Hawaii füze alarmı: tatbikat nasıl gerçek uyarıya dönüştü?

Kısaca

• 13 Ocak 2018 sabahı Hawaii Acil Durum Yönetim Ajansı (HI-EMA), bir tatbikat sırasında halka gerçek bir füze uyarısı gönderdi.
• Uyarı yerel saatle 08:07'de çıktı. Düzeltme mesajı 08:45'te, 38 dakika sonra geldi.
• FCC'nin Nisan 2018 raporuna göre olayın nedeni, insan hatası ile yetersiz güvenlik önlemlerinin birleşimiydi.
• HI-EMA'nın FCC'ye aktardığına göre uyarıyı gönderen görevli, füze tehdidinin gerçek olduğuna inanıyordu.
• Test ve gerçek uyarı aynı arayüzde, aynı açılır menüde duruyordu. Gönderimden önce ikinci bir kişinin onayı gerekmiyordu.

Hikâye: 13 Ocak 2018, 08:07

Cumartesi sabahı Hawaii'deki telefonlara şu mesaj düştü: "BALLISTIC MISSILE THREAT INBOUND TO HAWAII. SEEK IMMEDIATE SHELTER. THIS IS NOT A DRILL." Türkçesi kabaca şöyle: Balistik füze tehdidi Hawaii'ye yaklaşıyor, hemen sığınak arayın, bu bir tatbikat değildir.

Füze yoktu. Mesajı, eyaletin acil durum ajansı HI-EMA bir tatbikat sırasında göndermişti. Olayı ABD Federal İletişim Komisyonu'nun (FCC) Kamu Güvenliği ve İç Güvenlik Bürosu inceledi ve Nisan 2018'de bir rapor yayımladı. Aşağıdaki saatleri o rapordan aldım. Hepsi Hawaii yerel saatidir.

38 dakika

1. 08:05Gece vardiyasının amiri, vardiya değişimi sırasında habersiz bir füze tatbikatı başlatır. Telefondan dinletilen kayıtta "this is not a drill" (bu bir tatbikat değil) cümlesi de geçer.
2. 08:07Gündüz vardiyasındaki görevli, açılır menüden gerçek uyarı şablonunu seçer ve onaylar. Uyarı halka iki yoldan gider: radyo ve televizyona EAS ile, cep telefonlarına WEA ile.
3. 08:12HI-EMA uyarının yeniden yayınını durdurur. Ama "tehlike geçti" mesajı göndermez.
4. 08:20HI-EMA, Twitter'da füze tehdidi olmadığını yazar. Bunu 08:23'te Facebook paylaşımı izler.
5. 08:31Düzeltme mesajları hazırlanmaya başlar. Bu iş 08:44'e kadar sürer.
6. 08:45Telefonlara ve yayınlara düzeltme mesajı gider. İlk uyarının üstünden 38 dakika geçmiştir.

Rapor bu süreyi tek cümleyle anlatır: yanlış uyarı, Hawaii'de yaşayanlar için 38 dakikalık bir kafa karışıklığı, korku ve belirsizlik yarattı.

Zaman çizelgesine göre 08:13 ile 08:26 arasında ajansın telefon hatları halkın aramalarıyla tıkandı.

Görevli ne duydu

Tatbikat kaydının başında ve sonunda "Exercise, Exercise, Exercise" (tatbikat) uyarısı vardı. Kayıtta ayrıca prosedüre aykırı bir cümle geçiyordu: "This is not a drill." Rapora göre diğer görevliler bunun tatbikat olduğunu anladı.

Uyarıyı gönderen görevli ise "Exercise" kelimelerini duymadığını, "This is not a drill" cümlesini duyduğunu söyledi. Rapor, görevlinin NBC News'e verdiği röportajdan da alıntı yapar. Görevli orada, kararının doğru ve tehdidin gerçek olduğundan yüzde yüz emin olduğunu söyler.

Görevli FCC ile görüşmeyi kabul etmedi. HI-EMA ise görevlinin kendisine verdiği yazılı ifadedeki bilgileri FCC'ye aktardı.

Arayüzün payı: FCC raporu ne diyor

FCC raporu uyarı yazılımını iki paragrafta inceler. Arayüzle ilgili bulgular şunlar:

• Aynı arayüz, aynı giriş. Yazılım hem gerçek uyarıyı hem iç testi aynı ekrandan ve aynı kullanıcı bilgileriyle gönderiyordu. İkisi de "Send Public Message" (halka mesaj gönder) butonuyla başlıyordu.
• Aynı menü. Açılır menüde iç test füze uyarısı ile gerçek füze uyarısı aynı ekranda, birlikte listeleniyordu.
• Aynı soru. Onay penceresi "Are you sure that you want to send this Alert?" diye soruyordu. Rapora göre soru test için de gerçek uyarı için de aynıydı.
• Önizleme yok. Pencere, gidecek mesajın metnini görevliye göstermiyordu.

Rapor bunu sektördeki yaygın uygulamayla karşılaştırır. Yaygın uygulamada gerçek ortam, girişte seçilen ayrı bir alan adında ya da ayrı bir uygulamada durur. Bazı yazılımlar iç testleri filigranla, renk koduyla ve ayrı numaralandırmayla belli eder.

Adil olmak için raporun bir tespitini daha eklemeliyim. Rapor yazılımda iki eksik sayar: kullanıcıların kendi şablonlarını oluşturabilmesi ve test ile gerçek ortamın iç içe olması. Bu ikisi dışında yazılımın önlemleri diğer uyarı yazılımlarıyla aynı düzeydeydi.

Düzeltmenin hazır yolu yoktu

Uyarıyı durdurmanın yolu vardı. Rapora göre HI-EMA'nın yazılımı hatalı uyarıyı tek tıkla iptal etmeye izin veriyordu ve ajans 08:12'de iptal etti. Ama iptal, telefonlara ulaşmış mesajları geri almaz.

Asıl eksik başka yerdeydi. Rapora göre kontrol listesinde yanlış alarmı düzeltmek için bir protokol yoktu. Rapor, bu eksiğin düzeltmedeki gecikmeye katkı yaptığını yazar.

Olaydan önce düzeltmenin nasıl gönderileceğine dair bir eğitim de yoktu. Ekip 08:27'de toplanıp hangi olay kodunu kullanacağını tartıştı ve FEMA'yı arayıp teyit aldı. Rapora göre aslında FEMA'nın iznine gerek yoktu. Düzeltme mesajları 08:31 ile 08:44 arasında yazıldı.

Rapor, HI-EMA'nın sonradan aldığı önlemleri de sayar. Bunlardan dördü bu hikâye için önemli:

• Tatbikatlar en az bir amirin gözetimine alındı.
• Test ve gerçek gönderim için iki kişilik onay kuralı getirildi.
• Yanlış alarm için düzeltme mesajı şablonları hazırlandı.
• Yazılım firmasından test ile gerçek ortamı daha net ayırması istendi.

Ne biliyoruz, ne bilmiyoruz

Bu olay hakkında dolaşan anlatıların hepsi kaynakla örtüşmüyor. Özellikle iki konuda dikkatli olmak gerekiyor: yanlış tıklama hikâyesi ve menü ekran görüntüsü.

Konu	Durum	Not
Tarih, saatler, 38 dakika	Doğrulandı	FCC raporunun zaman çizelgesi: 08:07 uyarı, 08:45 düzeltme.
Test ve gerçek aynı menüdeydi	Doğrulandı	Raporun arayüz bölümü bunu açıkça yazıyor.
"Görevli yanlış seçeneğe tıkladı"	Kaynakla çelişiyor	Rapora göre görevli gerçek uyarıyı seçti. HI-EMA'nın FCC'ye aktardığına göre saldırının gerçek olduğuna inanıyordu.
Dolaşan menü görüntüsü	Gerçek ekran değil	Civil Beat'in 16 Ocak 2018 haberine göre valilik ofisinin dağıttığı görüntü bir örnekti. Gerçekte görevlinin ekranında bu kadar seçenek yoktu.
Gerçek ekranın görünüşü	Bilinmiyor	HI-EMA güvenlik gerekçesiyle gerçek ekranı yayımlamadı. FCC raporundaki Ek B ise olaydan sonra güncellenen menünün bir çizimidir.

Görüntü meselesinin bir devamı da var. Civil Beat'e göre HI-EMA, 16 Ocak Salı günü sözcüsünün "daha doğru" dediği ikinci bir görüntü verdi. O görüntüde de yanlış alarm seçeneği vardı, ama bu seçenek olaydan sonra eklenmişti.

Yani internette "işte o menü" diye paylaşılan ekranların hiçbiri 13 Ocak sabahının ekranı değil. Ben de bu yüzden demoyu kurgusal yaptım.

Görevlinin anlatımını doğrulayacak başka bir kaynak bulamadım. Rapor da "claims" (iddia ediyor) fiiliyle yazıyor. Bu sayfada görevlinin ne düşündüğünü değil, ne söylediğini aktarıyorum.

Deneyin: yanlış alarmı önleyin

Aşağıda aynı işi iki ekranda yapacaksınız. Önce kötü tasarımda "Test füze uyarısı"nı göndermeye çalışın, sonra iyi tasarıma geçin.

Deneyin: yanlış alarmı önleyin

Bu iki ekran kurgusaldır, gerçek arayüzün kopyası değildir. JavaScript açıkken iki tasarım arasında geçiş yapıp mesaj göndermeyi deneyebilirsiniz.

Kötü tasarım: test ve gerçek aynı listede

Uyarı paneli · Şablon seçin

Şablonlar

• Tsunami uyarısı
• Test füze uyarısı
• Füze uyarısı
• Test tsunami uyarısı

Testle gerçeği ayıran tek şey, satırın başındaki "Test" kelimesi. Gönder butonu ve onay sorusu ikisinde de aynı. Gidecek mesajın metni hiç görünmüyor.

İyi tasarım: ayrı ortam, önizleme ve ikinci onay

Tatbikat ortamı şablonları

• Tatbikat: füze uyarısı

Gerçek ortam şablonları

• Füze uyarısı
• Yanlış alarm düzeltmesi

Bu demo tamamen kurgusaldır. Gerçek Hawaii arayüzünün kopyası değildir; gerçek ekran hiç yayımlanmadı. Kötü tasarımda test ve gerçek şablon aynı listede durur, onay sorusu ikisinde aynıdır. İyi tasarımda önce ortamı seçersiniz, mesajın tam metnini görürsünüz ve gerçek uyarı için ikinci bir onay gerekir.

Klavyeyle de deneyebilirsiniz. Tasarım ve ortam seçicilerinde ok tuşlarıyla gezinin, diğer butonlarda Tab ve Enter yeter. Her sonuç demonun altında yazıyla çıkar.

İyi tasarımda yanlış satırı seçmek zorlaşır, çünkü gerçek uyarı başka bir ortamda durur. Ama asıl fark ikinci onaydadır. Görevli tatbikatı gerçek sansa bile, metni okuyan ikinci kişi durumu sorabilir.

Bugün için ders: hata önleme

Bu olayı çoğu zaman "kötü bir açılır menü" diye anlatırız. Rapor ise başka bir şey söylüyor: görevli doğru satırı seçtiğini düşünüyordu. Bu yüzden ders menüden daha geniş.

Yanlış tıklama ile yanlış inanç

Nielsen'in 10 ilkesi arasında beşinci ilke, hata önleme ilkesidir. Nielsen iki tür hatayı ayırır.

Kayma (slip), dikkatsizlikten doğan bilinçsiz bir hatadır. Yanılgı (mistake) ise kullanıcının zihinsel modeli ile tasarım uyuşmadığında yapılan bilinçli bir hatadır.

Bence menüyü ayırmak en çok kaymaya karşı işe yarar. Yanılgıya karşı ise kişinin inancını sınayan bir adım gerekir. Mesajın tam metnini gösteren önizleme ya da metni okuyan ikinci bir kişi bu işi görür.

Nielsen de önce maliyeti en yüksek hataları önlemeyi önerir. Halka giden bir füze uyarısı bu listenin en başında durur.

Bugün kendi ürününüzde bakılacaklar

• Test ve gerçek ortam karışıyor mu? Ödeme, toplu e-posta ya da bildirim gönderen panellerde test modu renkle ve ayrı bir bantla ayrılmalı.
• Onay sorusu ne gideceğini söylüyor mu? Nielsen'in 2018'deki onay penceresi yazısı "emin misiniz" türü genel soruları eleştirir. Pencere öğenin adını ve sonucunu söylemeli, butonlar Evet/Hayır yerine sonucun adını taşımalı.
• Onay her yerde mi çıkıyor? Aynı yazıya göre sık çıkan onay penceresi okunmadan geçilir. Onayı yalnızca ciddi ve geri alınamayan işlere saklayın.
• Düzeltme yolu hazır mı? Hawaii'de düzeltme için hazır bir protokol yoktu ve bu, gecikmeye katkı yaptı. Yanlış giden bir kampanya ya da bildirim için hazır bir düzeltme şablonunuz var mı?

Bu kontroller bir heuristik değerlendirmenin parçasıdır. Hata metinlerinin nasıl yazılacağını da hata mesajları kalıbında anlattım.

Benim notum

Bu hikâyeyi anlatırken "beceriksiz bir çalışan yanlış butona bastı" demek kolay. Rapor beni bundan alıkoyuyor. Görevli, kayıtta "bu bir tatbikat değil" cümlesini duyduğunu ve tehdidin gerçek olduğuna inandığını söylüyor.

Audit'lerde de buna benzer bir şey görürüm. Yönetim panellerinde "canlıya gönder" ile "test gönder" çoğu zaman yan yana, aynı renkte durur. Ekip bunu sorun saymaz, çünkü kendisi hiç karıştırmamıştır.

Benim önerim hep aynı: geri alınamayan her gönderimde mesajın tam metnini gösterin ve butona sonucun adını yazın. İş gerçekten ağırsa ikinci bir kişiyi sürece katın. Hawaii'de bu kural olaydan sonra geldi.