Un canale fidato precedentemente stabilito
Affinché un canale sia considerato sicuro, la priorità è la sensazione di fiducia dell'utente, non è sufficiente che sia essere sicuro. Deve anche essere conveniente, a meno che l'utente non sia assolutamente disperato e bloccato dentro.
Questo significa che è necessario riutilizzare un canale che l'utente già conosce e si fida senza creare o spiegare qualcosa di nuovo.
Le seguenti strade vengono in mente:
- Se tutti gli utenti hanno account esistenti nel tuo sistema web, allora l'invio di SSN in esso è altrettanto OK come in qualsiasi altro modo: devono comunque aver fiducia in te, ma un sito web https adeguato si sentirà adeguato. Potrebbe essere un bonus se l'SSN inviato non è visibilmente memorizzato, se il loro profilo utente mostra solo una casella di controllo "Sì, hai inviato il tuo SSN, l'abbiamo messo da parte in un posto sicuro".
- Se gli utenti hanno la tua applicazione mobile, probabilmente si sentiranno sicuri inserendo i dati lì, dal momento che non ci sono indicatori ragionevoli per ritenere che il tuo approccio sia meno sicuro di ad es. la loro e-mail su quel dispositivo. È tuo compito assicurarti che l'invio sia effettivamente sicuro, ma non influenza direttamente le impressioni degli utenti.
I modi suggeriti di inviare per telefono mi sembrano meno appropriati. Comunicare i propri dati a un operatore (probabile salario minimo, possibilmente in mare aperto) per telefono rischia di per sé un rischio per la sicurezza; si potrebbe sostenere che comunque il tuo SSN arriva lì, quei dipendenti non dovrebbero avere accesso per vederlo. Tuttavia, ci sarà un segmento di utenti, ad es. gli anziani, che preferiranno comunque questo canale a tutto ciò che è digitale.
L'email con un collegamento sicuro sembra essere l'opzione peggiore. Sebbene la tua email con quel link possa essere sicura, non esiste un modo semplice per distinguerla da un'operazione di phishing, quindi tali e-mail saranno (e dovrebbero essere!) Sfiduciate per definizione. Il modo corretto sarebbe una e-mail che li informa di accedere al tuo sito nel solito modo , e di avere una notifica personale sul tuo sito portarli in forma appropriata quando / se si collegano.