Tình huống về #Bảo vệ dữ liệu

Số 449Quản lý Tích hợp

Marriott và hệ thống đặt phòng của Starwood (2014–2020): kế thừa hệ thống IT sau sáp nhập và khoản phạt GDPR 18,4 triệu bảng

Kẻ tấn công đã nằm trong hệ thống đặt phòng của Starwood từ năm 2014. Marriott mua Starwood năm 2016, tiếp tục vận hành hệ thống này và chỉ phát hiện xâm nhập vào tháng 9/2018, khi khoảng 339 triệu bản ghi khách lưu trú đã bị ảnh hưởng. Năm 2020, ICO (Anh) phạt Marriott 18,4 triệu bảng vì không bảo đảm an toàn dữ liệu trên hệ thống được kế thừa. Bài học về tích hợp sau sáp nhập: mua công ty là mua cả rủi ro kỹ thuật của họ.

0 0 004/09/2026

Số 452Quản lý Rủi ro

Cơ quan Thuế Hà Lan (2021): dữ liệu quốc tịch kép trong hệ thống đánh giá rủi ro trợ cấp trẻ em và khoản phạt 2,75 triệu euro

Cơ quan Bảo vệ dữ liệu Hà Lan (AP) phạt Bộ Tài chính 2,75 triệu euro — mức phạt cao nhất của AP khi đó — vì cơ quan thuế xử lý dữ liệu quốc tịch kép của người xin trợ cấp chăm sóc trẻ em một cách trái luật và phân biệt đối xử, kể cả trong một hệ thống đánh giá rủi ro. Dữ liệu lẽ ra phải xoá từ năm 2014 nhưng năm 2018 vẫn còn của khoảng 1,4 triệu người. Bài học về rủi ro khi đưa dữ liệu nhạy cảm vào mô hình chấm điểm.

0 0 003/09/2026

Số 456Quản lý Mua sắm

MOVEit Transfer (05–06/2023): lỗ hổng phần mềm truyền tệp và dữ liệu lương của nhân viên BBC, British Airways, Boots bị lộ qua nhà cung cấp

Cuối tháng 5/2023, nhóm CL0P khai thác một lỗ hổng chưa được biết trong MOVEit Transfer — phần mềm truyền tệp của Progress Software — để lấy dữ liệu từ nhiều tổ chức. Ở Anh, nhà cung cấp dịch vụ tính lương Zellis bị ảnh hưởng, kéo theo dữ liệu nhân viên của khách hàng như BBC, British Airways và Boots. Các tổ chức này không dùng MOVEit trực tiếp. Bài học về quản lý nhà cung cấp xử lý dữ liệu và chuỗi phần mềm phía sau họ.

0 0 001/09/2026

Số 457Quản lý Chất lượng

Optus (2022): lộ dữ liệu khoảng 9,5 triệu người Úc vì lỗi mã kiểm soát truy cập được sửa trên tên miền chính nhưng không trên tên miền bỏ quên

Tháng 9/2022, nhà mạng Optus (Úc) bị lấy dữ liệu khách hàng qua một API trên tên miền phụ không còn dùng. Theo hồ sơ khởi kiện của Cơ quan Truyền thông Úc (ACMA), một thay đổi mã năm 2018 làm vô hiệu kiểm soát truy cập của API; Optus phát hiện và sửa lỗi trên tên miền chính năm 2021 nhưng không sửa trên tên miền phụ. Cơ quan bảo vệ thông tin (OAIC) sau đó cũng khởi kiện. Bài học về quản lý chất lượng: sửa lỗi phải sửa mọi nơi lỗi tồn tại.

0 0 031/08/2026