Tất cả câu hỏi

Đáp án đúng: "An audit". Audit (kiểm toán, đánh giá tuân thủ) là hoạt động có hệ thống, thường do bên độc lập thực hiện, so sánh thực tế vận hành với các quy tắc, chính sách và hướng dẫn nội bộ (hoặc luật, chuẩn bên ngoài) để kết luận tổ chức có tuân thủ hay không. "Threat assessment" là đánh giá mối đe doạ, xác định ai hay cái gì có thể gây hại cho tài sản, không đo mức tuân thủ. "Gap analysis" so sánh trạng thái hiện tại với trạng thái mong muốn để tìm khoảng trống cần bù; nó thường dùng để chuẩn bị cho hoặc theo sau một cuộc kiểm toán, nhưng việc kiểm tra tuân thủ thì chính là kiểm toán. "An audit trail" là nhật ký kiểm toán, bản ghi theo thời gian các hành động trên hệ thống; nó là bằng chứng mà cuộc kiểm toán dùng tới chứ không phải hoạt động kiểm tra tuân thủ.

Đáp án đúng: "The likelihood that a loss will occur". Rủi ro (risk) là khả năng một tổn thất xảy ra khi mối đe doạ khai thác được điểm yếu; nó nói về điều có thể xảy ra trong tương lai và được đo bằng khả năng xảy ra kết hợp với tác động. "A vulnerability that has been exploited" mô tả một sự cố đã xảy ra, không còn là khả năng nữa. "A weakness in a system" là định nghĩa của điểm yếu (vulnerability), chỉ là một thành phần tạo nên rủi ro bên cạnh mối đe doạ. "A financial loss due to poor management" là một tổn thất cụ thể đã diễn ra, lại giới hạn ở nguyên nhân quản lý kém, nên không phải định nghĩa chung của rủi ro trong hệ thống thông tin.

Đáp án đúng gồm ba ý: "Future lost revenue", "Cost of gaining the customer" và "Customer influence". Giá trị vô hình (intangible value) là thứ không có hình thể và khó định giá chính xác, nhưng tổ chức vẫn mất nếu sự cố xảy ra: doanh thu tương lai bị mất khi khách bỏ đi, chi phí đã bỏ ra để có được khách hàng, và ảnh hưởng của khách hàng tới người khác qua lời giới thiệu hay đánh giá; khi đánh giá định lượng người ta phải ước tính các giá trị này để tính đủ thiệt hại. Ba phương án kia được xếp vào giá trị hữu hình theo nghĩa của quản trị rủi ro, tức giá trị đo được bằng chi phí thay thế. "Computer systems" là tài sản vật chất, có giá mua và chi phí thay thế rõ ràng. "Software applications" về kế toán là tài sản vô hình vì không có hình thể, nên phương án này có thể gây tranh cãi; trong đánh giá rủi ro nó bị loại vì giá trị của nó tính được trực tiếp bằng giá giấy phép hay chi phí phát triển lại. "Data" cũng không có hình thể, nhưng trong kiểm kê tài sản được định giá theo chi phí tạo lại hoặc khôi phục, khác với doanh thu tương lai hay uy tín vốn chỉ ước đoán được.

Đáp án đúng: "Improved decision-making, reduced costs, increased resilience, enhanced security.". Cả bốn phương án đều nghe tích cực, nên cần phân biệt lợi ích, tức kết quả mà tổ chức thu được, với đặc điểm của quy trình hay cách tổ chức. Một risk management framework (khung quản trị rủi ro) như NIST RMF hay ISO 31000 mang lại bốn kết quả kinh doanh: quyết định tốt hơn nhờ có dữ liệu rủi ro, giảm chi phí do sự cố và đầu tư đúng chỗ, tăng khả năng chống chịu (resilience) trước gián đoạn, và an ninh được nâng cao. Phương án "Centralized control, standardized processes, streamlined reporting, faster response times." tả các đặc điểm quản lý như kiểm soát tập trung, chuẩn hoá quy trình; khung quản trị rủi ro không nhất thiết đòi tập trung hoá. Phương án "Clear risk identification, efficient mitigation strategies, proactive risk monitoring, continuous improvement." tả chính các hoạt động bên trong khung (nhận diện, giảm thiểu, giám sát), tức là khung làm gì chứ chưa phải tổ chức được gì. Phương án "Enhanced communication, increased awareness, shared responsibility, improved accountability." nói về truyền thông và văn hoá nội bộ, là hệ quả phụ chứ không phải nhóm lợi ích cốt lõi.

Đáp án đúng: "They are vital functions whose failure impacts essential operations". Trong phân tích tác động kinh doanh (business impact analysis, BIA), chức năng kinh doanh then chốt (critical business function, CBF) là chức năng mà nếu ngừng thì hoạt động cốt lõi của tổ chức bị ảnh hưởng nghiêm trọng; BIA xác định chúng để gắn thời gian ngừng tối đa chấp nhận được và ưu tiên khôi phục trước. "They represent non-essential business activities" nói ngược bản chất, vì hoạt động không thiết yếu chính là thứ được khôi phục sau cùng. "They include functions necessary for compliance only" quá hẹp, vì chức năng then chốt gồm cả bán hàng, sản xuất, thanh toán chứ không chỉ chức năng tuân thủ. "They are functions that can be outsourced" lẫn sang quyết định thuê ngoài; một chức năng then chốt có thể thuê ngoài hay không, nhưng đó không phải điều định nghĩa nó.

Đáp án đúng: "Outages". Phân tích tác động kinh doanh (BIA, business impact analysis) nhằm xác định điều gì xảy ra với tổ chức khi một chức năng hay hệ thống ngừng hoạt động: thiệt hại tài chính, uy tín, pháp lý theo thời gian gián đoạn, từ đó suy ra thời gian ngừng tối đa chấp nhận được (MAO) và mục tiêu thời gian khôi phục (RTO); BIA không quan tâm nguyên nhân mà quan tâm hậu quả của việc ngừng. "Incidents" là sự kiện an ninh do đội CIRT xử lý, một sự cố có thể gây hoặc không gây gián đoạn. "Vulnerabilities" là điểm yếu, đối tượng của đánh giá điểm yếu và đánh giá rủi ro. "Threats" là mối đe doạ, được phân tích trong đánh giá rủi ro; BIA cố ý bỏ qua việc mối đe doạ nào gây ra gián đoạn.

Đáp án đúng: "IT systems". Trong BIA, sau khi xác định các critical business function (chức năng kinh doanh thiết yếu), người phân tích ánh xạ từng chức năng tới các hệ thống CNTT hỗ trợ nó, vì đó là cách biết hệ thống nào phải khôi phục trước và với RTO bao nhiêu; ví dụ chức năng bán hàng trực tuyến phụ thuộc máy chủ web, cơ sở dữ liệu và cổng thanh toán. "Personnel" là nguồn lực cần cho chức năng, nhưng BIA trong bối cảnh này tập trung xác định phụ thuộc vào hệ thống để lập kế hoạch khôi phục kỹ thuật. "Revenue" là một thước đo tác động (doanh thu mất đi khi chức năng ngừng), dùng để chấm mức nghiêm trọng chứ không phải đối tượng ánh xạ. "Replacement costs" là chi phí thay thế tài sản, thuộc về định giá tài sản trong đánh giá rủi ro, không phải thứ mà chức năng kinh doanh được ánh xạ tới.

Đáp án đúng: "It outlines how responsibilities are assigned within the organization". Cơ cấu quản lý (management structure) trong đánh giá rủi ro mô tả ai chịu trách nhiệm việc gì: ai sở hữu tài sản, ai phê duyệt biện pháp, ai triển khai và ai báo cáo. Nó quan trọng vì người đánh giá cần biết phải hỏi ai, ai có quyền chấp nhận rủi ro, và khuyến nghị sẽ được giao cho ai thực hiện. "It identifies threats in the organizational structure" nhầm sang bước nhận diện mối đe doạ. "It assesses the impact severity of risks" là việc của bước phân tích tác động. "It evaluates the effectiveness of countermeasures" thuộc bước đánh giá kiểm soát hiện có và theo dõi sau triển khai, không phải nội dung của cơ cấu quản lý.

Đáp án đúng: "Data leakage". Phần mềm ngang hàng (peer-to-peer) chia sẻ thư mục trên máy người dùng ra mạng bên ngoài, nhiều khi người dùng chia sẻ nhầm cả thư mục chứa tài liệu nội bộ, dữ liệu khách hàng hay mật khẩu, nên rủi ro lớn nhất là rò rỉ dữ liệu nhạy cảm ra ngoài tổ chức, kéo theo vi phạm tuân thủ và mất uy tín. "Loss of copyrights" sai vì việc tệp bị chia sẻ không làm tổ chức mất quyền tác giả về mặt pháp lý. "Piracy of the organization’s copyrighted material" là một rủi ro có thật khi tác phẩm của tổ chức bị phát tán trái phép, nhưng nó chỉ là một trường hợp hẹp của rò rỉ dữ liệu, còn rò rỉ bao trùm mọi loại thông tin nhạy cảm nên nghiêm trọng hơn. "DoS attacks" không phải hậu quả điển hình; phần mềm ngang hàng có thể ngốn băng thông nhưng hiếm khi gây từ chối dịch vụ cho tổ chức.

Đáp án đúng: "inappropriate usage". Theo cách phân loại sự cố an ninh máy tính phổ biến (gồm các nhóm như truy cập trái phép, mã độc, từ chối dịch vụ, sử dụng không phù hợp), việc một người dùng hợp lệ tự cài phần mềm P2P trái với chính sách của tổ chức là một sự cố, và thuộc nhóm inappropriate usage (sử dụng không phù hợp): người đó có quyền dùng máy nhưng dùng sai so với quy định. "It’s not a computer security incident" sai vì vi phạm chính sách bảo mật đã là sự cố, chưa kể P2P còn mở đường cho rò rỉ dữ liệu và vi phạm bản quyền. "unauthorized access" chỉ trường hợp ai đó vào hệ thống hay dữ liệu mà họ không được cấp quyền, ở đây người dùng không vượt quyền truy cập. "malware" là phần mềm độc hại như virus, sâu, trojan; phần mềm P2P tự nó không phải mã độc dù có thể kéo mã độc về.

Đáp án đúng: "Isolate the affected systems to prevent further damage". Giai đoạn ngăn chặn (containment) trong xử lý sự cố đứng sau phát hiện và trước loại bỏ, khôi phục; mục tiêu là chặn sự cố lan rộng, nên việc tiêu biểu là cô lập hệ thống bị ảnh hưởng, ví dụ ngắt khỏi mạng hay khoá tài khoản bị chiếm. "Develop new security policies" thuộc bước rút kinh nghiệm sau sự cố, khi tổ chức sửa chính sách để tránh lặp lại. "Update antivirus software" là biện pháp phòng ngừa hoặc thuộc bước loại bỏ, không ngăn ngay được sự lây lan đang diễn ra. "Reboot the affected systems" có thể xoá bằng chứng trong bộ nhớ và không chặn được kẻ tấn công nếu mã độc vẫn còn trên máy hay trên mạng.

Đáp án đúng gồm ba ý: "Incident containment", "Evidence preservation" và "Communication with internal and external stakeholders". Đội ứng cứu sự cố máy tính (CIRT) được lập ra để xử lý sự cố an ninh khi nó xảy ra: ngăn chặn để sự cố không lan sang hệ thống khác, bảo toàn chứng cứ theo chuỗi lưu giữ (chain of custody) để còn điều tra hay khởi kiện, và trao đổi thông tin với ban lãnh đạo, bộ phận pháp lý, cơ quan chức năng hay khách hàng bị ảnh hưởng. "Daily server maintenance" là công việc vận hành thường ngày của bộ phận quản trị hệ thống, không phải nhiệm vụ của một đội chỉ được kích hoạt khi có sự cố. "Disaster site construction" là việc chuẩn bị cơ sở vật chất cho site dự phòng, thuộc phạm vi kế hoạch khôi phục thảm hoạ và quản lý cơ sở hạ tầng, nằm ngoài vai trò của CIRT.

Đáp án đúng gồm hai ý: "Resource allocation" và "Risk acceptance". Qualitative risk assessment (đánh giá rủi ro định tính) xếp rủi ro theo mức như thấp, trung bình, cao dựa trên khả năng xảy ra và tác động, không quy ra tiền; báo cáo cuối vì vậy phải giúp lãnh đạo quyết định phân bổ nguồn lực (ngân sách, nhân sự) cho rủi ro ưu tiên cao trước, và chỉ rõ rủi ro nào ở mức có thể chấp nhận (risk acceptance) để không tốn tiền xử lý. "SLE and ARO" là đại lượng của đánh giá định lượng: SLE (Single Loss Expectancy, tổn thất cho một lần xảy ra) và ARO (Annualized Rate of Occurrence, số lần xảy ra mỗi năm) đều tính bằng số cụ thể, không thuộc kết quả định tính. "SLE and ALE" cũng vậy, ALE (Annualized Loss Expectancy, tổn thất dự kiến hằng năm) bằng SLE nhân ARO, là thước đo tiền tệ đặc trưng của phương pháp định lượng.

Đáp án đúng: "Utilizing a risk matrix to assess probability and impact.". Đánh giá rủi ro định tính (qualitative risk assessment) không quy ra tiền mà xếp khả năng xảy ra và tác động theo thang mức như thấp, trung bình, cao; ma trận rủi ro (risk matrix) đặt hai trục này cạnh nhau để mỗi rủi ro rơi vào một ô, từ đó biết rủi ro nào cần xử lý trước. "Ranking based on financial impact only." mang tính định lượng và chỉ nhìn một chiều tác động, bỏ qua khả năng xảy ra. "Comparing past incident reports." là nguồn thông tin hữu ích để ước lượng khả năng, nhưng tự nó không phải phương pháp xếp ưu tiên. "Surveying all employees for their opinions." có thể giúp thu thập ý kiến, nhưng hỏi toàn bộ nhân viên không có tiêu chí chung để so sánh rủi ro; kỹ thuật lấy ý kiến như Delphi chỉ hỏi nhóm chuyên gia và vẫn cần thang đo khả năng - tác động.

Đáp án đúng: "Subjective judgment and expert opinion". Đánh giá rủi ro định tính (qualitative risk assessment) không gán con số tiền tệ mà xếp xác suất và tác động theo thang như thấp, trung bình, cao dựa trên nhận định chủ quan và ý kiến chuyên gia, chẳng hạn qua phỏng vấn, khảo sát hay kỹ thuật Delphi; ưu điểm là nhanh và dễ làm, nhược điểm là khó so sánh khách quan. "Math formulas" là đặc trưng của đánh giá định lượng, nơi dùng công thức SLE = giá trị tài sản × hệ số thiệt hại và ALE = SLE × ARO. "Laws and regulations" là yêu cầu tuân thủ, có thể là một đầu vào của đánh giá nhưng không phải thứ phương pháp định tính dựa vào để xếp hạng rủi ro. "Historical earnings" là số liệu tài chính quá khứ, nếu dùng thì thiên về tính toán định lượng.

Đáp án đúng: "SLA". SLA (Service Level Agreement, thoả thuận mức dịch vụ) là hợp đồng giữa tổ chức và nhà cung cấp quy định mức hiệu năng kỳ vọng như thời gian hoạt động (uptime) tối thiểu, thời gian phản hồi sự cố, và chế tài khi nhà cung cấp không đạt; đây chính là công cụ để chuyển một phần rủi ro gián đoạn sang bên cung cấp dịch vụ. "MAO" (Maximum Acceptable Outage, thời gian ngừng tối đa chấp nhận được) là chỉ số nội bộ rút ra từ BIA; nó có thể làm căn cứ để đặt điều khoản trong SLA nhưng bản thân không phải thoả thuận với nhà cung cấp. "BIA" (Business Impact Analysis, phân tích tác động kinh doanh) là phân tích nội bộ về hậu quả khi chức năng bị gián đoạn. "IDS" (Intrusion Detection System, hệ thống phát hiện xâm nhập) là biện pháp kỹ thuật giám sát mạng, không liên quan tới hợp đồng dịch vụ.

Đáp án đúng: "If it is a federal agency". FISMA (Federal Information Security Management Act) là luật Hoa Kỳ buộc các cơ quan liên bang lập chương trình an toàn thông tin, đánh giá rủi ro và báo cáo định kỳ; vì vậy một tổ chức có phải tuân thủ FISMA hay không phụ thuộc vào việc nó có là cơ quan liên bang. "If it is registered with the Securities and Exchange Commission" là điều kiện áp dụng Sarbanes-Oxley Act (SOX) cho công ty niêm yết đại chúng, nhằm bảo đảm báo cáo tài chính trung thực. "If employees handle health-related information" là tiêu chí của HIPAA về bảo vệ thông tin sức khoẻ. "If it receives E-Rate funding" liên quan đến Children's Internet Protection Act (CIPA), áp cho trường học và thư viện nhận trợ giá E-Rate để kết nối Internet.

Đáp án đúng: "User Domain". Trong bảy miền của hạ tầng CNTT điển hình, miền người dùng gồm chính con người sử dụng hệ thống, và tấn công phi kỹ thuật (social engineering) như lừa đảo qua thư (phishing), giả danh bộ phận hỗ trợ hay dụ tiết lộ mật khẩu nhắm thẳng vào sự cả tin của con người, nên đây là miền chịu ảnh hưởng nặng nhất; biện pháp chính là đào tạo nhận thức và chính sách sử dụng chấp nhận được. "LAN Domain" là miền mạng nội bộ, rủi ro chủ yếu là truy cập trái phép vào thiết bị mạng hay nghe lén, mang tính kỹ thuật. "Remote Access Domain" là miền truy cập từ xa qua VPN, rủi ro là xác thực yếu hay thiết bị bị mất. "System/Application Domain" chứa máy chủ và ứng dụng, rủi ro là lỗi phần mềm, cấu hình sai, truy cập dữ liệu trái phép, không xoay quanh việc thao túng con người.

Đáp án đúng: "Boundaries". Scope (phạm vi) của một kế hoạch quản trị rủi ro xác định ranh giới: những hệ thống, ứng dụng, địa điểm, bộ phận nào nằm trong kế hoạch và cái gì nằm ngoài, để tránh phình phạm vi (scope creep) và để mọi bên hiểu kế hoạch chịu trách nhiệm tới đâu. "Objectives" là mục tiêu, một thành phần riêng của kế hoạch nêu kế hoạch muốn đạt điều gì; phạm vi trả lời câu hỏi tới đâu chứ không phải để làm gì. "POAM" (Plan of Action and Milestones, kế hoạch hành động và các mốc) là tài liệu theo dõi việc triển khai khuyến nghị, được lập sau khi có kết quả, không do phạm vi định nghĩa. "Recommendations" là các khuyến nghị biện pháp xử lý rủi ro, là đầu ra của đánh giá; chúng phải nằm trong phạm vi chứ không phải thứ mà phạm vi xác định.

Đáp án đúng: "Plan of Action and Milestones (POAM)". POAM (kế hoạch hành động và các mốc) là tài liệu liệt kê từng khuyến nghị hay biện pháp cần thực hiện, người chịu trách nhiệm, nguồn lực, mốc thời gian và trạng thái hoàn thành, nên được dùng để theo dõi tiến độ triển khai kế hoạch quản trị rủi ro. "Project charter" là điều lệ dự án, văn bản cho phép dự án bắt đầu và nêu mục tiêu, nhà tài trợ, chứ không theo dõi tiến độ. "Scope statement" là tuyên bố phạm vi, xác định ranh giới công việc và sản phẩm bàn giao của dự án. "Affinity diagram" là sơ đồ tương đồng, dùng để gom nhóm ý tưởng hay vấn đề có liên quan, ví dụ khi phân loại rủi ro, không phải công cụ theo dõi tiến độ thực hiện.