Tháng 11/2016, hacker lấy dữ liệu khoảng 57 triệu người dùng và 600.000 số bằng lái xe của Uber. Thay vì thông báo, giám đốc an ninh khi đó thu xếp trả 100.000 USD bằng bitcoin để đổi lấy cam kết bí mật và giấu cả FTC, cơ quan đang điều tra vụ rò rỉ năm 2014. Sự việc lộ ra năm 2017 khi ban lãnh đạo mới điều tra; tháng 10/2022 bồi thẩm đoàn kết tội vì cản trở và che giấu.
Khoản tiền được trả để đổi lấy cam kết im lặng, tức là dùng hợp đồng để thay thế việc thông báo cho người bị ảnh hưởng và cơ quan quản lý. Bộ quy tắc đạo đức và ứng xử nghề nghiệp của PMI đòi hỏi trung thực và công bố đầy đủ thông tin cho các bên liên quan.
Việc giấu rồi bị lộ kéo theo hậu quả hình sự, mất người lãnh đạo, ảnh hưởng uy tín với khách hàng và cơ quan quản lý; phân tích rủi ro cần tính cả rủi ro “bị lộ về sau” khi cân nhắc không công bố.
Xác định ai phải được báo trong bao lâu, độc lập với ý muốn của người xử lý sự cố:
Báo pháp lý, tuân thủ và lãnh đạo cao nhất trong thời hạn quy định; pháp lý đánh giá nghĩa vụ báo cơ quan quản lý và người dùng.
Pháp lý phải biết ngay; mọi trao đổi với cơ quan quản lý phải kèm thông tin về sự cố mới.
Dừng lại, báo lãnh đạo và pháp lý, không tự quyết; ghi lại đề nghị bằng văn bản.
Thiết lập kênh báo cáo ẩn danh tới ban kiểm toán hoặc lãnh đạo, bảo vệ người báo cáo.
Nhờ pháp lý xác định nghĩa vụ thông báo; chỉ sau đó mới chọn cách xử lý với kẻ tấn công.
Giấu một rò rỉ dữ liệu chỉ hoãn cái giá chứ không xoá nó, và thường làm cái giá lớn hơn nhiều. PM cần ma trận leo thang bắt buộc, kênh báo cáo độc lập và nguyên tắc trung thực của nghề nghiệp ngay cả khi áp lực giữ kín đến từ cấp cao.
Bạn chọn phương án nào?