Kontrolli ja omandi erinevus
Masin, mis kuulus kõigile peale operaatori
Erinevus kontrolli ja omandi vahel saab kõige kiiremini selgeks siis, kui midagi katki läheb. Tootmisettevõte õppis seda pakkimismasina kõrval, mis hõivas uhke ristkülikukujulise ala põrandast, kandis metallist varatemplit, oli bilansis ja oli täies ulatuses ära makstud. Rahandusosakond suutis omandi tõestada kuni arvenumbrini välja. Operaator suutis tõestada midagi muud: kui masin öövahetuse ajal seiskus, ei suutnud keegi hoones seda taaskäivitada.
Müüjal oli hooldussülearvuti. Müüjal olid diagnostikakoodid. Müüjal oli püsivara allkirjastamise võti. Müüjal oli kaug-hoolduskonto. Müüjal oli õigus varuosade asendamist heaks kiita. Tehas omas masinat nii, nagu laps omab mänguasja, mille patareid on kinni keeratud kruviga, mida tal pole lubatud puutuda. Õiguslikult kuulus vara tehasele. Operatiivselt asusid otsustavad tegusõnad mujal.
See ei ole argument tarnijate vastu. Tõsine töö sõltub tarnijatest, hooldajatest, töövõtjatest, teenusepartneritest ja spetsialiseeritud teadmistest. Viga on kohelda omandit nii, nagu tooks see automaatselt kaasa kontrolli. See ei too. Omand on õiguslik ja majanduslik nõue. Kontroll on praktiline võime tegutseda: üle vaadata, käitada, muuta, peatada, parandada, liigutada, tõendada, keelduda ja taastada. Digisüsteemides on need võimed sageli jaotatud lepingute, võtmete, konsoolide, identiteetide, uuenduskanalite, jurisdiktsioonide ja inimharjumuste vahel.
Segadus on kallis, sest omand tundub käegakatsutav. Saate osutada lepingule, litsentsile, aktsiasertifikaadile, andmekeskusele, serverile, domeenile, andmebaasile või lähtekoodihoidlale ja öelda, et see on meie oma. Kontroll esitab ebamugavamaid küsimusi. Kes saab võtmeid vahetada. Kes saab administraatori eemaldada. Kes suudab teenuse töös hoida, kui tarnija kaob. Kes saab andmed kasutataval kujul eksportida. Kes saab näidata logisid, mida teine pool ei saa ümber kirjutada. Kes saab öelda ei ilma organisatsiooni välja lülitamata.
Omand vastab teistsugusele küsimusele
Omand on oluline. See otsustab, kes võib vara müüa, kes kannab teatud riske, kes võib kulumit arvestada, kes võib vaidluses õigusi nõuda ja kes on ametlikes dokumentides nimetatud. Ettevõtetes võib omand tähendada aktsiaid ja hääleõigust. Avalikes institutsioonides võib see tähendada seaduslikku volitust dokumentide või taristu üle. Intellektuaalomandi puhul võib see tähendada autoriõigust, andmebaasiõigusi, patente või litsentsimisseisukohti. Ükski neist pole tähtsusetu. Juristid ei leiutanud omandit sellepärast, et neil oli hästi valgustatud ruumis igav.
Kuid omand ei vasta iseenesest operatiivsele küsimusele. Linn võib omada oma andmeid, samal ajal kui andmebaasiadministraator, krüpteerimisvõtmed, varukoopiad ja tugitee asuvad tarnija käes. Haigla võib omada kliinilist süsteemi, samal ajal kui paigad sõltuvad müüja väljalaskegraafikust. Ettevõte võib omada lähtekoodi, samal ajal kui ehitusliin, allkirjastamise saladused, pakisõltuvused ja juurutuskontod on tema haardeulatusest väljas. Investor võib omada aktsiaid, samal ajal kui laenuklauslid, juhatuse õigused, pilvekrediidid ja sõltuvuslepingud kujundavad vaikselt ruumi.
Omand ütleb, kellel on õigus. Kontroll ütleb, kes suudab reaalsust muuta. Need kaks võivad ühtida ja see on sageli tervislik. Nad võivad ka nii kaugele lahkneda, et omanikust saab pealtvaataja. Seda lahknemist on hankeprotsessi ajal lihtne märkamata jätta, sest lepingufaas on täis nimisõnu: platvorm, tellimus, litsents, keskkond, eksemplar, regioon, teenus, moodul. Operatiivtegevus on täis tegusõnu: taastama, paikama, tühistama, migreerima, taasesitama, piirama, vahetama, keelama, eksportima, üles ehitama. Suveräänsus elab tegusõnade juures.
Seetõttu peaks kontrolli test olema praktiline. Ärge küsige ainult, kes süsteemi omab. Küsige, kes suudab surve all tegutseda. Kui regulaator saabub reede pärastlõunal, kes suudab esitada valdusahela. Kui identiteedipakkuja ebaõnnestub, kes suudab anda erakorralise juurdepääsu ilma uut katastroofi tekitamata. Kui tarnija tõstab hindu, kes suudab liikuda. Kui turvaintsident tabab, kes suudab tee keelata ilma ootamata, et pilet liigub läbi mitme ajavööndi ja rõõmsameelse portaali.
Väljalüliti on poliitiline
Igal tõsisel süsteemil on väljalülitid, isegi kui need on maskeeritud kontode peatamiste, litsentsikontrollide, API kvootide, arveldusreeglite, uuendusväravate, DNS-i kontrolli, võtmeteenuste, pakiregistrite, seadmehalduse, võrguteede või inimtugiprotseduuridena. Küsimus pole selles, kas väljalüliti on olemas. Küsimus on selles, kes saab seda kasutada, kes saab selle kasutamist takistada, kes näeb, et seda kasutati, ja kes saab edasi töötada, kui keegi teine selle järele sirutab.
Tavatingimustes on need lülitid igavad. Seetõttu on nad ohtlikud. Nad asuvad esitluskihi all, kohtades, kus juhid näevad armatuurlaudu. Siis külmutab arveldusvaidlus konto. Sanktsioonireegel muutub. Sertifikaat aegub. Tarnija lõpetab funktsiooni toetamise. Pilveregioon ebaõnnestub. Hooldaja tühistab juurdepääsu. Alltöövõtja muudab omandit. Tugitehnik vajab erakorralist sissepääsu. Järsku pole väljalüliti tehniline detail. See on sõltuvuse kuju.
Kontroll nõuab nende lülitite kaarti. Kes kontrollib juuridentiteeti. Kes kontrollib arveldust. Kes kontrollib juurutustorustikku. Kes kontrollib allkirjastusvõtmeid. Kes kontrollib varukoopiaid. Kes kontrollib telemeetriat. Kes kontrollib võimet andmete replikatsioon peatada. Kes kontrollib logisid. Kes kontrollib ekspordivormingut. Süsteem võib olla kohalikult omandatud ja sellegipoolest asuvad selle elutähtsad lülitid mujal. See on nagu maja omamine, samal ajal kui välisuks, küte, vesi ja kaitsmekarp on ettevõtte käes, mis vastab meilidele kord kvartalis.
Lülitite kaardistamine pole paranoia. See on täiskasvanulik haldus. Küpsed organisatsioonid ei eelda, et kõik partnerid käituvad halvasti, kuid nad ei kujunda ka nii, nagu partnerid, kohtud, turud ja võrgud jääksid igavesti täiuslikult rõõmsateks. Kontrolli pannakse proovile stressiga. Kui süsteemi saab juhtida ainult siis, kui kõik nõustuvad, maksavad, ühenduvad ja mäletavad paroole, pole see juhitud. Seda hellitatakse asjaolude poolt.
Digisüsteemid lahutavad tegusõnad
Füüsiline vara annab omanikule vähemalt mingeid vihjeid. Kui teie laos on tõstuk, näete, kelle käes on võti. Digisüsteemid on vähem viisakad. Kirje võib olla salvestatud ühte kohta, krüpteeritud teise teenuse poolt, indekseeritud kolmandasse, logitud neljandasse, varundatud viiendasse ja hallatud identiteetide kaudu, mis sõltuvad kuuendast. Mudel võib töötada kohapeal, samal ajal kui selle paketivärskendused, telemeetria, litsentsikontrollid, monitooring ja juurutuse konfiguratsioon sõltuvad kaugteenustest. Miski ei tundu dramaatiline. Nii see sisse pääsebki.
Juhtimine digitaalses infrastruktuuris on hajutatud, sest hajutamine on kasulik. Hallatud teenused vähendavad töökoormust. Pilveplatvormid skaleeruvad kiiresti. Välised identiteedipakkujad parandavad turvalisust, kui neid hästi kasutada. Müüja tugi toob asjatundlikkuse. Avatud lähtekoodiga sõltuvused hoiavad ära olukorra, kus kõik kirjutavad sama teeki ümber, kuni tsivilisatsioonil kannatus otsa saab. Probleem pole hajutatus. Probleem on läbi uurimata hajutatus, kus iga sõltuvus on üksi mõistlik, kuid koos võtavad need institutsioonilt tegutsemisvõime.
On üks muster, mida tasub jälgida: omanik hoiab andmeid, kuid teine osapool kontrollib loetavust. Seejärel esitatakse krüpteerimine suveräänsusena, sest kirje on kõrvalistele loetamatu. See saab tõsi olla ainult siis, kui võtmevolitus, rotatsioon, hoiuleandmine, taastamine, juurdepääsu heakskiit ja halduslik ülekirjutamine on tegelikult omaniku juhtimise all. Võti, mida hoitakse mujal, võib kaitsta paljude ohtude eest, kuid see loob ka kontrollpunkti. Võti pole võlupuru. See on lüliti, mille küljes on matemaatika.
Teine muster on omand ilma ehituse kontrollita. Ettevõte omab koodihoidlat, kuid ei suuda tootmisversiooni taastoota, sest sõltuvused on muutunud, saladused pole kättesaadavad, vaja on kolmanda osapoole käitajat või ainus inimene, kes torustikku mõistab, lahkus sülearvutiga, mis on täis pärimusi. Lähtekoodi omamine ei ole operatiivne kontroll, kui organisatsioon ei suuda ehitada, allkirjastada, juurutada, tagasi pöörata ja auditeerida. Hoidla, mida ei saa käivitada, on arhiiv ambitsioonidega.
Kontroll ei ole maksimaalne valdus
Mõned inimesed kuulevad seda argumenti ja järeldavad, et iga institutsioon peab kõike omama, kõike haldama ja kõigist sõltuvustest hoiduma. See on kindel viis vaeseks ja aeglaseks jääda ning katkiste printerite üle imelikult uhke olla. Kontroll ei ole maksimaalne valdus. Kontroll on kriitiliste võimuste läbimõeldud paigutus. See küsib, millised tegusõnad peavad jääma institutsiooni lähedale, mida saab delegeerida, mis vajab lepingulisi kaitsemeetmeid, mis vajab tehnilist hoiuleandmist ja mis vajab testitud väljumisteed.
Rohkem omamine võib isegi vähendada kontrolli, kui organisatsioonil puudub võimekus. Haigla, mis nõuab, et ta haldaks ise kõiki süsteeme, ilma et tal oleks piisavalt turvatöötajaid, võib omada paljusid servereid, kuid kontrollida väga väikest riski. Tootja, kes ostab spetsiaalse tarkvara välja, kuid ei suuda seda paigata, võib omada litsentsi ja pärida haavatavuse. Avalik-õiguslik asutus, kes majutab andmeid kohapeal, kuid tellib kogu identiteedi-, võtmehalduse, seire- ja intsidentidele reageerimise teenused sisse, võib omada kohalikku hoonet, mille närvid on välismaal. Omandamine ei ole pädevus.
Delegeerimine võib kontrolli suurendada, kui see on korrektselt üles ehitatud. Tarnija võib süsteemi käitada selgete teenuseõiguste, kohaliku võtmehalduse, sõltumatu logimise, andmete teisaldatavuse, testitud taastamise, eskrow' konfiguratsiooni ja sisuliste lõpetamisõiguste alusel. Asutus ei pruugi ise kõiki ülesandeid täita, kuid ta saab jälgida olulisi volitusi ja taastuda, kui suhe muutub. See on kontrollile lähemal kui kapp täis omanduses olevat riistvara, mida keegi ohutult puutuda ei saa.
Praktiline küsimus ei ole seega mitte omamine või allhange. See on see, milline kontrolliprofiil missiooniga sobib. Avalikud dokumendid, kliinilised süsteemid, kriitiline taristu, teadusandmed, hariduslood, finantsraamatud ja tavaline turundussisu ei vaja sama hoiakut. Küps organisatsioon valib teadlikult. Ebaküps pärib profiili, mille loovad hankevaikimised, müüja arhitektuur ja väikseima vastupanu tee. Viimane on populaarne, sest see tuleb juba eelseadistatuna.
Õiguslik kiht võib kontrolli liigutada ilma serverit puudutamata
Digitaalse suveräänsuse arutelud vaatavad sageli taristule ja unustavad äriseaduse, rahastuse ja jurisdiktsiooni. Ometi võib kontroll liikuda läbi õiguslike vahendite ilma, et ühtegi kaablit lahti ühendataks. Hääleõigused võivad nihkuda. Juhatuse koht võib kanda vetoõigust. Võlatähtajad võivad piirata strateegilisi valikuid. Emaettevõte võib kehtestada poliitika. Kohus võib sundida tegutsema. Litsents võib aeguda. Leping võib piirata eksporti. Tugiklausel võib lubada juurdepääsu. Need mehhanismid on vähem fotogeenilised kui andmekeskused. Need pole vähem reaalsed.
Tarnija võib olla kohapeal asutatud ja siiski olla väliskapitali, välismaise intellektuaalomandi, välismaise taristu või välismaiste õiguskohustuste kontrolli all. Startup võib olla asutatud ühes riigis ja rahastatud teises. Platvorm võib olla bränditud ühele turule, samas kui selle toote teekaarti juhitakse teisest. See ei tee tarnijat halvaks. See tähendab, et ostjad peaksid mõistma kontrolliahelat enne, kui nad kohtlevad kohalikku identiteeti kontrollina. Lipp veebilehe jaluses ei ole valitsemismudel.
Lepingud võivad kontrolli parandada, kui need on piisavalt konkreetsed. Need võivad nõuda teisaldatavust, auditeerimisõigusi, võtmete haldust, teavitamiskohustusi, alltöötlejaid, säilitusreegleid, lähtekoodi deposiithoidlat, üleminekuabi ja intsidentide koostööd. Kuid lepingud ei ole käitusaja kontrollid. Leping, mis ütleb, et eksport on võimalik, on nõrgem kui eksport, mis on tehtud, taastatud ja mõõdetud. Klausel, mis lubab kustutamist, on nõrgem kui kustutamistõend. Auditeerimisõigus on nõrgem kui logid, mis asutusel juba olemas on. Õiguslikud õigused ja tehnilised kontrollid peaksid kohtuma enne intsidenti, soovitavalt siis, kui kõik veel üksteisest lugu peavad.
Jurisdiktsioon on oluline, sest seadus otsustab, kes keda saab sundida. Andmekeskus riigis võib siiski kuuluda ettevõttele, millel on kohustused mujal. Kohalik tütarettevõte ei pruugi suuta emaettevõtte nõudele vastu seista. Administraator võib olla seotud välismaise tööandjaga. Kontrollikaart vajab seetõttu osapooli, mitte ainult asukohti. Kus on bitid. Kes saab neid lugeda. Kes saab lugemist korraldada. Kes saab keelduda. Kes kannab keeldumise hinna. Siin lakkab suveräänsus olemast loosung ja hakkab nõudma tabelit ebamugavate veergudega.
Tõendid on erinevus kontrolli ja usalduse vahel
Paljud organisatsioonid ei kontrolli oma süsteeme. Nad usaldavad neid. Usaldus pole kasutu, kuid see pole tõend. Tõend tähendab, et organisatsioon suudab näidata, mis juhtus, ja suudab korrata kriitilisi toiminguid. See suudab varukoopiast taastada. See suudab võtmeid vahetada. See suudab eemaldada privilegeeritud kasutaja. See suudab eksportida andmeid. See suudab kustutamist kontrollida. See suudab teenuse uuesti üles ehitada. See suudab taasesitada juurdepääsujälge. See suudab tõendada, milline konfiguratsioon oli kasutusel. Need on testid, mitte tunded.
Kontrollitõendid peaksid olema rutiinsed. Kvartaalsed taastamisharjutused. Võtmevahetusharjutused. Väljumisproovid kriitiliste andmekogumite jaoks. Juurdepääsuülevaated, mis inimesi tegelikult eemaldavad. Sõltumatu logide valimikontroll. Sõltuvuste inventuurid. Lepingutriggerite kontrollid. Intsidentide simulatsioonid. Ehitusreproduktsioon. Need harjutused pole glamoursed. Need on ka vähem piinlikud kui avastamine rikkumise ajal, et varukoopia eksisteeris ainult rahustava nimisõnana.
Tõendeid peaks hoidma asutus või sõltumatu kokkulepe, mida asutus suudab jälgida. Kui ainus kontrollitõend on müüja armatuurlaud, on asutusel võib-olla nähtavus, mitte tõendid. Armatuurlauad on kasulikud, kuid need on pinnad, mida toodab vaadeldav süsteem. Suure mõjuga süsteemide puhul peaksid olema dokumendid, mis vaidluse üle elavad: eksporditud logid, allkirjastatud sündmused, sisemised registrid, taastamisartefaktid, testitud tegevusjuhendid ja otsused, mis on seotud nimetatud vastutajatega. Kontroll ilma tõenditeta on usaldus, mis kannab märki.
Hanked peaksid seda tõendit küsima enne ostu. Näidake taastamist. Näidake eksporti. Näidake võtmevahetust. Näidake kustutamist. Näidake logisid. Näidake tugijuurdepääsu piire. Näidake, kuidas teenus töötab, kui müüja konto on külmutatud. Näidake, mis juhtub, kui võrk on jagatud. Tarnija, kes suudab vastata, tervitab tavaliselt konkreetseid teste, sest need eraldavad tõsise võimekuse teatrist. Tarnija, kes ei suuda vastata, on samuti andnud kasulikku teavet, kuigi mitte seda, mida müügimaterjal silmas pidas.
Inimesed on osa kontrollitasandist
Arhitektuuriskeemid alahindavad inimesi. Need näitavad teenuseid, andmebaase, võrke ja identiteedipakkujaid. Harva näevad need inimest, kes teab uuendamise kuupäeva, administraatorit, kes kiidab heaks erakorralise juurdepääsu, juristi, kes mõistab lõpetamistingimust, inseneri, kes suudab torustiku uuesti üles ehitada, või hankespetsialisti, kes mäletab, miks kummaline erand on olemas. Ometi kannavad need inimesed sageli kontrolli. Kui nad lahkuvad, jäävad pensionile, lähevad läbi või muutuvad kättesaamatuks, muutub kontrollitasand.
Institutsionaalne kontroll hõlmab seega ka teadmushaldust. Tööjuhendid peavad olema ajakohased. Privilegeeritud kontod ei tohi sõltuda ühest kangelaslikust töötajast. Tarnijakontakte tuleb testida. Lepinguõigusi peavad mõistma inimesed, kes ei osalenud läbirääkimistel. Tehnilistesse skeemidesse tuleb lisada operatiivsed omanikud. Intsidentide rolle tuleb harjutada. Igav väljend „kohustuste lahusus" on oluline, sest üks inimlik otsetee võib saada tegelikuks arhitektuuriks.
On ka kultuuriline mõõde. Meeskonnad, kes lasevad tarnijatel alati kontrollküsimustele vastata, võivad kaotada võime küsida paremaid küsimusi. Neist saavad kinnituste tarbijad, mitte võimekuse omanikud. Institutsioon võib endiselt omada andmeid ja süsteeme, kuid tal ei ole enam piisavalt arusaamist, et väitele vastu vaielda. See on vaikne kaotus. See ilmub riskiregistrisse harva, kuni sündmus näitab, et kõik teavad, kellele meili saata, ja keegi ei tea, mida teha, kui meil ise on probleemi osa.
Hea kontrollikujundus hoiab organisatsiooni sees piisavalt pädevust, et jääda võimekaks käsundiandjaks. Mitte iga oskus ei pea olema sisemine. Mitte igale konsoolile ei pea olema kohalikku operaatorit. Kuid institutsioon peaks mõistma oma kriitilisi sõltuvusi, säilitama võime neid kontrollida ja hoidma inimesi, kes oskavad tõlkida õiguslike õiguste ja operatiivsete faktide vahel. Muidu muutub omandus tseremoniaalseks. Tseremooniad on meeldivad, kuid need taastavad andmebaase harva.
Suveräänsuse küsimus
Suveräänsusest räägitakse sageli nii, nagu oleks see omandiküsimus: omada pilve, omada andmeid, omada ettevõtet, omada mudelit. Omandamine võib aidata, eriti kui see hoiab strateegilised valikud mujal otsustamast. Kuid suveräänsus kaob ja saavutatakse palju sagedamini kontrolli kaudu. Kes saab öelda ei. Kes saab tegutseda ilma loata. Kes suudab taastada. Kes suudab tõendada. Kes suudab kurssi muuta. Kes suudab üle elada tarnija muutunud stiimulid. Need on kontrolliküsimused.
Seepärast ei piisa riiklikust ega Euroopa märgisest. Kohalikul omanikul pakkuja, kelle tegevusdistsipliin on nõrk, võib anda tegelikult vähem kontrolli kui hästi juhitud delegeeritud teenus, millel on kohalikud võtmed, kaasaskantavad andmed, sõltumatud logid ja testitud väljumine. Välismaine tarnija võib sobida madala riskitasemega töökoormuste jaoks. Kodumaine süsteem võib kõrge riskitasemega juhtudel sobimatu olla, kui keegi seda parandada ei suuda. Küsimus ei ole ainult identiteedis. Küsimus on vastavuses missiooni, volituste, suutlikkuse, seaduse ja tõendite vahel.
See eristus kaitseb ka tarnijaid ebaõiglaste ootuste eest. Tarnija ei saa suveräänsust pakkuda loosungite abil. Ta saab pakkuda konkreetseid kontrolle: lepingulisi õigusi, kohalikke toiminguid, võtmekorraldust, auditi tõendeid, kaasaskantavust, läbipaistvaid alltöötlejaid ja usaldusväärset väljumistuge. Ostjad peaksid nõudma neid, mitte imesid. Tõsised tarnijad saavad ehitada konkreetsete nõuete järgi. Keegi ei suuda lippu konstrueerida.
Asutuste jaoks on distsipliin lihtne sõnastada, kuid raskesti hoida: eraldage omandiõiguse väited kontrollivõimest. Pidage kriitiliste tegusõnade registrit. Testige tegusõnu. Hoidke tõendeid. Vaadake kaart uuesti läbi, kui süsteemid, omanikud, seadused, inimesed või tarnijad muutuvad. Ärge oodake lepingu lõppemiseni, et avastada, kas väljumine oli tegelik. Väljumine ei ole lõik. See on harjutus, mille lõpus on failid.
Õppetund
Erinevus kontrolli ja omandi vahel on erinevus nimisõna ja tegusõna vahel. Omand nimetab, kellel on vara. Kontroll otsustab, kes saab vajalikku asja teha siis, kui see on oluline. Terved süsteemid püüavad neid ühtlustada, kuid nad ei eelda kunagi ühtlustamist. Nad küsivad, kus võtmed asuvad, kes haldab identiteeti, kes saab parandada, kes saab taastada, kes hoiab tõendeid, kes saab keelduda ja kes saab lahkuda.
Eesmärk ei ole isolatsioon ega kahtlus, mis on riietatud strateegiaks. Eesmärk on praktiline autoriteet. Organisatsioon võib partneritele toetuda ja säilitada siiski kontrolli, kui ta kaardistab otsustavad võimud, delegeerib tahtlikult, testib taastamist ja hoiab piisavat pädevust, et oma mugavust väljakutsuda. Organisatsioon, mis omab palju, kuid kontrollib vähe, ei ole suveräänne. See on hästi dokumenteeritud.
Pakkimismasin tehases oli omandis. Taaskäivitus oli mujal. Digitaalsed süsteemid muudavad selle mustri kergemini peidetavaks, sest puuduv kontroll ei ole lukustatud paneel, vaid õigus, võti, juriidiline kohustus, ehitustee, ekspordivorming või inimene, keda keegi ei asendanud. Leidke need asjad enne öövahetust. Arve ei aita teil liini taaskäivitada.