Birçok kullanıcı şu varsayımla hareket eder:
“Giriş yaptım, hesabım aktif. O hâlde neden tekrar doğrulama isteniyor?”
Bu soru son derece doğaldır.
Ama finansal güvenlik mantığı, “aktif oturum” ile “düşük risk” kavramlarını eş anlamlı görmez.
Aktif Oturum Güven Değil, Başlangıç Noktasıdır
Bir hesaba giriş yapılması şunu ifade eder:
– doğru kimlik bilgileri girildi, – cihaz tanındı, – temel erişim izni verildi.
Bu, sistem için sadece şudur:
“Bu noktaya kadar her şey tutarlı.”
Ama finansal güvenlik, erişimle bitmez.
Asıl değerlendirme, erişimden sonra başlar.
Ek Doğrulama İşleme Göre Tetiklenir
Sistemler “kullanıcıya” değil;
yapılan hamleye bakar.
– para transferi, – alıcı ekleme, – limit değişikliği, – ayar güncellemesi
gibi adımlar, hesap açık olsa bile ek doğrulama gerektirir.
Çünkü bu işlemler:
geri dönüşü zor etkiler üretir.
Davranış Değiştiğinde Oturum Geçerliliği Zayıflar
Hesap açık olabilir.
Ama davranış değişmiş olabilir:
– normalden hızlı işlem, – alışılmadık tutar, – beklenmedik zamanlama.
Bu durumda sistem şunu varsayar:
“Bu oturum aynı kişi tarafından mı kullanılıyor?”
Ek doğrulama, bu varsayımı yeniden test etme yoludur.
Cihaz Tanıdık Olsa Bile Bağlam Değişebilir
“Güvenli cihaz” tanımı sınırsız bir ayrıcalık değildir.
Aynı cihazda bile:
– farklı ağ, – farklı konum, – farklı kullanım temposu
risk algısını değiştirebilir.
Bu yüzden sistem:
cihazı değil, o anki bağlamı doğrular.
Ek Doğrulama Bir Şüphe Değil, Eşik Mekanizmasıdır
Yaygın bir yanlış algı şudur:
“Ek doğrulama istiyorsa bana güvenmiyor.”
Oysa anlamı şudur:
“Bu adım ek güvenlik eşiğini aşıyor.”
Bu eşik;
– kullanıcıya özel, – davranışa özel, – zamana özel
olarak değişir.
Oturum Süresi Yetki Süresi Değildir
Bir oturumun açık olması,
her işlemin aynı yetkiyle yapılabileceği anlamına gelmez.
Finansal sistemler yetkiyi:
parçalı ve kademeli verir.
Bu yüzden:
– basit görüntüleme işlemleri sessiz geçerken, – kritik işlemler durdurulur ve doğrulanır.
Dolandırıcılık Senaryoları Tam Bu Noktada Çalışır
Birçok dolandırıcılık senaryosu şuna dayanır:
– hesap zaten açıktır, – kullanıcı oturumdadır, – sistem “güvenli” görünür.
Ek doğrulama, tam da bu senaryoyu bozmak için vardır.
Yani kullanıcıyı değil;
oturumun istismar edilmesini hedef alır.
Ek Doğrulama Neden Bazen Beklenmedik Anda Gelir?
Çünkü risk:
– işlem öncesi değil, – işlem sırasında
netleşebilir.
Sistem bazı eşikleri:
– işlem girildikten sonra, – bağlam tamamlandığında
tespit eder.
Bu yüzden doğrulama “sonradan” gelmiş gibi görünür.
En Tehlikeli Yanılgı
“Hesap açıkken doğrulama gereksizdir.”
Gerçekte tam tersi doğrudur.
En kritik doğrulamalar, hesap zaten açıkken yapılır.
Çünkü zarar potansiyeli en yüksektir.
Hesabınız aktifken ek doğrulama istenmesinin nedeni:
– oturumun değil, işlemin doğrulanması, – davranıştaki değişimin test edilmesi, – bağlamın yeniden okunması, – geri dönüşü zor adımların korunmasıdır.
Bu bir güvensizlik göstergesi değil;
dinamik güvenlik anlayışının doğal sonucudur.
Gerçek finansal farkındalık;
“zaten giriş yapmıştım” demekte değil, neden tam bu adımda durdurulduğunu anlayabilmekte başlar.
Doğrulamayı engel olarak görmekte değil, hangi eşiği geçtiğini fark edebilmekte.
