Tất cả câu hỏi

Đáp án đúng: "Background checks & Access rights reviews". Manual control (kiểm soát thủ công) là kiểm soát do con người thực hiện, cần đánh giá và quyết định của người, không do hệ thống tự động chạy. Kiểm tra lý lịch trước khi tuyển và rà soát định kỳ quyền truy cập (quản lý xem xét danh sách ai đang có quyền gì rồi ký xác nhận) đều là việc thủ công, nên đáp án gộp cả hai. Chọn riêng "Background checks" hoặc riêng "Access rights reviews" đều đúng một phần nhưng bỏ sót ví dụ còn lại, nên không đầy đủ bằng phương án gộp. "Authentication" (xác thực) là kiểm soát tự động: hệ thống tự kiểm tra mật khẩu, thẻ hay sinh trắc mỗi lần đăng nhập mà không cần người can thiệp. Vì xác thực là kiểm soát tự động nên "All of the above" sai, vì nó kéo cả xác thực vào nhóm kiểm soát thủ công.

Đáp án đúng: "Clear and Concise". Thư viện chính sách và tiêu chuẩn (policies and standards library) là nơi lưu trữ tập trung các tài liệu mà mọi nhân viên phải đọc, hiểu và tuân thủ; tài liệu chỉ phát huy tác dụng khi người đọc nắm ngay được điều mình phải làm, nên nội dung cần rõ ràng và súc tích. "Comprehensive and Detailed" nghe hợp lý nhưng tài liệu quá dày và chi tiết khiến người dùng bỏ qua, còn chi tiết thao tác nên tách sang procedure (thủ tục). "Short and Vague" sai vì ngắn mà mơ hồ thì mỗi người hiểu một kiểu, không thể thực thi hay kiểm tra tuân thủ. "Technical and Complex" sai vì người đọc gồm cả nhân viên không chuyên kỹ thuật, viết phức tạp làm giảm khả năng hiểu và chấp nhận chính sách.

Đáp án đúng: "LAN". Trong bảy miền hạ tầng CNTT, Remote Access Domain (miền truy cập từ xa) mô tả việc nhân viên ở ngoài văn phòng kết nối qua VPN vào LAN nội bộ để dùng máy chủ, ứng dụng và dữ liệu của công ty. Vì kết nối đi qua Internet không tin cậy, chính sách thường bắt buộc two-factor authentication (xác thực hai yếu tố), ví dụ mật khẩu cộng mã OTP. "Workstation" sai vì máy trạm là thiết bị đầu cuối nhân viên đăng nhập tại chỗ, không phải đích của phiên truy cập từ xa. "DMZ Web site" sai vì website đặt trong DMZ phục vụ công chúng, thường không đòi nhân viên xác thực hai yếu tố mới xem được. "WAN" sai vì mạng diện rộng chỉ là đường truyền nối các địa điểm, không phải tài nguyên nội bộ mà nhân viên cần đăng nhập vào.

Đáp án đúng: "Integration principle". Integration principle (nguyên tắc tích hợp) yêu cầu các biện pháp, thực hành và thủ tục an ninh được phối hợp thành một hệ thống nhất quán, gắn với nhau và với các quy trình khác của tổ chức, thay vì mỗi bộ phận tự làm một kiểu rời rạc. Ví dụ quy trình cấp tài khoản, giám sát nhật ký và ứng phó sự cố cùng dùng một bộ chính sách và chia sẻ thông tin cho nhau. "Ethics principle" là nguyên tắc đạo đức, yêu cầu việc dùng và quản lý thông tin tôn trọng quyền và lợi ích chính đáng của người khác, không nói về tính liền mạch của hệ thống biện pháp. "Defense-in-depth principle" là phòng thủ nhiều lớp, đặt nhiều lớp kiểm soát chồng nhau để một lớp hỏng thì lớp khác vẫn chặn, nhấn vào số lớp bảo vệ chứ không phải sự tích hợp. "Democracy principle" yêu cầu an ninh tương thích với các giá trị của xã hội dân chủ như tự do trao đổi thông tin, không liên quan tới việc thống nhất các biện pháp.

Đáp án đúng gồm ba ý: "Avoiding financial penalties", "Maintaining public trust" và "Preventing criminal liability". Compliance (tuân thủ) với luật và quy định như SOX, HIPAA, GLBA là bắt buộc vì vi phạm dẫn tới hậu quả trực tiếp: bị phạt tiền, mất niềm tin của khách hàng và công chúng khi sự cố lộ dữ liệu bị công bố, và người có trách nhiệm có thể bị truy cứu hình sự, ví dụ SOX buộc giám đốc điều hành và giám đốc tài chính ký xác nhận báo cáo tài chính và chịu trách nhiệm nếu xác nhận sai. Phương án "Gaining competitive edge through vendor lock-in" sai vì vendor lock-in (bị khóa chặt vào một nhà cung cấp) là rủi ro cần tránh và chẳng liên quan gì tới nghĩa vụ pháp lý. Phương án "Reducing operational costs" sai vì tuân thủ thường làm tăng chi phí vận hành do phải kiểm soát, kiểm toán và lập báo cáo; tiết kiệm chi phí có thể là hệ quả phụ của việc chuẩn hóa quy trình nhưng không phải lý do chính khiến tổ chức buộc phải tuân thủ.

Đáp án đúng: "Procedure". Procedure (thủ tục) là tài liệu hướng dẫn từng bước, mô tả trình tự công việc cần làm để thực hiện đúng chính sách của công ty, ví dụ các bước tạo tài khoản cho nhân viên mới hoặc các bước sao lưu máy chủ mỗi tối; đây chính là định nghĩa mà câu hỏi mô tả. "Policy" (chính sách) là tuyên bố ở mức cao về ý định và định hướng của ban lãnh đạo, nói cần đạt điều gì chứ không chỉ cách làm từng bước. "Standard" (tiêu chuẩn) là yêu cầu bắt buộc, đo được, áp dụng thống nhất cho công nghệ hay quy trình, ví dụ mật khẩu tối thiểu 12 ký tự, nhưng không trình bày trình tự thao tác. "Guideline" (hướng dẫn) là khuyến nghị mang tính tham khảo, không bắt buộc, giúp người dùng chọn cách làm tốt khi chưa có quy định cứng.

Đáp án đúng: "The measurable business benefits". Ban lãnh đạo ra quyết định dựa trên giá trị kinh doanh, nên khi trình bày một chính sách mới cần nhấn mạnh lợi ích đo được: giảm rủi ro tổn thất, tránh phạt do vi phạm quy định, giữ niềm tin khách hàng, hỗ trợ mục tiêu chiến lược, kèm chỉ số cụ thể để họ thấy chính sách là khoản đầu tư chứ không phải chi phí thuần. "The cost of training" là thông tin cần có trong ngân sách nhưng nếu đặt làm trọng tâm sẽ khiến chính sách bị nhìn như gánh nặng. "The technical implementation" phù hợp khi trao đổi với đội kỹ thuật, còn lãnh đạo không cần đi sâu chi tiết triển khai. "The timeline for deployment" là thông tin phụ phục vụ lập kế hoạch, không thuyết phục được lãnh đạo vì sao phải phê duyệt và tài trợ cho chính sách.

Đáp án đúng: "False". Interactive service account (tài khoản dịch vụ tương tác) là tài khoản mà con người hoặc ứng dụng dùng để đăng nhập trực tiếp vào hệ thống, ví dụ quản trị viên đăng nhập bằng tài khoản dịch vụ để bảo trì một ứng dụng. Vì có phiên đăng nhập tương tác nên tài khoản này phải có mật khẩu, và mật khẩu đó cần được quản lý chặt: đủ phức tạp, thay định kỳ, giới hạn số người được biết và ghi nhật ký mỗi lần sử dụng. Phát biểu cho rằng nó thường không có mật khẩu là sai. Vì vậy "True" không được chọn: chấp nhận nó đồng nghĩa với việc để một tài khoản đăng nhập được mà không có lớp xác thực nào, trái với nguyên tắc kiểm soát truy cập và là lỗ hổng mà kẻ tấn công rất hay khai thác.

Đáp án đúng: "The recovery of IT assets after a major outage". Disaster Recovery Plan (DRP, kế hoạch khôi phục sau thảm họa) là một phần của kế hoạch liên tục kinh doanh (BCP), tập trung đưa hệ thống, ứng dụng, dữ liệu và hạ tầng CNTT trở lại hoạt động sau sự cố lớn như cháy trung tâm dữ liệu hay mất điện diện rộng, theo các mục tiêu RTO và RPO đã định. "Only the legal aspects of recovering from a disaster" sai vì DRP là kế hoạch kỹ thuật, yêu cầu pháp lý chỉ là một đầu vào chứ không phải trọng tâm duy nhất. "Employee safety during a disaster" thuộc kế hoạch ứng phó khẩn cấp và sơ tán, nơi con người được ưu tiên trước khi tính chuyện khôi phục máy móc. "Communication strategies with the media" thuộc kế hoạch truyền thông khủng hoảng (crisis communication plan) trong BCP, không phải nội dung chính của DRP.

Đáp án đúng: "Law". Security awareness (nhận thức an ninh) là chương trình giúp nhân viên hiểu rủi ro và trách nhiệm của mình đối với chính sách an toàn thông tin. Yếu tố buộc tổ chức phải có chương trình này rõ nhất là luật và quy định: các văn bản như HIPAA hay FISMA đòi hỏi tổ chức đào tạo nhân viên về an ninh, và không tuân thủ có thể dẫn tới phạt tiền hoặc kiện tụng. "Customers" là bên hưởng lợi khi dữ liệu của họ được bảo vệ và có thể gây áp lực gián tiếp qua niềm tin, nhưng khách hàng không có quyền bắt buộc tổ chức đào tạo nhân viên. "Shareholders" quan tâm tới giá trị doanh nghiệp và có thể ủng hộ đầu tư cho an ninh, song đó vẫn là động lực gián tiếp chứ không phải nghĩa vụ pháp lý. "All are correct" không được chọn vì câu hỏi tìm yếu tố có khả năng cao nhất tạo ra sự bắt buộc, và chỉ luật mới mang tính cưỡng chế, hai bên còn lại chỉ tạo áp lực.

Đáp án đúng gồm hai ý: "needs" và "capacity to deploy". Số lượng tài liệu chính sách (policy, standard, procedure, guideline) mà một tổ chức duy trì tùy thuộc vào needs (nhu cầu) của chính nó, do quy mô, ngành nghề và yêu cầu tuân thủ quyết định, và vào capacity to deploy (năng lực triển khai), tức khả năng phổ biến, đào tạo, thực thi và giám sát các tài liệu đó. Một ngân hàng chịu nhiều quy định sẽ cần nhiều tài liệu hơn một cửa hàng nhỏ, nhưng viết quá nhiều tài liệu mà không đủ người và quy trình để triển khai thì chính sách chỉ nằm trên giấy. Phương án "demands" nghe gần với nhu cầu nhưng chỉ là áp lực bên ngoài nhất thời, không phải thước đo tổ chức dùng để quyết định cần bao nhiêu tài liệu. Phương án "availability" là một mục tiêu trong bộ ba CIA (tính sẵn sàng của hệ thống và dữ liệu), không phải yếu tố quyết định số lượng tài liệu chính sách.

Đáp án đúng gồm hai ý: "Risk avoidance" và "Risk acceptance". Quản lý rủi ro có bốn chiến lược được thừa nhận rộng rãi là avoidance (né tránh), acceptance (chấp nhận), transference (chuyển giao) và mitigation (giảm thiểu); trong danh sách này chỉ có hai chiến lược thuộc nhóm đó. "Risk avoidance" nghĩa là bỏ hẳn hoạt động gây rủi ro, ví dụ ngừng cung cấp một dịch vụ trực tuyến quá khó bảo vệ, còn "Risk acceptance" là ban lãnh đạo chấp nhận rủi ro có ý thức vì chi phí xử lý lớn hơn thiệt hại có thể xảy ra. "Risk collection" không phải chiến lược xử lý rủi ro nào cả; thu thập thông tin về rủi ro chỉ là đầu vào của bước nhận diện, không làm thay đổi mức rủi ro. "Risk monitoring" là hoạt động theo dõi liên tục sau khi đã chọn chiến lược, giúp phát hiện rủi ro thay đổi, chứ bản thân nó không phải cách xử lý rủi ro.

Đáp án đúng: "False". Khi xảy ra sự cố, nhóm phản ứng đầu tiên là computer security incident response team, viết tắt CSIRT (đội ứng cứu sự cố an toàn thông tin), cùng các first responders (người ứng cứu đầu tiên) như bộ phận vận hành hay trung tâm giám sát an ninh: họ phát hiện, khoanh vùng, ngăn chặn và thu thập chứng cứ. Nhóm risk management and metrics (quản trị rủi ro và đo lường) có vai trò khác: đánh giá rủi ro, theo dõi chỉ số, báo cáo xu hướng và đề xuất cải tiến sau khi sự cố đã được xử lý, chứ không trực tiếp lao vào ứng cứu ban đầu. Vì vậy phát biểu rằng nhóm này "thường là nhóm phản ứng đầu tiên" là sai, và phương án "True" không thể chọn: nó nhầm vai trò phân tích, đo lường hậu kỳ với vai trò ứng cứu tức thời của đội phản ứng sự cố.

Đáp án đúng gồm hai ý: "Least access privileges customize access to an individual" và "Best fit privileges customize access to a group based on risk". Least access privileges (đặc quyền tối thiểu) cấp cho từng người đúng và chỉ đủ quyền cần cho công việc của chính họ, nên quyền được may đo theo cá nhân; best fit access privileges (đặc quyền phù hợp nhất) gom những người có vai trò tương tự thành nhóm và cấp quyền chung theo mức rủi ro, dễ quản trị hơn nhưng có thể dư quyền đôi chút. "Least access privileges customize access to a group based on risk" sai vì gán đặc điểm cấp theo nhóm của best fit cho least privilege. "Best fit privileges customize access to an individual" sai vì đảo ngược định nghĩa, may đo cho từng cá nhân là bản chất của least privilege. "No diffenrence" sai vì hai cách tiếp cận khác nhau rõ ở đơn vị được cấp quyền và mức độ chặt chẽ.

Đáp án đúng: "False". B2C (business-to-consumer) là doanh nghiệp bán hàng hoặc cung cấp dịch vụ trực tiếp cho người tiêu dùng cá nhân, như khách mua iPhone trên website của Apple. Tình huống Apple cộng tác điện tử với các đối tác để cung cấp dịch vụ khách hàng là collaborative commerce (thương mại cộng tác, c-commerce), nơi các doanh nghiệp phối hợp qua mạng để cùng thiết kế, sản xuất hoặc phục vụ khách; quan hệ cộng tác giữa Apple và đối tác thuộc nhóm giữa doanh nghiệp với doanh nghiệp chứ không phải B2C, nên phát biểu sai. "True" không đúng vì nó đồng nhất hoạt động cộng tác giữa các doanh nghiệp với việc bán trực tiếp cho người tiêu dùng.

Đáp án đúng: "24/7 access to goods and services". Một lợi ích cơ bản của thương mại điện tử với người tiêu dùng là mua sắm mọi lúc mọi nơi: cửa hàng trực tuyến không đóng cửa, khách có thể tìm, so sánh và đặt hàng lúc nửa đêm trên Amazon hay Tiki, kèm theo nhiều lựa chọn hơn và giá cạnh tranh hơn. "Limited product variety" sai vì thương mại điện tử mở rộng danh mục nhờ kệ hàng ảo không giới hạn. "Lack of competition" sai vì người bán trên mạng cạnh tranh gay gắt và khách dễ so sánh giá; nhiều cạnh tranh mới là lợi ích cho người mua. "Offline customer service only" sai vì thương mại điện tử cung cấp hỗ trợ trực tuyến như chat, chatbot, email bên cạnh tổng đài.

Đáp án đúng: "It allows for proactive management of delivery schedules". Order fulfillment (thực hiện đơn hàng) gặp nhiều khó khăn như giao trễ, thất lạc, sai địa chỉ; real-time tracking (theo dõi thời gian thực) bằng GPS, mã vạch hay RFID cho doanh nghiệp biết vị trí lô hàng ở mọi thời điểm, nên có thể phát hiện chậm trễ sớm, đổi tuyến, báo khách trước và điều chỉnh lịch giao một cách chủ động, như cách Amazon hay các hãng giao vận cập nhật hành trình đơn cho người mua. "It increases shipping delays" sai vì theo dõi giúp giảm chứ không làm tăng chậm trễ. "It limits visibility into the supply chain" ngược với bản chất, vì theo dõi thời gian thực chính là tăng khả năng nhìn thấy chuỗi cung ứng. "It eliminates the need for inventory management" sai vì biết vị trí hàng đang đi đường không thay được việc quản lý tồn kho trong kho. "It reduces customer trust in the business" sai vì khách được xem hành trình đơn thường tin tưởng doanh nghiệp hơn.

Đáp án đúng: "High transaction fees". Thanh toán vi mô điện tử (e-micropayment) là các giao dịch giá trị rất nhỏ, thường dưới vài đô la, như mua một bài hát, bài báo hay vật phẩm game. Thách thức lớn nhất là phí giao dịch: thẻ tín dụng thường thu một khoản phí cố định cộng phần trăm cho mỗi lần thanh toán, nên với khoản rất nhỏ thì phí có thể chiếm phần lớn hoặc vượt cả giá trị giao dịch; vì vậy người ta dùng tài khoản trả trước hoặc gộp nhiều khoản rồi thanh toán một lần. "Lengthy processing times" không phải đặc trưng, vì thanh toán điện tử thường xử lý gần như tức thì. "Limited availability of payment options" sai vì có nhiều cách như ví điện tử, thẻ trả trước, tính vào hoá đơn điện thoại. "Lack of security measures" không riêng gì micropayment, các khoản nhỏ vẫn dùng chung chuẩn bảo mật. "Inability to handle large transactions" không phải nhược điểm, vì micropayment vốn chỉ dành cho khoản nhỏ; khoản lớn đi kênh khác.

Đáp án đúng: "RFID". RFID (Radio Frequency Identification - nhận dạng bằng tần số vô tuyến) gắn thẻ chứa chip và ăng-ten lên kiện hàng hay pallet; đầu đọc tự động nhận dạng thẻ từ xa, không cần nhìn thấy trực tiếp như mã vạch, nên mỗi lần hàng đi qua cổng kho, xe tải hay trung tâm phân loại đều được ghi nhận, cho phép theo dõi vị trí gần như theo thời gian thực. "NFC" (near field communication) cũng là công nghệ không dây nhưng tầm chỉ vài centimet, chủ yếu dùng cho thanh toán chạm điện thoại, không hợp quét hàng loạt trong kho. "SSL" là giao thức mã hoá đường truyền web, bảo vệ dữ liệu chứ không theo dõi hàng. "VPN" tạo mạng riêng ảo để kết nối an toàn từ xa. "SMTP" là giao thức gửi thư điện tử giữa các máy chủ.

Đáp án đúng: "Underestimating implementation costs". Khi biện minh cho dự án thương mại điện tử, khó khăn thường gặp là đánh giá thấp chi phí triển khai: ngoài phần mềm, phần cứng còn có chi phí tích hợp hệ thống cũ, đào tạo, bảo trì, bảo mật, chuyển đổi dữ liệu và chi phí ẩn, khiến dự án vượt ngân sách và ROI tính trước thành sai. "Overestimating potential benefits" cũng là một sai lầm có thể xảy ra, nhưng lợi ích vô hình vốn khó đo, còn chi phí bị bỏ sót mới là thách thức điển hình được nhấn mạnh. "Disregarding customer needs" là lỗi thiết kế chiến lược, không phải khó khăn đặc thù của khâu biện minh đầu tư. "Focusing solely on short-term gains" là lối nghĩ ngắn hạn về quản trị, không phải vấn đề đo lường chi phí. "Avoiding collaboration with stakeholders" là vấn đề quản lý dự án, không phải thách thức của việc tính toán chi phí – lợi ích.