Kaynak Kodunuzu Korumanın Yolları: Tescilin Ötesinde Katmanlı Bir Strateji

Bir girişimci bir keresinde, kod tabanının tamamının güvende olduğunu söylemişti; çünkü bunun için bir telif kaydı yaptırmıştı. İki ay sonra kıdemli bir mühendis ayrıldı, bir rakibe geçti ve şüpheli biçimde onunkine benzer davranan bir ürün çıkardı. Kayıt gerçekti ve işe yarıyordu, ama tek bir kapıyı korurken diğer üçü açık duruyordu. Ayrılan mühendisin neyi alabileceğine dair imzalı bir sözleşmesi yoktu. Depo, yıllar önce bir yükleniciyle hiçbir yazılı koşul olmadan paylaşılmıştı. Ve şirketin, mühendisin dışarı gerçekte hangi sırları taşıdığını kanıtlamasının bir yolu yoktu; çünkü hiçbir şey gizli olarak işaretlenmemişti. Tek bir başvuru bunların tamamını asla taşıyamazdı.

Kaynak kodu bir varlık olarak alışılmadıktır. Aynı anda hem bir eser, hem bir ticari sır, hem bir sözleşme meselesi, hem de bir erişim kontrolü meselesidir ve bunların her biri farklı türde bir koruma ister. Telif tescilini cevabın tamamı saymak, duvarı olmayan bir binaya tek bir iyi kilit takmak gibidir. Tescil önemlidir. Yalnızca bir yığının içindeki bir katmandır ve kodunuzu gerçekten sizin tutan şey o yığının kendisidir.

Telif, fikri değil ifadeyi korur

5846 sayılı Fikir ve Sanat Eserleri Kanunu kapsamında yazılım, özgün kod yazıldığı andan itibaren, hiçbir başvuruya gerek olmadan telif hakkıyla korunur. Resmi bir kayıt, bu kendiliğinden doğan hakkın üzerine belirli bir şey ekler: adı belirtilen bir eser sahibinin bu kesin kodu bu kesin günde tevdi ettiğine dair tarihli, resmi bir beyan. Bir uyuşmazlıkta bu, eser sahipliğinin ispatını adli bir yeniden kurma işinden masaya koyabileceğiniz bir belgeye dönüştürür.

Telifin ulaşamadığı şey, kodun altındaki fikir, yöntem ve işlevsel mantıktır. Bir şeyi yazma biçiminizi korur, yazılımın yaptığı şeyi değil. Ürününüzü inceleyip aynı işlevin kendi temiz uygulamasını yazan bir rakip, telif hakkınızı hiç ihlal etmemiştir. Sizin kavramınızı kopyalamıştır ve kavramlar bu hakkın kapsadığı şey değildir. Tek başına tescilin bir yazılım işletmesini açıkta bırakmasının nedeni tam olarak bu boşluktur ve diğer katmanların var olma nedeni, telifin yapısı gereği kapatamadığını kapatmaktır.

Ticari sır hijyeni, telifin açık bıraktığını kapatır

Telifin görmezden geldiği mantık, mimari ve teknik birikim çoğu zaman bunun yerine bir ticari sır olarak korunabilir, ama yalnızca onları gerçekten sır gibi ele alırsanız. Bu, çoğu şirketin sahip olduğunu varsaydığı ama olmadığı katmandır. Ticari sır, kendiliğinden sahip olduğunuz bir şey değildir. Bilgiyi gizli tutmak için makul adımlar atarak hak ettiğiniz bir statüdür ve bir mahkeme, size herhangi bir koruma tanımadan önce bu adımların var olup olmadığına dikkatle bakar.

Uygulamada bu, koda erişimin yalnızca ihtiyacı olan kişilerle sınırlandırılması, depoların açık gizlilik işaretleri taşıması, sırların ve anahtarların herhangi bir yüklenicinin okuyabileceği düz metin halinde durmaması ve kimin neyi görebildiğine dair bir kaydın bulunması demektir. Bunların hiçbiri olağanüstü değildir. Bu, mahkemede bilgiyi koruduğunuzu söyleyebilmek ile binadaki herkesin onu alıp gidebileceğini kabul etmek zorunda kalmak arasındaki farktır. Kod sızdığında, ticari sır iddiasının değeri neredeyse tamamen sızıntıdan sonra değil önce uyguladığınız hijyene göre belirlenir.

Kodun en baştan kime ait olduğuna sözleşmeler karar verir

Bir yazılım şirketinin kodu üzerindeki kontrolü kaybetmesinin en yaygın yolu hırsızlık değildir. Kodun en baştan temiz biçimde hiç sahiplenilmemiş olmasıdır. Türk hukukunda, bir çalışanın görevleri kapsamında ürettiği eser genel olarak işverene ait olur, ama serbest çalışanlar, ajanslar ve yan proje katkıcıları işin içine girdiğinde sınırlar hızla bulanıklaşır. Yazılı bir devir olmadan bir modül yazan bir yüklenici, parasını siz ödemiş olsanız bile o modül üzerinde hak sahibi olabilir. Erken ayrılan bir kurucu ortak, erken dönem kod tabanının bir kısmına hâlâ sahip olabilir. Bunlar, genellikle bir yatırım turu ya da satış için yapılan inceleme sırasında, mümkün olan en kötü anda yıllar sonra yüzeye çıkan çatlaklardır.

İki sözleşme katmanı bu boşlukların çoğunu kapatır. Birincisi devirdir: her çalışan, yüklenici ve katkıcı, sizin için ürettiği şey üzerindeki haklarını, işe başlamadan önce ya da başlarken yazılı olarak devreder. İkincisi gizliliktir: neyin gizli sayıldığını tanımlayan ve kişiyi onu kullanmamaya ya da paylaşmamaya bağlayan bir gizlilik sözleşmesi. İkisi de gösterişli değildir ve her ikisini de baştan kurmak, biri mülkiyete itiraz ettikten sonra yeniden inşa etmekten çok daha ucuzdur. Sonunda hak aramaya geçtiğinizde, tescilli eserinizin ve ticari sır iddianızın gücü, yalnızca bu sözleşmelerin kanıtlayabileceği temiz bir mülkiyet zincirine dayanır.

Açık kaynak uyumu, kodunuza sahip olmanın bir parçasıdır

Bir sözleşme sorunu kod tabanının kendi içinde saklıdır. Modern yazılımların çoğu açık kaynak bileşenleri içeri alır ve bunların her biri koşulları olan bir lisansla gelir. Bazıları serbesttir. Bazıları, yani copyleft lisansları, onları içeren bir yazılımı dağıtırsanız kendi kaynak kodunuzu yayımlamanızı gerektirebilir. Bir çevrimiçi forumdan bir parça kopyalayan ya da güçlü copyleft bir kütüphaneyi koşullarını okumadan bağlayan bir ekip, tüm ürünün mülkiyetini sessizce tehlikeye atabilir. Bağımlılık ağacınızda neyin, hangi koşullarla bulunduğunu bilmek tali bir konu değildir. Kodun, koruyabileceğiniz biçimde sizin olduğunu söyleyebilmenin doğrudan bir parçasıdır. Pratikte bu, bağımlılıkların düzenli olarak gözden geçirilmesi, her bileşenin hangi lisansla geldiğinin kayıt altına alınması ve koşulları sizin iş modelinizle bağdaşmayan güçlü copyleft lisansların ürün dağıtımına girmeden önce ayıklanması demektir. Bu denetimi baştan yapan bir ekip, sonradan tüm ürünü yeniden yazmak zorunda kalma riskinden kurtulur.

Emanet ve erişim kontrolü, kodu hareket halindeyken korur

Son katman, hareket halindeki kodu ele alır. Yazılımı büyük bir müşteriye lisansladığınızda, o müşteri çoğu zaman şirketiniz ortadan kalkarsa kendisine ne olacağını merak eder. Kaynak kodu emaneti buna yanıt verir: tarafsız bir üçüncü kişi kodun bir kopyasını tutar ve onu müşteriye yalnızca iflasınız gibi tanımlı koşullar altında bırakır. Kaynağınızı doğrudan teslim etmeden temkinli alıcılara satış yapmanızı sağlayan ticari bir araçtır ve aynı zamanda kodun tevdi anında ne içerdiğine dair bağımsız, tarihli bir kayıt işlevi görür.

Erişim kontrolü, bütün bunların sessiz ortağıdır. Kodun çoğu, dramatik bir saldırı yoluyla sızmaz. Aşırı geniş izinlerden, paylaşılan girişlerden, hiçbir zaman kilitlenmemiş depolardan ve erişimi geri almayı unutan işten çıkış süreçlerinden yürüyerek çıkar. Gereken en az erişimi verme, kimin neye ulaştığını kaydetme ve ayrılan personelin erişimini temiz biçimde kesme disiplini, hukuki korumanızdan ayrı değildir. Hukuki korumayı inandırıcı kılan şey odur. Bir ticari sır iddiası, bilginin gerçekten ulaşılması zor olduğunu gösterebildiğinizde çok daha güçlü, gerçeğin şirketin yarısının çıkışta depoyu kopyalayabileceği olması durumundaysa çok daha zayıftır.

İşten çıkış anı bu katmanın en çok ihmal edilen noktasıdır. Bir kişi ayrıldığında izinlerin geri alınması, anahtarların değiştirilmesi ve hangi sistemlere erişiminin kesildiğinin kayda geçmesi gerekir. Bunu tarihli bir biçimde yaptığınızda, daha sonra bir uyuşmazlık çıktığında o kişinin ayrıldıktan sonra koda ulaşamadığını gösterebilirsiniz. Bu kayıt, ileride bir hakimin önünde durduğunuzda sözünüzü destekleyen somut bir delildir. Onsuz iddianız büyük ölçüde hafızaya ve niyete dayanır ve karşı taraf tam bu zayıflığa yüklenir. Aynı disiplin tedarikçilere ve denetçilere verilen geçici erişimler için de geçerlidir: işin bitiminde geri alınmayan bir erişim, aylar sonra kimsenin hatırlamadığı açık bir kapıya dönüşür.

Katmanlar yalnızca bir bütün olarak işler

Bu savunmaların hiçbiri tek başına yeterli değildir ve asıl mesele budur. Telif tescili eser sahipliğini ve bir tarihi kanıtlar, ama fikri ya da mülkiyet zincirini değil. Ticari sır hijyeni mantığı korur, ama gerçek gizlilik uygulamaları olmadan çöker. Sözleşmeler mülkiyeti çözer, ama eser hiç belgelenmediyse pek bir şey kanıtlamaz. Emanet ve erişim kontrolü hareket halindeki kodu yönetir, ama onu kimin yazdığı konusunda bir şey söylemez. Her katman, diğerlerinin ıskaladığı bir tehdidi kapatır ve herhangi birindeki bir boşluk, kaybın genellikle gerçekte yaşandığı yerdir. Kendi açıklarını haritalayan ve onları bilinçli olarak kapatan bir işletme, her şeyi yapmasını umduğu tek bir belge yerine, baskı altında bütünlüğünü koruyan bir korumaya ulaşır.

Bir gün savunacağınız bir yazılım kuruyorsanız, atılacak pratik adım korumayı bir yığın olarak ele almak ve her katmanı gerçek bir tehdide karşı sınamaktır. Tarihli bir yazılım tescili eser sahipliğinizi sabitler; yazılı devir ve gizlilik sözleşmeleri mülkiyeti ve sırrı çözer; erişim disiplini ve emanet kodu yolculuğu boyunca yönetir. Sistem Patent, kodunuzun bu katmanların tümü arasında nerede durduğunu inceleyip tutarlı bir fikri haklar koruma planı kurmanıza yardımcı olabilir; öyle ki yazılım tescil kaydı savunmanızın tamamı değil, belgelenmiş çekirdeği olur.