Tất cả câu hỏi

Đáp án đúng: "Critical business functions (CBFs) only". Câu hỏi diễn đạt hơi lỏng nhưng ý thực là hỏi phạm vi đúng của kế hoạch liên tục kinh doanh (BCP): phạm vi chỉ gồm các chức năng kinh doanh trọng yếu (CBF) đã được xác định qua phân tích tác động kinh doanh, tức những chức năng mà ngừng quá thời gian tối đa chấp nhận được thì tổ chức bị thiệt hại nghiêm trọng; nếu không có tuyên bố phạm vi, kế hoạch dễ phình ra bao trùm cả công ty và trở nên quá tốn kém, không khả thi. "All elements of the company globally" chính là tình trạng phình phạm vi mà tuyên bố phạm vi cần ngăn. "All IT elements of the company" vẫn quá rộng và chỉ nhìn từ góc CNTT, trong khi BCP lấy chức năng kinh doanh làm trung tâm, kể cả con người và cơ sở vật chất. "Critical success factors" là các yếu tố then chốt quyết định kế hoạch thành công, như sự ủng hộ của lãnh đạo, chứ không phải đối tượng thuộc phạm vi BCP.

Đáp án đúng: "Any single part of a system that can cause the entire system to fail, if it fails". Single point of failure (điểm lỗi đơn) là một thành phần mà nếu nó hỏng thì toàn bộ hệ thống ngừng, vì không có thành phần dự phòng nào thay thế, ví dụ một máy chủ cơ sở dữ liệu duy nhất, một đường truyền Internet duy nhất hay một bộ nguồn duy nhất. Nhận diện điểm lỗi đơn giúp tổ chức biết chỗ cần thêm dự phòng (redundancy) hoặc cơ chế chịu lỗi. "Any single part of a system that can fail" quá rộng, mọi thành phần đều có thể hỏng, nhưng chỉ thành phần mà hỏng kéo cả hệ thống sập mới là điểm lỗi đơn. "Any single part of system that has been protected with redundancy" ngược nghĩa, thành phần đã có dự phòng thì không còn là điểm lỗi đơn. "Any single part of a system" chỉ là một thành phần bất kỳ, không nói gì tới hậu quả khi nó hỏng.

Đáp án đúng: "Disaster Recovery Plan (DRP)". Kế hoạch khôi phục sau thảm hoạ tập trung vào việc khôi phục hệ thống và hạ tầng CNTT sau thảm hoạ: thủ tục khôi phục, địa điểm dự phòng, sao lưu và thứ tự đưa hệ thống trở lại hoạt động. "Business Impact Analysis (BIA)" là bước phân tích xác định chức năng then chốt và thời gian ngừng tối đa; nó cung cấp đầu vào cho DRP nhưng tự nó không chứa thủ tục khôi phục. "Business Continuity Plan (BCP)" bao quát hơn, nhằm duy trì hoạt động kinh doanh trong và sau gián đoạn; DRP thường là một phần của BCP, và phần đảm nhận việc khôi phục hệ thống chính là DRP. "Business Continuity Control (BCC)" không phải một loại kế hoạch hay thuật ngữ chuẩn trong lĩnh vực này.

Đáp án đúng: "Developing marketing strategies". Quy trình đánh giá rủi ro gồm các bước như xác định ranh giới và tài sản, nhận diện mối đe doạ và điểm yếu, đánh giá rủi ro, đề xuất biện pháp đối phó và trình bày khuyến nghị cho ban lãnh đạo; xây dựng chiến lược tiếp thị là hoạt động kinh doanh không liên quan tới đánh giá rủi ro, nên là phát biểu không thuộc nhóm. "Identifying assets and activities" là bước đầu tiên và cần thiết vì phải biết bảo vệ cái gì mới đánh giá được rủi ro, nên không được chọn. "Evaluating risks" là trọng tâm của quy trình, kết hợp khả năng xảy ra và tác động để xếp hạng rủi ro, cũng là một bước chính. "Presenting recommendations to management" là bước cuối, đưa kết quả cho ban lãnh đạo quyết định chấp nhận, trì hoãn hay điều chỉnh, nên cũng thuộc quy trình.

Đáp án đúng: "To prepare an organization for unforeseen disruptions and ensure critical functions continue.". BCP là kế hoạch giúp tổ chức chuẩn bị trước cho các gián đoạn bất ngờ như thảm hoạ thiên nhiên, mất điện kéo dài, tấn công mạng, và bảo đảm các chức năng kinh doanh thiết yếu tiếp tục hoạt động hoặc được khôi phục trong thời gian chấp nhận được, dựa trên kết quả BIA. "To ensure all employees know their daily tasks." là việc của mô tả công việc và quản lý nhân sự thường ngày; BCP chỉ quy định vai trò khi có gián đoạn. "To guarantee a company's stock value increases." sai vì không kế hoạch nào bảo đảm giá cổ phiếu tăng; BCP chỉ hạn chế thiệt hại khi có sự cố. "To outline a company's financial plan for the next five years." là kế hoạch tài chính chiến lược, không liên quan tới ứng phó gián đoạn.

Đáp án đúng: "A defense-in-depth strategy". Phòng thủ theo chiều sâu (defense in depth) là chiến lược dùng nhiều lớp biện pháp đối phó cho cùng một rủi ro, để nếu một lớp bị vượt qua thì lớp khác vẫn bảo vệ; ví dụ chống mã độc bằng tường lửa, lọc thư, phần mềm diệt virus và đào tạo người dùng cùng lúc. "A defense-in-layer strategy" nghe gần đúng vì ý tưởng đúng là các lớp, nhưng đó không phải tên chuẩn của chiến lược này. "A prevent-in-depth strategy" cũng không phải thuật ngữ được dùng; ngoài ra chiều sâu không chỉ gồm biện pháp phòng ngừa mà còn có kiểm soát phát hiện và khắc phục.

Đáp án đúng: "Who, what, when, and where details of an event". Nhật ký kiểm toán (audit log) có giá trị khi mỗi bản ghi trả lời được ai thực hiện, làm gì, lúc nào và từ đâu (máy, địa chỉ, tài nguyên), nhờ vậy có thể truy vết trách nhiệm, điều tra sự cố và làm chứng cứ. "All system events" sai vì ghi mọi sự kiện hệ thống sẽ tạo khối dữ liệu khổng lồ, làm chìm sự kiện quan trọng và tốn chỗ lưu, tổ chức cần chọn lọc sự kiện cần ghi. "All security-related events" chỉ trả lời câu hỏi ghi những sự kiện nào, còn câu hỏi ở đây là mỗi sự kiện phải ghi những chi tiết gì. "The details of what happened for an event" chỉ có phần làm gì, thiếu ai, lúc nào và ở đâu, nên không đủ để quy trách nhiệm cho một người dùng cụ thể.

Đáp án đúng: "To identify and prioritize risks". Risk assessment (đánh giá rủi ro) nhận diện tài sản, mối đe doạ, điểm yếu rồi phân tích khả năng xảy ra và tác động để xếp hạng rủi ro; kết quả là danh sách rủi ro đã được ưu tiên, làm căn cứ cho quyết định xử lý và phân bổ nguồn lực. "To create a budget plan" là việc dùng kết quả đánh giá, ngân sách được lập sau khi biết rủi ro nào cần xử lý. "To ensure data privacy" là một mục tiêu bảo mật cụ thể mà các biện pháp kiểm soát hướng tới; đánh giá rủi ro xét mọi loại rủi ro chứ không chỉ quyền riêng tư, và bản thân nó không bảo đảm điều gì. "To train security personnel" là hoạt động nâng cao năng lực, có thể được khuyến nghị sau đánh giá nhưng không phải mục đích của nó.

Đáp án đúng: "Reviewed and updated regularly". Kế hoạch khôi phục sau thảm hoạ (DRP) phản ánh hệ thống, nhân sự và địa điểm tại thời điểm soạn; khi tổ chức thay đổi phần cứng, ứng dụng, người phụ trách hay nhà cung cấp, kế hoạch cũ sẽ chỉ dẫn sai, nên phải được rà soát, diễn tập và cập nhật định kỳ. "Secret" sai vì những người tham gia khôi phục phải biết và tiếp cận được kế hoạch; chỉ những chi tiết nhạy cảm mới cần hạn chế. "Unchanged" ngược với yêu cầu trên, vì kế hoạch không đổi sẽ nhanh chóng lỗi thời. "Used daily" sai vì DRP chỉ được kích hoạt khi xảy ra thảm hoạ; dùng hằng ngày là việc của quy trình vận hành thường lệ.

Đáp án đúng: "Plan of Action and Milestones (POAM)". Kế hoạch hành động và mốc (POAM) liệt kê từng biện pháp đối phó cần triển khai, người chịu trách nhiệm, nguồn lực, các mốc và hạn hoàn thành, cùng trạng thái hiện tại, nên ban lãnh đạo dùng nó để theo dõi và bảo đảm các biện pháp được thực hiện đúng như kế hoạch giảm thiểu rủi ro đã duyệt. "Threat/Likelihood-Impact Matrix" dùng để xếp mức ưu tiên các rủi ro trước khi lập kế hoạch, không theo dõi việc thực hiện. "Gantt Chart" thể hiện lịch trình công việc và hỗ trợ theo dõi tiến độ, nhưng không ghi trách nhiệm và tình trạng của từng biện pháp như một công cụ giải trình. "Risk Assessment Document" là kết quả đánh giá rủi ro, đầu vào để lập kế hoạch giảm thiểu, chứ không phải công cụ giám sát việc triển khai.

Đáp án đúng: "True". Fault tolerance (khả năng chịu lỗi) là thiết kế để hệ thống tiếp tục chạy khi một thành phần hỏng, nhờ dự phòng như RAID, nguồn điện kép, cụm máy chủ; nó xử lý hỏng hóc cục bộ, thường không có thời gian ngừng. Disaster recovery (khôi phục sau thảm hoạ) là tập hợp kế hoạch và thủ tục để khôi phục hệ thống sau một sự kiện lớn làm tê liệt cả cơ sở như cháy, lũ, tấn công diện rộng, thường có thời gian ngừng và có thể phải chuyển sang địa điểm dự phòng. Hai khái niệm bổ trợ nhau nhưng khác về phạm vi và mục đích: chịu lỗi giúp tránh gián đoạn nhỏ, khôi phục thảm hoạ giúp đứng dậy sau gián đoạn lớn. Chọn "False" là coi hai khái niệm là một, trong khi một hệ thống RAID tốt vẫn không cứu được dữ liệu nếu cả toà nhà cháy.

Đáp án đúng: "True". Rủi ro là một yếu tố tạo ra chi phí kinh doanh (driver of business costs) theo hai cách: khi rủi ro thành hiện thực, tổ chức chịu thiệt hại như mất doanh thu, chi phí khôi phục, tiền phạt do vi phạm quy định; còn để giảm rủi ro, tổ chức phải chi tiền cho biện pháp kiểm soát, bảo hiểm, đào tạo. Vì vậy quản trị rủi ro luôn cân nhắc chi phí của rủi ro so với chi phí xử lý nó, và chỉ chọn biện pháp khi chi phí của biện pháp thấp hơn thiệt hại tránh được. "False" sai vì rủi ro rõ ràng ảnh hưởng tới chi phí, dù là chi phí thiệt hại hay chi phí phòng ngừa.

Đáp án đúng: "Risk = Threat × Vulnerability". Theo cách trình bày của môn, rủi ro chỉ tồn tại khi một mối đe doạ có thể khai thác một điểm yếu, nên rủi ro được biểu diễn là tích của mối đe doạ và điểm yếu: nếu một trong hai bằng 0, chẳng hạn hệ thống không có điểm yếu tương ứng, thì rủi ro cũng bằng 0. Cần nói thẳng là một số tài liệu khác nhân thêm giá trị tài sản hoặc tác động vào công thức, nên "Risk = Threat × Vulnerability x Asset" không vô lý ở những nguồn đó, nhưng trong khung của môn học này công thức chuẩn chỉ gồm mối đe doạ và điểm yếu, còn giá trị tài sản được đưa vào khi tính thiệt hại bằng SLE và ALE. "Risk = Threat + Vulnerability" sai vì phép cộng cho ra rủi ro dương ngay cả khi không có điểm yếu nào, trái với bản chất cặp đe doạ – điểm yếu. "Risk = Threat + Vulnerability + Asset" mắc cùng lỗi của phép cộng.

Đáp án đúng: "Prioritizing risks and countermeasures". Ma trận Threat/Likelihood/Impact (mối đe doạ, khả năng xảy ra, tác động) đặt mỗi mối đe doạ vào một ô theo khả năng xảy ra và mức tác động, mỗi ô cho một mức rủi ro như thấp, trung bình, cao; nhờ đó nhóm biết rủi ro nào cần xử lý trước và biện pháp đối phó nào đáng triển khai trước. "Determining the budget for the risk mitigation plan" là bước sau, ngân sách được quyết định dựa trên thứ tự ưu tiên và phân tích chi phí - lợi ích chứ ma trận không tự tính ra. "Assessing the effectiveness of existing controls" là việc của rà soát hay kiểm thử kiểm soát; mức kiểm soát hiện có ảnh hưởng tới ô được chọn, nhưng ma trận không đo hiệu quả kiểm soát. "Defining the scope of the risk assessment" là việc ở đầu quá trình, phải có phạm vi rồi mới biết mối đe doạ nào đưa vào ma trận.

Đáp án đúng gồm ba ý: "Identifying Threats", "Identifying Vulnerability" và "Assessing Impact and Likelihood of the Exploit". Rủi ro hình thành khi một mối đe doạ khai thác được điểm yếu và gây tác động, nên để nhận diện rủi ro cần đi qua ba bước: xác định mối đe doạ có thể xảy ra, xác định điểm yếu mà chúng có thể khai thác, rồi đánh giá tác động và khả năng việc khai thác đó xảy ra để biết cặp mối đe doạ/điểm yếu nào thành rủi ro đáng kể. "Evaluating the cost of damaged assets" thuộc phân tích thiệt hại tài chính, như tính SLE từ giá trị tài sản nhân hệ số thiệt hại; nó dùng để định lượng rủi ro đã nhận diện và để chọn biện pháp, chứ không phải kỹ thuật nhận diện rủi ro.

Đáp án đúng: "before". Kế hoạch khôi phục thảm hoạ (DRP) được xây dựng từ trước, khi tổ chức còn bình tĩnh, để suy nghĩ thấu đáo về các kịch bản có thể xảy ra, chọn site dự phòng, phương án sao lưu và phân công vai trò, nhờ vậy lúc thảm hoạ thật xảy ra người ta chỉ cần làm theo kế hoạch thay vì phải nghĩ cách dưới áp lực. Lựa chọn "during" sai vì trong lúc thảm hoạ đang diễn ra, áp lực thời gian và hỗn loạn khiến việc tư duy phân tích rất khó, đó chính là lúc DRP phát huy tác dụng như một kịch bản có sẵn chứ không phải lúc bắt đầu suy nghĩ. Lựa chọn "after" sai vì nếu chờ thảm hoạ xảy ra rồi mới tính thì đã mất thời gian khôi phục quý giá; phân tích sau sự cố chỉ là bước rút kinh nghiệm để cập nhật kế hoạch.

Đáp án đúng: "Nessus". Nessus là công cụ quét lỗ hổng (vulnerability scanner) tự động: nó dò các máy trong phạm vi, so sánh phiên bản phần mềm và cấu hình với cơ sở dữ liệu lỗ hổng đã biết rồi xuất báo cáo kèm mức nghiêm trọng và gợi ý khắc phục, nên là lựa chọn quen thuộc cho đánh giá lỗ hổng tự động. "Wireshark" là công cụ bắt và phân tích gói tin mạng, dùng để xem lưu lượng chứ không quét lỗ hổng. "Superscan" là công cụ quét cổng trên Windows, chỉ cho biết cổng nào mở chứ không đánh giá lỗ hổng. "Nmap" là công cụ quét mạng và cổng mạnh, nhận diện dịch vụ và hệ điều hành, có script mở rộng dò được một số lỗ hổng, nhưng mục đích chính là khám phá mạng chứ không phải công cụ đánh giá lỗ hổng toàn diện như Nessus.

Đáp án đúng: "ISO 27002 Information Technology Security Techniques". Bộ chuẩn hai phần được mô tả, với Part I nêu mục tiêu và kiểm soát còn Part II dùng để chứng nhận, có gốc từ BS 7799 của Anh rồi phát triển thành họ chuẩn ISO/IEC 27000 về an toàn thông tin. Cần nói thẳng chỗ tranh cãi: ngày nay phần dùng cho chứng nhận là ISO/IEC 27001, còn 27002 là bộ hướng dẫn thực hành kiểm soát; nhưng 27001 không có trong phương án, và ISO 27002 là phương án duy nhất thuộc họ chuẩn an toàn thông tin này nên được chọn. "ISO 73 Risk Management–Vocabulary" chỉ là bộ thuật ngữ quản trị rủi ro, không đặt yêu cầu để chứng nhận. "ISO 31000 Risk Management Principles and Guidelines" đưa ra nguyên tắc và hướng dẫn chung, tự nó không dùng để cấp chứng nhận. "IEC 31010 Risk Management–Risk Assessment Techniques" mô tả các kỹ thuật đánh giá rủi ro như phân tích cây lỗi hay Delphi, không phải bộ yêu cầu tuân thủ.

Đáp án đúng gồm ba ý: "Reviewing firewall logs regularly", "Using SIEM systems for correlation and alerting" và "Monitoring configuration changes". Giám sát rủi ro liên tục nghĩa là theo dõi môi trường một cách đều đặn để phát hiện sớm dấu hiệu bất thường: xem xét nhật ký tường lửa định kỳ để thấy lưu lượng đáng ngờ, dùng hệ thống quản lý sự kiện và thông tin an ninh (SIEM) để tương quan sự kiện từ nhiều nguồn và cảnh báo, theo dõi thay đổi cấu hình để bắt kịp thay đổi trái phép hoặc làm phát sinh điểm yếu. "Applying encryption to archived data" là một biện pháp bảo vệ dữ liệu lưu trữ, hữu ích nhưng nó là kiểm soát phòng ngừa chứ không phải hoạt động giám sát. "Performing one-time vulnerability scans" chỉ chụp lại trạng thái tại một thời điểm, trái với tính liên tục; quét chỉ có giá trị giám sát khi được lặp lại định kỳ.

Đáp án đúng: "MAO includes all possible recovery activities, while RTO is limited to system restoration time". Định nghĩa chuẩn: MAO (Maximum Acceptable Outage) là thời gian ngừng tối đa mà một chức năng kinh doanh chịu được, còn RTO (Recovery Time Objective) là mục tiêu thời gian khôi phục hệ thống và phải nhỏ hơn hoặc bằng MAO. Phương án được chọn diễn đạt gần đúng ý đó: MAO bao trùm toàn bộ quá trình đưa chức năng trở lại, gồm phát hiện, quyết định, khôi phục, kiểm tra, còn RTO chỉ là phần dựng lại hệ thống nằm bên trong khoảng đó; cách nói all possible recovery activities không thật chặt nhưng hướng phân biệt là đúng. "MAO focuses only on IT systems, while RTO includes all business processes" đảo ngược hai khái niệm, MAO mới gắn với chức năng kinh doanh còn RTO gắn với hệ thống. "MAO is the sum of all individual RTOs for an organization" sai vì MAO xác định cho từng chức năng, không phải tổng cộng. "There is no difference; both terms are interchangeable" sai vì MAO là ngưỡng chịu đựng còn RTO là chỉ tiêu khôi phục phải nằm dưới ngưỡng đó.