Tất cả câu hỏi

Đáp án đúng: "Recovery Time Objectives and Recovery Point Objectives". BIA xác định hai mục tiêu khôi phục cho từng chức năng và hệ thống: RTO (Recovery Time Objective) là thời gian tối đa để khôi phục hệ thống sau gián đoạn, và RPO (Recovery Point Objective) là mốc thời gian mà dữ liệu phải được khôi phục về, tức lượng dữ liệu tối đa được phép mất, quyết định tần suất sao lưu. Hai con số này là đầu vào trực tiếp cho chiến lược sao lưu và chọn địa điểm dự phòng. "Return on Investment and Economic Value" là thước đo tài chính của khoản đầu tư, không phải mục tiêu khôi phục. "Risk Threshold Objectives and Resource Allocation" trộn ngưỡng chịu rủi ro với phân bổ nguồn lực, đều là quyết định quản lý chung. "Regulatory Compliance and Operational Efficiency" là mục tiêu tuân thủ và hiệu quả vận hành, có thể được xét tới khi đánh giá tác động nhưng không phải hai mục tiêu khôi phục.

Đáp án đúng: "Either internal or external security professionals or both". Đánh giá điểm yếu (vulnerability assessment) có thể do chuyên gia an toàn nội bộ thực hiện vì họ hiểu hệ thống, hoặc chuyên gia bên ngoài vì họ khách quan và có công cụ, kinh nghiệm rộng; nhiều tổ chức kết hợp cả hai, ví dụ đội nội bộ quét định kỳ còn bên ngoài kiểm tra độc lập hằng năm. "Internal security professionals working as employees" đúng một phần nhưng loại trừ bên ngoài, mất góc nhìn độc lập. "External security professionals hired as consultants" cũng đúng một phần nhưng loại trừ nội bộ, vốn rẻ hơn và làm thường xuyên được. "Only the IT personnel who own the systems" sai vì người sở hữu hệ thống tự đánh giá chính mình sẽ thiếu khách quan và dễ bỏ qua lỗi của mình; nguyên tắc phân tách nhiệm vụ khuyên người đánh giá độc lập với người vận hành.

Đáp án đúng: "A project's schedule". Biểu đồ Gantt là công cụ quản lý dự án thể hiện các công việc dưới dạng thanh ngang trên trục thời gian, cho thấy ngày bắt đầu, ngày kết thúc, thời lượng, sự phụ thuộc giữa các việc và các mốc (milestone); trong kế hoạch quản trị rủi ro, nó được dùng để theo dõi tiến độ triển khai biện pháp đối phó. "Project costs" là thông tin ngân sách, được theo dõi bằng báo cáo chi phí, không phải nội dung chính của biểu đồ Gantt. "Risk likelihood" là xác suất xảy ra rủi ro, thể hiện trên ma trận khả năng xảy ra – tác động. "Employee assignments" có thể được ghi kèm tên người phụ trách trên một số biểu đồ Gantt, nhưng đó là thông tin phụ, còn mục đích chính vẫn là lịch trình của dự án.

Đáp án đúng gồm ba ý: "Accept it", "Transfer it" và "Avoid it". Các chiến lược xử lý rủi ro kinh điển là chấp nhận (accept, khi chi phí xử lý vượt tổn thất dự kiến), chuyển giao (transfer, như mua bảo hiểm hay thuê ngoài kèm hợp đồng ràng buộc trách nhiệm), tránh né (avoid, bỏ hoặc thay đổi hoạt động gây ra rủi ro) và giảm thiểu (mitigate, thêm biện pháp kiểm soát để giảm khả năng xảy ra hoặc tác động). "Migrate it" là bẫy chữ, viết gần giống mitigate nhưng nghĩa là di chuyển, di trú; chuyển hệ thống hay dữ liệu sang chỗ khác không phải một chiến lược xử lý rủi ro được công nhận, và bản thân việc di trú còn sinh ra rủi ro mới cần quản lý. Vì vậy chỉ chấp nhận, chuyển giao và tránh né là các chiến lược đúng trong danh sách.

Đáp án đúng: "This is a form of inappropriate usage.". Sự cố an toàn máy tính (computer security incident) gồm cả vi phạm chính sách sử dụng; khi chính sách đã cấm rõ phần mềm P2P mà người dùng vẫn cài, đó là sử dụng không phù hợp (inappropriate usage), tức người dùng hợp lệ dùng tài nguyên trái quy định. "This is not a computer security incident." sai vì vi phạm chính sách an toàn đã ban hành cũng là sự cố, nhất là P2P có thể làm lộ dữ liệu và kéo mã độc vào. "This is a form of unauthorized access." không khớp vì người dùng dùng chính máy được cấp, không vượt quyền truy cập hệ thống hay dữ liệu của người khác. "This is a form of malware." sai vì phần mềm P2P là ứng dụng hợp pháp, chỉ bị cấm theo chính sách; nó không tự là mã độc dù có thể trở thành đường lây.

Đáp án đúng: "Run the servers concurrently with the alternate location for three to five days.". Khi trở về site chính sau gián đoạn, máy chủ vừa dựng lại cần chứng minh nó chịu được tải và dữ liệu thật trước khi cắt site dự phòng; chạy song song vài ngày cho phép so kết quả hai bên, và nếu máy chủ mới hỏng thì vẫn còn site dự phòng làm đường lui. Lựa chọn "Test the servers and then turn off the servers at the alternate location." nghe hợp lý vì có kiểm thử trước, nhưng kiểm thử thường không tái tạo đủ tải thật, tắt ngay site dự phòng là bỏ mất đường lui khi lỗi chỉ lộ ra dưới tải vận hành. Lựa chọn "Bring the servers online and turn off the alternate location servers." còn rủi ro hơn vì không kiểm thử gì đã cắt dự phòng. Lựa chọn "Test the servers for three to five days before bringing them online." kéo dài thời gian chờ mà máy chủ vẫn chưa nhận tải thật, nên không chứng minh được khả năng vận hành thực tế.

Đáp án đúng: "They require less labor to use and ensure process availability". Tự động hoá quy trình mang lợi cho cả hai phía: với công ty, quy trình tự động cần ít công lao động để vận hành nên giảm chi phí và sai sót thủ công; với khách hàng, quy trình luôn sẵn sàng, chạy được ngoài giờ làm việc và cho kết quả nhất quán. Chính vì giá trị đó, trong quản trị rủi ro các quy trình tự động được coi là tài sản cần bảo vệ, vì nó ngừng thì cả hai phía cùng chịu thiệt. "They reduce the need for personnel assets" chỉ là lợi ích một phía cho công ty, trong khi câu hỏi yêu cầu giá trị cho cả khách hàng. "They increase the risk of failure" là một mặt tiêu cực có thể có, không phải giá trị. "They decrease the value to customers" mâu thuẫn trực tiếp với câu hỏi, vì quy trình tự động thường làm tăng chứ không giảm giá trị cho khách hàng.

Đáp án đúng: "DAT". DAT (damage assessment team, nhóm đánh giá thiệt hại) là nhóm trong kế hoạch khôi phục sau thảm hoạ có nhiệm vụ đánh giá mức thiệt hại và xác định mức nghiêm trọng của sự cố; họ thu thập và báo cáo dữ liệu cho người ra quyết định nhưng không trực tiếp hành động khôi phục. "EMT" là nhóm quản lý khẩn cấp (emergency management team), gồm lãnh đạo ra quyết định và điều phối toàn bộ phản ứng. "TRT" là nhóm khôi phục kỹ thuật (technical recovery team), trực tiếp khôi phục hệ thống tại chỗ hay ở địa điểm dự phòng. "DRT" là nhóm khôi phục sau thảm hoạ (disaster recovery team), thực hiện các hoạt động khôi phục; nhóm này hành động chứ không chỉ thu thập và báo cáo.

Đáp án đúng: "To review the BCP procedures in a discussion format". Bài tập trên bàn (tabletop exercise) tập hợp các thành viên đội BCP quanh một kịch bản giả định, cùng thảo luận từng bước trong kế hoạch xem ai làm gì, còn thiếu gì, có mâu thuẫn chỗ nào, mà không động tới hệ thống thật; ưu điểm là rẻ, ít gây gián đoạn và phát hiện sớm lỗ hổng của quy trình. "To fully simulate a disaster scenario" mô tả kiểm thử mô phỏng toàn phần hoặc gián đoạn toàn phần, tốn kém và có rủi ro hơn nhiều. "To train personnel on using recovery tools" là hoạt động đào tạo kỹ năng thực hành, có thể đi kèm diễn tập nhưng không phải mục đích của buổi thảo luận. "To physically test alternate locations and equipment" là kiểm thử chức năng hay kiểm thử song song tại site dự phòng, đòi hỏi vận hành thiết bị thật.

Đáp án đúng gồm ba ý: "Notification", "Recovery" và "Reconstitution". Theo hướng dẫn lập kế hoạch dự phòng của NIST, kế hoạch được tổ chức theo ba giai đoạn: kích hoạt và thông báo (Activation and Notification) đánh giá thiệt hại, báo cho người liên quan và quyết định kích hoạt kế hoạch; khôi phục (Recovery) thực hiện các thủ tục đưa chức năng hoạt động trở lại, có thể ở địa điểm dự phòng; tái lập (Reconstitution) đưa hoạt động về trạng thái bình thường, kiểm tra hệ thống và chính thức đóng kế hoạch. "Authorization" (cấp phép) là một bước trong quy trình cấp phép vận hành hệ thống của khung quản trị rủi ro, không phải một giai đoạn của kế hoạch liên tục. "Detection" (phát hiện) là hoạt động thuộc ứng phó sự cố, xảy ra trước và dẫn tới việc kích hoạt kế hoạch, nhưng không được tính là một giai đoạn riêng; ý phát hiện đã nằm trong giai đoạn kích hoạt và thông báo.

Đáp án đúng gồm hai ý: "Historical data reviewing" và "Threat modeling performing". Rà soát dữ liệu lịch sử nghĩa là xem lại các sự cố, nhật ký và báo cáo trước đây để biết mối đe doạ nào đã từng nhắm vào tổ chức và có thể quay lại; mô hình hoá mối đe doạ (threat modeling) là cách tiếp cận có cấu trúc, xem xét hệ thống, tài sản, điểm vào và kẻ tấn công tiềm năng để suy ra những mối đe doạ có thể xảy ra. Đây là hai kỹ thuật nhận diện mối đe doạ. "Quantifying" là định lượng, gán giá trị tiền cho thiệt hại và tần suất, thuộc bước phân tích rủi ro sau khi đã có danh sách mối đe doạ. "Qualifying" là đánh giá định tính, xếp mức khả năng và tác động, cũng là bước đánh giá chứ không phải nhận diện.

Đáp án đúng: "A high false-positive error rate". Máy quét điểm yếu như Nessus so dấu hiệu của hệ thống, ví dụ phiên bản dịch vụ, với cơ sở dữ liệu điểm yếu đã biết, nên hay báo có lỗ hổng trong khi thực tế hệ thống đã được vá hoặc cấu hình khác đi; báo động giả (false positive) nhiều buộc người quản trị tốn công kiểm tra lại từng kết quả, đây là nhược điểm thường gặp nhất. "A high false-negative error rate" nghĩa là bỏ sót nhiều điểm yếu có thật; máy quét có thể bỏ sót lỗi chưa có trong cơ sở dữ liệu, nhưng đó không phải đặc điểm nổi bật của nó. "A low false-positive error rate" là một ưu điểm, không thể là nhược điểm. "A low false-negative error rate" nghĩa là ít bỏ sót, cũng là ưu điểm chứ không phải hạn chế.

Đáp án đúng: "Prioritizing risk mitigation activities based on potential impact and exploit likelihood.". Phương pháp đánh giá rủi ro (risk assessment methodology), dù định tính, định lượng hay kết hợp, cho tổ chức một cách nhất quán để chấm từng rủi ro theo tác động tiềm tàng và khả năng bị khai thác, từ đó xếp hạng và dồn nguồn lực vào việc giảm thiểu rủi ro cao nhất trước; đây là lợi ích then chốt vì nguồn lực luôn có hạn. Phương án "Facilitating data collection and analysis of security threats and vulnerabilities." mô tả một bước làm trong quá trình đánh giá, là phương tiện chứ chưa phải lợi ích quản lý mà phương pháp mang lại. Phương án "Automating security controls and incident response procedures." là việc của công cụ vận hành và tự động hoá ứng phó, không phải của phương pháp đánh giá. Phương án "Reducing the need for human intervention in security operations." sai hướng, đánh giá rủi ro cần phán đoán của con người để chấm điểm và quyết định, nó không thay con người trong vận hành an ninh.

Đáp án đúng: "Unauthorized access to data". Mối đe doạ (threat) là bất kỳ hành động hay sự kiện nào có thể gây hại cho tính bí mật, toàn vẹn hoặc sẵn sàng của tài sản; truy cập trái phép vào dữ liệu đe doạ trực tiếp tính bí mật và có thể dẫn tới sửa đổi hay đánh cắp dữ liệu. "Data encryption" là kiểm soát kỹ thuật bảo vệ dữ liệu, làm cho dữ liệu bị đánh cắp vẫn không đọc được. "Installing antivirus software" là biện pháp phòng ngừa và phát hiện mã độc. "Creating a backup plan" là biện pháp khắc phục, giúp khôi phục dữ liệu khi bị mất. Mỗi việc vừa nêu đều là biện pháp đối phó với mối đe doạ chứ không phải bản thân mối đe doạ.

Đáp án đúng: "Residual risk". Rủi ro tồn dư (residual risk) là phần rủi ro còn lại sau khi đã áp dụng biện pháp kiểm soát, vì không biện pháp nào đưa rủi ro về 0; ban lãnh đạo phải xem xét và chính thức chấp nhận phần này, nếu nó vẫn vượt mức chấp nhận được thì cần thêm biện pháp. "Remaining risk" có nghĩa đen giống vậy nhưng không phải thuật ngữ chuẩn được dùng trong quản trị rủi ro. "Mitigated risk" chỉ phần rủi ro đã được giảm bớt nhờ biện pháp, tức phần đã xử lý chứ không phải phần còn lại. "Managed risk" là cách nói chung cho rủi ro đã được đưa vào quy trình quản lý bằng một trong các cách xử lý như tránh, chuyển giao, giảm thiểu hay chấp nhận, không chỉ riêng phần tồn tại sau khi đặt kiểm soát.

Đáp án đúng: "Value". Rủi ro được hình thành từ ba thành phần chính: threat (mối đe doạ) là thứ có thể gây hại, vulnerability (điểm yếu) là chỗ hở mà mối đe doạ khai thác, và loss (tổn thất) là hậu quả khi mối đe doạ khai thác được điểm yếu; vì thế rủi ro thường được tả là khả năng chịu tổn thất do mối đe doạ khai thác điểm yếu. "Value" (giá trị của tài sản) là đầu vào để đo mức tổn thất, giúp định lượng rủi ro, nhưng không phải thành phần cấu thành rủi ro; một tài sản có giá trị mà không có mối đe doạ hay điểm yếu thì không có rủi ro. "Threat" là thành phần chính vì không có nguồn gây hại thì điểm yếu chẳng bị khai thác. "Vulnerability" là thành phần chính vì mối đe doạ cần một điểm yếu để tác động. "Loss" là thành phần chính vì rủi ro rốt cuộc là khả năng chịu tổn thất.

Đáp án đúng: "Scope". Phạm vi (scope) của phân tích tác động kinh doanh (BIA) xác định ranh giới: những bộ phận, chức năng, hệ thống nào được phân tích và những gì nằm ngoài; xác định phạm vi là bước đầu tiên để BIA không quá rộng mà cũng không bỏ sót. "MAO" là thời gian gián đoạn tối đa chấp nhận được, một kết quả mà BIA tính ra cho từng chức năng, không phải ranh giới của BIA. "BCP" là kế hoạch duy trì kinh doanh, tài liệu lớn hơn sử dụng kết quả của BIA làm đầu vào. "Recovery objectives" gồm RTO (thời gian khôi phục mục tiêu) và RPO (điểm khôi phục mục tiêu), cũng là đầu ra của BIA chứ không định nghĩa ranh giới của nó.

Đáp án đúng: "Develop the contingency planning policy statement". Quy trình bảy bước lập kế hoạch dự phòng của NIST (SP 800-34) bắt đầu bằng việc ban hành tuyên bố chính sách lập kế hoạch dự phòng, tạo thẩm quyền và định hướng cho toàn bộ công việc, sau đó mới đến phân tích tác động kinh doanh, xác định biện pháp phòng ngừa, xây chiến lược dự phòng, viết kế hoạch, kiểm thử – đào tạo – diễn tập và cuối cùng là bảo trì kế hoạch. "Conduct the business impact analysis" là bước thứ hai; BIA cần chính sách đi trước để biết phạm vi và ai chịu trách nhiệm. "Identify preventive controls" là bước thứ ba, dùng kết quả BIA để chọn biện pháp giảm khả năng gián đoạn. "Create contingency strategies" là bước thứ tư, chọn cách khôi phục như site dự phòng hay sao lưu, nên không thể là bước đầu.

Đáp án đúng: "Maximum Acceptable Outage". MAO là thời gian ngừng tối đa chấp nhận được của một chức năng hay hệ thống kinh doanh, được xác định trong BIA; vượt quá mốc này, tổ chức chịu thiệt hại không thể chấp nhận như mất khách hàng, vi phạm hợp đồng hay luật. MAO là căn cứ để đặt RTO trong DRP, với RTO nhỏ hơn hoặc bằng MAO. "Mandatory Audit Objective" ghép đúng ba chữ cái MAO nhưng không phải thuật ngữ nào trong quản trị rủi ro; mục tiêu kiểm toán không có viết tắt chuẩn như vậy. "Major Application Outage" nghe gần nghĩa vì cũng nói về ngừng hoạt động, nhưng nó tả một sự cố chứ không phải ngưỡng chấp nhận được. "Minimum Access Option" không phải thuật ngữ chuẩn và mang nghĩa về quyền truy cập, chẳng liên quan tới thời gian ngừng.

Đáp án đúng: "Maximum Acceptable Outage (MAO)". MAO (thời gian gián đoạn tối đa chấp nhận được) là khoảng thời gian dài nhất một hệ thống hay chức năng được phép ngừng trước khi tổ chức chịu thiệt hại không chấp nhận được; nó được xác định trong phân tích tác động kinh doanh và là mốc trần cho các mục tiêu khôi phục. "Recovery Time Objective (RTO)" là thời gian mục tiêu để khôi phục hệ thống, phải đặt ngắn hơn hoặc bằng MAO, nên là mục tiêu chứ không phải giới hạn tối đa. "Recovery Point Objective (RPO)" đo lượng dữ liệu được phép mất tính theo thời gian, ví dụ sao lưu mỗi 4 giờ thì có thể mất tối đa 4 giờ dữ liệu. "Business Continuity Plan (BCP)" là kế hoạch duy trì hoạt động kinh doanh, một tài liệu chứ không phải thước đo thời gian.