Tất cả câu hỏi

Đáp án đúng: "All of the above". Ánh xạ (mapping) yêu cầu quy định tới chính sách và kiểm soát là việc chỉ rõ mỗi điều khoản của luật như SOX hay HIPAA được đáp ứng bởi chính sách nào và kiểm soát cụ thể nào; bảng ánh xạ này phục vụ đồng thời nhiều mục đích. "To demonstrate compliance to regulators" đúng vì khi kiểm toán, tổ chức đưa bảng ánh xạ ra làm bằng chứng mình đã đáp ứng từng yêu cầu. "To ensure regulatory requirements are covered" đúng vì ánh xạ giúp phát hiện điều khoản chưa có kiểm soát nào đáp ứng để bổ sung. "To demonstrate the importance of a security control" cũng đúng, vì một kiểm soát gắn với nhiều yêu cầu pháp lý cho thấy nó quan trọng, giúp ưu tiên ngân sách và giải thích cho người dùng vì sao phải tuân theo. Mỗi ý là một lợi ích riêng nên chỉ phương án gộp là đầy đủ.

Đáp án đúng: "Inventory management". Inventory management (quản lý kiểm kê tài sản) là việc theo dõi danh sách phần cứng và phần mềm có trên từng máy trạm, gồm tên, phiên bản và giấy phép. Biết chính xác phần mềm nào đang được cài là nền tảng để phát hiện phần mềm trái phép, kiểm soát bản quyền và xác định máy nào cần vá khi có lỗ hổng. Phương án "Patch management" là quản lý bản vá, dùng dữ liệu kiểm kê để biết máy nào cần cập nhật, nhưng mục đích của nó là cài bản vá chứ không phải nắm phần mềm đang có. Phương án "Security management" là khái niệm rộng bao trùm mọi hoạt động an ninh, không chỉ riêng việc nắm danh mục phần mềm. Phương án "Discovery management" gần nghĩa vì công cụ dò quét giúp phát hiện thiết bị và phần mềm trên mạng, nhưng đó là phương tiện thu thập dữ liệu cho quản lý kiểm kê, không phải tên loại quản lý được hỏi.

Đáp án đúng: "To inform employees about basic principles of information security and threats". Security Awareness Policy (SAP, chính sách nhận thức an toàn thông tin) quy định việc giáo dục và đào tạo định kỳ để nhân viên hiểu các nguyên tắc cơ bản như bảo mật mật khẩu, nhận diện email lừa đảo, báo cáo sự cố, và biết các mối đe dọa đang nhắm vào tổ chức. Mục tiêu là thay đổi hành vi của con người, vốn là mắt xích yếu nhất trong miền người dùng. "To manage software licenses" thuộc chính sách sử dụng chấp nhận được hoặc quản lý tài sản phần mềm, không phải mục đích của SAP. "To manage network traffic" là việc của tiêu chuẩn kỹ thuật về tường lửa và phân đoạn mạng trong miền LAN hoặc LAN-to-WAN. "To set encryption standards" thuộc tiêu chuẩn mã hóa, quy định thuật toán và độ dài khóa, chứ không phải nội dung giáo dục nhân viên.

Đáp án đúng: "Sell, Market, and Profit". Câu hỏi phủ định: cần tìm cái KHÔNG phải miền quy trình của COBIT. COBIT chia mảng quản lý CNTT thành các miền theo vòng đời: lập kế hoạch, xây dựng, vận hành và giám sát; bán hàng, tiếp thị, lợi nhuận là hoạt động kinh doanh thuần, không phải miền quản trị CNTT. "Align, Plan, and Organize" (APO) đúng là miền COBIT, lo chiến lược, kiến trúc, ngân sách, rủi ro CNTT. "Build, Acquire, and Implement" (BAI) đúng là miền COBIT, bao trùm việc xây dựng, mua sắm và triển khai giải pháp, quản lý thay đổi. "Deliver, Service, and Support" là cách gọi miền DSS (Deliver, Service and Support) lo vận hành, quản lý sự cố, dịch vụ an ninh hằng ngày, nên cũng thuộc COBIT và không được chọn.

Đáp án đúng: "Create peer pressure". Để nhân viên chủ động tuân thủ, họ cần cảm nhận được lợi ích khi làm theo chính sách; tạo peer pressure (áp lực đồng nghiệp) khiến việc tuân thủ trở thành chuẩn mực của nhóm, người làm đúng được ghi nhận, người làm sai thấy mình lạc lõng, ví dụ công khai khen phòng ban không có ai mắc bẫy thư lừa đảo. "Increase workload" sai vì làm chính sách bị xem là gánh nặng, gây phản kháng. "Implement more policies" sai vì quá nhiều chính sách gây mệt mỏi và khó nhớ, không tạo lợi ích nào. "Decrease communication" sai vì thiếu truyền thông khiến nhân viên không hiểu lý do và giá trị của chính sách.

Đáp án đúng: "To understand an organization's risks and their potential effects on the business". Risk and Control Self-Assessment (RCSA, tự đánh giá rủi ro và kiểm soát) là quy trình trong đó chính các đơn vị kinh doanh, qua hội thảo hoặc bảng hỏi, tự nhận diện rủi ro trong hoạt động của mình, đánh giá hiệu lực của kiểm soát hiện có và tác động tiềm tàng tới doanh nghiệp; kết quả đưa vào quản trị rủi ro toàn tổ chức. "To assess the performance of IT staff" là đánh giá hiệu suất nhân sự, việc của quản lý nhân sự. "To calculate the annual IT budget" là lập ngân sách; kết quả RCSA có thể giúp ưu tiên đầu tư nhưng không nhằm tính ngân sách. "To determine the number of employees needed in the IT department" là hoạch định nhân lực, không phải mục tiêu của tự đánh giá rủi ro và kiểm soát.

Đáp án đúng: "All of the above". Chính sách an ninh được định nghĩa rõ và thực thi đúng mang lại lợi ích kinh doanh trên nhiều mặt cùng lúc, nên cả ba ý đều đúng. "Maximize profit" đúng vì chính sách giảm tổn thất do sự cố, giảm phạt vi phạm quy định và giữ uy tín, từ đó giúp lợi nhuận cao hơn. "Reduce risk" là mục tiêu cốt lõi: chính sách xác định kiểm soát để giảm khả năng xảy ra và mức tác động của các mối đe doạ lên tài sản thông tin. "Produce consistent and reliable products" đúng vì chính sách chuẩn hoá cách làm, ví dụ quy trình quản lý thay đổi và kiểm thử bảo mật, nên sản phẩm và dịch vụ ổn định, ít lỗi hơn. Vì mỗi ý chỉ là một phần lợi ích, chọn riêng một ý là thiếu, chỉ phương án gộp mới bao trọn.

Đáp án đúng: "Anger". Social engineering (tấn công phi kỹ thuật, lừa đảo dựa vào tâm lý) khai thác những mong muốn và cảm xúc khiến nạn nhân hành động vội vàng hoặc hạ cảnh giác; anger (tức giận) không nằm trong nhóm động cơ thường bị khai thác vì nó làm người ta đối đầu và nghi ngờ hơn là hợp tác. Đây là câu phủ định nên các phương án kia là những điểm yếu tâm lý có thật: "Fear" (sợ hãi) bị khai thác qua email giả ngân hàng báo tài khoản sắp bị khóa hay giả cơ quan thuế đe dọa phạt; "Curiosity" (tò mò) bị khai thác bằng USB bỏ rơi dán nhãn hấp dẫn hay đường link giật gân; "Desire to help" (mong muốn giúp đỡ) bị khai thác khi kẻ gian giả làm nhân viên mới hay bộ phận hỗ trợ nhờ đặt lại mật khẩu. Vì ba cảm xúc này đều là công cụ quen thuộc của kẻ tấn công nên chúng không phải đáp án.

Đáp án đúng gồm ba ý: "Business risk", "Compliance" và "Assurance". Mục tiêu của chính sách an toàn thông tin thường được diễn đạt theo ba góc: business risk (rủi ro kinh doanh) là chính sách giảm những rủi ro nào đe dọa hoạt động và giá trị doanh nghiệp; compliance (tuân thủ) là chính sách giúp đáp ứng luật, quy định và hợp đồng nào; assurance (bảo đảm) là chính sách cho ban lãnh đạo, kiểm toán và cơ quan quản lý niềm tin rằng kiểm soát đang hoạt động đúng. "Threat vectors" là các con đường tấn công như email lừa đảo hay thiết bị USB, chúng là đầu vào của phân tích rủi ro chứ không phải cách mô tả mục tiêu chính sách. "Business operation" là bối cảnh mà chính sách phục vụ, không phải một trục mô tả mục tiêu riêng. "Law" đã nằm trong nhóm tuân thủ, vì luật chỉ là một nguồn yêu cầu cần đáp ứng.

Đáp án đúng: "State of Tennessee's information security program". Chương trình an toàn thông tin của bang Tennessee là ví dụ khu vực công dùng NIST SP 800-53, danh mục kiểm soát an ninh và quyền riêng tư của Viện Tiêu chuẩn và Công nghệ Hoa Kỳ, để phân nhóm các kiểm soát theo họ (family) và đo lường mức độ thực hiện của từng kiểm soát. "Target's response to a data breach" là ví dụ về ứng phó vi phạm dữ liệu và bài học sau sự cố lộ dữ liệu thẻ thanh toán, không phải minh họa phân loại kiểm soát theo NIST. "Piedmont Healthcare IT Security" gắn với bối cảnh y tế và yêu cầu bảo vệ thông tin sức khỏe, không phải ví dụ được chọn cho NIST SP 800-53. "ISO/IEC 27002 compliance in public sector" dùng một bộ chuẩn khác hẳn (ISO/IEC 27002 là quy tắc thực hành kiểm soát của ISO), nên không minh họa NIST SP 800-53.

Đáp án đúng: "ERM". Đây là câu phủ định: cần tìm mục không phải khung chính sách an toàn CNTT. ERM (enterprise risk management, quản trị rủi ro doanh nghiệp) là cách tiếp cận quản trị toàn bộ rủi ro kinh doanh như tài chính, chiến lược, vận hành, trong đó rủi ro CNTT chỉ là một phần, nên nó không phải khung chính sách an ninh CNTT. "COBIT" là khung quản trị và kiểm soát CNTT do ISACA phát triển, được dùng rộng rãi để xây dựng chính sách. "ISO" chỉ bộ tiêu chuẩn ISO/IEC 27001 và 27002 về hệ thống quản lý an toàn thông tin. "OCTAVE" là khung đánh giá rủi ro an toàn thông tin của Carnegie Mellon. Ba mục này đều là khung an ninh CNTT nên không được chọn.

Đáp án đúng: "Risk tolerance". Risk appetite (khẩu vị rủi ro) là mức rủi ro tổng thể tổ chức sẵn sàng chấp nhận để theo đuổi mục tiêu, thường phát biểu chung chung; risk tolerance (dung sai rủi ro) là mức sai lệch cụ thể, đo được mà tổ chức chấp nhận quanh mục tiêu đó. Quy tắc vá ngay lỗ hổng nghiêm trọng nhưng cho phép 27 đến 33 ngày với bản vá mức vừa là một ngưỡng cụ thể về độ trễ chấp nhận được, đúng nghĩa dung sai. "Risk appetite" sai vì nó ở mức định hướng, không đưa ra con số ngày cụ thể. "Risk exposure" (mức phơi nhiễm) là thiệt hại tiềm tàng nếu rủi ro xảy ra, thường tính từ khả năng xảy ra và tác động, không mô tả quy tắc thời hạn. "Risk residual" (rủi ro còn lại) là phần rủi ro tồn tại sau khi đã áp kiểm soát, cũng không phải một ngưỡng chấp nhận.

Đáp án đúng: "Faster time-to-market". Industry-standard frameworks (khung chuẩn ngành) như ISO 27001, COBIT hay NIST giúp tổ chức xây dựng chính sách an ninh dựa trên kinh nghiệm đã được kiểm chứng. Tốc độ đưa sản phẩm ra thị trường không phải lợi ích của việc áp dụng khung; thực tế làm theo khung còn thêm bước kiểm soát và tài liệu. "Shared best practices" là lợi ích thật, vì khung tổng hợp thực hành tốt nhất mà nhiều tổ chức đã dùng, nên câu phủ định này không chọn nó. "Enhanced compliance" cũng là lợi ích, vì khung chuẩn thường được ánh xạ sẵn tới các quy định như SOX hay HIPAA, giúp chứng minh tuân thủ dễ hơn. "Avoid reinventing the wheel" đúng là một lợi ích, tổ chức không phải tự nghĩ từ đầu mọi chính sách và kiểm soát mà dùng lại cấu trúc có sẵn.

Đáp án đúng: "Prevents employees from misusing the Internet". Acceptable use policy (chính sách sử dụng chấp nhận được, AUP) là văn bản quy định hành vi được phép và bị cấm khi dùng tài nguyên CNTT và Internet của tổ chức. AUP là kiểm soát hành chính mang tính răn đe: nó nói rõ thế nào là đúng và hậu quả khi vi phạm, nhưng tự nó không thể ngăn chặn hành vi sai; muốn ngăn chặn phải có kiểm soát kỹ thuật như lọc web. Vì vậy đây là phát biểu không phải lợi ích của AUP. Các phát biểu kia đều là lợi ích thật nên không được chọn: "Outlines disciplinary action for improper behavior" đúng vì AUP nêu rõ biện pháp kỷ luật khi vi phạm; "Reduces business liability" đúng vì khi có quy định rõ và nhân viên đã ký cam kết, tổ chức có căn cứ chứng minh mình đã phòng ngừa, giảm trách nhiệm pháp lý khi nhân viên lạm dụng; "Defines proper behavior while using the Internet" đúng vì đó chính là nội dung cốt lõi của AUP.

Đáp án đúng: "Baseline standard". Baseline standard (tiêu chuẩn cơ sở) là tài liệu kỹ thuật nêu cụ thể các kiểm soát mà một loại công nghệ hay thiết bị phải hỗ trợ và được cấu hình, ví dụ cấu hình tối thiểu cho máy chủ Windows: tắt dịch vụ thừa, bật ghi nhật ký, đặt chính sách khóa tài khoản. "Control standard" là tài liệu chính sách nêu các yêu cầu kiểm soát cốt lõi ở mức tổ chức, ví dụ mọi truy cập phải được xác thực, nó nói kiểm soát nào cần có chứ không đi vào việc từng thiết bị phải hỗ trợ gì. "Procedure" là hướng dẫn từng bước để thực hiện một công việc, như các bước áp dụng cấu hình cơ sở lên máy chủ, chứ không liệt kê danh mục kiểm soát. "Policy" là tuyên bố định hướng ở mức cao của ban lãnh đạo, quá khái quát để chỉ ra kiểm soát kỹ thuật cho một thiết bị.

Đáp án đúng: "COBIT". COBIT (Control Objectives for Information and Related Technologies) do ISACA phát triển là khung thực hành tốt được chấp nhận rộng rãi trên thế giới cho quản trị và quản lý CNTT doanh nghiệp: nó gắn mục tiêu CNTT với mục tiêu kinh doanh, định nghĩa các quy trình, mục tiêu kiểm soát và chỉ số đo lường, nên thường được dùng làm nền cho chính sách và kiểm toán. "ITIL" cũng là bộ thực hành tốt nhưng tập trung vào quản lý dịch vụ CNTT (vận hành, hỗ trợ, sự cố, thay đổi), không phải khung quản trị IT tổng thể. "PRINCE2" là phương pháp quản lý dự án, không chuyên về quản trị quy trình CNTT. "Agile" là triết lý và cách tiếp cận phát triển phần mềm lặp, linh hoạt, không phải khung quản trị CNTT.

Đáp án đúng: "Data stored on any physical or virtual storage device". Data at rest (dữ liệu ở trạng thái lưu trữ) là dữ liệu đang nằm trên ổ cứng, SSD, băng từ, cơ sở dữ liệu hay kho lưu trữ đám mây, phân biệt với dữ liệu đang truyền và dữ liệu đang xử lý; biện pháp bảo vệ điển hình là mã hoá ổ đĩa và kiểm soát truy cập. "Data being transferred over a network" là data in transit, được bảo vệ bằng TLS hay VPN. "Data that is currently being processed" là data in use, đang nằm trong bộ nhớ hoặc CPU. "Data that has been archived and is no longer in use" chỉ là một phần nhỏ của dữ liệu lưu trữ; dữ liệu đang được dùng hằng ngày nhưng nằm trên ổ đĩa vẫn là data at rest.

Đáp án đúng: "Regular patch management and antivirus enforcement". Workstation Domain (miền máy trạm) gồm máy tính để bàn và laptop người dùng làm việc hằng ngày; rủi ro chính ở đây là lỗ hổng hệ điều hành, ứng dụng chưa vá và mã độc lây qua email, web hay USB. Vá định kỳ và bắt buộc phần mềm diệt virus luôn bật, cập nhật là biện pháp trực tiếp gia cố miền này. "Network redundancy" thuộc LAN và WAN, tăng tính sẵn sàng của đường truyền chứ không làm máy trạm an toàn hơn. "Vendor risk assessment" thuộc quản lý rủi ro bên thứ ba, đánh giá nhà cung cấp trước khi ký hợp đồng. "Incident response tabletop exercises" là diễn tập ứng phó sự cố trên giấy cho đội ngũ, giúp tổ chức phản ứng tốt hơn khi có sự cố nhưng không gia cố trực tiếp cấu hình của máy trạm.

Đáp án đúng: "A BCP focuses on the business recovery and DRP focuses on technology recovery.". BCP (business continuity plan, kế hoạch duy trì kinh doanh) nhằm giữ các chức năng kinh doanh thiết yếu tiếp tục hoạt động khi có gián đoạn, bao gồm con người, quy trình, địa điểm làm việc và liên lạc. DRP (disaster recovery plan, kế hoạch khôi phục sau thảm hoạ) là một phần hẹp hơn, tập trung khôi phục hệ thống, dữ liệu và hạ tầng công nghệ, ví dụ dựng lại máy chủ ở trung tâm dự phòng. "A DRP focuses on the business recovery and BCP focuses on technology recovery." đảo ngược phạm vi của hai kế hoạch nên sai: BCP mới là kế hoạch bao trùm phía kinh doanh, còn DRP lo phần kỹ thuật. "There is no difference. The two terms mean the same thing." sai vì hai kế hoạch có mục tiêu và phạm vi khác nhau, dù liên kết chặt và DRP thường được kích hoạt như một phần của BCP.

Đáp án đúng: "After a company decides to implement wireless and before it is installed". Chính sách an ninh không dây nên được viết sau khi doanh nghiệp quyết định dùng mạng không dây và trước khi lắp đặt, vì chính sách phải đặt ra yêu cầu như chuẩn mã hóa, cách xác thực, tách mạng khách, cấm điểm truy cập tự lắp để dẫn dắt việc thiết kế và cấu hình ngay từ đầu; viết sau khi đã lắp thì phải sửa lại hạ tầng và có một khoảng thời gian mạng chạy mà không được kiểm soát. Phương án "When the industry publishes new wireless standards" sai vì chuẩn mới là lý do để rà soát, cập nhật chính sách đã có chứ không phải thời điểm viết lần đầu. Phương án "When a vendor presents wireless solutions to the business" sai vì chính sách phải xuất phát từ nhu cầu và rủi ro của tổ chức, không phải từ lời chào hàng của nhà cung cấp. Phương án "When the next generation of wireless technology is launched" sai vì việc công nghệ mới ra đời không gắn với quyết định triển khai của tổ chức.