Tất cả câu hỏi

Đáp án đúng: "Mandatory vacation". Nghỉ phép bắt buộc (mandatory vacation) là kiểm soát hành chính buộc nhân viên nghỉ liền nhiều ngày; khi người đó vắng mặt, người khác phải đảm nhận công việc, nên các giao dịch gian lận hay biển thủ vốn cần người thực hiện liên tục che giấu sẽ dễ bị lộ. "Job rotation" là luân chuyển công việc, đổi vị trí nhân viên định kỳ; nó cũng giúp phát hiện gian lận nhưng không phải là buộc nghỉ phép. "Separation of duties" là phân tách nhiệm vụ, chia một quy trình nhạy cảm cho nhiều người để không ai tự làm trọn từ đầu đến cuối. "Due diligence" là sự thẩm định cẩn trọng, nỗ lực hợp lý của tổ chức trong việc tìm hiểu và quản lý rủi ro, không phải một chính sách nghỉ phép.

Đáp án đúng: "CCTV". Biện pháp kiểm soát được chia thành ba nhóm: thủ tục (procedural, hay hành chính), kỹ thuật (technical) và vật lý (physical); kiểm soát vật lý bảo vệ cơ sở và thiết bị bằng tác động hữu hình như khoá cửa, hàng rào, bảo vệ và camera giám sát. Hệ thống camera quan sát (CCTV) ghi hình khu vực ra vào để răn đe và phát hiện xâm nhập vật lý, nên là kiểm soát vật lý điển hình. "Logon identifiers" là định danh đăng nhập, một kiểm soát kỹ thuật dùng để xác định và xác thực người dùng trên hệ thống. "Encryption" là mã hoá dữ liệu, cũng là kiểm soát kỹ thuật thực hiện bằng phần mềm hoặc phần cứng. "BCP" là kế hoạch liên tục kinh doanh, một tài liệu kế hoạch thuộc nhóm kiểm soát thủ tục chứ không phải vật lý.

Đáp án đúng: "By implementing automated solutions that complement and enhance existing risk management processes.". Công nghệ như hệ thống GRC (Governance, Risk and Compliance), công cụ quét lỗ hổng hay SIEM giúp thu thập bằng chứng, theo dõi kiểm soát và lập báo cáo tuân thủ nhanh, đều đặn hơn; nhưng đánh giá ngữ cảnh, phán đoán mức chấp nhận rủi ro và chịu trách nhiệm trước cơ quan quản lý vẫn cần con người, nên cách đúng là dùng tự động hoá để bổ trợ và tăng cường quy trình sẵn có. Phương án "By automating risk assessment and mitigation processes completely." sai ở chữ completely: đánh giá rủi ro cần hiểu biết kinh doanh mà máy không tự có. Phương án "By relying solely on automated security tools to detect and respond to threats." sai ở chữ solely, công cụ tự động có báo động giả và bỏ sót, lại chỉ lo phát hiện, ứng phó chứ không bao trùm tuân thủ. Phương án "By replacing human expertise with automated systems for managing risk" đi ngược nguyên tắc giữ con người trong vòng quyết định và trách nhiệm giải trình.

Đáp án đúng: "18". NIST SP 800-53 revision 4 sắp xếp các kiểm soát an toàn thành 18 họ (family), mỗi họ có mã hai chữ cái, ví dụ AC cho kiểm soát truy cập (Access Control), IR cho ứng phó sự cố (Incident Response) hay CP cho kế hoạch dự phòng (Contingency Planning); cách chia họ giúp tổ chức chọn và kiểm tra kiểm soát theo từng nhóm chức năng. "16" và "21" không khớp với số họ của revision 4; bản revision 5 ra sau có mở rộng số họ lên 20, nhưng câu hỏi nói rõ revision 4. "32" còn xa hơn, có thể bị nhầm với số lượng kiểm soát hay tăng cường trong một họ chứ không phải số họ kiểm soát.

Đáp án đúng gồm ba ý: "Data replication", "Electronic vaulting" và "Remote journaling". Cả ba là kỹ thuật đưa dữ liệu của một cơ sở dữ liệu lớn ra địa điểm khác: sao chép dữ liệu (data replication) ghi bản sao sang máy chủ ở xa gần như theo thời gian thực; electronic vaulting gửi bản sao lưu theo lô qua đường truyền tới kho lưu ngoài site; remote journaling gửi nhật ký giao dịch tới site xa để có thể dựng lại các thay đổi mới nhất, giúp giảm mục tiêu điểm khôi phục (RPO). "S3 bucket" là một dịch vụ lưu trữ đối tượng trên đám mây, tức là một nơi chứa dữ liệu chứ không phải một phương pháp sao chép; nó có thể là đích đến của bản sao lưu, nhưng tự nó không bảo đảm dữ liệu của cơ sở dữ liệu được chuyển ra ngoài site, nên không phải đáp án cùng loại với ba kỹ thuật trên.

Đáp án đúng: "Recovery time objective (RTO)". MAO (Maximum Acceptable Outage) trong BIA là thời gian ngừng tối đa mà một chức năng kinh doanh chịu được; khi chuyển sang DRP, con số này được cụ thể hoá thành RTO, mục tiêu thời gian mà hệ thống phải được khôi phục, và RTO phải nhỏ hơn hoặc bằng MAO để còn thời gian kiểm tra rồi đưa chức năng trở lại. "Critical business function (CBF)" là chức năng kinh doanh thiết yếu, chính là đối tượng mà MAO được xác định cho, không phải một thuật ngữ thời gian. "DRP action item (DRPAI)" không phải thuật ngữ chuẩn của DRP; hiểu theo nghĩa đen thì đó là một đầu việc trong kế hoạch, tức nội dung cần làm chứ không phải giới hạn thời gian. "Recovery action item (RAI)" cũng chỉ là một hành động khôi phục cụ thể, như dựng lại máy chủ hay nạp bản sao lưu, mô tả việc làm chứ không mang ý nghĩa mốc thời gian thay cho MAO.

Đáp án đúng: "Restore systems after a disaster". Kế hoạch khôi phục thảm hoạ (DRP, disaster recovery plan) là phần của lập kế hoạch dự phòng tập trung vào việc đưa hệ thống CNTT và dữ liệu hoạt động trở lại sau khi thảm hoạ đã xảy ra, chẳng hạn chuyển sang site dự phòng, khôi phục từ bản sao lưu, rồi đưa về site chính, theo đúng mục tiêu RTO và RPO đã định. "Prevent disasters" sai vì phòng ngừa thuộc các biện pháp kiểm soát và đánh giá rủi ro; DRP mặc định thảm hoạ có thể xảy ra và chuẩn bị cách phục hồi. "Eliminate downtime" phi thực tế; DRP chỉ rút ngắn thời gian ngừng xuống mức chấp nhận được, không xoá bỏ hoàn toàn. "Identify malware" là việc của công cụ diệt mã độc, hệ thống phát hiện xâm nhập và đội ứng cứu sự cố, không phải mục tiêu của DRP.

Đáp án đúng: "It helps decision-makers better understand impact and priorities". Người quyết định ngân sách và hướng xử lý rủi ro thường là lãnh đạo kinh doanh, không phải chuyên gia kỹ thuật; nói lỗ hổng trên máy chủ web ít ý nghĩa với họ, còn nói có thể mất hai ngày doanh thu bán hàng trực tuyến và bị phạt vì lộ dữ liệu khách hàng thì họ hiểu ngay mức tác động và biết ưu tiên đầu tư vào đâu. "It avoids legal accountability" sai, cách diễn đạt không làm giảm trách nhiệm pháp lý; truyền đạt rõ ràng còn giúp chứng minh tổ chức đã làm đủ trách nhiệm. "It increases user compliance with technical protocols" nhắm sai đối tượng, đó là việc của đào tạo nâng cao nhận thức cho người dùng chứ không phải báo cáo rủi ro cho lãnh đạo. "It improves security performance" quá gián tiếp: ngôn ngữ báo cáo tự nó không làm hệ thống an toàn hơn, nó chỉ giúp quyết định đúng, rồi các biện pháp được chọn mới cải thiện an ninh.

Đáp án đúng: "To stay within budget and on schedule.". Triển khai kế hoạch giảm thiểu rủi ro được quản lý như một dự án, nên hai mục tiêu chính là hoàn thành trong ngân sách và đúng tiến độ; vượt chi phí làm sai kết quả phân tích chi phí - lợi ích đã dùng để chọn biện pháp, còn trễ hạn khiến tổ chức phơi nhiễm rủi ro lâu hơn. "To hire new staff and purchase new software only." quá hẹp và nhầm phương tiện với mục tiêu, vì nhiều biện pháp chỉ cần đổi quy trình. "To complete the project without documenting any changes." đi ngược thực hành tốt, vì thay đổi phải được ghi nhận để kiểm soát và kiểm toán. "To ignore project management principles and rush the implementation." dẫn tới sai sót và vượt ngân sách, đúng điều cần tránh.

Đáp án đúng: "True". Một rủi ro thường được giảm bằng nhiều lớp biện pháp đối phó (countermeasure) cùng lúc theo nguyên tắc phòng thủ nhiều lớp (defense in depth); ví dụ rủi ro nhiễm mã độc có thể được giảm bằng phần mềm diệt virus, lọc thư rác, vá hệ thống định kỳ và đào tạo người dùng, mỗi biện pháp chặn một con đường khác nhau nên khi một lớp thất bại thì lớp khác vẫn còn tác dụng. Ngược lại, một biện pháp như tường lửa cũng có thể giảm nhiều rủi ro khác nhau. Khi chọn tổ hợp biện pháp, tổ chức dùng phân tích chi phí – lợi ích để bảo đảm tổng chi phí không vượt quá mức giảm thiệt hại. "False" sai vì nó ngụ ý mỗi rủi ro chỉ gắn với đúng một biện pháp, trái với cách các tổ chức thực sự xây dựng nhiều lớp kiểm soát cho cùng một rủi ro quan trọng.

Đáp án đúng: "Review and validate findings". Kết thúc đánh giá rủi ro, nhóm có danh sách rủi ro, mối đe doạ, điểm yếu và mức ưu tiên; bước đầu tiên là rà soát và xác nhận các phát hiện cùng chủ sở hữu hệ thống và các bên liên quan để chắc rằng dữ liệu đúng, không bỏ sót, không thổi phồng, trước khi dùng chúng làm căn cứ ra quyết định. "Create a cost-benefit analysis" cũng nằm ngay sau đánh giá, nhưng chỉ làm được khi các phát hiện đã được xác minh, vì tính lợi ích của biện pháp trên một rủi ro sai thì kết quả vô nghĩa; do đó xác nhận phát hiện đứng trước. "Develop security policies" là việc ở giai đoạn xử lý rủi ro, xa hơn nhiều. "Hire a security consultant" không phải bước tất yếu của quy trình; thuê chuyên gia là quyết định nguồn lực, có thể xảy ra ở bất kỳ lúc nào hoặc không cần tới.

Đáp án đúng: "CBA". Phân tích chi phí - lợi ích (cost-benefit analysis) trong một bản đánh giá rủi ro (RA) so sánh chi phí của kiểm soát với lợi ích nó mang lại, thường là phần thiệt hại hằng năm giảm được; nếu lợi ích lớn hơn chi phí thì có lý do để chi tiền cho kiểm soát. "Probability and impact" là hai đại lượng dùng để xác định mức rủi ro, chưa nói gì về chi phí của kiểm soát. "ALE" (annualized loss expectancy, thiệt hại dự kiến hằng năm) bằng SLE × ARO; nó là đầu vào cho phép so sánh nhưng một mình nó không biện minh được chi phí, vì phải so mức thiệt hại trước và sau kiểm soát với giá của kiểm soát. "POAM" là kế hoạch hành động và các mốc, dùng theo dõi tiến độ thực hiện khuyến nghị chứ không biện minh chi phí.

Đáp án đúng: "Impact of downtime on business operations and financial losses.". Mục tiêu thời gian khôi phục (RTO, recovery time objective) là khoảng thời gian tối đa mà một chức năng được phép ngừng trước khi gây thiệt hại không chấp nhận được, nên nó được suy ra từ phân tích tác động kinh doanh: ngừng bao lâu thì hoạt động và tài chính bị ảnh hưởng tới mức nào, và RTO phải nằm dưới thời gian ngừng tối đa chấp nhận được (MAO). "Severity of potential disruptions." nói về mức nghiêm trọng của từng kịch bản gián đoạn, hữu ích khi đánh giá rủi ro nhưng không trả lời doanh nghiệp chịu được ngừng bao lâu. "Technical limitations of backup and restoration technologies." là ràng buộc khi chọn giải pháp khôi phục để đạt RTO, chứ RTO phải xuất phát từ nhu cầu kinh doanh trước. "Existing budget allocated for DRP implementation and maintenance." ảnh hưởng tới việc chọn site dự phòng hay công nghệ, nhưng để ngân sách quyết định RTO là đảo ngược thứ tự, có thể khiến mục tiêu không bảo vệ được chức năng trọng yếu.

Đáp án đúng: "The business continuity coordinator or response leader". BCP chỉ được kích hoạt sau khi thảm hoạ được công bố, và người có thẩm quyền làm việc đó là điều phối viên duy trì hoạt động (business continuity coordinator) hoặc trưởng nhóm ứng phó đã được chỉ định trong kế hoạch; họ nắm toàn cảnh, có quyền điều động các nhóm và quyết định chuyển sang địa điểm dự phòng. "The IT help desk team" chỉ xử lý yêu cầu hỗ trợ kỹ thuật hằng ngày, không có thẩm quyền ra quyết định cho toàn tổ chức. "Any department supervisor" sai vì nếu ai cũng được kích hoạt thì sẽ có kích hoạt chồng chéo hoặc báo động giả; thẩm quyền phải giao cho một vai trò rõ ràng. "Internal audit team" là bộ phận đánh giá độc lập, xem xét kế hoạch có phù hợp và được thực hiện đúng không, nên không được đồng thời vận hành chính kế hoạch đó.

Đáp án đúng: "True". Hệ thống trọng yếu (mission-critical system) được định nghĩa đúng như câu nói: bất kỳ hệ thống nào được xác định là thiết yếu cho sứ mệnh của tổ chức, tức nếu nó ngừng thì tổ chức không thực hiện được chức năng chính, ví dụ hệ thống đặt hàng của một công ty thương mại điện tử. Việc xác định hệ thống trọng yếu thường diễn ra trong phân tích tác động kinh doanh để ưu tiên bảo vệ và khôi phục. Định nghĩa này nghe như lặp từ, nhưng điểm cốt lõi là tính trọng yếu do tổ chức tự xác định theo sứ mệnh của mình, không cố định theo loại công nghệ. Chọn "False" là sai, vì phát biểu không chứa điều kiện nào trái với định nghĩa.

Đáp án đúng: "Employee recreational areas". Kế hoạch liên tục kinh doanh (BCP) tập trung vào những thành phần cần có để các chức năng kinh doanh trọng yếu tiếp tục chạy khi có gián đoạn; khu vui chơi giải trí của nhân viên không phục vụ chức năng trọng yếu nào nên không được xác định là thành phần quan trọng, đây là phát biểu đúng với câu hỏi phủ định. "Database servers" là thành phần trọng yếu vì chứa dữ liệu mà hầu hết chức năng kinh doanh cần, nên được BCP liệt kê, vì thế không được chọn. "IT systems" là hạ tầng chạy các quy trình kinh doanh, mất nó thì chức năng trọng yếu dừng, nên cũng thuộc thành phần trọng yếu. "Facilities and personnel" gồm nơi làm việc và con người vận hành chức năng trọng yếu, thiếu một trong hai thì không duy trì được hoạt động, nên cũng nằm trong BCP.

Đáp án đúng gồm ba ý: "The information technology (IT) systems", "The facilities" và "The personnel". BCP (Business Continuity Plan, kế hoạch duy trì hoạt động kinh doanh) phải xác định phạm vi, tức những gì cần được giữ vận hành khi có gián đoạn, và ba thành phần cốt lõi là hệ thống CNTT phục vụ chức năng kinh doanh, cơ sở vật chất (toà nhà, mặt bằng, điện, thông tin liên lạc) và nhân sự thực hiện các chức năng đó. "The supply chain system" là chỗ tranh cãi: nhà cung cấp gián đoạn cũng làm tổ chức ngưng trệ và một số tài liệu ôn tập có kể nhà cung cấp trong phạm vi BCP, nhưng đề chỉ cho chọn ba và chuỗi cung ứng nằm ngoài quyền kiểm soát trực tiếp của tổ chức, thường được xử lý ở phần giả định hay phụ thuộc bên ngoài, nên nó bị loại so với ba thành phần cốt lõi kia. "The assurance" (sự bảo đảm) là khái niệm về mức tin cậy rằng biện pháp hoạt động đúng, không phải đối tượng nào nằm trong phạm vi kế hoạch.

Đáp án đúng: "To identify as many likely threats as possible". Đánh giá mối đe doạ (threat assessment) là bước nhận diện các mối đe doạ có thể xảy ra với tài sản, như tin tặc, mã độc, thiên tai, lỗi người dùng; mục tiêu là liệt kê càng nhiều mối đe doạ có khả năng xảy ra càng tốt để không bỏ sót trước khi phân tích tiếp. "To eliminate all possible threats" là bất khả thi, vì mối đe doạ thường nằm ngoài tầm kiểm soát của tổ chức; quản trị rủi ro chỉ giảm rủi ro xuống mức chấp nhận được. "To secure systems from any future threats" cũng là mục tiêu tuyệt đối không đạt được và thuộc giai đoạn triển khai biện pháp. "To identify vulnerabilities that can be exploited" là mục tiêu của đánh giá điểm yếu (vulnerability assessment), một bước khác trong quy trình.

Đáp án đúng: "Vulnerabilities are weaknesses that can be exploited, while exploits are specific attacks targeting those vulnerabilities.". Điểm yếu (vulnerability) là chỗ hở trong phần mềm, cấu hình, quy trình hay con người mà mối đe doạ có thể tận dụng; khai thác (exploit) là hành động hay cuộc tấn công cụ thể tận dụng đúng điểm yếu đó, nên rủi ro chỉ thành hiện thực khi có một exploit nhắm vào một vulnerability còn mở. Phát biểu "Vulnerabilities are external threats" sai vì điểm yếu nằm bên trong hệ thống, còn mối đe doạ mới có thể đến từ bên ngoài. Phát biểu "Vulnerabilities are known flaws in software or systems" quá hẹp vì có điểm yếu chưa ai biết (zero-day) và điểm yếu không nằm ở phần mềm, đồng thời gọi exploit là công cụ thì bỏ sót bản chất nó là cuộc tấn công. Phát biểu "Vulnerabilities are hypothetical risks" sai vì điểm yếu là có thật ngay cả khi chưa bị khai thác, và exploit không đồng nghĩa với một sự cố an ninh đã xảy ra.