قادة الفكر
الاحتفاظ بالمفتاح الخاص ليس كافيًا لأمان الأصول الرقمية
أضف Securities.io إلى مصادرك المفضلة على Google
محافظ الحوسبة المتعددة الأطراف (MPC) هي الطريقة السائدة للمؤسسات التي تسعى إلى حفظ أصولها الرقمية ذاتيًا. عادةً ما تكون هذه مخطط توقيع 2 من 2 حيث يحتفظ العميل بحصة المفتاح على جهازه وتحتفظ البائع بالحصة الأخرى. هذا أفضل من الثقة بمزود يمتلك المفتاح بالكامل وتبديل مطالبتك بملكية مباشرة للأصل إلى مطالبة ملكية جزئية إذا لم يكن المزود يدعم مسؤولياته بأصول 1 إلى 1. ومع ذلك، هذا لا يلمس سوى سطح ما يعنيه التحكم والملكية في الأصول الرقمية. هناك مكونات أخرى متعددة في الهندسة المعمارية تحدد استخدام المفتاح (أو إساءة استخدامه) وتأتي حاليًا في شكل صندوق أسود SaaS. حان الوقت لتسليط الضوء على محافظ MPC وإظهار لماذا مجرد الاحتفاظ بحصة مفتاح بعيد كل البعد عن أي تحكم ملموس أو أي مطالبة شرعية بالاحتفاظ الذاتي.
دور المؤسسات في تطور حفظ الأصول الرقمية
ليس من المفاجئ أن المؤسسات المالية الكبيرة كانت الأولى التي لاحظت هذا الخطأ بعد قضاء السنوات القليلة الماضية في مراقبة مساحة الأصول الرقمية. عندما يتعلق الأمر بالحفظ، فهموا بسرعة سؤال المفتاح الخاص، ودور الأجهزة وكذلك MPC. ومع ذلك، عند اتخاذ نهج قائم على المخاطر لإدارة البائع، أرادوا فهم ما هي الاعتماديات الأخرى على جانب البائع. يتضح أن العملاء لا يزالون يعتمدون بشكل كبير على البائع في العديد من الأمور التي قد تشكل خدمة عادية أو استخدام للبرنامج. يمكن أن تشمل الأمثلة تحديث السياسات والمنطق التجاري في المحفظة، إضافة سلاسل كتل جديدة، الاسترداد الناعم والاسترداد الصعب للحساب بالإضافة إلى عدة عمليات روتينية ومتوقعة يوميًا أخرى. يتجسد ذلك في تجربة المستخدم كاستغراق عدة أيام لتقديم مزود الخدمة تغييرات على مستوى الحساب أو تحديث القواعد في المحفظة، مما يعني في النهاية أن التحكم الرئيسي للعميل ضد بعض المخاطر التشغيلية المحددة يُكسر مؤقتًا حتى يتم إعادته إلى وضعه.
بالانتقال إلى أبعد من ذلك، يدرك أصحاب المصلحة الذين يراعون الأمن أنهم يحتفظون بحصة مفتاح ولكنهم يرغبون أيضًا في فهم ما هو الخطر في وجود مكونات منطقية أخرى في بنية الحفظ المستضافة من قبل مزود SaaS، الطريقة السائدة لتوفير برنامج محفظة MPC اليوم. وهذا يؤدي إلى أسئلة مثل:
- إذا كان البائع يقوم بإنشاء حصة المفتاح، ما هي ضماناتي بأنهم لا يمتلكون نسخة من حصة مفتاحي؟
- إذا كان البائع يستضيف سياساتي، ما الذي يمنع البائع من تعديلها؟
- إذا كانت الخدمة مستضافة من قبل البائع، كيف أضمن توفر الخدمة واستمرارية الأعمال؟
- إذا كان البائع غير متصل، إلى أي مدى يمكنني تحقيق هدف زمن الاستعادة الخاص بي بسرعة؟
تخترق إجابات هذه الأسئلة بسرعة حجاب أي ثقة بأن العميل يمتلك التحكم والملكية لأصوله. الكلمة المفتاحية هنا هي “الثقة”، حيث أن إجابات جميع هذه الأسئلة هي صيغ معقدة من: “ثق بنا” وكما ثبت من خلال أحداث السوق الأخيرة أن ذلك لم ينجح جيدًا في الماضي. الآن تبحث المؤسسات عن الابتعاد عن هذا النوع من الأمور بينما تعزز مرونتها التشغيلية للعام 2024. وبالتالي، يبدأ المشاركون في السوق بالتفكير في كيفية توافق هذه المخاطر والخسائر التشغيلية المحتملة مع شهية المخاطرة لديهم، والالتزامات التنظيمية، أو أي أطر ذات صلة تفرض متطلبات رأس مال تنظيمي للأصول ذات الوزن المخاطري. في النهاية، مزودو الخدمات هم امتداد لمنطقة خطر الشركة. بينما يمكن للمؤسسة تفويض وظيفة لطرف ثالث، لا يمكنها تفويض المسؤولية عن إدارة المخاطر السليمة أو الالتزامات التنظيمية. كلما زاد اعتماد الشركة على طرف ثالث، كما هو الحال مع مزود محفظة MPC، زادت الحاجة إلى الرقابة المطلوبة والثقة.
زيادة التحكم في الأصول الرقمية لتعزيز الأمان
إحدى الطرق لتقليل الاعتماد على الأطراف الثالثة هي أن تستضيف المؤسسات البرنامج بنفسها في مركز البيانات الخاص بها أو السحابة الخاصة، مع تقليل مسؤولية البائع إلى مهام مثل الصيانة وتحديثات البرنامج. هذا مفضل للعديد من المؤسسات المالية حيث تكون الخوادم في الموقع للوصول، وتحافظ على أمان البيانات، ويمكنها حقًا إعطاء الأولوية للملكية والتحكم في عمليات الحفظ الخاصة بها. هناك أيضًا مناقشات حول نموذج الاستضافة المشتركة الذي يسمح للعميل بتشغيل نسخة واحدة من برنامج الحفظ بينما يسمح للبائع أو طرف ثالث آخر بتشغيل نسخهم الخاصة على شبكة متصلة. يمكن تنفيذ ذلك بطريقة تضمن التوافق بين كل طرف (ثقة ولكن تحقق) بطريقة لا يكون فيها البائع نسخة مركزية موثوقة من الحقيقة كما هو شائع اليوم. هذا النموذج الموزع للنشر سيعزز أيضًا تحمل الأخطاء ويشكل جزءًا حيويًا من تخطيط استمرارية الأعمال التي يمتلك العملاء سيطرة قليلة عليها اليوم مع مزود الحفظ الخاص بهم. هذه القيود موجودة منذ بناء محافظ MPC في وقت سابق وتم أخذ معلومات عملاء مختلفة في الاعتبار، ومنتجات SaaS ذات آراء قوية لا تمهد جيدًا لإعادة تشكيلها لواقع جديد يضع المزيد من القوة في يد العميل. ومع تزايد معرفة هذه الاحتياجات والطلب عليها، يبحث السوق عن مزودين للدخول في التيار المتقدم مع تحول الصناعة إلى دورتها التطورية التالية.
في المجمل، ترغب المؤسسات بشكل متزايد في أن تكون المشرفين على هذه المنتجات ذات الحفظ الذاتي وإدارتها ضمن محيط أمانها مع ضمان مستويات عالية من توفر الخدمة وسرعة الاستجابة. يحتاجون إلى إثبات المرونة التشغيلية، واستمرارية الأعمال، والتعافي من الكوارث مع إجابات واضحة حول كيفية حدوث ذلك. منتج SaaS صندوق أسود أو “ثق بنا” ليس خيارًا. لهذه الأسباب، يجري التحول من إدارة جانب البائع إلى إدارة جانب العميل عندما يتعلق الأمر بتقنية الحفظ الذاتي. بدأ ذلك بحصص المفتاح الخاص، وسيتواصل مع محرك السياسات، والخوادم، وأكثر. إزالة الوسيط البائع أمر جيد للعميل ما لم يحتاج المزود إلى تفويض هذه الوظيفة بالكامل، وفي هذه الحالة قد تحتاج الشركة إلى وصي منظم، حيث لا يتيح لك ذلك فقط تحسين تأثيرك وحل المخاطر بل قد يقدم تحسينات تجارية إذا سمحت رخصة البرنامج بالبناء فوقها لحالات الاستخدام الدقيقة أو شبكات البلوكشين ذات الاهتمام. هذا النهج يتماشى مع جهد صناعي واسع النطاق للنضوج في عام 2024، وسيتطلب العملاء بشكل متزايد ذلك من مزودي تقنية الحفظ أو ينتقلون إلى مزود يمكنه تسهيل هذه التحسينات المرغوبة.
