Tất cả câu hỏi

Đáp án đúng: "Contact the IT Service Desk immediately". Khi nghi mật khẩu bị lộ, người dùng phải báo ngay cho IT Service Desk (bộ phận hỗ trợ CNTT), vì chỉ bộ phận này có quyền đặt lại mật khẩu, tạm khoá tài khoản, kiểm tra nhật ký đăng nhập và khởi động quy trình ứng phó sự cố nếu cần; tốc độ báo cáo quyết định thiệt hại. "Advise your Operations Support Advisor contact" sai vì người này hỗ trợ nghiệp vụ, không có quyền xử lý tài khoản. "Contact your line manager immediately" có thể làm thêm để quản lý nắm tình hình, nhưng quản lý trực tiếp không đặt lại hay khoá được tài khoản nên không phải bước đúng nhất. "Email the Sports Leaders UK distribution group to let everybody know" sai vì loan tin rộng không khắc phục gì, còn có thể làm lộ thêm thông tin cho kẻ tấn công.

Đáp án đúng gồm ba ý: "Basic principles of information security", "Awareness of risk and threats" và "How to report suspicious activity, incidents, and breaches". Một security awareness policy (chính sách nhận thức an ninh) tốt giúp nhân viên nắm nguyên tắc cơ bản như bảo vệ mật khẩu và phân loại dữ liệu, nhận ra rủi ro cùng mối đe dọa như email lừa đảo, và biết báo cáo hoạt động đáng ngờ, sự cố hay vi phạm cho đúng đầu mối để tổ chức phản ứng sớm. "Overriding skepticism" (hoài nghi quá mức) không phải lợi ích, vì chương trình nhận thức hướng tới sự cảnh giác vừa phải; nghi ngờ mọi thứ làm cản trở công việc và hợp tác. "Inherent human trust" (lòng tin bẩm sinh của con người) là điểm yếu mà kẻ tấn công phi kỹ thuật khai thác, chính sách nhận thức cần khắc phục nó chứ không đem lại nó như một lợi ích.

Đáp án đúng: "To measure systems and networks for security compliance.". SCAP (Security Content Automation Protocol) là bộ đặc tả do NIST duy trì, gom các chuẩn như CVE, CCE, CVSS, XCCDF và OVAL để công cụ có thể tự động quét cấu hình, đo lỗ hổng và kiểm tra hệ thống, mạng có tuân thủ cấu hình an ninh chuẩn hay không, ví dụ đối chiếu máy trạm với một bộ tiêu chuẩn cấu hình. "To decrease security in IT systems." sai vì SCAP sinh ra để nâng mức an ninh và tuân thủ, không bao giờ nhằm giảm an ninh. "For the entertainment of IT personnel." sai vì SCAP là chuẩn kỹ thuật phục vụ đánh giá an ninh, không có mục đích giải trí. "SCAP is a communication protocol for social media." sai vì dù tên có chữ protocol, SCAP không phải giao thức truyền tin hay mạng xã hội mà là bộ chuẩn mô tả nội dung kiểm tra an ninh.

Đáp án đúng: "An account that has not been used for an extended period.". Dormant account (tài khoản không hoạt động) là tài khoản vẫn còn hiệu lực nhưng lâu không có ai đăng nhập, thường của nhân viên đã nghỉ việc, chuyển bộ phận hoặc tài khoản tạo cho dự án đã kết thúc. Đây là rủi ro vì kẻ tấn công có thể chiếm dụng mà không ai phát hiện, nên chính sách quản lý tài khoản yêu cầu rà soát định kỳ và vô hiệu hóa tài khoản không dùng sau một khoảng thời gian quy định. Phương án "An account with unlimited access." mô tả tài khoản đặc quyền, không liên quan tới việc có được dùng hay không. Phương án "An account used only by the IT department." là tài khoản quản trị của phòng CNTT, vẫn đang được dùng nên không phải tài khoản không hoạt động. Phương án "An account for testing purposes only." là tài khoản thử nghiệm, có thể trở thành tài khoản không hoạt động nếu bị bỏ quên, nhưng định nghĩa của nó dựa trên mục đích chứ không dựa trên việc lâu không dùng.

Đáp án đúng: "Decentralization of the risk function". Đây là câu phủ định: cần chọn điều không phải lợi ích của việc triển khai COBIT (Control Objectives for Information and Related Technologies), khung quản trị CNTT của ISACA. COBIT giúp tập trung và chuẩn hóa chức năng quản lý rủi ro, để rủi ro CNTT được nhìn thống nhất ở cấp doanh nghiệp, nên phi tập trung hóa chức năng rủi ro đi ngược mục tiêu đó. Ba ý kia là lợi ích thật nên không được chọn. "Value delivery" đúng vì COBIT gắn đầu tư CNTT với giá trị kinh doanh mang lại. "Better resourcing of IT" đúng vì khung giúp phân bổ con người, ngân sách và hạ tầng CNTT hợp lý hơn. "Better communication" đúng vì COBIT tạo ngôn ngữ chung giữa bộ phận CNTT, ban lãnh đạo và kiểm toán.

Đáp án đúng: "A policy that defines how to protect information in any form". Chính sách an toàn thông tin là tài liệu cấp cao do lãnh đạo phê duyệt, nêu cách tổ chức bảo vệ tính bí mật, toàn vẹn và sẵn sàng của thông tin dưới mọi hình thức: dữ liệu số, giấy tờ, lời nói, khi lưu trữ, truyền đi hay xử lý. "A policy that defines acceptable behavior of a customer" sai vì chính sách an ninh chủ yếu điều chỉnh nhân viên và người dùng nội bộ, quy định hành vi khách hàng thuộc điều khoản dịch vụ. "A policy that defines what hardware to purchase" là quy định mua sắm hoặc tiêu chuẩn kỹ thuật, quá hẹp. "A policy that defines the type of uniforms guards should wear" là quy định hành chính về nhân sự bảo vệ, không liên quan việc bảo vệ thông tin.

Đáp án đúng: "Detailed line budget". Đây là câu phủ định: cần tìm mục KHÔNG nên có trong charter (điều lệ) của đội ứng phó sự cố. Charter là văn bản ủy quyền nêu đội tồn tại để làm gì, tổ chức thế nào và ai chịu trách nhiệm gì; ngân sách chi tiết từng dòng là tài liệu tài chính thay đổi theo năm, được quản lý qua quy trình ngân sách riêng nên không đưa vào charter. "Mission" là nội dung đúng của charter vì xác định sứ mệnh và phạm vi hoạt động của đội. "Organizational. structure" cũng thuộc charter vì cho biết đội trực thuộc ai và gồm những vị trí nào. "Roles and responsibilities" cũng thuộc charter vì phân định quyền hạn và trách nhiệm từng thành viên khi xử lý sự cố. Ba mục này đều nên có nên không được chọn.

Đáp án đúng: "User education and periodic training". Security Awareness Policy (SAP, chính sách nhận thức an ninh) quy định cách tổ chức nâng hiểu biết của nhân viên về rủi ro và trách nhiệm của họ: đào tạo khi mới vào, tập huấn định kỳ, nhắc nhở qua email hay áp phích, thử nghiệm lừa đảo giả lập. Trọng tâm là con người, vì người dùng là mắt xích yếu mà social engineering (tấn công phi kỹ thuật) khai thác. "Encryption key escrow" (ký gửi khóa mã) là cơ chế lưu giữ khóa để khôi phục dữ liệu, thuộc chính sách mật mã. "Firewall configurations" là tiêu chuẩn kỹ thuật cho ranh giới mạng, do đội hạ tầng thực hiện chứ không phải sáng kiến nhận thức. "Vendor service-level agreements" là thỏa thuận mức dịch vụ với nhà cung cấp, thuộc quản lý bên thứ ba.

Đáp án đúng: "Auditor". Auditor (kiểm toán viên) xem xét rủi ro và mức hiệu quả của kiểm soát, rồi phát hành ý kiến độc lập; vì không trực tiếp vận hành hệ thống, họ có thể đánh giá khách quan việc tổ chức có tuân thủ chính sách và quy định như SOX hay không. "Administrator" là người quản trị hệ thống, thực hiện các thao tác hằng ngày như tạo tài khoản, cấu hình máy chủ, nên công việc của họ là đối tượng được kiểm toán chứ không độc lập. "Data Custodian" (người giám hộ dữ liệu) là người bảo quản dữ liệu về mặt kỹ thuật: sao lưu, phân quyền, bảo vệ theo yêu cầu của chủ dữ liệu, không phải người đánh giá độc lập. "Data Steward" (người quản lý dữ liệu) chịu trách nhiệm chất lượng và việc dùng dữ liệu đúng quy tắc trong nghiệp vụ, cũng là vai trò vận hành chứ không đưa ra ý kiến độc lập về rủi ro.

Đáp án đúng: "All of the above". Ba yếu tố cơ bản của động lực làm việc, thường được nêu khi bàn cách thúc đẩy nhân viên tuân thủ chính sách an ninh, là pride (niềm tự hào), self-interest (lợi ích cá nhân) và success (thành công). Nhân viên tự hào về công việc và tổ chức sẽ muốn bảo vệ nó, thấy được lợi ích cho bản thân như tránh bị kỷ luật hay được ghi nhận sẽ làm theo, và mong muốn thành công cùng tổ chức sẽ ủng hộ các kiểm soát giữ cho doanh nghiệp an toàn. Vì cả ba đều là thành phần nền tảng nên phương án gộp là đúng. Phương án "Pride" đúng nhưng chưa đủ vì chỉ là một trong ba yếu tố. Phương án "Self-interest" đúng nhưng thiếu niềm tự hào và thành công. Phương án "Success" đúng nhưng thiếu hai yếu tố kia, nên chọn riêng nó là không đầy đủ.

Đáp án đúng: "To inform users of security procedures". Nguyên tắc awareness (nhận thức) trong bộ nguyên tắc an toàn hệ thống thông tin yêu cầu người dùng và các bên liên quan được thông tin về các biện pháp, thủ tục bảo mật đang áp dụng, để họ biết mình cần làm gì và vì sao. Ví dụ tổ chức phổ biến quy trình báo cáo email lừa đảo cho toàn bộ nhân viên. "To enforce strict security controls" là việc thực thi kiểm soát, thuộc về chính sách và cơ chế kỹ thuật, còn nhận thức chỉ nhằm cung cấp hiểu biết. "To increase personal accountability" là mục tiêu của nguyên tắc accountability (trách nhiệm giải trình), xác định ai chịu trách nhiệm cho hành động nào. "To ensure ethical use of information systems" là nội dung của nguyên tắc ethics (đạo đức), nói về việc sử dụng hệ thống tôn trọng quyền và lợi ích chính đáng của người khác.

Đáp án đúng: "Monitors adherence to laws and regulations". Compliance officer (cán bộ tuân thủ) giám sát việc tổ chức tuân thủ luật, quy định và chính sách nội bộ, ví dụ HIPAA, SOX, GLBA: theo dõi, kiểm tra, báo cáo vi phạm và đề xuất khắc phục, đóng vai trò độc lập với người vận hành. "Identifies and develops security policies" là việc của nhóm chính sách an ninh, thường do CISO dẫn dắt. "Approves access rights to information" là trách nhiệm của data owner (chủ sở hữu dữ liệu), người quyết định ai được truy cập. "Manages day-to-day data maintenance" thuộc data custodian (người giám hộ dữ liệu) hoặc data steward, những người lo sao lưu, bảo trì và chất lượng dữ liệu hằng ngày.

Đáp án đúng: "The amount of risk an organization is willing to accept". Risk appetite (khẩu vị rủi ro) là mức rủi ro mà tổ chức sẵn sàng chấp nhận để theo đuổi mục tiêu kinh doanh, do lãnh đạo xác định; nó là căn cứ để quyết định rủi ro nào được chấp nhận, rủi ro nào phải giảm, chuyển giao hay tránh. Ví dụ ngân hàng thường có khẩu vị rủi ro thấp với dữ liệu khách hàng. "The number of threats an organization faces" là số lượng mối đe doạ, một yếu tố đầu vào của đánh giá rủi ro chứ không phải mức sẵn sàng chấp nhận. "The budget for cybersecurity tools" là nguồn lực tài chính, chịu ảnh hưởng của khẩu vị rủi ro nhưng không đồng nhất. "The number of IT policies in use" chỉ phản ánh quy mô bộ chính sách.

Đáp án đúng: "False". Network segmentation (phân đoạn mạng) chia mạng thành các vùng nhỏ như VLAN hay subnet để giới hạn máy nào được nói chuyện với máy nào, nhờ đó thu hẹp phạm vi lây lan khi một vùng bị xâm nhập. Thiết bị đóng vai người gác, kiểm tra và lọc bỏ lưu lượng trái phép theo bộ luật là firewall (tường lửa). Trong thực tế hai thứ thường đi cùng nhau, firewall đặt ở ranh giới giữa các phân đoạn, nhưng bản thân việc phân đoạn không thực hiện chức năng lọc. Vì vậy phát biểu gán chức năng của firewall cho mạng phân đoạn là sai, và "True" không được chọn vì nó đồng nhất cấu trúc chia vùng với thiết bị kiểm soát lưu lượng.

Đáp án đúng: "Auditor". Auditor (kiểm toán viên) là người độc lập với bộ phận được kiểm tra, có nhiệm vụ đánh giá rủi ro, xem các kiểm soát có được thiết kế và vận hành đúng không, rồi đưa ra ý kiến độc lập cho ban lãnh đạo, hội đồng quản trị hoặc cơ quan quản lý. Tính độc lập là điều làm ý kiến của họ có giá trị. "Administrators" là người quản trị hệ thống, trực tiếp cấu hình và vận hành kiểm soát nên không thể tự đưa ra ý kiến độc lập về chính công việc của mình. "Customers" là khách hàng, bên sử dụng sản phẩm, dịch vụ và quan tâm dữ liệu của mình được bảo vệ, nhưng không có vai trò đánh giá rủi ro nội bộ. "Shareholders" là cổ đông, bên dựa vào ý kiến của kiểm toán viên để ra quyết định, chứ không phải người phát hành ý kiến đó.

Đáp án đúng gồm hai ý: "Innovators" và "More likely to take risks". Entrepreneurs (người có tinh thần khởi nghiệp, doanh nhân) trong tổ chức là những người ưa sáng tạo, luôn tìm cách làm mới và sẵn sàng chấp nhận rủi ro để nắm lấy cơ hội kinh doanh. Khi triển khai chính sách an ninh, hiểu đặc điểm này giúp nhóm an ninh trình bày chính sách bằng ngôn ngữ giá trị kinh doanh, hướng họ tới việc chấp nhận rủi ro có kiểm soát thay vì lách chính sách để làm nhanh. Phương án "Well educated in business management" sai vì tinh thần khởi nghiệp không phụ thuộc bằng cấp quản trị; nhiều doanh nhân thành công nhờ kinh nghiệm và ý tưởng chứ không nhờ được đào tạo bài bản. Phương án "Averse to change" sai vì sợ thay đổi là đặc điểm ngược lại; người khởi nghiệp chủ động tạo ra thay đổi.

Đáp án đúng: "Data Leakage Protection Inventory". Trong một chương trình DLP (data loss/leakage protection, chống rò rỉ dữ liệu), thành phần inventory (kiểm kê) dùng để quét máy chủ, cơ sở dữ liệu, thư mục chia sẻ và máy trạm nhằm tìm ra dữ liệu nhạy cảm như số thẻ tín dụng hay thông tin cá nhân đang nằm ở đâu, để biết cần bảo vệ chỗ nào. "DLP Encryption Key" là khóa dùng để mã hóa dữ liệu, giúp bảo vệ chứ không giúp phát hiện dữ liệu nằm ở đâu. "Data Loss Protection Perimeter" là lớp giám sát tại biên mạng, kiểm tra dữ liệu nhạy cảm đang rời khỏi tổ chức qua email hay web, tức theo dõi dữ liệu đang truyền chứ không lập danh mục nơi lưu trữ. "DLP Trojans" không phải thành phần của DLP; trojan là mã độc mà chính DLP và các kiểm soát khác phải ngăn chặn.

Đáp án đúng: "Data Leakage Protection Inventory". Data leakage protection, hay DLP (bảo vệ chống rò rỉ dữ liệu), bắt đầu bằng việc lập inventory (danh mục kiểm kê): quét và lập danh sách mọi nơi lưu trữ và xử lý dữ liệu nhạy cảm như cơ sở dữ liệu, thư mục chia sẻ, máy trạm ở từng văn phòng. Có danh mục này mới biết phải giám sát và bảo vệ ở đâu. "DLP Encryption Key" là khóa mã hóa, dùng để bảo vệ dữ liệu, không giúp liệt kê vị trí dữ liệu. "Data Loss Protection Perimeter" nói về ranh giới, điểm kiểm soát ở biên mạng để chặn dữ liệu đi ra, là bước giám sát chứ không phải lập danh mục. "DLP Trojans" là khái niệm phần mềm độc hại, hoàn toàn không phải công cụ bảo vệ dữ liệu hợp lệ.

Đáp án đúng: "Security principle document". Tài liệu nguyên tắc an ninh nêu các quy tắc và nguyên lý nền tảng như đặc quyền tối thiểu, phân tách nhiệm vụ, phòng thủ nhiều lớp, giúp mọi người diễn giải thống nhất các chính sách chi tiết trong toàn tổ chức, nhất là khi một tình huống chưa được chính sách nói rõ. "Procedure manual" chứa các bước thao tác cụ thể, không phải nguyên lý để diễn giải chính sách. "Policy dictionary" chỉ định nghĩa thuật ngữ, giúp hiểu từ ngữ nhưng không nêu nguyên tắc định hướng. "Audit trail" là nhật ký ghi lại ai làm gì, khi nào, dùng để truy vết và kiểm toán chứ không phải tài liệu hướng dẫn diễn giải chính sách.

Đáp án đúng: "User Apathy". User apathy (sự thờ ơ của người dùng) là tình trạng người dùng thiếu quan tâm, hứng thú hay để tâm tới một sản phẩm, dịch vụ hoặc hệ thống; trong an toàn thông tin, đây là rào cản lớn của chương trình nhận thức vì người dùng biết quy định nhưng không buồn làm theo, ví dụ bỏ qua cảnh báo hay không đọc thông báo chính sách. "User Resistance" (sự kháng cự) khác ở chỗ người dùng chủ động phản đối hoặc né tránh thay đổi, chứ không phải chỉ thiếu quan tâm. "User Discomfort" là cảm giác khó chịu, lúng túng khi phải dùng hệ thống hay biện pháp mới, có thể vẫn rất quan tâm. "Learned Helplessness" (bất lực tập nhiễm) là niềm tin rằng mình không thể làm gì để thay đổi kết quả sau nhiều lần thất bại, nguyên nhân và biểu hiện khác với sự thờ ơ.