Profesyonel bir uygulama olarak Self-hosting

Bulut ile bodrum katı arasındaki soru

Sebepsiz yere korkutan bir kelimeyi etkisiz hale getirerek başlamak iyi olur: Sunucu. Sunucu, soğutulmuş bir odadaki gizemli bir makine değildir. Sadece bilgiyi kaydeden ve talep edene teslim eden başka birinin —veya sizin— bilgisayarınızdır. Onlarca yıl boyunca müşterilerimizin bilgilerini bir klasörde, bir dosya dolabında, ofis masasının üzerinde sakladık ve kimse bu yüzden uykusuz kalmadı. Bilgi kağıt üzerinde olduğu için korkutucu değildi; disk üzerinde olduğu için de korkutucu olması gerekmez.

«Bulut» da ruhani bir şey değildir. Bir şirketin bilgisayarıdır, neredeyse her zaman uzaktadır ve neredeyse her zaman başkasınındır. Bunu istemsizce öğrendiğim gün, dosyalarımın Google Drive'da güvenli ellerde olduğuna inanırken, bilgisayarımdaki klasörün belgelerimi değil, başka bir yerde yaşayan belgelere giden kısayolları içerdiğini keşfettim. Eğer o diğer yer kapanmaya, fiyat değiştirmeye veya aboneliği iptal etmeye karar verirse, huzurum da onunla birlikte gidecekti. Eşyalarıma sahip değildim; onlara erişim iznim vardı.

Bu Defter'in sorusu işte buradan doğuyor; dile getirmesi yanıtlamasından kolay bir soru: müşterilerinin verileri nerede yaşamalı? Peki ya senin kendi verilerin? Kamusal tartışma bunu, sanki karşı karşıya yalnızca iki yanıt varmış gibi ortaya koyuyor — büyük platformların bulutu ya da işi kendin kurmak —, neredeyse bir saf tutma meselesi gibi. Ama bunlar iki yol değil: üç yol, ve hiçbiri kör bir iman edimi değil. Yavaşça okunduklarında, daha çok nüans barındırıyor ve göründüğünden fazlasını istiyorlar.

Ne satıyor olursanız olun bu sizi ilgilendiriyor

Gizliliğin avukatların, doktorların veya gazetecilerin meselesi olduğunu, geri kalanların ise saklayacak bir şeyi olmadığını düşünmek kolaydır. Bu bir hatadır ve maliyetli bir hatadır. Hemen her işletme, yasaya tabi müşteri verilerini saklar ve çoğu, farkında olmadan göründüğünden çok daha hassas bilgileri barındırır.

Bir koltuk mağazası, satın alanın adını, adresini ve telefonunu not eder; taksitlendirme varsa, ekonomik verilerini de. Bir tadilat ya da dekorasyon firması, müşterilerinin evlerinin içinden fotoğrafları ve konutlarının eksiksiz planlarını saklar. Bir temizlik şirketi, temizlediği ofislerin planlarıyla uğraşır; çoğu zaman bu planlar, hangi çalışanın nereye, hangi saatte ve hangi anahtarla girdiğini gösteren renkler ve numaralarla işaretlidir. Bütün bunların hiçbiri, insan kendi kendine bunun başka kimin için değerli olabileceğini sorana dek pek de önemli görünmez: o temizlik planları, başka bir gözle bakıldığında, hırsızlık için içeri girmek isteyen biri için kusursuz bir haritadır.

Bir işletmenin küçük olması veya dava savunmak yerine koltuk satıyor olması, verilerini değersiz kılmaz veya yasanın ona uygulanmasını durdurmaz. Sadece sahibinin bu konuda daha az düşünme eğiliminde olmasına neden olur. Ve sizin sorumluluğunuzda olan bir şey hakkında az düşünmek, tam da sorunların başladığı yerdir.

Verileriniz nerede yaşıyor?

Bu sorunun, özünde, üç yanıtı var. Ve şunu hatırlamakta fayda var: «veriler» yalnızca bir müşterinin dosyası ya da faturalar ve teklifler tomarı değildir: onunla yaptığın konuşmalar da verilerdir — WhatsApp üzerinden, profesyonel bir sohbet hizmeti üzerinden, Solo2 üzerinden —. Aşağıdaki üç yanıt, saflık dereceleri ya da iyilerden kötülere uzanan bir merdiven değildir: aynı şeyi, yani denetimi ve sorumluluğu paylaştırmanın üç yoludur.

Her şeyi bir sağlayıcıya devretmek. En yaygın olanı budur ve çoğunluk için bildikleri tek şey budur. Her şeyi Google Workspace'e ya da Microsoft 365'e koyarım ve tümünü sağlayıcıya emanet ederim. Aidatımı öderim ve bunu düşünmeyi bırakırım. Bunun en uç biçimi, verilerine bile sahip olamadığın hizmetlerdir: örneğin bazı bulut faturalama programları, faturalarını ve tekliflerini senin için saklar — ve gayet iyi çalışırlar —, ama bilgi senin sisteminde değil, onların sisteminde yaşar. Ödeme yaptığın sürece erişirsin; ayrıldığın gün, kendi geçmişini yanında götürmenin zor ya da imkânsız olduğunu keşfedersin. Verilerini yarı rehin tutmak, birden fazla sağlayıcı için, seni rakibe gitmekten alıkoyan şeyin ta kendisidir. Rahatlık karşılığında denetimi teslim ederim ve — yüksek sesle söylemeden — sorumluluğun artık benim olmadığı hissini de. Burada neredeyse hiç yapılmayan bir ayrım var: devretmek, Amerikan olmakla eşanlamlı değildir. Her şeyi aynı rahatlıkla bir Avrupalı sağlayıcıya da devredebilirim — örneğin Infomaniak — ve «Schrems II»'de gördüğümüz uluslararası veri aktarımlarına dair kuşkuların büyük bölümünü tek bir hamlede çözebilirim, hiçbir şeyi kendim barındırmadan. Mesele Amerika Birleşik Devletleri'ne karşı evrenin geri kalanı değil: saf devretmenin içinde bile önemli olan kararlar vardır.

Kendi sunucunu kiralamak ve yönetmek. Microsoft veya Google'ın bana vereceği şeyin aynısına sahibimdir ama onu kendim kurarım. Avrupalı bir sağlayıcıdan —Hetzner, OVH, Scaleway— bir sunucu kiralarım, özgür yazılım (örneğin dosyalar için Nextcloud) kurarım ve sonucu kendim yönetirim. Gerçek bir kontrol kazanırım: Ne çalışıyor, nerede ve neden biliyorum. Ancak makine hala bir üçüncü tarafın veri merkezindedir ve her şeyden önemlisi, sonuçlara kimin katlandığı değişir. Delege ederek, bir şeyler ters giderse suçlayacak biriniz olur. Kendiniz yöneterek, hatanın size ait olma olasılığı yüksektir.

Kendi bilgisayarınızda bulundurmak. Bu, neredeyse hiç kimsenin anlatmadığı seçenektir ve bu Defterin kalbidir. Eşyalarınızı barındırmak için makro bir veri merkezinin içinde yirmi dört saat açık duran devasa bir sunucuya ihtiyacınız yoktur. Ofis bilgisayarınız zaten bir sunucudur: Size hizmet eder. Onu ofiste açık bırakırsınız ve bir müşterinin evindeki dizüstü bilgisayardan veya evdeyken cep telefonundan ona bağlanırsınız. Ona «sunucu» değil, «ofis bilgisayarı» deriz ama önceki iki seçenekle tamamen aynı işi yapar. Kontrol maksimumdur, yakınlık da öyle: Verileriniz siz neredeyseniz oradadır. Süssüz söylenecek olursa, madalyonun diğer yüzü sorumluluğun da maksimum olmasıdır. Elektrik kesilirse Nürnberg'de nöbetçi bir teknisyen yoktur: Şalteri kaldırmak size düşer. Ve bu bilgisayarın dışarıdan erişilebilir olması için, dizüstü bilgisayarınız ile onun arasında köprü kuracak bir şeye ihtiyaç vardır. Bu sihir değildir ve bu yolu seçmeden önce bunu bilmekte fayda var.

Ofisteki bilgisayarı yeniden değerlendirmeye bile gerek yok: tam olarak bunun için tasarlanmış bir aygıt var, NAS (Synology, QNAP ve başkaları üretiyor). Bu Cuadernos'ta gördüğümüz neredeyse her şey gibi, içinde sihir yok: bu, özelleşmiş bir bilgisayardır; bir veri merkezinde kiralayacağınız türden bir makinenin tıpkısı, yalnızca verileri saklamak ve onları ağ üzerinden sunmak için tasarlanmış, arada monitör ya da klavye olmadan. Ona bir ekran ve bir klavye takın, sıradan bir bilgisayarınız olur; PC'nize uygun yazılımı kurun, bir NAS'ınız olur. Fark şu ki NAS zaten kullanıma hazır gelir. Onu satın alırsınız, evde ya da iş yerinde prize takarsınız ve o sizindir. Her ay ücret ödemezsiniz; bir kez ödersiniz ve işinizdeki herhangi bir araç gibi sizin olur. Açarsınız, kapatırsınız, isterseniz başka bir yere götürürsünüz. Ve o sizin olduğu için, iki tane bulundurmanızın önünde hiçbir engel yoktur —biri evde, biri ofiste— ya da güvenli bir yere bir tane daha ekleyerek üç tane, birbiriyle eşitlenmiş hâlde: üçüncü bir tarafın bunu sürdürmesine bağlı kalmadan, kendi yedekliliğiniz. Sonuçta öz barındırma tek bir şey değildir: cihazların, mülkiyetin, konumların ve yazılımın bir birleşimidir.

Burada ne yaptığımızı anmak kaçınılmaz, ve bunu kılık değiştirmeden yapıyoruz: Solo2'de o köprüyü uygulamanın kendisi kurar. Ofisindeki bilgisayar yalnızca güvendiğin cihazlara erişilebilir kalır, hep şifreleme altında, ve diğer cihazların ona kendiliğinden yeniden bağlanır. Bir müşteri seninle konuştuğunda, müşteriyle konuşan senin bilgisayarındır — üçüncü bir tarafınki değil. Biz elektrik kesintisini çözmüyoruz; köprüyü çözüyoruz. Ve tek değiliz: bugün neredeyse her ihtiyaç için, tam da bunu yapmaya — verileri kendi cihazında tutup onlara dışarıdan erişmeye — olanak veren programlar var, özgür ya da tescilli. Bizimki bir örnek; önemli olan fikirdir, marka değil.

Yedeklilik (Redundancy) bir süper güç değildir

Burada hemen bir itiraz yükseliyor ve bu makul: Ofis bilgisayarımda her şeye sahipsem, o bozulursa ne olur? Soru iyi. Cevap ise büyük sağlayıcılarda hayal ettiğimiz güvenlik ağının göründüğünden daha mütevazı —ve taklit edilmesi daha kolay— olduğudur.

Verilerimi çok uluslu bir şirketin veri merkezine bıraktığımda, birkaç yerde kopyası olduğuna güvenirim. Ve muhtemelen vardır: İkinci bir lokasyonda, belki üçüncüsünde. Ancak bu yedeklilik sonsuz değildir ve her şeyden önce benim değildir: Sahibi olmadığım, neredeyse hiç doğrulamadığım bir inanç beslediğim biri tarafından yönetilen bir sabit disk olarak kalır.

Aynı ağı ben de örebilirim, hem de belirleyici bir avantajla. Günlük hizmetim ofis bilgisayarında yaşar. Oradan, bir dost şirketin —meslektaşım, başka bir güvenilir ofis— bilgisayarında şifreli bir kopya tutarım ve istersem bahsettiğimiz o Avrupalı sağlayıcıda başka bir şifreli kopya bulundururum. Aradaki fark her şeydir: Dışarıda bıraktığım şey hizmetim veya açık verilerim değil, sadece benim açabileceğim şifreli bir kopyadır. Dış sağlayıcı, anahtarı kendisinde olmayan kapalı bir sandık saklar. Ona bilgilerimi emanet etmem: Ona bensiz hiçbir anlamı olmayan bazı baytları emanet ederim.

Artık güvenli olmayana kadar güvenliydi

Kişisel bir hikaye anlatmama izin verin, çünkü bu durumu her türlü argümandan daha iyi açıklıyor. On yıldan fazla bir süre boyunca, teknik olarak olağanüstü bir yedekleme hizmeti olan CrashPlan'ın sadık bir müşterisiydim. Şirketimin ve ailemin tüm bilgisayarlarını —iş ve ev, her şeyi— istediğim sıklıkta geri yükleyebileceğim versiyonlarla, aylar önceki belirli bir dosyaya kadar zamanda geri yolculuk yaparak bulutlarına yedekliyordum. İlk yedeklemeden sonra sadece değişiklikleri şifreli ve sıkıştırılmış olarak iletiyordu, böylece neredeyse hiç çaba harcamadan devasa bir yedeği güncel tutuyordum. Beni basit bir belgeden tüm bir diske kadar defalarca kurtardı. Fiyat yıllar içinde yükseldi ve umursamadım: Mutlu bir şekilde ödüyordum.

Bilmediğim şey, CrashPlan'ın bir hesap hatası yaptığıydı: Sözleşmeyle hem alan hem de zaman açısından sınırsız depolama sözü vermişlerdi. Alanın zamanla çarpımı ise —yılların geçmişi, birkaç dakikada bir alınan versiyonlar— sürdürülemez hale gelene kadar büyür. Bir gün hepimize hizmetin sona erdiğini bildirdiler. Bunu zarafetle ve neredeyse bir yıllık cömert bir süre tanıyarak yaptılar ve bize verilerimizi indirmemiz için araçlar verdiler. Ancak bir insan, tüm disklerinin on yıldan fazla birikmiş versiyonlu kopyalarıyla nereye gider? İşte o zaman ne her şeyi indirecek yolunuzun ne de koyacak yerinizin olduğunu ve yapabilseniz bile yeni deponun bir servete mal olacağını keşfedersiniz.

Vazgeçilmez dört şeyi kurtardım. Gerisi, anahtarı kapattıklarında gitti. İçim rahattı, bilgilerim güvendeydi... ta ki olmayana dek. Ve bir ihanet yüzünden değil: CrashPlan kusursuz davrandı — yıllar sonra utanç verici bir biçimde davranan Evernote'un aksine —; basitçe, buluttaki koruyucu meleğim, tüm hakkı kendinde olarak, öyle olmayı bırakmaya karar verdi. Sonuç, benim açımdan, aynıydı: güvende sandığım şey, yok oldu.

Bu hikayenin gerçekten öğrettiği şey, teknolojiden ziyade insan doğasıyla ilgilidir. Birisi bir şeyin kendi sorumluluğu olduğunu hissettiğinde, önleyici bir şekilde hareket eder: kopyalar çıkarır, arkasını kollar, sağduyuyla şüphe duyar. Sorumluluğun büyük ve güvenilir bir üçüncü tarafça üstlenildiğine —yanlış bir şekilde— inandığında ise rahatlar ve olayları akışına bırakır. O devredilmiş huzur ihtiyat değildir: Makyajsız haliyle, bir sorumsuzluk biçimidir.

Ödeme yapmak, kurallara uymakla aynı şey değildir

O sessiz sorumsuzluk, oğullarını en pahalı okula yazdıran, ardından ona bir yüksek lisans programı ödeyen ve bununla görevlerini yerine getirdiklerine inanan ebeveynlere çok benzer. Görevlerini yerine getirmediler. Ebeveyn olmak, onun bugün ne öğrendiği, neyi anlamadığı, değerleri, kendine olan güveni hakkında endişelenmektir. Eğer yirmi beş yaşında o evlat çalışmayı veya davranmayı bilmiyorsa, suç parayı tahsil eden okulun değil: her şeyi delege eden ve bunun yeterli olduğuna inanarak ödeme yapanındır. Bir üçüncü tarafa ödeme yapmak sorumluluktan muaf tutmaz. Hiçbir zaman tutmadı.

Verilerle de aynısı olur, ve yakın tarih bunu doğrular. Elli ya da yüz yıl önce bir meslek sahibi, müşterilerinin işlerini klasörlerde, bürosunda ya da evinde saklar ve kendini onlardan sorumlu hissederdi. Nadiren bir şey kaybolurdu. Dijital dünyaya geçtik ve şaşırtıcı bir kolaylıkla her şeyi «buluta» yüklüyoruz — ki o, çok uluslu bir şirketin bilgisayarından başka bir şey değildir — ve kaygılanmayı bırakıyoruz. Ve sık sık kazalar olur, ve her şeyini kaybeden şirketler vardır, ve o zaman denir ki: suç Google'ındı, suç Microsoft'undu. Hayır. Bilgi senindir ya da müşterilerinindir, ama sorumlu olan sensin.

Kendi eşyalarını barındırmak teknik bir heves değildir: Onlarca yıl öncesinin o sükunetini, her şeyin nerede olduğunu ve nedenini bilmenin huzurunu geri kazanmaktır. Bu sırada veri koruma, sert bir sarkaç hareketi yaşadı —herkesin düşünmeden bir müşterinin verilerini sergilediği kuralsızlık ortamından, bir kuryeye müşterinin telefonunu veren en küçük serbest çalışana bile orantısız bir sertlikle düşen bir gerekliliğe kadar. Hedefi tartışmıyorum; uyumsuzluğu gözlemliyorum. Ancak uyumsuzluk bizi suçsuz kılmaz: Yönetimin büyük ölçekte takip ve yaptırım araçlarına sahip olacağı gün, büyüklük artık kimseyi korumayacaktır ve o günü evi düzensiz bir şekilde beklememek akıllıca olacaktır. Veriyi kendi kontrolünüz altında tutmak, kurallara uymaya ve bunu kanıtlamaya yardımcı olur. Ve her şeyden önemlisi, her şeyi yerine iade eder: Bilgi sizin olduğunda, sorumluluk tamamen sizindir —suçlanacak bir üçüncü taraf yoktur, başarısızlığı sizi açıkta bırakacak bir üçüncü taraf da yoktur—.

Sorumluluk korur da

Bunu gölgesiz resmetmek dürüstlük olmazdı. Aracının yerini almak, onun yükünü de sırtlanmak demektir: yedekleri güncel tutmak, güncellemeleri uygulamak ve yasal bir sorumluluk — RGPD'ninki — ki gerçekte hiçbir zaman tümüyle senin olmaktan çıkmamıştı (dipnottaki kaynaklar maddeleri ayrıntılandırıyor). İş vardır, ve bir gün gelir bir şey vakitsiz aksar. Bunu saklamıyoruz.

Ama o sözcüğün, sorumluluğun, etrafını saran korku yanlış ayarlanmıştır. Dosyalarını kapanan bir bulut hizmetinde kaybetmek ya da fotoğraflarını Google Photos'ta kaybetmek, kendi bilgisayarında bulunan o önemli belgeler klasörünü kaybetmekten çok daha kolaydır: hani nerede olduğunu bildiğin ve yok olur olmaz yokluğunu fark edeceğin klasör. Kendinin hissettiğin şeyi kollarsın; bir başkasının elinde güvende sandığın şeyi savsaklarsın.

Eski fotoğraf albümlerini düşün, bir çekmecede saklanan, kâğıda basılı olanları. Birinin aile albümünü «kaybettiğini» söylediğini hiç duydun mu? Albümün içinde olduğu yanan ev anlatılır; ama öyle durup dururken kaybetmek, hayır. Buna karşılık, bütün fotoğrafları Google Photos'ta ya da Apple Photos'ta olup hiçbir şeyi kalmayan insanlar: bu hikâye her birkaç ayda bir geri döner, çünkü güvende olduğuna inanıyorlardı. Google Photos fotoğraflarını kollar, elbette kollar; ama onları, bir annenin babanın çocuklarının ve torunlarının bulunduğu albümü kolladığı gibi kollamaz. Bu farkı hiçbir veri merkezi onarmaz: sorumluluk, senin olduğunda, yalnızca bir yük değildir; aynı zamanda en iyi güvencedir.

Karar vermeden önce dört soru

Herhangi bir formda bu adımı atmayı düşünüyorsanız, önce dört soruyu tarafsız bir dürüstlükle yanıtlamakta fayda var:

1. Verilerinin hangi kısmını kaybetmek, ya da yanında götürememek seni üzerdi? Ve «sıradan» olanı elemeye karşı dikkatli ol: fatura geçmişi dünyanın en sıradan şeyi gibi görünür, ta ki programı değiştirip o faturaların senin değil sağlayıcının olduğunu keşfedene dek — en fazla onları PDF olarak yazdırabilirsin, ama artık içlerinde arama yapamazsın —. Mesele yalnızca bir hassasiyet meselesi değildir: saklaman gereken şeyin gerçekte kime ait olduğu meselesidir.
2. Hangi seçenek senin gerçek teknik kapasitenle orantılı? İyi bakılmış kendine ait bir bilgisayar herkesin erişimindedir; bütün bir sunucuyu yönetmek o kadar değil. Bildiğin ve bilmediğin konusunda dürüst ol. Ve şunu unutma: bütün bir sunucu kurmakla her şeyi devretmek arasında çok makul bir ara alan vardır: verilerini kendi cihazında tutan ve onlara dışarıdan erişmene izin veren programlar — özgür ya da tescilli. Pek çok kişi için en iyi denge budur.
3. En kötü gün için planınız nedir? Bir veri ihlali, ölen bir disk, kapanan bir sağlayıcı, raporlu teknisyen. Eğer plan «böyle bir şey olmamalı» ile başlıyorsa, o bir plan değildir.
4. Yarın denetlenecek olsanız kurallara uyduğunuzu kanıtlamayı bilir miydiniz? İyi yapmakla, iyi yaptığını kanıtlayabilmek aynı şey değildir. Kanun ikincisini talep eder.

Evrensel bir cevap yok. Ne kazanıldığı ve ne devralındığı konusunda dürüstlükle benimsenmiş orantılı bir cevap var. Ve tekniğin ötesinde, basit bir kesinlik: Verileriniz birinin bilgisayarında yaşıyor. Gerçekten önemli olan tek soru, o bilgisayarın kimin olmasını istediğinizdir.

---

Kendi sunucunda barındırma ne bir erdem ne de bir kusurdur: somut bir yetkinlik ve sorumluluk izi taşıyan bir araçtır. Soru hiçbir zaman verilerini barındırıp barındırmayacağın değil; hangi veriyi, nasıl ve hangi destek ağıyla barındıracağındı. Veri kontrolünü geri kazanmak, bodrum katına dönmek veya her şeye güvensizlik duymak değildir: verilerin masanın üzerindeki bir klasörde durduğu zamanlardaki gibi, bize ait olan şeye karşı yeniden sorumluluk hissetmektir. Bu sorumluluk, doğru anlaşıldığında, bir profesyonelin müşterilerine sunduğu gerçek hizmettir.