Посібник
Як налаштувати постачальника хмарних або управлінських послуг в ОАЕ
Коротка відповідь
Компанія, що надає хмарні чи керовані послуги, зазвичай починається зі звичайної комерційної ліцензії, і питання полягає в тому, які органи мають додаткове слово. Перевірити слід Управління з регулювання телекомунікацій та цифрового урядування (Telecommunications and Digital Government Regulatory Authority, TDRA), якщо якась частина послуги нагадує телекомунікації, та Раду з кібербезпеки ОАЕ (UAE Cyber Security Council) щодо вимог кібербезпеки. Законодавство про захист даних застосовується незалежно від того, що зазначено в ліцензії.
Найчастіше обраний шлях визначається межею послуги: чи компанія перепродає, експлуатує інфраструктуру, чи керує власними середовищами клієнтів. Ця відповідь визначає договори, страхування, персонал і погодження. Вона також визначає, чи варто ставити формальне питання про телекомунікації.
Визначте модель послуг до отримання ліцензії
Більшість засновників описують чотири моделі. Кожна покладає на компанію різні зобов'язання:
- Перепродаж послуг гіпермасштабованого провайдера за партнерською угодою.
- Експлуатація приватної чи публічної хмарної інфраструктури.
- Керування операціями в середовищах, що належать клієнту.
- Поєднання хостингу, резервного копіювання, безпеки та підтримки.
Реселер несе обов'язки щодо партнерської акредитації, виставлення рахунків і підтримки. Оператор відповідає за обладнання, приміщення, безперервність роботи та відновлення. Фірма керованих послуг отримує привілейований доступ до чужих систем. Пакет поєднує все це одночасно. Постачальник, що передає дані інвойсів між підприємствами, це окремий випадок, розглянутий у посібнику про постачальників електронного інвойсування.
Якщо застосовується більше однієї моделі, слід очікувати групу компаній, а не одну компанію. Власник активів, оператор і суб'єкт, що укладає договори з клієнтами, часто є окремими особами. Кредитори та якірні клієнти, як правило, наполягають на такому розділенні. Одній компанії, яка одночасно володіє обладнанням, боргом і ризиком клієнтів, важче залучити фінансування.
Де проходить периметр регулювання
Ризик полягає в тому, що послуга непомітно перетинає межу, тому позицію слід підтверджувати з відповідними органами влади, а не припускати. Перевірте ці моменти на ранньому етапі:
- Чи є будь-яка частина послуги телекомунікаційною діяльністю, а не ІТ-послугою. Це питання до TDRA.
- Яких стандартів кібербезпеки сектор клієнта очікує від своїх постачальників, і що опублікувала UAE Cyber Security Council, що стосується цієї послуги.
- Чи є компанія контролером або обробником для кожного масиву даних, з яким вона працює.
- Де розташовані субобробники даних та чи перетинають дані кордон.
- Що дозволяє угода з постачальником вищого рівня, оскільки партнерська угода з гіперскейлером може обмежувати перепродаж і продаж під власним брендом.
Якщо перевірка виявляє проблему, це не означає, що потрібен дозвіл. Це означає, що позицію потрібно перевірити на основі фактів у відповідному органі влади. Називання бізнесу технологічною платформою не виводить його за межі регулювання, якщо шлях клієнта виконує контрольовану функцію.
Зафіксуйте цю позицію письмово: що компанія створює та обслуговує, чого вона не робить, які функції покладені на затверджених партнерів, і які кроки розширення можуть змінити відповідь. Орендодавці, кредитори та банки вимагають цього, як і корпоративні клієнти під час закупівель.
Рішення щодо структури, які змінюють відповідь
Визначте ці параметри, перш ніж порівнювати маршрути мейнленд (mainland), вільна зона (free zone) та фінансового центру:
- Кому належить інфраструктура і які регіони вона обслуговує.
- Чи укладає компанія договори як принципал, агент чи реселер.
- Хто відповідає за резервне копіювання, відновлення та адміністрування безпеки.
- Як розмежовуються дані клієнтів і хто має привілейований доступ.
- Як узгоджуються сервісні кредити, обмеження відповідальності та кіберстрахування.
Суб'єкт, який підписує договори з клієнтами, повинен мати персонал, системи та рівень ризику, необхідні для їх виконання. Структура, що володіє активами, компанія з інтелектуальною власністю або іноземна материнська компанія можуть перебувати в іншому місці групи, але кожна з них повинна мати реальну роль. Структура, створена для того, щоб рекламувати низьку вартість реєстрації, зазвичай повертається у вигляді банківських запитань і переробок. Для моделей, що потребують значних обчислювальних потужностей і залежать від електроенергії та обладнання, посібник зі штучного інтелекту та обчислень розкриває цей додатковий рівень.
Ролі, люди та фактична присутність (substance)
Постачальник управлінських ІТ-послуг це перш за все його люди. Інженери мають права адміністратора в системах клієнтів, тому компанії потрібен призначений відповідальний за кожне з наведеного нижче:
- Операції з безпеки та ескалація інцидентів.
- Захист даних, включно з умовами обробника даних, які вимагатимуть клієнти.
- Надання послуг відповідно до договірних цілей відновлення.
- Фінанси та управління договорами.
Кожна особа повинна мати статус резидента та дозвіл на роботу, перш ніж отримати доступ до середовищ клієнтів. Приміщення також мають значення, але менше для реселера, ніж для оператора зі змонтованим обладнанням. Клієнти сприймають сторінку команди та організаційну структуру як доказ реальної присутності, і так само роблять банки.
Як рухаються кошти та на що звертає увагу банк
Доходи в цьому секторі мають регулярний характер: щомісячні рахунки, оплата за фактичне використання, партнерські знижки, а іноді й транзитні платежі. Витрати часто сплачуються за кордон гіперскейлерам та постачальникам обладнання в іноземній валюті. Банк дивиться на те, хто є клієнтами, де розташовані постачальники, і чи пояснюють договори ці потоки коштів.
Будьте готові надати:
- Угоди з постачальниками та дата-центрами.
- Каталог послуг та матриця відповідальності.
- Політики інформаційної безпеки.
- Докази безперервності бізнесу та відновлення після аварій.
- Охоплення підтримки та ескалація інцидентів.
Мета полягає в тому, щоб презентація, фінансова модель, договори та банківське досьє розповідали одну історію. Саме навколо цього побудована готовність до відкриття корпоративного банківського рахунку, і бізнес-план та документація зазвичай стають довідковим документом. Послідовність усуває зайві питання. Вона не гарантує відкриття рахунку, фінансування чи схвалення.
Що найчастіше йде не так
- Копіювання умов рівня обслуговування великого хмарного провайдера без операційних спроможностей, що їм відповідають.
- Нерозкриття місць розташування субобробників у договорах із клієнтами.
- Продаж хостингу для регульованого сектору до виконання вимог контролю клієнта.
- Поєднання телекомунікаційного підключення з ІТ-послугами без перевірки меж регулювання.
- Підписання договору з клієнтом від імені юридичної особи, яка не володіє жодними потужностями для надання послуг.
- Порівняння зборів за реєстрацію замість порівняння цілісних варіантів структурування, включно з вартістю продовження, витратами на персонал і вартістю реструктуризації після підписання договорів.
Вартість
Вартість формується шарами, а плата фірми деталізована в листі-угоді про умови надання послуг; як працює Velarozone викладає цей підхід. Для оператора приміщення, обладнання та персонал переважають у структурі ліцензії. Для реселера переважають акредитація партнера та інженери. Жодна регуляторна цифра не застосовується до всього сектору, тому тут її не наведено.
