Özür E-postası Bilerek Gecikmeli Gönderiliyor

Sizi sinirlendirecek sayı şu: Verizon'un 2024 Veri İhlali Soruşturmaları Raporu'nda, saldırganlar bir gelen kutuyu açmak için çoğu zaman sadece dakika ihtiyacı duyarken, müdafilerin istismar edilen açıkları yamalamak için medyan olarak 55 gün geçirmesi gerekti. Elli beş gün. Belgeler yetişirken yaklaşık iki ay açık kapı. Ve bu, nihayet sizin gelen kutunuza inen e-postayı, "Gizliliğinizi ciddiye alıyoruz" ile başlayan bir mesajı yazmadan çok önce.

Ciddiye alıyorlar. Ciddiye aldıkları şey kanun.

Çoğu insan, ihlal bildirisinin yangın alarmı gibi saatlerle ölçülen bir saat üzerinde çalıştığını varsayar. Öyle değildir. California'nın ihlal yasası, Civil Code 1798.82—çoğu diğer eyaletin kendisini modelledikleri dede yasası—"en hızlı şekilde ve makul olmayan bir gecikme olmaksızın" ifşa etmeyi gerektirir. Acele görünüyor. Daha sonra "hukuk enforcement'ın meşru ihtiyaçları" ve "ihlalin kapsamını belirlemek ve sistemin makul bütünlüğünü geri yüklemek için" gerekli olan zaman için yer açar. Çeviri: hala soruşturma yaptığınızı iddia edebildiğiniz sürece, saat gerçekten başlamadı.

Federal kurallar belirli sektörler dışında çok daha sıkı değildir. HIPAA kapsamındaki tıbbi ihlalleri kapsayan kuruluşlara 60 gün kadar süre tanır. SEC'in halka açık şirketler için yeni kuralı dört işletme günü içinde açıklamayı talep eder—ancak sadece şirket olayın "önemli" olduğuna karar verdikten sonra, ve bu kararlaştırmanın hiç katı bir son tarihi yok. Aşağı doğru son tarihler var, ve her birinin ihlaile uğrayan şirketin yapması gereken bir yargı çağrısına sabitlenmesi var.

Yani gecikme beceriksizlik değildir. Mimarı öyledir.

İkinci ipucu, neredeyse her bildirimde göreceğiniz ifade: "verilerinizin kötüye kullanıldığına dair hiçbir kanıtımız yok." Bunu yavaşça okuyun. Bu, verilerinizin güvende olup olmadığı hakkında bir ifade değildir. Şirketin neyi aradığı ve bulamadığı hakkında bir ifade. Bunlar vahşi şekilde farklı şeylerdir. Çalınan bir kimlik bilgisi dökümü, aylar boyunca bir forumda oturabilir, satın alınabilir, düzinelerce başka site karşısında test edilebilir ve ihlal ile ilgisi olmayan bir hesabı boşaltabilir—ve bu faaliyetlerin hiçbiri onların günlüklerinde görünmez. "Kötüye kullanıldığına dair hiçbir kanıt yok", "kimsenin onu aldığını görmedim" diye söylenen şirketin yöneticisine denk, diğer tarafa bakıyordu.

Bildirim geldiğinde, e-postanız ve parolanız açık pazarda tam bir sezon geçirmiş bulunuyor. Kimlik bilgisi doldurma otomatik ve ucuz; listeler sabit olarak yeniden satılıyor ve yeniden birleştiriliyor. İhlal mektubu bir tarihsel belgedir.

Bu yüzden özür e-postasını bir uyarı değil, bir makbuz olarak ele almalısınız. Koruyucu adım—ya da değil—haftalarca önce gerçekleşti. Gerçekten yardım eden şeyler sıkıcı ve kimsenin yasal departmanını beklemiyor: bir site sızıntısının domino olmasına neden olamaması için site başına benzersiz bir parola, bunu gerçekten yapmanız için bir parola yöneticisi, ve SMS yerine uygulama veya donanım anahtarı kullanarak iki faktörlü kimlik doğrulama. Her merak ettiğinizde Have I Been Pwned karşısında kendi adresinizi kontrol edin, bir şirket nihayet size söylemeye kalkana kadar beklemez.

Ve bildirim gelmişse, barış teklifi olarak sallanan ücretsiz kredi izlemeye direniş gösterin. Baharında çiftliği terk eden bir atın bir yılıdır izlenmesi. Hasar varsa, avukatların belirlediğinden daha hızlı bir saat üzerinde çalışma eğilimindedir. Mektup sadece herkesin belgesinin nihayet buluşmaya karar verdiği şeydir.

Dosyala. Parolayı değiştir. Devam et. Onlar zaten yaptılar.