Tất cả câu hỏi

Đáp án đúng gồm ba ý: "Confidentiality", "Integrity" và "Availability". Bộ ba CIA là ba thuộc tính an toàn mà mối đe doạ có thể làm tổn hại: tính bí mật (dữ liệu lộ cho người không được phép), tính toàn vẹn (dữ liệu bị sửa trái phép) và tính sẵn sàng (hệ thống không phục vụ được khi cần). "Vulnerability" là điểm yếu, thứ mà mối đe doạ khai thác, chứ không phải thuộc tính bị ảnh hưởng. "Authentication" là xác thực, một cơ chế kiểm soát để xác minh danh tính và nhờ đó bảo vệ bộ ba CIA. "Authorization" là phân quyền, cơ chế quyết định người đã xác thực được làm gì; nó cũng là biện pháp bảo vệ chứ không nằm trong ba mục tiêu an toàn.

Đáp án đúng gồm hai ý: "Controls" và "Countermeasures". Trong quản trị rủi ro, biện pháp kiểm soát (control) và biện pháp đối phó (countermeasure, còn gọi safeguard) là những hành động, cơ chế hay thiết bị được đặt vào để giảm hoặc vô hiệu hoá mối đe doạ hay điểm yếu, ví dụ tường lửa chặn lưu lượng độc hại, bản vá đóng lỗ hổng, đào tạo giảm khả năng người dùng bị lừa; hai từ thường được dùng gần như đồng nghĩa và đều được chọn sau khi phân tích chi phí – lợi ích. "Standards" là chuẩn, tức các yêu cầu bắt buộc cụ thể hoá chính sách như cấu hình tối thiểu, bản thân nó không trực tiếp chặn mối đe doạ mà quy định biện pháp cần có. "Guidelines" là hướng dẫn mang tính khuyến nghị, không bắt buộc, giúp người thực hiện làm đúng nhưng không phải cơ chế giảm rủi ro.

Đáp án đúng: "SP 800-34 Rev 1". NIST SP 800-34 Rev. 1 (Contingency Planning Guide for Federal Information Systems) là hướng dẫn lập kế hoạch dự phòng cho hệ thống thông tin, mô tả quy trình gồm xây dựng chính sách, thực hiện BIA, xác định biện pháp phòng ngừa, xây dựng chiến lược và kế hoạch dự phòng, kiểm thử, đào tạo và duy trì kế hoạch. "SP 800-53" là danh mục các biện pháp kiểm soát an ninh và quyền riêng tư; nó có họ kiểm soát về lập kế hoạch dự phòng nhưng không hướng dẫn từng bước làm BIA. "SP 800-37" là hướng dẫn áp dụng khung quản trị rủi ro (Risk Management Framework) cho hệ thống thông tin, với các bước phân loại, chọn, triển khai, đánh giá, cấp phép và giám sát. "SP 800-63" là hướng dẫn về định danh số và xác thực người dùng, không liên quan tới kế hoạch dự phòng.

Đáp án đúng: "NIST". National Institute of Standards and Technology (Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ) thuộc Bộ Thương mại, có Information Technology Laboratory (Phòng thí nghiệm Công nghệ Thông tin) soạn bộ tài liệu Special Publication 800, trong đó SP 800-30 hướng dẫn đánh giá rủi ro. "DHS" là Department of Homeland Security, Bộ An ninh Nội địa chịu trách nhiệm an ninh quốc gia, không phải đơn vị ra SP 800-30. "NCCIC" là trung tâm tích hợp truyền thông và an ninh mạng quốc gia trực thuộc DHS, chuyên điều phối ứng phó sự cố. "US-CERT" là đội ứng phó khẩn cấp máy tính của Hoa Kỳ, cũng trực thuộc DHS, chuyên cảnh báo và hỗ trợ xử lý sự cố chứ không soạn chuẩn.

Đáp án đúng: "Creating and maintaining a secure environment that minimizes the likelihood and impact of security incidents.". Rủi ro được đo bằng khả năng xảy ra và tác động, nên mục tiêu tối hậu của kế hoạch quản trị rủi ro là duy trì một môi trường an toàn trong đó cả hai yếu tố này được giữ ở mức thấp nhất hợp lý, cân đối với chi phí và nhu cầu kinh doanh. Lựa chọn "Achieving maximum regulatory compliance" sai vì tuân thủ chỉ là một phần, tổ chức có thể tuân thủ đủ mà vẫn không an toàn. Lựa chọn "most advanced and expensive security controls" đi ngược phân tích chi phí – lợi ích, biện pháp đắt nhất không có nghĩa là phù hợp, nhất là khi không quan tâm tới hiệu quả. Lựa chọn "Completing all scheduled risk assessment" và mitigation đúng hạn mà bỏ qua an ninh thực tế chỉ là hoàn thành thủ tục trên giấy, không phải mục tiêu cuối cùng.

Đáp án đúng: "False". Vế đầu của phát biểu đúng: rủi ro xuất hiện khi mối đe doạ (threat) có thể khai thác điểm yếu (vulnerability) của hệ thống. Nhưng kết luận rằng chỉ cần nhận diện mối đe doạ và điểm yếu là kiểm soát được rủi ro thì sai, vì nhận diện chỉ là bước đầu; quản trị rủi ro còn phải xác định tài sản và giá trị của nó, đánh giá khả năng xảy ra và tác động để xếp ưu tiên, chọn cách xử lý (giảm thiểu, chuyển giao, chấp nhận, tránh né), triển khai biện pháp kiểm soát và giám sát liên tục. Biết điểm yếu mà không vá hay không đặt kiểm soát thì rủi ro vẫn còn nguyên. Chọn "True" là đồng nhất việc nhận diện với việc kiểm soát, bỏ qua toàn bộ các bước đánh giá, xử lý và giám sát phía sau.

Đáp án đúng: "CBA". Phân tích chi phí - lợi ích (cost-benefit analysis) là phần của bản đánh giá rủi ro (RA) dùng để biện minh chi phí của một kiểm soát: lấy thiệt hại dự kiến hằng năm trước khi có kiểm soát trừ đi thiệt hại sau khi có kiểm soát, rồi so với chi phí kiểm soát; lợi ích lớn hơn chi phí thì khoản chi là hợp lý. "Probability and impact" giúp xếp mức rủi ro nhưng không chứa thông tin về chi phí kiểm soát. "ALE" (annualized loss expectancy) bằng SLE × ARO, chỉ là số liệu đầu vào của phép so sánh, tự nó chưa chứng minh kiểm soát đáng tiền. "POAM" là kế hoạch hành động và các mốc, theo dõi việc thực hiện khuyến nghị sau khi đã quyết định.

Đáp án đúng: "Unauthorized access incident". Cách phân loại sự cố của NIST chia theo bản chất hành vi; sự cố truy cập trái phép là khi ai đó chiếm được quyền vào hệ thống, mạng hay dữ liệu mà họ không được phép, thường nhờ tấn công phi kỹ thuật như lừa lấy mật khẩu, hoặc tấn công kỹ thuật như khai thác lỗ hổng hay dò mật khẩu. "Malware incident" là sự cố do mã độc như virus, sâu, trojan lây nhiễm, trọng tâm là phần mềm độc hại chứ không phải hành vi đăng nhập trái phép. "DoS attack" là tấn công từ chối dịch vụ, làm hệ thống quá tải để người dùng hợp lệ không truy cập được, không cần chiếm quyền vào. "Inappropriate usage incident" là khi người dùng hợp lệ dùng tài nguyên sai chính sách, chẳng hạn vi phạm AUP, tức họ có quyền truy cập nhưng dùng sai mục đích.

Đáp án đúng: "All of the above". Server hardening (gia cố máy chủ) là giảm bề mặt tấn công và đóng các điểm yếu đã biết, và cả bốn biện pháp được liệt kê đều là thực hành chuẩn của việc này. "Removing unnecessary services and protocols" đúng vì mỗi dịch vụ hay giao thức không dùng tới là một cửa vào thừa cho kẻ tấn công. "Keeping the server up to date" đúng vì vá hệ điều hành và phần mềm đóng các lỗ hổng đã được công bố. "Changing defaults" đúng vì mật khẩu, tài khoản, cổng và cấu hình mặc định ai cũng biết, nên là mục tiêu đầu tiên của kẻ tấn công. "Enabling local firewalls" đúng vì tường lửa trên chính máy chủ chặn kết nối không mong muốn kể cả khi tường lửa biên bị vượt qua, đúng tinh thần phòng thủ nhiều lớp. Vì từng biện pháp riêng lẻ đều đúng nhưng chỉ là một phần, chọn đáp án gộp mới đầy đủ.

Đáp án đúng: "The current configuration of the system". Khi xác định hệ thống cho đánh giá rủi ro, người đánh giá phải ghi lại cấu hình hiện tại như phần cứng, phần mềm, phiên bản, dịch vụ đang chạy, kết nối mạng, vì điểm yếu và rủi ro gắn với đúng trạng thái đang vận hành; mô tả sai cấu hình thì toàn bộ phân tích phía sau sẽ lệch. "Only the title of the system" quá sơ sài, không đủ để biết hệ thống có gì cần bảo vệ. "A list of possible attacks" thuộc bước nhận diện mối đe doạ, diễn ra sau khi đã mô tả hệ thống. "A list of previous risk assessments" là tài liệu tham khảo hữu ích nhưng có thể đã lỗi thời và không mô tả hệ thống ở hiện tại.

Đáp án đúng: "Evaluating the effectiveness of implemented controls and identifying necessary adjustments.". Sau khi triển khai kế hoạch giảm thiểu rủi ro, môi trường vẫn tiếp tục thay đổi: mối đe doạ mới xuất hiện, hệ thống được nâng cấp, biện pháp có thể không hiệu quả như dự tính; đánh giá rủi ro định kỳ là để kiểm tra biện pháp đã đặt có thật sự giảm rủi ro hay không và điều chỉnh khi cần, khép vòng quản trị rủi ro liên tục. "Demonstrating compliance with regulatory requirements." có thể là lợi ích phụ khi luật yêu cầu đánh giá định kỳ, nhưng tuân thủ không phải mục đích chính. "Updating the risk register and documenting changes in the risk landscape." là việc ghi chép đi kèm kết quả đánh giá, phục vụ cho mục đích đánh giá hiệu quả chứ không phải chính mục đích. "Allocating additional resources and budget for risk management activities." là quyết định có thể đến sau khi biết biện pháp nào cần điều chỉnh, chứ không phải lý do tiến hành đánh giá.

Đáp án đúng: "HIPAA". HIPAA (Health Insurance Portability and Accountability Act) là luật của Mỹ áp dụng cho các tổ chức xử lý thông tin y tế như bệnh viện, phòng khám, công ty bảo hiểm sức khoẻ và đối tác của họ; luật đòi bảo vệ tính bí mật, toàn vẹn và sẵn sàng của thông tin sức khoẻ cá nhân, có các quy tắc riêng về quyền riêng tư và an ninh. "SOX" (Sarbanes-Oxley Act) áp dụng cho công ty đại chúng, nhắm vào tính chính xác của báo cáo tài chính và kiểm soát nội bộ. "GLBA" (Gramm-Leach-Bliley Act) áp dụng cho tổ chức tài chính, bảo vệ thông tin tài chính cá nhân của khách hàng. "FISMA" (Federal Information Security Management Act) áp dụng cho cơ quan liên bang Mỹ và nhà thầu của họ, yêu cầu chương trình an ninh thông tin cho hệ thống của chính phủ.

Đáp án đúng: "Critical path chart". Biểu đồ đường găng (critical path chart) chỉ ra chuỗi công việc dài nhất trong dự án; các công việc trên đường găng không có thời gian dự trữ, nên trễ một công việc là trễ cả dự án, đúng thứ câu hỏi muốn theo dõi. "Affinity diagram" là sơ đồ tương đồng, dùng gom nhóm ý tưởng hay vấn đề có liên quan. "Cause and effect diagram" là sơ đồ nhân quả, còn gọi là sơ đồ xương cá Ishikawa, dùng tìm nguyên nhân gốc của một vấn đề. "Gantt chart" là biểu đồ thanh ngang thể hiện thời điểm bắt đầu, kết thúc của từng công việc; nó cho thấy lịch trình nhưng tự nó không đánh dấu công việc nào là then chốt.

Đáp án đúng: "Containment". Trong vòng đời ứng cứu sự cố, sau khi phát hiện và phân tích xác nhận đúng là có sự cố, bước tiếp theo là ngăn chặn (containment): cô lập máy bị nhiễm, ngắt kết nối mạng, khoá tài khoản bị chiếm để sự cố không lan sang hệ thống khác, rồi mới đến loại bỏ nguyên nhân và khôi phục. "Spread avoidance" mô tả gần đúng mục tiêu nhưng không phải tên một giai đoạn trong quy trình ứng cứu sự cố. "Incident response" là tên của toàn bộ quy trình ứng cứu, bao trùm mọi giai đoạn từ chuẩn bị tới rút kinh nghiệm, không phải riêng bước chặn lây lan. "Impact and priority calculation." là việc đánh giá mức tác động và mức ưu tiên của sự cố, thuộc bước phân tích trước khi ngăn chặn chứ không phải hành động ngăn sự cố lan rộng.

Đáp án đúng: "All of them". Kế hoạch CIRT có thể khác nhau giữa các tổ chức, nhưng thường gồm chung một số nội dung: danh sách thành viên và vai trò, các chính sách quy định khi nào và ai được hành động, quy trình ứng phó sự cố ở mức tổng thể và các thủ tục chi tiết từng bước; thiếu bất kỳ phần nào thì đội ứng phó đều lúng túng. "Members" đúng nhưng chưa đủ, vì đội có người mà không có quy tắc hành động thì không phối hợp được. "Policies" cũng chỉ là một phần, quy định quyền hạn mà không chỉ cách làm. "Incident response process" tả các giai đoạn lớn như chuẩn bị, phát hiện, ngăn chặn, khắc phục, rút kinh nghiệm nhưng cần thủ tục để thực thi. "Incident response procedure" là các bước cụ thể cho từng loại sự cố, lại cần quy trình và con người đi kèm. Vì cả bốn thường cùng có mặt nên đáp án gộp là đúng.

Đáp án đúng: "Clear identification of areas, processes, or projects covered". Phạm vi (scope) của kế hoạch quản trị rủi ro (RMP) xác định ranh giới và giới hạn của kế hoạch, nên điều phải nêu rõ là những khu vực, quy trình hay dự án nằm trong kế hoạch, kéo theo những gì nằm ngoài; nhờ đó tránh phạm vi phình ra (scope creep) và giúp ước lượng nguồn lực. "A breakdown of specific vulnerabilities" là kết quả của bước đánh giá điểm yếu diễn ra bên trong phạm vi, không phải ranh giới. "A list of recommended actions" là đầu ra của kế hoạch sau khi phân tích xong. "The financial impact of risks" là nội dung của phân tích tác động, cũng nằm trong phạm vi chứ không xác định phạm vi.

Đáp án đúng: "BIA". Phân tích tác động kinh doanh (BIA, business impact analysis) trả lời đúng câu hỏi điều gì xảy ra nếu một hệ thống hay chức năng ngừng hoạt động: xác định chức năng kinh doanh nào phụ thuộc vào máy chủ đó, thiệt hại tài chính và vận hành theo thời gian ngừng, thời gian ngừng tối đa chấp nhận được (MAO) và mục tiêu khôi phục (RTO, RPO). "BCP" là kế hoạch liên tục kinh doanh, dùng kết quả BIA để lên cách duy trì hoạt động, chứ bản thân nó không đo tác động. "DRP" là kế hoạch khôi phục thảm hoạ, mô tả cách đưa hệ thống trở lại, đến sau khi tác động đã được phân tích. "BCC" không phải tên một loại phân tích trong lập kế hoạch liên tục kinh doanh, nên không cung cấp đánh giá tác động khi máy chủ hỏng.

Đáp án đúng: "$65,000". Hiện tại ALE = $100,000 với ARO = 5, nên SLE = ALE ÷ ARO = $100,000 ÷ 5 = $20,000 cho mỗi lần tấn công. Sau khi có tường lửa, ARO giảm còn 1, nên ALE mới = SLE × ARO = $20,000 × 1 = $20,000. Mức giảm tổn thất hằng năm là $100,000 − $20,000 = $80,000; trừ chi phí tường lửa $15,000 mỗi năm thì khoản tiết kiệm ròng là $80,000 − $15,000 = $65,000. Con số "$50,000" chỉ ra được nếu ALE mới là $35,000, tức đã tính sai SLE hoặc ARO sau khi có tường lửa. Con số "$60,000" chỉ ra được nếu chi phí tường lửa là $20,000, tức đã trừ dư chi phí. Con số "$70,000" chỉ ra được nếu chi phí chỉ là $10,000, tức đã trừ thiếu chi phí hằng năm của biện pháp. Nguyên tắc là giá trị của biện pháp bảo vệ bằng ALE trước trừ ALE sau rồi trừ chi phí hằng năm của nó.

Đáp án đúng: "They help identify which safeguards to implement.". Đánh giá rủi ro (risk assessment) xác định tài sản, mối đe doạ, điểm yếu và mức rủi ro, từ đó khuyến nghị biện pháp bảo vệ (safeguard) nào nên triển khai và rủi ro nào nên ưu tiên. "They guarantee the elimination of all risks." sai vì không thể loại bỏ hoàn toàn rủi ro; luôn còn rủi ro tồn dư (residual risk) mà tổ chức chấp nhận. "They are a one-time requirement." sai vì hệ thống, mối đe doạ và điểm yếu thay đổi liên tục nên đánh giá phải lặp lại định kỳ hoặc khi có thay đổi lớn. "They focus solely on external threats." sai vì đánh giá rủi ro xét cả mối đe doạ nội bộ như nhân viên bất cẩn hay có ý đồ xấu, cũng như thiên tai và lỗi hệ thống.

Đáp án đúng: "If it receives E-Rate funding". Đạo luật Bảo vệ trẻ em trên Internet của Mỹ (CIPA, Children's Internet Protection Act) áp dụng cho trường học và thư viện nhận tài trợ chương trình E-Rate, khoản giảm giá dịch vụ Internet của liên bang; muốn nhận tiền thì phải có chính sách an toàn Internet và bộ lọc chặn nội dung độc hại với trẻ vị thành niên. "If it is registered with the Securities and Exchange Commission" là điều kiện để công ty đại chúng chịu Đạo luật Sarbanes-Oxley (SOX) về báo cáo tài chính. "If employees handle health-related information" gắn với HIPAA, luật bảo vệ thông tin sức khoẻ. "If it is a federal agency" thuộc phạm vi FISMA, luật quản lý an ninh thông tin của các cơ quan liên bang, không phải CIPA.