Η κατοχή ενός ιδιωτικού κλειδιού δεν αρκεί για την ασφάλεια των ψηφιακών περιουσιακών στοιχείων

Τα πορτοφόλια υπολογισμού πολλαπλών μερών (MPC) είναι η κυρίαρχη μέθοδος για τους οργανισμούς που επιδιώκουν να διαχειρίζονται αυτόνομα τα ψηφιακά τους περιουσιακά στοιχεία. Συνήθως πρόκειται για σχήμα υπογραφής 2-από-2, όπου ο πελάτης κρατά ένα μερίδιο κλειδιού στη συσκευή του και ο προμηθευτής κρατά το άλλο. Είναι καλύτερο από το να εμπιστεύεστε έναν πάροχο με ολόκληρο το κλειδί και να ανταλλάσσετε την άμεση αξίωση ιδιοκτησίας ενός περιουσιακού στοιχείου για μια κλασματική αξίωση ιδιοκτησίας εάν ο πάροχος δεν υποστηρίζει τις υποχρεώσεις του με περιουσιακά στοιχεία 1 προς 1. Ωστόσο, αυτό μόνο αγγίζει την επιφάνεια του τι σημαίνει ο έλεγχος και η ιδιοκτησία των ψηφιακών περιουσιακών στοιχείων. Υπάρχουν πολλαπλά άλλα στοιχεία στην αρχιτεκτονική που καθορίζουν τη χρήση (ή κατάχρηση) του κλειδιού και αυτή τη στιγμή εμφανίζονται με τη μορφή ενός SaaS μαύρου κουτιού. Ήρθε η ώρα να ρίξουμε φως στα πορτοφόλια MPC και να δείξουμε γιατί η απλή κατοχή ενός μεριδίου κλειδιού απέχει πολύ από οποιονδήποτε απτό έλεγχο ή οποιαδήποτε νόμιμη αξίωση για αυτοδιαχείριση.

Ο ρόλος των θεσμών στην εξέλιξη της φύλαξης ψηφιακών περιουσιακών στοιχείων

Χωρίς έκπληξη, οι μεγάλες χρηματοπιστωτικές εταιρείες ήταν οι πρώτες που παρατήρησαν αυτή τη λανθασμένη αντίληψη μετά από μερικά χρόνια παρακολούθησης του χώρου των ψηφιακών περιουσιακών στοιχείων. Όσον αφορά τη φύλαξη, κατάλαβαν γρήγορα το ζήτημα του ιδιωτικού κλειδιού, το ρόλο του υλικού και επίσης του MPC. Ωστόσο, υιοθετώντας μια προσέγγιση βασισμένη στον κίνδυνο για τη διαχείριση προμηθευτών, ήθελαν να κατανοήσουν ποιες άλλες εξαρτήσεις από την πλευρά του προμηθευτή υπάρχουν. Αποδεικνύεται ότι οι πελάτες εξακολουθούν να εξαρτώνται σε μεγάλο βαθμό από τον προμηθευτή για πολλά πράγματα που θα αποτελούσαν κανονική υπηρεσία ή χρήση του λογισμικού. Παραδείγματα μπορεί να περιλαμβάνουν την ενημέρωση πολιτικών και επιχειρηματικής λογικής στο πορτοφόλι, την προσθήκη νέων blockchain, την ήπια ανάκτηση και την σκληρή ανάκτηση του λογαριασμού, καθώς και πολλές άλλες αρκετά συνηθισμένες και αναμενόμενες καθημερινές λειτουργίες. Αυτό εκδηλώνεται στην εμπειρία του χρήστη ως η λήψη πολλών ημερών για έναν πάροχο να εξυπηρετήσει αλλαγές σε επίπεδο λογαριασμού ή να ενημερώσει τους κανόνες του πορτοφολιού, κάτι που τελικά σημαίνει ότι ο κύριος έλεγχος του πελάτη απέναντι σε ορισμένους αναγνωρισμένους λειτουργικούς κινδύνους διακόπτεται προσωρινά μέχρι να επανέλθει σε ισχύ.
Προχωρώντας παραπέρα, τα ενδιαφερόμενα μέρη που δίνουν προτεραιότητα στην ασφάλεια κατανοούν ότι κατέχουν ένα μερίδιο κλειδιού, αλλά θέλουν επίσης να καταλάβουν ποιος είναι ο κίνδυνος από την παρουσία άλλων λογικών στοιχείων στην αρχιτεκτονική φύλαξης που φιλοξενούνται από έναν πάροχο SaaS, τη κυρίαρχη μέθοδο παροχής λογισμικού πορτοφολιών MPC σήμερα. Αυτό οδηγεί σε ερωτήσεις όπως:

1. Εάν ένας προμηθευτής εκτελεί τη δημιουργία του μεριδίου κλειδιού, ποιες είναι οι διαβεβαιώσεις μου ότι δεν διαθέτει αντίγραφο του μεριδίου κλειδιού μου;
2. Εάν ένας προμηθευτής φιλοξενεί τις πολιτικές μου, τι εμποδίζει τον προμηθευτή να τις αλλάξει;
3. Εάν η υπηρεσία φιλοξενείται από τον προμηθευτή, πώς μπορώ να εγγυηθώ τη διαθεσιμότητα της υπηρεσίας και τη συνέχιση της επιχειρηματικής λειτουργίας;
4. Εάν ο προμηθευτής είναι εκτός σύνδεσης, πόσο γρήγορα μπορώ να επιτύχω τον στόχο χρόνου ανάκτησης μου;

Οι απαντήσεις σε αυτές τις ερωτήσεις διαπερνούν γρήγορα το πέπλο οποιασδήποτε εμπιστοσύνης ότι ο πελάτης έχει έλεγχο και ιδιοκτησία των περιουσιακών του στοιχείων. Η λέξη-κλειδί εκεί είναι «εμπιστοσύνη», καθώς οι απαντήσεις σε όλες αυτές τις ερωτήσεις είναι εκτενείς μορφές του: «Εμπιστευθείτε μας» και, όπως αποδείχθηκε από πρόσφατα γεγονότα της αγοράς, αυτό δεν έχει λειτουργήσει καλά στο παρελθόν. Οι θεσμοί τώρα επιδιώκουν να απομακρυνθούν από αυτό το είδος προσέγγισης καθώς ενισχύουν την επιχειρησιακή τους ανθεκτικότητα για το 2024. Συνεπώς, οι συμμετέχοντες στην αγορά αρχίζουν να σκέφτονται πώς αυτοί οι κίνδυνοι και οι πιθανές λειτουργικές απώλειες συμβιβάζονται με την ανοχή τους στον κίνδυνο, τις κανονιστικές υποχρεώσεις ή τυχόν σχετικούς πλαισίους που επιβάλλουν απαιτήσεις κεφαλαίου για ρυθμιζόμενα περιουσιακά στοιχεία βάσει βάρους κινδύνου. Οι πάροχοι υπηρεσιών, τελικά, αποτελούν επέκταση της επιφάνειας κινδύνου της εταιρείας. Ενώ ένας θεσμός μπορεί να αναθέσει μια λειτουργία σε τρίτο μέρος, δεν μπορεί να αναθέσει την ευθύνη για σωστή διαχείριση κινδύνου ή κανονιστικές υποχρεώσεις. Όσο πιο εξαρτημένη είναι μια εταιρεία από τρίτο μέρος, όπως συμβαίνει με έναν πάροχο πορτοφολιού MPC, τόσο μεγαλύτερη είναι η απαιτούμενη εποπτεία και εμπιστοσύνη.

Αυξήστε τον έλεγχο των ψηφιακών περιουσιακών στοιχείων για να ενισχύσετε την ασφάλεια

Ένας τρόπος για να μειωθούν οι εξαρτήσεις από τρίτους είναι οι θεσμοί να φιλοξενήσουν το λογισμικό μόνοι τους στο δικό τους κέντρο δεδομένων ή ιδιωτικό σύννεφο, με την ευθύνη του προμηθευτή να περιορίζεται σε εργασίες όπως η συντήρηση και οι ενημερώσεις του λογισμικού. Αυτό είναι προτιμότερο για πολλές χρηματοπιστωτικές εταιρείες, καθώς οι διακομιστές είναι εντός εγκαταστάσεων για πρόσβαση, διατηρούν την ασφάλεια των δεδομένων και μπορούν πραγματικά να δώσουν προτεραιότητα στην ιδιοκτησία και τον έλεγχο των λειτουργιών φύλαξης. Υπάρχουν επίσης συζητήσεις για ένα μοντέλο συν‑φιλοξενίας που θα επέτρεπε στον πελάτη να εκτελεί ένα αντίγραφο του λογισμικού φύλαξης, ενώ ο προμηθευτής ή άλλο τρίτο μέρος θα εκτελούσαν τα δικά τους αντίγραφα σε συνδεδεμένο δίκτυο. Αυτό θα μπορούσε να γίνει με τρόπο που να εξασφαλίζει συναίνεση μεταξύ κάθε μέρους (εμπιστοσύνη αλλά επαλήθευση) με τρόπο που ο προμηθευτής να μην αποτελεί κεντρική αξιόπιστη έκδοση της αλήθειας, όπως είναι κοινό σήμερα. Αυτό το κατανεμημένο μοντέλο ανάπτυξης θα ενίσχυε επίσης την αντοχή σε σφάλματα και θα αποτελούσε κρίσιμο μέρος του σχεδιασμού συνέχειας επιχειρήσεων, στον οποίο οι πελάτες έχουν σήμερα περιορισμένο έλεγχο με τον πάροχο φύλαξης. Αυτοί οι περιορισμοί υπάρχουν επειδή τα πορτοφόλια MPC δημιουργήθηκαν σε προηγούμενη εποχή και βασίστηκαν σε διαφορετικές πληροφορίες πελατών· τα προϊόντα SaaS είναι εξαιρετικά προσανατολισμένα σε συγκεκριμένες απόψεις, κάτι που δεν είναι ευνοϊκό για την προσαρμογή τους σε μια νέα πραγματικότητα που δίνει περισσότερη δύναμη στα χέρια του πελάτη. Καθώς αυτές οι ανάγκες γίνονται όλο και πιο γνωστές και ζητούμενες, η αγορά αναζητά παρόχους που θα ενταχθούν στο ρεύμα καθώς η βιομηχανία προχωρά στην επόμενη φάση εξέλιξής της.

Συνολικά, οι θεσμοί όλο και περισσότερο θέλουν να είναι οι διαχειριστές αυτών των προϊόντων αυτοδιαχείρισης και να τα διαχειρίζονται εντός του περιθωρίου ασφαλείας τους, εξασφαλίζοντας ταυτόχρονα υψηλά επίπεδα διαθεσιμότητας υπηρεσιών και ανταπόκρισης. Πρέπει να αποδείξουν επιχειρησιακή ανθεκτικότητα, συνέχιση επιχειρηματικών λειτουργιών και ανάκτηση από καταστροφές με σαφείς απαντήσεις για το πώς αυτό επιτυγχάνεται. Ένα προϊόν SaaS μαύρου κουτιού ή το «Εμπιστευθείτε μας» δεν είναι αποδεκτό. Για αυτούς τους λόγους, πραγματοποιείται μια μετάβαση από τη διαχείριση από την πλευρά του προμηθευτή στη διαχείριση από την πλευρά του πελάτη όσον αφορά την τεχνολογία αυτοδιαχείρισης. Ξεκίνησε με τα μερίδια ιδιωτικών κλειδιών και θα συνεχιστεί με τη μηχανή πολιτικών, τους διακομιστές και άλλα. Η απομεσολάβηση του προμηθευτή είναι θετική για τον πελάτη, εκτός εάν ο πάροχος χρειάζεται να εξωτερικεύσει πλήρως αυτή τη λειτουργία, οπότε η εταιρεία μπορεί να χρειαστεί έναν ρυθμιζόμενο φύλακα, καθώς αυτό δεν μόνο σας επιτρέπει να επηρεάσετε και να επιλύσετε καλύτερα τον κίνδυνο, αλλά μπορεί ακόμη και να προσφέρει βελτιώσεις στην επιχείρηση εάν η άδεια λογισμικού επιτρέπει την κατασκευή πάνω της για συγκεκριμένες περιπτώσεις χρήσης ή δίκτυα blockchain που ενδιαφέρουν. Αυτή η προσέγγιση είναι σύμφωνη με μια βιομηχανική προσπάθεια ωρίμανσης το 2024, και οι πελάτες θα απαιτούν όλο και περισσότερο αυτό από τους παρόχους τεχνολογίας φύλαξης ή θα μεταβούν σε πάροχο που μπορεί να διευκολύνει αυτές τις επιθυμητές βελτιώσεις.