Undskyldingsbrevet kommer sent med vilje

Her er det tal, der burde irritere dig: i Verizons 2024 Data Breach Investigations Report trænger angribere ofte kun minutter for at få adgang til en indbakke, men det tog forsvarerne en median på 55 dage bare at lukke hullerne, der blev udnyttet. Femoghalvtreds dage. Næsten to måneder med åben dør, mens papirarket henter op. Og det er før nogen har udarbejdet det email, der til sidst lander i din indbakke, der starter med "Vi tager dit privatliv alvorligt."

Det gør de ikke. Det de tager alvorligt, er forordningen.

De fleste personer antager, at varsel om databrud kører på et ur målt i timer, som en brandåbner. Det gør det ikke. Californias databrudlov, Civil Code 1798.82—den oprindelige, som de fleste andre stater modelerede deres efter—kræver offentliggørelse "på det mest ekspeditivt mulige tidspunkt og uden unødvendig forsinkelse." Lyder travlt. Så laver den plads til "legitime behov fra retshåndhævelsen" og den tid, der skal til "for at bestemme omfanget af bruddet og genoprette systemets rimelige integritet". Oversættelse: så længe du kan argumentere for, at du stadig var ved at undersøge sagen, er uret ikke rigtig startet.

Føderale regler er ikke meget strammere uden for specifikke sektorer. Medicinske brud under HIPAA giver dækkede enheder op til 60 dage. SEC's nyere regel for børsnoterede virksomheder kræver offentliggørelse inden for fire arbejdsdage—men kun efter at virksomheden har besluttet, at hændelsen er "væsentlig", og denne bestemmelse har ingen fast deadline. Det er deadlines hele vejen ned, og hver eneste en er forankret i en skønsvurdering, som den pågældende virksomhed selv får at bestemme.

Så forsinkelsen er ikke inkompetence. Det er arkitektur.

Det andet tegn er den frase, du ser i næsten hver meddelelse: "vi har ingen tegn på, at dine oplysninger er blevet misbrugt." Læs det langsomt. Det er ikke en udtalelse om, hvorvidt dine data er sikre. Det er en udtalelse om, hvad virksomheden ledte efter og ikke fandt. Det er voldsomt forskellige ting. Et stjålet legitimationsudgrabningssæt kan ligge på et forum i måneder, blive købt, blive testet mod et dusin andre websteder og tømme en konto, der ikke har noget at gøre med den pågældende virksomhed—og ingen af denne aktivitet vises i deres logs. "Ingen tegn på misbrug" er virksomhedsækvivalenten med "Jeg så ikke nogen tage det," som kommer fra personen, der kiggede den anden vej.

Ved det tidspunkt, varslet ankommer, har dine email og adgangskode været på det frie marked i en hele sæson. Legitimationsudstuffing er automatiseret og billigt; listerne bliver gensalgt og rekombineret hele tiden. Brevbruddbrevet er et historisk dokument.

Derfor bør du behandle undskyldingsbrevet som en kvittering, ikke som en advarsel. Det beskyttende skridt fandt allerede sted—eller gjorde det ikke—uger tidligere. De ting, der faktisk hjælper, er kedelige og venter ikke på nogens juridiske afdeling: en unik adgangskode per websted, så ét læk ikke kan dominoeffekt, en adgangskodehåndtering, så du faktisk gør det, og tofaktorgodkendelse ved hjælp af en app eller en hardwarenøgle i stedet for SMS. Tjek din egen adresse mod Have I Been Pwned, når som helst du er nysgerrig, ikke når en virksomhed endelig får tid til at fortælle dig det.

Og når varslet lander, så modstå den gratis kreditovervågning, de binder som fredstilbud. Det er et år med at iagttage en hest, der forlod laden på foråret. Skaden, hvis der skal være nogen, plejer at køre på et hurtigere ur end det, som juristerne satte. Brevet er bare everyones papirarbejde, der endelig bliver enig om at mødes.

Arkiver det. Skift adgangskoden. Gå videre. De gjorde det allerede.