Antipersona: Hedef Dışı Kullanıcı ile Saldırganı Ayırmak

Antipersona anlatan metinlerin çoğu aynı yerde tökezler. Önce "ürünü kasten suistimal eden kullanıcı" diye tanımlar, birkaç paragraf sonra örnek listesine "çocuklar" ekler. İkisi aynı şey değil ve aynı önlemi gerektirmez; bu ayrım yapılmadan hazırlanan antipersona kartı duvarda asılı kalır, hiçbir karara girmez.

Tek isim, iki ayrı problem

Antipersonanın ilk anlamı bir kapsam kararıdır: ürünü kullanmasını beklemediğiniz, kullansa bile tercihlerine göre karar almayacağınız kişi. Muhasebe yazılımı yazıyorsanız "ayda iki fatura kesen serbest çalışan" bu gruba girebilir. Ona karşı önlem alınmaz, sadece yol haritası onun isteklerine göre bükülmez. Bu, persona çalışmasının doğal devamıdır ve genelde bir cümlelik bir sınır ifadesinden fazlasını hak etmez.

İkinci anlam tamamen başka bir alandan gelir: sistemi kasten kötüye kullanan aktör. Güvenlik mühendisliğinde bunun karşılığı yıllardır duruyor, kullanım senaryosunun tersine çevrilmiş hali sistemin izin vermek zorunda olduğu değil engellemek zorunda olduğu davranışı tarif eder. UX tarafında aynı işe "antipersona" denince kavram persona kılığına giriyor ve kılıkla birlikte yanlış alışkanlıklar da geliyor.

Kaynak listelerde sık geçen "çocuklar" maddesi tam da bu karışıklığın ürünü. Yanlışlıkla zarar veren ya da zarar gören kullanıcı saldırgan değil; ona karşı savunma değil, hasar sınırlama tasarlarsınız. Geri alınabilir eylem, ikinci onay adımı, para harcayan akışta ayrı doğrulama. Aynı sayfada "dolandırıcı" ile "çocuk" yan yana durduğunda ekip hangisi için ne yapacağını bilemez, ikisine de yetmeyen bir orta yol çıkar.

Persona formatı saldırganı anlatmak için kötü bir kalıp

Persona formatı empati üretmek için tasarlandı: isim, fotoğraf, günlük rutin, hayal kırıklıkları. Saldırganla empati kurmanız gerekmiyor, davranışını modellemeniz gerekiyor. Hayalî bir ad ve yüz eklemek gerçekçilik değil karikatür üretir; ekip zihninde bir kötü adam canlanırken gerçek suistimalin failinin çoğu zaman bir betik olduğu gözden kaçar.

Kalması gereken alanlar dar: saldırıdan ne kazanıyor, hangi yüzeyden giriyor, denemesi ona neye mal oluyor, geride hangi izi bırakıyor. Bunlar ölçülebilir sorular. Kötüye kullanan taraf ekonomik davranır, dolayısıyla savunmanın işi onu ahlaken caydırmak değil, işlemin maliyetini beklediği kazancın üstüne çıkarmaktır. Doğrulama adımı, hız sınırı, bekleme süresi ve geri alınabilirlik hep aynı kaldıraca basar. Buna karşılık "motivasyon" ve "ihtiyaçlar" gibi alanlar tahmin üretir, tahmin de toplantıda kimin daha ikna edici anlattığına göre karar verdirir.

Kâğıttan değil, kayıttan

Bir kayıt formunun nasıl suistimal edileceğini hayalî bir profilden çıkarmam. İki haftalık kayıt kaydı profili benden iyi yazar: aynı ağ bloğundan gelen yüzlerce hesap, tek karakteri değişen e-posta adresleri, hiç sayfa gezmeden ilk saniyede gönderilen formlar. Elinizde çalışan bir ürün varsa antipersona araştırmasının hammaddesi zaten sunucuda duruyor. Moderasyon kuyruğu, iade talepleri, destek yazışmalarındaki tekrar eden şikâyetler, iptal edilen ödemeler.

Henüz yayında olmayan bir ürün için bu kaynak yok, o zaman benzer ürünlerin başına gelenleri okumak ve alanın içinden birine sormak kalıyor. Güvenlik testi yapan biriyle yarım saatlik bir görüşme, ekipçe üretilmiş bir senaryo listesinden daha fazlasını verir; çünkü o kişi sizin ürününüzü değil, o ürün sınıfının nerede kırıldığını bilir. Kurgusal senaryo üretimi bu ikisi tükendiğinde başvurulacak yöntem, ilk adım değil.

Her ürün için gerekmiyor

"Riskler ağırsa mutlaka yapın" tavsiyesi pratikte her ürünü kapsıyor gibi okunuyor ve çalışma ritüele dönüşüyor. Daha dar bir eşik işe yarar. Ayrı bir kötüye kullanım çalışması şu üç durumda gerçekten karşılığını verir:

• Kullanıcılar birbirine erişiyorsa: mesajlaşma, yorum, ilan, buluşma. Zararın hedefi sistem değil, diğer kullanıcıdır ve teknik güvenlik önlemleri bunu yakalamaz.
• Sistemde para, kimlik ya da itibar dolaşıyorsa. Doğrudan nakde çevrilebilen her akış otomatik olarak ilgi çeker.
• Tek kişinin eylemi ölçeklenebiliyorsa. Elle yapıldığında zararsız olan bir işlem, dakikada bin kez tekrarlandığında bambaşka bir şeydir.

Bunların hiçbiri yoksa antipersona çalışması yerine standart güvenlik pratiğine güvenip zamanı gerçek kullanıcı araştırmasına ayırmak daha verimli.

Çıktı kart olmamalı

Bu çalışmanın işe yarayıp yaramadığını anlamanın tek yolu çıktısına bakmak. Duvara asılan profil kartı test edilemez. Kabul kriteri edilebilir: aynı telefon numarasıyla yirmi dört saatte en fazla üç hesap açılır, ilk mesajda bağlantı gönderilemez, hesap silme otuz gün geri alınabilir, toplu dışa aktarma ikinci doğrulama ister. Her madde bir teste, testin de bir sahibine bağlanır.

Kartla kriter arasındaki fark, altı ay sonra kimsenin dosyayı açmak zorunda kalmamasıdır. Kurallar koda girer, kod da kendini hatırlatır. Antipersona çalışmasının bütün değeri o kısa kural listesinde toplanır, geri kalanı çalışmanın kendisini üretme sürecidir ve bittiğinde atılabilir.