Tất cả câu hỏi

Đáp án đúng: "Accept, defer, or modify the recommendations.". Khi nhận khuyến nghị từ đánh giá rủi ro, ban lãnh đạo là người quyết định cuối cùng và có ba hướng: chấp nhận để triển khai, trì hoãn (defer) sang thời điểm khác, chẳng hạn chờ ngân sách năm sau, hoặc điều chỉnh khuyến nghị cho phù hợp nguồn lực, sau đó các quyết định được ghi vào kế hoạch hành động như POAM. "Accept or reject the recommendations." quá hẹp, chỉ có chấp nhận hoặc bác bỏ, bỏ mất hai hướng hay dùng nhất là trì hoãn và điều chỉnh. "Adjust, defer, or modify the recommendations." thiếu hẳn lựa chọn chấp nhận, trong khi adjust và modify gần như trùng nghĩa. "Allow or deny the recommendations." mượn cách nói của kiểm soát truy cập (cho phép hay từ chối), không phải cách ban lãnh đạo xử lý một khuyến nghị quản trị rủi ro.

Đáp án đúng gồm hai ý: "Redundancy / fail-over" và "Using external service". Yêu cầu có hai vế: dữ liệu được bảo vệ và vẫn truy cập được với zero downtime (không có thời gian ngừng). Redundancy (dự phòng) cùng fail-over (chuyển đổi dự phòng) giữ hệ thống chạy khi một thành phần hỏng vì bản sao kia tiếp quản ngay; dùng dịch vụ bên ngoài, như nhà cung cấp lưu trữ hay hosting có sẵn hạ tầng dự phòng và nhiều trung tâm dữ liệu, cũng giữ dữ liệu sẵn sàng liên tục, nhưng chỉ khi chính nhà cung cấp có dự phòng như vậy; đề không công bố khoá và vế thứ hai này là chỗ còn tranh cãi, được chọn vì nó là phương án duy nhất còn lại không đòi khôi phục. "On-site backup" bảo vệ được dữ liệu nhưng muốn dùng lại phải khôi phục, tức là có thời gian ngừng, và còn chung số phận nếu cơ sở bị thảm hoạ. "Off-site backup" là biện pháp bảo vệ dữ liệu rất tốt, chống được cả thảm hoạ tại chỗ, nhưng cũng phải khôi phục mới truy cập lại được nên không đáp ứng vế zero downtime; đó là lý do nó bị loại, dù xét riêng về bảo vệ dữ liệu nó còn vượt bản sao lưu tại chỗ.

Đáp án đúng: "Purchasing insurance". Mối đe doạ môi trường (environmental threat) như cháy, lũ, động đất, bão là sự kiện tự nhiên không ngăn được bằng biện pháp kỹ thuật; vì vậy cách xử lý phổ biến là chuyển giao rủi ro (risk transfer), tức mua bảo hiểm để bên bảo hiểm gánh phần thiệt hại tài chính. Các biện pháp vật lý như hệ thống chữa cháy, chống ngập hay đặt trung tâm dữ liệu ở vùng an toàn cũng dùng cho loại mối đe doạ này nhưng không có mặt trong phương án. "Installing firewalls" chống truy cập trái phép qua mạng, không có tác dụng với lửa hay nước. "Using encryption" bảo vệ tính bí mật của dữ liệu, nhưng khi thiết bị bị phá huỷ thì dữ liệu mã hoá cũng mất theo. "Conducting regular audits" kiểm tra sự tuân thủ và hiệu quả kiểm soát, không làm giảm thiệt hại khi thảm hoạ tự nhiên xảy ra.

Đáp án đúng gồm ba ý: "physical security", "technical security" và "operational security". Điểm yếu (vulnerability) là chỗ hở mà mối đe doạ có thể khai thác, và nó được nhận diện theo ba mặt bảo vệ của tổ chức: an ninh vật lý (khoá cửa, camera, kiểm soát ra vào phòng máy), an ninh kỹ thuật (bản vá, cấu hình, mã hoá, tường lửa) và an ninh vận hành (quy trình, thủ tục, cách con người làm việc hằng ngày), tương ứng với ba nhóm biện pháp kiểm soát vật lý, kỹ thuật và thủ tục. "law security" không phải một mảng an ninh; luật và quy định là yêu cầu tuân thủ đặt ra cho tổ chức, vi phạm là rủi ro pháp lý chứ không phải điểm yếu của hệ thống. "training security" cũng không phải một mảng riêng; đào tạo nhận thức là một biện pháp kiểm soát nằm trong an ninh vận hành, thiếu đào tạo là điểm yếu thuộc mảng vận hành.

Đáp án đúng: "To protect valuable resources". Nhận diện tài sản (asset identification) là bước đầu của quản trị rủi ro: phải biết tổ chức có những gì (phần cứng, phần mềm, dữ liệu, con người, quy trình) và mỗi thứ có giá trị bao nhiêu thì mới xác định được mối đe doạ, điểm yếu và mức bảo vệ tương xứng; không biết tài sản thì không thể bảo vệ nó. "To increase sales" là mục tiêu kinh doanh, việc lập danh mục tài sản không trực tiếp làm tăng doanh số. "To improve employee productivity" có thể là lợi ích phụ khi quản lý tài sản tốt hơn, nhưng không phải mục đích của bước này trong quản trị rủi ro. "To enhance customer satisfaction" cũng là kết quả gián tiếp ở tầng kinh doanh; mục đích chính vẫn là bảo vệ những nguồn lực có giá trị khỏi tổn thất.

Đáp án đúng: "True". Câu dựa trên ý dữ liệu là một tài sản: khi nguồn dữ liệu đủ lớn, ví dụ lịch sử bán hàng nhiều năm, tổ chức có thể khai phá xu hướng để xây chiến lược bán hàng theo mùa, nên dữ liệu có giá trị kinh doanh và vì thế cũng là tài sản cần bảo vệ trong quản trị rủi ro. Cần nói thẳng chỗ tranh cãi: chữ readily (dễ dàng, sẵn sàng) khiến câu có thể bị hiểu là "False", vì dữ liệu lớn vẫn phải được làm sạch, tích hợp và phân tích mới dùng được, kích thước tự nó không sinh ra lợi thế. Tuy vậy, ý chính của câu là dữ liệu đủ lớn mở ra khả năng khai thác giá trị, nên đáp án được chốt theo ý chính đó; cách hiểu ngược lại chỉ đứng được nếu đọc chữ readily theo nghĩa hoàn toàn không cần xử lý gì.

Đáp án đúng: "A database created by combining multiple databases into a central database". Kho dữ liệu (data warehouse) gom dữ liệu từ nhiều cơ sở dữ liệu nguồn, chẳng hạn bán hàng, kho vận, nhân sự, vào một cơ sở dữ liệu trung tâm để phân tích và khai phá dữ liệu (data mining); vì tập trung nhiều thứ nhạy cảm vào một chỗ, nó là tài sản dữ liệu giá trị cao cần được bảo vệ chặt. "A database used in a warehouse" hiểu chữ warehouse theo nghĩa đen là nhà kho, không phải khái niệm CNTT. "A database used to identify the location of products in a warehouse" mô tả một hệ thống quản lý kho hàng, chỉ là một nguồn dữ liệu đơn lẻ. "One of several databases used to create a central database for data mining" mô tả cơ sở dữ liệu nguồn đổ vào kho, chứ không phải chính kho dữ liệu trung tâm.

Đáp án đúng: "fraud, theft, errors, and conflicts of interest". Separation of duties (phân tách nhiệm vụ) chia một quy trình nhạy cảm cho nhiều người, ví dụ người tạo yêu cầu thanh toán không được tự duyệt, để không ai một mình vừa làm vừa che giấu; nhờ đó nó giảm gian lận (fraud), trộm cắp (theft), sai sót (errors) vì người thứ hai sẽ phát hiện, và xung đột lợi ích (conflicts of interest) vì không ai tự duyệt việc có lợi cho mình. "fraud, theft, failure, and incident" sai ở hai vế cuối: hỏng hóc (failure) của hệ thống được xử lý bằng dự phòng, còn sự cố (incident) là hệ quả chung chứ không phải loại rủi ro riêng mà phân tách nhiệm vụ nhắm tới. "fraud, theft, errors, and incident" đúng ba vế đầu nhưng thay xung đột lợi ích bằng sự cố. "fraud, theft, failure, and conflicts" vừa có failure, vừa cắt cụt thành conflicts chung chung, trong khi điều cần nói là xung đột lợi ích.

Đáp án đúng: "Risk assessments". NIST SP 800-30, tên đầy đủ Guide for Conducting Risk Assessments, hướng dẫn cách tiến hành đánh giá rủi ro cho hệ thống thông tin: chuẩn bị, xác định mối đe doạ, điểm yếu, khả năng xảy ra, tác động và từ đó xác định mức rủi ro. "Maturity levels" là khái niệm mức trưởng thành của các mô hình như CMMI hay COBIT, không phải nội dung của SP 800-30. "A framework of good practices" mô tả đúng hơn các khung như COBIT hay ITIL, tập hợp thực hành tốt cho quản trị và vận hành CNTT. "Certification and accreditation" là quy trình chứng nhận và cấp phép vận hành cho hệ thống liên bang, được NIST hướng dẫn trong tài liệu khác là SP 800-37, không phải trọng tâm của SP 800-30.

Đáp án đúng: "Plan and Organize". Trong COBIT (bản 4.1), 34 quy trình CNTT được gom vào bốn miền theo vòng đời quản trị: miền lập kế hoạch và tổ chức lo phần chiến lược và chiến thuật, tức xác định CNTT đóng góp thế nào vào mục tiêu kinh doanh, kiến trúc thông tin, đầu tư và quản lý rủi ro ở tầm định hướng. "Acquire and Implement" là miền hiện thực hoá chiến lược: xác định, mua sắm, phát triển và tích hợp giải pháp CNTT vào quy trình kinh doanh. "Deliver and Support" là miền vận hành hằng ngày: cung cấp dịch vụ, bảo đảm an ninh, liên tục dịch vụ và hỗ trợ người dùng. "Monitor and Evaluate" là miền giám sát, đánh giá chất lượng và mức tuân thủ của các quy trình theo thời gian, đứng sau khi chiến lược đã được triển khai chứ không đặt ra chiến lược.

Đáp án đúng: "False". In-place control (biện pháp kiểm soát hiện hữu) theo định nghĩa chính là biện pháp đã được cài đặt và đang chạy trong một hệ thống đang vận hành (operational system), ví dụ tường lửa đã bật, phần mềm diệt virus đã triển khai; nó được đặt đối lập với planned control (biện pháp kiểm soát dự kiến), là biện pháp nằm trong kế hoạch, có ngày triển khai nhưng chưa cài. Phát biểu nói biện pháp hiện hữu không được cài đặt trong hệ thống vận hành là mâu thuẫn trực tiếp với định nghĩa, nên phát biểu sai. Chọn "True" là nhầm in-place control với planned control. Phân biệt hai loại này quan trọng khi đánh giá rủi ro: chỉ biện pháp hiện hữu mới đang làm giảm rủi ro hiện tại, còn biện pháp dự kiến chỉ được tính sau khi triển khai.

Đáp án đúng: "Data backups for recovery". Kiểm soát khắc phục (corrective control) hoạt động sau khi sự cố đã xảy ra, nhằm đưa hệ thống về trạng thái bình thường và hạn chế thiệt hại; bản sao lưu dữ liệu dùng để khôi phục là ví dụ điển hình vì nó chỉ phát huy tác dụng khi dữ liệu đã bị mất hay hỏng. "Password policies" là kiểm soát phòng ngừa (preventive control), ngăn truy cập trái phép trước khi nó xảy ra. "Intrusion detection systems" là kiểm soát phát hiện (detective control), cảnh báo khi có xâm nhập nhưng tự nó không khôi phục được gì. "Employee security awareness training" cũng mang tính phòng ngừa, giúp nhân viên tránh sai lầm như mở thư lừa đảo, chứ không sửa chữa hậu quả sau sự cố.

Đáp án đúng: "How an organization should respond to a security incident". Kế hoạch ứng cứu sự cố (incident response plan) là tài liệu của đội CIRT mô tả tổ chức phải làm gì khi có sự cố an ninh: ai được báo, ai có quyền quyết định, các bước phát hiện, phân tích, ngăn chặn, loại bỏ, khôi phục và rút kinh nghiệm, giúp phản ứng nhanh và nhất quán thay vì xoay xở tuỳ hứng. "The annual financial audit process" thuộc lĩnh vực kế toán – kiểm toán tài chính, không liên quan tới xử lý sự cố. "The procedure for employee termination" là thủ tục nhân sự (thu hồi tài khoản, thẻ ra vào khi nghỉ việc), một biện pháp kiểm soát hành chính riêng. "The guidelines for data encryption" là hướng dẫn kỹ thuật bảo vệ dữ liệu, thuộc chính sách an ninh chứ không phải kế hoạch phản ứng khi sự cố đã xảy ra.

Đáp án đúng: "The time by which a system must be recovered". RTO (Recovery Time Objective, mục tiêu thời gian khôi phục) là mốc thời gian mà hệ thống phải được dựng lại sau sự cố để chức năng kinh doanh không vượt quá mức ngừng tối đa chịu được (MAO); nó được rút ra từ BIA và đưa vào DRP làm chỉ tiêu cho đội khôi phục. "The maximum time allowed for data recovery" dễ nhầm nhưng nói về dữ liệu, trong khi lượng dữ liệu được phép mất là RPO (Recovery Point Objective), còn RTO nói về cả hệ thống hoạt động trở lại. "The time needed to detect a disaster" là thời gian phát hiện, thuộc khâu giám sát và thông báo, không phải mục tiêu khôi phục. "The minimum acceptable downtime" đảo ngược ý nghĩa: RTO là giới hạn trên của thời gian ngừng, không phải mức tối thiểu, và không ai đặt chỉ tiêu cho thời gian ngừng tối thiểu.

Đáp án đúng: "All of them". Yếu tố thành công then chốt (critical success factor, CSF) của kế hoạch khôi phục sau thảm hoạ (DRP) là những điều kiện mà thiếu một cái thì kế hoạch khó hiệu quả. "Management support" cần thiết vì ban lãnh đạo phê duyệt, cấp nguồn lực và buộc các bộ phận tham gia. "Authority and knowledge for DRP developers" cần vì người soạn kế hoạch phải đủ quyền để thu thập thông tin và đủ hiểu biết về hệ thống để viết thủ tục khôi phục khả thi. "Identification of primary concerns" giúp xác định chức năng, hệ thống quan trọng nhất cần khôi phục trước. "Budget funding" bảo đảm có tiền cho địa điểm dự phòng, sao lưu, thiết bị thay thế và diễn tập. Vì từng yếu tố riêng lẻ đều là CSF, chọn bất kỳ một ý đơn lẻ nào cũng bỏ sót các yếu tố khác, nên phương án gộp mới là câu trả lời đầy đủ.

Đáp án đúng: "To ensure data can be recovered even if the primary site is destroyed". Bản sao lưu đặt cùng chỗ với hệ thống gốc sẽ cùng bị mất khi cháy, lụt hay động đất phá huỷ site chính; giữ bản sao ở nơi khác (off-site) tách hai thứ ra khỏi cùng một mối đe doạ vật lý, nên dữ liệu vẫn khôi phục được, đây là nguyên tắc nền của kế hoạch khôi phục thảm hoạ (DRP). "To reduce the cost of data storage" sai vì lưu ngoài site thường tốn thêm chi phí vận chuyển, thuê kho hay đường truyền, không phải để tiết kiệm. "To improve data access speed" sai vì bản sao ở xa thường truy cập chậm hơn bản tại chỗ. "To comply with legal requirements" có thể đúng với một số ngành bị luật bắt lưu trữ dự phòng, nhưng đó là hệ quả phụ chứ không phải lý do cốt lõi khiến việc lưu ngoài site quan trọng.

Đáp án đúng: "annually". DRP (Disaster Recovery Plan, kế hoạch khôi phục sau thảm hoạ) là tài liệu sống: hệ thống, nhân sự, nhà cung cấp và mức ưu tiên thay đổi theo thời gian nên kế hoạch phải được rà soát định kỳ, và mức tối thiểu thường được khuyến nghị là ít nhất mỗi năm một lần, cộng thêm rà soát bất thường mỗi khi có thay đổi lớn về hạ tầng hay tổ chức. Chu kỳ "monthly" quá dày đối với một tài liệu lớn cần nhiều bên liên quan cùng xem xét và diễn tập; nó tốn nguồn lực mà không tăng tương xứng độ sẵn sàng. Chu kỳ "weekly" càng không thực tế vì DRP không thay đổi theo tuần; việc theo dõi hằng tuần thuộc về vận hành như kiểm tra bản sao lưu chứ không phải rà soát toàn bộ kế hoạch. Cụm "at least" trong câu cho thấy đang hỏi mức sàn, và mức sàn đó là hằng năm.

Đáp án đúng: "Recalculate the cost-benefit analysis". Kế hoạch giảm thiểu rủi ro (risk mitigation plan) chọn biện pháp dựa trên phân tích chi phí - lợi ích (cost-benefit analysis, CBA): một biện pháp chỉ đáng làm khi lợi ích, tức phần thiệt hại hằng năm giảm được, lớn hơn chi phí của nó. Khi phát sinh chi phí mới, phép so sánh đó không còn đúng nên phải tính lại để xem biện pháp còn hợp lý không. "Ignore the new costs" khiến quyết định dựa trên số liệu sai và có thể làm dự án vượt ngân sách. "Immediately implement the countermeasures" bỏ qua bước đánh giá lại, có thể triển khai một biện pháp nay đã đắt hơn lợi ích nó mang lại. "Cancel the risk mitigation plan" là phản ứng quá mức, vì chi phí mới chỉ đòi hỏi điều chỉnh, có khi chỉ ở một biện pháp, chứ không làm cả kế hoạch mất giá trị.

Đáp án đúng: "Threat/likelihood-impact matrix". Ma trận khả năng xảy ra – tác động xếp từng mối đe doạ theo hai trục là xác suất xảy ra (likelihood) và mức tác động (impact); rủi ro rơi vào ô cao – cao được ưu tiên biện pháp đối phó (countermeasure) trước, rủi ro thấp – thấp có thể để sau hoặc chấp nhận, nên đây là công cụ xác định thứ tự ưu tiên. "Cost-benefit analysis" (phân tích chi phí – lợi ích) dùng để quyết định một biện pháp cụ thể có đáng tiền hay không bằng cách so chi phí với mức giảm thiệt hại, chứ không xếp hạng các rủi ro với nhau. "Disaster recovery plan" là kế hoạch khôi phục hệ thống sau thảm hoạ, một sản phẩm của lập kế hoạch dự phòng chứ không phải công cụ ưu tiên. "Best guess method" là đoán theo cảm tính, không có cơ sở nhất quán để bảo vệ quyết định trước ban lãnh đạo.

Đáp án đúng: "To quantify risks based on impact severity". Risk Assessment (RA, đánh giá rủi ro) là bước đo độ lớn của từng rủi ro theo mức tác động và khả năng xảy ra, để chương trình quản trị rủi ro có căn cứ ưu tiên và chọn cách xử lý; câu hỏi viết khá mơ hồ nên cần hiểu "mục đích chính" là đầu ra mà các bước sau dùng tới. "To identify potential threats" chỉ là một bước bên trong đánh giá, chưa cho biết rủi ro lớn hay nhỏ. "To evaluate control gaps" là việc của rà soát kiểm soát (control review, gap analysis), có thể dùng kết quả đánh giá nhưng không phải mục đích của nó. "To realize savings through safeguards" là kết quả của phân tích chi phí - lợi ích (cost-benefit analysis) khi đã chọn biện pháp bảo vệ, đứng sau đánh giá rủi ro. Vì vậy lượng hoá rủi ro theo mức nghiêm trọng của tác động mới là đóng góp trực tiếp của RA cho toàn chương trình.