Nhân viên hội đồng bị án treo vì truy cập trái phép dữ liệu cá nhân
"A Herefordshire Council employee was sentenced after unlawfully accessing around 490 personal records and downloading 94 documents over four days, including sensitive medical, social worker, and child assessment data. He pleaded guilty under Section 1 of the UK Computer Misuse Act 1990 and received a two-month prison sentence suspended for 12 months, plus unpaid work and costs; no software vulnerability or CVE was involved."
Vụ việc cho thấy rủi ro nghiêm trọng từ lạm dụng quyền truy cập nội bộ đối với dữ liệu y tế và đánh giá trẻ em; tác động chính nằm ở truy cập trái phép có hệ thống và nguy cơ lộ thông tin nhạy cảm.
Ngoài hậu quả pháp lý, sự cố làm tăng rủi ro mất niềm tin và chi phí tuân thủ/điều tra; đồng thời nhấn mạnh nhu cầu củng cố kiểm soát truy cập trong khối dịch vụ công.
Một nhân viên của Herefordshire Council tại Anh đã bị tuyên án treo sau khi thừa nhận vi phạm Computer Misuse Act (CMA) 1990. Theo cơ quan quản lý dữ liệu của Anh (ICO), người này đã lạm dụng quyền truy cập để xem khoảng 490 hồ sơ cá nhân và tải xuống 94 tài liệu trong vòng 4 ngày.
Bị cáo Geoffrey Smith (31 tuổi), làm việc ở bộ phận Children and Young People, đã truy cập dữ liệu của các thành viên gia đình và những người quen biết. Nội dung bị truy cập được mô tả là tài liệu đặc biệt nhạy cảm, bao gồm hồ sơ y tế, báo cáo nhân viên xã hội, và đánh giá trẻ em/ gia đình.
Smith nhận tội theo Section 1 của CMA 1990 liên quan đến hành vi truy cập trái phép dữ liệu cá nhân trên máy tính. Tòa án tại Worcester Magistrates' Court tuyên 2 tháng tù nhưng treo trong 12 tháng, đồng thời yêu cầu 120 giờ lao động không lương và nộp £2.000 chi phí cùng phụ phí nạn nhân £154. ICO cho biết vụ việc không liên quan đến lỗ hổng phần mềm hay CVE.
Khuyến nghị: các tổ chức công cần siết phân quyền theo vai trò, áp dụng giám sát truy cập và cơ chế kiểm toán để phát hiện sớm hành vi truy cập không có lý do nghiệp vụ.