Önemli açıklamalar

Neyi yayımlıyoruz, neyi yayımlamıyoruz ve neden.

Özel saklama, ilişki okunabilir olduğu için işler.

Gürültülü değil. Sürekli açıklanmış değil. Okunabilir.

Açıklamalar, saklama ilişkisinin baştan anlaşılır olmasını sağlar; böylece müşteri tonu, marka algısını ya da güven verici sözleri temel almak zorunda kalmadan değerlendirme yapabilir.

Bu not, bir bitcoin saklama kurumunun açıklama duruşunu ortaya koyar: neyin kamuya açık olması gerektiği, neyin kontrol altında tutulması gerektiği ve neden.

Açıklama karar vermek içindir

İyi bir açıklama rahatlatmayı amaçlamaz. Netleştirmeyi amaçlar.

Dikkatli bir müşterinin şu soruları yanıtlamasına izin vermelidir:

• İlişki tam olarak nedir?
• Normal ve olağan dışı koşullarda hangi haklara sahibim?
• Neler değişebilir ve bunu nasıl öğrenirim?
• Neye dayanıyorum: insanlar, süreçler, sağlayıcılar, yargı alanları?

Bu yanıtlar netse müşteri, güven telkinine ihtiyaç duymadan karar verebilir.

Birlikte var olması gereken iki yükümlülük

Saklama açıklaması içinde doğuştan bir gerilim vardır ve olgun kurumlar bunu benimser:

1. Müşteri netliği: kurallar açık olmalıdır.
2. Operasyonel takdir: hassas güvenlik ayrıntıları kamuya yayınlanmamalıdır.

Amaç maksimum açıklama değildir. Amaç, saldırı yüzeyini artırmadan maksimum değerlendirilebilirliktir.

Üst düzey saklama her zaman böyle işlemiştir. İlişkiyi açıkla, planı değil.

Kamusal açıklamada neler olmalı

Kamusal açıklama, haftadan haftaya değişmemesi gereken ilişkinin istikrarlı kategorilerine odaklanmalıdır.

1) İlişki tanımı

Bir saklama kurumu açıkça şunları belirtmelidir:

• hizmetin ne olduğu ve ne olmadığı,
• kurumun hangi konulardan sorumlu olduğu,
• müşterinin her an kontrol edebildiği ve yapabildiği şeyler.

Bu, “neyi satın alıyorum” katmanıdır.

2) Müşteri hakları ve sınırlar

Bu, açıklamanın en yüksek sinyal alanıdır. Şunları kapsamalıdır:

• müşterinin çekim hakları ve temel iş akışı kategorisi (talep → doğrulama → işleme → zincir üstü tamamlanma),
• kurumun müşteri talimatlarını nasıl işlediği,
• hangi koşulların işlemleri geciktirebileceği ve bunun nasıl iletildiği.

Bu, iç prosedürleri yayımlamakla ilgili değildir. Müşterilerin güvenebileceği kuralları beyan etmekle ilgilidir.

3) Ücretler ve hesaplama yöntemi

Fiyatlandırma, müşterinin sürpriz yaşamadan tahmin edebilmesi için açıklanmalıdır:

• neyin ücretlendirildiği,
• ne zaman ücretlendirildiği,
• nasıl hesaplandığı.

Karmaşayı önleyen basit bir cümle çoğu zaman yeterlidir (örneğin “aylık faturalandırılır, günlük ortalama bakiyeye göre hesaplanır” gibi).

4) Açıklama periyodu ve değişiklik politikası

Yüksek net değerli müşteriler sık güncellemeden çok istikrara önem verir. Bir saklama kurumu şunları belirtmelidir:

• resmi açıklamaların nerede yayımlandığı,
• maddi değişiklikler konusunda müşterilerin nasıl bilgilendirildiği,
• ve neyin “maddi” sayıldığı.

Bu, sessiz ama güçlü bir güven işaretidir. Politika kaymasının görünmez olmasını engeller.

“Maddi” kavramını örneklerle tanımlamak da yardımcıdır. Makul bir tanım şu değişiklikleri içerebilir:

• çekim işlem pencereleri veya doğrulama gereklilikleri,
• ücret tarifesi veya hesaplama yöntemi,
• müşteri haklarını düzenleyen yargı kapsamı veya hukuki şartlar,
• ya da saklama ve çıkış etrafındaki teşvikleri değiştiren yeni herhangi bir özellik.

5) Üst düzey güvence yöntemleri

Aşırı vaat yerine, bir saklama kurumu kullandığı güvence türlerini açıklamalıdır:

• uygun olduğunda bağımsız denetimler veya kontrol değerlendirmeleri,
• uygun olduğunda rezerv teyitleri veya raporlama uygulamaları,
• sürekli iç kontroller ve yönetişim.

Kamusal olarak yüksek seviyede tutun ve ayrıntıları kontrollü ortamlarda sağlayın.

Somut bir ayrım isterseniz, kamusal açıklama kural kitabını kapsarken, kontrollü açıklama kanıtları kapsayabilir. Kamusal örnekler: sade dille saklama tanımı, çekim politikası özeti, ücret tarifesi ve maddi güncellemelere ilişkin açık bir değişiklik günlüğü. Kontrollü örnekler: denetçi mektupları, kontrol değerlendirme raporları ve uygun güvenlik önlemleriyle paylaşılan güvenlik özetleri.

Kontrol altında kalması gerekenler (kamuya açık değil)

Bazı bilgiler, müşteriler veya denetçilerle düzenlenmiş paylaşım için uygundur, ancak kamuya açık içerik olarak güvensizdir.

Genel olarak kamuya açık şekilde şunların açıklanmasından kaçınılmalıdır:

• ayrıntılı anahtar yönetimi prosedürleri ve iç kontrol sıraları
• belirli fiziksel güvenlik tasarımı, tesis yerleşimleri veya saklama konumu ayrıntıları
• hassas iç zaman pencereleri, eşikler, yönlendirme mantığı veya tırmanma tetikleyicileri
• bir saldırganın darboğazları hedeflemesine yardımcı olacak tedarikçi ve bağımlılık eşlemesi
• hassas operasyonel pozisyonlardaki kişilerin isimleri veya rolleri

Müşteriler, hassas ayrıntıları kamuya açık talimata dönüştürmeden; denetimler, teyitler, kontrollü dokümantasyon ve doğrudan kanallar aracılığıyla güvence almaya devam edebilir.

Tekil artefaktlar neden şeffaflığı çözmez

Müşteriler çoğu zaman tek bir belirleyici kanıt ister: bir rapor, bir pano, kriptografik bir şema, bir rezerv kanıtı.

Herhangi bir tekil artefakt faydalı olabilir. Hiçbiri tek başına yeterli değildir.

Bir saklama ilişkisi şunlarla tanımlanır:

• kurallar (neye izin verildiği),
• haklar (müşterilerin ne yapabildiği),
• işletilebilirlik (stres altında nasıl davrandığı),
• ve yönetişim (kararların nasıl kontrol edildiği).

Kalıcı bir açıklama duruşu, kanıtları ve raporları destekleyici kanıtlar olarak görür; açıkça tanımlanmış bir ilişkinin yerine koymaz.

Zaman içinde değerini koruyan açıklama duruşu

Zamanla en iyi açıklama tarzı genellikle şöyle görünür:

• Düşük hacim, yüksek sinyal (az sayfa, yüksek netlik)
• İstikrarlı tanımlar (hedeflerin kaymaması)
• Öngörülebilir güncellemeler (maddi değişiklikler açıkça belirtilir)
• Uygun olduğunda doğrulanabilir (doğrulanabilir güvence)
• Gerekli olduğunda ihtiyatlı (operasyonel plan yok)

Bu, kurum düzeyinde açıklamanın neye benzediğidir: ölçülü, tutarlı ve müşterilerin karar vermesine yardımcı olmak için tasarlanmış.

Bir saklama kuruluşunun açıklamalarını okumak için pratik bir yol

Bir saklama kuruluşunu değerlendirirken üç niteliğe bakın:

1. Açıklık: politikalar taahhüt gibi mi, pazarlama gibi mi okunuyor?
2. İstikrar: kurallar stres için mi tasarlanmış, satış için mi?
3. Tutarlılık: yayımlananlar kurumun zaman içindeki davranışıyla uyuşuyor mu?

İyi açıklamalar sizi etkilemeye çalışmaz. İlişkiyi sakin biçimde değerlendirmenizi sağlar.