Khi một công ty lớn bị xâm phạm dữ liệu, một khoảng thời gian khó chịu – vài tuần, đôi khi vài tháng, thậm chí một năm – dường như trôi qua trước khi nạn nhân được báo rằng dữ liệu cá nhân có thể đã rơi vào tay nhóm kẻ xấu.
Để bối cảnh, Uber – công ty cung cấp dịch vụ gọi xe thay thế taxi trên toàn cầu – đã biết về vụ xâm phạm từ tháng 10/2016 nhưng không công bố cho đến khi Bloomberg báo đạo tháng 11/2017! Tệ hơn, họ thậm chí trả tiền chuộc cho hacker, hy vọng việc đó không lên trang nhất báo (kế hoạch hiển nhiên đã thất bại thảm hại).
Vấn đề lớn là gì? Tại sao các công ty như Uber, Equifax, Yahoo lại che giấu vụ rò rỉ dữ liệu lâu như vậy?
Không Muốn Khách Hàng Mất Niềm Tin
Nghe có vẻ phản tác dụng, nhưng một số giám đốc tưởng rằng nếu lấp liếm vụ rò rỉ, khách hàng sẽ vẫn tin tưởng họ. Họ hy vọng vụ việc không gây hại quá lớn. Khi bụi bặm tan đi, họ có thể công bố mà không ảnh hưởng quá nhiều.
Theo cách nào đó, điều này giống như đứa trẻ điểm kém ngần ngại cho mẹ xem phiếu điểm. Mẹ biết nó sẽ đến, nhưng con hy vọng mẹ quên, học kỳ sau điểm tốt hơn, rồi cho xem điểm tốt cạnh điểm kém. "Thấy chưa, không tệ đâu!" con sẽ nói.
Thật không may, cách làm này phản tác dụng như nghe. Khách hàng cảm thấy bị phản bội khi biết dữ liệu cá nhân mình "chạy lung tung" nhiều tháng mà không hay. Đặc biệt khi số an sinh xã hội, số thẻ tín dụng hoặc dữ liệu nhạy cảm khác bị liên quan.
Không Muốn Giá Cổ Phiếu Giảm
Theo cùng logic, các công ty niêm yết trên sàn giao dịch lớn có thể che giấu vụ rò rỉ vì cùng lý do. Khác biệt là họ không muốn cổ đông hoang mang. Nếu vụ rò rỉ không được xem là đặc biệt hại, giá cổ phiếu sẽ không sụt giảm thẳng tắp.
Cổ đông có thể khoan dung hơn. Ví dụ, khi Equifax công bố vụ rò rỉ ngày 7/9/2017, cổ phiếu giao dịch quanh $464. Ngay sau đó, ngày 11/9, giá lên $474. Equifax không bị ảnh hưởng. Khi tháng trôi qua, giá giảm dần, cuối tháng giao dịch ở $434 ngày 26/9.
Sau đó, khi tin tức nguôi đi, giá không bao giờ chạm mức thấp đó nữa. Đến tháng 11 giá cao hơn mức ngày 11/9, đỉnh tại $494/cổ phiếu.
Ngoài Ra, Cái Tự Ti
Hãy tưởng tượng bạn là CEO: Dẫn dắt công ty n nghìn nhân viên, tỷ USD tài sản, chục triệu người dùng/khách hàng. Đột ngột, một hacker lười biếng tìm ra lỗ hổng trên server mà bộ IT quên vá nhiều tháng trước. Chỉ cần một sinh viên nghỉ học trong căn hộ studio cũng đủ làm bạn sấp mặt.
Đó là cú đánh nặng cho cái tôi! Bạn nghĩ hầu hết người có chút tự phụ sẽ làm gì?
Đôi khi, ngay cả giám đốc có tính chính trực tốt nhất cũng chọn "cưỡi sóng chờ gió" xem có tự hết không. Rồi nó quay lại cắn họ, và họ hối hận vì đã quá muộn. Họ có trách nhiệm nhưng không dũng cảm thừa nhận lỗi lầm trước chính những người bị tấn công làm nạn nhân.
Giải Pháp
Ở hầu hết các quốc gia phát triển, có luật an ninh mạng trong mã thương mại không cho phép quá nhiều thời gian trôi qua giữa việc phát hiện rò rỉ và công bố. Việc che giấu như của Uber tháng 11/2017 bị phạt nặng bởi Ủy ban Thương mại Liên bang Mỹ (FTC), ví dụ một.
Thậm chí có dự luật đang chạy qua Quốc hội Mỹ sẽ án tù giám đốc che giấu rò rỉ trong thời gian dài không hợp lý.
Lúc này, bạn không thể làm gì về các vụ rò rỉ này ngoài việc cẩn trọng với dữ liệu cá nhân, nhưng chính phủ đã có luật phạt các công ty này. Mỹ đang tiến thêm bước bằng cách thêm án tù vào các hình phạt có thể.
Cần nhắc lại lần nữa: bạn không nên đặt quá nhiều thông tin nhạy cảm lên Internet – bất kể thực thể bạn tin cậy đến đâu – trừ khi bạn thực sự bắt buộc phải làm vậy.
Bạn nghĩ sao? Giám đốc có nên bị tù vì che giấu rò rỉ dữ liệu ảnh hưởng khách hàng công ty họ đại diện? Hãy cho chúng tôi biết suy nghĩ trong bình luận!