Guida
Come impostare un fornitore di servizi cloud o gestito negli Emirati Arabi Uniti
La risposta breve
Una società di cloud o di servizi gestiti nasce di norma come una normale licenza commerciale, e la questione è quali ulteriori autorità abbiano voce in capitolo. Quelle da verificare sono la Telecommunications and Digital Government Regulatory Authority (TDRA), se una parte del servizio assomiglia a un'attività di telecomunicazioni, e lo UAE Cyber Security Council, per i requisiti di cybersicurezza. La normativa sulla protezione dei dati si applica indipendentemente da quanto previsto dalla licenza.
L'elemento che più spesso determina il percorso è il confine del servizio: se la società rivende, gestisce infrastrutture oppure opera sugli ambienti di proprietà dei clienti. Questa risposta definisce i contratti, le assicurazioni, il personale e le approvazioni. Determina inoltre se la questione delle telecomunicazioni meriti una verifica formale.
Scegliere il modello di servizio prima della licenza
La maggior parte dei fondatori descrive quattro modelli. Ciascuno impone obblighi diversi alla società:
- Rivendere i servizi di un hyperscaler nell'ambito di un accordo di partnership.
- Gestire infrastrutture di cloud privato o pubblico.
- Gestire le operazioni su ambienti di proprietà del cliente.
- Combinare hosting, backup, sicurezza e assistenza.
Un rivenditore ha obblighi di accreditamento come partner, fatturazione e assistenza. Un operatore ha obblighi su hardware, strutture, disponibilità e ripristino. Un'azienda di servizi gestiti ha accesso privilegiato ai sistemi di altri. Un pacchetto comporta tutti questi obblighi insieme. Un fornitore che trasporta dati di fatture tra imprese è un caso diverso, trattato nella guida ai fornitori di fatturazione elettronica.
Se si applica più di un modello, è opportuno prevedere un gruppo piuttosto che un'unica società. Il proprietario degli asset, l'operatore e l'entità che contratta con i clienti sono spesso soggetti distinti. I finanziatori e i clienti principali tendono a spingere per questa separazione. Un'unica società che detiene hardware, debito e rischio verso i clienti è più difficile da finanziare.
Dove si colloca il perimetro regolamentare
Il rischio è che un servizio superi inavvertitamente un confine, per cui la posizione va confermata con le autorità e non semplicemente presunta. Verificare questi punti in anticipo:
- Se una parte del servizio costituisca un'attività di telecomunicazioni piuttosto che un servizio IT. È una questione di competenza della TDRA.
- Quali standard di cybersicurezza il settore del cliente si aspetta dai propri fornitori, e cosa ha pubblicato lo UAE Cyber Security Council in materia rilevante per il servizio.
- Se la società sia titolare del trattamento o responsabile del trattamento per ciascun insieme di dati con cui ha a che fare.
- Dove si trovano i subresponsabili del trattamento, e se i dati attraversano un confine.
- Cosa consente l'accordo con il fornitore a monte, poiché un accordo di partnership con un hyperscaler può limitare la rivendita e il white-labelling.
Una verifica che individua un problema non significa che sia necessaria un'autorizzazione. Significa che la posizione richiede un controllo basato sui fatti con l'autorità competente. Definire un'attività come piattaforma tecnologica non la sottrae alla regolamentazione se il percorso del cliente svolge una funzione soggetta a controllo.
Metta per scritto la posizione: cosa la società costruisce e gestisce, cosa non fa, quali funzioni sono affidate a partner approvati, e quali passaggi di espansione modificherebbero la risposta. Locatori, finanziatori e banche la richiedono tutti, così come i clienti aziendali durante le procedure di approvvigionamento.
Le scelte di struttura che cambiano la risposta
- Dove è situata l'infrastruttura di proprietà e quali regioni serve.
- Se la società operi come contraente diretto, agente o rivenditore.
- Chi è responsabile del backup, del ripristino e della gestione della sicurezza.
- Come sono separati i dati dei clienti e chi dispone di accesso privilegiato.
- Come si allineano i crediti di servizio, i limiti di responsabilità e l'assicurazione cyber.
L'entità che firma i contratti con i clienti dovrebbe disporre del personale, dei sistemi e della capacità di gestire il rischio necessari per eseguirli. Un veicolo proprietario degli asset, una società di proprietà intellettuale o una capogruppo estera possono trovarsi altrove nel gruppo, ma ciascuno deve svolgere un ruolo effettivo. Una struttura costruita per promuovere un prezzo di costituzione basso tende a tradursi in domande da parte delle banche e in un nuovo lavoro. Per i modelli ad alta intensità di calcolo che dipendono da energia e hardware, la guida sul calcolo per l'IA illustra il livello aggiuntivo.
Ruoli, persone e substance
Un fornitore di servizi gestiti è fatto delle sue persone. Gli ingegneri dispongono di diritti di amministratore sui sistemi dei clienti, per cui la società necessita di un responsabile designato per ciascuno dei seguenti aspetti:
- Operazioni di sicurezza ed escalation degli incidenti.
- Protezione dei dati, comprese le condizioni da responsabile del trattamento che i clienti richiederanno.
- Erogazione del servizio in conformità agli obiettivi di ripristino contrattualmente previsti.
- Finanza e gestione dei contratti.
Ogni persona necessita di uno status di residenza e di lavoro prima di poter accedere agli ambienti dei clienti. Anche la sede conta, ma in misura minore per un rivenditore rispetto a un operatore con hardware installato in rack. I clienti leggono la pagina del team e l'organigramma come prova di sostanza, e lo stesso fanno le banche.
Come si muove il denaro e cosa osserva la banca
I ricavi in questo settore sono ricorrenti: fatture mensili, fatturazione a consumo, rebate ai partner e talvolta costi a passaggio diretto (pass-through). I costi vengono spesso pagati all'estero a hyperscaler e fornitori di hardware, in valuta estera. Una banca valuta chi sono i clienti, dove si trovano i fornitori, e se i contratti spiegano i flussi.
Sia pronto a mostrare:
- Accordi con fornitori e data center.
- Un catalogo dei servizi e una matrice delle responsabilità.
- Politiche di sicurezza delle informazioni.
- Documentazione su continuità operativa e disaster recovery.
- Copertura dell'assistenza ed escalation degli incidenti.
L'obiettivo è che la presentazione, il modello finanziario, i contratti e il fascicolo bancario raccontino un'unica storia coerente. È proprio su questo che si basa il servizio di preparazione del conto bancario aziendale, e il business plan e la documentazione diventa di norma il documento di riferimento. La coerenza elimina domande evitabili. Non garantisce un conto, un finanziamento o un'approvazione.
Cosa va comunemente storto
- Copiare le condizioni sui livelli di servizio di un hyperscaler senza le operazioni necessarie per rispettarle.
- Non indicare le sedi dei subprocessor nei contratti con i clienti.
- Vendere servizi di hosting a settori regolamentati prima di soddisfare i controlli richiesti dal cliente.
- Abbinare connettività in stile telecom ai servizi IT senza verificare il confine regolamentare.
- Firmare un contratto con il cliente tramite un'entità che non dispone di alcuna capacità di erogazione.
- Confrontare le spese di costituzione invece dei percorsi nel loro complesso, inclusi il costo di rinnovo, il personale e il costo di una ristrutturazione dopo la firma dei contratti.
Costo
Il costo è strutturato su più livelli e l'onorario della società è dettagliato nella lettera di incarico; come funziona Velarozone illustra l'approccio. Per un operatore, a incidere maggiormente sulla licenza sono gli spazi, l'hardware e il personale. Per un rivenditore, lo sono l'accreditamento dei partner e gli ingegneri. Nessuna cifra del regolatore si applica in modo uniforme al settore, quindi qui non ne viene indicata alcuna.
