Tất cả câu hỏi

Đáp án đúng: "Classifying assets and assigning accountability for them". System/Application Domain (miền hệ thống/ứng dụng) gồm máy chủ, ứng dụng và dữ liệu cốt lõi của tổ chức; chính sách cho miền này phải phân loại tài sản theo mức nhạy cảm và gán trách nhiệm cho chủ sở hữu, từ đó quyết định mức bảo vệ, quyền truy cập và yêu cầu sao lưu. "Providing a comprehensive list of approved websites" là nội dung lọc web, thuộc chính sách sử dụng Internet hoặc miền LAN-to-WAN, không phải trọng tâm của miền ứng dụng. "Outlining the dress code for IT staff" là quy định nhân sự, không liên quan bảo vệ hệ thống. "Describing the layout of office spaces for optimal security" thuộc an ninh vật lý của cơ sở, không phải khía cạnh then chốt của chính sách miền hệ thống/ứng dụng.

Đáp án đúng: "Users accessing the Internet". Acceptable use policy (AUP, chính sách sử dụng chấp nhận được) thuộc User Domain, quy định người dùng được và không được làm gì với tài nguyên của tổ chức như Internet, email và máy tính, ví dụ cấm truy cập trang cờ bạc hay tải phần mềm lậu; nhân viên thường ký xác nhận đã đọc AUP. Trọng tâm của nó là hành vi của con người. "Server-to-server communication" là vấn đề kỹ thuật giữa các hệ thống, được điều chỉnh bằng tiêu chuẩn cấu hình mạng và máy chủ chứ không bằng AUP. "Encryption when transmitting files" thuộc chính sách hoặc tiêu chuẩn mã hóa dữ liệu khi truyền. "Server-to-server communication & Encryption when transmitting files" gộp hai chủ đề kỹ thuật vừa nêu nên cũng nằm ngoài phạm vi AUP, vốn nhắm vào cách người dùng sử dụng tài nguyên.

Đáp án đúng: "Commanders". Khi triển khai chính sách an ninh, người ta phân loại tính cách để biết cách làm việc với từng nhóm. Commanders (người chỉ huy) là kiểu người định hướng kết quả, thích nắm quyền quyết định và hành động nhanh, nên thường vượt qua những trở ngại từng cản bước thành công; họ là đồng minh mạnh khi được thuyết phục rằng chính sách giúp đạt mục tiêu. "Attackers" là kiểu người hay đối đầu, phản bác và công kích ý tưởng mới, họ thường tạo thêm trở ngại hơn là gỡ bỏ. "Analyticals" là người thiên về dữ liệu, chi tiết và thận trọng, cần nhiều bằng chứng trước khi hành động nên không nổi bật ở việc phá vỡ rào cản. "Pleasers" là người muốn làm hài lòng mọi người và tránh xung đột, họ dễ đồng ý nhưng ít khi chủ động vượt qua khó khăn.

Đáp án đúng: "Management processes". COBIT tách các quy trình thành hai nhóm: governance processes (quy trình quản trị, miền EDM gồm đánh giá, định hướng và giám sát) do hội đồng quản trị và lãnh đạo cấp cao đảm nhận để đặt mục tiêu, và management processes (quy trình quản lý, các miền APO, BAI, DSS, MEA) do cấp quản lý thực hiện để lập kế hoạch, xây dựng, vận hành và theo dõi. Quality assurance controls (kiểm soát đảm bảo chất lượng) là hoạt động vận hành thường xuyên, thuộc quy trình APO11 Manage Quality nằm trong nhóm quản lý. Phương án "Governance processes" sai vì quản trị chỉ đặt định hướng và giám sát, không trực tiếp thực hiện kiểm soát chất lượng. Phương án "Both governance processes and management processes" sai vì gộp cả hai làm mờ ranh giới giữa quản trị và quản lý mà COBIT cố ý tách biệt. Phương án "None of the above" sai vì kiểm soát chất lượng có vị trí xác định trong nhóm quản lý.

Đáp án đúng: "Ensuring policies are uniformly applied across all locations and devices.". Hạ tầng phân tán gồm nhiều chi nhánh, trung tâm dữ liệu, thiết bị di động và dịch vụ đám mây ở các nơi khác nhau, mỗi nơi có đội vận hành và cấu hình riêng. Thách thức chính là bảo đảm cùng một chính sách được thực thi nhất quán ở mọi điểm; nếu chi nhánh này bật mã hóa ổ đĩa còn chi nhánh kia thì không, thì mắt xích yếu nhất quyết định mức an toàn của cả tổ chức. Vì vậy cần công cụ quản lý cấu hình tập trung và giám sát tuân thủ. "Finding the right software." là việc mua sắm có thể giải quyết, không phải thách thức đặc thù của hạ tầng phân tán. "Deciding on the policies to implement." là bước xây dựng chính sách diễn ra trước khi triển khai, áp dụng cho mọi tổ chức dù tập trung hay phân tán. "Training IT staff on new technologies." là việc cần làm nhưng chỉ là hoạt động hỗ trợ, không phải khó khăn cốt lõi của việc áp dụng chính sách đồng đều.

Đáp án đúng: "Approving access to data". Câu hỏi phủ định: cần tìm việc KHÔNG phải trách nhiệm chính của data steward (người quản lý dữ liệu tác nghiệp). Quyền phê duyệt ai được truy cập dữ liệu thuộc data owner (chủ sở hữu dữ liệu), thường là lãnh đạo nghiệp vụ chịu trách nhiệm cuối cùng về dữ liệu; data steward thực thi các quyết định đó ở mức hằng ngày. Những việc sau đây đúng là của data steward nên không chọn. "Ensuring data quality within the business unit" là trách nhiệm cốt lõi: bảo đảm dữ liệu trong đơn vị chính xác, đầy đủ, nhất quán. "Implementing data handling policies" đúng vì steward áp dụng chính sách xử lý dữ liệu vào thực tế công việc. "Defining business requirements for data" cũng thuộc steward vì họ hiểu nghiệp vụ nên xác định dữ liệu cần gì, định nghĩa trường dữ liệu và quy tắc nghiệp vụ.

Đáp án đúng: "Defining clear expectations and the impact of policies on the business.". Lãnh đạo cấp cao ủng hộ chính sách an ninh khi thấy rõ nó phục vụ mục tiêu kinh doanh; vì vậy cần trình bày kỳ vọng rõ ràng và tác động của chính sách lên hoạt động, chi phí, rủi ro và tuân thủ bằng ngôn ngữ kinh doanh, để lãnh đạo hiểu vì sao nên cấp nguồn lực và đứng ra bảo trợ. "Minimizing communication with executives to avoid overwhelming them." sai vì thiếu giao tiếp khiến lãnh đạo không hiểu và không cam kết. "Providing a detailed technical explanation of every policy." sai vì lãnh đạo cần bức tranh về rủi ro và giá trị, không phải chi tiết kỹ thuật của từng chính sách. "Implementing policies first and seeking approval later." sai vì chính sách thiếu phê duyệt từ cấp trên sẽ không có thẩm quyền thực thi, dễ bị phản đối và gỡ bỏ.

Đáp án đúng: "Vulnerability Window". Vulnerability window (cửa sổ lỗ hổng) là khoảng thời gian từ lúc lỗ hổng được phát hiện tới khi bản vá được phát hành và phân phối; trong khoảng này hệ thống bị phơi nhiễm, nên chính sách quản lý bản vá cố rút ngắn nó và dùng biện pháp bù trừ như chặn cổng, tắt dịch vụ trong lúc chờ vá. "Zero Day" chỉ lỗ hổng hoặc mã khai thác xuất hiện khi nhà cung cấp chưa biết hay chưa có bản vá, tức là thời điểm mở đầu của cửa sổ chứ không phải tên của cả khoảng thời gian. "Exposure Period" chỉ là cụm từ mô tả chung, không phải thuật ngữ chuẩn cho khoảng từ phát hiện tới phân phối bản vá. "Risk Window" cũng không phải thuật ngữ chuẩn, hơn nữa rủi ro còn phụ thuộc mối đe dọa và tác động chứ không chỉ thời gian chờ vá.

Đáp án đúng: "Align, Plan, and Organize". Trong COBIT 5, miền Align, Plan, and Organize (APO, căn chỉnh, hoạch định và tổ chức) bao gồm các quy trình như quản lý danh mục đầu tư, ngân sách và chi phí, quản lý nhà cung cấp và hợp đồng, quản lý thoả thuận dịch vụ (SLA, cam kết mức dịch vụ) và định hướng chính sách. Rà soát cách quản lý khoản đầu tư CNTT, hợp đồng, ý tưởng chính sách mới và SLA là công việc hoạch định nên thuộc miền này. "Build, Acquire, and Implement" (BAI) lo việc xây dựng, mua sắm và triển khai giải pháp, quản lý thay đổi và dự án, tức là bước thực hiện sau khi đã hoạch định. "Deliver, Service, and Support" (DSS) là vận hành hằng ngày: cung cấp dịch vụ, xử lý sự cố, yêu cầu người dùng và bảo đảm an ninh vận hành. "Monitor, Evaluate, and Assess" (MEA) giám sát hiệu năng, đánh giá kiểm soát nội bộ và tuân thủ, tức là đo lường kết quả chứ không lập kế hoạch đầu tư.

Đáp án đúng: "Shared beliefs and purpose". Shared vision (tầm nhìn chung) khi triển khai chính sách an ninh nghĩa là lãnh đạo và nhân viên cùng tin rằng chính sách cần thiết và cùng hướng tới một mục đích, ví dụ coi bảo vệ dữ liệu khách hàng là trách nhiệm của mọi người chứ không riêng phòng CNTT; khi đó chính sách được ủng hộ thay vì bị coi là rào cản. Đây là yếu tố văn hóa và con người, quyết định chính sách có sống được hay không. Phương án "Technical complexity" là đặc điểm của giải pháp kỹ thuật, độ phức tạp cao thậm chí còn cản trở sự đồng thuận. Phương án "Outsourcing agreements" là hợp đồng với bên thứ ba, chỉ quy định trách nhiệm dịch vụ chứ không tạo ra niềm tin chung trong nội bộ. Phương án "System availability" là một mục tiêu an ninh (tính sẵn sàng của hệ thống), không phải yếu tố tạo nên tầm nhìn chung.

Đáp án đúng: "Between the private LAN and public WAN". DMZ (demilitarized zone, vùng phi quân sự) là phân đoạn mạng đặt giữa mạng nội bộ riêng và mạng công cộng bên ngoài, thường kẹp giữa hai tường lửa hoặc nằm trên một cổng riêng của tường lửa. Các máy chủ phải phục vụ người ngoài như web, email gateway hay DNS công khai được đặt ở đây, để nếu bị xâm nhập thì kẻ tấn công vẫn chưa vào được mạng nội bộ. "Inside the private LAN" sai vì đặt máy chủ công khai trong LAN là mở cửa cho người ngoài đi thẳng vào vùng tin cậy. "Within the WAN" sai vì WAN công cộng không do tổ chức kiểm soát, không thể đặt kiểm soát truy cập ở đó. "Within the mail server" sai vì DMZ là một vùng mạng, còn máy chủ thư chỉ là một hệ thống có thể được đặt trong DMZ.

Đáp án đúng gồm hai ý: "Because we need to focus limited resources on protecting a smaller amount of the most important data" và "Because tt's not practical to keep data classified forever". Declassification (hạ hoặc bỏ mức phân loại) là bước trong vòng đời phân loại dữ liệu: giá trị và độ nhạy của dữ liệu giảm theo thời gian, ví dụ kế hoạch ra mắt sản phẩm sẽ thành công khai sau ngày ra mắt. Bảo vệ dữ liệu mật tốn chi phí lưu trữ, mã hóa, kiểm soát truy cập, nên hạ mức dữ liệu không còn nhạy giúp dồn nguồn lực có hạn cho phần dữ liệu quan trọng nhất, và giữ mật mãi mãi là không thực tế. "Because some data are still important" là lý do để TIẾP TỤC phân loại một số dữ liệu, ngược với mục đích hạ mức. "Because we need to keep data secured and handled" mô tả mục tiêu chung của phân loại và bảo vệ dữ liệu, không giải thích vì sao phải bỏ mức phân loại.

Đáp án đúng: "Guideline". Đoạn mô tả nói về một tài liệu không bắt buộc, hỗ trợ chính sách, mềm dẻo hơn procedure, chỉ ra hướng nên đi khi có thể và có thể nâng lên thành policy khi đã được áp dụng rộng rãi; đó chính là guideline (hướng dẫn). "Policy definitions document" là tài liệu định nghĩa thống nhất các thuật ngữ dùng trong bộ chính sách, không đặt ra hướng làm việc. "Procedure" (thủ tục) là các bước bắt buộc, chi tiết để thực hiện một standard, tính chất cứng nhắc trái với mô tả. "Policy" (chính sách) là tuyên bố bắt buộc của lãnh đạo về điều tổ chức phải đạt được, không phải tài liệu tùy chọn; theo chính mô tả, guideline chỉ trở thành policy sau khi được chấp nhận rộng rãi.

Đáp án đúng: "Random audits". Trong mô hình CNTT phi tập trung, các phòng ban tự vận hành phần lớn hệ thống còn bộ phận IT trung tâm giữ dịch vụ lõi và an ninh. Muốn xác minh (verify) từng nơi có tuân thủ yêu cầu an ninh chính hay không thì cần một kiểm soát phát hiện độc lập: kiểm toán ngẫu nhiên đối chiếu thực tế với yêu cầu, và vì không báo trước nên phản ánh đúng trạng thái thường ngày. "Group Policy" là công cụ của Active Directory để áp đặt cấu hình, tức kiểm soát phòng ngừa chứ không kiểm chứng, và các phòng ban phi tập trung có thể không cùng miền quản lý. "Centralized change management policies" quy định cách phê duyệt thay đổi, đi ngược mô hình phi tập trung và không tự cho biết ai đang tuân thủ. "Centralized configuration management policies" đặt cấu hình chuẩn nhưng cũng chỉ là áp đặt, không phải bước xác minh.

Đáp án đúng: "Remote browser access". Remote browser access, còn gọi là remote browser isolation (cô lập trình duyệt từ xa), cho người dùng duyệt web qua một trình duyệt chạy trên máy chủ hoặc vùng cách ly bên ngoài; máy người dùng chỉ nhận luồng hiển thị đã được làm sạch, nên mã độc, script hay khai thác lỗ hổng trình duyệt không chạm được tới máy trạm và mạng nội bộ. Vì vậy đây là công nghệ chặn tấn công qua trình duyệt từ gốc. Phương án "Anti-malware in browsers" chủ yếu phát hiện mã độc đã biết, mã vẫn chạy trên máy người dùng nên không ngăn được khai thác mới. Phương án "Adware remover in browsers" chỉ gỡ phần mềm quảng cáo sau khi nó đã cài vào, không chống tấn công. Phương án "Incognito mode in a browser" chỉ không lưu lịch sử và cookie sau phiên, hoàn toàn không bảo vệ khỏi mã độc hay trang web độc hại.

Đáp án đúng: "Risk and Control Self-Assessment". RCSA (tự đánh giá rủi ro và kiểm soát) là phương pháp trong đó chính các đơn vị kinh doanh tự nhận diện rủi ro trong quy trình của mình, đánh giá các kiểm soát hiện có có hiệu quả không, rồi đề xuất cải thiện; ví dụ phòng kế toán tự rà soát rủi ro sai lệch thanh toán và mức hiệu quả của bước phê duyệt hai cấp. Chữ S trong RCSA là Self, nhấn mạnh việc tự đánh giá thay vì để kiểm toán bên ngoài làm. "Risk and Control Security Assessment" sai vì thay Self bằng Security, làm mất ý tự đánh giá của đơn vị. "Risk Control Security Assurance" sai ở cả hai chữ cuối, assurance là bảo đảm chứ không phải đánh giá. "Risk and Classification Security Assessment" sai vì đổi Control thành Classification, tức phân loại dữ liệu, không liên quan tới đánh giá kiểm soát.

Đáp án đúng gồm bốn ý: "Principles", "Guidelines", "Procedures" và "Standards". Security policy framework (khung chính sách an ninh) là bộ tài liệu phân tầng: principles (nguyên tắc) và policy nêu ý định, mục tiêu cấp cao của tổ chức; standards (tiêu chuẩn) quy định yêu cầu bắt buộc, đo được, ví dụ độ dài mật khẩu tối thiểu; procedures (thủ tục) hướng dẫn từng bước thực hiện; guidelines (hướng dẫn) đưa khuyến nghị không bắt buộc giúp áp dụng linh hoạt. Bốn loại này cùng tạo nên khung tài liệu mà mọi người trong tổ chức tham chiếu. "Firewalls" (tường lửa) là một kiểm soát kỹ thuật, tức thiết bị hoặc phần mềm lọc lưu lượng mạng; nó có thể được một tiêu chuẩn trong khung quy định cách cấu hình, nhưng bản thân nó không phải một loại tài liệu của khung chính sách.

Đáp án đúng: "Corrective". Corrective control (kiểm soát khắc phục) là biện pháp áp dụng sau khi sự cố đã xảy ra nhằm sửa nguyên nhân và đưa hệ thống về trạng thái bình thường. Ở đây vấn đề đã xuất hiện và nguyên nhân đã được xác định là hệ thống EHR thiếu năng lực xử lý, nên việc cần làm là khắc phục, ví dụ nâng cấp tài nguyên máy chủ hoặc mở rộng hạ tầng. "Preventative" là kiểm soát ngăn ngừa, đặt ra từ trước để sự cố không xảy ra, như lập kế hoạch năng lực trước khi triển khai, nay đã muộn. "Correlative" không phải một loại kiểm soát chuẩn; tương quan chỉ là kỹ thuật phân tích sự kiện. "Detective" là kiểm soát phát hiện như giám sát hiệu năng, mà bước phát hiện đã hoàn tất nên nó không giải quyết được tình trạng chậm.

Đáp án đúng: "Availability of the data". Trong bộ ba CIA, availability (tính sẵn sàng) là bảo đảm người được phép truy cập được dữ liệu đúng lúc cần. John cần bản trình bày nằm trên máy để bàn ở văn phòng chính trong khi anh đang ở địa điểm khác, nên vấn đề là dữ liệu không sẵn có cho anh; lưu trên kho dùng chung hoặc cho phép truy cập từ xa an toàn sẽ giải quyết được. "Unauthorized access to the system" sai vì không có ai truy cập trái phép. "Integrity of the data" sai vì tính toàn vẹn nói về dữ liệu bị sửa trái phép hoặc sai lệch ngoài ý muốn, còn ở đây tệp chỉ chưa được cập nhật và trở ngại trước mắt là John không với tới nó. "Nonrepudiation of the data" sai vì chống chối bỏ liên quan tới việc chứng minh ai đã thực hiện một giao dịch. "Unauthorized use of the system" sai vì John là người dùng hợp lệ, dùng hệ thống đúng mục đích công việc.

Đáp án đúng: "As soon as an incident is declared". IRT (incident response team, nhóm ứng phó sự cố) phải ghi chép mọi sự kiện, hành động và bằng chứng ngay từ khi sự cố được tuyên bố, vì nhật ký đầy đủ từ đầu giúp tái dựng diễn biến, giữ chuỗi lưu giữ bằng chứng (chain of custody) và phục vụ bài học kinh nghiệm sau này. "Only after executive approval" sai vì chờ lãnh đạo phê duyệt mới ghi sẽ làm mất thông tin ở giai đoạn đầu, vốn quan trọng nhất; lãnh đạo được báo cáo nhưng không phải điều kiện để bắt đầu ghi chép. "Once containment is complete" sai vì các bước ngăn chặn (containment) chính là hành động cần được ghi lại, bỏ qua chúng thì không đánh giá được phản ứng có đúng không. "After forensic analysis is finalized" sai vì điều tra số cần dựa vào ghi chép từ trước; đợi phân tích xong mới ghi thì bằng chứng khó được chấp nhận.