Norsk Hydro bị tấn công mạng: chạy thủ công và nói thật mỗi ngày

Tháng 3 năm 2019, một tập đoàn nhôm Na Uy với hơn 36.000 nhân viên cuối năm đó bị mã độc làm tê liệt máy tính (Norsk Hydro ASA, 2020). Câu hỏi cho chủ doanh nghiệp: nếu hệ thống của bạn mất một tuần, cái gì chạy bằng tay được, và ai nói gì với khách vào giờ nào? Bài này đọc hai nguồn công khai về Hydro, báo cáo thường niên 2019 và một nghiên cứu ca, rồi đặt chúng cạnh năm quá trình của tổ chức độ tin cậy cao.

Điều gì đã xảy ra, theo báo cáo của chính Hydro?

Ngày 19/3/2019, Hydro hứng một cuộc tấn công mạng quy mô lớn. Cuộc tấn công ảnh hưởng toàn tổ chức; mảng Extruded Solutions chịu khó khăn vận hành và thiệt hại tài chính lớn nhất. Bốn mảng còn lại (Bauxite & Alumina, Primary Metal, Rolled Products, Energy) vẫn sản xuất gần bình thường, nhưng dựa trên quy trình thủ công và cách xử lý lách hệ thống tốn nhiều công sức, theo báo cáo (Norsk Hydro ASA, 2020). Tổng chi phí ước tính là 650 đến 750 triệu NOK; Hydro có bảo hiểm an ninh mạng và ghi nhận 216 triệu NOK bồi thường trong năm 2019 (Norsk Hydro ASA, 2020).

Việc khôi phục: mọi máy tính và máy chủ được rà soát, làm sạch và khôi phục theo hướng dẫn nghiêm ngặt; máy bị mã hoá được dựng lại từ bản sao lưu. Sau đó Hydro tổ chức lại đội an ninh và đào tạo nhân viên, nhưng báo cáo nói các biện pháp này vẫn có thể không đủ để ngăn tấn công (Norsk Hydro ASA, 2020).

Chạy thủ công trông thế nào trong thực tế?

Nghiên cứu ca của Salviotti và cộng sự dựa vào lời kể của người phụ trách truyền thông, giám đốc an ninh thông tin và giám đốc thông tin của Hydro, trích từ một buổi trực tuyến và hai podcast; các tác giả không phỏng vấn được ban điều hành (Salviotti et al., 2023, p. 6071). Từ nguồn đó:

• Cuộc tấn công được phát hiện ở Mỹ ngay sau nửa đêm, rồi lan sang Hungary. Khoảng 3 giờ sáng, trưởng bộ phận hạ tầng tự quyết định tắt 23.000 máy tính và 3.000 máy chủ (Salviotti et al., 2023, p. 6072).
• Nhân viên đưa các hệ thống về sản xuất thủ công, và nhiều dây chuyền phải dừng (Salviotti et al., 2023, p. 6071). Hai ngày sau, theo bài, Extruded Solutions chạy gần 100% và Rolled Products khoảng 50% công suất (Salviotti et al., 2023, p. 6072); báo cáo thường niên không có số theo ngày và nói Extruded Solutions chịu nặng nhất, nên hai nguồn không khớp, và tôi không dựa vào các tỷ lệ này.
• Khi mất hết kênh liên lạc thông thường, nội bộ dùng WhatsApp và áp phích viết tay, bên ngoài dùng Facebook và Twitter. Chiến dịch CyberHeroes của Hydro có cả nhân viên cũ được gọi về giúp dựng vận hành thủ công, và một nhân viên tên Jan, vốn ghét máy tính, đã in sẵn toàn bộ đơn hàng và thông số trong những năm làm ở Hydro nên có mọi thứ trên giấy (Salviotti et al., 2023, p. 6073).

Điều cần nhớ là về an ninh mạng, Hydro đã không chuẩn bị tốt. Nghiên cứu ghi nhận trước 2019 hãng thiếu biện pháp bảo mật, an ninh thiết bị đầu cuối yếu, kiến trúc chưa tối ưu, sao lưu dữ liệu chưa đủ, và ban điều hành xem nhẹ an ninh mạng (Salviotti et al., 2023, p. 6072). Riêng truyền thông thì khác: người phụ trách an ninh thông tin nói truyền thông là một phần của đội khủng hoảng, và đó là việc họ đã chuẩn bị và tập trước (Salviotti et al., 2023, p. 6073).

Truyền thông minh bạch: Hydro làm gì, và theo lời ai?

Theo người phụ trách truyền thông, lúc 7 giờ sáng ngày xảy ra, nhóm chốt các nguyên tắc "chủ động, minh bạch và thường xuyên", ban điều hành đăng thông báo cho sở giao dịch trước 9 giờ, và đến 3 giờ chiều đã có buổi trực tuyến đầu tiên với bên ngoài (Salviotti et al., 2023, p. 6072). Trong nội bộ, mỗi sáng 9 giờ có một buổi cập nhật, kể cả khi không có tin mới; nhân viên được đặt câu hỏi; buổi họp được ghi lại và đưa lên ứng dụng tin tức để nhân viên ở các múi giờ khác xem. Người phụ trách truyền thông nhấn mạnh ngôn ngữ giản dị và cả sự hài hước (Salviotti et al., 2023, p. 6073). Với khoảng 30.000 khách hàng, họ chọn cập nhật thường xuyên và trực tiếp; người này nói khách hài lòng vì được báo từ đầu, nên Hydro "mất rất ít khách" (Salviotti et al., 2023, p. 6073).

Aoyama và cộng sự (2019) cũng phân tích ca này. Phần tóm tắt cho biết Hydro kết hợp phương tiện truyền thống và mạng xã hội, cập nhật thường xuyên về cuộc tấn công, và nhóm tác giả gợi ý tính nhanh, minh bạch và củng cố tích cực là yếu tố thành công (Aoyama et al., 2019).

Cần nhìn vào độ mạnh của bằng chứng. Cả hai nguồn dựa chủ yếu vào lời kể và thông tin công khai của chính Hydro; câu "mất rất ít khách" là lời của người phụ trách truyền thông, và các nguồn tôi đọc không có số liệu khách hàng độc lập. Nghiên cứu ca còn nói giá cổ phiếu tăng sau sự cố, dẫn một bài báo (Salviotti et al., 2023, p. 6071), nhưng báo cáo thường niên ghi cổ phiếu đóng cửa năm 2019 ở 32,64 NOK, lợi suất chưa tính cổ tức âm 17%, trong năm còn có hạn chế sản xuất ở Alunorte và thị trường suy giảm (Norsk Hydro ASA, 2020); tôi không dùng giá cổ phiếu làm bằng chứng cho truyền thông.

Năm quá trình của tổ chức độ tin cậy cao áp vào ca này ra sao?

Khung trên site nêu năm quá trình chánh niệm tập thể mà Weick và cộng sự (1999) tả cho tổ chức nơi sai sót nhỏ có thể gây thảm hoạ Tổ chức độ tin cậy cao (năm quá trình). Tôi chưa đọc bài gốc, nên bảng dưới là cách đọc của tôi, ghép từng quá trình với chi tiết có nguồn.

Có hai chỗ cần thận trọng. Tôi tự ghép chi tiết với quá trình, không kiểm với ai khác, và các chi tiết đến từ cùng một nhóm nguồn. Nghiên cứu ca còn dùng một khung khác, của Wooten và James (2008), chứ không phải năm quá trình này.

Nếu hệ thống của bạn mất một tuần thì sao?

Bảng kiểm này là suy luận của tôi từ ca Hydro, chưa kiểm với doanh nghiệp nhỏ. Mỗi dòng gắn với một chi tiết trong ca.

Tôi cho rằng cách này hợp nếu bạn làm một lần, trong nửa ngày, với người phụ trách vận hành và người phụ trách hệ thống. Nó không thay được việc phòng ngừa: Hydro vẫn bị tấn công, và nghiên cứu ca coi sự thiếu hiểu biết trước đó là yếu tố làm tăng mức phơi nhiễm (Salviotti et al., 2023, p. 6074).

Đào sâu: đã đọc gì, chưa đọc gì?

Báo cáo thường niên 2019 của Hydro là tài liệu của chính công ty; tôi đọc các đoạn về cuộc tấn công, chi phí, bồi thường và khôi phục, không đọc toàn bộ. Nghiên cứu ca của Salviotti và cộng sự (2023) tôi đọc toàn văn (truy cập mở); dữ liệu chính là ba cuộc phỏng vấn thứ cấp với quản lý của Hydro cùng tài liệu công khai. Bài nêu chi phí 400 đến 450 triệu NOK, thấp hơn 650 đến 750 triệu của báo cáo thường niên; tôi dùng số của báo cáo. Bài cũng có hai số khác nhau về máy bị ảnh hưởng, nên tôi chỉ nêu số tắt máy lúc 3 giờ sáng và nói rõ nó từ lời kể.

Tôi chỉ đọc phần tóm tắt của Aoyama và cộng sự (2019), vì bài hội nghị này bị chặn sau cổng trả phí. Tôi chưa đọc bài gốc của Weick và cộng sự (1999) về năm quá trình; bảng ở mục trên dựa vào mô tả của khung trong thư viện.