Máy chủ kiểm thử bị xâm nhập giữa dự án ví điện tử: dữ liệu thật nằm ở nơi không nên
Sáng thứ Hai, máy chủ kiểm thử của dự án tính năng trả góp bị truy cập trái phép bằng một khoá truy cập lộ trên kho mã công khai. Trên máy có bản sao dữ liệu thật của 50.000 khách hàng. Với vai trò PM, bạn làm gì trước, và việc gì không thuộc thẩm quyền của bạn?
Bối cảnh
Bạn là PM dự án phát triển tính năng mua trước trả sau (BNPL) cho một ví điện tử (tình huống giả định). Đội 20 người, dự án 6 tháng, đang ở tháng thứ 4; ngày ra mắt đã thống nhất với đối tác tài chính là sau 8 tuần nữa. Sáng thứ Hai, đội vận hành phát hiện máy chủ kiểm thử (staging) bị truy cập trái phép trong cuối tuần. Nhật ký truy cập cho thấy kẻ tấn công dùng một khoá truy cập dịch vụ đám mây mà một lập trình viên vô tình đẩy lên kho mã công khai cá nhân ba tuần trước. Tệ hơn, máy chủ này chứa bản sao dữ liệu thật của khoảng 50.000 khách hàng (họ tên, số điện thoại, lịch sử giao dịch) — đội đã chép từ môi trường vận hành để kiểm thử, trái với chính sách bảo mật của công ty. Công ty có quy trình ứng phó sự cố an ninh do Giám đốc an ninh thông tin (CISO) phụ trách và bộ phận pháp chế lo nghĩa vụ thông báo vi phạm dữ liệu cá nhân theo pháp luật. Sổ đăng ký rủi ro của dự án có rủi ro “lỗ hổng bảo mật trong mã nguồn”, nhưng không có rủi ro về lộ thông tin bí mật hay dữ liệu thật ngoài môi trường vận hành.