Công ty D-Merton là một công ty có doanh số ấn tượng lên tới 400 triệu, với sự thành công

của 3 hệ thống S1A, S1B và S1c. Khi công ty chuẩn bị cho ra mắt sản phẩm S1D, đây là sản phẩm
S1D tích hợp thêm nhiều tính năng mới, nhưng trong quá trình chuẩn bị cho ra mắt sản phẩm
S1D thì công ty xuất hiện các vấn đề liên quan đến hệ thống thông tin của họ.
Ông Roger Tillman, là chủ tịch hội đồng quản trị. Ông ấy đã nhận thấy hệ thống công nghệ
thông tin có vấn đề, chủ tịch HĐQT phải có sự quan tâm đặc biệt đến các giai đoạn của thiết lập
hệ thống. Nhưng lời nói của ông Roger Tillman bị chia phối bởi các thành viên trong HĐ quản trị,
khi phần nhiều họ chọn phương án khác chỉ có Tillman là chọn phương án được đề ra ở ban
đầu, ông đã ngã sang phần lớn số đông mà không có giữ vững lập trường. Đến lúc hệ thống
thông tin đã xuất hiện các cuộc tấn công nhiều lần trong vòng một tháng, thì chắc chắn trong
tương lai sẽ bị tấn công và chuyện xâm nhập là việc sớm muộn có thể xảy ra. Mà nguyên nhân
sâu xa của điều đó là bắt nguồn từ sự kết nối lỏng lẻo của các hệ thống thông tin trong tập
đoàn, hệ thống thông tin của công ty bị mua lại không đồng bộ và chưa có sự quản lý chặt chẻ
với hệ thống thông tin trung tâm, nên nó dễ bị xâm nhập bởi các thành viên của công ty cũ,
chính vì việc thay mới sẽ hoàn toàn hợp lý, dù phải mất nhiều thời gian nhưng sẽ rất chắc chắn
cho sự an toàn của thông tin đơn vị sau này. Trong dài hạn giá trị mà hệ thống thông tin mới
mang lại sẽ lớn hơn khoản chi phí bỏ ra hiện tại.
Nguyên nhân thứ nhất:Do trong công ty D-Merton hiện đang có bốn hệ thống IT khác nhau,
đang hoạt động đồng thời trong tập đoàn, điều này là do sự kế thừa từ các công ty được D-
Merton mua lại, chính vì vậy nên mức độ bảo vệ cũng khác nhau, tính năng bảo mật và cách thực
đăng nhập vào hệ thống cũng có thể khác nhau.
Kết quả của việc này là làm cho hê thống trung tâm dễ bị tấn công từ rất nhiều hướng,
trong một tháng D-Merton đã phát hiện 50 lỗi và hệ thống luôn đặt trong trạng thái phòng
vệ nghiêm trọng. Điều này buộc Hội Đồng quả trị của công ty phải bàn bạc về việc thiết
lập các biện pháp nhằm thay đổi lại hệ thống công nghệ thông tin đang trong tình trạng
mất an toàn của tập đoàn.
Trưởng bộ phận IT đã đưa ra hai phương án:
Phương án 1
Thay thế hệ thống mới hoàn toàn: Nghĩa là đồng bộ vào một hệ thống duy nhất . Phương án này
mất khoảng thời gian là 9 tháng và trong khoản thời gian thay mới phải đi thuê ngoài chức năng
IT chính
Phương án 2
– Nâng cấp cơ sở hạ tầng hiện tại: Phương án này mất nhiều thời gian nhưng được lợi là tập đoàn
D-Merton có thể trang trải chi phí và phân bổ kế hoạch nâng cấp thành những giai đoạn nhỏ,
giúp cho tập đoàn có thể tính toán và hoạch định ngân sách tốt hơn.
Cuối cùng, ông Roger Tillman là chủ tịch tập đoàn, quyết định chọn phương án 2
Nguyên nhân thứ hai:
Các đối thủ bằng một cách nào đó đã truy cập vào hệ thống tài chính của một trong những công
ty con trong tập đoàn, sau đó xâm nhập vào hệ thống tài chính trung tâm, tạo ra ID đăng nhập
hợp lệ trong nội bộ. Các ID này cho phép truy cập vào toàn bộ hệ thống, mà sự phân quyền
không phát hiện ra các sự xâm nhập bất thường này
Kết quả: Có 4 lần cơ sở dữ liệu bị truy cập, bao gồm truy cập vào bản thiết kế của S1D và
công ty đã bị rò rỉ thông tin về thiết kế của S1D ra bên ngoài. 5 đơn đặt hàng chắc chắn sẽ được
xác nhận, trong khi 6 đơn hàng còn lại bị huỷ. Hai nước nói họ có thể tự sản xuất sản phẩm,
nhưng điều này không đáng tin vì họ không có chuyên môn
Nguyên nhân thứ 3:
Trưởng bộ phận IT Kris bị giám đốc kinh doanh Tom Noble đe doạ, do ngoại tình, bị ép
phải hợp tác với một công ty an ninh mạng do chính Tom Noble đề nghị.
Kết quả: Chi phí nâng cấp hệ thống thông ty bị đội lên gấp nhiều lần, phần lớn trong số
đó là giao dịch với các công ty ma do Tom Noble kiểm soát và hơn hết nguồn tiền mà
Tom tham nhũng là lấy từ nguồn chi cho phần nâng cấp hệ thống thông tin tại tập đoàn
D-Merton.

Mục tiêu thứ nhất Công ty D-Merton dự định lắp đặt hệ thống S1A, tạo ra lợi nhuận từ S1A.
Các nguy cơ tiềm tàng ảnh hưởng đến việc thực hiện mục tiêu này:
- S1A bị suy giảm giá trị nếu không bao gồm doanh thu dự báo của S1B và S1C mà chỉ bao
gồm doanh thu của S1A.
- Cơ sở dữ liệu có nguy cơ bị tấn công do hệ thống IT không đồng nhất.
- Quyết định ký hợp đồng với công ty kiểm toán đã hợp ở những kỳ trước.

Mục tiêu thứ hai Công ty D-Merton muốn nâng cấp cơ sở hạ tầng hiện tại trong khoảng thời
gian từ 2 đến 3 năm. Các nguy cơ tiềm tàng ảnh hưởng đến việc thực hiện mục tiêu này:
- Chưa chắc chắn mang lại hiệu quả khắc phục lỗi hệ thống đang gặp phải (đây chỉ là hình
thức chắp vá thay vì thay đổi toàn bộ).
- Xuất hiện những rủi ro về mạng do thời gian thực hiện kéo dài từ 2 đến 3 năm trong khi
nhu cầu cấp bách của công ty là thống nhất toàn bộ hệ thống.