Poradnik
Jak założyć dostawcę usług chmurowych lub zarządzanych w ZEA
Krótka odpowiedź
Spółka świadcząca usługi w chmurze lub usługi zarządzane zwykle zaczyna od zwykłej licencji handlowej, a pytanie dotyczy tego, które organy mają dodatkowy głos w tej sprawie. Organy, które należy zweryfikować, to Telecommunications and Digital Government Regulatory Authority (TDRA), jeśli jakaś część usługi przypomina telekomunikację, oraz UAE Cyber Security Council w zakresie wymogów cyberbezpieczeństwa. Przepisy o ochronie danych mają zastosowanie niezależnie od treści licencji.
Rzeczą, która najczęściej decyduje o wyborze ścieżki, jest granica usługi: czy spółka odsprzedaje, obsługuje infrastrukturę, czy zarządza własnymi środowiskami klientów. Ta odpowiedź określa umowy, ubezpieczenie, personel i zatwierdzenia. Decyduje ona również, czy kwestia telekomunikacyjna wymaga formalnej weryfikacji.
Najpierw wybierz model usługi, potem licencję
Większość założycieli opisuje cztery modele. Każdy z nich nakłada na spółkę inne obowiązki:
- Odsprzedaż usług hyperscalera na podstawie umowy partnerskiej.
- Obsługa prywatnej lub publicznej infrastruktury chmurowej.
- Zarządzanie operacjami w środowiskach należących do klienta.
- Łączenie hostingu, tworzenia kopii zapasowych, bezpieczeństwa i wsparcia.
Reseller ponosi obowiązki akredytacji partnerskiej, rozliczeń i wsparcia. Operator ponosi odpowiedzialność za sprzęt, obiekty, dostępność i odtwarzanie. Firma usług zarządzanych ma uprzywilejowany dostęp do cudzych systemów. Pakiet łączy to wszystko naraz. Dostawca przekazujący dane faktur między firmami to inny przypadek, omówiony w przewodniku po dostawcach e-fakturowania.
Jeśli ma zastosowanie więcej niż jeden model, należy oczekiwać grupy spółek, a nie jednej spółki. Właściciel aktywów, operator oraz podmiot zawierający umowy z klientami są często odrębne. Pożyczkodawcy i kluczowi klienci zazwyczaj naciskają na taki podział. Jedna spółka posiadająca sprzęt, zadłużenie i ryzyko klienckie jest trudniejsza do finansowania.
Gdzie przebiega zakres regulacji
Ryzykiem jest usługa, która niezauważalnie przesuwa się przez granicę regulacyjną, więc stanowisko potwierdza się u organów, a nie zakłada. Poniższe punkty należy zweryfikować na wczesnym etapie:
- Czy jakaś część usługi stanowi działalność telekomunikacyjną, a nie usługę IT. Jest to pytanie do TDRA.
- Jakich standardów cyberbezpieczeństwa sektor klienta oczekuje od swoich dostawców oraz co w tym zakresie opublikował UAE Cyber Security Council.
- Czy spółka jest administratorem czy procesorem danych dla każdego zbioru danych, z którym ma do czynienia.
- Gdzie znajdują się subprocesorzy oraz czy dane przekraczają granicę.
- Co zezwala umowa z dostawcą wyższego szczebla, ponieważ umowa partnerska z hyperscalerem może ograniczać odsprzedaż i white-labelling.
Weryfikacja, która wykazuje problem, nie oznacza, że wymagane jest zezwolenie. Oznacza to, że stanowisko wymaga sprawdzenia opartego na faktach u właściwego organu. Nazwanie działalności platformą technologiczną nie wyłącza jej spod regulacji, jeśli ścieżka klienta realizuje funkcję podlegającą regulacji.
Stanowisko należy spisać: co spółka buduje i obsługuje, czego nie robi, które funkcje leżą po stronie zatwierdzonych partnerów oraz jakie kroki rozwojowe zmieniłyby odpowiedź. Wymagają tego właściciele lokali, pożyczkodawcy i banki, a także klienci korporacyjni podczas procesu zakupowego.
Wybory strukturalne, które zmieniają odpowiedź
- Kto jest właścicielem infrastruktury i jakie regiony ona obsługuje.
- Czy spółka zawiera umowy jako strona główna, agent czy reseler.
- Kto odpowiada za tworzenie kopii zapasowych, odzyskiwanie danych i administrowanie bezpieczeństwem.
- W jaki sposób dane klientów są rozdzielane i kto ma dostęp uprzywilejowany.
- Jak są wzajemnie uzgodnione kredyty za usługi, limity odpowiedzialności i ubezpieczenie cybernetyczne.
Podmiot podpisujący umowy z klientami powinien posiadać ludzi, systemy i zdolność do zarządzania ryzykiem potrzebne do ich realizacji. Spółka posiadająca aktywa, spółka IP czy zagraniczna spółka macierzysta mogą znajdować się w innym miejscu w grupie, ale każda z nich musi mieć realną rolę. Struktura zbudowana po to, by reklamować niską cenę rejestracji, zwykle wraca w postaci pytań banku i konieczności przebudowy. W przypadku modeli wymagających dużej mocy obliczeniowej, zależnych od zasilania i sprzętu, dodatkową warstwę opisuje przewodnik po infrastrukturze obliczeniowej AI.
Role, ludzie i substancja ekonomiczna
Dostawca usług zarządzanych to przede wszystkim ludzie. Inżynierowie posiadają prawa administratora w systemach klientów, dlatego spółka potrzebuje wskazanej osoby odpowiedzialnej za każde z poniższych:
- Operacje bezpieczeństwa i eskalacja incydentów.
- Ochrona danych, w tym warunki dotyczące podmiotu przetwarzającego, których będą wymagać klienci.
- Realizacja usług zgodnie z uzgodnionymi w umowie celami odzyskiwania danych.
- Finanse i zarządzanie umowami.
Każda osoba potrzebuje statusu pobytowego i prawa do pracy, zanim uzyska dostęp do środowisk klientów. Lokal również ma znaczenie, choć mniejsze dla resellera niż dla operatora posiadającego sprzęt w szafach serwerowych. Klienci odczytują stronę zespołu i schemat organizacyjny jako dowód realnej substancji biznesowej, podobnie czynią banki.
Jak przepływają pieniądze i na co zwraca uwagę bank
Przychody w tym sektorze mają charakter powtarzalny: miesięczne faktury, rozliczenia za zużycie, rabaty partnerskie, a czasem opłaty przekazywane dalej. Koszty są często płacone za granicą dostawcom hyperscale i sprzętu, w walucie zagranicznej. Bank sprawdza, kim są klienci, gdzie znajdują się dostawcy, oraz czy umowy wyjaśniają te przepływy.
Bądź przygotowany, aby przedstawić:
- Umowy z dostawcami i centrami danych.
- Katalog usług i matrycę odpowiedzialności.
- Polityki bezpieczeństwa informacji.
- Dowody dotyczące ciągłości działania i odzyskiwania po awarii.
- Zakres wsparcia i eskalacja incydentów.
Celem jest, aby prezentacja, model finansowy, umowy i dokumentacja bankowa opowiadały jedną, spójną historię. Właśnie na tym zbudowana jest gotowość do otwarcia konta bankowego korporacyjnego, a biznesplan i dokumentacja zwykle staje się dokumentem referencyjnym. Spójność eliminuje pytania, których można uniknąć. Nie gwarantuje ona jednak otwarcia konta, finansowania ani zatwierdzenia.
Co najczęściej idzie nie tak
- Kopiowanie warunków poziomu usług dostawcy hyperscale bez operacji zdolnych je zrealizować.
- Brak ujawnienia lokalizacji subprocesorów w umowach z klientami.
- Sprzedaż usług hostingowych w sektorze regulowanym przed spełnieniem wymogów kontrolnych klienta.
- Łączenie łączności w stylu telekomunikacyjnym z usługami IT bez sprawdzenia granicy regulacyjnej.
- Podpisywanie umowy z klientem w imieniu podmiotu, który nie posiada żadnych zdolności realizacyjnych.
- Porównywanie opłat za rejestrację spółki, a nie całych ścieżek, w tym kosztów odnowienia, obsady kadrowej i kosztów restrukturyzacji po podpisaniu umów.
Koszt
Koszt jest budowany w warstwach, a opłata firmy jest wyszczególniona w umowie o świadczenie usług; jak działa Velarozone przedstawia to podejście. W przypadku operatora na licencję wpływają głównie lokal, sprzęt i pracownicy. W przypadku resellera decydują akredytacja partnerska i inżynierowie. Żadna wartość regulatora nie ma zastosowania w całym sektorze, więc żadna nie jest tu podana.
