Tất cả câu hỏi

Đáp án đúng: "Schedule a formal review and apply version tracking". Chính sách an ninh phải được rà soát định kỳ và khi môi trường CNTT thay đổi đáng kể, đồng thời có quản lý phiên bản (version control) ghi rõ ai sửa, sửa gì, khi nào để truy vết và chứng minh với kiểm toán. Một chính sách hai năm chưa cập nhật và không có ghi chú sửa đổi cần được đưa vào quy trình rà soát chính thức. "Leave it unchanged since no breach occurred" sai vì chưa bị xâm nhập không chứng minh chính sách còn phù hợp; đợi có sự cố mới sửa là phản ứng muộn. "Archive the policy and stop referencing it" sai vì bỏ chính sách mà không có bản thay thế để lại khoảng trống, nhân viên không còn hướng dẫn. "Add technical jargon to modernize the language" sai vì thêm thuật ngữ không cập nhật nội dung, còn làm chính sách khó hiểu hơn với người đọc không chuyên.

Đáp án đúng: "The overall way in which the organization's controls are governed and executed". Control environment (môi trường kiểm soát) là nền tảng của hệ thống kiểm soát nội bộ, thể hiện cách tổ chức quản trị và vận hành các kiểm soát nói chung: thái độ của lãnh đạo đối với kiểm soát (tone at the top), cơ cấu tổ chức, phân công trách nhiệm, chính sách và văn hóa tuân thủ. Đây là thành phần đầu tiên trong khung kiểm soát nội bộ COSO. Phương án "An inventory of the security policy controls" chỉ là danh mục các kiểm soát, một tài liệu chứ không phải toàn bộ cách kiểm soát được quản trị và thực hiện. Phương án "A well-defined framework to track control exceptions" chỉ là cơ chế theo dõi các ngoại lệ, một phần nhỏ bên trong môi trường kiểm soát. Phương án "None of the above" sai vì đã có phương án mô tả đúng định nghĩa.

Đáp án đúng: "Inbound traffic with a source address indicating that the packet originated on a network behind the firewall.". Gói tin đi từ ngoài vào mà mang địa chỉ nguồn thuộc mạng nội bộ phía sau tường lửa là dấu hiệu giả mạo địa chỉ (IP spoofing), vì gói tin thật của mạng nội bộ không thể đi vào từ phía bên ngoài. Kẻ tấn công dùng cách này để lách các quy tắc tin cậy địa chỉ nội bộ, nên tiêu chuẩn kiểm soát miền LAN yêu cầu tường lửa luôn chặn loại lưu lượng này. "Inbound traffic from an authenticated system with a destination address of the firewall system." không phải luôn bị chặn, vì quản trị viên từ hệ thống đã xác thực vẫn cần kết nối tới tường lửa để quản lý. "Inbound traffic containing Hypertext Transfer Protocol (HTTP) traffic." là lưu lượng web hợp lệ, được phép khi tổ chức cung cấp dịch vụ web. "Inbound traffic containing Domain Name System (DNS) traffic." cũng hợp lệ khi tổ chức vận hành máy chủ DNS hoặc nhận phản hồi tra cứu tên miền.

Đáp án đúng: "Information security management systems (ISMS)". ISO/IEC 27001 là chuẩn quốc tế đặt yêu cầu cho việc thiết lập, triển khai, duy trì và cải tiến liên tục một ISMS (hệ thống quản lý an toàn thông tin), dựa trên đánh giá và xử lý rủi ro; tổ chức có thể được chứng nhận theo chuẩn này. "Hardware procurement" (mua sắm phần cứng) chỉ là một hoạt động vận hành, có thể chịu kiểm soát an ninh khi mua sắm nhưng không phải trọng tâm của chuẩn. "Financial reporting systems" liên quan báo cáo tài chính, lĩnh vực mà SOX và các chuẩn kế toán điều chỉnh. "Programming methodologies" là phương pháp phát triển phần mềm như Agile, Waterfall, không phải nội dung của ISO/IEC 27001.

Đáp án đúng: "Policy definitions document". Policy definitions document (tài liệu định nghĩa chính sách) tập hợp định nghĩa thống nhất của các thuật ngữ dùng trong bộ chính sách như dữ liệu nhạy cảm, chủ sở hữu dữ liệu hay sự cố. Nó thường bị bỏ qua nhưng rất quan trọng vì kiểm toán viên và cơ quan quản lý dựa vào nó để hiểu chính sách được diễn giải ra sao và đánh giá kiểm soát có chặt chẽ không. "Guideline" là hướng dẫn tùy chọn, không phải căn cứ để đánh giá độ vững của kiểm soát. "Procedure" mô tả các bước thực hiện cụ thể và hiếm khi bị bỏ qua vì người vận hành dùng hằng ngày. "Policy" là tài liệu trung tâm mà ai cũng chú ý, nên không thể nói là thường bị bỏ qua.

Đáp án đúng gồm ba ý: "Promise not to share the credentials entrusted to his or her care", "Promise to report any indication of a breach or intrusion promptly" và "Acknowledgment of the risk associated with elevated access in the event the credentials are breached or abused". Privileged-level access agreement (PAA, thỏa thuận truy cập đặc quyền) là văn bản riêng cho người giữ quyền quản trị, nhằm tăng nhận thức và trách nhiệm giải trình của nhóm này. Vì tài khoản đặc quyền bị lộ có thể gây thiệt hại lớn nhất, PAA buộc người dùng cam kết không chia sẻ thông tin đăng nhập, báo cáo ngay dấu hiệu xâm nhập và thừa nhận rủi ro gắn với quyền cao. Phương án "Level of privacy an individual should expect" thuộc acceptable use policy (chính sách sử dụng chấp nhận được) áp cho mọi người dùng, thông báo rằng hoạt động trên máy và mạng của tổ chức có thể bị giám sát, không riêng gì người có quyền quản trị. "E-mail etiquette" là quy tắc ứng xử khi dùng email, thuộc chính sách email hoặc AUP chung, không liên quan tới trách nhiệm của quyền đặc quyền.

Đáp án đúng: "Risk avoidance". Risk avoidance (né tránh rủi ro) là loại bỏ hẳn khả năng gặp rủi ro bằng cách thôi làm hoạt động đó hoặc rời khỏi môi trường gây rủi ro. Chuyển trung tâm dữ liệu từ Florida, nơi hay có bão, sang Iowa nghĩa là tài sản không còn nằm trong vùng chịu bão nữa, nên rủi ro bão bị né đi chứ không chỉ được giảm. "Risk acceptance" là chấp nhận rủi ro, giữ trung tâm ở Florida và chịu hậu quả nếu bão đến, thường khi chi phí xử lý cao hơn tổn thất dự kiến. "Risk transference" là chuyển rủi ro tài chính cho bên khác, ví dụ mua bảo hiểm thiên tai hoặc thuê bên thứ ba vận hành, trong khi trung tâm vẫn ở chỗ cũ. "Risk mitigation" là giảm khả năng xảy ra hoặc mức tác động, như gia cố toà nhà, lắp máy phát điện dự phòng, nhưng vẫn ở lại vùng có bão.

Đáp án đúng: "Manual log review when automated monitoring is not available". Compensating control (kiểm soát bù trừ) là biện pháp thay thế được áp dụng khi kiểm soát chính theo yêu cầu không thể triển khai vì lý do kỹ thuật hay chi phí, sao cho vẫn đạt mức giảm rủi ro tương đương. Khi không có hệ thống giám sát tự động, việc giao người rà soát nhật ký thủ công định kỳ chính là bù đắp cho kiểm soát còn thiếu. Phương án "Firewall installation" là kiểm soát kỹ thuật phòng ngừa thông thường, không phải biện pháp thay thế cho một kiểm soát khác. Phương án "Intrusion detection system" là kiểm soát phát hiện chính, không đóng vai trò bù trừ. Phương án "Multi-factor authentication" là kiểm soát phòng ngừa chính cho việc xác thực; nó chỉ được coi là bù trừ nếu dùng thay cho một kiểm soát khác không triển khai được, điều mà câu hỏi không nêu.

Đáp án đúng: "Data traversing a network". Data in transit (dữ liệu đang truyền) là dữ liệu đang di chuyển qua mạng giữa hai điểm, ví dụ email gửi qua Internet hay tệp tải từ máy chủ về máy trạm; vì có thể bị nghe lén trên đường truyền nên chính sách xử lý dữ liệu thường yêu cầu mã hóa bằng TLS hoặc VPN. "Data backup tapes being moved to a recovery facility" là phương tiện lưu trữ được vận chuyển vật lý, dữ liệu trên băng vẫn là dữ liệu lưu trữ và được bảo vệ bằng mã hóa băng cùng kiểm soát vận chuyển, không phải dữ liệu đi qua mạng. "Data on your USB drive" là data at rest (dữ liệu lưu trữ) trên thiết bị di động. "Data being stored for later transmission" đang nằm trên ổ đĩa chờ gửi, nên vẫn là dữ liệu lưu trữ cho tới khi thực sự được truyền đi.

Đáp án đúng: "Chief risk officer and Chief information officer". Báo cáo lên hội đồng quản trị về tình trạng an toàn thông tin là báo cáo cấp điều hành, gắn an ninh với rủi ro doanh nghiệp; vì vậy chief risk officer, viết tắt CRO (giám đốc rủi ro), người tổng hợp rủi ro toàn tổ chức, cùng chief information officer, viết tắt CIO (giám đốc công nghệ thông tin), người chịu trách nhiệm hệ thống CNTT, thường là người lập và trình bày báo cáo này. "Chief risk officer" hoặc "Chief information officer" đứng riêng chỉ nêu một nửa vai trò. "Chief information security officer" (CISO) điều hành chương trình an ninh hằng ngày và cung cấp dữ liệu cho báo cáo, nhưng ở nhiều tổ chức CISO báo cáo qua CIO hoặc CRO chứ không trực tiếp trình hội đồng. "Chief information officer and Chief information security officer" vì thế bỏ mất góc nhìn rủi ro doanh nghiệp của CRO.

Đáp án đúng: "Procedure". Procedure (thủ tục) là tài liệu mô tả các bước hành động cụ thể, tuần tự để thực hiện và tuân thủ một standard, ví dụ các bước cấu hình mật khẩu trên máy chủ để đạt tiêu chuẩn mật khẩu của công ty. "Policy" (chính sách) là tuyên bố cấp cao về điều tổ chức muốn đạt được, không chỉ ra thao tác. "Guideline" (hướng dẫn) là lời khuyên không bắt buộc, giúp làm tốt hơn khi có thể chứ không quy định hành động bắt buộc. "Standard" (tiêu chuẩn) đặt ra yêu cầu kỹ thuật bắt buộc như độ dài mật khẩu tối thiểu, nhưng nói phải đạt cái gì chứ không mô tả cách làm từng bước.

Đáp án đúng: "To define the scope and meaning of terms used". Phần dictionary hay definitions (từ điển thuật ngữ) trong tài liệu chính sách giải thích chính xác ý nghĩa và phạm vi các từ được dùng, chẳng hạn thế nào là dữ liệu nhạy cảm hay ai được coi là người dùng, để mọi người đọc chính sách hiểu giống nhau và khi kiểm toán hay xử lý vi phạm không có tranh cãi về cách hiểu. "To provide translations" sai vì phần này không chuyển ngữ, nó cố định nghĩa của thuật ngữ trong cùng một ngôn ngữ. "To list employees" sai vì chính sách nêu vai trò và trách nhiệm theo chức danh, không liệt kê danh sách nhân sự, vốn thay đổi thường xuyên. "To outline budgets" sai vì ngân sách thuộc kế hoạch triển khai và quản lý dự án, không thuộc phần định nghĩa thuật ngữ của tài liệu chính sách.

Đáp án đúng: "All of the above". Công cụ điều tra số (forensic tool) giúp nhóm ứng phó sự cố thu thập và bảo toàn bằng chứng số theo cách đáng tin cậy, nên cả ba giá trị đều đúng. "Gathers evidence" đúng vì công cụ trích xuất nhật ký, tệp đã xoá, lịch sử truy cập và dấu vết khác từ hệ thống. "Helps evidence to be accepted by the court" đúng vì công cụ được thừa nhận rộng rãi tạo ra quy trình lặp lại được, có giá trị băm để chứng minh bằng chứng không bị thay đổi, hỗ trợ chuỗi lưu giữ bằng chứng (chain of custody). "Can take a bit image of a machine" đúng vì công cụ có thể tạo bản sao từng bit (bit-stream image) của ổ đĩa, để phân tích trên bản sao mà không đụng vào bản gốc. Mỗi ý chỉ là một mặt giá trị nên phương án gộp mới là câu trả lời đầy đủ.

Đáp án đúng gồm hai ý: "Employees with VPN privileges must not share their VPN credentials to the organization's internal networks with unauthorized users" và "VPN use must be controlled using one-time password authentication.". Control statement (tuyên bố kiểm soát) trong Remote Access Domain (miền truy cập từ xa) là câu quy định ngắn, rõ ràng, kiểm chứng được về cách người dùng từ xa kết nối vào mạng nội bộ. Cấm chia sẻ thông tin đăng nhập VPN bảo đảm accountability (trách nhiệm giải trình cá nhân), còn one-time password (mật khẩu dùng một lần) là xác thực mạnh, mỗi mã chỉ dùng được một lần nên bị đánh cắp cũng khó tái sử dụng. Phương án "VPN users will be automatically disconnected from the the organization's network after 30 minutes of activity." sai vì ngắt kết nối khi người dùng đang làm việc chỉ gây gián đoạn mà không tăng an ninh; kiểm soát hợp lý là ngắt phiên sau một khoảng không hoạt động (inactivity timeout). Phương án "VPN use must be controlled using static password authentication." sai vì mật khẩu tĩnh dùng lại nhiều lần, dễ bị đoán, đánh cắp hay phát lại, không đủ mạnh cho kết nối từ xa vào mạng nội bộ.

Đáp án đúng: "Using anti-malware software on all devices". Malicious Code Protection standard (tiêu chuẩn chống mã độc) là tiêu chuẩn kiểm soát yêu cầu mọi thiết bị như máy trạm, máy chủ, thiết bị di động đều cài phần mềm chống mã độc, cập nhật mẫu nhận diện thường xuyên và quét định kỳ, để phát hiện và ngăn virus, trojan, ransomware. "Disabling all software installations" là cực đoan, làm tê liệt công việc; tiêu chuẩn chỉ hạn chế cài phần mềm không được phê duyệt chứ không cấm hết. "Sharing malware definitions with users" không phải yêu cầu của tiêu chuẩn, vì mẫu nhận diện được phần mềm tự cập nhật, người dùng không cần nhận hay xử lý chúng. "Blocking all network traffic" sẽ chặn luôn hoạt động kinh doanh; tường lửa chỉ lọc lưu lượng không được phép, và đó là tiêu chuẩn khác.

Đáp án đúng: "Clean desk policy". Clean desk policy (chính sách bàn làm việc sạch) yêu cầu nhân viên cất giữ, khóa tài liệu giấy và phương tiện số như USB, ổ cứng rời khi kết thúc ngày làm việc hoặc khi rời chỗ, đồng thời khóa màn hình máy tính, để người khác không nhìn trộm hay lấy đi thông tin nhạy cảm. "Acceptable use policy" quy định cách sử dụng hợp lệ tài nguyên CNTT như Internet, email, thiết bị, không tập trung vào việc cất giữ tài liệu cuối ngày. "Privacy policy" mô tả cách tổ chức thu thập, sử dụng và bảo vệ thông tin cá nhân, chủ yếu hướng tới khách hàng. "Walk out policy" không phải loại chính sách chuẩn về bảo vệ tài liệu tại chỗ làm việc.

Đáp án đúng: "Defines an approach to reduce risk". GRC (governance, risk and compliance, quản trị, rủi ro và tuân thủ) và ERM (enterprise risk management, quản trị rủi ro doanh nghiệp) đều là cách tiếp cận có hệ thống nhằm nhận diện và giảm rủi ro cho tổ chức; đó là điểm chung của hai mô hình. "Applies rigid framework to eliminate redundant controls, policies, and efforts" là đặc điểm của GRC, vốn dùng khung cố định để hợp nhất kiểm soát và tuân thủ, trong khi ERM linh hoạt theo mục tiêu kinh doanh. "Passively enforces security policy" không đúng với cả hai, vì GRC chủ động thực thi chính sách. "Seeks line of sight into root causes of risks" là đặc trưng của ERM, chú trọng tìm nguyên nhân gốc của rủi ro trên toàn doanh nghiệp.

Đáp án đúng: "Sell information". Data classification (phân loại dữ liệu) gắn mỗi loại dữ liệu với một mức nhạy cảm để tổ chức biết phải đối xử với nó thế nào; câu hỏi dạng phủ định nên đáp án là thứ không phải nhu cầu phân loại. Bán thông tin là hoạt động kinh doanh của một số ít công ty, không phải lý do chung khiến các tổ chức phân loại dữ liệu. "Protect information" là nhu cầu chính: biết dữ liệu nào bí mật để áp mã hóa và kiểm soát truy cập tương xứng, không tốn tiền bảo vệ quá mức dữ liệu công khai. "Retain information" cũng là nhu cầu thật, vì luật và hợp đồng quy định thời hạn lưu giữ khác nhau cho từng loại hồ sơ. "Recover information" đúng vì phân loại giúp xác định dữ liệu nào phải khôi phục trước trong kế hoạch liên tục kinh doanh và khôi phục sau thảm họa.

Đáp án đúng: "Recovery". Trong quy trình ứng phó sự cố, sau khi mối đe doạ đã được ngăn chặn (containment) và loại bỏ, tổ chức chuyển sang giai đoạn recovery (khôi phục): đưa hệ thống trở lại hoạt động bình thường, khôi phục dữ liệu từ bản sao lưu, kiểm tra hệ thống sạch rồi theo dõi để chắc sự cố không tái diễn. "Reporting" là việc báo cáo sự cố cho lãnh đạo, cơ quan quản lý hay bên liên quan; nó diễn ra xuyên suốt và khi kết thúc chứ không phải giai đoạn bắt đầu ngay sau ngăn chặn. "Monitoring" là giám sát để phát hiện dấu hiệu bất thường, thuộc về phía phát hiện trước khi có sự cố, dù sau khôi phục cũng có theo dõi thêm. "Escalation" là chuyển sự cố lên cấp xử lý cao hơn khi mức độ nghiêm trọng vượt thẩm quyền, xảy ra ở giai đoạn đánh giá và ứng phó, trước khi mối đe doạ được kiểm soát.

Đáp án đúng: "Higher costs and complexity". Defense in depth (phòng thủ nhiều lớp) đặt nhiều lớp kiểm soát chồng lên nhau để khi một lớp thất bại vẫn còn lớp khác bảo vệ, nhưng cái giá là chi phí mua sắm, bản quyền và nhân sự vận hành tăng lên, hệ thống phức tạp hơn, khó cấu hình, khó xử lý sự cố và có thể gây phiền cho người dùng. Phương án "Increased risk exposure" sai vì nhiều lớp kiểm soát làm giảm chứ không làm tăng mức phơi nhiễm rủi ro. Phương án "Increased employee productivity" sai vì đây không phải nhược điểm, và thực tế nhiều lớp kiểm soát thường làm năng suất giảm đôi chút do thêm bước xác thực, kiểm tra. Phương án "Reduced overall security" sai vì mục đích và kết quả thông thường của nhiều lớp là tăng an ninh tổng thể; chỉ khi cấu hình sai vì quá phức tạp mới sinh lỗ hổng, và đó chính là hệ quả của độ phức tạp đã nêu.