คู่มือ
วิธีการตั้งผู้ให้บริการคลาวด์หรือบริการที่จัดการในสหรัฐอาหรับเอมิเรตส์
คำตอบสั้นๆ
บริษัทผู้ให้บริการคลาวด์หรือบริการจัดการระบบโดยทั่วไปมักเริ่มต้นด้วยใบอนุญาตการค้าทั่วไป และคำถามสำคัญคือหน่วยงานใดบ้างที่มีอำนาจเพิ่มเติมในการพิจารณา หน่วยงานที่ควรตรวจสอบคือ Telecommunications and Digital Government Regulatory Authority (TDRA) หากส่วนใดของบริการมีลักษณะเป็นกิจการโทรคมนาคม และ UAE Cyber Security Council สำหรับข้อกำหนดด้านความมั่นคงปลอดภัยทางไซเบอร์ กฎหมายคุ้มครองข้อมูลส่วนบุคคลมีผลบังคับใช้ไม่ว่าใบอนุญาตจะระบุไว้อย่างไรก็ตาม
สิ่งที่มักเป็นตัวกำหนดเส้นทางมากที่สุดคือขอบเขตของบริการ: บริษัทเป็นผู้ขายต่อ ผู้ดำเนินการโครงสร้างพื้นฐาน หรือผู้บริหารจัดการสภาพแวดล้อมของลูกค้าเอง คำตอบนี้จะเป็นตัวกำหนดสัญญา การประกันภัย บุคลากร และการอนุมัติที่ต้องมี และยังเป็นตัวกำหนดด้วยว่าประเด็นด้านโทรคมนาคมคุ้มค่าที่จะตรวจสอบอย่างเป็นทางการหรือไม่
เลือกรูปแบบการให้บริการก่อนขอใบอนุญาต
ผู้ก่อตั้งส่วนใหญ่อธิบายรูปแบบธุรกิจไว้สี่แบบ ซึ่งแต่ละแบบก่อให้เกิดภาระผูกพันที่แตกต่างกันต่อบริษัท:
- การขายต่อบริการของผู้ให้บริการคลาวด์ขนาดใหญ่ภายใต้สัญญาความร่วมมือ
- การดำเนินการโครงสร้างพื้นฐานคลาวด์แบบส่วนตัวหรือแบบสาธารณะ
- การบริหารจัดการระบบปฏิบัติการในสภาพแวดล้อมที่ลูกค้าเป็นเจ้าของ
- การรวมบริการโฮสติ้ง การสำรองข้อมูล ความปลอดภัย และการสนับสนุนไว้ด้วยกัน
ผู้ขายต่อมีหน้าที่ด้านการรับรองพันธมิตร การเรียกเก็บเงิน และการสนับสนุน ผู้ดำเนินการมีหน้าที่ด้านฮาร์ดแวร์ สิ่งอำนวยความสะดวก เวลาให้บริการ และการกู้คืน บริษัทบริการแบบมีผู้จัดการมีสิทธิ์เข้าถึงระดับสูงในระบบของผู้อื่น ชุดบริการรวมมีหน้าที่ทั้งหมดนี้พร้อมกัน ผู้ให้บริการที่ส่งข้อมูลใบแจ้งหนี้ระหว่างธุรกิจเป็นอีกกรณีหนึ่ง อธิบายไว้ใน คู่มือผู้ให้บริการใบแจ้งหนี้อิเล็กทรอนิกส์
หากมีรูปแบบธุรกิจมากกว่าหนึ่งแบบที่เกี่ยวข้อง ควรคาดหมายว่าจะต้องมีกลุ่มบริษัทมากกว่าบริษัทเดียว ผู้เป็นเจ้าของสินทรัพย์ ผู้ดำเนินการ และนิติบุคคลที่ทำสัญญากับลูกค้า มักจะถูกแยกออกจากกัน ผู้ให้กู้และลูกค้ารายหลักมักผลักดันให้มีการแยกโครงสร้างดังกล่าว บริษัทเดียวที่ถือครองทั้งฮาร์ดแวร์ หนี้สิน และความเสี่ยงจากลูกค้าไว้พร้อมกัน จะหาแหล่งเงินทุนได้ยากกว่า
ขอบเขตการกำกับดูแลอยู่ที่ใด
ความเสี่ยงคือบริการที่ค่อยๆ ล้ำเส้นไปโดยไม่มีใครสังเกตเห็น ดังนั้นสถานะทางกฎหมายจึงควรได้รับการยืนยันกับหน่วยงานกำกับดูแล มากกว่าจะสมมติเอาเอง ควรตรวจสอบประเด็นต่อไปนี้ตั้งแต่เนิ่นๆ:
- ส่วนใดส่วนหนึ่งของบริการเป็นกิจการโทรคมนาคมมากกว่าจะเป็นบริการด้านไอทีหรือไม่ นี่คือประเด็นที่ต้องสอบถามกับ TDRA
- มาตรฐานความมั่นคงปลอดภัยทางไซเบอร์ใดที่ภาคธุรกิจของลูกค้าคาดหวังจากผู้ให้บริการของตน และ UAE Cyber Security Council ได้เผยแพร่ข้อกำหนดใดที่เกี่ยวข้องกับบริการนี้
- บริษัทเป็นผู้ควบคุมข้อมูล (controller) หรือผู้ประมวลผลข้อมูล (processor) สำหรับชุดข้อมูลแต่ละชุดที่เกี่ยวข้อง
- ผู้ประมวลผลข้อมูลช่วง (subprocessor) อยู่ที่ใด และข้อมูลมีการส่งผ่านข้ามพรมแดนหรือไม่
- สัญญาของผู้จำหน่ายต้นทางอนุญาตให้ทำอะไรได้บ้าง เนื่องจากสัญญาความร่วมมือกับผู้ให้บริการคลาวด์ขนาดใหญ่อาจมีข้อจำกัดเรื่องการขายต่อและการติดป้ายยี่ห้อของตนเอง (white-labelling)
การตรวจสอบที่พบประเด็นปัญหาไม่ได้หมายความว่าจำเป็นต้องมีการขออนุมัติเสมอไป แต่หมายความว่าสถานะทางกฎหมายนั้นต้องได้รับการตรวจสอบตามข้อเท็จจริงกับหน่วยงานที่เกี่ยวข้อง การเรียกธุรกิจว่าเป็นแพลตฟอร์มเทคโนโลยีไม่ได้ทำให้ธุรกิจนั้นหลุดพ้นจากการกำกับดูแล หากขั้นตอนการให้บริการแก่ลูกค้านั้นทำหน้าที่ที่อยู่ภายใต้การควบคุม
ควรบันทึกสถานะทางกฎหมายไว้เป็นลายลักษณ์อักษร ได้แก่ สิ่งที่บริษัทสร้างและดำเนินการเอง สิ่งที่ไม่ได้ดำเนินการเอง หน้าที่ใดอยู่กับพันธมิตรที่ได้รับการอนุมัติ และขั้นตอนการขยายธุรกิจใดที่จะทำให้คำตอบเปลี่ยนไป ผู้ให้เช่าพื้นที่ ผู้ให้กู้ และธนาคารต่างเรียกขอเอกสารนี้ เช่นเดียวกับลูกค้าองค์กรขนาดใหญ่ในระหว่างกระบวนการจัดซื้อ
ตัวเลือกด้านโครงสร้างที่เปลี่ยนคำตอบ
กำหนดตัวแปรเหล่านี้ให้ชัดเจนก่อนเปรียบเทียบเส้นทาง เมนแลนด์ (mainland) ฟรีโซน (free zone) และศูนย์กลางทางการเงิน:
- โครงสร้างพื้นฐานเป็นเจ้าของอยู่ที่ใด และให้บริการครอบคลุมภูมิภาคใด
- บริษัททำสัญญาในฐานะตัวการ (principal) ตัวแทน (agent) หรือผู้ขายต่อ
- ใครเป็นผู้รับผิดชอบด้านการสำรองข้อมูล การกู้คืนระบบ และการบริหารจัดการความปลอดภัย
- ข้อมูลของลูกค้าถูกแยกออกจากกันอย่างไร และใครเป็นผู้มีสิทธิ์เข้าถึงระบบในระดับสิทธิพิเศษ
- เครดิตการให้บริการ เพดานความรับผิด และการประกันภัยทางไซเบอร์ มีความสอดคล้องกันอย่างไร
นิติบุคคลที่ลงนามในสัญญากับลูกค้าควรมีบุคลากร ระบบ และความเสี่ยงที่จำเป็นต่อการส่งมอบงานเหล่านั้น หน่วยงานที่ถือครองสินทรัพย์ บริษัทด้านทรัพย์สินทางปัญญา หรือบริษัทแม่ในต่างประเทศ อาจอยู่ในส่วนอื่นของกลุ่มบริษัทได้ แต่แต่ละแห่งต้องมีบทบาทที่แท้จริง โครงสร้างที่สร้างขึ้นเพื่อโฆษณาราคาจัดตั้งที่ต่ำ มักย้อนกลับมาเป็นคำถามจากธนาคารและต้องทำงานใหม่ สำหรับโมเดลธุรกิจที่ใช้การประมวลผลหนักซึ่งต้องพึ่งพาพลังงานและฮาร์ดแวร์ คู่มือการประมวลผล AI ครอบคลุมชั้นเพิ่มเติมนี้
บทบาท บุคคล และสาระสำคัญของธุรกิจ
ผู้ให้บริการจัดการระบบ (managed-service provider) คือบุคลากรของบริษัทนั่นเอง วิศวกรถือสิทธิ์ผู้ดูแลระบบเหนือระบบของลูกค้า ดังนั้นบริษัทจึงต้องมีผู้รับผิดชอบที่ระบุชื่อไว้ชัดเจนสำหรับแต่ละเรื่องต่อไปนี้:
- การดำเนินงานด้านความมั่นคงปลอดภัยและการยกระดับเหตุการณ์
- การคุ้มครองข้อมูล รวมถึงข้อกำหนดด้านผู้ประมวลผลข้อมูล (data processor) ที่ลูกค้าจะเรียกร้อง
- การส่งมอบบริการให้เป็นไปตามเป้าหมายการกู้คืนระบบที่ระบุไว้ในสัญญา
- การบริหารการเงินและสัญญา
บุคคลแต่ละคนต้องมีสถานะการพำนักและการทำงานที่ถูกต้องก่อนที่จะเข้าถึงสภาพแวดล้อมของลูกค้า สถานประกอบการก็มีความสำคัญเช่นกัน แต่มีความสำคัญน้อยกว่าสำหรับผู้ขายต่อ (reseller) เมื่อเทียบกับผู้ให้บริการที่มีฮาร์ดแวร์ติดตั้งในแร็ค ลูกค้าอ่านหน้าทีมงานและโครงสร้างองค์กรเพื่อเป็นหลักฐานของความมีตัวตนจริง และธนาคารก็ทำเช่นเดียวกัน
เงินเคลื่อนย้ายอย่างไร และธนาคารพิจารณาอะไร
รายได้ในภาคธุรกิจนี้เป็นรายได้ต่อเนื่อง ได้แก่ ใบแจ้งหนี้รายเดือน การเรียกเก็บเงินตามการใช้งาน ส่วนลดคืนจากพาร์ทเนอร์ และบางครั้งค่าธรรมเนียมส่งผ่าน ค่าใช้จ่ายมักจ่ายไปต่างประเทศให้แก่ผู้ให้บริการคลาวด์ขนาดใหญ่ (hyperscaler) และผู้จำหน่ายฮาร์ดแวร์ เป็นเงินตราต่างประเทศ ธนาคารจะพิจารณาว่าใครคือลูกค้า ผู้จัดหาสินค้าอยู่ที่ไหน และสัญญาอธิบายกระแสเงินเหล่านี้ได้ชัดเจนหรือไม่
เตรียมพร้อมที่จะแสดงสิ่งต่อไปนี้:
- ข้อตกลงกับผู้จำหน่ายและศูนย์ข้อมูล (data centre)
- แคตตาล็อกบริการและตารางการแบ่งความรับผิดชอบ
- นโยบายด้านความมั่นคงปลอดภัยของข้อมูล
- หลักฐานด้านความต่อเนื่องทางธุรกิจ (business continuity) และการกู้คืนจากภัยพิบัติ (disaster recovery)
- ขอบเขตการสนับสนุนและการยกระดับเหตุการณ์
เป้าหมายคือให้สไลด์นำเสนอ แบบจำลองทางการเงิน สัญญา และแฟ้มข้อมูลสำหรับธนาคารบอกเรื่องราวเดียวกัน นั่นคือสิ่งที่ ความพร้อมสำหรับบัญชีธนาคารนิติบุคคล ถูกสร้างขึ้นมาเพื่อรองรับ และ แผนธุรกิจและเอกสารประกอบ มักจะกลายเป็นเอกสารอ้างอิงหลัก ความสอดคล้องกันช่วยลดคำถามที่หลีกเลี่ยงได้ แต่ไม่ได้เป็นการรับประกันว่าจะได้รับบัญชี การจัดหาเงินทุน หรือการอนุมัติ
ข้อผิดพลาดที่พบได้ทั่วไป
- การคัดลอกข้อกำหนดระดับการให้บริการ (service-level terms) ของผู้ให้บริการคลาวด์ขนาดใหญ่โดยไม่มีการปฏิบัติงานที่สอดคล้องรองรับ
- การไม่เปิดเผยตำแหน่งที่ตั้งของผู้รับประมวลผลข้อมูลช่วง (subprocessor) ไว้ในสัญญากับลูกค้า
- การขายบริการโฮสติ้งให้แก่ภาคธุรกิจที่มีการกำกับดูแล ก่อนที่จะปฏิบัติตามมาตรการควบคุมของลูกค้า
- การรวมบริการเชื่อมต่อแบบโทรคมนาคมเข้ากับบริการไอทีโดยไม่ตรวจสอบขอบเขตที่กำหนด
- การลงนามสัญญากับลูกค้าจากนิติบุคคลที่ไม่มีศักยภาพในการส่งมอบงานเลย
- การเปรียบเทียบค่าธรรมเนียมการจัดตั้งบริษัทเพียงอย่างเดียว โดยไม่พิจารณาเส้นทางทั้งหมด ซึ่งรวมถึงค่าใช้จ่ายในการต่ออายุ การจัดหาบุคลากร และค่าใช้จ่ายในการปรับโครงสร้างหลังจากลงนามสัญญาแล้ว
ต้นทุน
ค่าใช้จ่ายถูกจัดเป็นหลายชั้น และค่าบริการของบริษัทจะถูกระบุรายละเอียดไว้ในหนังสือข้อตกลงการให้บริการ (engagement letter) โดย วิธีการทำงานของ Velarozone อธิบายแนวทางนี้ สำหรับผู้ให้บริการที่ดำเนินการเอง สถานประกอบการ ฮาร์ดแวร์ และบุคลากรเป็นปัจจัยหลักที่มีผลต่อใบอนุญาตการค้า (business licence) ส่วนสำหรับผู้ขายต่อ การรับรองจากพาร์ทเนอร์และวิศวกรเป็นปัจจัยหลัก ไม่มีตัวเลขจากหน่วยงานกำกับดูแลที่ใช้ได้ทั่วทั้งภาคธุรกิจนี้ ดังนั้นจึงไม่มีการระบุตัวเลขไว้ที่นี่

