गाइड
UAE में क्लाउड या प्रबंधित-सेवा प्रदाता कैसे स्थापित करें
संक्षेप में उत्तर
कोई क्लाउड या मैनेज्ड-सर्विस कंपनी आमतौर पर एक सामान्य व्यावसायिक लाइसेंस के रूप में शुरू होती है, और सवाल यह है कि इसके बाद और किन प्राधिकरणों की राय शामिल होती है। जिन्हें परखना है वे हैं Telecommunications and Digital Government Regulatory Authority (TDRA), यदि सेवा का कोई भी हिस्सा टेलीकम्युनिकेशन जैसा लगता है, और UAE Cyber Security Council, साइबर सुरक्षा संबंधी अपेक्षाओं के लिए। डेटा-सुरक्षा कानून लागू होता है, लाइसेंस में जो भी लिखा हो।
जो चीज़ सबसे अधिक बार रास्ता तय करती है वह है सर्विस सीमा: क्या कंपनी पुनर्विक्रय करती है, इंफ्रास्ट्रक्चर संचालित करती है, या ग्राहकों के अपने वातावरण को चलाती है। यह जवाब अनुबंध, बीमा, लोग और अनुमोदन तय करता है। यह यह भी तय करता है कि टेलीकॉम वाला सवाल औपचारिक जाँच के लायक है या नहीं।
लाइसेंस से पहले सर्विस मॉडल चुनें
अधिकतर फाउंडर चार मॉडल बताते हैं। हर एक कंपनी पर अलग-अलग दायित्व डालता है:
- किसी पार्टनर अनुबंध के तहत किसी हाइपरस्केलर का पुनर्विक्रय करना।
- प्राइवेट या पब्लिक क्लाउड इंफ्रास्ट्रक्चर संचालित करना।
- ग्राहक-स्वामित्व वाले वातावरण पर ऑपरेशंस का प्रबंधन करना।
- होस्टिंग, बैकअप, सुरक्षा और सपोर्ट को संयोजित करना।
रीसेलर पर पार्टनर मान्यता, बिलिंग और सहायता के दायित्व होते हैं। ऑपरेटर पर हार्डवेयर, सुविधाएँ, अपटाइम और रिकवरी के दायित्व होते हैं। मैनेज्ड सर्विस फर्म के पास किसी और के सिस्टम तक विशेषाधिकार प्राप्त पहुँच होती है। बंडल में ये सब एक साथ आते हैं। जो प्रदाता व्यवसायों के बीच इनवॉइस डेटा पहुँचाता है, वह अलग मामला है, जो eInvoicing प्रदाता गाइड में कवर है।
यदि एक से अधिक मॉडल लागू होता है, तो एक समूह की अपेक्षा रखें, न कि एक इकलौती कंपनी की। एक असेट मालिक, एक ऑपरेटर और एक ग्राहक-अनुबंधित एंटिटी अक्सर अलग-अलग होती हैं। ऋणदाता और एंकर ग्राहक आमतौर पर इस विभाजन के लिए दबाव डालते हैं। हार्डवेयर, ऋण और ग्राहक जोखिम रखने वाली एक इकलौती कंपनी के लिए वित्तपोषण प्राप्त करना अधिक कठिन होता है।
नियामक दायरा कहां है
जोखिम यह है कि कोई सेवा बिना किसी के ध्यान दिए किसी रेखा को पार कर जाए, इसलिए स्थिति को मान लेने के बजाय प्राधिकरणों के साथ पुष्टि की जाती है। इन बिंदुओं को शुरू में ही परखें:
- क्या सेवा का कोई भी हिस्सा IT सेवा के बजाय टेलीकम्युनिकेशन गतिविधि है। यह TDRA के लिए एक सवाल है।
- ग्राहक के क्षेत्र को अपने आपूर्तिकर्ताओं से किन साइबर सुरक्षा मानकों की अपेक्षा है, और UAE Cyber Security Council ने इस सेवा से जुड़ा क्या प्रकाशित किया है।
- कंपनी जिस भी डेटा सेट को छूती है, उसके लिए वह नियंत्रक (controller) है या प्रोसेसर (processor)।
- सबप्रोसेसर (subprocessor) कहां स्थित हैं, और क्या डेटा किसी सीमा को पार करता है।
- अपस्ट्रीम विक्रेता अनुबंध (upstream vendor agreement) में क्या अनुमति है, क्योंकि किसी हाइपरस्केलर पार्टनर अनुबंध से पुनर्विक्रय और व्हाइट-लेबलिंग सीमित हो सकती है।
किसी परीक्षण में समस्या मिलने का अर्थ यह नहीं है कि प्राधिकार (authorisation) अनिवार्य है। इसका अर्थ है कि स्थिति की जांच संबंधित प्राधिकरण (authority) के साथ तथ्यों के आधार पर की जानी चाहिए। किसी व्यवसाय को टेक्नोलॉजी प्लेटफ़ॉर्म कहने से वह विनियमन के दायरे से बाहर नहीं हो जाता, यदि ग्राहक यात्रा कोई नियंत्रित कार्य करती है।
स्थिति को लिखित रूप में दर्ज करें: कंपनी क्या बनाती और संचालित करती है, क्या नहीं करती, कौन-से कार्य स्वीकृत साझेदारों (approved partners) के पास हैं, और विस्तार के कौन-से चरण इस जवाब को बदल सकते हैं। मकान मालिक, ऋणदाता और बैंक सभी इसकी मांग करते हैं, और खरीद प्रक्रिया (procurement) के दौरान एंटरप्राइज़ ग्राहक भी।
ढांचे के वे विकल्प जो उत्तर बदल देते हैं
मेनलैंड (mainland), फ्री ज़ोन (free zone) और वित्तीय-केंद्र मार्गों की तुलना करने से पहले इन चर (variables) को तय करें:
- इंफ्रास्ट्रक्चर किसके स्वामित्व में है और यह किन क्षेत्रों को सेवा देता है।
- कंपनी प्रिंसिपल (principal), एजेंट या रीसेलर के रूप में अनुबंध करती है या नहीं।
- बैकअप, रिकवरी और सुरक्षा प्रशासन के लिए कौन उत्तरदायी है।
- ग्राहक डेटा को किस तरह अलग रखा जाता है और प्रिविलेज्ड एक्सेस (privileged access) किसके पास है।
- सेवा क्रेडिट, दायित्व सीमा (liability cap) और साइबर इंश्योरेंस आपस में किस तरह मेल खाते हैं।
जो एंटिटी (entity) ग्राहक अनुबंधों पर हस्ताक्षर करती है, उसके पास उन्हें पूरा करने के लिए आवश्यक लोग, सिस्टम और जोखिम होना चाहिए। कोई एसेट-स्वामी वाहन (asset-owning vehicle), कोई IP कंपनी या कोई विदेशी पैरेंट समूह में कहीं और स्थित हो सकता है, लेकिन हर एक की भूमिका असली होनी चाहिए। कम सेटअप मूल्य का प्रचार करने के लिए बनाई गई संरचना अक्सर बैंक के सवालों और दोबारा काम के रूप में सामने आती है। पावर और हार्डवेयर पर निर्भर कंप्यूट-भारी मॉडलों के लिए, AI कंप्यूट गाइड यह अतिरिक्त परत कवर करती है।
भूमिकाएँ, लोग और सब्सटेंस
मैनेज्ड-सर्विस प्रोवाइडर उसके लोगों से बनता है। इंजीनियरों के पास ग्राहक सिस्टम पर एडमिनिस्ट्रेटर (administrator) अधिकार होते हैं, इसलिए कंपनी को इनमें से हर एक के लिए एक नामित स्वामी की आवश्यकता है:
- सुरक्षा संचालन (security operations) और इंसिडेंट एस्केलेशन (incident escalation)।
- डेटा सुरक्षा (data protection), जिसमें वे प्रोसेसर शर्तें भी शामिल हैं जिनकी ग्राहक मांग करेंगे।
- अनुबंधित रिकवरी लक्ष्यों (recovery objectives) के अनुरूप सेवा वितरण।
- वित्त और अनुबंध प्रबंधन।
ग्राहक परिवेशों (customer environments) को छूने से पहले हर व्यक्ति के पास निवास और कार्य स्थिति (residence and work status) होनी चाहिए। परिसर (premises) भी मायने रखते हैं, लेकिन रैक्ड हार्डवेयर वाले ऑपरेटर के लिए इतना महत्वपूर्ण हैं जितना कि रीसेलर के लिए नहीं। ग्राहक टीम पेज और ऑर्ग चार्ट को सारतत्व (substance) के प्रमाण के रूप में देखते हैं, और बैंक भी ऐसा ही करते हैं।
पैसा कैसे चलता है और बैंक किस पर ध्यान देता है
इस क्षेत्र में आय नियमित रूप से दोहराई जाती है (recurring): मासिक इनवॉइस, उपयोग-आधारित बिलिंग, पार्टनर रिबेट और कभी-कभी पास-थ्रू शुल्क। लागतें अक्सर विदेश में हाइपरस्केलर और हार्डवेयर विक्रेताओं को विदेशी मुद्रा में चुकाई जाती हैं। बैंक यह देखता है कि ग्राहक कौन हैं, आपूर्तिकर्ता कहां स्थित हैं, और क्या अनुबंध इन धन-प्रवाहों (flows) को स्पष्ट करते हैं।
दिखाने के लिए तैयार रहें:
- विक्रेता और डेटा-सेंटर अनुबंध।
- सेवा सूची (service catalogue) और उत्तरदायित्व मैट्रिक्स (responsibility matrix)।
- सूचना-सुरक्षा नीतियाँ।
- व्यवसाय निरंतरता और आपदा पुनर्प्राप्ति के प्रमाण।
- सहायता उपलब्धता और घटना एस्केलेशन।
उद्देश्य यह है कि डेक, वित्तीय मॉडल, अनुबंध और बैंक फ़ाइल एक ही कहानी बताएं। यही वह आधार है जिसके इर्द-गिर्द कॉर्पोरेट बैंक खाता तैयारी बनाई गई है, और बिज़नेस प्लान और दस्तावेज़ीकरण आमतौर पर संदर्भ दस्तावेज़ बन जाता है। निरंतरता टालने योग्य प्रश्नों को हटा देती है। यह किसी खाते, वित्तपोषण या अनुमोदन की गारंटी नहीं देती।
सामान्यतः क्या गलत होता है
- किसी हाइपरस्केलर की सेवा-स्तर शर्तों की नकल करना, जबकि उनसे मेल खाने वाला परिचालन मौजूद न हो।
- ग्राहक अनुबंधों में सबप्रोसेसर के स्थानों को अप्रकट छोड़ना।
- ग्राहक के नियंत्रणों को पूरा किए बिना रेगुलेटेड-सेक्टर होस्टिंग बेचना।
- सीमा की जांच किए बिना टेलीकॉम-शैली की कनेक्टिविटी को आईटी सेवाओं के साथ बंडल करना।
- ऐसी संस्था से ग्राहक अनुबंध पर हस्ताक्षर करना जिसके पास डिलिवरी क्षमता का कोई हिस्सा न हो।
- समग्र मार्गों के बजाय केवल निगमन शुल्क की तुलना करना, जिसमें नवीनीकरण लागत, स्टाफिंग और अनुबंधों पर हस्ताक्षर होने के बाद पुनर्गठन की लागत शामिल है।
लागत
लागत कई स्तरों में बनाई जाती है, और फर्म की फीस एंगेजमेंट लेटर में मद-वार दर्शाई जाती है; Velarozone कैसे काम करता है में यह तरीका बताया गया है। किसी ऑपरेटर के लिए, परिसर, हार्डवेयर और लोग व्यापार लाइसेंस की लागत पर हावी रहते हैं। किसी रीसेलर के लिए, पार्टनर एक्रेडिटेशन और इंजीनियर हावी रहते हैं। पूरे सेक्टर में कोई एक नियामक आंकड़ा लागू नहीं होता, इसलिए यहां कोई आंकड़ा नहीं दिया गया है।
