Guía
Cómo establecer un proveedor de servicios en la nube o de servicios gestionados en los EAU
La respuesta corta
Una empresa de cloud o de servicios gestionados suele empezar como una licencia comercial ordinaria, y la cuestión es qué autoridades tienen algo más que decir al respecto. Las que hay que comprobar son la Telecommunications and Digital Government Regulatory Authority (TDRA), si alguna parte del servicio se parece a las telecomunicaciones, y el UAE Cyber Security Council, por las expectativas en materia de ciberseguridad. La legislación de protección de datos se aplica diga lo que diga la licencia.
Lo que con más frecuencia determina la vía es el límite del servicio: si la empresa revende, opera infraestructura o gestiona los propios entornos de los clientes. Esa respuesta determina los contratos, el seguro, el personal y las aprobaciones. También determina si la cuestión de las telecomunicaciones merece una comprobación formal.
Elija el modelo de servicio antes de la licencia
La mayoría de los fundadores describen cuatro modelos. Cada uno impone obligaciones distintas a la empresa:
- Revender los servicios de un hyperscaler en virtud de un acuerdo de partner.
- Operar infraestructura de cloud privada o pública.
- Gestionar las operaciones sobre entornos propiedad del cliente.
- Combinar hosting, copias de seguridad, seguridad y soporte.
Un revendedor asume deberes de acreditación de socio, facturación y soporte. Un operador asume el hardware, las instalaciones, la disponibilidad y la recuperación. Una empresa de servicios gestionados asume el acceso privilegiado a los sistemas de otros. Un paquete combinado asume todo eso a la vez. Un proveedor que transporta datos de facturas entre empresas es un caso distinto, tratado en la guía de proveedores de facturación electrónica.
Si se aplica más de un modelo, hay que contar con un grupo y no con una sola empresa. El propietario del activo, el operador y la entidad que contrata con el cliente suelen ser entidades separadas. Los prestamistas y los clientes ancla suelen empujar hacia esa separación. Una sola empresa que concentre hardware, deuda y riesgo de cliente es más difícil de financiar.
Dónde se sitúa el perímetro regulatorio
El riesgo es un servicio que cruza una línea sin que nadie se dé cuenta, por lo que la posición se confirma con las autoridades en lugar de darse por supuesta. Hay que comprobar estos puntos desde el principio:
- Si alguna parte del servicio es una actividad de telecomunicaciones y no un servicio informático. Esa es una pregunta para el TDRA.
- Qué estándares de ciberseguridad espera el sector del cliente de sus proveedores, y qué ha publicado el UAE Cyber Security Council que afecte al servicio.
- Si la empresa actúa como responsable o como encargado del tratamiento respecto de cada conjunto de datos con el que tiene contacto.
- Dónde se ubican los subencargados del tratamiento, y si los datos cruzan una frontera.
- Qué permite el contrato con el proveedor aguas arriba, ya que un acuerdo de partner con un hyperscaler puede limitar la reventa y el white-labelling (marca blanca).
Que una prueba detecte un problema no significa que se requiera autorización. Significa que la posición necesita una comprobación basada en hechos con la autoridad correspondiente. Llamar a un negocio «plataforma tecnológica» no lo excluye de la regulación si el recorrido del cliente realiza una función controlada.
Ponga la posición por escrito: qué construye y opera la empresa, qué no, qué funciones recaen en socios aprobados y qué pasos de expansión cambiarían la respuesta. Los arrendadores, los prestamistas y los bancos lo solicitan, igual que los clientes corporativos durante el proceso de compra.
Decisiones de estructura que cambian la respuesta
- Dónde es propiedad la infraestructura y a qué regiones da servicio.
- Si la empresa contrata como principal, agente o revendedor.
- Quién es responsable de las copias de seguridad, la recuperación y la administración de la seguridad.
- Cómo se segregan los datos de los clientes y quién tiene acceso privilegiado.
- Cómo se alinean los créditos por servicio, los límites de responsabilidad y el seguro cibernético.
La entidad que firma los contratos con los clientes debe contar con las personas, los sistemas y el riesgo necesarios para cumplirlos. Un vehículo propietario de activos, una empresa de propiedad intelectual o una matriz en el extranjero pueden situarse en otra parte del grupo, pero cada uno necesita una función real. Una estructura creada para anunciar un precio de constitución bajo tiende a volver en forma de preguntas del banco y de trabajo que hay que rehacer. Para los modelos que exigen mucha capacidad de cómputo y dependen de la energía y el hardware, la guía de computación para IA trata esta capa adicional.
Cargos, personas y sustancia
Un proveedor de servicios gestionados es sus personas. Los ingenieros tienen derechos de administrador sobre los sistemas de los clientes, por lo que la empresa necesita un responsable designado para cada uno de estos aspectos:
- Operaciones de seguridad y escalado de incidentes.
- Protección de datos, incluidas las condiciones de encargado del tratamiento que exigirán los clientes.
- Prestación del servicio conforme a los objetivos de recuperación contratados.
- Finanzas y gestión de contratos.
Cada persona necesita la condición de residencia y de autorización para trabajar antes de tener acceso a los entornos de los clientes. Las instalaciones también importan, aunque menos para un revendedor que para un operador con hardware instalado en rack. Los clientes interpretan la página del equipo y el organigrama como prueba de sustancia real, y los bancos también.
Cómo se mueve el dinero y qué revisa un banco
Los ingresos en este sector son recurrentes: facturas mensuales, facturación por uso, descuentos a socios y, en ocasiones, cargos repercutidos. Los costes a menudo se pagan en el extranjero a hyperscalers y proveedores de hardware, en divisa extranjera. Un banco analiza quiénes son los clientes, dónde se ubican los proveedores y si los contratos explican los flujos.
Esté preparado para mostrar:
- Acuerdos con proveedores y centros de datos.
- Un catálogo de servicios y una matriz de responsabilidades.
- Políticas de seguridad de la información.
- Evidencia de continuidad de negocio y de recuperación ante desastres.
- Cobertura de soporte y escalado de incidentes.
El objetivo es que el dossier, el modelo financiero, los contratos y el expediente bancario cuenten una sola historia. En eso se basa la preparación de la cuenta bancaria corporativa, y el plan de negocio y la documentación suele convertirse en el documento de referencia. La coherencia elimina preguntas evitables. No garantiza una cuenta, financiación ni aprobación.
Qué suele salir mal
- Copiar las condiciones de nivel de servicio de un hyperscaler sin contar con las operaciones necesarias para cumplirlas.
- No revelar la ubicación de los subencargados del tratamiento en los contratos con los clientes.
- Vender hosting a un sector regulado antes de cumplir los controles del cliente.
- Combinar conectividad de tipo telecom con servicios de TI sin comprobar el límite regulatorio.
- Firmar un contrato con el cliente desde una entidad que no dispone de ninguna capacidad de entrega.
- Comparar las cuotas de constitución en lugar de las rutas completas, incluidos el coste de renovación, el personal necesario y el coste de reestructuración una vez firmados los contratos.
Coste
El coste se construye por capas, y los honorarios de la firma se detallan en la carta de encargo; cómo funciona Velarozone explica el enfoque. Para un operador, las instalaciones, el hardware y el personal son los que más influyen en la licencia. Para un revendedor, lo son la acreditación de socios y los ingenieros. Ninguna cifra del regulador se aplica a todo el sector, por lo que aquí no se indica ninguna.
