ایمیل عذرخواهی قصداً دیر میرسد

این عددی است که باید شما را آزار دهد: در گزارش تحقیقات نقض داده‌های ۲۰۲۴ Verizon، مهاجمان اغلب تنها به چند دقیقه نیاز دارند تا صندوق ورودی را باز کنند، اما دفاع‌کنندگان برای وصله کردن سوراخ‌های مورد استفاده به میانه ۵۵ روز زمان برداشتند. پنجاه و پنج روز. تقریباً دو ماه درِ باز شده در حالی که اسناد در حال جاری شدن هستند. و این پیش از آن است که کسی ایمیلی را که سرانجام در صندوق ورودی شما میرسد، تدوین کند، ایمیلی که با «حفظ حریم خصوصی شما برای ما مهم است» آغاز میشود.

آنها اینطور نیستند. آنچه آنها سرجی میگیرند، قانون است.

اکثر مردم تصور میکنند که اطلاع رسانی نقض اطلاعات بر اساس ساعتی کار میکند که مانند آژیر آتش‌نشانی است. اینطور نیست. قانون نقض اطلاعات کالیفرنیا، Civil Code 1798.82—پدربزرگی که اکثر ایالت‌های دیگر قوانین خود را بر پایه آن ساختند—افشای اطلاعات را «در سریع‌ترین زمان ممکن و بدون تأخیر غیرمعقول» الزام میکند. به نظر فوری میرسد. سپس برای «نیازهای مشروع نیروی انتظامات» و زمان لازم برای «تعیین دامنه نقض و بازگرداندن یکپارچگی معقول» سیستم فضای خالی باقی میگذارد. ترجمه: تا زمانی که بتوانید استدلال کنید هنوز در حال بررسی هستید، ساعت واقعاً شروع نشده است.

قوانین فدرالی بیرون از بخش‌های خاص بسیار سفت نیستند. نقض اطلاعات پزشکی تحت HIPAA، نهادهای تحت پوشش را تا ۶۰ روز اجازت میدهد. قاعده جدیدتر SEC برای شرکت‌های عمومی افشای اطلاعات را در بازه چهار روز کاری الزام میکند—اما تنها پس از اینکه شرکت تصمیم بگیرد حادثه «ماده‌ای» است، و این تعیین موعد سختی ندارد. مهلت‌های بدون پایان هستند و هر یک از آنها به قضاوتی که شرکت نقض‌شده انجام میدهد، متکی است.

پس تأخیر بی‌کفایتی نیست. این معماری است.

دلیل دوم عبارتی است که تقریباً در هر اطلاع‌رسانی میبینید: «هیچ شواهدی داریم که نشان دهد اطلاعات شما مورد سوء‌استفاده قرار گرفته است.» آن را به آرامی بخوانید. این بیانیه‌ای درباره اینکه آیا داده‌های شما ایمن هستند، نیست. این بیانیه‌ای درباره آنچه شرکت به دنبال آن بود و نیافت، است. این دو چیز کاملاً متفاوت هستند. یک دسته بند اعتماد‌نامه دزدیده شده میتواند ماه‌ها در یک انجمن بماند، خریده شود، در برابر یک دوجین سایت دیگر آزمایش شود، و حسابی را که هیچ ارتباطی با شرکت نقض‌شده ندارد، تخلیه کند—و هیچ یک از این فعالیت‌ها در گزارش‌های آنها ظاهر نمی‌شود. «هیچ شواهدی از سوء‌استفاده» معادل شرکتی «من کسی را نه‌دیدم که آن را بگیرد» است، که از زبان کسی گفته می‌شود که به سوی دیگری نگاه کرد.

زمانی که اطلاع‌رسانی میرسد، ایمیل و رمز‌عبور شما یک فصل کامل در بازار باز بوده‌اند. خشونت اعتماد‌نامه‌ها خودکار و ارزان است؛ فهرست‌ها دوباره فروخته می‌شوند و دوباره ترکیب میشوند. نامه نقض اطلاعات یک سند تاریخی است.

این دلیل است که باید ایمیل عذرخواهی را به عنوان رسید، نه هشدار، درنظر بگیرید. اقدام حفاظتی قبل‌تر—یا نه—هفته‌های پیش اتفاق افتاده است. چیزهایی که واقعاً کمک میکنند، کسل‌کننده هستند و برای کسی منتظر نمی‌مانند: یک رمز‌عبور منحصربه‌فرد برای هر سایت تا یک نقض نتواند اثر سلسله‌ای ایجاد کند، یک مدیر رمز‌عبور تا شما واقعاً این کار را انجام دهید، و تایید دو عاملی با استفاده از برنامه یا کلید سخت‌افزاری به جای SMS. آدرس خود را در برابر Have I Been Pwned هرگاه کنجکاو باشید، نه زمانی که یک شرکت سرانجام برای اطلاع رسانی تاب می‌آورد، بررسی کنید.

و زمانی که اطلاع‌رسانی میرسد، از نظارت اعتباری رایگان که آنها به عنوان پیشنهاد صلح ارائه میدهند، دوری کنید. این یک سال تماشای اسبی است که در بهار خروج کرد. آسیب، اگر قرار باشد که هست، تمایل به کار کردن در یک ساعت سریع‌تر از ساعت‌ای است که وکلا تنظیم کردند. نامه فقط توافق اسناد همه برای دیدار است.

آن را ذخیره کنید. رمز‌عبور را تغییر دهید. ادامه دهید. آنها قبل‌تر این کار را کردند.