Tất cả câu hỏi

Đáp án đúng: "Protecting information from unauthorized access, use, disclosure, disruption, modification, or destruction". Đây là định nghĩa kinh điển của information systems security (an toàn hệ thống thông tin), bao trùm cả ba mục tiêu của bộ ba CIA: confidentiality (tính bí mật) chống truy cập và tiết lộ trái phép, integrity (tính toàn vẹn) chống sửa đổi và phá hủy, availability (tính sẵn sàng) chống gián đoạn. Định nghĩa này nói về mục tiêu bảo vệ thông tin, không gắn với một công nghệ cụ thể nào. Phương án "Managing physical security within an organization" chỉ là một mảng nhỏ là an ninh vật lý, không bao quát toàn bộ an toàn thông tin. Phương án "Applying software patches to prevent cyberattacks" là một biện pháp kỹ thuật cụ thể, không phải định nghĩa. Phương án "Implementing encryption on all devices" cũng chỉ là một biện pháp, chủ yếu phục vụ tính bí mật và không giải quyết tính sẵn sàng.

Đáp án đúng gồm ba ý: "Users accessing the Internet", "Managing software licenses" và "Managing intellectual property". Acceptable use policy (AUP, chính sách sử dụng chấp nhận được) quy định người dùng được và không được làm gì với tài sản công nghệ của tổ chức, thuộc miền User Domain. Vì thế nó điều chỉnh cách nhân viên truy cập Internet (không vào trang độc hại, không dùng cho việc riêng quá mức), cấm cài phần mềm không có bản quyền để giữ đúng giấy phép, và cấm sao chép, phát tán tài sản trí tuệ của công ty hay của bên thứ ba. "Server-to-server communication" là giao tiếp giữa các hệ thống, do tiêu chuẩn kỹ thuật của miền hạ tầng và đội vận hành quản lý, không phải hành vi của người dùng. "Encryption when transmitting files" thuộc tiêu chuẩn mã hóa hoặc chính sách xử lý dữ liệu, quy định kỹ thuật bảo vệ dữ liệu khi truyền, chứ không phải nội dung chính của AUP.

Đáp án đúng: "Employees prioritize job preservation". Khi kinh tế suy thoái, nhân viên lo bị cắt giảm nên tập trung giữ việc làm, hoàn thành chỉ tiêu cốt lõi; chính sách an ninh mới đòi thêm đào tạo, thủ tục, thay đổi thói quen nên dễ bị coi là gánh nặng làm chậm công việc, thậm chí bị xem là dấu hiệu tổ chức đang giám sát để tìm cớ sa thải. "Companies are focused on hiring" ngược với bối cảnh suy thoái, khi doanh nghiệp thường đóng băng tuyển dụng. "Employees may feel over-rewarded" không khớp hoàn cảnh: thời kỳ khó khăn thường đi kèm cắt thưởng, giảm phúc lợi chứ không phải cảm giác được thưởng quá mức. "Executives delegate all policy tasks to HR" không giải thích vì sao chính sách bị cảm nhận là gánh nặng, và giao toàn bộ cho nhân sự cũng không phải cách quản trị chính sách an ninh đúng.

Đáp án đúng: "Company officers". Khi xảy ra vi phạm an ninh nghiêm trọng, cơ quan quản lý và công chúng quy trách nhiệm cuối cùng cho company officers (cán bộ điều hành cấp cao như CEO, CFO cùng hội đồng quản trị), vì họ có nghĩa vụ ủy thác bảo vệ tài sản và dữ liệu của tổ chức; luật như SOX còn buộc lãnh đạo cấp cao ký xác nhận về hệ thống kiểm soát nội bộ. "The CIO" chịu trách nhiệm vận hành CNTT nhưng vẫn báo cáo lên ban lãnh đạo, không phải người gánh trách nhiệm sau cùng. "The ISO" (Information Security Officer, cán bộ an toàn thông tin) xây dựng và giám sát chương trình an ninh, nhưng thẩm quyền và trách nhiệm pháp lý cuối cùng thuộc về lãnh đạo công ty. "The data owner" chịu trách nhiệm phân loại và phê duyệt quyền truy cập cho một tập dữ liệu cụ thể, phạm vi hẹp hơn nhiều.

Đáp án đúng: "Policies, standards, and procedures". Khung chính sách gồm policy nêu ý định và yêu cầu ở mức quản lý, standard đặt yêu cầu bắt buộc đo được, procedure hướng dẫn từng bước thực hiện; ba lớp này được lãnh đạo phê duyệt và gắn với mục tiêu kinh doanh, nên là nền thống nhất để quản lý mọi hoạt động an toàn thông tin. "Technical solutions alone" sai vì công nghệ thiếu chính sách dẫn dắt sẽ rời rạc, không xác định được ai chịu trách nhiệm hay cần bảo vệ tới mức nào. "Employee intuition and judgment" sai vì phán đoán cá nhân không nhất quán giữa người này với người khác và không kiểm toán được. "External regulatory requirements" là nguồn đầu vào quan trọng khi soạn chính sách, nhưng luật chỉ nêu yêu cầu tối thiểu; tổ chức phải chuyển chúng thành chính sách, tiêu chuẩn và thủ tục nội bộ mới quản lý được hoạt động hằng ngày.

Đáp án đúng: "False". Phát biểu sai vì một bộ chính sách an ninh tốt được thiết kế theo khung (framework) có cấu trúc và ánh xạ được tới nhiều quy định cùng lúc. Khi có quy định mới, tổ chức nên đối chiếu yêu cầu mới với chính sách, tiêu chuẩn và kiểm soát đang có, rồi chỉ sửa hoặc bổ sung phần còn thiếu. Viết chính sách mới mỗi lần có luật mới sẽ tạo ra nhiều tài liệu chồng chéo, mâu thuẫn, khó bảo trì và khó đào tạo nhân viên; ví dụ yêu cầu mã hoá dữ liệu của HIPAA và của GLBA có thể cùng được đáp ứng bởi một tiêu chuẩn mã hoá chung. "True" không được chọn vì nó coi mỗi quy định là một bài toán riêng, trái với cách tiếp cận dùng lại khung chính sách và kiểm soát sẵn có để giảm chi phí và giữ tính nhất quán.

Đáp án đúng: "By using an incident severity rating". Incident severity rating (thang xếp hạng mức độ nghiêm trọng của sự cố) là tiêu chí định sẵn trong chính sách ứng phó sự cố, dựa trên phạm vi ảnh hưởng, loại dữ liệu liên quan, số người dùng bị ảnh hưởng và tác động tới hoạt động kinh doanh, giúp phân loại sự cố lớn hay nhỏ một cách nhất quán để quyết định mức leo thang và nguồn lực cần huy động. Phương án "By checking the system logs" chỉ là nguồn chứng cứ giúp phát hiện và điều tra; nhật ký không tự cho biết sự cố nghiêm trọng tới đâu. Phương án "By interviewing affected users" thu thập thông tin chủ quan, hữu ích khi điều tra nhưng không phải chuẩn phân loại. Phương án "By reviewing incident reports" diễn ra sau khi sự cố đã được xử lý và ghi lại, trong khi việc xác định lớn hay nhỏ phải làm ngay từ đầu để chọn cách ứng phó.

Đáp án đúng: "Commanders". Khi triển khai chính sách an toàn thông tin, người ta phân loại tính cách nhân sự để chọn cách thuyết phục phù hợp, gồm commanders, analyticals, pleasers và attackers. Commanders (người chỉ huy) là người hướng tới kết quả, quyết đoán, thích kiểm soát và thường phá vỡ được những rào cản trước đây ngăn cản thành công, nên họ hợp với vai trò dẫn dắt thay đổi. "Attackers" là kiểu người hay phản đối, chỉ trích và có thái độ tiêu cực với thay đổi, nên họ thường tạo ra rào cản chứ không phá rào cản. "Analyticals" là người thận trọng, cần dữ liệu và chi tiết trước khi quyết định, họ mạnh ở phân tích nhưng không nổi bật ở việc đột phá. "Pleasers" là người muốn làm hài lòng mọi người, tránh xung đột, nên ít khi chủ động đối đầu với trở ngại.

Đáp án đúng: "Surplus of funding". Câu hỏi phủ định nên cần tìm yếu tố KHÔNG phải thách thức tổ chức khi triển khai chính sách an toàn thông tin. Dư thừa ngân sách là điều kiện thuận lợi, giúp mua công cụ, đào tạo, thuê nhân sự; thực tế thách thức thường là thiếu ngân sách. Ba yếu tố sau đây đều là thách thức thật nên không được chọn. "Accountability" (trách nhiệm giải trình) là thách thức vì phải xác định rõ ai chịu trách nhiệm thực thi và ai chịu hậu quả khi vi phạm, việc này dễ gây đùn đẩy giữa các phòng ban. "Lack of priority" (thiếu ưu tiên) là thách thức vì khi lãnh đạo và nhân viên coi an ninh là việc phụ, chính sách bị gác lại. "Tight schedules" (lịch trình gấp) là thách thức vì áp lực tiến độ dự án khiến người ta bỏ qua bước kiểm soát để kịp hạn.

Đáp án đúng: "Detailed line budget". Đây là câu phủ định: cần tìm mục KHÔNG thuộc charter (điều lệ) của đội ứng phó sự cố. Charter là văn bản ủy quyền nêu đội tồn tại để làm gì, được tổ chức ra sao và ai chịu trách nhiệm gì; ngân sách chi tiết từng dòng là tài liệu tài chính thay đổi hằng năm, được quản lý qua quy trình ngân sách riêng nên không đưa vào charter. "Mission statement" là nội dung đúng của charter vì nêu sứ mệnh và phạm vi hoạt động của đội. "Organizational structure" cũng thuộc charter vì xác định đội trực thuộc ai và gồm những vị trí nào. "Roles and responsibilities" cũng thuộc charter vì phân định quyền hạn và trách nhiệm của từng thành viên khi xử lý sự cố. Ba mục này đều nên có trong charter nên không được chọn.

Đáp án đúng gồm hai ý: "When logged in to terminal services I will save an organizational document on to my personal laptop/computer/tablet so I can work on it off line. I then upload it again after I have finished." và "I save a list of learner and tutor information on to my encrypted memory stick / flash drive.". Luật bảo vệ dữ liệu như GDPR hay Data Protection Act yêu cầu dữ liệu cá nhân chỉ được lưu và xử lý trong môi trường tổ chức kiểm soát, đúng mục đích và có biện pháp bảo vệ phù hợp. Lưu tài liệu của tổ chức xuống máy cá nhân khi làm việc qua terminal services tạo bản sao nằm ngoài hệ thống được quản lý, dù sau đó có tải lên lại thì bản sao vẫn còn. Chép danh sách học viên và giảng viên ra USB, kể cả đã mã hóa, vẫn đưa dữ liệu cá nhân ra thiết bị di động dễ thất lạc và ngoài quy trình được phép. Tình huống "The responsible tutor assessor has requested I send them the list" là hợp lệ vì người gửi đã xác minh đúng người theo quy trình và dùng tài khoản email của công ty, đúng mục đích kiểm tra dữ liệu. "All of other choices" sai vì tình huống gửi email đó không vi phạm.

Đáp án đúng: "A governance and controls framework for assessing, governing, and managing IT security and risks". COBIT (Control Objectives for Information and Related Technologies) do ISACA phát triển là khung quản trị và kiểm soát CNTT, giúp tổ chức đánh giá, quản trị và quản lý an ninh cũng như rủi ro CNTT, gắn mục tiêu CNTT với mục tiêu kinh doanh và cung cấp mục tiêu kiểm soát để đo mức trưởng thành. "A framework for financial controls only" sai vì COBIT không chỉ bao trùm kiểm soát tài chính; khung tập trung vào kiểm soát nội bộ cho báo cáo tài chính gần với COSO hơn, dù COBIT thường được dùng hỗ trợ tuân thủ SOX. "A set of practices for IT service management" mô tả đúng hơn ITIL, bộ thực hành quản lý dịch vụ CNTT; COBIT có đề cập dịch vụ nhưng tầm của nó là quản trị và kiểm soát. "A specific set of technologies for risk management" sai vì COBIT trung lập về công nghệ, nó nêu mục tiêu và quy trình chứ không chỉ định sản phẩm hay công nghệ cụ thể.

Đáp án đúng: "To establish and maintain configuration information throughout a system's lifecycle". Configuration management (quản lý cấu hình) là quá trình thiết lập cấu hình chuẩn (baseline) cho hệ thống, ghi nhận và kiểm soát mọi thay đổi để thông tin cấu hình luôn chính xác từ lúc triển khai tới lúc loại bỏ hệ thống; nhờ đó tổ chức phát hiện được thay đổi trái phép và khôi phục cấu hình an toàn khi cần. Phương án "To deploy patches" là nhiệm vụ của patch management (quản lý bản vá), có liên quan nhưng chỉ là một loại thay đổi được kiểm soát chứ không phải mục đích của quản lý cấu hình. Phương án "To monitor user activities" thuộc về giám sát và ghi nhật ký hoạt động người dùng, không phải quản lý cấu hình hệ thống. Phương án "To ensure systems are up to date" mô tả mục tiêu cập nhật phiên bản, gần với quản lý bản vá; một hệ thống được quản lý cấu hình tốt vẫn có thể giữ phiên bản cũ có chủ đích miễn là đúng baseline đã phê duyệt.

Đáp án đúng: "Both". Voice over Internet Protocol (VoIP, thoại qua giao thức Internet) đóng gói tiếng nói thành gói IP, nên nó chạy được trên bất kỳ mạng IP nào, cả mạng nội bộ lẫn mạng diện rộng. Trong tổ chức, điện thoại IP gọi giữa các phòng ban đi qua LAN, còn cuộc gọi tới chi nhánh ở tỉnh khác hay ra nhà cung cấp dịch vụ đi qua WAN; vì thế chính sách bảo mật VoIP phải phủ cả hai miền hạ tầng. Chọn "LAN" là thiếu, vì VoIP không bị giới hạn trong một tòa nhà hay một khuôn viên. Chọn "WAN" cũng thiếu, vì phần lớn lưu lượng VoIP nội bộ thực tế đi trên mạng LAN trước khi ra ngoài. "Neither" sai hoàn toàn vì VoIP chỉ cần hạ tầng IP, mà cả LAN và WAN đều là mạng IP có thể mang lưu lượng thoại.

Đáp án đúng gồm hai ý: "Biometric scanners" và "RFID card readers". Physical access control (kiểm soát truy cập vật lý) điều khiển việc ra vào không gian thực như tòa nhà, phòng máy chủ, tủ thiết bị. Máy quét sinh trắc học (vân tay, mống mắt, khuôn mặt) gắn ở cửa và đầu đọc thẻ RFID mở khóa khi nhân viên quẹt thẻ đều là cơ chế quyết định ai được bước vào khu vực nào, nên thuộc nhóm vật lý. "Role-Based Access Control (RBAC)" là mô hình kiểm soát truy cập logic: quyền trên hệ thống thông tin được gán theo vai trò công việc, áp dụng cho tệp, ứng dụng, cơ sở dữ liệu chứ không phải cánh cửa. "Passwords" là yếu tố xác thực logic (thứ người dùng biết) để đăng nhập hệ thống; dù đôi khi khóa cửa dùng mã số, mật khẩu theo nghĩa thông thường thuộc kiểm soát truy cập logic, không phải cơ chế kiểm soát truy cập vật lý.

Đáp án đúng: "To provide a structured approach to implementing and managing security policies". IT security policy framework (khung chính sách an toàn CNTT) là cấu trúc phân tầng gồm policy, standard, procedure và guideline, giúp tổ chức triển khai, duy trì và quản lý chính sách an toàn một cách có hệ thống, thường dựa trên các khung như ISO 27001 hay COBIT. "To enforce strict access controls for employees" chỉ là một nội dung cụ thể mà một chính sách có thể quy định, không phải mục đích của cả khung. "To serve as a guideline for hardware and software procurement" là việc của chính sách mua sắm, trong khi khung bao quát toàn bộ chương trình an ninh. "To ensure security policies are updated automatically without review" sai vì chính sách phải được con người rà soát và phê duyệt định kỳ, không bao giờ tự cập nhật mà không xem xét.

Đáp án đúng: "Decryption". Kiểm soát truy cập (access control) được mô tả qua chuỗi định danh, xác thực, cấp quyền và truy trách nhiệm, thường gọi gọn là AAA. Decryption (giải mã) là thao tác mật mã khôi phục bản rõ từ bản mã, một công cụ bảo vệ tính bí mật chứ không phải thành phần của quy trình quyết định ai được vào và được làm gì, nên đây là đáp án của câu phủ định. "Authentication" (xác thực) là bước xác minh chủ thể đúng là người họ khai, nên thuộc kiểm soát truy cập. "Authorization" (cấp quyền) quyết định chủ thể đã xác thực được phép làm gì với tài nguyên nào, cũng là thành phần cốt lõi. "Logging" (ghi nhật ký) ghi lại hành động của từng tài khoản để phục vụ accountability (truy trách nhiệm), chữ A thứ ba trong AAA, nên cũng thuộc kiểm soát truy cập và không được chọn.

Đáp án đúng: "Skills individuals are comfortable with to achieve predictable outcomes". Khi nói về tính cách và sự thay đổi, safe zone (vùng an toàn) là tập kỹ năng và cách làm mà một người đã quen dùng vì chúng mang lại kết quả đoán trước được. Khi chính sách an ninh mới buộc họ đổi thói quen, họ phải rời vùng này nên dễ kháng cự; người triển khai chính sách cần nhận ra điều đó để đào tạo và hỗ trợ đúng cách. "A place where individuals feel physically secure" hiểu safe zone theo nghĩa đen là một nơi chốn an toàn về thể chất, không phải khái niệm về hành vi và kỹ năng. "The area where policies are most effective" mô tả phạm vi áp dụng chính sách, không gắn với đặc điểm tính cách của cá nhân. "A set of security protocols" là tập giao thức kỹ thuật, thuộc về hệ thống chứ không thuộc về con người nên không trả lời câu hỏi về tính cách.

Đáp án đúng: "Frequent security breaches". Mục tiêu của security awareness program (chương trình nâng cao nhận thức an ninh) là thay đổi hành vi của nhân viên, nên thước đo hiệu quả là kết quả thực tế: nếu sự cố do con người gây ra như bấm vào email lừa đảo, dùng mật khẩu yếu hay làm lộ dữ liệu vẫn liên tục xảy ra thì chương trình chưa đạt mục đích. Phương án "High number of training sessions" chỉ đo đầu vào là tổ chức bao nhiêu buổi; nhiều buổi không chứng minh chương trình tốt hay kém. Phương án "Lack of policy exceptions" nghĩa là ít trường hợp xin miễn áp dụng chính sách, thường cho thấy chính sách phù hợp và được chấp nhận, không phải dấu hiệu thất bại. Phương án "Consistent policy compliance" là dấu hiệu ngược lại, cho thấy nhân viên hiểu và làm theo chính sách, tức chương trình đang có hiệu quả.

Đáp án đúng: "All of the above". Một khung IT (IT framework) như COBIT hay ISO 27001 có các đặc điểm chung: quản trị dựa trên rủi ro, gắn kiểm soát với khẩu vị rủi ro của doanh nghiệp, giảm gián đoạn vận hành và tổn thất, và tạo đường đi rõ ràng từ yêu cầu tới kiểm soát cụ thể. Vì vậy bốn phương án riêng lẻ đều đúng nhưng mỗi cái chỉ là một phần. "Risk-based management" đúng vì khung ưu tiên kiểm soát theo mức rủi ro, nhưng chưa đủ. "Aligned business risk appetite" đúng vì kiểm soát phải tương xứng với mức rủi ro doanh nghiệp chấp nhận, nhưng cũng chỉ là một đặc điểm. "Reduced operation disruption and losses" là lợi ích có thật khi áp dụng khung, song không bao quát hết. "Established path from requirements to control" đúng vì khung giúp truy vết từ luật hay yêu cầu kinh doanh xuống kiểm soát, nhưng vẫn thiếu các ý kia. "Risk-based management and Reduced operation disruption and losses only" sai vì chữ "only" loại bỏ hai đặc điểm cũng đúng là gắn khẩu vị rủi ro và đường đi từ yêu cầu tới kiểm soát.