Một câu chuyện được The Register đăng tải ngày 6/11 hé lộ tình huống khó tin trong công tác an toàn thông tin tại một bệnh viện. Theo lời kể của kỹ thuật viên công nghệ thông tin (IT) từng làm việc tại đây, một bác sĩ có tiếng trong lĩnh vực nghiên cứu ghép tạng thường xuyên truy cập các website người lớn trên máy tính công vụ, khiến nhiều thiết bị trong phòng thí nghiệm liên tục nhiễm mã độc.

Người kể chuyện sử dụng tên thay thế Mason, cho biết anh từng phụ trách hỗ trợ kỹ thuật cho các phòng thí nghiệm của bệnh viện. Trong quá trình làm việc, anh nhiều lần phải xử lý sự cố trên máy tính của vị bác sĩ nói trên. Có thời điểm, tần suất nhiễm mã độc lên đến vài lần mỗi tuần. Mason khẳng định đã báo cáo với cấp quản lý về hành vi sử dụng thiết bị sai mục đích cũng như nguy cơ mất an toàn thông tin, nhưng không nhận được biện pháp can thiệp đáng kể. Vị thế chuyên môn của bác sĩ được cho là một trong những nguyên nhân khiến ban lãnh đạo ngần ngại xử lý.

Tình hình trở nên nghiêm trọng hơn khi bệnh viện hứng chịu một cuộc tấn công bằng mã độc, gây ra thiệt hại đáng kể. Trong quá trình khắc phục, nhóm kỹ thuật phát hiện nhật ký hệ thống cho thấy máy tính của bác sĩ có liên quan đến quá trình phát tán phần mềm độc hại. Đáng chú ý, thời điểm ghi nhận hoạt động này trùng với lúc ông truy cập các website người lớn. Mason cho rằng những bằng chứng trên sẽ khiến lãnh đạo bệnh viện phải đưa ra hình thức kỷ luật nghiêm khắc.

Tuy nhiên, phương án được lựa chọn lại khiến kỹ thuật viên bất ngờ. Thay vì xử lý vi phạm, bệnh viện quyết định tách biệt nhu cầu sử dụng máy tính cá nhân và công việc của vị bác sĩ. Bộ phận IT được yêu cầu lấy một thiết bị cũ trong kho, cài đặt lại rồi bàn giao để ông sử dụng cho mục đích riêng. Máy tính phục vụ chuyên môn được giữ lại nhằm hạn chế nguy cơ lây nhiễm mã độc sang hệ thống công vụ.

Mason phản đối quyết định này vì cho rằng cách xử lý không giải quyết tận gốc vấn đề, đồng thời tạo tiền lệ xấu trong quản lý an toàn thông tin. Tuy nhiên, người quản lý cho biết đây là chỉ đạo từ giám đốc công nghệ thông tin (CIO), đồng thời cảnh báo anh có thể làm theo hoặc nghỉ việc. Sau đó, Mason chỉ còn phải xử lý sự cố trên chiếc máy tính riêng khoảng một lần mỗi năm, thường là khi thiết bị hỏng nặng.

Nhiều năm sau, câu chuyện tiếp tục được nhắc lại khi một số nghiên cứu sinh của vị bác sĩ khởi kiện. Theo Mason, sự tồn tại của chiếc máy tính riêng được đưa vào tài liệu vụ kiện như bằng chứng cho thấy bệnh viện đã biết về hành vi vi phạm nhưng không có biện pháp xử lý phù hợp. Vụ việc là lời cảnh báo về nguy cơ an ninh mạng từ thói quen sử dụng thiết bị thiếu an toàn, đồng thời cho thấy những lỗ hổng trong quản trị công nghệ có thể gây ra hậu quả vượt xa phạm vi một chiếc máy tính nhiễm mã độc.