Cách thành lập công ty bảo mật danh tính hoặc quản lý quyền truy cập đặc quyền tại UAE

Điểm xuất phát là quá trình thành lập công ty thông thường: DET ở Dubai, bộ phận tương đương của phát triển kinh tế ở nơi khác, hoặc một cơ quan free zone, cấp giấy phép theo một hoạt động như tư vấn CNTT, phát triển phần mềm hoặc tư vấn an ninh thông tin. Không có mã hoạt động riêng cho "quản lý quyền truy cập ưu tiên" hoặc "quản trị danh tính", vì vậy công ty được cấp phép như một doanh nghiệp công nghệ trước tiên.

Điều làm thay đổi phân tích về sau là dịch vụ, không phải giấy phép. Nhà cung cấp bán phần mềm PAM để khách hàng tự cài đặt và vận hành gần với một doanh nghiệp phần mềm thông thường hơn. Nhà cung cấp vận hành kho bảo mật, nắm giữ thông tin xác thực quản trị viên hoặc quản lý quy trình truy cập khẩn cấp (break-glass) đang đảm nhận quyền kiểm soát vận hành đối với hệ thống của người khác, điều này quyết định những gì đội an ninh và đội mua sắm của khách hàng sẽ yêu cầu công ty tại UAE chứng minh trước khi kết nối với bất kỳ hệ thống đang chạy nào.

Khi khách hàng cuối tự chịu sự quản lý, chẳng hạn ngân hàng, sàn giao dịch hoặc đơn vị chính phủ: cơ quan quản lý của họ đặt ra các kỳ vọng về thuê ngoài và kiểm soát truy cập, rồi khách hàng áp các kỳ vọng đó lên nhà cung cấp bằng hợp đồng. Công ty tại UAE bị ràng buộc bởi những gì khách hàng yêu cầu, chứ không được cơ quan quản lý đó cấp phép trực tiếp.

Hai nguồn quan trọng nhiều hơn loại giấy phép. Federal Decree-Law No. 45 của năm 2021 quản lý việc xử lý dữ liệu cá nhân của bất kỳ ai trong UAE, với các trường hợp ngoại lệ dành cho DIFC và ADGM, áp dụng luật bảo vệ dữ liệu riêng của họ. Nhật ký truy cập và siêu dữ liệu thông tin chứng thực thường xuyên chứa dữ liệu cá nhân, vì vậy một nhà điều hành PAM hoặc quản trị danh tính là người kiểm soát hoặc xử lý dữ liệu đối với dữ liệu họ tiếp xúc, với các nghĩa vụ về an ninh chung và xử lý vi phạm của luật xuất phát từ địa vị đó.

Hội đồng An ninh Mạng UAE phối hợp chiến lược an ninh không gian mạng quốc gia, với một mục tiêu đã được tuyên bố là bảo vệ cơ sở hạ tầng quan trọng và cải thiện phản ứng sự cố trên toàn bộ đối tác chính phủ và tư nhân. Nó không cấp giấy phép cho các nhà cung cấp an ninh danh tính tư nhân, nhưng khi một khách hàng ngồi trong một ngành mà nó coi là cơ sở hạ tầng quan trọng, các kỳ vọng của Hội đồng thường đến với nhà cung cấp thông qua các điều khoản bảo mật và báo cáo sự cố của khách hàng thay vì một giấy phép trực tiếp. Các công ty có công việc tiếp xúc trực tiếp với vật liệu mã hóa, thay vì chỉ kiểm soát truy cập, nên kiểm tra tuyến riêng cho một công ty mã hóa hậu lượng tử hoặc truyền thông an toàn.

Thiết bị là một khu vực mà Telecommunications and Digital Government Regulatory Authority (TDRA) có vai trò trực tiếp: phần cứng và thiết bị mạng được sử dụng, bán hoặc phân phối tại UAE thường cần đăng ký TDRA trước khi sử dụng. Một doanh nghiệp phần mềm thuần túy hoặc SaaS thường không kích hoạt yêu cầu này, nhưng một nhà cung cấp vận chuyển các module bảo mật phần cứng hoặc thiết bị mạng nên kiểm tra đăng ký trước khi nhập khẩu.

Mở tài khoản doanh nghiệp của chính công ty tại UAE là lúc việc lưu giữ thông tin xác thực trở thành vấn đề ngân hàng, không chỉ là kỹ thuật. Ngân hàng sẽ hỏi công ty có thể thấy và chạm vào những gì bên trong môi trường của khách hàng, truy cập được ghi nhật ký ra sao và ai có thể phê duyệt việc vượt quyền khẩn cấp. Điều này gần với việc rà soát một nhà cung cấp dịch vụ được quản lý hơn là một đơn vị bán lại phần mềm. Nên chuẩn bị trước buổi làm việc đầu tiên về mở tài khoản; xem mức độ sẵn sàng mở tài khoản ngân hàng doanh nghiệp.

Khách hàng doanh nghiệp và chính phủ tự đánh giá nhà cung cấp trước khi cấp quyền truy cập, bao gồm thẩm tra nhân sự, phân tách nhiệm vụ và phương án khôi phục. Một câu trả lời đáng tin cậy tách mô hình vận hành thông thường khỏi trường hợp sự cố: ai dẫn dắt việc ứng phó sự cố, và ai chịu thiệt hại nếu một phiên đặc quyền bị lạm dụng. Bằng chứng về một kế hoạch có nguồn vốn, tức hợp đồng, nhân sự và hạ tầng đã cam kết, có sức nặng hơn mô tả về ý định trong tương lai; xem kế hoạch kinh doanh và tài liệu.

Một doanh nghiệp PAM hoặc quản trị danh tính cần những người có tên đằng sau sự kiểm soát của mình, không chỉ là một danh sách cổ đông. Khách hàng mong đợi một chủ sở hữu được định rõ cho kho lưu trữ thông tin chứng thực, một người phê duyệt riêng biệt cho quyền truy cập khẩn cấp để cùng một người không vừa ủy quyền vừa sử dụng các phiên ưu tiên, và một liên hệ phản ứng sự cố có thể liên lạc ngoài giờ làm việc. Các giám đốc danh nghĩa không thực sự điều hành các quyết định truy cập làm yếu đi mọi bảng câu hỏi bảo mật mà công ty được yêu cầu hoàn thành.

Khi quyền sở hữu gồm nhà đầu tư nước ngoài, nhiều tầng công ty mẹ hoặc sự pha trộn giữa cổ đông cá nhân và pháp nhân, lộ trình thành lập và tài liệu mà ngân hàng hoặc khách hàng muốn có trở nên phức tạp hơn; xem cấu trúc sở hữu được quản lý và phức tạp. Khi lịch sử nguồn vốn của chính nhà đầu tư sẽ được xem xét kỹ lúc mở tài khoản, hãy chuẩn bị bằng chứng đó song song thay vì sau khi ngân hàng yêu cầu; xem nguồn gốc tài sản và nguồn tiền.

Thất bại phổ biến định kỳ là kiến trúc, không phải hành chính. Một thông tin hỗ trợ phổ thông mà mỗi kỹ sư có thể sử dụng loại bỏ dấu vết kiểm toán mà khách hàng đang trả tiền. Để một quản trị viên vừa phê duyệt vừa sử dụng quyền truy cập ưu tiên phá vỡ sự kiểm soát mà sản phẩm dự định cung cấp. Khiến việc phục hồi khẩn cấp phụ thuộc vào một người được chỉ định hoặc một khu vực, biến một sự vắng mặt duy nhất trở thành một sự cố cho mọi khách hàng mà công ty phục vụ. Bán một dịch vụ quản lý và giữ thông tin chứng thực dưới điều khoản hợp đồng được viết cho giao hàng chỉ phần mềm, khiến công ty chịu trách nhiệm cho sự kiểm soát mà nó chưa bao giờ định giá trong.

Lỗi phổ biến thứ hai là quan hệ đối tác không có văn bản. Khi một phần dịch vụ do nhà cung cấp khác đảm nhiệm (lưu trữ, một tích hợp cụ thể hoặc ứng phó ngoài giờ), hợp đồng nên ghi bằng văn bản phạm vi, tiêu chuẩn, quyền tiếp cận bằng chứng, trách nhiệm và chấm dứt, trước khi khách hàng cho rằng công ty tại UAE sở hữu toàn bộ dịch vụ.

Sau khi giấy phép được cấp, thị thực, trụ sở và việc gia hạn tuân theo các quy tắc như mọi công ty công nghệ, với một điểm bổ sung: nhân sự sẽ nắm giữ hoặc phê duyệt quyền truy cập đặc quyền là những người mà quy trình thẩm tra của khách hàng sẽ hỏi đích danh, nên việc tuyển dụng cần được sắp xếp trước hợp đồng doanh nghiệp đầu tiên chứ không phải sau đó. Phí giấy phép thương mại mainland do DET ấn định theo hình thức pháp lý và hoạt động được chọn, còn gói free zone chỉ gồm giấy phép thường rẻ hơn nhưng khác nhau theo từng khu; hãy lấy con số hiện hành trực tiếp từ DET hoặc free zone đã chọn trước khi lập ngân sách, vì phí của cả hai lộ trình đều không bao gồm năng lực kỹ thuật, thẩm tra và ứng phó sự cố mà khách hàng hoặc ngân hàng kỳ vọng được tài trợ. Đăng ký thuế doanh nghiệp với Federal Tax Authority (FTA) là bắt buộc đối với công ty với tư cách pháp nhân trong thời hạn do FTA Decision No. (3) of 2024 quy định, tính từ khi thành lập hoặc cấp giấy phép, chứ không phải từ khi doanh nghiệp bắt đầu kinh doanh. FTA nêu việc đăng ký là miễn phí, yêu cầu giấy phép kinh doanh, giấy chứng nhận thành lập hoặc điều lệ, cùng Emirates ID và hộ chiếu của mọi chủ sở hữu nắm giữ trên 25 % và của người ký được ủy quyền, và mất 20 ngày làm việc kể từ khi nhận hồ sơ hoàn chỉnh. Ngoài phí giấy phép, chi phí được hình thành theo nhiều lớp, và phí dịch vụ Velarozone được liệt kê chi tiết trong thư thỏa thuận dịch vụ; xem Velarozone hoạt động như thế nào.