24 Eylül'de SANS bülteninde yayınlanan bir habere göre, Kaliforniya'da bir banka, 12 Ağustos 2009 günü, içerisinde 1300 müşterisine ait sosyal güvenlik numarası ve banka hesabı bilgileri bulunan mektubu "Yanlışlıkla" bir e-posta hesabına gönderdi. Daha sonra hatayı fark eden banka yetkilileri, hesap sahibine gönderilen e-postanın bir hata olduğunu ve içeriğini okumadan ve başka birine göndermeden silmesini rica eden bir e-posta daha gönderdiler. Banka, e-postasına yanıt alamayınca Google'dan ilgili hesap sahibinin kimliği ile bilgileri talep etti. Google'ın yanıtı "mahkeme kararı olmadan herhangi bir kullanıcı bilgisinin 3. taraflara iletilmesinin hukuka ve kullanıcılarla yapılan anlaşmalara aykırı olacağı" şeklindeydi. Bunun üzerine mahkemeye giden Banka, mahkeme kararı ile e-posta hesabının devre dışı bırakılmasını sağladı.
Hikaye böyle. Benim buradan çıkardığım dersler şunlar:
1. Banka bir Data Leakage Prevention sistemini ya kullanmamaktadır ya da etkin olarak çalıştırmamaktadır.
2. Bankada bilgi sınıflandırması yapılmamıştır veya sınıflandırılan bilgiye davranış konusunda yeterli önlem alınmamıştır.
3. Banka kendi risklerinin realize olmasına neden olan hatasını, iki masum 3. partiye transfer ederek kapatmaya çalışmıştır (Google ve hesap sahibi kişi)
4. Sadece kendimize ait sandığımız bir e-posta hesabı bir mahkeme bir anda kapatılabilir ve orada sakladığımız gigabaytlarca bilgiye elveda diyebiliriz.
Aynı olay Türkiye'de olsaydı ne olurdu? Geçmişe bakıp geleceğe bir projeksiyon yapmak zor değil (en azından mentalitenin değişmediği varsayımı ile). Tr bankası eposta sağlayıcıya bilgileri göndermesine yönelik bir ricada bulunur, kabul edilmez. Bunun üzerine Tr bankası mahkemeye gider, mahkeme eposta sağlayıcıdan hesabı kapatmasını ister, eposta sağlayıcı Türkiye'de kurulu olmadığından mahkeme kararını umursamaz, mahkeme de mahkeme kararlarına uymamaktan dolayı eposta sağlayıcıya erişimi süresiz olarak kapatır. Sonuçta kim kaybeder? Herkes...