Panduan
Cara Mendirikan Penyedia Layanan Cloud atau Managed-Service di UAE
Jawaban singkat
Perusahaan cloud atau layanan terkelola biasanya dimulai sebagai lisensi dagang biasa, dan pertanyaannya adalah otoritas mana yang masih memiliki kewenangan lebih lanjut. Yang perlu diuji adalah Telecommunications and Digital Government Regulatory Authority (TDRA), jika ada bagian dari layanan yang terlihat seperti telekomunikasi, dan UAE Cyber Security Council, untuk ekspektasi keamanan siber. Hukum perlindungan data berlaku apa pun yang dikatakan lisensinya.
Hal yang paling sering menentukan jalur yang diambil adalah batas layanan: apakah perusahaan menjual kembali, mengoperasikan infrastruktur, atau menjalankan lingkungan milik pelanggan sendiri. Jawaban tersebut menentukan kontrak, asuransi, orang-orang, dan persetujuan yang dibutuhkan. Hal ini juga menentukan apakah pertanyaan telekomunikasi perlu diperiksa secara formal.
Tentukan model layanan sebelum mengurus lisensi
Kebanyakan pendiri menggambarkan empat model. Masing-masing menimbulkan kewajiban yang berbeda bagi perusahaan:
- Menjual kembali layanan hyperscaler berdasarkan perjanjian mitra.
- Mengoperasikan infrastruktur cloud privat atau publik.
- Mengelola operasi atas lingkungan milik pelanggan.
- Menggabungkan hosting, pencadangan, keamanan, dan dukungan.
Reseller menanggung kewajiban akreditasi mitra, penagihan, dan dukungan. Operator menanggung perangkat keras, fasilitas, waktu aktif, dan pemulihan. Perusahaan layanan terkelola menanggung akses istimewa ke sistem milik orang lain. Paket gabungan menanggung semuanya sekaligus. Penyedia yang membawa data faktur antarbisnis adalah kasus yang berbeda, dibahas dalam panduan penyedia e-invoicing.
Jika lebih dari satu model berlaku, perkirakan akan terbentuk sebuah grup, bukan satu perusahaan tunggal. Pemilik aset, operator, dan entitas yang mengontrak dengan klien seringkali merupakan pihak yang terpisah. Pemberi pinjaman dan klien utama (anchor customer) biasanya mendorong pemisahan tersebut. Satu perusahaan yang menanggung perangkat keras, utang, dan risiko klien sekaligus lebih sulit untuk mendapatkan pembiayaan.
Di mana letak batas kewenangan regulasi
Risikonya adalah layanan yang bergeser melewati suatu batas tanpa disadari siapa pun, sehingga posisi tersebut harus dikonfirmasi kepada otoritas, bukan sekadar diasumsikan. Uji poin-poin berikut sejak awal:
- Apakah ada bagian dari layanan yang merupakan aktivitas telekomunikasi dan bukan layanan TI. Itu adalah pertanyaan yang harus diajukan kepada TDRA.
- Standar keamanan siber apa yang diharapkan oleh sektor klien dari pemasoknya, dan apa yang telah dipublikasikan oleh UAE Cyber Security Council yang relevan dengan layanan tersebut.
- Apakah perusahaan berperan sebagai pengendali (controller) atau pemroses (processor) untuk setiap kumpulan data yang ditanganinya.
- Di mana subpemroses (subprocessor) berada, dan apakah data melintasi batas negara.
- Apa yang diizinkan oleh perjanjian dengan vendor hulu (upstream vendor), karena perjanjian mitra hyperscaler dapat membatasi penjualan kembali (resale) dan white-labelling.
Pengujian yang menemukan suatu masalah tidak berarti bahwa otorisasi diperlukan. Itu berarti posisi tersebut perlu diperiksa berdasarkan fakta bersama otoritas yang bersangkutan. Menyebut sebuah bisnis sebagai platform teknologi tidak membuatnya berada di luar regulasi jika perjalanan klien (customer journey) menjalankan suatu fungsi yang diatur.
Tuliskan posisi tersebut secara jelas: apa yang dibangun dan dioperasikan oleh perusahaan, apa yang tidak, fungsi mana yang berada pada mitra yang disetujui, dan langkah ekspansi mana yang dapat mengubah jawaban tersebut. Pemilik properti (landlord), pemberi pinjaman, dan bank semuanya meminta dokumen ini, demikian pula klien enterprise selama proses pengadaan (procurement).
Pilihan struktur yang dapat mengubah jawabannya
- Di mana infrastruktur tersebut dimiliki dan wilayah mana yang dilayaninya.
- Apakah perusahaan mengontrak sebagai prinsipal, agen, atau reseller.
- Siapa yang bertanggung jawab atas pencadangan (backup), pemulihan, dan administrasi keamanan.
- Bagaimana data klien dipisahkan (disegregasi) dan siapa yang memegang akses istimewa.
- Bagaimana kredit layanan (service credit), batas tanggung jawab (liability cap), dan asuransi siber saling selaras.
Entitas yang menandatangani kontrak klien harus memiliki tenaga kerja, sistem, dan risiko yang diperlukan untuk memenuhinya. Kendaraan pemilik aset (asset-owning vehicle), perusahaan IP, atau induk perusahaan luar negeri dapat ditempatkan di bagian lain dalam grup, tetapi masing-masing memerlukan peran yang nyata. Struktur yang dibangun hanya untuk mengiklankan biaya pendirian yang rendah cenderung kembali dalam bentuk pertanyaan dari bank dan pekerjaan ulang. Untuk model yang padat komputasi (compute-heavy) yang bergantung pada daya listrik dan perangkat keras, panduan komputasi AI membahas lapisan tambahan tersebut.
Peran, orang, dan substansi
Penyedia managed-service pada dasarnya adalah orang-orangnya. Para engineer memegang hak administrator atas sistem klien, sehingga perusahaan memerlukan pemilik yang ditunjuk secara jelas untuk masing-masing hal berikut:
- Operasi keamanan dan eskalasi insiden.
- Perlindungan data, termasuk ketentuan pemroses (processor) yang akan dituntut oleh klien.
- Penyampaian layanan terhadap target pemulihan (recovery objective) yang disepakati dalam kontrak.
- Keuangan dan manajemen kontrak.
Setiap orang memerlukan status tempat tinggal (residence) dan status kerja sebelum menangani lingkungan sistem klien. Lokasi usaha (premises) juga penting, meskipun tidak sepenting itu bagi reseller dibandingkan bagi operator dengan perangkat keras yang terpasang di rak (racked hardware). Klien membaca halaman tim dan struktur organisasi sebagai bukti substansi, dan bank pun melakukan hal yang sama.
Bagaimana uang bergerak dan apa yang diperiksa bank
Pendapatan di sektor ini bersifat berulang (recurring): faktur bulanan, penagihan berdasarkan pemakaian (usage billing), rebat mitra, dan terkadang biaya yang diteruskan (pass-through charge). Biaya sering dibayarkan ke luar negeri kepada mitra hyperscaler dan vendor perangkat keras, dalam mata uang asing. Bank memperhatikan siapa klien perusahaan, di mana pemasok berada, dan apakah kontrak-kontrak menjelaskan arus dana tersebut.
Siapkan dokumen untuk menunjukkan:
- Perjanjian dengan vendor dan pusat data (data centre).
- Katalog layanan dan matriks tanggung jawab.
- Kebijakan keamanan informasi.
- Bukti kesinambungan bisnis (business continuity) dan pemulihan bencana (disaster recovery).
- Cakupan dukungan dan eskalasi insiden.
Tujuannya adalah agar presentasi (deck), model keuangan, kontrak, dan berkas bank menyampaikan satu cerita yang sama. Itulah yang menjadi dasar kesiapan rekening bank korporat, dan rencana bisnis serta dokumentasi biasanya menjadi dokumen rujukan. Konsistensi menghilangkan pertanyaan yang sebenarnya dapat dihindari. Hal ini tidak menjamin diperolehnya rekening, pembiayaan, atau persetujuan.
Apa yang umumnya salah
- Menyalin ketentuan tingkat layanan milik hyperscaler tanpa operasional yang mampu memenuhinya.
- Tidak mengungkapkan lokasi subprocessor dalam kontrak pelanggan.
- Menjual layanan hosting untuk sektor yang diregulasi sebelum memenuhi kontrol yang disyaratkan pelanggan.
- Menggabungkan konektivitas bergaya telekomunikasi dengan layanan IT tanpa memeriksa batasannya.
- Menandatangani kontrak pelanggan dari entitas yang sama sekali tidak memiliki kapasitas pengiriman layanan.
- Membandingkan biaya pendirian perusahaan saja, bukan keseluruhan jalur entitas, termasuk biaya perpanjangan, staf, dan biaya restrukturisasi setelah kontrak ditandatangani.
Biaya
Biaya dibangun secara berlapis, dan biaya firma dirinci dalam surat perikatan; cara kerja Velarozone menjelaskan pendekatannya. Bagi operator, premis, perangkat keras, dan tenaga kerja mendominasi lisensi. Bagi reseller, akreditasi mitra dan insinyur yang mendominasi. Tidak ada angka regulator yang berlaku untuk seluruh sektor ini, sehingga tidak ada yang dicantumkan di sini.
