Pahoittelu­sähköposti tulee tarkoituksella myöhässä

Tässä on numero, joka pitäisi ärsyttää sinua: Verizonin vuoden 2024 tietoturvarikkosten tutkintaraportissa hyökkääjät tarvitsevat usein vain minuutteja postituslaatikon murtamiseen, mutta puolustajat käyttivät keskimäärin 55 päivää pelkästään jo hyödynnettyjen aukkoja korjaamisen. Viisikymmentäviisi päivää. Lähes kaksi kuukautta avointa ovea, kun paperityöt jäävät jäljessä. Ja se on ennen kuin kukaan on edes kirjoittanut sähköpostia, joka lopulta päätyy sinun postilaatikkoosi ja alkaa sanoilla "Otamme yksityisyytesi vakavasti."

He eivät. Mihin he ottavat vakavasti, on lainsäädäntö.

Useimmat ihmiset olettavat, että tietomurron ilmoitaminen noudattaa jonkinlaista kelloa, mitattuna tunneissa, kuten palohälytin toimii. Se ei ole niin. Kalifornian tietomurtolaissa, Civil Code 1798.82:ssa – peruslakia, jonka mukaan useimmat muut osavaltiot omansa mallinsivat – vaaditaan ilmoitus "mahdollisimman pian ja ilman kohtuutonta viivytystä". Kuulostaa kiireiseltä. Sitten se tekee poikkeuksen "lainvalvontaviranomaisten oikeutetuille tarpeille" ja ajalle, joka tarvitaan "tietomurron laajuuden selvittämiseen ja järjestelmän kohtuullisen eheyden palauttamiseen". Käännös: niin kauan kuin voit väittää, että olit vielä tutkimassa asiaa, kello ei ole oikeastaan alkanut.

Liittovaltion säännöt eivät ole paljon tiukemmat tiettyjen alojen ulkopuolella. Lääketieteelliset tietoturvahäiriöt HIPAA:n alaisesti antavat kattavien yhteisöjen jopa 60 päivää. SEC:n uudempi säännös julkisille yhtiöille vaatii ilmoitusta neljän arkipäivän kuluessa – mutta vain sen jälkeen, kun yritys päättää, että tapaus on "olennainen", eikä sille päätökselle ole määrättyä aikarajaa. Siellä on määräaikoja kaikilla tasoilla, ja jokainen niistä on ankkuroitu arvioon, jonka tietomurron kohteeksi joutuneet yritykset saavat tehdä.

Joten viive ei ole epäpätevyyttä. Se on arkkitehtuuria.

Toinen paljastava seikka on lause, jonka näet lähes jokaisessa ilmoituksessa: "meillä ei ole todisteita siitä, että tietojasi olisi väärinkäytetty." Lue se hitaasti. Se ei ole lausuma siitä, ovatko tietosi turvassa. Se on lausuma siitä, mitä yritys etsi eikä löytänyt. Nämä ovat täysin eri asioita. Varastettu tunnistiedot voi olla verkon foorumilla kuukausia, kenen tahansa ostaa, testata kymmeniä muita sivustoja vastaan ja tyhjentää tilin, jolla ei ole mitään tekemistä murretun yrityksen kanssa – eikä mikään tämä toiminta näy heidän lokeissa. "Ei todisteita väärinkäytöstä" on yritysmaailman vastine lauseelle "en nähnyt ketään ottavan sitä", jonka sanoo henkilö, joka katsoi toiseen suuntaan.

Kun ilmoitus saapuu, sähköpostiosoitteesi ja salasanasi ovat olleet avoimen markkinan vastapainona koko kauden. Tunnistietojen täyttö on automatisoitua ja halpaa; listat myydään uudelleen ja yhdistetään jatkuvasti. Tietomurtokirje on historiallinen asiakirja.

Siksi sinun pitäisi käsitellä anteeksipyynnön sähköpostia kuittina, ei varoituksena. Suojaava toimenpide tapahtui tai ei tapahtui jo viikkoja aiemmin. Asiat, jotka todella auttavat, ovat tylsiä eivätkä odota kenenkään oikeusosastoa: ainutlaatuinen salasana jokaiselle sivustolle, jotta yksi vuoto ei voi dominoida, salasanojen hallinta, jotta todella sen teet, ja kaksivaiheinen todentaminen sovelluksen tai laitteisto­avaimen avulla SMS:n sijaan. Tarkista oma osoitteesi Have I Been Pwned:iä vastaan aina kun olet utelias, älä odota, kunnes yritys lopulta ehtiää sinulle kertoa.

Ja kun ilmoitus saapuu, vastusta niitä ilmaisia luottotarkastuksia, joita he tarjoavat sovinnoksi. Se on vuoden verhottamisen hevosista, jotka lähteivät naulakoista keväällä. Vahinko, jos sitä tulee olemaan, noudattaa yleensä nopeampaa kelloa kuin se, jonka lakimiehet asettivat. Kirje on vain kaikkien paperityöt, jotka vihdoin sopivat tapaamaan.

Arkistoi se. Vaihda salasana. Jatka. He jo tekivät.