在阿联酋如何建立身份安全或特权访问管理公司

起点是普通公司设立：迪拜的DET，其他地方的相应经济发展部门，或由自由区管理机构根据诸如IT咨询、软件开发或信息安全咨询之类的活动颁发许可证。没有一个具备独特的“特权访问管理”或“身份治理”活动代码，因此公司首先被许可为技术企业。

此后改变分析的是服务，而不是许可证。出售由客户自行安装和运行的 PAM 软件的供应商，更接近普通软件企业。运营保险库、持有管理员凭证或管理紧急访问（break-glass）程序的服务商，则承担了他人系统的运营控制权，这决定了客户的安全与采购团队在这家阿联酋公司连接任何生产系统之前，会要求其证明什么。

如果最终客户本身受监管，例如银行、交易所或政府机构：其自身的监管机构会设定外包和访问控制方面的要求，客户再通过合同将这些要求施加给供应商。阿联酋公司受客户要求的约束，而不是由该监管机构直接发放许可证。

有两种来源比许可证类别更为重要。2021年第45号联邦法令-法律管理阿联酋境内个人数据的处理，并为DIFC和ADGM提供例外，这些地区采用自己的数据保护法律。访问日志和凭证元数据通常包含个人数据，因此PAM或身份治理运营商是其触及数据的数据控制者或处理者，根据该身份附带法律的一般安全和违规处理责任。

阿联酋网络安全委员会协调国家网络安全战略，目标是保护关键基础设施并提高政府和私营部门合作伙伴的事件响应能力。它不许可私有身份安全供应商，但当客户所在的领域被视为关键基础设施时，委员会的期望通常通过客户自身的安全和事件报告条款传达给供应商，而不是通过直接许可证。涉及直接接触加密材料而不是单纯访问控制的公司应查看后量子加密或安全通讯公司的单独途径。

设备是电信和数字政府监管局 (TDRA) 直接参与的一个领域：在阿联酋使用、销售或分销的硬件和网络设备一般需要在使用前进行TDRA注册。纯软件或SaaS企业通常不会触发此项，但运送硬件安全模块或网络设备的供应商则应在进口前进行检查注册。

开设公司自己的阿联酋企业账户时，凭证托管不再只是技术问题，而成为银行问题。银行会询问公司能在客户环境内查看和接触什么、访问如何记录，以及谁能批准紧急越权。这更接近对托管服务提供商的审查，而不是对软件经销商的审查。值得在首次开户会议之前做好准备；参见企业银行账户准备。

企业和政府客户在授予访问权限之前会进行自己的供应商评估，内容涵盖人员审查、职责分离和恢复安排。可信的回答会把正常运营模式与故障情形区分开：谁牵头事件响应，以及特权会话被滥用时由谁承担损失。有资金支持的计划的证据，即已经落实的合同、人员和基础设施，比对未来意图的描述更有分量；参见商业计划与文档。

PAM或身份治理业务需要在其控制之下有名命的人，而不仅仅是股东名册。客户期望凭证库有明确的负责人，紧急访问有单独的审批者以确保同一人不能同时授权和使用特权会话，以及可在非工作时间联系的事件响应联系人。那些实际上并不负责访问决策的名义董事会削弱了公司需完成的每一份安全问卷。

如果所有权涉及外国投资者、多层控股结构，或自然人与公司股东并存，设立路径以及银行或客户会要求的文件会变得更为复杂；参见受监管及复杂的所有权架构。如果开户时会审查投资者自身的资金来源历史，应并行准备该证据，而不是等银行提出要求之后再准备；参见财富及资金来源。

常见的失败是结构性的，而不是行政上的。一个每个工程师都可以使用的通用支持凭证，消除了客户为此支付的审计跟踪。让一个管理员既批准又使用特权访问，破坏了产品本应提供的控制。将紧急恢复依赖于一个命名的人员或一个地区，会使单一缺勤变成公司服务的每一个客户的中断。根据为软件交付而编写的合同条款销售管理和凭证持有服务，将使公司对从未在控制中定价的内容承担责任。

第二个常见问题是未形成文件的合作伙伴关系。如果部分服务由另一家服务商提供（托管、特定集成或非工作时间响应），合同应以书面形式载明范围、标准、证据查阅、责任和终止，然后再让客户认为这家阿联酋公司拥有整项服务。

许可证签发后，签证、办公场所和续期适用与任何科技公司相同的规则，但有一点补充：将持有或批准特权访问的员工，是客户审查流程会点名询问的人，因此招聘应排在第一份企业合同之前，而不是之后。内陆（mainland）商业许可证费用由 DET 根据所选的法律形式和活动确定，仅含许可证的自由区（free zone）套餐通常更便宜，但因自由区而异；编制预算前，请直接向 DET 或所选自由区获取当前金额，因为两条路径的费用都不涵盖客户或银行期望看到有资金保障的工程、审查和事件响应能力。公司作为法人，须在 FTA Decision No. (3) of 2024 规定的期限内向 Federal Tax Authority (FTA) 办理企业税登记，该期限自公司成立或许可证签发之日起算，而非自开始经营之日起算。FTA 列明登记免费，要求提供贸易许可证、公司注册证书或公司章程，以及持股超过 25% 的任何所有人和授权签字人的 Emirates ID 和护照，自收到完整申请起需要 20 个工作日。除许可证费用外，成本是分层构成的，Velarozone 服务费会在业务约定书（engagement letter）中逐项列明；参见Velarozone 如何运作。