İhlalden Sonra Güven, Açıklamanın Biçimiyle Sınanır

0

BEĞENDİM

ABONE OL

News

0

Bir veri ihlali meydana geldiğinde kurumların dikkati doğal olarak sistemleri kapatmaya, açığı gidermeye ve teknik incelemeyi tamamlamaya yönelir. Bunlar zorunlu adımlardır; ancak olayın etkisi sunucularla sınırlı kalmaz. Verisi işlenen insanlar ne olduğunu, hangi bilgilerin etkilenmiş olabileceğini ve şimdi ne yapmaları gerektiğini öğrenmek ister. Bu sorular yanıtsız kaldığında güven kaybı, teknik müdahalenin ötesine taşınır.

İhlal sonrasında iletişim kurmak, kurumun kendini aklama metni hazırlaması değildir. Amaç, etkilenen kişilerin belirsizlik içinde bırakılmamasıdır. Doğru iletişim olayın tüm ayrıntıları henüz bilinmese bile mümkün olabilir. Bilinen ile araştırılanı ayırmak, kesin olmayan noktaları saklamamak ve yeni bilgiler geldikçe güncellemek bunun temelidir. Güven, kusursuzluk iddiasından değil, sorumluluğun açıkça üstlenilmesinden beslenir.

İlk açıklama kesin olmak zorunda değildir

İhlalin ilk saatlerinde kapsam ve neden tam olarak anlaşılmamış olabilir. Bu belirsizlik, susmak için gerekçe sayılmamalıdır. İlk açıklama, mevcut bilgiyi sınırlarıyla birlikte aktarabilir: bir güvenlik olayının fark edildiği, incelemenin sürdüğü, hangi sistemlerin önceliklendirildiği ve bir sonraki bilgilendirmenin ne zaman yapılacağı söylenebilir.

Burada önemli olan, belirsizliği kesin cümlelerle kapatmaya çalışmamaktır. Etkilenmediği doğrulanmamış bir veri türü için etkilenmedi demek, daha sonra yapılacak düzeltmeyi ağırlaştırır. Buna karşılık henüz belirlenemedi demek, hem daha dürüst hem de daha işlevseldir. İnsanlar, kendilerine sunulan bilginin kesinlik derecesini bilerek önlem alabilir.

İletişim, etkilenene göre tasarlanmalıdır

Teknik bir olay raporu ile kullanıcıya gönderilecek bilgilendirme aynı metin olamaz. Kullanıcı açısından önemli olan, sistem mimarisinin bütün ayrıntılarından önce kendi durumudur. Hangi bilgi türü söz konusu olabilir, hesabını korumak için hangi adımlar atılmalı, hangi kanaldan destek alınmalı ve şüpheli bir iletişim nasıl ayırt edilmeli? Yanıtlar açık, uygulanabilir ve gereksiz jargonlardan uzak olmalıdır.

Bir ihlalin etkilediği kişiler farklı risklere sahip olabilir. İletişim, tek tip bir duyuruyla yetinmek yerine riskin niteliğine göre yönlendirme yapmalıdır. Kimlik doğrulama bilgilerinin etkilenmesi ile iletişim bilgilerinin açığa çıkması aynı önlemleri gerektirmeyebilir. Bu ayrım yapılmadığında metin ya yetersiz kalır ya da insanların dikkatini asıl eylemden uzaklaştırır.

Sorumluluk dili savunmadan ayrılmalıdır

İhlal açıklamalarında olayın dış kaynaklı olduğu, karmaşık saldırıların yaşandığı veya benzer risklerin her yerde bulunduğu vurgulanabilir. Bunlar olayın bağlamını açıklayabilir; fakat sorumluluğu dağıtmak için kullanıldığında iletişimin güvenilirliğini zedeler. Etkilenen kişinin ilk ihtiyacı, kurumun kendi yükümlülüğünü başkasına devredip devretmediğini anlamaktır.

Sorumluluk alan bir dil, gereksiz özür tekrarlarından çok somut adımlar içerir. Açığın kapatıldığına dair teknik önlemler, erişimlerin nasıl gözden geçirildiği, saklama ve izleme süreçlerinde neyin değiştirileceği açıklanabilir. Henüz tamamlanmamış çalışmalar da tamamlanmış gibi sunulmamalıdır. Taahhütlerin ölçülebilir ve izlenebilir olması, açıklamayı bir halkla ilişkiler metninden çıkarıp hesap verebilirlik aracına dönüştürür.

Güven, tek duyuruyla geri gelmez

İyi bir ilk açıklama önemlidir; fakat güvenin yeniden kurulması daha uzun bir süreçtir. Sonraki güncellemelerin tutarlı olması, destek kanallarının erişilebilir kalması ve verilen sözlerin yerine getirilmesi gerekir. İnsanlar yalnızca olayın nasıl başladığını değil, kurumun olaydan sonra ne öğrendiğini de görmek ister.

Veri ihlali güven ilişkisini sarsar; doğru iletişim bu sarsıntıyı otomatik olarak ortadan kaldırmaz. Yine de belirsizliği azaltır, kişilerin kendini korumasına yardım eder ve kurumun davranışını değerlendirilebilir kılar. Sonuçta güven, en parlak cümleyle değil, bilginin zamanında paylaşılması ve sorumluluğun süreç boyunca taşınmasıyla yeniden kazanılır.