چهار سال رتبه‌بندی مراکز داده؛ چرا هر مسئله‌ای باید به مجوز ختم شود؟

چهار سال پیش در مرداد ۱۴۰۱، فعالان صنعت مراکز داده برای جلسه‌ای در پژوهشگاه ارتباطات و فناوری اطلاعات دعوت شدند؛ جلسه‌ای با عنوان «بررسی پیشنهادات و راهکارهای بهبود، توسعه و ارتقای نظام رتبه‌بندی و ممیزی مراکز داده در کشور». اکنون در سال ۱۴۰۵، بار دیگر دعوت‌نامه‌ای با عنوانی تقریبا مشابه منتشر شده است؛ با این تفاوت که در متن آن، تدوین استانداردها «به همراه سیاست‌ها و فرآیندهای تنظیم‌گری حوزه مراکز داده» نیز مورد اشاره قرار گرفته است.

تکرار یک موضوع پس از چهار سال به خودی خود مسئله‌ای نیست. استانداردها نیازمند بازنگری‌اند، فناوری تغییر می‌کند و صنعت نیز با مسائل تازه‌ای مواجه می‌شود. اما وقتی یک موضوع پس از چهار سال همچنان با همان عنوان در دستور کار قرار دارد و همزمان دامنه آن از رتبه‌بندی و ممیزی به سیاست‌گذاری و تنظیم‌گری گسترش یافته، باید درباره صورت‌مسئله و مسیر طی‌شده تأمل کرد.

این تأمل زمانی اهمیت بیشتری پیدا می‌کند که به سابقه نظام رتبه‌بندی مراکز داده در کشور نگاه کنیم. در اسناد مربوط به شناسایی، ساماندهی و رتبه‌بندی ارائه‌دهندگان خدمات مرکز داده، رتبه‌بندی با مجوز فعالیت گره خورده و گواهی تعیین رتبه عملا در جایگاه مجوز ایجاد، بهره‌برداری و ارائه خدمات مبتنی بر مراکز داده قرار گرفته است. این رویکرد در سال‌های بعد نیز با انتقادهایی از سوی فعالان صنعت مواجه شد؛ به‌خصوص در جریان اصلاح مصوبه ۲۴۷ کمیسیون تنظیم مقررات ارتباطات که نگرانی درباره تبدیل رتبه‌بندی از یک ابزار تشویقی و بازارمحور به الزامی برای ادامه فعالیت را آشکار کرد.

موضوع در همین نقطه نیز باقی نماند. دامنه بحث از زیرساخت فیزیکی مرکز داده فراتر رفت و ارائه خدمات میزبانی و حتی حوزه‌های IaaS، PaaS و SaaS نیز در بحث‌های مربوط به توسعه نظام رتبه‌بندی و ممیزی قرار گرفت. در نتیجه، آنچه می‌توانست صرفا ابزاری برای ارزیابی کیفیت و سطح زیرساخت مراکز داده باشد، به تدریج به موضوعی با دامنه بسیار گسترده‌تر در زنجیره خدمات دیجیتال تبدیل شد.

این تغییر مسیر بیش از آنکه بحثی درباره اصل رتبه‌بندی باشد، درباره مرز میان رتبه‌بندی، گواهی‌نامه، تنظیم‌گری و مجوز فعالیت است.

رتبه‌بندی، مجوز نیست

اصل رتبه‌بندی نه‌تنها محل مناقشه نیست که برای یک بازار حرفه‌ای ضروری است. مشتری باید بتواند کیفیت زیرساخت مراکز مختلف را با یکدیگر مقایسه کند و ارائه‌دهنده نیز باید بتواند سطح سرمایه‌گذاری و کیفیت زیرساخت خود را به بازار نشان دهد.

یک مرکز داده ممکن است برای جذب مشتریان سازمانی، رتبه بالاتری دریافت کند و آن را به‌عنوان بخشی از مزیت رقابتی و ابزار بازاریابی خود به کار گیرد. مرکز دیگری ممکن است با هدف میزبانی خدمات حساس، گواهی‌نامه‌های تخصصی مورد نیاز آن بازار را دریافت کند. در مقابل مرکز دیگری ممکن است اساسا مشتریانی نداشته باشد که چنین سطحی از زیرساخت را مطالبه کند و بنابراین دلیلی برای تحمل این هزینه نبیند. هر سه انتخاب می‌تواند از منظر اقتصادی کاملا منطقی باشد.

رتبه‌بندی (Rating) ابزاری برای سنجش و ایجاد سیگنال در بازار است. گواهی‌نامه (Certification) اثبات انطباق با مجموعه‌ای از الزامات مشخص است. تنظیم‌گری (Regulation) زمانی موضوعیت پیدا می‌کند که ریسک یا منفعت عمومی مشخصی در میان باشد. «مجوز فعالیت» نیز مفهومی متفاوت است و به دولت اختیار تعیین اینکه چه بنگاهی اساسا حق ورود یا ادامه فعالیت دارد را می‌دهد. خلط این مفاهیم، نقطه‌ای است که مسئله آغاز می‌شود.

مرکز داده باید بتواند بر اساس مدل اقتصادی، بازار هدف و سطح خدمات خود تصمیم بگیرد که آیا رتبه‌بندی می‌شود، چه سطحی از گواهی‌نامه را دریافت می‌کند یا اساسا وارد هیچ‌یک از این فرآیندها نمی‌شود. اگر مرکزی قصد ورود به بازار خدمات حساس و حیاتی را دارد، طبیعتا باید الزامات آن بازار را احراز کند. اما این الزام نباید به همه مراکز داده (صرف‌نظر از مشتری و نوع خدمت) تعمیم پیدا کند. به بیان دیگر گواهی‌نامه می‌تواند شرط ورود به یک بازار مشخص باشد، اما نباید به شرط عمومی فعالیت تبدیل شود.

مسئله انتخاب واحد درست تنظیم‌گری است

بحث اصلی در نهایت به یک پرسش بنیادی‌تر بازمی‌گردد: چه چیزی باید تنظیم شود؟ مرکز داده به خودی خود یک «خدمت حیاتی» نیست. مرکز داده زیرساختی است که می‌تواند میزبان طیف بسیار متنوعی از خدمات باشد؛ از یک وب‌سایت عمومی تا یک سامانه بانکی یا زیرساختی که اختلال چند دقیقه‌ای در آن می‌تواند تبعاتی جدی داشته باشد.

بنابراین زنجیره منطقی باید از اهمیت خدمت آغاز شود: اهمیت خدمت، سطح تاب‌آوری موردنیاز و نهایتا انتخاب زیرساخت مناسب؛ نه اینکه از ابتدا بگوییم: مرکز داده، رتبه اجباری و در نتیجه مجوز فعالیت!

ممکن است یک مرکز داده کوچک میزبان یک خدمت بسیار حساس باشد و به همین دلیل زیرساخت آن باید الزامات سخت‌گیرانه‌ای را رعایت کند. در مقابل یک مرکز داده بزرگ می‌تواند میزبان مجموعه‌ای از خدمات عادی تجاری باشد که سطح تاب‌آوری موردنیاز آنها بسیار متفاوت است. بنابراین اندازه مرکز داده نیز به‌تنهایی معیار مناسبی برای تعیین اهمیت خدمتی که روی آن قرار گرفته نیست.

اگر یک خدمت حیاتی یا حساس است، مالک خدمت باید سطح دسترس‌پذیری، امنیت، تداوم و تاب‌آوری مورد نیاز خود را تعیین و بر اساس آن زیرساخت مناسب را انتخاب کند. اگر برای ارائه چنین خدمتی احراز سطح مشخصی از الزامات یا دریافت گواهی‌نامه لازم است، مرکز داده‌ای که قصد ورود به این بازار را دارد باید آن الزامات را احراز کند.

این تفاوت مهمی است. مرکز داده باید برای ورود به بازار خدمات حساس، انتخاب کند که چه سطحی از سرمایه‌گذاری و گواهی‌نامه برایش توجیه اقتصادی دارد؛ نه اینکه همه مراکز داده برای ادامه فعالیت، الزاما یک سطح مشخص از زیرساخت را خریداری کنند.

در چنین مدلی رتبه‌بندی می‌تواند ابزار بازاریابی و ایجاد اعتماد باشد، گواهی‌نامه می‌تواند شرط ارائه خدمت به مشتریان خاص باشد و عدم استفاده از هر دو نیز برای مرکزی که بازار هدفش چنین نیازی ندارد، یک انتخاب مشروع تجاری باشد.

تنظیم‌گری باید متناسب با اثر واقعی باشد

این رویکرد به معنای حذف تنظیم‌گری نبوده و به معنای قرار دادن آن در نقطه درست است. اگر یک خدمت، حیاتی است می‌توان حداقل الزامات تاب‌آوری، تداوم خدمت و امنیت را برای همان خدمت تعیین کرد و انتخاب راهکار و زیرساخت را به مالک خدمت سپرد. تنظیم‌گر باید مشخص کند چه سطحی از ریسک قابل قبول نیست؛ نه اینکه برای تمام ارائه‌دهندگان، یک نسخه واحد از معماری و زیرساخت تجویز کند.

همین منطق درباره منابع عمومی نیز صدق می‌کند. اگر یک پروژه دیتاسنتری قرار است چند ۱۰ مگاوات از شبکه برق کشور دریافت کند، می‌توان متناسب با این میزان مصرف، رعایت حداقل الزامات بهره‌وری و پایداری را مطالبه کرد تا بار اضافی بر شبکه و سایر کسب‌وکارها تحمیل نشود. اما اگر پروژه، برق مورد نیاز خود را مستقل تأمین کند، صرف «مرکز داده بودن» نباید مبنای همان الزام باشد. در حقیقت مبنای تنظیم‌گری باید اثر واقعی فعالیت بر منابع عمومی باشد، نه عنوان فعالیت.

در مورد زمین، آب، محیط‌زیست و زیرساخت‌های منطقه نیز همین قاعده قابل اعمال است. پروژه‌ای که در مقیاس بسیار بزرگ احداث می‌شود و اثر معناداری بر منابع عمومی دارد، طبیعتا باید پیش از احداث و متناسب با همان اثر ارزیابی شود. اما این موضوع با ایجاد یک مجوز عمومی برای تمام مراکز داده کشور، صرف‌نظر از اندازه و نوع فعالیت آنها، تفاوتی اساسی دارد.

در واقع اگر نگرانی درباره مصرف منابع عمومی است، باید پروژه‌های واقعا اثرگذار را هدف گرفت؛ نه اینکه برای حل مسئله چند پروژه بزرگ، هزینه یک سازوکار مجوزی را به کل بازار تحمیل کرد.

همین تفکیک را می‌توان در خود فرآیند استانداردگذاری، ممیزی و رتبه‌بندی نیز دنبال کرد. در یک بازار حرفه‌ای لزوما دلیلی وجود ندارد که دولت، متولی مستقیم این فرآیندها باشد. اگر صنعت به استاندارد، ارزیابی مستقل یا گواهی‌نامه نیاز داشته باشد، می‌تواند نهادهای تخصصی خود را برای پاسخ به این نیاز شکل دهد و این نهادها در طول زمان از طریق کیفیت کار، سابقه و پذیرش بازار اعتبار کسب کنند.

این رویکرد با تجربه بسیاری از بازارهای بالغ و موفق دنیا نیز همخوان است؛ جایی که استانداردگذاری، رتبه‌بندی و گواهی‌کردن زیرساخت‌ها توسط نهادهای تخصصی و مستقل شکل گرفته و اعتبار خود را از تخصص، سابقه و پذیرش بازار به دست آورده‌اند، نه از اعطای یک جایگاه انحصاری از سوی دولت.

نکته مهم این است که این فرآیند باید تا حد امکان از مداخله و وابستگی دولتی مستقل بماند. وقتی دولت یک نهاد خاص را ایجاد، تشویق(promote) یا به آن جایگاه رسمی می‌دهد، به‌تدریج رابطه‌ای میان اعتبار آن نهاد و ساختار دولتی شکل می‌گیرد. در چنین شرایطی نهاد حرفه‌ای برای حفظ جایگاه خود ناگزیر می‌شود در همان ساختار تعریف‌شده حرکت کند و استقلالی را که اساسا برای یک سازوکار خودتنظیم‌گر ضروری است از دست بدهد.

نتیجه این مسیر نیز چندان ناآشنا نیست. آنچه ابتدا برای پاسخ به یک نیاز واقعی بازار ایجاد شده، به‌تدریج به یک سازوکار رسمی تبدیل می‌شود؛ بعد رعایت آن سازوکار برای همه الزامی می‌شود و در نهایت استاندارد و رتبه‌بندی که قرار بود ابزار مقایسه و اعتماد بازار باشد، به شرط دریافت مجوز و ادامه فعالیت تبدیل می‌شود.

به همین دلیل اگر قرار است صنعت مراکز داده به سمت خودتنظیمی و شکل‌گیری نهادهای حرفه‌ای حرکت کند، این نهادها باید تا حد امکان از دل خود صنعت و بر اساس نیاز واقعی بازار شکل بگیرند، نه اینکه از ابتدا با حمایت و امتیاز دولتی ساخته شوند. این نهادها باید در فضای رقابتی سابقه و اعتبار کسب کنند و اعتبارشان را از تخصص، استقلال و اعتماد بازار بگیرند؛ نه از رانت یا جایگاه رسمی. نقش دولت در این میان باید به حوزه‌هایی محدود بماند که واقعا با منافع عمومی و ریسک عمومی ارتباط دارد.

هزینه یک مجوز فقط هزینه دریافت آن نیست

در شرایط اقتصادی امروز ایران این تمایز اهمیت دوچندان دارد. راه‌اندازی و توسعه مرکز داده یک فعالیت سرمایه‌بر است. تجهیزات، برق، سرمایش، ساختمان و زیرساخت ارتباطی هزینه قابل‌توجهی دارد و تأمین تجهیزات نیز با نوسانات ارزی و محدودیت‌های زنجیره تأمین همراه است. از سوی دیگر، تأمین مالی پروژه‌های سرمایه‌بر در محیط کسب‌وکار ایران ساده نیست.

در چنین شرایطی هر الزام جدید فقط به معنای یک هزینه اداری جدید نیست. زمان ورود به بازار، هزینه سرمایه‌گذاری، ریسک تصمیم‌گیری و در نهایت انگیزه سرمایه‌گذاری نیز تحت تأثیر قرار می‌گیرد. از سوی دیگر تجربه تنظیم‌گری نشان می‌دهد مجوز معمولا نقطه پایان رابطه دولت و بنگاه نیست؛ بلکه می‌تواند نقطه آغاز مجموعه‌ای از الزامات بعدی باشد. مانند گزارش‌دهی، تمدید، ممیزی دوره‌ای، بازرسی، تغییر الزامات، تفسیر مقررات و دسترسی بیشتر تنظیم‌گر به فرآیندها و اطلاعات بنگاه.

هیچ‌یک از این موارد لزوما در زمان ایجاد مجوز به‌تنهایی مسئله‌ای تلقی نمی‌شود. مسئله، اثر تجمعی این مداخلات بر کسب‌وکار است.

به همین دلیل پیش از آنکه یک فعالیت اقتصادی دیگر را مجوزمحور کنیم،(و بعد برویم سراغ مقررات‌زدایی، حذف مجوزهای زائد و تسهیل محیط کسب‌وکار) باید بتوانیم به‌طور مشخص پاسخ دهیم که این مجوز قرار است کدام ریسک عمومی را کاهش دهد و چرا ابزارهای سبک‌تر و هدفمندتر برای رسیدن به همان هدف کافی نیستند.

این پرسش برای اقتصاد دیجیتال ایران که هنوز با محدودیت سرمایه‌گذاری، دشواری تأمین مالی و بی‌ثباتی سیاست‌ها و مقررات مواجه است، اهمیت بیشتری دارد.

انتخاب را از بازار نگیریم

یک نظام حرفه‌ای رتبه‌بندی و ممیزی می‌تواند برای صنعت مراکز داده مفید باشد؛ استانداردهای مشخص تعریف کند، ممیزی مستقل انجام دهد، سطوح مختلف زیرساخت را قابل مقایسه کند و اطلاعات لازم را در اختیار مشتری قرار دهد. اما این نظام نباید الزاما به یک مجوز عمومی برای فعالیت تبدیل شود.

مرکزی که می‌خواهد مشتریان سازمانی بیشتری جذب کند، می‌تواند در رتبه‌بندی سرمایه‌گذاری کند. مرکزی که می‌خواهد میزبان خدمات حساس یا حیاتی باشد، می‌تواند گواهی‌نامه‌ها و الزامات لازم برای آن بازار را احراز کند. مرکزی که بازار هدفش چنین نیازی ندارد نیز باید بتواند متناسب با مدل اقتصادی خود تصمیم بگیرد که وارد این فرآیندها نشود.

این انتخاب بخشی از استراتژی تجاری مرکز داده است، نه موضوعی که لزوما باید از طریق الزام عمومی برای همه مراکز تعیین شود.

در طرف دیگر اگر یک خدمت به دلیل اهمیت خود نیازمند سطح مشخصی از تاب‌آوری و امنیت است، مسئولیت تعیین این نیاز باید بر عهده مالک خدمت باشد. او باید مشخص کند چه سطح خدمتی نیاز دارد، چه زیرساختی برای آن مناسب است و این خدمت را به کدام ارائه‌دهنده بسپارد.

این تفکیک هم نقش بازار را حفظ می‌کند و هم دست تنظیم‌گر را برای مداخله در جایی که واقعا منفعت عمومی در میان است، باز می‌گذارد.

چهار سال پس از آغاز دوباره بحث درباره بهبود و توسعه نظام رتبه‌بندی مراکز داده، شاید زمان آن رسیده باشد که به جای تمرکز صرف بر توسعه دامنه این نظام، ابتدا مرزهای آن را روشن کنیم.

رتبه‌بندی باید ابزار مقایسه و مزیت رقابتی باشد؛ گواهی‌نامه باید برای احراز الزامات یک بازار یا خدمت مشخص به کار رود و تنظیم‌گری باید در جایی وارد شود که ریسک یا منفعت عمومی مشخصی وجود دارد.

اگر همه این مفاهیم در نهایت به یک مجوز عمومی برای فعالیت مرکز داده تبدیل شود، عملا مرز میان ابزار بازار و ابزار حاکمیت از بین می‌رود.

مسئله این نیست که مراکز داده را تنظیم نکنیم. مسئله این است که هر مسئله را با همان ابزاری حل کنیم که برای آن طراحی شده است.

در شرایطی که اقتصاد دیجیتال ایران برای سرمایه‌گذاری و توسعه به فضای بیشتری برای تصمیم‌گیری و فعالیت نیاز دارد، افزودن یک لایه عمومی دیگر از مجوز و الزامات، بدون آنکه ریسک عمومی مشخصی را هدف گرفته باشد، نه‌تنها لزوما مسئله صنعت را حل نمی‌کند، بلکه می‌تواند هزینه رشد آن را بیشتر کند.

قرار نیست مراکز داده را از تنظیم‌گری معاف کنیم؛ قرار است تنظیم‌گری را از مجوزمحوری جدا کنیم و هر الزام را دقیقا در جای خودش قرار دهیم.