Tất cả câu hỏi

Đáp án đúng: "Preparation, detection and analysis, containment, eradication and recovery, and postincident recovery". Vòng đời ứng cứu sự cố theo NIST SP 800-61 đi từ chuẩn bị (lập đội, công cụ, quy trình), phát hiện và phân tích để xác nhận sự cố, ngăn chặn để không lan rộng, loại bỏ nguyên nhân và khôi phục hệ thống, rồi hoạt động sau sự cố để rút kinh nghiệm, nên chuỗi này đủ và đúng thứ tự. Chuỗi "Preparation, deletion and analysis" sai vì thay phát hiện bằng xoá, không có bước xoá trước khi phân tích. Chuỗi "Detection and analysis, containment, backup and eradication" bỏ mất bước chuẩn bị và chèn sao lưu vào chỗ của khôi phục. Chuỗi "Preparation, detection, deletion and analysis" lại chèn bước xoá vô nghĩa và gộp ngăn chặn với khôi phục, bỏ mất bước loại bỏ nguyên nhân, nên không phản ánh đúng vòng đời.

Đáp án đúng: "True". Kế hoạch CIRT (Computer Incident Response Team, đội ứng phó sự cố máy tính) ghi rõ ai là thành viên, vai trò và trách nhiệm từng người, cách liên lạc và ai có quyền quyết định; xác định thành viên từ trước là một lợi ích chính vì khi sự cố xảy ra không còn thời gian tìm người, phân việc, và đội có thể phản ứng ngay theo phân công đã thống nhất. Có thể cãi rằng lợi ích lớn nhất của kế hoạch là giảm thiệt hại và rút ngắn thời gian khống chế sự cố, nhưng chính việc xác định thành viên trước là thứ tạo ra lợi ích đó, nên phát biểu vẫn đúng. Chọn "False" là cho rằng việc nêu thành viên chỉ là chi tiết hành chính, bỏ qua giá trị của việc chuẩn bị nhân sự trước, vốn là điều quyết định tốc độ ứng phó.

Đáp án đúng gồm ba ý: "Help the organization well-prepared for incidents", "Identifying roles and responsibilities" và "Cost and time savings". Kế hoạch CIRT (kế hoạch của nhóm ứng phó sự cố máy tính) giảm thiểu rủi ro vì nó chuẩn bị sẵn thủ tục trước khi sự cố xảy ra, phân rõ ai làm gì trong nhóm, và nhờ vậy khi có sự cố tổ chức phản ứng nhanh, tốn ít thời gian và chi phí hơn so với xử lý ứng biến. Cần nói thẳng chỗ tranh cãi: "Better understanding of required skills" cũng là một lợi ích có thật, vì kế hoạch nêu kỹ năng cần cho từng vai trò nên tổ chức biết phải đào tạo hay tuyển ai. Tuy vậy, ba ý được chọn là ba lợi ích trực tiếp nhất của việc lập kế hoạch: chuẩn bị sẵn, phân vai rõ, và tiết kiệm chi phí, thời gian khi sự cố xảy ra; hiểu biết về kỹ năng là hệ quả phụ của việc phân vai nên không được tính là một lợi ích riêng.

Đáp án đúng: "Provides a cost-benefit analysis". Đánh giá rủi ro định lượng gán giá trị tiền cho rủi ro qua SLE = giá trị tài sản × hệ số thiệt hại và ALE = SLE × ARO, nên có thể so trực tiếp mức tổn thất hằng năm với chi phí biện pháp đối phó; chẳng hạn ALE giảm từ 50.000 xuống 10.000 mà biện pháp tốn 15.000 mỗi năm thì đáng đầu tư, đây là ưu điểm lớn nhất của cách tiếp cận này. "Based on expert opinions" là đặc trưng của đánh giá định tính, nơi rủi ro được xếp hạng theo nhận định chuyên gia. "Faster to complete than qualitative assessments" ngược sự thật; định lượng tốn nhiều thời gian hơn vì phải thu thập số liệu giá trị tài sản và tần suất xảy ra. "Uses a subjective approach" cũng mô tả định tính; định lượng hướng tới con số khách quan.

Đáp án đúng: "Understanding the impact of disruptions on business functions". BIA hoàn chỉnh là nền móng của BCP: nó xác định chức năng kinh doanh thiết yếu, đo tác động tài chính, vận hành, pháp lý khi từng chức năng bị gián đoạn, và đặt ra MAO, RTO, RPO; nhờ hiểu tác động đó, BCP biết phải ưu tiên khôi phục cái gì trước và trong bao lâu. "Ignoring potential threats" sai hoàn toàn, không bước nào trong lập kế hoạch liên tục lại bỏ qua mối đe doạ. "Identifying countermeasures and controls" là việc của đánh giá rủi ro và giai đoạn xây dựng chiến lược khôi phục; BIA tập trung vào hậu quả của gián đoạn, không bàn chọn biện pháp nào. "Providing training" là hoạt động sau khi đã có kế hoạch, giúp nhân viên biết vai trò khi kích hoạt BCP, không phải vai trò của BIA.

Đáp án đúng: "Exposure Factor (EF)". Hệ số thiệt hại (exposure factor, EF) là phần trăm giá trị tài sản bị mất khi một mối đe doạ xảy ra một lần; ví dụ máy chủ trị giá 10.000 USD bị hỏng 40% thì EF là 40%. "Single Loss Expectancy (SLE)" là thiệt hại tính bằng tiền cho một lần xảy ra, SLE = giá trị tài sản × EF, trong ví dụ là 10.000 × 40% = 4.000 USD, nên là số tiền chứ không phải phần trăm. "Multiple Loss Expectancy" không phải đại lượng chuẩn trong phân tích định lượng; thiệt hại lặp lại được tính bằng ALE = SLE × ARO. "Rate of Occurrence (ARO)" là số lần mối đe doạ dự kiến xảy ra mỗi năm, ví dụ 0,5 lần/năm cho ALE = 4.000 × 0,5 = 2.000 USD; nó là tần suất chứ không phải tỉ lệ thiệt hại.

Đáp án đúng: "Uncontrolled growth of a project's goals or deliverables". Phình phạm vi (scope creep) là hiện tượng mục tiêu hoặc sản phẩm bàn giao của một dự án cứ được thêm dần mà không qua kiểm soát thay đổi, kéo theo vượt ngân sách và trễ hạn; trong kế hoạch quản trị rủi ro, tuyên bố phạm vi (scope statement) rõ ràng được viết ra chính là để ngăn hiện tượng này. "The slow spread of malware" mô tả mã độc lây lan chậm, không liên quan tới quản lý dự án. "An increase in risk" là một hệ quả có thể xảy ra khi phạm vi phình ra, nhưng không phải định nghĩa của khái niệm. "A delay in software deployment" cũng chỉ là một hậu quả thường gặp; dự án có thể trễ vì nhiều lý do khác, còn scope creep là chính việc phạm vi tăng không kiểm soát.

Đáp án đúng: "Defense in depth". Defense in depth (phòng thủ nhiều lớp) đặt nhiều biện pháp kiểm soát chồng lên nhau ở các tầng khác nhau như tường lửa biên, phân đoạn mạng, xác thực, mã hoá, giám sát; nếu một lớp thất bại thì các lớp còn lại vẫn chặn hoặc phát hiện kẻ tấn công, nhờ đó khoảng trống an ninh được thu hẹp. "Access control implementation" là triển khai một loại kiểm soát cụ thể; bản thân nó cũng có thể thất bại và không tự che được khi chính nó hỏng. "Critical business factor analysis" là phân tích yếu tố kinh doanh then chốt, phục vụ xác định ưu tiên, không phải chiến lược bảo vệ. "Business impact analysis" (BIA) đo tác động khi chức năng kinh doanh bị gián đoạn để lập kế hoạch liên tục, không trực tiếp lấp khoảng trống khi một biện pháp kiểm soát hỏng.

Đáp án đúng: "Health Insurance Portability and Accountability Act (HIPAA)". HIPAA là luật Hoa Kỳ bảo vệ thông tin sức khoẻ, áp cho mọi tổ chức xử lý thông tin y tế như bệnh viện, phòng khám, công ty bảo hiểm y tế và đối tác của họ; luật yêu cầu bảo vệ tính bí mật, toàn vẹn và sẵn sàng của thông tin sức khoẻ cá nhân. "Sarbanes-Oxley Act (SOX)" áp cho công ty đại chúng, nhằm bảo đảm báo cáo tài chính chính xác. "Federal Information Security Management Act (FISMA)" áp cho các cơ quan liên bang và hệ thống thông tin của họ. "Family Educational Rights and Privacy Act (FERPA)" bảo vệ hồ sơ học tập của học sinh, sinh viên tại cơ sở giáo dục nhận tài trợ liên bang, không phải thông tin sức khoẻ nói chung.

Đáp án đúng: "Identify critical assets, prioritize recovery order, and establish recovery time objectives (RTOs).". Kết quả của phân tích tác động kinh doanh (BIA) cho biết chức năng nào trọng yếu và ngừng bao lâu thì không chịu nổi, nên khi xây chiến lược khôi phục thì bước cốt lõi là xác định tài sản trọng yếu phục vụ các chức năng đó, sắp thứ tự khôi phục theo mức trọng yếu, và đặt mục tiêu thời gian khôi phục làm thước đo để chọn giải pháp như hot site hay warm site. "Develop backup and recovery procedures, test and validate recovery plans regularly." là các bước triển khai và kiểm thử, diễn ra sau khi chiến lược đã được chọn. "Assign roles and responsibilities for recovery activities, train personnel on their roles." thuộc giai đoạn tổ chức đội và đào tạo, cũng đến sau. "Communicate recovery plans to stakeholders, conduct regular drills and simulations." là bước truyền thông và diễn tập để duy trì kế hoạch, không phải bước xây chiến lược từ kết quả BIA.

Đáp án đúng gồm hai ý: "Ensuring costs are controlled" và "Ensuring the project stays on schedule". Project manager (quản lý dự án) của kế hoạch quản trị rủi ro chịu trách nhiệm về chính dự án: giữ chi phí trong ngân sách và giữ tiến độ theo lịch, đồng thời điều phối thành viên và báo cáo với nhà tài trợ (sponsor). "Ensuring stakeholders have adequate funds" sai vì cấp và bảo đảm ngân sách là việc của nhà tài trợ hay lãnh đạo, quản lý dự án chỉ quản lý số tiền đã được cấp chứ không lo các bên liên quan có đủ tiền. "Ensuring recommendations are adopted" sai vì quản lý dự án chỉ lo khuyến nghị được đưa ra đầy đủ trong báo cáo; quyết định chấp nhận và triển khai khuyến nghị thuộc về lãnh đạo hoặc chủ sở hữu hệ thống, sau đó được theo dõi qua POAM (kế hoạch hành động và các mốc).

Đáp án đúng gồm ba ý: "A list of threats", "A list of vulnerabilities" và "Costs associated with risks". Mục tiêu (objectives) của kế hoạch quản trị rủi ro (risk management plan) nêu những gì kế hoạch phải tạo ra: danh sách mối đe doạ và danh sách điểm yếu để biết rủi ro đến từ đâu, cùng chi phí gắn với rủi ro để ước lượng thiệt hại và so với chi phí biện pháp. Các mục tiêu thường còn gồm khuyến nghị giảm thiểu rủi ro, chi phí của từng khuyến nghị và phân tích chi phí - lợi ích. "Analysis document" là phương án gây phân vân, vì danh sách mục tiêu cũng có báo cáo kết quả và phân tích chi phí - lợi ích; nó bị loại vì quá chung chung, không nói phân tích cái gì, trong khi ba phương án được chọn là những nội dung cụ thể mà mọi phân tích hay báo cáo về sau đều phải dựa vào.

Đáp án đúng: "Ignoring threats that seem insignificant". Quản lý điểm yếu tốt đòi hỏi xem xét đầy đủ mọi mối đe doạ rồi mới quyết định xử lý hay chấp nhận dựa trên đánh giá; bỏ qua những mối đe doạ trông có vẻ nhỏ là sai vì nhiều cuộc tấn công lớn bắt đầu từ một điểm yếu bị coi nhẹ, hoặc nhiều điểm yếu nhỏ kết hợp lại, nên đây là phát biểu không thuộc thực hành tốt. "Identifying vulnerabilities" là bước đầu tiên của quản lý điểm yếu, không biết thì không xử lý được, nên là thực hành tốt và không được chọn. "Performing vulnerability assessments" như quét bằng Nessus hay rà soát cấu hình định kỳ giúp phát hiện điểm yếu mới, cũng là thực hành tốt. "Using multiple mitigation techniques" thể hiện phòng thủ nhiều lớp, khi một biện pháp thất bại vẫn còn lớp khác, nên cũng là thực hành tốt.

Đáp án đúng: "Intentional threat". Mối đe doạ được phân loại theo nguồn và động cơ: mối đe doạ cố ý (intentional threat) do con người chủ động gây hại, với động cơ như tức giận, trả thù, tiền bạc hay hệ tư tưởng; một nhân viên bị sa thải tức giận xoá dữ liệu là ví dụ điển hình. "Environmental threat" là mối đe doạ từ môi trường tự nhiên hay vật lý như lũ, cháy, mất điện, không có kẻ gây ra mang cảm xúc. "Human error" là sai sót vô ý của con người, như gõ nhầm lệnh, cấu hình sai, không có ý định gây hại. "Accidental damage" là hư hại do tai nạn, ví dụ làm rơi ổ cứng hay đổ nước vào máy, cũng không có chủ đích. Yếu tố anger (tức giận) trong câu cho biết có động cơ và hành động chủ ý, nên chỉ nhóm cố ý phù hợp.

Đáp án đúng: "A denial of service (DoS) attack.". Khai thác (exploit) là hành động hay kỹ thuật lợi dụng một điểm yếu để gây hại cho hệ thống; tấn công từ chối dịch vụ lợi dụng giới hạn tài nguyên hoặc lỗi xử lý để làm dịch vụ không phục vụ được người dùng hợp lệ, nên là ví dụ của một exploit nhắm vào tính sẵn sàng. "Installing antivirus software." là biện pháp kiểm soát kỹ thuật để phòng và phát hiện mã độc. "Performing regular data backups." là kiểm soát khắc phục, giúp khôi phục dữ liệu sau sự cố. "Providing security awareness training for employees." là kiểm soát hành chính nhằm giảm sai sót của con người. Mỗi việc vừa nêu đều là biện pháp phòng thủ, ngược hẳn với khái niệm khai thác.

Đáp án đúng: "Software assets". Khi kiểm kê tài sản để đánh giá rủi ro, tài sản CNTT được chia thành phần cứng, phần mềm, dữ liệu và nhân sự; hệ điều hành và các ứng dụng là chương trình chạy trên máy, nên thuộc tài sản phần mềm, được định giá theo chi phí giấy phép, phát triển hay cài đặt lại và cần quản lý phiên bản, bản vá. "Hardware assets" là thiết bị vật lý như máy chủ, máy trạm, thiết bị mạng, nơi phần mềm được cài đặt chứ không phải chính phần mềm. "Personnel assets" là con người cùng kỹ năng và kiến thức của họ, ví dụ quản trị viên hệ thống. "Data assets" là thông tin mà phần mềm xử lý và lưu trữ, như hồ sơ khách hàng hay dữ liệu giao dịch, tách biệt với chương trình xử lý nó.

Đáp án đúng: "Confidentiality". User Domain (miền người dùng) là miền đầu tiên trong mô hình bảy miền của hạ tầng CNTT, nơi con người truy cập hệ thống; dữ liệu về người dùng như hồ sơ nhân sự, thông tin cá nhân, mật khẩu là dữ liệu nhạy cảm, nên mối quan tâm then chốt là confidentiality (tính bí mật): chỉ người được phép mới xem được, vì lộ lọt gây hại cho cá nhân và kéo theo trách nhiệm pháp lý về quyền riêng tư. "Availability" (tính sẵn sàng) quan trọng với hệ thống phục vụ, nhưng dữ liệu người dùng tạm thời không truy cập được thì ít nghiêm trọng hơn khi nó bị lộ. "Cost-effectiveness" là tiêu chí chọn biện pháp kiểm soát, không phải mối quan tâm về bản thân dữ liệu. "Data redundancy" (dư thừa dữ liệu) là kỹ thuật hỗ trợ tính sẵn sàng, và nếu thiếu kiểm soát còn làm tăng số bản sao có thể bị lộ.

Đáp án đúng: "To identify the root cause of the incident, understand its scope and impact.". Nhóm ứng phó sự cố máy tính (computer incident response team, CIRT) điều tra sau sự cố để tìm nguyên nhân gốc, xác định sự cố đã lan tới đâu và gây thiệt hại gì; kết quả này dùng để loại bỏ triệt để, khôi phục và sửa kiểm soát để sự cố không tái diễn. "To assign blame and identify the individuals responsible" sai vì mục tiêu là cải thiện an toàn chứ không phải đổ lỗi; tập trung vào đổ lỗi khiến mọi người giấu thông tin. "To recover from the incident as quickly as possible without considering potential future threats" bỏ qua bài học rút ra, dễ để sự cố lặp lại. "To implement immediate changes to security controls without a thorough analysis" có thể sửa sai chỗ hoặc gây sự cố mới vì chưa hiểu nguyên nhân.

Đáp án đúng: "Acceptable Use Policy". Chính sách sử dụng chấp nhận được (AUP) là văn bản người dùng phải đọc và ký, quy định họ được và không được làm gì với máy tính, mạng, thư điện tử và Internet của tổ chức, ví dụ cấm cài phần mềm không phép hay truy cập trang trái phép; đây là kiểm soát thủ tục chủ yếu cho miền người dùng (User Domain) và là cơ sở để xử lý vi phạm. "Access User Policy" không phải tên một chính sách chuẩn; quy định quyền truy cập thuộc chính sách kiểm soát truy cập. "Asset Use Policy" nghe gần nghĩa nhưng không phải nghĩa của chữ viết tắt AUP, và việc quản lý tài sản có chính sách riêng. "Acceptance User Policy" ghép sai chữ, đảo ý từ chính sách về hành vi được chấp nhận thành người dùng được chấp nhận, không tồn tại trong quản trị an ninh.

Đáp án đúng gồm bốn ý: "Laws", "Policies", "Regulations" và "Standards". Để hệ thống CNTT an toàn, tổ chức phải tuân thủ cả yêu cầu bên ngoài lẫn bên trong: luật (laws) do nhà nước ban hành, ví dụ luật bảo vệ dữ liệu cá nhân; quy định (regulations) do cơ quan quản lý ngành đặt ra để thi hành luật; chính sách (policies) là cam kết nội bộ của tổ chức về bảo mật; và chuẩn (standards) như ISO/IEC 27001 hay PCI DSS đưa ra yêu cầu cụ thể, đo được. Đây là những văn bản có tính ràng buộc, vi phạm sẽ bị xử phạt hoặc kỷ luật. "Manuals" là sổ tay hướng dẫn sử dụng hay vận hành một sản phẩm, mang tính tham khảo cách làm, không phải nghĩa vụ tuân thủ; tài liệu này có thể giúp cấu hình đúng nhưng không thuộc nhóm yêu cầu bắt buộc mà tổ chức phải đáp ứng.