Hướng dẫn
Cách thiết lập nhà cung cấp dịch vụ đám mây hoặc dịch vụ quản lý tại UAE
Câu trả lời ngắn gọn
Một công ty dịch vụ đám mây hoặc dịch vụ quản lý thường bắt đầu với một giấy phép thương mại thông thường, và câu hỏi đặt ra là cơ quan nào có thêm ý kiến quyết định. Các cơ quan cần kiểm tra là Telecommunications and Digital Government Regulatory Authority (TDRA), nếu bất kỳ phần nào của dịch vụ có tính chất viễn thông, và UAE Cyber Security Council, đối với các yêu cầu về an ninh mạng. Luật bảo vệ dữ liệu áp dụng bất kể giấy phép quy định như thế nào.
Yếu tố thường quyết định hướng đi nhất là ranh giới dịch vụ: liệu công ty bán lại, vận hành hạ tầng, hay quản lý các môi trường của chính khách hàng. Câu trả lời đó quyết định các hợp đồng, bảo hiểm, nhân sự và các phê duyệt cần có. Nó cũng quyết định liệu vấn đề viễn thông có đáng để kiểm tra chính thức hay không.
Chọn mô hình dịch vụ trước khi xin giấy phép
Hầu hết các nhà sáng lập mô tả bốn mô hình. Mỗi mô hình đặt ra những nghĩa vụ khác nhau đối với công ty:
- Bán lại dịch vụ của một nhà cung cấp đám mây quy mô siêu lớn (hyperscaler) theo một thỏa thuận đối tác.
- Vận hành hạ tầng đám mây riêng hoặc công cộng.
- Quản lý vận hành trên các môi trường do khách hàng sở hữu.
- Kết hợp lưu trữ (hosting), sao lưu, an ninh và hỗ trợ.
Một đại lý bán lại gánh các nghĩa vụ về công nhận đối tác, thanh toán và hỗ trợ. Một nhà vận hành gánh phần cứng, cơ sở vật chất, thời gian hoạt động và khôi phục. Một công ty dịch vụ được quản lý gánh quyền truy cập đặc quyền vào hệ thống của người khác. Một gói kết hợp gánh tất cả những điều đó cùng lúc. Một nhà cung cấp chuyển dữ liệu hóa đơn giữa các doanh nghiệp là một trường hợp khác, được đề cập trong hướng dẫn về nhà cung cấp hóa đơn điện tử.
Nếu có nhiều hơn một mô hình áp dụng, hãy lường trước một tập đoàn gồm nhiều công ty thay vì một công ty duy nhất. Chủ sở hữu tài sản, đơn vị vận hành và pháp nhân ký hợp đồng với khách hàng thường là các pháp nhân riêng biệt. Các bên cho vay và khách hàng chủ lực thường có xu hướng thúc đẩy sự phân tách đó. Một công ty duy nhất nắm giữ phần cứng, nợ và rủi ro từ khách hàng sẽ khó huy động vốn hơn.
Ranh giới quản lý nằm ở đâu
Rủi ro là một dịch vụ dần vượt qua một ranh giới mà không ai nhận ra, vì vậy quan điểm pháp lý cần được xác nhận với các cơ quan chức năng thay vì chỉ được giả định. Hãy kiểm tra các điểm sau từ sớm:
- Liệu có phần nào của dịch vụ là hoạt động viễn thông thay vì dịch vụ công nghệ thông tin hay không. Đó là câu hỏi dành cho TDRA.
- Lĩnh vực của khách hàng kỳ vọng những tiêu chuẩn an ninh mạng nào đối với nhà cung cấp của mình, và những gì UAE Cyber Security Council đã công bố có liên quan đến dịch vụ này.
- Liệu công ty là bên kiểm soát dữ liệu hay bên xử lý dữ liệu đối với từng tập dữ liệu mà công ty tiếp cận.
- Các bên xử lý dữ liệu phụ (subprocessor) nằm ở đâu, và liệu dữ liệu có vượt qua biên giới quốc gia hay không.
- Những gì thỏa thuận với nhà cung cấp cấp trên cho phép, vì một thỏa thuận đối tác với nhà cung cấp đám mây quy mô siêu lớn (hyperscaler) có thể hạn chế việc bán lại và gắn nhãn trắng (white-labelling).
Một bài kiểm tra phát hiện ra vấn đề không đồng nghĩa với việc cần phải có giấy phép. Điều đó có nghĩa là quan điểm pháp lý cần được kiểm tra dựa trên thực tế với cơ quan chức năng liên quan. Gọi một doanh nghiệp là một nền tảng công nghệ không khiến doanh nghiệp đó nằm ngoài phạm vi quản lý nếu hành trình của khách hàng thực hiện một chức năng bị kiểm soát.
Hãy ghi rõ vị trí này ra giấy: công ty xây dựng và vận hành những gì, những gì không thuộc phạm vi đó, những chức năng nào do các đối tác được chấp thuận đảm nhiệm, và những bước mở rộng nào sẽ làm thay đổi câu trả lời. Chủ nhà, bên cho vay và ngân hàng đều yêu cầu điều này, và khách hàng doanh nghiệp lớn cũng yêu cầu như vậy trong quá trình mua sắm.
Những lựa chọn cấu trúc làm thay đổi câu trả lời
- Hạ tầng thuộc quyền sở hữu của ai và phục vụ những khu vực nào.
- Công ty ký kết hợp đồng với vai trò là bên chính, đại lý hay nhà bán lại.
- Ai chịu trách nhiệm về sao lưu, khôi phục dữ liệu và quản trị an ninh.
- Dữ liệu khách hàng được phân tách như thế nào và ai nắm quyền truy cập đặc quyền.
- Các khoản tín dụng dịch vụ, giới hạn trách nhiệm pháp lý và bảo hiểm an ninh mạng được sắp xếp phù hợp với nhau như thế nào.
Pháp nhân ký kết hợp đồng với khách hàng cần nắm giữ nhân sự, hệ thống và rủi ro cần thiết để thực hiện các hợp đồng đó. Một pháp nhân sở hữu tài sản, một công ty sở hữu trí tuệ hoặc công ty mẹ ở nước ngoài có thể nằm ở vị trí khác trong tập đoàn, nhưng mỗi pháp nhân đều cần có vai trò thực chất. Một cấu trúc được dựng lên chỉ để quảng cáo mức giá thành lập thấp thường dẫn đến các câu hỏi từ ngân hàng và phải làm lại. Đối với các mô hình sử dụng nhiều năng lực tính toán, phụ thuộc vào điện năng và phần cứng, hướng dẫn về hạ tầng tính toán AI đề cập đến lớp cấu trúc bổ sung này.
Vai trò, nhân sự và thực chất hoạt động
Một nhà cung cấp dịch vụ được quản lý chính là con người của mình. Các kỹ sư nắm quyền quản trị đối với hệ thống của khách hàng, vì vậy công ty cần chỉ định người chịu trách nhiệm cho từng mục sau:
- Vận hành an ninh và quy trình leo thang xử lý sự cố.
- Bảo vệ dữ liệu, bao gồm các điều khoản về bên xử lý dữ liệu mà khách hàng sẽ yêu cầu.
- Cung cấp dịch vụ theo đúng các mục tiêu khôi phục đã thỏa thuận trong hợp đồng.
- Quản lý tài chính và hợp đồng.
Mỗi cá nhân cần có tình trạng cư trú và tình trạng làm việc hợp lệ trước khi được tiếp cận môi trường của khách hàng. Trụ sở cũng quan trọng, nhưng ít quan trọng hơn đối với một nhà bán lại so với một đơn vị vận hành có phần cứng được lắp đặt trong rack. Khách hàng xem trang giới thiệu nhân sự và sơ đồ tổ chức là bằng chứng về thực chất hoạt động, và ngân hàng cũng xem như vậy.
Dòng tiền di chuyển ra sao và ngân hàng xem xét điều gì
Doanh thu trong lĩnh vực này mang tính định kỳ: hóa đơn hàng tháng, tính phí theo mức sử dụng, chiết khấu hoàn trả cho đối tác và đôi khi là các khoản phí chuyển tiếp. Chi phí thường được thanh toán ra nước ngoài cho các nhà cung cấp hạ tầng đám mây quy mô lớn và các nhà cung cấp phần cứng, bằng ngoại tệ. Ngân hàng sẽ xem xét khách hàng là ai, nhà cung cấp nằm ở đâu, và liệu các hợp đồng có giải thích rõ các luồng tiền này hay không.
Hãy chuẩn bị sẵn sàng để trình bày:
- Các hợp đồng với nhà cung cấp và trung tâm dữ liệu.
- Danh mục dịch vụ và ma trận phân định trách nhiệm.
- Các chính sách an ninh thông tin.
- Bằng chứng về duy trì hoạt động kinh doanh và khôi phục sau thảm họa.
- Phạm vi hỗ trợ và quy trình leo thang xử lý sự cố.
Mục tiêu là để bộ tài liệu thuyết trình, mô hình tài chính, các hợp đồng và hồ sơ ngân hàng cùng kể một câu chuyện thống nhất. Đó chính là nền tảng mà sự sẵn sàng cho tài khoản ngân hàng doanh nghiệp được xây dựng xung quanh, và kế hoạch kinh doanh và hồ sơ tài liệu thường trở thành tài liệu tham chiếu. Sự nhất quán giúp loại bỏ những câu hỏi có thể tránh được. Điều này không bảo đảm có được tài khoản, nguồn tài trợ hay sự chấp thuận.
Những lỗi thường gặp
- Sao chép các điều khoản cấp độ dịch vụ của một hyperscaler mà không có năng lực vận hành tương xứng.
- Không công khai vị trí của các bên xử lý phụ (subprocessor) trong hợp đồng với khách hàng.
- Bán dịch vụ lưu trữ (hosting) cho ngành bị quản lý trước khi đáp ứng các biện pháp kiểm soát của khách hàng.
- Kết hợp dịch vụ kết nối kiểu viễn thông với các dịch vụ CNTT mà không kiểm tra ranh giới quản lý.
- Ký hợp đồng với khách hàng từ một pháp nhân không nắm giữ bất kỳ năng lực triển khai nào.
- So sánh phí thành lập công ty thay vì so sánh toàn bộ lộ trình, bao gồm chi phí gia hạn, nhân sự và chi phí tái cấu trúc sau khi hợp đồng đã được ký.
Chi phí
Chi phí được xây dựng theo nhiều lớp, và phí của công ty được nêu chi tiết trong thư thỏa thuận dịch vụ; cách Velarozone hoạt động trình bày phương pháp này. Đối với một đơn vị vận hành, cơ sở vật chất, phần cứng và nhân sự là yếu tố chi phối chi phí giấy phép. Đối với một nhà bán lại, chứng nhận đối tác và kỹ sư là yếu tố chi phối. Không có con số quản lý nào áp dụng chung cho toàn ngành, vì vậy không có con số nào được nêu ra ở đây.

