ガイド
UAEにおけるクラウドまたはマネージドサービスプロバイダーの設立方法
短い回答
クラウドまたはマネージドサービス企業は通常、通常の商業ライセンスとして始まり、問題となるのはどの当局がさらに発言権を持つかです。確認すべき当局は、サービスの一部が電気通信に該当する場合のTelecommunications and Digital Government Regulatory Authority(TDRA)と、サイバーセキュリティに関する期待事項についてのUAE Cyber Security Councilです。データ保護法は、ライセンスに何が記載されていようとも適用されます。
進むべき道筋を最も頻繁に決定する要因は、サービスの境界線です。つまり、会社が再販を行うのか、インフラを運用するのか、あるいは顧客自身の環境を運用するのか、という点です。その答えが契約、保険、人員、そして承認を定めます。また、電気通信に関する問題が正式な確認に値するかどうかも、それによって決まります。
ライセンス取得の前にサービスモデルを選ぶ
ほとんどの創業者は4つのモデルを挙げます。それぞれが会社に異なる義務を課します:
- パートナー契約の下でハイパースケーラーを再販すること。
- プライベートまたはパブリッククラウドインフラを運用すること。
- 顧客が所有する環境の運用を管理すること。
- ホスティング、バックアップ、セキュリティ、サポートを組み合わせること。
リセラーは、パートナー認定、請求、サポートの義務を負います。運営者は、ハードウェア、設備、稼働率、復旧の義務を負います。マネージドサービス会社は、他者のシステムへの特権アクセスを負います。バンドルは、そのすべてを同時に負います。企業間で請求書データを運ぶプロバイダーは別の事例であり、電子請求書プロバイダーのガイドで扱っています。
複数のモデルが当てはまる場合は、単一の会社ではなくグループを想定してください。資産所有者、オペレーター、そして顧客と契約を結ぶ事業体は、しばしば別々に分かれています。貸し手や主要顧客は、その分離を求める傾向があります。ハードウェア、債務、顧客リスクを一つの会社が抱える場合、資金調達はより難しくなります。
規制範囲がどこにあるか
リスクは、誰にも気づかれずにサービスが境界線を越えて変質していくことです。そのため、立場は推測するのではなく当局に確認して定めるべきです。これらの点は早い段階で確認してください:
- サービスのいずれかの部分が、ITサービスではなく電気通信活動に該当するかどうか。これはTDRAへの確認事項です。
- 顧客の属する業界がサプライヤーに期待するサイバーセキュリティ基準は何か、そしてUAE Cyber Security Councilがそのサービスに関連して公表している内容は何か。
- 会社が扱う各データセットについて、自社が管理者(controller)なのか処理者(processor)なのか。
- サブプロセッサー(subprocessor)がどこに位置しているか、そしてデータが国境を越えるかどうか。
- アップストリームのベンダー契約が何を許可しているか。ハイパースケーラーのパートナー契約は、再販やホワイトラベリングを制限することがあるためです。
確認の結果問題が見つかったとしても、それは認可が必要であることを意味するわけではありません。それは、関係当局との事実に基づく確認が必要であることを意味します。顧客の利用体験(customer journey)が規制対象の機能を果たしている場合、事業を「テクノロジープラットフォーム」と呼んだところで、それが規制の対象外になるわけではありません。
立場を文書化してください:会社が構築し運用するもの、構築・運用しないもの、承認されたパートナーが担う機能、そしてどの拡張ステップが答えを変える可能性があるか、という点です。大家、貸し手、銀行はいずれもこれを求めますし、調達の過程で企業顧客も同様に求めます。
結論を左右する事業体の構造選択
メインランド(mainland)、フリーゾーン(free zone)、そして金融センタールートを比較する前に、これらの変数を確定してください:
- インフラがどこに所有され、どの地域にサービスを提供しているか。
- 会社が本人(principal)、代理人(agent)、またはリセラーとして契約するか。
- バックアップ、復旧、セキュリティ管理の責任を誰が負うか。
- 顧客データがどのように分離され、誰が特権的アクセスを保持しているか。
- サービスクレジット、責任上限額、サイバー保険がどのように整合しているか。
顧客契約に署名する事業体は、それを履行するために必要な人員、システム、リスクを保有している必要があります。資産保有ビークル、IP会社、海外の親会社は、グループ内の別の場所に置くことができますが、それぞれに実質的な役割が必要です。低い設立価格を宣伝するために作られた構造は、後に銀行からの質問や再構築という形で跳ね返ってくる傾向があります。電力とハードウェアに依存する計算集約型のモデルについては、AIコンピュートガイドが追加のレイヤーを扱っています。
役職、人員、事業実体
マネージドサービスプロバイダーの本質はその人員です。エンジニアは顧客システムに対する管理者権限を保持するため、会社は以下それぞれについて指名された責任者を必要とします:
- セキュリティ運用とインシデントのエスカレーション。
- データ保護。これには顧客が要求する処理者(processor)条件も含まれます。
- 契約上の復旧目標に対するサービス提供。
- 財務および契約管理。
各担当者は、顧客環境に触れる前に居住資格と労働資格を有している必要があります。事業所も重要ですが、ラックに搭載されたハードウェアを持つオペレーターにとってより重要であり、リセラーにとってはその重要性は相対的に低くなります。顧客はチームページや組織図を実体の証拠として読み取りますし、銀行も同様です。
資金の流れと銀行が確認するポイント
この分野の収益は継続的なものです。月次請求書、使用量に基づく課金、パートナーリベート、そして場合によってはパススルー費用です。コストは、しばしば外貨でハイパースケーラーやハードウェアベンダーに海外で支払われます。銀行は、顧客が誰であるか、サプライヤーがどこに位置しているか、そして契約がその資金の流れを説明しているかどうかを確認します。
以下を提示できるよう準備してください:
- ベンダーおよびデータセンター契約。
- サービスカタログと責任分担表(responsibility matrix)。
- 情報セキュリティポリシー。
- 事業継続(business continuity)および災害復旧(disaster recovery)に関する証拠資料。
- サポート対応範囲とインシデントのエスカレーション。
目的は、提出資料、財務モデル、契約書、銀行提出用ファイルが一つの物語として整合することです。これはまさに法人銀行口座開設準備が重視する点であり、事業計画書とドキュメント作成が通常、その参照文書となります。整合性は、避けられるはずの質問を取り除きます。口座開設、資金調達、または承認を保証するものではありません。
よくある失敗
- それに対応する運用体制を持たないまま、ハイパースケーラーのサービスレベル条件をそのまま流用すること。
- 顧客との契約において、サブプロセッサーの所在地を開示しないままにしておくこと。
- 顧客側の管理要件を満たす前に、規制対象セクター向けのホスティングを販売すること。
- その境界を確認せずに、通信事業者型の接続サービスをITサービスと一括提供すること。
- 提供能力を一切持たない事業体(entity)の名義で、顧客との契約に署名すること。
- 更新費用、人員体制、契約締結後の再編コストを含めた全体のルートではなく、設立費用だけを比較すること。
コスト
コストは階層的に構成されており、当社の料金は業務委託契約書(engagement letter)の中で明細化されています。Velarozoneの仕組みがそのアプローチを説明しています。事業者の場合、拠点、設備、人員がトレードライセンス(licence)のコストの大部分を占めます。リセラーの場合は、パートナー認定とエンジニアがそれに当たります。業界全体に適用される規制当局側の数値は存在しないため、ここでは提示していません。
