Tất cả câu hỏi

Đáp án đúng gồm hai ý: "When logged in to terminal services I will save an organizational document on to my personal laptop/computer/tablet so I can work on it off line. I then upload it again after I have finished." và "I save a list of learner and tutor information on to my encrypted memory stick / flash drive.". Luật bảo vệ dữ liệu như GDPR hay Data Protection Act yêu cầu dữ liệu cá nhân chỉ được lưu và xử lý trong môi trường tổ chức kiểm soát, đúng mục đích và có biện pháp bảo vệ phù hợp. Lưu tài liệu của tổ chức xuống máy cá nhân khi làm việc qua terminal services tạo bản sao nằm ngoài hệ thống được quản lý, dù sau đó có tải lên lại thì bản sao vẫn còn. Chép danh sách học viên và giảng viên ra USB, kể cả đã mã hóa, vẫn đưa dữ liệu cá nhân ra thiết bị di động dễ thất lạc và ngoài quy trình được phép. Tình huống "The responsible tutor assessor has requested I send them the list" là hợp lệ vì người gửi đã xác minh đúng người theo quy trình và dùng tài khoản email của công ty, đúng mục đích kiểm tra dữ liệu. "All of other choices" sai vì tình huống gửi email đó không vi phạm.

Đáp án đúng: "A governance and controls framework for assessing, governing, and managing IT security and risks". COBIT (Control Objectives for Information and Related Technologies) do ISACA phát triển là khung quản trị và kiểm soát CNTT, giúp tổ chức đánh giá, quản trị và quản lý an ninh cũng như rủi ro CNTT, gắn mục tiêu CNTT với mục tiêu kinh doanh và cung cấp mục tiêu kiểm soát để đo mức trưởng thành. "A framework for financial controls only" sai vì COBIT không chỉ bao trùm kiểm soát tài chính; khung tập trung vào kiểm soát nội bộ cho báo cáo tài chính gần với COSO hơn, dù COBIT thường được dùng hỗ trợ tuân thủ SOX. "A set of practices for IT service management" mô tả đúng hơn ITIL, bộ thực hành quản lý dịch vụ CNTT; COBIT có đề cập dịch vụ nhưng tầm của nó là quản trị và kiểm soát. "A specific set of technologies for risk management" sai vì COBIT trung lập về công nghệ, nó nêu mục tiêu và quy trình chứ không chỉ định sản phẩm hay công nghệ cụ thể.

Đáp án đúng: "To establish and maintain configuration information throughout a system's lifecycle". Configuration management (quản lý cấu hình) là quá trình thiết lập cấu hình chuẩn (baseline) cho hệ thống, ghi nhận và kiểm soát mọi thay đổi để thông tin cấu hình luôn chính xác từ lúc triển khai tới lúc loại bỏ hệ thống; nhờ đó tổ chức phát hiện được thay đổi trái phép và khôi phục cấu hình an toàn khi cần. Phương án "To deploy patches" là nhiệm vụ của patch management (quản lý bản vá), có liên quan nhưng chỉ là một loại thay đổi được kiểm soát chứ không phải mục đích của quản lý cấu hình. Phương án "To monitor user activities" thuộc về giám sát và ghi nhật ký hoạt động người dùng, không phải quản lý cấu hình hệ thống. Phương án "To ensure systems are up to date" mô tả mục tiêu cập nhật phiên bản, gần với quản lý bản vá; một hệ thống được quản lý cấu hình tốt vẫn có thể giữ phiên bản cũ có chủ đích miễn là đúng baseline đã phê duyệt.

Đáp án đúng: "Both". Voice over Internet Protocol (VoIP, thoại qua giao thức Internet) đóng gói tiếng nói thành gói IP, nên nó chạy được trên bất kỳ mạng IP nào, cả mạng nội bộ lẫn mạng diện rộng. Trong tổ chức, điện thoại IP gọi giữa các phòng ban đi qua LAN, còn cuộc gọi tới chi nhánh ở tỉnh khác hay ra nhà cung cấp dịch vụ đi qua WAN; vì thế chính sách bảo mật VoIP phải phủ cả hai miền hạ tầng. Chọn "LAN" là thiếu, vì VoIP không bị giới hạn trong một tòa nhà hay một khuôn viên. Chọn "WAN" cũng thiếu, vì phần lớn lưu lượng VoIP nội bộ thực tế đi trên mạng LAN trước khi ra ngoài. "Neither" sai hoàn toàn vì VoIP chỉ cần hạ tầng IP, mà cả LAN và WAN đều là mạng IP có thể mang lưu lượng thoại.

Đáp án đúng gồm hai ý: "Biometric scanners" và "RFID card readers". Physical access control (kiểm soát truy cập vật lý) điều khiển việc ra vào không gian thực như tòa nhà, phòng máy chủ, tủ thiết bị. Máy quét sinh trắc học (vân tay, mống mắt, khuôn mặt) gắn ở cửa và đầu đọc thẻ RFID mở khóa khi nhân viên quẹt thẻ đều là cơ chế quyết định ai được bước vào khu vực nào, nên thuộc nhóm vật lý. "Role-Based Access Control (RBAC)" là mô hình kiểm soát truy cập logic: quyền trên hệ thống thông tin được gán theo vai trò công việc, áp dụng cho tệp, ứng dụng, cơ sở dữ liệu chứ không phải cánh cửa. "Passwords" là yếu tố xác thực logic (thứ người dùng biết) để đăng nhập hệ thống; dù đôi khi khóa cửa dùng mã số, mật khẩu theo nghĩa thông thường thuộc kiểm soát truy cập logic, không phải cơ chế kiểm soát truy cập vật lý.

Đáp án đúng: "To provide a structured approach to implementing and managing security policies". IT security policy framework (khung chính sách an toàn CNTT) là cấu trúc phân tầng gồm policy, standard, procedure và guideline, giúp tổ chức triển khai, duy trì và quản lý chính sách an toàn một cách có hệ thống, thường dựa trên các khung như ISO 27001 hay COBIT. "To enforce strict access controls for employees" chỉ là một nội dung cụ thể mà một chính sách có thể quy định, không phải mục đích của cả khung. "To serve as a guideline for hardware and software procurement" là việc của chính sách mua sắm, trong khi khung bao quát toàn bộ chương trình an ninh. "To ensure security policies are updated automatically without review" sai vì chính sách phải được con người rà soát và phê duyệt định kỳ, không bao giờ tự cập nhật mà không xem xét.

Đáp án đúng: "Decryption". Kiểm soát truy cập (access control) được mô tả qua chuỗi định danh, xác thực, cấp quyền và truy trách nhiệm, thường gọi gọn là AAA. Decryption (giải mã) là thao tác mật mã khôi phục bản rõ từ bản mã, một công cụ bảo vệ tính bí mật chứ không phải thành phần của quy trình quyết định ai được vào và được làm gì, nên đây là đáp án của câu phủ định. "Authentication" (xác thực) là bước xác minh chủ thể đúng là người họ khai, nên thuộc kiểm soát truy cập. "Authorization" (cấp quyền) quyết định chủ thể đã xác thực được phép làm gì với tài nguyên nào, cũng là thành phần cốt lõi. "Logging" (ghi nhật ký) ghi lại hành động của từng tài khoản để phục vụ accountability (truy trách nhiệm), chữ A thứ ba trong AAA, nên cũng thuộc kiểm soát truy cập và không được chọn.

Đáp án đúng: "Skills individuals are comfortable with to achieve predictable outcomes". Khi nói về tính cách và sự thay đổi, safe zone (vùng an toàn) là tập kỹ năng và cách làm mà một người đã quen dùng vì chúng mang lại kết quả đoán trước được. Khi chính sách an ninh mới buộc họ đổi thói quen, họ phải rời vùng này nên dễ kháng cự; người triển khai chính sách cần nhận ra điều đó để đào tạo và hỗ trợ đúng cách. "A place where individuals feel physically secure" hiểu safe zone theo nghĩa đen là một nơi chốn an toàn về thể chất, không phải khái niệm về hành vi và kỹ năng. "The area where policies are most effective" mô tả phạm vi áp dụng chính sách, không gắn với đặc điểm tính cách của cá nhân. "A set of security protocols" là tập giao thức kỹ thuật, thuộc về hệ thống chứ không thuộc về con người nên không trả lời câu hỏi về tính cách.

Đáp án đúng: "Frequent security breaches". Mục tiêu của security awareness program (chương trình nâng cao nhận thức an ninh) là thay đổi hành vi của nhân viên, nên thước đo hiệu quả là kết quả thực tế: nếu sự cố do con người gây ra như bấm vào email lừa đảo, dùng mật khẩu yếu hay làm lộ dữ liệu vẫn liên tục xảy ra thì chương trình chưa đạt mục đích. Phương án "High number of training sessions" chỉ đo đầu vào là tổ chức bao nhiêu buổi; nhiều buổi không chứng minh chương trình tốt hay kém. Phương án "Lack of policy exceptions" nghĩa là ít trường hợp xin miễn áp dụng chính sách, thường cho thấy chính sách phù hợp và được chấp nhận, không phải dấu hiệu thất bại. Phương án "Consistent policy compliance" là dấu hiệu ngược lại, cho thấy nhân viên hiểu và làm theo chính sách, tức chương trình đang có hiệu quả.

Đáp án đúng: "All of the above". Một khung IT (IT framework) như COBIT hay ISO 27001 có các đặc điểm chung: quản trị dựa trên rủi ro, gắn kiểm soát với khẩu vị rủi ro của doanh nghiệp, giảm gián đoạn vận hành và tổn thất, và tạo đường đi rõ ràng từ yêu cầu tới kiểm soát cụ thể. Vì vậy bốn phương án riêng lẻ đều đúng nhưng mỗi cái chỉ là một phần. "Risk-based management" đúng vì khung ưu tiên kiểm soát theo mức rủi ro, nhưng chưa đủ. "Aligned business risk appetite" đúng vì kiểm soát phải tương xứng với mức rủi ro doanh nghiệp chấp nhận, nhưng cũng chỉ là một đặc điểm. "Reduced operation disruption and losses" là lợi ích có thật khi áp dụng khung, song không bao quát hết. "Established path from requirements to control" đúng vì khung giúp truy vết từ luật hay yêu cầu kinh doanh xuống kiểm soát, nhưng vẫn thiếu các ý kia. "Risk-based management and Reduced operation disruption and losses only" sai vì chữ "only" loại bỏ hai đặc điểm cũng đúng là gắn khẩu vị rủi ro và đường đi từ yêu cầu tới kiểm soát.

Đáp án đúng: "Background checks & Access rights reviews". Manual control (kiểm soát thủ công) là kiểm soát do con người thực hiện, cần đánh giá và quyết định của người, không do hệ thống tự động chạy. Kiểm tra lý lịch trước khi tuyển và rà soát định kỳ quyền truy cập (quản lý xem xét danh sách ai đang có quyền gì rồi ký xác nhận) đều là việc thủ công, nên đáp án gộp cả hai. Chọn riêng "Background checks" hoặc riêng "Access rights reviews" đều đúng một phần nhưng bỏ sót ví dụ còn lại, nên không đầy đủ bằng phương án gộp. "Authentication" (xác thực) là kiểm soát tự động: hệ thống tự kiểm tra mật khẩu, thẻ hay sinh trắc mỗi lần đăng nhập mà không cần người can thiệp. Vì xác thực là kiểm soát tự động nên "All of the above" sai, vì nó kéo cả xác thực vào nhóm kiểm soát thủ công.

Đáp án đúng: "Clear and Concise". Thư viện chính sách và tiêu chuẩn (policies and standards library) là nơi lưu trữ tập trung các tài liệu mà mọi nhân viên phải đọc, hiểu và tuân thủ; tài liệu chỉ phát huy tác dụng khi người đọc nắm ngay được điều mình phải làm, nên nội dung cần rõ ràng và súc tích. "Comprehensive and Detailed" nghe hợp lý nhưng tài liệu quá dày và chi tiết khiến người dùng bỏ qua, còn chi tiết thao tác nên tách sang procedure (thủ tục). "Short and Vague" sai vì ngắn mà mơ hồ thì mỗi người hiểu một kiểu, không thể thực thi hay kiểm tra tuân thủ. "Technical and Complex" sai vì người đọc gồm cả nhân viên không chuyên kỹ thuật, viết phức tạp làm giảm khả năng hiểu và chấp nhận chính sách.

Đáp án đúng: "LAN". Trong bảy miền hạ tầng CNTT, Remote Access Domain (miền truy cập từ xa) mô tả việc nhân viên ở ngoài văn phòng kết nối qua VPN vào LAN nội bộ để dùng máy chủ, ứng dụng và dữ liệu của công ty. Vì kết nối đi qua Internet không tin cậy, chính sách thường bắt buộc two-factor authentication (xác thực hai yếu tố), ví dụ mật khẩu cộng mã OTP. "Workstation" sai vì máy trạm là thiết bị đầu cuối nhân viên đăng nhập tại chỗ, không phải đích của phiên truy cập từ xa. "DMZ Web site" sai vì website đặt trong DMZ phục vụ công chúng, thường không đòi nhân viên xác thực hai yếu tố mới xem được. "WAN" sai vì mạng diện rộng chỉ là đường truyền nối các địa điểm, không phải tài nguyên nội bộ mà nhân viên cần đăng nhập vào.

Đáp án đúng: "Integration principle". Integration principle (nguyên tắc tích hợp) yêu cầu các biện pháp, thực hành và thủ tục an ninh được phối hợp thành một hệ thống nhất quán, gắn với nhau và với các quy trình khác của tổ chức, thay vì mỗi bộ phận tự làm một kiểu rời rạc. Ví dụ quy trình cấp tài khoản, giám sát nhật ký và ứng phó sự cố cùng dùng một bộ chính sách và chia sẻ thông tin cho nhau. "Ethics principle" là nguyên tắc đạo đức, yêu cầu việc dùng và quản lý thông tin tôn trọng quyền và lợi ích chính đáng của người khác, không nói về tính liền mạch của hệ thống biện pháp. "Defense-in-depth principle" là phòng thủ nhiều lớp, đặt nhiều lớp kiểm soát chồng nhau để một lớp hỏng thì lớp khác vẫn chặn, nhấn vào số lớp bảo vệ chứ không phải sự tích hợp. "Democracy principle" yêu cầu an ninh tương thích với các giá trị của xã hội dân chủ như tự do trao đổi thông tin, không liên quan tới việc thống nhất các biện pháp.

Đáp án đúng gồm ba ý: "Avoiding financial penalties", "Maintaining public trust" và "Preventing criminal liability". Compliance (tuân thủ) với luật và quy định như SOX, HIPAA, GLBA là bắt buộc vì vi phạm dẫn tới hậu quả trực tiếp: bị phạt tiền, mất niềm tin của khách hàng và công chúng khi sự cố lộ dữ liệu bị công bố, và người có trách nhiệm có thể bị truy cứu hình sự, ví dụ SOX buộc giám đốc điều hành và giám đốc tài chính ký xác nhận báo cáo tài chính và chịu trách nhiệm nếu xác nhận sai. Phương án "Gaining competitive edge through vendor lock-in" sai vì vendor lock-in (bị khóa chặt vào một nhà cung cấp) là rủi ro cần tránh và chẳng liên quan gì tới nghĩa vụ pháp lý. Phương án "Reducing operational costs" sai vì tuân thủ thường làm tăng chi phí vận hành do phải kiểm soát, kiểm toán và lập báo cáo; tiết kiệm chi phí có thể là hệ quả phụ của việc chuẩn hóa quy trình nhưng không phải lý do chính khiến tổ chức buộc phải tuân thủ.

Đáp án đúng: "Procedure". Procedure (thủ tục) là tài liệu hướng dẫn từng bước, mô tả trình tự công việc cần làm để thực hiện đúng chính sách của công ty, ví dụ các bước tạo tài khoản cho nhân viên mới hoặc các bước sao lưu máy chủ mỗi tối; đây chính là định nghĩa mà câu hỏi mô tả. "Policy" (chính sách) là tuyên bố ở mức cao về ý định và định hướng của ban lãnh đạo, nói cần đạt điều gì chứ không chỉ cách làm từng bước. "Standard" (tiêu chuẩn) là yêu cầu bắt buộc, đo được, áp dụng thống nhất cho công nghệ hay quy trình, ví dụ mật khẩu tối thiểu 12 ký tự, nhưng không trình bày trình tự thao tác. "Guideline" (hướng dẫn) là khuyến nghị mang tính tham khảo, không bắt buộc, giúp người dùng chọn cách làm tốt khi chưa có quy định cứng.

Đáp án đúng: "The measurable business benefits". Ban lãnh đạo ra quyết định dựa trên giá trị kinh doanh, nên khi trình bày một chính sách mới cần nhấn mạnh lợi ích đo được: giảm rủi ro tổn thất, tránh phạt do vi phạm quy định, giữ niềm tin khách hàng, hỗ trợ mục tiêu chiến lược, kèm chỉ số cụ thể để họ thấy chính sách là khoản đầu tư chứ không phải chi phí thuần. "The cost of training" là thông tin cần có trong ngân sách nhưng nếu đặt làm trọng tâm sẽ khiến chính sách bị nhìn như gánh nặng. "The technical implementation" phù hợp khi trao đổi với đội kỹ thuật, còn lãnh đạo không cần đi sâu chi tiết triển khai. "The timeline for deployment" là thông tin phụ phục vụ lập kế hoạch, không thuyết phục được lãnh đạo vì sao phải phê duyệt và tài trợ cho chính sách.

Đáp án đúng: "False". Interactive service account (tài khoản dịch vụ tương tác) là tài khoản mà con người hoặc ứng dụng dùng để đăng nhập trực tiếp vào hệ thống, ví dụ quản trị viên đăng nhập bằng tài khoản dịch vụ để bảo trì một ứng dụng. Vì có phiên đăng nhập tương tác nên tài khoản này phải có mật khẩu, và mật khẩu đó cần được quản lý chặt: đủ phức tạp, thay định kỳ, giới hạn số người được biết và ghi nhật ký mỗi lần sử dụng. Phát biểu cho rằng nó thường không có mật khẩu là sai. Vì vậy "True" không được chọn: chấp nhận nó đồng nghĩa với việc để một tài khoản đăng nhập được mà không có lớp xác thực nào, trái với nguyên tắc kiểm soát truy cập và là lỗ hổng mà kẻ tấn công rất hay khai thác.

Đáp án đúng: "The recovery of IT assets after a major outage". Disaster Recovery Plan (DRP, kế hoạch khôi phục sau thảm họa) là một phần của kế hoạch liên tục kinh doanh (BCP), tập trung đưa hệ thống, ứng dụng, dữ liệu và hạ tầng CNTT trở lại hoạt động sau sự cố lớn như cháy trung tâm dữ liệu hay mất điện diện rộng, theo các mục tiêu RTO và RPO đã định. "Only the legal aspects of recovering from a disaster" sai vì DRP là kế hoạch kỹ thuật, yêu cầu pháp lý chỉ là một đầu vào chứ không phải trọng tâm duy nhất. "Employee safety during a disaster" thuộc kế hoạch ứng phó khẩn cấp và sơ tán, nơi con người được ưu tiên trước khi tính chuyện khôi phục máy móc. "Communication strategies with the media" thuộc kế hoạch truyền thông khủng hoảng (crisis communication plan) trong BCP, không phải nội dung chính của DRP.

Đáp án đúng: "Law". Security awareness (nhận thức an ninh) là chương trình giúp nhân viên hiểu rủi ro và trách nhiệm của mình đối với chính sách an toàn thông tin. Yếu tố buộc tổ chức phải có chương trình này rõ nhất là luật và quy định: các văn bản như HIPAA hay FISMA đòi hỏi tổ chức đào tạo nhân viên về an ninh, và không tuân thủ có thể dẫn tới phạt tiền hoặc kiện tụng. "Customers" là bên hưởng lợi khi dữ liệu của họ được bảo vệ và có thể gây áp lực gián tiếp qua niềm tin, nhưng khách hàng không có quyền bắt buộc tổ chức đào tạo nhân viên. "Shareholders" quan tâm tới giá trị doanh nghiệp và có thể ủng hộ đầu tư cho an ninh, song đó vẫn là động lực gián tiếp chứ không phải nghĩa vụ pháp lý. "All are correct" không được chọn vì câu hỏi tìm yếu tố có khả năng cao nhất tạo ra sự bắt buộc, và chỉ luật mới mang tính cưỡng chế, hai bên còn lại chỉ tạo áp lực.