Tất cả câu hỏi

Đáp án đúng: "GLBA". Gramm-Leach-Bliley Act (GLBA) là luật Hoa Kỳ áp dụng cho các tổ chức tài chính như ngân hàng, công ty bảo hiểm, công ty chứng khoán; luật buộc họ bảo vệ thông tin tài chính cá nhân của khách hàng, thông báo chính sách quyền riêng tư và xây dựng chương trình an toàn thông tin bằng văn bản. "FERPA" (Family Educational Rights and Privacy Act) bảo vệ quyền riêng tư của hồ sơ học tập, áp dụng cho cơ sở giáo dục chứ không phải tổ chức tài chính. "HIPAA" (Health Insurance Portability and Accountability Act) điều chỉnh việc bảo vệ thông tin sức khỏe của bệnh nhân trong ngành y tế. "CIPA" (Children's Internet Protection Act) yêu cầu trường học và thư viện nhận tài trợ liên bang lọc nội dung Internet có hại cho trẻ em, không liên quan tới dữ liệu tài chính.

Đáp án đúng: "Inform your supervisor/manager of the incident.". Đồng nghiệp đã tra cứu cơ sở dữ liệu cho mục đích cá nhân và tiết lộ thông tin cá nhân của người khác, đây là vi phạm chính sách sử dụng chấp nhận được và nguyên tắc need-to-know (chỉ truy cập khi công việc cần), đồng thời có thể là sự cố quyền riêng tư phải xử lý theo quy trình. Cách đúng là báo cho cấp quản lý để sự cố được ghi nhận, điều tra và khắc phục. "Nothing, it is all right because we all work for the same organization." sai vì làm cùng tổ chức không cho ai quyền xem dữ liệu ngoài phạm vi công việc. "Tell the co-worker that his behavior was inappropriate." là phản ứng tốt về mặt cá nhân nhưng không đủ, vì dữ liệu đã bị lộ và tổ chức cần biết để xử lý. "All other choices" sai vì bao gồm cả việc im lặng bỏ qua.

Đáp án đúng: "Clean desk policy". Clean desk policy (chính sách bàn làm việc sạch) yêu cầu nhân viên cất và khoá mọi tài liệu giấy, thiết bị lưu trữ, phương tiện số khi hết ngày làm việc hoặc khi rời chỗ, nhằm ngăn người khác nhìn trộm, lấy cắp hoặc chụp lại thông tin nhạy cảm. "Acceptable use policy" (chính sách sử dụng chấp nhận được) quy định cách dùng tài nguyên CNTT như máy tính, email, Internet, không nói về việc khoá tài liệu. "Privacy policy" (chính sách quyền riêng tư) mô tả cách tổ chức thu thập, sử dụng và bảo vệ dữ liệu cá nhân. "Walk out policy" không phải tên chính sách an ninh chuẩn yêu cầu cất giữ tài liệu cuối ngày.

Đáp án đúng: "Security". Truy cập từ xa mở một đường đi từ Internet vào LAN nội bộ, nên mối lo chung của tổ chức là an ninh: thiết bị ở nhà không do công ty quản lý, thông tin đăng nhập có thể bị đánh cắp, phiên kết nối có thể bị nghe lén. Vì vậy chính sách truy cập từ xa thường đòi VPN mã hóa, xác thực hai yếu tố và kiểm tra tình trạng thiết bị trước khi cho kết nối. "Cost" không phải mối lo chính vì VPN và dịch vụ truy cập từ xa ngày nay tương đối rẻ so với thiệt hại của một vụ xâm nhập. "Bandwidth" là vấn đề hiệu năng, giải quyết được bằng nâng cấp đường truyền. "Speed" cũng thuộc trải nghiệm người dùng; kết nối chậm gây phiền nhưng không đe dọa tài sản thông tin như lỗ hổng an ninh.

Đáp án đúng: "Flat network". Flat network (mạng phẳng) là mạng mà mọi thiết bị nằm chung một miền, không có phân đoạn hay ranh giới kiểm soát bên trong; một router ra Internet cộng các switch không quản lý (unmanaged switch, không cấu hình được VLAN hay ACL) đúng là mô hình này. Nó rẻ và dễ dựng cho doanh nghiệp nhỏ nhưng một máy bị nhiễm có thể lan sang mọi máy khác. "Segmented network" đòi hỏi chia mạng thành các vùng như VLAN hay subnet có tường lửa hoặc ACL ngăn cách, điều switch không quản lý không làm được. "Hierarchical network" là thiết kế nhiều tầng như core, distribution và access, thường thấy ở mạng lớn, không phải mạng 15 người qua một router. "Mesh network" là cấu trúc mà các nút nối với nhiều nút khác để có đường dự phòng, trong khi ở đây mọi thứ đi qua một router duy nhất.

Đáp án đúng: "Business Impact Analysis". BIA (phân tích tác động kinh doanh) là bước xác định các quy trình kinh doanh quan trọng và đánh giá tác động khi chúng bị gián đoạn, từ đó đặt ra các chỉ số như MTD (thời gian gián đoạn tối đa chịu được), RTO (mục tiêu thời gian khôi phục) và RPO (mục tiêu điểm khôi phục dữ liệu). BIA là đầu vào cho kế hoạch duy trì hoạt động kinh doanh (BCP) và kế hoạch khắc phục thảm họa (DRP). Phương án "Business Integrity Assessment" không phải thuật ngữ chuẩn trong quản lý rủi ro; tính toàn vẹn là một mục tiêu của bộ ba CIA chứ không phải tên của phân tích này. Phương án "Business Information Assurance" gần với information assurance (đảm bảo thông tin) nhưng không phải nghĩa của BIA. Phương án "Business Internal Audit" là kiểm toán nội bộ, một chức năng giám sát độc lập, không phải phân tích tác động của gián đoạn.

Đáp án đúng gồm hai ý: "Intent" và "Human behavior". Trước khi triển khai một chính sách, tổ chức phải làm rõ intent (ý định), tức chính sách sinh ra để giải quyết rủi ro hay yêu cầu nào và mong đạt kết quả gì, để mọi người hiểu lý do thay vì chỉ thấy thêm luật lệ. Đồng thời phải tính tới human behavior (hành vi con người): nhân viên sẽ phản ứng thế nào, có thói quen hay văn hóa nào làm họ lách chính sách, và cần đào tạo, truyền thông ra sao để họ chấp nhận. "Architecture operating model" là mô hình vận hành của kiến trúc công nghệ, quan trọng khi thiết kế cách các hệ thống và đội ngũ phối hợp, nhưng nó là bối cảnh kỹ thuật chứ không phải yếu tố cốt lõi cần cân nhắc ngay trước khi đưa chính sách vào áp dụng. "Policy change control board" là cơ chế quản trị dùng để xem xét và phê duyệt việc sửa đổi chính sách trong quá trình duy trì, tức hoạt động diễn ra sau khi chính sách đã ban hành.

Đáp án đúng: "Firewalls". Technical control (kiểm soát kỹ thuật, còn gọi logical control) là biện pháp được thực thi bằng phần cứng hoặc phần mềm, tự động áp dụng mà không cần con người thao tác mỗi lần. Tường lửa lọc lưu lượng mạng theo bộ luật là ví dụ điển hình, cùng nhóm với mã hóa, hệ thống phát hiện xâm nhập, kiểm soát truy cập trên hệ thống. "Security awareness training" là kiểm soát hành chính (administrative control) vì tác động đến nhận thức và hành vi con người. "Security guards" là kiểm soát vật lý, bảo vệ cơ sở và tài sản hữu hình. "Policies and procedures" cũng là kiểm soát hành chính: chúng là tài liệu quy định cách làm, đặt nền cho các kiểm soát kỹ thuật nhưng bản thân không phải công nghệ thực thi.

Đáp án đúng: "True". RBAC (role-based access control, kiểm soát truy cập theo vai trò) gán quyền cho các vai trò cố định như kế toán hay quản trị viên, người dùng nhận quyền khi được xếp vào vai trò đó. ABAC (attribute-based access control, kiểm soát truy cập theo thuộc tính) thì đánh giá tại mỗi yêu cầu các thuộc tính của người dùng, tài nguyên và môi trường như phòng ban, mức phân loại dữ liệu, thời gian, vị trí, nên quyền được quyết định động theo ngữ cảnh. Ví dụ một bác sĩ chỉ xem được hồ sơ bệnh nhân của khoa mình trong ca trực. Vì phát biểu mô tả đúng sự khác biệt này nên "False" không được chọn.

Đáp án đúng: "Both the U.S. Government and private companies selling standards". Nguồn tham khảo đáng tin cậy để xây dựng chính sách an toàn thông tin gồm cả cơ quan nhà nước lẫn tổ chức chuyên bán chuẩn: chính phủ Mỹ công bố miễn phí bộ tài liệu NIST SP 800, còn các tổ chức bán chuẩn cung cấp ISO/IEC 27001, 27002 và nhiều bộ mẫu chính sách có phí được dùng rộng rãi. "U.S. Government" đúng nhưng chỉ là một nửa, chọn riêng nó sẽ bỏ qua nguồn chuẩn thương mại. "Private companies selling standards" cũng đúng một phần, chọn riêng sẽ bỏ qua nguồn NIST miễn phí và có uy tín. "Neither the U.S. Government nor private companies selling standards" sai vì phủ nhận cả hai nguồn, trong khi cả hai đều được ngành công nhận là đáng tin để tổ chức điều chỉnh thành chính sách của mình.

Đáp án đúng: "Revising a firewall rule after a breach occurs". Lessons learned (bài học kinh nghiệm) là bước rút kinh nghiệm sau sự cố hoặc sau một đợt triển khai: phân tích điều gì đã sai, rồi sửa chính sách, tiêu chuẩn hay cấu hình để không lặp lại. Chỉnh lại quy tắc tường lửa sau khi bị xâm nhập chính là đưa bài học từ sự cố vào kiểm soát. "Installing new operating systems" là hoạt động nâng cấp hay vận hành thông thường, không nhất thiết xuất phát từ việc phân tích một sự kiện đã xảy ra. "Hiring additional IT staff" là quyết định nhân sự, có thể do nhiều lý do như mở rộng kinh doanh, không minh hoạ việc rút kinh nghiệm trong thực thi chính sách. "Outsourcing IT services" là lựa chọn chiến lược về nguồn lực, chuyển công việc cho bên ngoài, chứ không phải việc điều chỉnh chính sách dựa trên kinh nghiệm thực tế.

Đáp án đúng: "Reporting risks and threats to higher levels of management". Trong chính sách an ninh, escalation (leo thang) là quy trình chuyển một rủi ro, mối đe dọa hay sự cố vượt quá thẩm quyền hoặc khả năng xử lý của cấp hiện tại lên cấp quản lý cao hơn theo các ngưỡng định sẵn, để người có đủ quyền quyết định nguồn lực và hành động. Ví dụ quản trị viên phát hiện rò rỉ dữ liệu khách hàng phải báo ngay lên trưởng bộ phận an ninh và lãnh đạo thay vì tự xử lý một mình. Phương án "Upgrading security systems" là nâng cấp kỹ thuật, không phải khái niệm leo thang trong chính sách. Phương án "Increasing user access rights" gợi tới privilege escalation (leo thang đặc quyền), một kiểu tấn công hoặc thay đổi quyền, khác với leo thang báo cáo trong quản lý rủi ro. Phương án "Implementing new software" là hoạt động triển khai, không liên quan tới việc báo cáo lên cấp trên.

Đáp án đúng: "All of the Above". Đào tạo nhận thức an toàn thông tin (security awareness) thường bị yêu cầu từ nhiều phía cùng lúc, vì con người là mắt xích dễ bị khai thác nhất qua lừa đảo, mật khẩu yếu hay làm lộ dữ liệu. "Law" đúng vì nhiều luật và quy định như HIPAA với ngành y tế hay GLBA với tổ chức tài chính đòi hỏi tổ chức phải đào tạo nhận thức bảo mật cho nhân viên. "Customers" cũng đúng vì khách hàng, nhất là doanh nghiệp đối tác, thường đưa yêu cầu đào tạo nhận thức vào hợp đồng hoặc bảng câu hỏi đánh giá nhà cung cấp trước khi giao dữ liệu. "Shareholders" đúng vì cổ đông muốn rủi ro được quản lý để bảo vệ giá trị công ty, và một vụ rò rỉ do nhân viên thiếu hiểu biết có thể làm sụt giá cổ phiếu. Mỗi ý riêng chỉ là một nguồn yêu cầu, nên chọn đủ cả ba mới đúng.

Đáp án đúng: "Severity". Để quyết định một sự cố là lớn hay nhỏ, đội ứng cứu phân loại sự cố theo severity rating (mức độ nghiêm trọng), xét phạm vi ảnh hưởng, loại dữ liệu bị lộ, số hệ thống và người dùng bị tác động, thiệt hại tài chính, nghĩa vụ pháp lý. Mức nghiêm trọng quyết định ai được báo, cần huy động bao nhiêu nguồn lực và tốc độ phản hồi. "Important" chỉ là tính từ chung chung, không phải tên một thang phân loại sự cố. "Urgent" gần với khái niệm khẩn cấp về thời gian, có thể là một yếu tố khi ưu tiên xử lý nhưng không phải thang xác định lớn hay nhỏ. "Non vital" chỉ mô tả một mức thấp (không thiết yếu) chứ không phải tên phương pháp đánh giá; một thang đánh giá phải bao gồm nhiều mức từ thấp đến cao như severity.

Đáp án đúng: "Unauthorized access to military systems by a contractor". Tình huống của Bộ Quốc phòng Mỹ (DoD) nhấn mạnh rằng người bên trong hoặc nhà thầu được cấp quyền rộng hơn nhu cầu có thể truy cập trái phép hệ thống quân sự, nên tổ chức phải áp dụng đặc quyền tối thiểu, rà soát quyền định kỳ và giám sát, ghi nhật ký hoạt động người dùng. "Government laptop theft" là bài học về mã hoá và bảo vệ vật lý thiết bị di động, không xoay quanh kiểm soát truy cập người dùng. "Target payment system hack" là vụ tấn công doanh nghiệp bán lẻ qua thông tin đăng nhập của nhà cung cấp bên thứ ba, không phải tình huống của DoD. "Healthcare data breach" thuộc lĩnh vực y tế gắn với HIPAA, cũng không phải tình huống của DoD.

Đáp án đúng: "All of the above". Khi soạn chính sách và tiêu chuẩn, tổ chức không cần viết từ con số không mà tham khảo nhiều nguồn rồi điều chỉnh cho phù hợp với mình. "U.S. Government" là nguồn tốt, ví dụ bộ tài liệu NIST SP 800 công bố miễn phí. "Private companies selling standards" cũng là nguồn tốt, cung cấp chuẩn và bộ mẫu chính sách có phí như ISO/IEC 27001 và 27002. "Professional organizations" như ISACA với COBIT, (ISC)² hay SANS cung cấp khung và mẫu chính sách do cộng đồng chuyên gia xây dựng. "Vendors" như Microsoft hay Cisco phát hành hướng dẫn cấu hình an toàn và baseline cho sản phẩm của họ. Mỗi nguồn trên đều đúng nhưng chỉ là một phần, nên chọn riêng bất kỳ nguồn nào cũng bỏ sót các nguồn còn lại; phương án gộp tất cả mới đầy đủ.

Đáp án đúng: "expensive or burdensome". Separation of duties (SOD, phân tách nhiệm vụ) chia một quy trình nhạy cảm cho nhiều người để không ai một mình thực hiện trọn được, ví dụ người tạo lệnh chi khác người duyệt lệnh chi. Mỗi lớp phê duyệt thêm vào đòi hỏi thêm nhân sự, thêm thời gian chờ và thêm công quản lý, nên càng nhiều lớp thì quy trình càng tốn kém hoặc nặng nề; tổ chức phải cân bằng mức kiểm soát với chi phí và tốc độ kinh doanh. "effective" không phù hợp vì thêm lớp duyệt không tự động làm quy trình hiệu quả hơn; vượt mức cần thiết còn khiến người dùng tìm cách lách. "inexpensive" nói ngược hẳn với thực tế, vì mỗi lớp duyệt là thêm chi phí. "None of the mentioned" sai vì đã có phương án mô tả đúng hệ quả là chi phí và gánh nặng tăng lên.

Đáp án đúng: "A technique that allows alteration of user-supplied input fields to build a SQL query". SQL injection (tấn công chèn mã SQL) xảy ra khi ứng dụng ghép trực tiếp dữ liệu người dùng nhập vào câu lệnh SQL mà không kiểm tra; kẻ tấn công nhập chuỗi đặc biệt như ' OR '1'='1 vào ô đăng nhập để thay đổi logic truy vấn, từ đó vượt qua xác thực, đọc hoặc xóa dữ liệu. Biện pháp phòng chống chuẩn là truy vấn tham số hóa (parameterized query), kiểm tra dữ liệu đầu vào và cấp quyền tối thiểu cho tài khoản cơ sở dữ liệu. Phương án "A method of encrypting data" sai vì SQL injection là kỹ thuật tấn công, không phải mã hóa. Phương án "A type of firewall configuration" sai vì đây không phải cấu hình tường lửa; tường lửa ứng dụng web chỉ là một lớp phòng thủ chống lại nó. Phương án "A way to back up databases" sai vì sao lưu là biện pháp khôi phục dữ liệu, không liên quan tới việc chèn mã vào truy vấn.

Đáp án đúng: "Resiliency–Policies provide guidelines for the unexpected". Đây là câu phủ định: cần chọn ý không thuộc nhóm hướng dẫn khi xây dựng chính sách bảo vệ PII (personally identifiable information, thông tin định danh cá nhân). Resiliency (khả năng chống chịu) là đặc tính chung của một chính sách tốt, giúp tổ chức ứng phó tình huống bất ngờ, chứ không phải hướng dẫn riêng về quyền riêng tư dữ liệu cá nhân. Ba ý còn lại đều là hướng dẫn bảo vệ PII nên không được chọn. "Align–Coordinate privacy policies with data classification policies" đúng vì PII phải được gắn nhãn theo chính sách phân loại dữ liệu để áp đúng mức bảo vệ. "Retain–Ensure proper controls around data retention and destruction" đúng vì PII chỉ được giữ trong thời gian cần thiết rồi phải hủy an toàn. "Disclose–Fully disclose to the individual what data is being collected and how it will be used" đúng vì cá nhân có quyền biết dữ liệu nào bị thu thập và dùng vào việc gì, đây là nguyên tắc minh bạch của quyền riêng tư.

Đáp án đúng: "Users accessing the Internet". Acceptable use policy, viết tắt AUP (chính sách sử dụng chấp nhận được), quy định người dùng được và không được làm gì với tài nguyên công nghệ của tổ chức, điển hình là việc truy cập Internet, email, cấm vào trang độc hại, cấm tải phần mềm lậu; nhân viên thường phải ký xác nhận AUP. Trọng tâm là hành vi của con người. "Server-to-server communication" là giao tiếp giữa các máy chủ, do tiêu chuẩn cấu hình hạ tầng và kiến trúc mạng điều chỉnh, không liên quan hành vi người dùng. "Encryption when transmitting files" thuộc tiêu chuẩn mã hóa hoặc chính sách bảo vệ dữ liệu khi truyền. "Server-to-server communication and Users accessing the Internet" sai vì kéo theo phần giao tiếp máy chủ vốn không thuộc phạm vi AUP.