Tất cả câu hỏi

Đáp án đúng: "Between the private LAN and public WAN". DMZ (demilitarized zone, vùng phi quân sự) là phân đoạn mạng đặt giữa mạng nội bộ riêng và mạng công cộng bên ngoài, thường kẹp giữa hai tường lửa hoặc nằm trên một cổng riêng của tường lửa. Các máy chủ phải phục vụ người ngoài như web, email gateway hay DNS công khai được đặt ở đây, để nếu bị xâm nhập thì kẻ tấn công vẫn chưa vào được mạng nội bộ. "Inside the private LAN" sai vì đặt máy chủ công khai trong LAN là mở cửa cho người ngoài đi thẳng vào vùng tin cậy. "Within the WAN" sai vì WAN công cộng không do tổ chức kiểm soát, không thể đặt kiểm soát truy cập ở đó. "Within the mail server" sai vì DMZ là một vùng mạng, còn máy chủ thư chỉ là một hệ thống có thể được đặt trong DMZ.

Đáp án đúng gồm hai ý: "Because we need to focus limited resources on protecting a smaller amount of the most important data" và "Because tt's not practical to keep data classified forever". Declassification (hạ hoặc bỏ mức phân loại) là bước trong vòng đời phân loại dữ liệu: giá trị và độ nhạy của dữ liệu giảm theo thời gian, ví dụ kế hoạch ra mắt sản phẩm sẽ thành công khai sau ngày ra mắt. Bảo vệ dữ liệu mật tốn chi phí lưu trữ, mã hóa, kiểm soát truy cập, nên hạ mức dữ liệu không còn nhạy giúp dồn nguồn lực có hạn cho phần dữ liệu quan trọng nhất, và giữ mật mãi mãi là không thực tế. "Because some data are still important" là lý do để TIẾP TỤC phân loại một số dữ liệu, ngược với mục đích hạ mức. "Because we need to keep data secured and handled" mô tả mục tiêu chung của phân loại và bảo vệ dữ liệu, không giải thích vì sao phải bỏ mức phân loại.

Đáp án đúng: "Guideline". Đoạn mô tả nói về một tài liệu không bắt buộc, hỗ trợ chính sách, mềm dẻo hơn procedure, chỉ ra hướng nên đi khi có thể và có thể nâng lên thành policy khi đã được áp dụng rộng rãi; đó chính là guideline (hướng dẫn). "Policy definitions document" là tài liệu định nghĩa thống nhất các thuật ngữ dùng trong bộ chính sách, không đặt ra hướng làm việc. "Procedure" (thủ tục) là các bước bắt buộc, chi tiết để thực hiện một standard, tính chất cứng nhắc trái với mô tả. "Policy" (chính sách) là tuyên bố bắt buộc của lãnh đạo về điều tổ chức phải đạt được, không phải tài liệu tùy chọn; theo chính mô tả, guideline chỉ trở thành policy sau khi được chấp nhận rộng rãi.

Đáp án đúng: "Random audits". Trong mô hình CNTT phi tập trung, các phòng ban tự vận hành phần lớn hệ thống còn bộ phận IT trung tâm giữ dịch vụ lõi và an ninh. Muốn xác minh (verify) từng nơi có tuân thủ yêu cầu an ninh chính hay không thì cần một kiểm soát phát hiện độc lập: kiểm toán ngẫu nhiên đối chiếu thực tế với yêu cầu, và vì không báo trước nên phản ánh đúng trạng thái thường ngày. "Group Policy" là công cụ của Active Directory để áp đặt cấu hình, tức kiểm soát phòng ngừa chứ không kiểm chứng, và các phòng ban phi tập trung có thể không cùng miền quản lý. "Centralized change management policies" quy định cách phê duyệt thay đổi, đi ngược mô hình phi tập trung và không tự cho biết ai đang tuân thủ. "Centralized configuration management policies" đặt cấu hình chuẩn nhưng cũng chỉ là áp đặt, không phải bước xác minh.

Đáp án đúng: "Remote browser access". Remote browser access, còn gọi là remote browser isolation (cô lập trình duyệt từ xa), cho người dùng duyệt web qua một trình duyệt chạy trên máy chủ hoặc vùng cách ly bên ngoài; máy người dùng chỉ nhận luồng hiển thị đã được làm sạch, nên mã độc, script hay khai thác lỗ hổng trình duyệt không chạm được tới máy trạm và mạng nội bộ. Vì vậy đây là công nghệ chặn tấn công qua trình duyệt từ gốc. Phương án "Anti-malware in browsers" chủ yếu phát hiện mã độc đã biết, mã vẫn chạy trên máy người dùng nên không ngăn được khai thác mới. Phương án "Adware remover in browsers" chỉ gỡ phần mềm quảng cáo sau khi nó đã cài vào, không chống tấn công. Phương án "Incognito mode in a browser" chỉ không lưu lịch sử và cookie sau phiên, hoàn toàn không bảo vệ khỏi mã độc hay trang web độc hại.

Đáp án đúng: "Risk and Control Self-Assessment". RCSA (tự đánh giá rủi ro và kiểm soát) là phương pháp trong đó chính các đơn vị kinh doanh tự nhận diện rủi ro trong quy trình của mình, đánh giá các kiểm soát hiện có có hiệu quả không, rồi đề xuất cải thiện; ví dụ phòng kế toán tự rà soát rủi ro sai lệch thanh toán và mức hiệu quả của bước phê duyệt hai cấp. Chữ S trong RCSA là Self, nhấn mạnh việc tự đánh giá thay vì để kiểm toán bên ngoài làm. "Risk and Control Security Assessment" sai vì thay Self bằng Security, làm mất ý tự đánh giá của đơn vị. "Risk Control Security Assurance" sai ở cả hai chữ cuối, assurance là bảo đảm chứ không phải đánh giá. "Risk and Classification Security Assessment" sai vì đổi Control thành Classification, tức phân loại dữ liệu, không liên quan tới đánh giá kiểm soát.

Đáp án đúng gồm bốn ý: "Principles", "Guidelines", "Procedures" và "Standards". Security policy framework (khung chính sách an ninh) là bộ tài liệu phân tầng: principles (nguyên tắc) và policy nêu ý định, mục tiêu cấp cao của tổ chức; standards (tiêu chuẩn) quy định yêu cầu bắt buộc, đo được, ví dụ độ dài mật khẩu tối thiểu; procedures (thủ tục) hướng dẫn từng bước thực hiện; guidelines (hướng dẫn) đưa khuyến nghị không bắt buộc giúp áp dụng linh hoạt. Bốn loại này cùng tạo nên khung tài liệu mà mọi người trong tổ chức tham chiếu. "Firewalls" (tường lửa) là một kiểm soát kỹ thuật, tức thiết bị hoặc phần mềm lọc lưu lượng mạng; nó có thể được một tiêu chuẩn trong khung quy định cách cấu hình, nhưng bản thân nó không phải một loại tài liệu của khung chính sách.

Đáp án đúng: "Corrective". Corrective control (kiểm soát khắc phục) là biện pháp áp dụng sau khi sự cố đã xảy ra nhằm sửa nguyên nhân và đưa hệ thống về trạng thái bình thường. Ở đây vấn đề đã xuất hiện và nguyên nhân đã được xác định là hệ thống EHR thiếu năng lực xử lý, nên việc cần làm là khắc phục, ví dụ nâng cấp tài nguyên máy chủ hoặc mở rộng hạ tầng. "Preventative" là kiểm soát ngăn ngừa, đặt ra từ trước để sự cố không xảy ra, như lập kế hoạch năng lực trước khi triển khai, nay đã muộn. "Correlative" không phải một loại kiểm soát chuẩn; tương quan chỉ là kỹ thuật phân tích sự kiện. "Detective" là kiểm soát phát hiện như giám sát hiệu năng, mà bước phát hiện đã hoàn tất nên nó không giải quyết được tình trạng chậm.

Đáp án đúng: "Availability of the data". Trong bộ ba CIA, availability (tính sẵn sàng) là bảo đảm người được phép truy cập được dữ liệu đúng lúc cần. John cần bản trình bày nằm trên máy để bàn ở văn phòng chính trong khi anh đang ở địa điểm khác, nên vấn đề là dữ liệu không sẵn có cho anh; lưu trên kho dùng chung hoặc cho phép truy cập từ xa an toàn sẽ giải quyết được. "Unauthorized access to the system" sai vì không có ai truy cập trái phép. "Integrity of the data" sai vì tính toàn vẹn nói về dữ liệu bị sửa trái phép hoặc sai lệch ngoài ý muốn, còn ở đây tệp chỉ chưa được cập nhật và trở ngại trước mắt là John không với tới nó. "Nonrepudiation of the data" sai vì chống chối bỏ liên quan tới việc chứng minh ai đã thực hiện một giao dịch. "Unauthorized use of the system" sai vì John là người dùng hợp lệ, dùng hệ thống đúng mục đích công việc.

Đáp án đúng: "As soon as an incident is declared". IRT (incident response team, nhóm ứng phó sự cố) phải ghi chép mọi sự kiện, hành động và bằng chứng ngay từ khi sự cố được tuyên bố, vì nhật ký đầy đủ từ đầu giúp tái dựng diễn biến, giữ chuỗi lưu giữ bằng chứng (chain of custody) và phục vụ bài học kinh nghiệm sau này. "Only after executive approval" sai vì chờ lãnh đạo phê duyệt mới ghi sẽ làm mất thông tin ở giai đoạn đầu, vốn quan trọng nhất; lãnh đạo được báo cáo nhưng không phải điều kiện để bắt đầu ghi chép. "Once containment is complete" sai vì các bước ngăn chặn (containment) chính là hành động cần được ghi lại, bỏ qua chúng thì không đánh giá được phản ứng có đúng không. "After forensic analysis is finalized" sai vì điều tra số cần dựa vào ghi chép từ trước; đợi phân tích xong mới ghi thì bằng chứng khó được chấp nhận.

Đáp án đúng: "Protecting information from unauthorized access, use, disclosure, disruption, modification, or destruction". Đây là định nghĩa kinh điển của information systems security (an toàn hệ thống thông tin), bao trùm cả ba mục tiêu của bộ ba CIA: confidentiality (tính bí mật) chống truy cập và tiết lộ trái phép, integrity (tính toàn vẹn) chống sửa đổi và phá hủy, availability (tính sẵn sàng) chống gián đoạn. Định nghĩa này nói về mục tiêu bảo vệ thông tin, không gắn với một công nghệ cụ thể nào. Phương án "Managing physical security within an organization" chỉ là một mảng nhỏ là an ninh vật lý, không bao quát toàn bộ an toàn thông tin. Phương án "Applying software patches to prevent cyberattacks" là một biện pháp kỹ thuật cụ thể, không phải định nghĩa. Phương án "Implementing encryption on all devices" cũng chỉ là một biện pháp, chủ yếu phục vụ tính bí mật và không giải quyết tính sẵn sàng.

Đáp án đúng gồm ba ý: "Users accessing the Internet", "Managing software licenses" và "Managing intellectual property". Acceptable use policy (AUP, chính sách sử dụng chấp nhận được) quy định người dùng được và không được làm gì với tài sản công nghệ của tổ chức, thuộc miền User Domain. Vì thế nó điều chỉnh cách nhân viên truy cập Internet (không vào trang độc hại, không dùng cho việc riêng quá mức), cấm cài phần mềm không có bản quyền để giữ đúng giấy phép, và cấm sao chép, phát tán tài sản trí tuệ của công ty hay của bên thứ ba. "Server-to-server communication" là giao tiếp giữa các hệ thống, do tiêu chuẩn kỹ thuật của miền hạ tầng và đội vận hành quản lý, không phải hành vi của người dùng. "Encryption when transmitting files" thuộc tiêu chuẩn mã hóa hoặc chính sách xử lý dữ liệu, quy định kỹ thuật bảo vệ dữ liệu khi truyền, chứ không phải nội dung chính của AUP.

Đáp án đúng: "Employees prioritize job preservation". Khi kinh tế suy thoái, nhân viên lo bị cắt giảm nên tập trung giữ việc làm, hoàn thành chỉ tiêu cốt lõi; chính sách an ninh mới đòi thêm đào tạo, thủ tục, thay đổi thói quen nên dễ bị coi là gánh nặng làm chậm công việc, thậm chí bị xem là dấu hiệu tổ chức đang giám sát để tìm cớ sa thải. "Companies are focused on hiring" ngược với bối cảnh suy thoái, khi doanh nghiệp thường đóng băng tuyển dụng. "Employees may feel over-rewarded" không khớp hoàn cảnh: thời kỳ khó khăn thường đi kèm cắt thưởng, giảm phúc lợi chứ không phải cảm giác được thưởng quá mức. "Executives delegate all policy tasks to HR" không giải thích vì sao chính sách bị cảm nhận là gánh nặng, và giao toàn bộ cho nhân sự cũng không phải cách quản trị chính sách an ninh đúng.

Đáp án đúng: "Company officers". Khi xảy ra vi phạm an ninh nghiêm trọng, cơ quan quản lý và công chúng quy trách nhiệm cuối cùng cho company officers (cán bộ điều hành cấp cao như CEO, CFO cùng hội đồng quản trị), vì họ có nghĩa vụ ủy thác bảo vệ tài sản và dữ liệu của tổ chức; luật như SOX còn buộc lãnh đạo cấp cao ký xác nhận về hệ thống kiểm soát nội bộ. "The CIO" chịu trách nhiệm vận hành CNTT nhưng vẫn báo cáo lên ban lãnh đạo, không phải người gánh trách nhiệm sau cùng. "The ISO" (Information Security Officer, cán bộ an toàn thông tin) xây dựng và giám sát chương trình an ninh, nhưng thẩm quyền và trách nhiệm pháp lý cuối cùng thuộc về lãnh đạo công ty. "The data owner" chịu trách nhiệm phân loại và phê duyệt quyền truy cập cho một tập dữ liệu cụ thể, phạm vi hẹp hơn nhiều.

Đáp án đúng: "Policies, standards, and procedures". Khung chính sách gồm policy nêu ý định và yêu cầu ở mức quản lý, standard đặt yêu cầu bắt buộc đo được, procedure hướng dẫn từng bước thực hiện; ba lớp này được lãnh đạo phê duyệt và gắn với mục tiêu kinh doanh, nên là nền thống nhất để quản lý mọi hoạt động an toàn thông tin. "Technical solutions alone" sai vì công nghệ thiếu chính sách dẫn dắt sẽ rời rạc, không xác định được ai chịu trách nhiệm hay cần bảo vệ tới mức nào. "Employee intuition and judgment" sai vì phán đoán cá nhân không nhất quán giữa người này với người khác và không kiểm toán được. "External regulatory requirements" là nguồn đầu vào quan trọng khi soạn chính sách, nhưng luật chỉ nêu yêu cầu tối thiểu; tổ chức phải chuyển chúng thành chính sách, tiêu chuẩn và thủ tục nội bộ mới quản lý được hoạt động hằng ngày.

Đáp án đúng: "False". Phát biểu sai vì một bộ chính sách an ninh tốt được thiết kế theo khung (framework) có cấu trúc và ánh xạ được tới nhiều quy định cùng lúc. Khi có quy định mới, tổ chức nên đối chiếu yêu cầu mới với chính sách, tiêu chuẩn và kiểm soát đang có, rồi chỉ sửa hoặc bổ sung phần còn thiếu. Viết chính sách mới mỗi lần có luật mới sẽ tạo ra nhiều tài liệu chồng chéo, mâu thuẫn, khó bảo trì và khó đào tạo nhân viên; ví dụ yêu cầu mã hoá dữ liệu của HIPAA và của GLBA có thể cùng được đáp ứng bởi một tiêu chuẩn mã hoá chung. "True" không được chọn vì nó coi mỗi quy định là một bài toán riêng, trái với cách tiếp cận dùng lại khung chính sách và kiểm soát sẵn có để giảm chi phí và giữ tính nhất quán.

Đáp án đúng: "By using an incident severity rating". Incident severity rating (thang xếp hạng mức độ nghiêm trọng của sự cố) là tiêu chí định sẵn trong chính sách ứng phó sự cố, dựa trên phạm vi ảnh hưởng, loại dữ liệu liên quan, số người dùng bị ảnh hưởng và tác động tới hoạt động kinh doanh, giúp phân loại sự cố lớn hay nhỏ một cách nhất quán để quyết định mức leo thang và nguồn lực cần huy động. Phương án "By checking the system logs" chỉ là nguồn chứng cứ giúp phát hiện và điều tra; nhật ký không tự cho biết sự cố nghiêm trọng tới đâu. Phương án "By interviewing affected users" thu thập thông tin chủ quan, hữu ích khi điều tra nhưng không phải chuẩn phân loại. Phương án "By reviewing incident reports" diễn ra sau khi sự cố đã được xử lý và ghi lại, trong khi việc xác định lớn hay nhỏ phải làm ngay từ đầu để chọn cách ứng phó.

Đáp án đúng: "Commanders". Khi triển khai chính sách an toàn thông tin, người ta phân loại tính cách nhân sự để chọn cách thuyết phục phù hợp, gồm commanders, analyticals, pleasers và attackers. Commanders (người chỉ huy) là người hướng tới kết quả, quyết đoán, thích kiểm soát và thường phá vỡ được những rào cản trước đây ngăn cản thành công, nên họ hợp với vai trò dẫn dắt thay đổi. "Attackers" là kiểu người hay phản đối, chỉ trích và có thái độ tiêu cực với thay đổi, nên họ thường tạo ra rào cản chứ không phá rào cản. "Analyticals" là người thận trọng, cần dữ liệu và chi tiết trước khi quyết định, họ mạnh ở phân tích nhưng không nổi bật ở việc đột phá. "Pleasers" là người muốn làm hài lòng mọi người, tránh xung đột, nên ít khi chủ động đối đầu với trở ngại.

Đáp án đúng: "Surplus of funding". Câu hỏi phủ định nên cần tìm yếu tố KHÔNG phải thách thức tổ chức khi triển khai chính sách an toàn thông tin. Dư thừa ngân sách là điều kiện thuận lợi, giúp mua công cụ, đào tạo, thuê nhân sự; thực tế thách thức thường là thiếu ngân sách. Ba yếu tố sau đây đều là thách thức thật nên không được chọn. "Accountability" (trách nhiệm giải trình) là thách thức vì phải xác định rõ ai chịu trách nhiệm thực thi và ai chịu hậu quả khi vi phạm, việc này dễ gây đùn đẩy giữa các phòng ban. "Lack of priority" (thiếu ưu tiên) là thách thức vì khi lãnh đạo và nhân viên coi an ninh là việc phụ, chính sách bị gác lại. "Tight schedules" (lịch trình gấp) là thách thức vì áp lực tiến độ dự án khiến người ta bỏ qua bước kiểm soát để kịp hạn.

Đáp án đúng: "Detailed line budget". Đây là câu phủ định: cần tìm mục KHÔNG thuộc charter (điều lệ) của đội ứng phó sự cố. Charter là văn bản ủy quyền nêu đội tồn tại để làm gì, được tổ chức ra sao và ai chịu trách nhiệm gì; ngân sách chi tiết từng dòng là tài liệu tài chính thay đổi hằng năm, được quản lý qua quy trình ngân sách riêng nên không đưa vào charter. "Mission statement" là nội dung đúng của charter vì nêu sứ mệnh và phạm vi hoạt động của đội. "Organizational structure" cũng thuộc charter vì xác định đội trực thuộc ai và gồm những vị trí nào. "Roles and responsibilities" cũng thuộc charter vì phân định quyền hạn và trách nhiệm của từng thành viên khi xử lý sự cố. Ba mục này đều nên có trong charter nên không được chọn.