معافی کا ای میل مقصد سے دیر سے آتا ہے

یہ وہ نمبر ہے جو آپ کو ناراض کرنا چاہیے: Verizon کی 2024 Data Breach Investigations Report میں، حملہ آور عام طور پر صرف منٹوں میں ای میل باکس کو کھول دیتے ہیں، لین دفاعیوں نے استعمال ہونے والے سوراخوں کو بند کرنے میں بھی 55 دن کا وقت لیا۔ پچاس پانچ دن۔ تقریباً دو ماہ کھلے دروازے جبکہ کاغذی کاری پیچھے رہ جاتی ہے۔ اور یہ اس سے پہلے ہے کہ کوئی وہ ای میل تیار کرے جو آخر کار آپ کے انباکس میں آتی ہے، "ہم آپ کی رازداری کو سنجیدگی سے لیتے ہیں" سے شروع ہوتے ہوئے۔

وہ نہیں لیتے۔ جو وہ سنجیدگی سے لیتے ہیں وہ قانون ہے۔

زیادہ تر لوگ سمجھتے ہیں کہ خرق کی اطلاع کچھ گھنٹوں میں ماپی جانے والی کلاک پر چلتی ہے، جس طرح آگ کی الرٹ کام کرتی ہے۔ ایسا نہیں ہے۔ California کا خرق قانون، Civil Code 1798.82—جو کہ اکثریت ریاستیں اپنے لیے نمونہ بناتی ہیں—"سب سے جلدتر وقت میں اور غیر معقول تاخیر کے بغیر" افشاء کی ضرورت ہے۔ سے لگتا ہے کہ یہ جلدبازی ہے۔ پھر اس میں "قانون نافذکننے والوں کی جائز ضروریات" اور "خرق کا دائرہ معلوم کرنے اور نظام کی معقول درستگی بحال کرنے" میں لگنے والے وقت کے لیے گنجائش نکال دی۔ ترجمہ: جب تک آپ یہ دعویٰ کر سکتے ہیں کہ آپ ابھی تحقیق میں تھے، تب تک کلاک واقعی شروع نہیں ہوئی۔

مخصوص شعبوں کے باہر وفاقی اصول زیادہ سخت نہیں ہیں۔ HIPAA کے تحت طبی خرق covered entities کو 60 دن تک دیتے ہیں۔ SEC کا نیا اصول عوامی کمپنیوں کے لیے چار کاروباری دنوں کے اندر افشاء کا مطالبہ کرتا ہے—لین صرف اس کے بعد کہ کمپنی فیصلہ کرے کہ واقعہ "اہم" ہے، اور اس تعین کی کوئی سخت میعاد نہیں ہے۔ یہ میعادیں سب کے لیے چل رہی ہیں، اور ہر ایک انہیں خرق شدہ کمپنی کے ذریعے کیے جانے والے فیصلے کو لنگر ڈالی جاتی ہے۔

تو تاخیر غیر ہنرمندی نہیں ہے۔ یہ ڈھانچہ ہے۔

دوسری علامت وہ جملہ ہے جو آپ تقریباً ہر نوٹس میں دیکھیں گے: "ہمارے پاس کوئی ثبوت نہیں کہ آپ کی معلومات کو غلط استعمال کیا گیا ہے۔" اس کو آہستہ پڑھیں۔ یہ اس بارے میں بیان نہیں ہے کہ آپ کا ڈیٹا محفوظ ہے یا نہیں۔ یہ اس بارے میں بیان ہے کہ کمپنی نے کیا تلاش کیا اور کیا نہیں پایا۔ یہ بالکل مختلف چیزیں ہیں۔ چوری شدہ credentials کا ڈمپ کسی forum پر مہینوں تک بیٹھ سکتا ہے، خریدا جا سکتا ہے، درجن دوسری سائٹوں کے خلاف آزمایا جا سکتا ہے، اور ایک اکاؤنٹ کو نکال سکتا ہے جس کا خرق شدہ کمپنی سے کوئی تعلق نہیں ہے—اور یہ کوئی بھی سرگرمی ان کے logs میں نہیں آتی۔ "غلط استعمال کا کوئی ثبوت نہیں" کمپنی کے "میں نے کسی کو یہ لیتے نہیں دیکھا" کے برابر ہے، جو وہ شخص کہتا ہے جو دوسری طرف دیکھ رہا تھا۔

جب تک نوٹس پہنچتا ہے، آپ کی ای میل اور پاس ورڈ کھلی مارکیٹ میں ایک پورے موسم سے گزر چکی ہوتی ہیں۔ Credential-stuffing خودکار اور سستا ہے؛ اہل فہرستیں مسلسل دوبارہ فروخت اور دوبارہ ملائی جاتی ہیں۔ خرق کا خط ایک تاریخی دستاویز ہے۔

یہی وجہ ہے کہ آپ کو معافی کی ای میل کو انتباہ کے بجائے رسید کے طور پر سمجھنا چاہیے۔ حفاظتی قدم پہلے سے—یا نہیں—ہفتوں قبل اٹھایا گیا تھا۔ جو چیزیں واقعی مدد کرتی ہیں وہ ممل اور کسی کے قانونی شعبے کے انتظار میں نہیں: ہر سائٹ کے لیے منفرد پاس ورڈ تاکہ ایک خرق سے domino اثر نہ ہو، ایک password manager تاکہ آپ واقعی ایسا کریں، اور دو سطحی توثیق ایک ایپ یا hardware key استعمال کرتے ہوئے SMS کی بجائے۔ جب بھی آپ کو تجسس ہو تب اپنا پتہ Have I Been Pwned سے check کریں، نہ کہ جب کوئی کمپنی آخر کار آپ کو بتانے کے لیے نکلے۔

اور جب نوٹس آتا ہے، تو مفت credit monitoring سے بچیں جو وہ امن کی پیشکش کے طور پر دانتوں سے نکالتے ہیں۔ یہ ایک سال کی اس گھوڑے کو دیکھنا ہے جو بہار میں barn سے نکل گیا۔ نقصان، اگر کوئی ہونے والا ہے، تو قانون دانوں کی طرف سے طے کیے گئے کلاک سے تیز رفتار ہے۔ خط صرف سب کی کاغذی کاری ہے جو آخر کار ملنے کے لیے متفق ہے۔

اسے فائل کریں۔ پاس ورڈ بدلیں۔ آگے بڑھیں۔ انہوں نے پہلے سے کر دیا۔

@@END@@