Руководство
Как создать облачного или управляемого провайдера услуг в ОАЭ
Краткий ответ
Компания, предоставляющая облачные или управляемые услуги, обычно начинается с обычной коммерческой лицензии, и вопрос в том, какие органы имеют дополнительное право голоса. Проверить следует Telecommunications and Digital Government Regulatory Authority (TDRA), если какая-либо часть услуги выглядит как телекоммуникационная деятельность, и UAE Cyber Security Council в части требований к кибербезопасности. Законодательство о защите данных применяется независимо от того, что указано в лицензии.
Фактор, который чаще всего определяет применимый порядок, это граница услуги: перепродает ли компания услугу, эксплуатирует инфраструктуру или управляет собственными средами клиентов. Этот ответ определяет договоры, страхование, персонал и необходимые согласования. Он также определяет, стоит ли формально проверять вопрос о телекоммуникационном регулировании.
Выберите модель обслуживания до получения лицензии
Большинство основателей описывают четыре модели. Каждая возлагает на компанию разные обязательства:
- Перепродажа услуг крупного облачного провайдера по партнерскому соглашению.
- Эксплуатация частной или публичной облачной инфраструктуры.
- Управление операциями в средах, принадлежащих клиенту.
- Совмещение хостинга, резервного копирования, безопасности и поддержки.
Реселлер несёт обязанности по партнёрской аккредитации, выставлению счетов и поддержке. Оператор несёт оборудование, помещения, бесперебойную работу и восстановление. Фирма управляемых услуг несёт привилегированный доступ к чужим системам. Пакет несёт всё это сразу. Поставщик, передающий данные счетов между компаниями, это другой случай, рассмотренный в руководстве по поставщикам электронных счетов-фактур.
Если применимо более одной модели, следует ожидать группу компаний, а не одну-единственную. Владелец активов, оператор и юридическое лицо, заключающее договор с клиентом, часто являются разными структурами. Кредиторы и ключевые клиенты, как правило, настаивают на таком разделении. Одну компанию, на которой одновременно лежат оборудование, долг и риски, связанные с клиентами, сложнее профинансировать.
Где проходит периметр регулирования
Риск заключается в том, что услуга незаметно пересекает установленную границу, поэтому позицию следует подтверждать у соответствующих органов, а не предполагать самостоятельно. Эти моменты следует проверить на раннем этапе:
- Является ли какая-либо часть услуги телекоммуникационной деятельностью, а не услугой в сфере ИТ. Это вопрос, который относится к компетенции TDRA.
- Какие стандарты кибербезопасности сектор клиента ожидает от своих поставщиков, и что Совет по кибербезопасности ОАЭ опубликовал в отношении данной услуги.
- Является ли компания контролёром (controller) или обработчиком (processor) для каждого набора данных, с которым она работает.
- Где находятся субобработчики (subprocessors) и пересекают ли данные границу.
- Что допускает вышестоящее соглашение с поставщиком, поскольку партнёрское соглашение с гиперскейлером (hyperscaler) может ограничивать перепродажу и использование под собственным брендом (white-labelling).
Если проверка выявляет проблему, это не означает, что требуется разрешение. Это означает, что позицию нужно проверить на основе фактов совместно с соответствующим органом. Называть бизнес технологической платформой не выводит его из-под регулирования, если путь клиента (customer journey) выполняет контролируемую функцию.
Зафиксируйте позицию письменно: что компания создаёт и эксплуатирует, что не создаёт, какие функции закреплены за утверждёнными партнёрами, и какие шаги по расширению изменили бы ответ. Арендодатели, кредиторы и банки всегда запрашивают это, как и корпоративные клиенты в процессе закупок.
Выбор структуры, который меняет ответ
Определите эти переменные, прежде чем сравнивать маршруты мейнленд (mainland), свободная зона (free zone) и финансового центра:
- Кому принадлежит инфраструктура и какие регионы она обслуживает.
- Заключает ли компания договоры в качестве принципала (principal), агента (agent) или реселлера (reseller).
- Кто отвечает за резервное копирование, восстановление и администрирование безопасности.
- Как разделяются данные клиентов и у кого есть привилегированный доступ.
- Как соотносятся сервисные кредиты (service credits), ограничения ответственности и киберстрахование.
Юридическое лицо, подписывающее договоры с клиентами, должно располагать персоналом, системами и возможностью нести риски, необходимые для их исполнения. Структура, владеющая активами (asset-owning vehicle), компания, владеющая интеллектуальной собственностью (IP company), или зарубежная материнская компания могут находиться в другом месте группы, но у каждой должна быть реальная роль. Структура, созданная для того, чтобы рекламировать низкую стоимость создания, как правило, впоследствии оборачивается вопросами банка и переделкой работы. Для моделей с высокой вычислительной нагрузкой, зависящих от энергоснабжения и оборудования, дополнительный уровень рассматривается в руководстве по вычислительным мощностям для ИИ.
Роли, сотрудники и экономическое присутствие (substance)
Поставщик управляемых услуг (managed-service provider) это прежде всего его сотрудники. Инженеры обладают правами администратора в системах клиентов, поэтому компании необходимо назначить ответственное лицо по каждому из следующих направлений:
- Операции по обеспечению безопасности и эскалация инцидентов.
- Защита данных, включая условия для обработчика (processor), которые будут требовать клиенты.
- Предоставление услуг в соответствии с договорными целевыми показателями восстановления (recovery objectives).
- Финансы и управление договорами.
Каждому сотруднику необходим статус резидента и разрешение на работу, прежде чем он получит доступ к среде клиента. Помещения также имеют значение, но для реселлера (reseller) это менее важно, чем для оператора с установленным в стойках оборудованием. Клиенты воспринимают страницу команды и организационную структуру как доказательство реального присутствия, и банки тоже.
Как движутся деньги и на что смотрит банк
Доход в этом секторе носит регулярный характер: ежемесячные счета, оплата по факту использования, партнёрские скидки (rebates) и иногда транзитные платежи (pass-through charges). Расходы часто оплачиваются за рубежом гиперскейлерам (hyperscalers) и поставщикам оборудования в иностранной валюте. Банк смотрит на то, кто является клиентами, где находятся поставщики и объясняют ли договоры данные денежные потоки.
Будьте готовы предоставить:
- Договоры с поставщиками и дата-центрами.
- Каталог услуг и матрица распределения ответственности.
- Политики информационной безопасности.
- Подтверждение наличия планов непрерывности бизнеса и восстановления после сбоев (disaster recovery).
- Охват поддержки и эскалация инцидентов.
Цель состоит в том, чтобы презентация, финансовая модель, контракты и банковское досье рассказывали одну и ту же историю. Именно вокруг этого построена услуга готовность корпоративного банковского счёта, а бизнес-план и документация обычно становится справочным документом. Последовательность устраняет избыточные вопросы. Она не гарантирует открытие счёта, финансирование или одобрение.
Что обычно идёт не так
- Копирование условий уровня обслуживания крупного облачного провайдера без операционных возможностей, соответствующих этим условиям.
- Нераскрытие местонахождения субобработчиков в клиентских контрактах.
- Продажа хостинга для регулируемого сектора до выполнения требований контроля клиента.
- Объединение услуг связи телекоммуникационного типа с ИТ-услугами без проверки границы.
- Подписание клиентского контракта от имени юридического лица, не располагающего никакими мощностями для оказания услуг.
- Сравнение расходов на регистрацию вместо сравнения целых маршрутов, включая стоимость продления, затраты на персонал и расходы на реструктуризацию после подписания контрактов.
Стоимость
Расходы формируются по уровням, а вознаграждение фирмы детализируется в письме-соглашении об условиях оказания услуг; подход изложен в материале как работает Velarozone. Для оператора в стоимости торговой лицензии преобладают помещения, оборудование и персонал. Для реселлера партнёрская аккредитация и инженеры. Единой цифры регулятора для всего сектора не существует, поэтому здесь она не приводится.
