อีเมลขอโทษนั้นมาช้าตามเจตนา

นี่คือตัวเลขที่น่าจะทำให้คุณรำคาญ: ในรายงาน Verizon 2024 Data Breach Investigations Report ผู้โจมตีมักต้องการเพียงไม่กี่นาทีเพื่อเจาะเข้าไปในกล่องอีเมล แต่ผู้ป้องกันใช้เวลามัธยฐาน 55 วันเพื่อซ่อมแซมช่องโหว่ที่ถูกใช้ประโยชน์เท่านั้น ห้าสิบห้าวัน เกือบสองเดือนที่ประตูเปิดกว้างในขณะที่เอกสารติดตามมา และนั่นคือก่อนที่ใครจะร่างอีเมลที่ในที่สุดก็มาถึงกล่องจดหมายของคุณ เริ่มต้นด้วย "เราให้ความสำคัญกับความเป็นส่วนตัวของคุณ"

พวกเขาไม่ได้ทำ สิ่งที่พวกเขาให้ความสำคัญคือกฎหมาย

คนส่วนใหญ่คิดว่าการแจ้งเตือนการละเมิดเกิดขึ้นตามนาฬิกาวัดเป็นชั่วโมง เช่นเดียวกับสัญญาณเตือนอัคคีภัย ไม่ใช่ กฎหมายการละเมิดของแคลิฟอร์เนีย Civil Code 1798.82 —บรรพบุรุษที่รัฐอื่นส่วนใหญ่สร้างแบบของตน—กำหนดให้เปิดเผยข้อมูล "ในเวลาที่เร่งด่วนที่สุดและโดยไม่มีความล่าช้าที่ไม่สมควร" ฟังดูเร่งด่วน จากนั้นมันก็สร้างช่องว่างสำหรับ "ความต้องการที่ชอบธรรมของการบังคับใช้กฎหมาย" และเวลาที่จำเป็น "เพื่อกำหนดขอบเขตของการละเมิดและคืนค่าความสมบูรณ์ที่สมควร" ของระบบ แปลได้ว่า: ตราบใดที่คุณสามารถโต้แย้งว่าคุณยังคงสอบสวนอยู่ นาฬิกาก็ไม่ได้เริ่มจริงๆ

กฎหมายของรัฐบาลกลางไม่แน่นมากนักนอกเหนือจากภาคส่วนเฉพาะ การละเมิดด้านการแพทย์ภายใต้ HIPAA ให้เวลาผู้ให้บริการที่ครอบคลุมถึง 60 วัน กฎใหม่ของ SEC สำหรับบริษัทสาธารณะกำหนดให้เปิดเผยภายในสี่วันทำการ—แต่เฉพาะหลังจากที่บริษัทตัดสินใจว่าเหตุการณ์นั้น "มีสาระสำคัญ" และการตัดสินใจนั้นไม่มีกำหนดเวลาที่ยากแน่นอน มันคือกำหนดเวลาตลอดเวลา และทุกข้อหนึ่งจะถูกยึดกับการตัดสินใจของบริษัทที่ถูกละเมิด

ดังนั้นความล่าช้าจึงไม่ใช่ความไม่สามารถ มันเป็นสถาปัตยกรรม

บอกเล่าที่สองคือวลีที่คุณจะเห็นในประกาศเกือบทุกประกาศ: "เราไม่มีหลักฐานว่าข้อมูลของคุณถูกนำไปใช้ในทางที่ผิด" อ่านว่านั่นอย่างช้าๆ มันไม่ใช่คำกล่าวเกี่ยวกับความปลอดภัยของข้อมูลของคุณ มันเป็นคำกล่าวเกี่ยวกับสิ่งที่บริษัทค้นหาและไม่พบ สิ่งเหล่านี้แตกต่างกันอย่างมาก ข้อมูลข้อมูลประจำตัวที่ถูกขโมยสามารถนั่งอยู่ในฟอรัมเป็นเดือน ซื้อขาย ทดสอบกับไซต์อื่นๆ โหลสิบไซต์ และระบายบัญชีที่ไม่เกี่ยวข้องกับบริษัทที่ถูกละเมิด—และไม่มีกิจกรรมใดที่ปรากฏในบันทึกของพวกเขา "ไม่มีหลักฐานการละเมิด" เป็นเทียบเท่าขององค์กรของ "ฉันไม่เห็นใครเอาไป" เสนอโดยคนที่มองไปทางอื่น

เมื่อการแจ้งเตือนมาถึง อีเมลและรหัสผ่านของคุณได้มีฤดูกาลเต็มในตลาดเปิด การยัดเยียดข้อมูลประจำตัวเป็นแบบอัตโนมัติและถูก รายการถูกขายต่อและรวมกันอย่างต่อเนื่อง จดหมายการละเมิดเป็นเอกสารทางประวัติศาสตร์

นั่นคือเหตุผลที่คุณควรปฏิบัติต่ออีเมลขอโทษราวกับใบเสร็จ ไม่ใช่คำเตือน การเคลื่อนไหวป้องกันที่เกิดขึ้นแล้ว—หรือไม่—สัปดาห์ก่อนหน้า สิ่งที่ช่วยจริงๆ นั่นน่าเบื่อและไม่รอใคร: รหัสผ่านที่ไม่ซ้ำกันต่อไซต์เพื่อไม่ให้การรั่วไหลหนึ่งไว้เพื่อการสั่ง ตัวจัดการรหัสผ่านเพื่อให้คุณจะทำเช่นนั้นจริงๆ และการยืนยันตัวตนสองปัจจัยโดยใช้แอปหรือคีย์ฮาร์ดแวร์แทน SMS ตรวจสอบที่อยู่ของคุณเองกับ Have I Been Pwned เมื่อใดก็ตามที่คุณสนใจ ไม่ใช่เมื่อบริษัทสุดท้ายตัดสินใจบอกคุณ

และเมื่อการแจ้งเตือนมาถึง ให้หลีกเลี่ยงการตรวจสอบเครดิตฟรีที่พวกเขาโยนเป็นการเยียวยา มันเป็นปีของการดูม้าที่ออกไปจากคอกในฤดูใบไม้ผลิ ความเสียหาย ถ้าจะมี มักจะทำงานตามนาฬิกาที่เร็วกว่าที่ทนายความตั้งไว้ จดหมายเป็นเพียงเอกสารของทุกคนที่สุดท้ายจึงตกลงที่จะพบ

จัดเก็บ เปลี่ยนรหัสผ่าน ดำเนินการต่อ พวกเขาได้ทำไปแล้ว

@@END@@