Basitçe dijital egemenlik: kod, veritabanı ve sunucu müşteriye ait

Microsoft, Forrester, Cloudflare ve NVIDIA aynı hafta veri egemenliği hakkında yazdı: sistemlerinizi kim yönetiyor, şifreleme anahtarları nerede duruyor ve sağlayıcı ya da düzenleyici kuralları değiştirirse her şey çalışmaya devam edecek mi. Bunları hükümetler ve düzenlemeye tabi sektörler için yazıyorlar. Ama “sistemim kime ait” sorusu otuz kişilik bir şirketin de önünde duruyor. Benim cevabım 2021'den beri aynı: kod, veritabanı, sunucu ve erişimler müşteriye aittir.

Neler yayımlandı

Microsoft 20 Ekim'de Sovereign Cloud'un bir sonraki aşamasını Azure Blog'da anlattı: farklı iş yükleri için üç kontrol seviyesi. Azure içinde daha fazla şeffaflık isteyen işler için Sovereign Public Cloud; müşterinin kendi ortamında çalışan sistemler için, internete bağlı olmayanlar dahil, Sovereign Private Cloud; yerel operatörler için de bir iş ortağı ekosistemi. Somut olanlar: Sovereign Control Panel, Ignite'ta herkese açık preview olarak çıkıyor; AB ve EFTA'da Microsoft mühendislerinin uzaktan erişimini Avrupa gözetimine alan Data Guardian ile bu işlemleri kurcalamaya karşı korumalı şekilde kaydeden Production Touch Ledger geliyor; Azure Managed HSM üzerinden harici anahtar yönetimi genel kullanıma açıldı, kök anahtar kendi donanımınızda tutulabiliyor.

Forrester aynı gün, 20 Ekim'de, egemen bulut hizmetleri pazarını artık egemen yapay zekanın belirlediğini yazıyor: jeopolitik, artan düzenleyici yükümlülükler ve bulut ile yapay zeka platformlarına bağımlılık, teknoloji yöneticilerini dış bağımlılıkları azaltmaya zorluyor. Yazı kısa; pazar ayrıntılarına ondan yola çıkarak girmeyeceğim.

Cloudflare 23 Ekim'de post-kuantum GeoKey Manager'ı kapalı betada başlattı: şifre çözme anahtarına yalnızca seçilen ülke ya da bölgedeki sunucular erişebiliyor, koruma ML-KEM-768 ile X25519 bağlaması üzerine kurulu ve yanlış bölgeye düşen isteği Cloudflare reddediyor. Genel kullanım 2027'nin ilk çeyreğine planlandı. Bir gün önce, 22 Ekim'de, yine Cloudflare Kore ISMS sertifikasını nasıl aldığını anlattı: on günlük denetim, 80 kontrol ve sonunda Cloudflare Güney Kore'deki kullanıcılar için Google, Apple ve GitHub ile girişi kaldırdı; yerel yasanın istediği dört ayrı onayı başka türlü gösteremiyorlardı. Sertifika üç yıl geçerli, her yıl denetleniyor.

NVIDIA 21 Ekim'de açık model ailesini genişletti: Nemotron 3.5 Super VL ve Bolt, arama ve belge çözümleme için Nemotron Retriever, tablo verilerinde tahmin için Kumo, robotlar için Cosmos 3.5. Yazıda benim için asıl cümle şu: modellere kendi verinizle ince ayar yapılabiliyor ve sizin kontrol ettiğiniz altyapıya kurulabiliyor.

İşletme sahibi için ne anlama geliyor

Araç kiralamayı ele alalım. Rezervasyonlar, sözleşmeler ve teslim kontrolü fotoğrafları kiralık bir serviste duruyor. Servis fiyatı üçe katlıyor, dışa aktarma koşullarını değiştiriyor ya da kapanıyor. Veriler sözleşmeye göre sizin, ama onları çalışır halde çıkaracak kimse yok ve koyacak yer de yok. Jeopolitik olmadan egemenlik kaybı böyle görünür: işin üzerinde durduğu sistemi siz yönetmiyorsunuz.

Microsoft bunu bakanlıklar için Private Cloud ve mühendis gözetimiyle çözüyor. Otuz kişilik bir şirket için cevap daha basit ve daha ucuz: kendi sanal makineniz, kendi veritabanınız, kendi deponuzdaki kod ve sizde duran erişimler. Microsoft ve Cloudflare'in bütün listesinden orta ölçekli işletmeye tek bir ilke gerekiyor: sistem, tedarikçi olmadan da çalışmaya devam eder.

Bende nasıl çalışıyor

Çok büyük bir holding için petrol sevkiyatı takibi ve sapma analizi uygulaması yaptım; beta sürümüne kadar yaklaşık 14.000 dolar. Uygulama şirketin kendi sunucularında, şirketin güvenlik gereksinimlerine göre kurulu. Proje devam ediyor.

Bir üretim şirketinde ihtiyaç daha gündelikti. Müşteri, parça ve malzeme hesaplama programının kopyalanıp götürülememesini istiyordu. Bu yüzden bütün iş mantığını Node.js ve Express üzerindeki sunucuya taşıdım; tasarım mühendisleri yalnızca arayüzle çalışıyor: Electron masaüstü uygulaması ya da sadece şirket ağı içinde açılan ve ACL ile sınırlanan web sürümü. Sunucuya erişim olmadan istemci tarafı hiçbir şey hesaplamıyor. Programı 2024 yazında teslim ettim, her gün 11 kişi kullanıyor.

ABD'deki PDR şirketiyle 2021'den beri çalışıyorum. Orada bu kural 2022'den beri geçerli; o yıl Google Cloud'da Debian üzerinde kendi sunucumu kurdum: veriler şirketin sunucusundaki SQL veritabanında, API, site ve telefon sistemi de orada. Hepsi müşteriye ait ve sistemi başka bir geliştirici devralabilir.

Açık modeller konusunda. 2023 sonunda Londra'daki bir danışmanlık şirketi için yerel Whisper modeliyle altyazı sistemi yaptım: konuşma kendi sunucuda tanınıyordu, bulut API'si üzerinden değil, ve kayıt dakikası başına kimse ödeme yapmıyordu. NVIDIA'nın yeni modellerini kendim denemedim, ama yol aynı.

Ben ne yapardım

Kodun nerede durduğuna bakın. Kendi deponuzda yoksa, yükleniciye bir sonraki ödemeden önce kodu oraya aktarmasını söyleyin.

Bütün erişimleri yazın: sunucu, veritabanı, alan adı, e-posta, bulut, CRM. Her birinin şirket içinden bir sahibi olmalı, yalnızca yüklenicide kalmamalı.

SaaS sağlayıcınıza verilerin tamamının nasıl ve hangi formatta dışa aktarıldığını sorun. Cevap yoksa kendi sanal makinenizin kaça mal olacağını hesaplayın.

Yasal olarak hassas belgeler için hangi ülkede saklandıklarını öğrenin. Bölgesel anahtarlar çok az şirkete gerekir, ama cevabı bilmek gerekir.

Sunucunun sistemdeki rolünü Sunucu: veri, erişim ve sürecin yürütülmesi yazısında daha ayrıntılı anlattım; işletme konusu DevOps ve altyapı sayfasında, işletmeyi tek bir sistem olarak ele almak ise iç sistemler sayfasında. Projeler: PDR şirketinin teknik ortağı ve üretim için sipariş hesaplama. Komşu yazılardan: kendi sunucu ne zaman platformlardan daha avantajlı ve 30 kişilik şirket için zero trust; daha önce çağrı merkezinin bölgesi ve veriler hakkında yazmıştım. Sisteminizin hangi kısmının size ait olduğunu anlamak istiyorsanız nasıl kurulu olduğunu anlatın: Görevi konuşalım.