Veri ihlali bildirimi yeterince açık değilse ne yapmalı?

Bir şirketten gelen veri ihlali bildirimi, hangi bilgilerinizin tehlikede olduğunu açıklamıyorsa sonraki adımı belirlemek zorlaşabilir. ESET WeLiveSecurity’nin yayımladığı rehbere göre, “verilerinize erişilmiş olabilir” veya “kötüye kullanım bulgusuna rastlanmadı” gibi ifadeler dikkatle okunmalı. Kaynağın önerdiği yaklaşım, önce bildirimin gerçekliğini doğrulamak; ardından hangi verilerin etkilendiğini, olayın ne zaman yaşandığını ve kuruluşun hangi somut adımları önerdiğini öğrenmek.

Bildirimler neden ayrıntı vermeyebilir?

ESET WeLiveSecurity’ye göre, eksik açıklamaların tek bir nedeni yok. Kuruluşlar, bir olay kamuoyuna yansıdıktan sonra itibarlarını korumak ve spekülasyonu sınırlamak için müşterilerine hızla bilgi vermek isteyebilir. Ancak bu aşamada soruşturma henüz tamamlanmamış olabilir. Hangi bilgilerin, nasıl etkilendiğinin belirlenmesi; özellikle büyük veri hacimleri söz konusu olduğunda haftalar, hatta aylar sürebilir. Bu nedenle ilk bildirim, olayın bütün kapsamını yansıtmayabilir.

Kaynağın değerlendirmesine göre, teknik ayrıntıları paylaşmama kararının güvenlikle ilgili gerekçeleri de bulunabilir. Saldırı yolunun veya savunmadaki zayıflıkların açıklanması başka saldırganlara yardımcı olabilir; saldırgan hâlâ ağdaysa açıklanan bilgiler onun da işine yarayabilir. ESET ayrıca itibar, hisse değeri ve rekabet avantajına ilişkin kaygıların bilgi paylaşımını sınırlayabileceğini belirtiyor. Rehber bunları olası gerekçeler olarak ele alıyor; belirli bir kuruluşun neden sessiz kaldığına ilişkin bir sonuç sunmuyor.

Kullanılan ifadeler ne söylüyor, ne söylemiyor?

ESET WeLiveSecurity, veriye “erişilmesi” ile verinin “çalınması” arasındaki ayrıma dikkat çekiyor. Erişim ifadesi, bilginin mutlaka dışarı aktarıldığını göstermiyor. Buna karşılık, bir şirketin kötüye kullanım kanıtı görmediğini söylemesi de verilerin hiç kötüye kullanılmadığına dair güvence oluşturmuyor. Rehbere göre kuruluşun görebildiği faaliyetlerle siber suç ortamında gerçekleşenler birbirinden farklı olabilir. Bildirimin kullandığı sözcükler bu nedenle kesin sonuçlar gibi değerlendirilmemeli.

Benzer biçimde, ESET’in açıklamasına göre “etkilenmiş olabilirsiniz” ifadesi kişinin bilgilerinin ele geçirilen veri kümesinde kesin olarak bulunduğu anlamına gelmiyor. Kaynak, bu belirsizlik karşısında ihtiyatlı davranmayı öneriyor. Rehberin tüketiciler açısından öne çıkardığı nokta, saldırganın sisteme hangi yoldan girdiğinden çok, hangi kişisel bilgilerin etkilendiği. Çünkü parola değişikliği, bankayla görüşme veya kart iptali gibi adımlar arasında seçim yapabilmek, öncelikle bu ayrıntının bilinmesine bağlı.

Önce mesajın gerçekliğini kontrol edin

ESET’in önerdiği sıralamada, kuruluştan ek bilgi istemek bildirimin meşru olduğunun doğrulanmasından sonra geliyor. Böylece mesajın güvenilir olup olmadığı ile gerçek olayın kapsamı birbirinden ayrı ele alınıyor. Rehber, doğrulamanın ardından ilgili kuruluşa başvurarak açıklanmayan ayrıntıların sorulmasını ve koruyucu adımların, etkilenmiş olabilecek veri türüne göre değerlendirilmesini öneriyor.

Kuruluşa hangi sorular yöneltilmeli?

• Verilere yalnızca erişildi mi, yoksa veriler dışarı aktarıldı mı? ESET WeLiveSecurity, bu ayrımı ihlal bildiriminde aranması gereken temel bilgiler arasında sayıyor.
• Tam olarak hangi veri türleri etkilendi? ESET’e göre parola sıfırlamak, bankayla iletişim kurmak veya kart iptalini değerlendirmek gibi sonraki adımları belirleyen temel unsur bu bilgi.
• Olay ne zaman başladı ve ne kadar sürdü? Kaynak, bu zaman aralığının etkilenen hesaplardaki şüpheli hareketlerle karşılaştırma yapmaya yardımcı olabileceğini belirtiyor.
• Kuruluş hangi somut adımları öneriyor? ESET’in rehberi, genel bir uyarının yanında kişilerin ne yapması gerektiğine ilişkin açık yönlendirmelerin de aranmasını öneriyor.

Kredi izleme hizmetinin sınırlarını bilin

ESET WeLiveSecurity, ihlal sonrasında sunulabilen kredi izleme hizmetlerinin işlevinin de doğru anlaşılması gerektiğini vurguluyor. Kaynağa göre bu hizmetler, kredi dosyasındaki değişiklikleri saptayarak kişinin adına yeni kredi edinilmeye çalışılması gibi olası dolandırıcılık belirtileri konusunda uyarı sağlayabilir. Ancak izleme hizmeti, sonraki dolandırıcılığı tek başına önlemiyor. Rehber ücretsiz sunulan hizmetin kabul edilmesini önerirken, uyarı üretmek ile dolandırıcılığı engellemek arasındaki farkı koruyor.

Kaynak, kredi dondurmayı ise kredi raporuna erişimin büyük bölümünü engelleyen ayrı bir seçenek olarak anlatıyor ve ücretsiz olmasına ilişkin bilgisini ABD bağlamında veriyor. ESET’in rehberinde bu iki hizmet aynı işlevi gören çözümler olarak sunulmuyor. Veri ihlali sonrasında teklif edilen desteği değerlendirirken, hizmetin neyi tespit ettiğini ve hangi işlemleri gerçekten engelleyebildiğini ayırt etmek önem taşıyor.