Nghiên cứu Tình Huống Nhóm 4: Kế Hoạch Sáp Nhập Tài Chính Môn Thương mại điện tử | Trường Đại học Công nghiệp Thành phố Hồ Chí Minh

Bài tập nhóm chương 3 Danh sách thành viên nhóm Văn Ngọc Danh _ 22691791 Lê Ngọc Thiếu _22689801 Huỳnh Tấn Lộc_22686171 Vi Thanh Hiếu_22646461 Tình huống
Ban Giám đốc của một tổ chức dịch vụ tài chính quốc tế
đang xem xét kế hoạch sáp nhập bí mật.
CIO nhận được một email đòi tiền chuộc từ một nguồn
không xác định nói rằng họ biết về kế hoạch sáp nhập và
có thông tin cá nhân của 150.000 khách hàng. Một mẫu
chi tiết cá nhân của 500 khách hàng đã được đưa vào
email đòi tiền chuộc làm "bằng chứng".
Tổ chức phải trả khoản tiền chuộc đáng kể bằng Bitcoin.
Nếu không, kế hoạch sáp nhập sẽ bị công bố và thông tin
khách hàng sẽ bị bán công khai trên mạng. Yêu cầu
1. Tài sản bị thiệt hại, nguyên tắc bảo mật bị vi phạm, thiệt hại
 Tài sản bị thiệt hại:
o Thông tin cá nhân của 150.000 khách hàng,
trong đó có thông tin chi tiết của 500 khách hàng
đã bị rò rỉ. Đây là tài sản vô cùng quan trọng đối
với tổ chức dịch vụ tài chính.
o Kế hoạch sáp nhập bí mật có thể bị lộ, ảnh
hưởng nghiêm trọng đến giá trị thị trường và khả
năng cạnh tranh của tổ chức.
o Danh tiếng của công ty bị ảnh hưởng nếu thông
tin khách hàng bị phát tán hoặc kế hoạch sáp nhập bị công khai.
 Nguyên tắc bảo mật bị vi phạm:
o Nguyên tắc bí mật: thông tin khách hàng đã bị
phá vỡ, vi phạm các quy định về bảo mật dữ liệu
như GDPR (nếu áp dụng cho tổ chức).
 Thiệt hại:
o Tài chính: Chi phí cho việc thanh toán tiền
chuộc (nếu thực hiện), hoặc chi phí điều tra và
khắc phục hệ thống an ninh.
o Uy tín: Mất lòng tin từ khách hàng và đối tác
kinh doanh, dẫn đến giảm giá trị thương hiệu và
khả năng bị xử phạt bởi cơ quan quản lý.
o Pháp lý: Nguy cơ bị kiện tụng và phạt tiền do vi
phạm quy định bảo vệ dữ liệu.
2. Phương thức tấn công
 Phương thức tấn công có thể xảy ra:
o Phishing (lừa đảo): Email đòi tiền chuộc có thể
đến từ một cuộc tấn công lừa đảo qua email,
trong đó các đối tượng đã lấy được thông tin
khách hàng qua một hệ thống bị xâm nhập.
o Tấn công nội bộ (Insider Threat): Có khả năng
một nhân viên nội bộ hoặc đối tác đã rò rỉ thông tin ra bên ngoài.
o Tấn công SQL injection: có khả năng kẻ tấn
công vào cơ sở dữ liệu của công ty. 3. Ứng phó
 Phân tích tình huống:
o Ngay lập tức thành lập đội phản ứng nhanh bao
gồm các chuyên gia an ninh mạng, pháp lý và
truyền thông để đánh giá tình hình.
o Xác định xem thông tin đòi chuộc có thực sự
xuất phát từ việc rò rỉ dữ liệu hay không. Kiểm
tra tính xác thực của mẫu thông tin của 500 khách hàng.
o Tìm hiểu xem nguồn gốc của cuộc tấn công đến
từ đâu (hacker, tấn công nội bộ, hay nguyên nhân khác).
 Giảm thiểu thiệt hại:
o Khóa quyền truy cập vào hệ thống dữ liệu khách
hàng để tránh rò rỉ thêm.
o Thông báo cho các bên liên quan (ban giám đốc,
đối tác, khách hàng bị ảnh hưởng) về vụ việc
một cách trung thực nhưng cần cân nhắc về nội
dung để tránh hoảng loạn.
o Báo cáo sự cố với cơ quan chức năng để hỗ trợ
trong việc điều tra và giảm thiểu thiệt hại pháp lý.
 Truyền thông nội bộ và công khai:
o Xác lập một kế hoạch truyền thông minh bạch
nhưng kiểm soát thông tin. Tránh cung cấp thông
tin quá chi tiết gây bất lợi cho tổ chức.
o Gửi thông báo tới khách hàng để cập nhật tình
hình, đồng thời cam kết sẽ thực hiện các biện
pháp bảo vệ thông tin trong tương lai.
4. Khắc phục
 Phân tích thiệt hại:
o Đánh giá toàn diện thiệt hại về mặt tài chính,
danh tiếng, và các rủi ro pháp lý. Điều này bao
gồm cả việc kiểm tra xem có bao nhiêu dữ liệu bị
lộ và mức độ ảnh hưởng đến kế hoạch sáp nhập.
o Phân tích hệ thống bảo mật để phát hiện các lỗ hổng đã bị khai thác.
 Biện pháp khắc phục:
o Nâng cấp hệ thống bảo mật: Tiến hành kiểm
tra và vá lỗi bảo mật trên toàn bộ hệ thống. Áp
dụng các biện pháp an ninh mạng mạnh mẽ hơn
như mã hóa dữ liệu, hệ thống cảnh báo xâm
nhập, và đào tạo nhân viên về bảo mật.
o Khôi phục niềm tin: Đền bù thiệt hại cho khách
hàng bị ảnh hưởng nếu cần thiết và cam kết bảo
vệ dữ liệu tốt hơn trong tương lai.
o Xem xét pháp lý: Tổ chức cần làm việc với các
chuyên gia pháp lý để giải quyết các trách nhiệm
liên quan đến rủi ro pháp luật, bao gồm việc tuân
thủ các quy định về bảo vệ dữ liệu.
Bài học kinh nghiệm: 5. Bảo vệ -… -….
Gợi ý: Kiểm soát truy cập, nhận thức và đào tạo,
bảo mật dữ liệu, quy trình, thủ tục bảo vệ thông tin,
bảo trì, công nghệ/dịch vụ bảo mật 6. Phát hiện - …. - …
Gợi ý: Phát hiện các thao tác bất thường, giám sát
liên tục an ninh, quy trình phát hiện