DBS401 - Chương 9: Kiểm toán an ninh cơ sở dữ liệu

Đáp án đúng: "Eliminating all organizational risks". Kiểm toán an ninh nhằm nhận diện rủi ro, xem biện pháp kiểm soát có phù hợp và đề xuất cách giảm thiểu; nó không thể bảo đảm xóa bỏ mọi rủi ro của tổ chức. "Identifying the purpose of security measures" là việc cần làm để đánh giá biện pháp có đáp ứng mục tiêu không. "Locating any risks that might prevent security measures from achieving their purpose" mô tả việc tìm rủi ro làm suy yếu kiểm soát. "Finding processes in place to lessen identified risks" cũng thuộc đánh giá cách tổ chức xử lý rủi ro đã nhận diện.

Đáp án đúng: "The specific areas or systems that the audit will focus on". Phạm vi kiểm toán xác định tài sản, hệ thống và quy trình sẽ được xem xét, qua đó định hướng thủ tục và tiêu chí đánh giá. Chi phí thuộc dự toán; danh sách toàn bộ nhân viên không xác định đối tượng kiểm toán; phần mềm kiểm toán là công cụ thực hiện chứ không phải ranh giới công việc. "The cost of the audit" "The names of all employees in the organization" "The software used during the audit"

Đáp án đúng: "Ensuring proper software updates, backup strategies, and resource management". Kiểm toán bảo trì máy chủ xem xét việc cập nhật phần mềm, khả năng sao lưu và phục hồi, cùng quản lý tài nguyên để duy trì tính an toàn và sẵn sàng của dịch vụ cơ sở dữ liệu. "Checking user account creation" thuộc rà soát quản lý tài khoản và vòng đời người dùng. "Verifying access control measures" tập trung vào kiểm soát truy cập và quyền. "Monitoring data privilege assignments" là xem xét việc cấp quyền trên dữ liệu; các nội dung đó quan trọng trong kiểm toán nhưng không diễn tả trọng tâm bảo trì máy chủ như đáp án.

Đáp án đúng: "Audit objectives and key findings". Báo cáo kiểm toán an ninh thường nêu mục tiêu và phạm vi kiểm toán, phương pháp đánh giá, phát hiện chính, mức độ rủi ro và khuyến nghị khắc phục để người chịu trách nhiệm có thể theo dõi. "Software licenses used" có thể liên quan đến kiểm kê tài sản hoặc tuân thủ giấy phép nhưng không phải thành phần cốt lõi của mọi báo cáo; "List of all network devices" có thể là phụ lục kiểm kê trong một cuộc đánh giá cụ thể, không thay thế mục tiêu và phát hiện; "The salary of the audit team" không phải thông tin chuyên môn cần đưa vào kết quả kiểm toán.

Đáp án đúng: "To gather evidence of the effectiveness of existing security policies and practices". Đánh giá không chính thức thường thu thập bằng chứng xem chính sách và biện pháp bảo vệ hiện hành có được áp dụng, hoạt động như dự kiến hay không. Khai thác lỗ hổng thuộc kiểm thử xâm nhập có chủ đích hơn; công khai cam kết là truyền thông; tuân thủ quy định kiểm toán bên ngoài là mục đích của một cuộc kiểm toán bắt buộc, không phải đặc trưng của rà soát nội bộ không chính thức. "To identify and exploit vulnerabilities in an organization's systems" "To publicly demonstrate an organization's commitment to cybersecurity" "To comply with mandatory external security regulations and audits"

Đáp án đúng: "Identifying priority assets and making a conceptual perimeter". Ưu tiên tài sản rồi dựng ranh giới khái niệm giúp xác định hệ thống, dữ liệu và luồng thuộc phạm vi cũng như phần nằm ngoài cuộc đánh giá. Phỏng vấn sơ bộ có thể cung cấp thông tin nhưng không tự xác lập phạm vi; bao gồm toàn mạng cùng lúc bỏ qua mức ưu tiên; sửa lịch theo rủi ro là điều chỉnh kế hoạch thời gian, không phải định nghĩa ranh giới. "By conducting preliminary interviews" "Including all areas of the network at the same time" "Modifying the schedule based on risks identified"

Đáp án đúng: "Gathering comprehensive information about the database environment". Trước cuộc kiểm toán, cần hiểu kiến trúc, phiên bản, cấu hình, dữ liệu, luồng kết nối và cách quản trị môi trường cơ sở dữ liệu để xác định phạm vi và chọn kiểm soát cần rà soát. "Ensuring that all database-related software remains in its outdated versions without applying patches" làm tăng rủi ro đã biết; việc chuẩn bị cần ghi nhận tình trạng cập nhật để đánh giá, không cố ý giữ phần mềm lỗi thời. "Focusing exclusively on external threats while disregarding potential internal vulnerabilities" bỏ qua rủi ro nội bộ và tạo phạm vi đánh giá thiếu. "Ignoring the roles, privileges, and access levels assigned to individual users within the database system" loại bỏ phần trọng yếu của rà soát quyền truy cập.

Đáp án đúng: "HIPAA". HIPAA là luật liên bang Hoa Kỳ đặt ra yêu cầu bảo vệ thông tin sức khỏe được bảo vệ và quy định trách nhiệm đối với các tổ chức, đơn vị liên quan trong lĩnh vực chăm sóc sức khỏe. "FERPA" chủ yếu bảo vệ hồ sơ giáo dục thuộc phạm vi áp dụng; "SOX" tập trung vào báo cáo tài chính và kiểm soát doanh nghiệp đại chúng; "GDPR" là quy định bảo vệ dữ liệu của Liên minh châu Âu, không phải luật liên bang Hoa Kỳ về hồ sơ bệnh nhân.

Đáp án đúng: "Vulnerabilities within the system". Kiểm toán không tự loại bỏ lỗ hổng; nó đánh giá rủi ro, kiểm tra chính sách và quy trình kiểm soát, rồi đưa ra phát hiện để tổ chức khắc phục. Vì vậy cần có chính sách và thủ tục phù hợp nhằm quản lý lỗ hổng. "Employee productivity metrics" đo hiệu suất nhân sự, không phải đặc tính an ninh mà kiểm toán được hỏi. "Network speed optimizations" liên quan hiệu năng mạng. "Hardware upgrades" là hoạt động nâng cấp hạ tầng; chúng có thể cần thiết trong một số khuyến nghị nhưng không phải đối tượng mà chính sách kiểm toán loại bỏ.

Đáp án đúng: "To fix network issues". Kiểm toán viên đánh giá kiểm soát, thu thập bằng chứng, nhận diện rủi ro và báo cáo thiếu sót một cách độc lập; sửa lỗi trực tiếp thuộc chủ hệ thống hoặc nhóm vận hành để giữ tính khách quan. Xác định mục đích của biện pháp an ninh, tìm rủi ro mạng và báo cáo nơi thiếu chính sách đều là công việc đánh giá phù hợp với vai trò kiểm toán. "To identify the purpose of security measures" "To locate any network risks" "To report areas where no policies are in place"