Guia
Como Criar um Provedor de Serviços em Nuvem ou Gerenciado nos EAU
A resposta curta
Uma empresa de nuvem ou de serviços gerenciados geralmente começa como uma licença comercial comum, e a questão é quais autoridades têm uma palavra adicional a dizer. As que devem ser verificadas são a Telecommunications and Digital Government Regulatory Authority (TDRA), se alguma parte do serviço se assemelhar a telecomunicações, e o UAE Cyber Security Council, quanto às expectativas de cibersegurança. A legislação de proteção de dados se aplica independentemente do que a licença disser.
O que mais costuma definir o caminho é o limite do serviço: se a empresa revende, opera infraestrutura ou administra os próprios ambientes dos clientes. Essa resposta define os contratos, o seguro, a equipe e as aprovações. Ela também decide se a questão de telecomunicações vale uma verificação formal.
Escolha o modelo de serviço antes da licença
A maioria dos fundadores descreve quatro modelos. Cada um impõe obrigações diferentes à empresa:
- Revender um hyperscaler sob um acordo de parceria.
- Operar infraestrutura de nuvem privada ou pública.
- Administrar operações em ambientes de propriedade do cliente.
- Combinar hospedagem, backup, segurança e suporte.
Um revendedor assume deveres de acreditação de parceiro, faturação e apoio. Um operador assume equipamento, instalações, disponibilidade e recuperação. Uma empresa de serviços geridos assume o acesso privilegiado aos sistemas de terceiros. Um pacote assume tudo isso de uma só vez. Um prestador que transporta dados de faturas entre empresas é um caso diferente, tratado em o guia do prestador de faturação eletrónica.
Se mais de um modelo se aplica, espere um grupo em vez de uma única empresa. Um proprietário de ativos, um operador e uma entidade contratante com o cliente costumam ser separados. Credores e clientes-âncora tendem a pressionar por essa divisão. Uma única empresa que concentre hardware, dívida e risco do cliente é mais difícil de financiar.
Onde fica o perímetro regulatório
O risco é um serviço que cruza uma linha sem que ninguém perceba, por isso a posição é confirmada junto às autoridades, em vez de simplesmente presumida. Verifique estes pontos desde o início:
- Se alguma parte do serviço é uma atividade de telecomunicações, e não um serviço de TI. Essa é uma questão para a TDRA.
- Quais padrões de cibersegurança o setor do cliente espera de seus fornecedores, e o que o UAE Cyber Security Council publicou que se aplique ao serviço.
- Se a empresa é controladora ou operadora de dados para cada conjunto de dados com o qual tem contato.
- Onde se localizam os suboperadores, e se os dados atravessam uma fronteira.
- O que o acordo com o fornecedor upstream permite, já que um acordo de parceria com um hyperscaler pode limitar a revenda e o white-labelling.
Um teste que identifica um problema não significa que uma autorização seja necessária. Significa que a posição precisa de uma verificação baseada em fatos junto à autoridade competente. Chamar uma atividade de plataforma de tecnologia não a retira do âmbito da regulação se a jornada do cliente desempenhar uma função controlada.
Registre a posição por escrito: o que a empresa constrói e opera, o que não faz, quais funções ficam a cargo de parceiros aprovados e quais etapas de expansão mudariam a resposta. Proprietários, credores e bancos pedem isso, assim como clientes corporativos durante o processo de compras.
Escolhas de estrutura que mudam a resposta
- Onde a infraestrutura é de propriedade da empresa e quais regiões ela atende.
- Se a empresa contrata como principal, agente ou revendedora.
- Quem é responsável pelo backup, pela recuperação e pela administração de segurança.
- Como os dados dos clientes são segregados e quem detém acesso privilegiado.
- Como os créditos de serviço, os limites de responsabilidade e o seguro cibernético se alinham.
A entidade que assina os contratos com os clientes deve reunir as pessoas, os sistemas e o risco necessários para cumpri-los. Um veículo detentor de ativos, uma empresa de PI ou uma controladora no exterior podem estar em outro ponto do grupo, mas cada um precisa de uma função real. Uma estrutura criada para divulgar um preço de constituição baixo costuma se traduzir em perguntas do banco e retrabalho. Para modelos que dependem intensamente de capacidade computacional, energia e hardware, o guia de computação para IA trata dessa camada adicional.
Funções, pessoas e substância
Um provedor de serviços gerenciados é feito de suas pessoas. Os engenheiros detêm direitos de administrador sobre os sistemas dos clientes, portanto a empresa precisa de um responsável nomeado para cada um destes itens:
- Operações de segurança e escalonamento de incidentes.
- Proteção de dados, incluindo os termos de operador de dados que os clientes exigirão.
- Entrega do serviço em relação aos objetivos de recuperação contratados.
- Finanças e gestão de contratos.
Cada pessoa precisa de status de residência e de trabalho antes de ter acesso aos ambientes dos clientes. As instalações também importam, mas menos para uma revendedora do que para uma operadora com hardware instalado em racks. Os clientes leem a página da equipe e o organograma como evidência de substância, assim como os bancos.
Como o dinheiro circula e o que um banco analisa
A receita neste setor é recorrente: faturas mensais, cobrança por uso, reembolsos de parceiros e, às vezes, cobranças de repasse. Os custos costumam ser pagos no exterior a hyperscalers e a fornecedores de hardware, em moeda estrangeira. Um banco analisa quem são os clientes, onde estão os fornecedores e se os contratos explicam os fluxos.
Esteja preparado para apresentar:
- Contratos com fornecedores e com data centers.
- Um catálogo de serviços e uma matriz de responsabilidades.
- Políticas de segurança da informação.
- Evidências de continuidade de negócios e de recuperação de desastres.
- Cobertura de suporte e escalonamento de incidentes.
O objetivo é que a apresentação, o modelo financeiro, os contratos e o dossiê bancário contem a mesma história. É em torno disso que a preparação para conta bancária corporativa é construída, e o plano de negócios e documentação geralmente se torna o documento de referência. A consistência elimina perguntas evitáveis. Ela não garante uma conta, um financiamento ou uma aprovação.
O que costuma dar errado
- Copiar os termos de nível de serviço de um hyperscaler sem ter as operações necessárias para cumpri-los.
- Não divulgar as localizações dos subprocessadores nos contratos com clientes.
- Vender hospedagem para setores regulados antes de atender aos controles exigidos pelo cliente.
- Combinar conectividade no estilo de telecomunicações com serviços de TI sem verificar o limite regulatório.
- Assinar um contrato com o cliente a partir de uma entidade que não possui nenhuma capacidade de entrega.
- Comparar apenas as taxas de constituição em vez de rotas completas, incluindo o custo de renovação, a equipe necessária e o custo de reestruturação depois que os contratos são assinados.
Custo
O custo é construído em camadas, e os honorários da empresa são detalhados na carta de contratação; como a Velarozone funciona explica essa abordagem. Para um operador, instalações, hardware e pessoal dominam o custo da licença. Para um revendedor, isso se dá pela credenciação de parceiros e pelos engenheiros. Nenhum valor regulatório se aplica a todo o setor, portanto nenhum é informado aqui.
