسنس کے۔ وہ فرم جو کریپٹوگرافک مواد کو براہ راست چھوتی ہیں، بجائے کہ صرف رسائی کو کنٹرول کرتے ہوں، انہیں پوسٹ-کوانٹم کریپٹوگرافی یا محفوظ مواصلات کی کمپنی کے لئے علیحدہ راستہ چیک کرنا چاہئے۔
ٹیلی کمیونیکیشن اور ڈیجیٹل حکومت ریگولیٹری اتھارٹی (TDRA) کے پاس ایک واحد شعبہ ہے جہاں براہ راست کردار ہے: ہارڈ ویئر اور نیٹ ورک کے آلات جو یو اے ای میں استعمال ہوتے ہیں، فروخت کئے جاتے ہیں یا تقسیم کئے جاتے ہیں ان کو عمومی TDRA رجسٹریشن کی ضرورت ہوتی ہے استعمال سے پہلے۔ خالص سافٹ ویئر یا سافٹ ویئر آزاد کاروبار عام طور پر یہ نہیں کرتا، لیکن ایک وینڈر جو ہارڈ ویئر سیکیورٹی ماڈیولز یا نیٹ ورک کے آلات بھیج رہا ہے، درآمد سے پہلے رجسٹریشن کی پڑتال کریں۔
بینک اور انٹرپرائز کلائنٹس کاروبار کا کیسے جائزہ لیتے ہیں
کمپنی کا اپنا یو اے ای کارپوریٹ اکاؤنٹ کھولنا وہ مرحلہ ہے جہاں کریڈینشل کی تحویل صرف تکنیکی نہیں، بینکاری کا سوال بن جاتی ہے۔ بینک پوچھے گا کہ کمپنی کلائنٹ کے ماحول میں کیا دیکھ اور چھو سکتی ہے، رسائی کیسے لاگ ہوتی ہے اور ہنگامی اوور رائیڈ کی منظوری کون دے سکتا ہے۔ یہ سافٹ ویئر ری سیلر کے بجائے منظم سروس فراہم کنندہ کے جائزے کے زیادہ قریب ہے۔ اکاؤنٹ کھولنے کی پہلی ملاقات سے پہلے اس کی تیاری کرنا مناسب ہے؛ دیکھیں کارپوریٹ بینک اکاؤنٹ کی تیاری۔
انٹرپرائز اور سرکاری کلائنٹ رسائی دینے سے پہلے اپنی سپلائر جانچ کرتے ہیں، جس میں عملے کی پڑتال، فرائض کی علیحدگی اور بحالی کے انتظامات شامل ہیں۔ معتبر جواب عام آپریٹنگ ماڈل کو ناکامی کی صورت سے الگ کرتا ہے: واقعے کے ردعمل کی قیادت کون کرتا ہے، اور اگر کوئی مراعات یافتہ سیشن غلط استعمال ہو تو نقصان کون اٹھاتا ہے۔ فنڈڈ منصوبے کا ثبوت، یعنی پہلے سے طے شدہ معاہدے، عملہ اور انفراسٹرکچر، مستقبل کے ارادے کی وضاحت سے زیادہ وزن رکھتا ہے؛ دیکھیں بزنس پلان اور دستاویزات۔
ملکیت، حقیقت اور وہ کردار جو کاروبار کو مکمل کرنا چاہئے
ایک PAM یا شناختی حکومت کاری کاروبار کی ضرورت ہوتی ہے نامزد کرتے ہیں جو اس کے کنٹرولز کے پیچھے موجود لوگ ہوتے ہیں، نہ کہ صرف ایک شیئر ہولڈر رجسٹر۔ کلائنٹس اوصاف کے خزانچی کے لئے ایک مخصوص مالک، ایمرجنسی تک رسائی کے لئے ایک الگ آسمولوجی کی توقع رکھتے ہیں تاکہ ایک ہی شخص دونوں اتھارائیز نہ کرے اور مخصوص سیشنز کو استعمال نہ کرے، اور آفس کے بعد حادثاتی جواب دینے کے لئے ایک رابطہ جو آفس اوورز کے باہر پہنچ سکے۔ اس بنیاد پر نامزد ڈائریکٹرز جو درحقیقت رسائی کے فیصلوں کو نہیں چلاتے ہر سیکیورٹی سوالنامے کو کمزور کرتے ہیں جو کمپنی کو مکمل کرنے کے لئے کہا گیا ہے۔
جہاں ملکیت میں غیر ملکی سرمایہ کار، متعدد ہولڈنگ سطحیں یا انفرادی اور کارپوریٹ شیئر ہولڈرز کا امتزاج شامل ہو، وہاں قیام کا راستہ اور وہ دستاویزات جو بینک یا کلائنٹ چاہے گا زیادہ پیچیدہ ہو جاتے ہیں؛ دیکھیں ریگولیٹڈ اور پیچیدہ ملکیتی ڈھانچے۔ جہاں اکاؤنٹ کھولتے وقت سرمایہ کار کی اپنی فنڈنگ کی تاریخ کی جانچ ہوگی، وہاں وہ ثبوت بینک کے مانگنے کے بعد نہیں، ساتھ ساتھ تیار کریں؛ دیکھیں دولت اور رقوم کا ذریعہ۔
اس شعبے میں کیا غلط ہوتا ہے
متواتر ناکامی سٹرکچرل ہے، نہ کہ انتظامی۔ ایک عالمگیر سپورٹ کریڈینشل جو ہر انجینئر استعمال کر سکتا ہے وہ آڈٹ ٹریل کو ہٹا دیتی ہے جس کے لئے ایک کلائنٹ پیسے دیتا ہے۔ ایک ایڈمنسٹریٹر کو منظوری دینے اور مراعات یافتہ رسائی کو استعمال کرنے کی اجازت دینا اس کنٹرول کو بے اثر کر دیتا ہے جسے یہ پروڈکٹ فروخت کرنے کا ارادہ رکھتا ہے۔ ایک ہنگامی بازیافت کو ایک مخصوص فرد یا ایک خطے پر انحصار بنانا ہر کلائنٹ کے لئے ایک خلا پیدا کرتا ہے جسے کمپنی اپنی خدمت میں رکھتی ہے۔ ایک معاہدے کے تحت منظم، کریڈینشل ہولڈنگ سروس بیچنا جو صرف سافٹ ویئر چینل کے لئے لکھا گیا ہو، کمپنی کو اس کنٹرول کے لئے ذمہ داری بنا دیتا ہے جو اس نے کبھی نہیں شامل کئے تھے۔
دوسری عام کوتاہی بغیر دستاویز کا شراکت دار تعلق ہے۔ جہاں سروس کا ایک حصہ کسی اور فراہم کنندہ کے پاس ہو (ہوسٹنگ، کوئی مخصوص انٹیگریشن یا اوقاتِ کار کے بعد ردعمل)، وہاں معاہدے میں دائرہ، معیارات، ثبوت تک رسائی، ذمہ داری اور خاتمہ تحریری طور پر درج ہوں، اس سے پہلے کہ کلائنٹ فرض کرلے کہ یو اے ای کی کمپنی پوری سروس کی مالک ہے۔
لائسنس آپریٹنگ سے کیسے جڑتا ہے
لائسنس جاری ہونے کے بعد ویزے، احاطے اور تجدیدات کسی بھی ٹیکنالوجی کمپنی جیسے ہی قواعد کی پیروی کرتے ہیں، ایک اضافے کے ساتھ: جو عملہ مراعات یافتہ رسائی رکھے گا یا اس کی منظوری دے گا، اس کے بارے میں کلائنٹ کا جانچ کا عمل نام لے کر پوچھے گا، اس لیے بھرتی کو پہلے انٹرپرائز معاہدے سے قبل ترتیب دینا چاہیے، اس کے بعد نہیں۔ مین لینڈ (mainland) کی تجارتی لائسنس فیس DET منتخب کردہ قانونی شکل اور سرگرمی کے مطابق طے کرتا ہے، اور صرف لائسنس والا فری زون پیکج عموماً سستا ہوتا ہے مگر زون کے لحاظ سے مختلف ہوتا ہے؛ بجٹ بنانے سے پہلے موجودہ رقم براہِ راست DET یا منتخب فری زون سے لیں، کیونکہ کسی بھی راستے کی فیس اس انجینئرنگ، جانچ اور واقعاتی ردعمل کی صلاحیت کا احاطہ نہیں کرتی جس کے فنڈڈ ہونے کی توقع کلائنٹ یا بینک کرے گا۔ Federal Tax Authority (FTA) میں کارپوریٹ ٹیکس رجسٹریشن کمپنی کے لیے، بطور قانونی شخص، FTA Decision No. (3) of 2024 کی مقرر کردہ مدت کے اندر لازم ہے، جو انکارپوریشن یا لائسنس کے اجرا سے شروع ہوتی ہے، کاروبار کے آغاز سے نہیں۔ FTA رجسٹریشن کو مفت بتاتی ہے، ٹریڈ لائسنس، سرٹیفکیٹ آف انکارپوریشن یا میمورنڈم آف ایسوسی ایشن، اور 25 % سے زیادہ حصص رکھنے والے ہر مالک اور مجاز دستخط کنندگان کی Emirates ID اور پاسپورٹ مانگتی ہے، اور مکمل درخواست ملنے سے 20 کاروباری دن لیتی ہے۔ لائسنس فیس کے علاوہ لاگت تہوں میں بنتی ہے، اور Velarozone کی اپنی سروس فیس اینگیجمنٹ لیٹر (engagement letter) میں مدوار درج ہوتی ہے؛ دیکھیں Velarozone کیسے کام کرتا ہے۔
