Tất cả câu hỏi

Đáp án đúng: "All of the above". Gắn yêu cầu pháp lý với chính sách và kiểm soát nghĩa là lập bảng ánh xạ từ từng điều khoản luật, ví dụ của SOX hay HIPAA, tới chính sách và kiểm soát cụ thể thực hiện nó. Việc này mang lại cả ba lợi ích được nêu. "To demonstrate compliance to regulators" đúng vì khi thanh tra hỏi, tổ chức chỉ ra được kiểm soát nào đáp ứng điều khoản nào. "To ensure regulatory requirements are covered" đúng vì ánh xạ giúp phát hiện điều khoản chưa có kiểm soát nào đáp ứng, tránh bỏ sót. "To demonstrate the importance of a security control" cũng đúng vì một kiểm soát gắn với yêu cầu luật cho thấy nó bắt buộc, giúp thuyết phục ban lãnh đạo cấp ngân sách và tránh bị cắt bỏ. Mỗi ý chỉ là một mặt, nên đáp án gộp mới đầy đủ.

Đáp án đúng: "All of the above". Chính sách lưu giữ dữ liệu (data retention policy) xác định dữ liệu nào phải giữ, giữ bao lâu và khi nào hủy, dựa trên ba nhóm lý do chính, nên phương án gộp là đầy đủ nhất. "Legal obligation" đúng vì luật và quy định như SOX, HIPAA buộc giữ hồ sơ tài chính, y tế trong thời hạn nhất định để phục vụ kiểm toán, điều tra hay tố tụng. "Needs of the business" đúng vì tổ chức cần dữ liệu lịch sử để vận hành, phân tích, chăm sóc khách hàng. "For recovery" đúng vì bản sao lưu được giữ để khôi phục hệ thống và dữ liệu sau sự cố hay thảm họa. Chọn riêng một trong ba sẽ bỏ sót hai lý do còn lại, nên chỉ phương án tổng hợp là trọn vẹn.

Đáp án đúng: "To lead by example and enhance policy credibility". Khi lãnh đạo tuân thủ đúng những chính sách áp dụng cho nhân viên, họ làm gương và chứng minh chính sách là nghiêm túc, từ đó tăng uy tín của chính sách và văn hoá an ninh; ngược lại, nếu lãnh đạo được miễn trừ, nhân viên sẽ coi chính sách là hình thức. "To maintain hierarchical control" sai vì mục đích không phải củng cố thứ bậc mà là tạo sự công bằng và tin tưởng. "To avoid legal entanglements" có thể là lợi ích phụ của việc tuân thủ nhưng không phải lý do chính khiến lãnh đạo cần làm theo chính sách. "To devalue the importance of the policies" sai hoàn toàn vì tác động thực tế là ngược lại.

Đáp án đúng gồm hai ý: "Authentication" và "Nonrepudiation". Information systems security (ISS, an ninh hệ thống thông tin) xoay quanh bộ ba CIA gồm bí mật, toàn vẹn và sẵn sàng. Information assurance (IA, bảo đảm thông tin) mở rộng bộ ba đó bằng authentication (xác thực, bảo đảm danh tính của người dùng hay hệ thống là thật) và nonrepudiation (chống chối bỏ, bảo đảm bên đã thực hiện giao dịch không thể phủ nhận, thường nhờ chữ ký số). Vì vậy hai tenet này đúng với IA nhưng không thuộc tập tenet cốt lõi của ISS. "Confidentiality" bảo đảm chỉ người được phép mới xem được dữ liệu, là tenet chung của cả IA lẫn ISS nên không thỏa điều kiện chỉ thuộc IA. "Integrity" bảo đảm dữ liệu không bị sửa trái phép, cũng là tenet chung của cả hai nên không được chọn.

Đáp án đúng: "True". Phát biểu đúng vì chính sách an ninh nêu điều tổ chức muốn đạt và phản ánh yêu cầu kinh doanh, còn security controls (biện pháp kiểm soát an ninh) là phương tiện để biến chính sách đó thành thực tế và cưỡng chế nó. Ví dụ chính sách nói chỉ nhân viên có nhu cầu mới được xem dữ liệu khách hàng thì kiểm soát tương ứng là phân quyền truy cập theo vai trò, ghi nhật ký và rà soát quyền định kỳ. Kiểm soát có thể là kỹ thuật như tường lửa, mã hoá, hành chính như quy trình duyệt quyền, hoặc vật lý như khoá cửa phòng máy chủ. Chính vì chính sách bám theo nhu cầu kinh doanh nên kiểm soát cũng gián tiếp phục vụ nhu cầu đó. "False" không được chọn vì nó phủ nhận mối quan hệ chính sách đặt ra yêu cầu còn kiểm soát thực thi yêu cầu, vốn là nền tảng của khung chính sách an ninh.

Đáp án đúng: "Background checks and access rights reviews". Manual control (kiểm soát thủ công) là kiểm soát do con người thực hiện và phán đoán, không do hệ thống tự động làm. Background checks (thẩm tra lý lịch) do bộ phận nhân sự tiến hành trước khi tuyển dụng, còn access rights reviews (rà soát quyền truy cập) là việc người quản lý định kỳ xem từng người có còn cần quyền đang có hay không; cả hai đều là kiểm soát thủ công nên phương án gộp đủ cả hai là đầy đủ nhất. Phương án "Background checks" đúng nhưng chưa đủ vì bỏ sót rà soát quyền. Phương án "Access rights reviews" cũng đúng nhưng chưa đủ vì bỏ sót thẩm tra lý lịch. Phương án "Authentication" sai vì xác thực là kiểm soát tự động do hệ thống thực hiện mỗi lần đăng nhập. Phương án "Background checks and authentication" sai vì gộp một kiểm soát thủ công với một kiểm soát tự động.

Đáp án đúng: "Difficult to follow and enforce". Chính sách không thành văn (unwritten policy) chỉ tồn tại qua lời nói, thói quen hay sự hiểu ngầm, nên mỗi người hiểu một kiểu, nhân viên mới không biết để làm theo, và khi có vi phạm thì tổ chức khó chứng minh người đó đã được yêu cầu, do đó khó thực thi kỷ luật. Đây là lý do chính sách an toàn thông tin phải được ghi thành văn bản và phê duyệt. "Published in a formal document" là đặc điểm của chính sách thành văn, trái ngược với chính sách không thành văn. "Documented in a memo" cũng là một dạng ghi chép bằng văn bản, nên không còn là không thành văn. "Encompasses broad statements of intent" là đặc điểm của chính sách viết ra ở mức cao, nêu ý định chung của ban lãnh đạo, chứ không phải nét riêng của chính sách không thành văn.

Đáp án đúng: "None of other choices". Tài khoản và mật khẩu là thông tin xác thực gắn với một cá nhân; nguyên tắc accountability (trách nhiệm giải trình) đòi hỏi mọi hành động trên hệ thống truy được về đúng người, nên chính sách mật khẩu và chính sách sử dụng chấp nhận được đều cấm chia sẻ thông tin đăng nhập với bất kỳ ai. Người cần truy cập phải được cấp tài khoản riêng theo quy trình. "Other companies' personnel" sai vì người ngoài tổ chức càng không được dùng thông tin xác thực nội bộ. "Business Partners" sai vì đối tác nếu cần truy cập phải được cấp tài khoản riêng theo hợp đồng và phê duyệt, không dùng chung tài khoản nhân viên. "Family" sai vì người thân không có quyền hợp lệ nào với hệ thống công ty, chia sẻ cho họ vẫn là vi phạm.

Đáp án đúng: "False". Risk acceptance (chấp nhận rủi ro) là quyết định có ý thức giữ lại rủi ro vì chi phí xử lý lớn hơn thiệt hại dự kiến, nhưng rủi ro vẫn tồn tại. Tổ chức phải ghi nhận quyết định, có người chịu trách nhiệm phê duyệt, theo dõi rủi ro trong sổ đăng ký rủi ro và đánh giá lại định kỳ, vì mối đe doạ, lỗ hổng hay giá trị tài sản có thể thay đổi khiến rủi ro vượt mức chấp nhận được. Vì vậy phát biểu cho rằng có thể bỏ qua rủi ro sau khi chấp nhận là sai, và "True" không được chọn: bỏ qua rủi ro tức là không còn quản lý nó, trái với bản chất của quản trị rủi ro.

Đáp án đúng: "Approximately 60 hours/year". Chính sách cần được rà soát định kỳ để còn phù hợp với rủi ro và luật hiện hành; khối lượng công việc tính theo số lần rà soát trong năm. Bước một: chu kỳ 180 ngày nên một năm 365 ngày có khoảng 365 chia 180, xấp xỉ 2 lần rà soát. Bước hai: mỗi lần rà soát 25 chính sách, mỗi chính sách 1,2 giờ, tức 25 nhân 1,2 bằng 30 giờ. Bước ba: 30 giờ nhân 2 lần bằng 60 giờ mỗi năm. "Approximately 80 hours/year" sai vì ứng với khoảng 2,7 lần mỗi năm, tức chu kỳ chừng 137 ngày. "Approximately 100 hours/year" sai vì ứng với khoảng 3,3 lần, chu kỳ chừng 110 ngày. "Approximately 120 hours/year" sai vì ứng với 4 lần, tức rà soát mỗi quý 90 ngày, gấp đôi tần suất đã cho.

Đáp án đúng: "All of the above". Ánh xạ (mapping) yêu cầu quy định tới chính sách và kiểm soát là việc chỉ rõ mỗi điều khoản của luật như SOX hay HIPAA được đáp ứng bởi chính sách nào và kiểm soát cụ thể nào; bảng ánh xạ này phục vụ đồng thời nhiều mục đích. "To demonstrate compliance to regulators" đúng vì khi kiểm toán, tổ chức đưa bảng ánh xạ ra làm bằng chứng mình đã đáp ứng từng yêu cầu. "To ensure regulatory requirements are covered" đúng vì ánh xạ giúp phát hiện điều khoản chưa có kiểm soát nào đáp ứng để bổ sung. "To demonstrate the importance of a security control" cũng đúng, vì một kiểm soát gắn với nhiều yêu cầu pháp lý cho thấy nó quan trọng, giúp ưu tiên ngân sách và giải thích cho người dùng vì sao phải tuân theo. Mỗi ý là một lợi ích riêng nên chỉ phương án gộp là đầy đủ.

Đáp án đúng: "Inventory management". Inventory management (quản lý kiểm kê tài sản) là việc theo dõi danh sách phần cứng và phần mềm có trên từng máy trạm, gồm tên, phiên bản và giấy phép. Biết chính xác phần mềm nào đang được cài là nền tảng để phát hiện phần mềm trái phép, kiểm soát bản quyền và xác định máy nào cần vá khi có lỗ hổng. Phương án "Patch management" là quản lý bản vá, dùng dữ liệu kiểm kê để biết máy nào cần cập nhật, nhưng mục đích của nó là cài bản vá chứ không phải nắm phần mềm đang có. Phương án "Security management" là khái niệm rộng bao trùm mọi hoạt động an ninh, không chỉ riêng việc nắm danh mục phần mềm. Phương án "Discovery management" gần nghĩa vì công cụ dò quét giúp phát hiện thiết bị và phần mềm trên mạng, nhưng đó là phương tiện thu thập dữ liệu cho quản lý kiểm kê, không phải tên loại quản lý được hỏi.

Đáp án đúng: "To inform employees about basic principles of information security and threats". Security Awareness Policy (SAP, chính sách nhận thức an toàn thông tin) quy định việc giáo dục và đào tạo định kỳ để nhân viên hiểu các nguyên tắc cơ bản như bảo mật mật khẩu, nhận diện email lừa đảo, báo cáo sự cố, và biết các mối đe dọa đang nhắm vào tổ chức. Mục tiêu là thay đổi hành vi của con người, vốn là mắt xích yếu nhất trong miền người dùng. "To manage software licenses" thuộc chính sách sử dụng chấp nhận được hoặc quản lý tài sản phần mềm, không phải mục đích của SAP. "To manage network traffic" là việc của tiêu chuẩn kỹ thuật về tường lửa và phân đoạn mạng trong miền LAN hoặc LAN-to-WAN. "To set encryption standards" thuộc tiêu chuẩn mã hóa, quy định thuật toán và độ dài khóa, chứ không phải nội dung giáo dục nhân viên.

Đáp án đúng: "Sell, Market, and Profit". Câu hỏi phủ định: cần tìm cái KHÔNG phải miền quy trình của COBIT. COBIT chia mảng quản lý CNTT thành các miền theo vòng đời: lập kế hoạch, xây dựng, vận hành và giám sát; bán hàng, tiếp thị, lợi nhuận là hoạt động kinh doanh thuần, không phải miền quản trị CNTT. "Align, Plan, and Organize" (APO) đúng là miền COBIT, lo chiến lược, kiến trúc, ngân sách, rủi ro CNTT. "Build, Acquire, and Implement" (BAI) đúng là miền COBIT, bao trùm việc xây dựng, mua sắm và triển khai giải pháp, quản lý thay đổi. "Deliver, Service, and Support" là cách gọi miền DSS (Deliver, Service and Support) lo vận hành, quản lý sự cố, dịch vụ an ninh hằng ngày, nên cũng thuộc COBIT và không được chọn.

Đáp án đúng: "Create peer pressure". Để nhân viên chủ động tuân thủ, họ cần cảm nhận được lợi ích khi làm theo chính sách; tạo peer pressure (áp lực đồng nghiệp) khiến việc tuân thủ trở thành chuẩn mực của nhóm, người làm đúng được ghi nhận, người làm sai thấy mình lạc lõng, ví dụ công khai khen phòng ban không có ai mắc bẫy thư lừa đảo. "Increase workload" sai vì làm chính sách bị xem là gánh nặng, gây phản kháng. "Implement more policies" sai vì quá nhiều chính sách gây mệt mỏi và khó nhớ, không tạo lợi ích nào. "Decrease communication" sai vì thiếu truyền thông khiến nhân viên không hiểu lý do và giá trị của chính sách.

Đáp án đúng: "To understand an organization's risks and their potential effects on the business". Risk and Control Self-Assessment (RCSA, tự đánh giá rủi ro và kiểm soát) là quy trình trong đó chính các đơn vị kinh doanh, qua hội thảo hoặc bảng hỏi, tự nhận diện rủi ro trong hoạt động của mình, đánh giá hiệu lực của kiểm soát hiện có và tác động tiềm tàng tới doanh nghiệp; kết quả đưa vào quản trị rủi ro toàn tổ chức. "To assess the performance of IT staff" là đánh giá hiệu suất nhân sự, việc của quản lý nhân sự. "To calculate the annual IT budget" là lập ngân sách; kết quả RCSA có thể giúp ưu tiên đầu tư nhưng không nhằm tính ngân sách. "To determine the number of employees needed in the IT department" là hoạch định nhân lực, không phải mục tiêu của tự đánh giá rủi ro và kiểm soát.

Đáp án đúng: "All of the above". Chính sách an ninh được định nghĩa rõ và thực thi đúng mang lại lợi ích kinh doanh trên nhiều mặt cùng lúc, nên cả ba ý đều đúng. "Maximize profit" đúng vì chính sách giảm tổn thất do sự cố, giảm phạt vi phạm quy định và giữ uy tín, từ đó giúp lợi nhuận cao hơn. "Reduce risk" là mục tiêu cốt lõi: chính sách xác định kiểm soát để giảm khả năng xảy ra và mức tác động của các mối đe doạ lên tài sản thông tin. "Produce consistent and reliable products" đúng vì chính sách chuẩn hoá cách làm, ví dụ quy trình quản lý thay đổi và kiểm thử bảo mật, nên sản phẩm và dịch vụ ổn định, ít lỗi hơn. Vì mỗi ý chỉ là một phần lợi ích, chọn riêng một ý là thiếu, chỉ phương án gộp mới bao trọn.

Đáp án đúng: "Anger". Social engineering (tấn công phi kỹ thuật, lừa đảo dựa vào tâm lý) khai thác những mong muốn và cảm xúc khiến nạn nhân hành động vội vàng hoặc hạ cảnh giác; anger (tức giận) không nằm trong nhóm động cơ thường bị khai thác vì nó làm người ta đối đầu và nghi ngờ hơn là hợp tác. Đây là câu phủ định nên các phương án kia là những điểm yếu tâm lý có thật: "Fear" (sợ hãi) bị khai thác qua email giả ngân hàng báo tài khoản sắp bị khóa hay giả cơ quan thuế đe dọa phạt; "Curiosity" (tò mò) bị khai thác bằng USB bỏ rơi dán nhãn hấp dẫn hay đường link giật gân; "Desire to help" (mong muốn giúp đỡ) bị khai thác khi kẻ gian giả làm nhân viên mới hay bộ phận hỗ trợ nhờ đặt lại mật khẩu. Vì ba cảm xúc này đều là công cụ quen thuộc của kẻ tấn công nên chúng không phải đáp án.

Đáp án đúng gồm ba ý: "Business risk", "Compliance" và "Assurance". Mục tiêu của chính sách an toàn thông tin thường được diễn đạt theo ba góc: business risk (rủi ro kinh doanh) là chính sách giảm những rủi ro nào đe dọa hoạt động và giá trị doanh nghiệp; compliance (tuân thủ) là chính sách giúp đáp ứng luật, quy định và hợp đồng nào; assurance (bảo đảm) là chính sách cho ban lãnh đạo, kiểm toán và cơ quan quản lý niềm tin rằng kiểm soát đang hoạt động đúng. "Threat vectors" là các con đường tấn công như email lừa đảo hay thiết bị USB, chúng là đầu vào của phân tích rủi ro chứ không phải cách mô tả mục tiêu chính sách. "Business operation" là bối cảnh mà chính sách phục vụ, không phải một trục mô tả mục tiêu riêng. "Law" đã nằm trong nhóm tuân thủ, vì luật chỉ là một nguồn yêu cầu cần đáp ứng.

Đáp án đúng: "State of Tennessee's information security program". Chương trình an toàn thông tin của bang Tennessee là ví dụ khu vực công dùng NIST SP 800-53, danh mục kiểm soát an ninh và quyền riêng tư của Viện Tiêu chuẩn và Công nghệ Hoa Kỳ, để phân nhóm các kiểm soát theo họ (family) và đo lường mức độ thực hiện của từng kiểm soát. "Target's response to a data breach" là ví dụ về ứng phó vi phạm dữ liệu và bài học sau sự cố lộ dữ liệu thẻ thanh toán, không phải minh họa phân loại kiểm soát theo NIST. "Piedmont Healthcare IT Security" gắn với bối cảnh y tế và yêu cầu bảo vệ thông tin sức khỏe, không phải ví dụ được chọn cho NIST SP 800-53. "ISO/IEC 27002 compliance in public sector" dùng một bộ chuẩn khác hẳn (ISO/IEC 27002 là quy tắc thực hành kiểm soát của ISO), nên không minh họa NIST SP 800-53.