Лист із вибаченнями приходить з затримкою на мету

Ось цифра, яка має вас розлютити: у звіті Verizon щодо розслідування порушень даних за 2024 рік зловмисники часто потребують лише кількох хвилин, щоб зламати вхід до поштової скриньки, але захисники витратили медіану 55 днів лише на то, щоб залатати лазівки, якими ті користуються. П'ятдесят п'ять днів. Майже два місяці відчинених дверей, поки папери наганяють один одного. І це ще до того, як хтось напише лист, що врешті потрапить у вашу поштову скриньку, починаючи зі слів «Ми ставимося до вашої приватності серйозно».

Вони цього не роблять. То, що вони беруть серйозно — це статут.

Більшість людей припускають, що оповіщення про порушення працює за якимось годинником, виміряним у годинах, як пожежна сигналізація. Це не так. Закон Каліфорнії про порушення, Civil Code 1798.82 — дідусь, за моделлю якого зробили свої закони більшість інших штатів — вимагає розкриття інформації «у найшвидший можливий час та без невиправданої затримки». Звучить спішно. Потім він дозволяє місце для «законних потреб правоохоронних органів» і часу, необхідного для «визначення масштабу порушення та відновлення розумної цілісності» системи. Переклад: поки ви можете стверджувати, що все ще розслідуєте, годинник насправді не запустився.

Федеральні правила не набагато жорсткіші поза окремими секторами. Медичні порушення за HIPAA дають організаціям, що їх охоплює, до 60 днів. Новіша норма SEC для публічних компаній вимагає розкриття протягом чотирьох робочих днів — але лише після того, як компанія вирішить, що інцидент є «суттєвим», і це визначення взагалі немає жорсткого крайнього терміну. Це крайні терміни до самого кінця, і кожен з них прив'язаний до суджень, які робить сама компанія, яка зазнала порушення.

Отже, затримка — це не некомпетентність. Це архітектура.

Другий сигнал — фраза, яку ви побачите в майже кожному оповіщенні: «ми не маємо доказів того, що вашу інформацію було використано неналежним чином». Читайте це повільно. Це не твердження про те, чи вашим даним загрожує небезпека. Це твердження про те, що шукала компанія і не знайшла. Це дикої різниці речі. Вкрадений архів облікових даних може лежати на форумі протягом місяців, потім його купують, тестують проти дюжини інших сайтів, і спорожнюють рахунок, який не має жодного стосунку до скомпрометованої компанії — і жодна з цих дій не з'являється у їхніх журналах. «Не маємо доказів неналежного використання» — це корпоративний еквівалент «Я не бачив, щоб хтось це взяв», сказаний людиною, яка дивилася у протилежний бік.

До того як приходить лист, ваша електронна адреса та пароль мають уже повний сезон на відкритому ринку. Автоматизоване перебирання облікових даних — дешеве; списки постійно перепродають і перекомбінують. Лист про порушення — це історичний документ.

Тому ви повинні сприймати лист із вибаченнями як квитанцію, а не як попередження. Захисна дія вже сталась — або не сталась — тижнями раніше. Те, що насправді допомагає, нудно звучить і не чекає на чийогось юридичного відділу: унікальний пароль для кожного сайту, щоб одна утечка не спричинила ланцюгову реакцію, менеджер паролів, щоб ви насправді це робили, та двофакторна автентифікація з використанням додатка або апаратного ключа замість SMS. Проверьте вашу адресу у Have I Been Pwned щоразу, коли вам цікаво, а не коли компанія нарешті дістанеться до цього.

І коли лист все ж прийде, опиріться спокусі безплатного моніторингу кредиту, яким вони дарують на знак миру. Це один рік спостереження за конем, який вибіг з конюшні навесні. Шкода, якщо вона буде, зазвичай працює за швидшим годинником, ніж той, що встановили адвокати. Лист — це просто всі папери нарешті, які погоджуються зустрітись.

Архівуйте його. Змініть пароль. Йдіть далі. Вони вже це зробили.