IAA202 - Chương 1: Nền tảng quản trị rủi ro

Đáp án đúng: "Improved decision-making, reduced costs, increased resilience, enhanced security.". Cả bốn phương án đều nghe tích cực, nên cần phân biệt lợi ích, tức kết quả mà tổ chức thu được, với đặc điểm của quy trình hay cách tổ chức. Một risk management framework (khung quản trị rủi ro) như NIST RMF hay ISO 31000 mang lại bốn kết quả kinh doanh: quyết định tốt hơn nhờ có dữ liệu rủi ro, giảm chi phí do sự cố và đầu tư đúng chỗ, tăng khả năng chống chịu (resilience) trước gián đoạn, và an ninh được nâng cao. Phương án "Centralized control, standardized processes, streamlined reporting, faster response times." tả các đặc điểm quản lý như kiểm soát tập trung, chuẩn hoá quy trình; khung quản trị rủi ro không nhất thiết đòi tập trung hoá. Phương án "Clear risk identification, efficient mitigation strategies, proactive risk monitoring, continuous improvement." tả chính các hoạt động bên trong khung (nhận diện, giảm thiểu, giám sát), tức là khung làm gì chứ chưa phải tổ chức được gì. Phương án "Enhanced communication, increased awareness, shared responsibility, improved accountability." nói về truyền thông và văn hoá nội bộ, là hệ quả phụ chứ không phải nhóm lợi ích cốt lõi.

Đáp án đúng gồm ba ý: "Future lost revenue", "Cost of gaining the customer" và "Customer influence". Giá trị vô hình (intangible value) là thứ không có hình thể và khó định giá chính xác, nhưng tổ chức vẫn mất nếu sự cố xảy ra: doanh thu tương lai bị mất khi khách bỏ đi, chi phí đã bỏ ra để có được khách hàng, và ảnh hưởng của khách hàng tới người khác qua lời giới thiệu hay đánh giá; khi đánh giá định lượng người ta phải ước tính các giá trị này để tính đủ thiệt hại. Ba phương án kia được xếp vào giá trị hữu hình theo nghĩa của quản trị rủi ro, tức giá trị đo được bằng chi phí thay thế. "Computer systems" là tài sản vật chất, có giá mua và chi phí thay thế rõ ràng. "Software applications" về kế toán là tài sản vô hình vì không có hình thể, nên phương án này có thể gây tranh cãi; trong đánh giá rủi ro nó bị loại vì giá trị của nó tính được trực tiếp bằng giá giấy phép hay chi phí phát triển lại. "Data" cũng không có hình thể, nhưng trong kiểm kê tài sản được định giá theo chi phí tạo lại hoặc khôi phục, khác với doanh thu tương lai hay uy tín vốn chỉ ước đoán được.

Đáp án đúng: "The likelihood that a loss will occur". Rủi ro (risk) là khả năng một tổn thất xảy ra khi mối đe doạ khai thác được điểm yếu; nó nói về điều có thể xảy ra trong tương lai và được đo bằng khả năng xảy ra kết hợp với tác động. "A vulnerability that has been exploited" mô tả một sự cố đã xảy ra, không còn là khả năng nữa. "A weakness in a system" là định nghĩa của điểm yếu (vulnerability), chỉ là một thành phần tạo nên rủi ro bên cạnh mối đe doạ. "A financial loss due to poor management" là một tổn thất cụ thể đã diễn ra, lại giới hạn ở nguyên nhân quản lý kém, nên không phải định nghĩa chung của rủi ro trong hệ thống thông tin.

Đáp án đúng: "Value". Rủi ro được hình thành từ ba thành phần chính: threat (mối đe doạ) là thứ có thể gây hại, vulnerability (điểm yếu) là chỗ hở mà mối đe doạ khai thác, và loss (tổn thất) là hậu quả khi mối đe doạ khai thác được điểm yếu; vì thế rủi ro thường được tả là khả năng chịu tổn thất do mối đe doạ khai thác điểm yếu. "Value" (giá trị của tài sản) là đầu vào để đo mức tổn thất, giúp định lượng rủi ro, nhưng không phải thành phần cấu thành rủi ro; một tài sản có giá trị mà không có mối đe doạ hay điểm yếu thì không có rủi ro. "Threat" là thành phần chính vì không có nguồn gây hại thì điểm yếu chẳng bị khai thác. "Vulnerability" là thành phần chính vì mối đe doạ cần một điểm yếu để tác động. "Loss" là thành phần chính vì rủi ro rốt cuộc là khả năng chịu tổn thất.

Đáp án đúng: "Residual risk". Rủi ro tồn dư (residual risk) là phần rủi ro còn lại sau khi đã áp dụng biện pháp kiểm soát, vì không biện pháp nào đưa rủi ro về 0; ban lãnh đạo phải xem xét và chính thức chấp nhận phần này, nếu nó vẫn vượt mức chấp nhận được thì cần thêm biện pháp. "Remaining risk" có nghĩa đen giống vậy nhưng không phải thuật ngữ chuẩn được dùng trong quản trị rủi ro. "Mitigated risk" chỉ phần rủi ro đã được giảm bớt nhờ biện pháp, tức phần đã xử lý chứ không phải phần còn lại. "Managed risk" là cách nói chung cho rủi ro đã được đưa vào quy trình quản lý bằng một trong các cách xử lý như tránh, chuyển giao, giảm thiểu hay chấp nhận, không chỉ riêng phần tồn tại sau khi đặt kiểm soát.

Đáp án đúng gồm ba ý: "Accept it", "Transfer it" và "Avoid it". Các chiến lược xử lý rủi ro kinh điển là chấp nhận (accept, khi chi phí xử lý vượt tổn thất dự kiến), chuyển giao (transfer, như mua bảo hiểm hay thuê ngoài kèm hợp đồng ràng buộc trách nhiệm), tránh né (avoid, bỏ hoặc thay đổi hoạt động gây ra rủi ro) và giảm thiểu (mitigate, thêm biện pháp kiểm soát để giảm khả năng xảy ra hoặc tác động). "Migrate it" là bẫy chữ, viết gần giống mitigate nhưng nghĩa là di chuyển, di trú; chuyển hệ thống hay dữ liệu sang chỗ khác không phải một chiến lược xử lý rủi ro được công nhận, và bản thân việc di trú còn sinh ra rủi ro mới cần quản lý. Vì vậy chỉ chấp nhận, chuyển giao và tránh né là các chiến lược đúng trong danh sách.

Đáp án đúng: "False". Vế đầu của phát biểu đúng: rủi ro xuất hiện khi mối đe doạ (threat) có thể khai thác điểm yếu (vulnerability) của hệ thống. Nhưng kết luận rằng chỉ cần nhận diện mối đe doạ và điểm yếu là kiểm soát được rủi ro thì sai, vì nhận diện chỉ là bước đầu; quản trị rủi ro còn phải xác định tài sản và giá trị của nó, đánh giá khả năng xảy ra và tác động để xếp ưu tiên, chọn cách xử lý (giảm thiểu, chuyển giao, chấp nhận, tránh né), triển khai biện pháp kiểm soát và giám sát liên tục. Biết điểm yếu mà không vá hay không đặt kiểm soát thì rủi ro vẫn còn nguyên. Chọn "True" là đồng nhất việc nhận diện với việc kiểm soát, bỏ qua toàn bộ các bước đánh giá, xử lý và giám sát phía sau.

Đáp án đúng gồm hai ý: "Controls" và "Countermeasures". Trong quản trị rủi ro, biện pháp kiểm soát (control) và biện pháp đối phó (countermeasure, còn gọi safeguard) là những hành động, cơ chế hay thiết bị được đặt vào để giảm hoặc vô hiệu hoá mối đe doạ hay điểm yếu, ví dụ tường lửa chặn lưu lượng độc hại, bản vá đóng lỗ hổng, đào tạo giảm khả năng người dùng bị lừa; hai từ thường được dùng gần như đồng nghĩa và đều được chọn sau khi phân tích chi phí – lợi ích. "Standards" là chuẩn, tức các yêu cầu bắt buộc cụ thể hoá chính sách như cấu hình tối thiểu, bản thân nó không trực tiếp chặn mối đe doạ mà quy định biện pháp cần có. "Guidelines" là hướng dẫn mang tính khuyến nghị, không bắt buộc, giúp người thực hiện làm đúng nhưng không phải cơ chế giảm rủi ro.

Đáp án đúng gồm ba ý: "Identifying Threats", "Identifying Vulnerability" và "Assessing Impact and Likelihood of the Exploit". Rủi ro hình thành khi một mối đe doạ khai thác được điểm yếu và gây tác động, nên để nhận diện rủi ro cần đi qua ba bước: xác định mối đe doạ có thể xảy ra, xác định điểm yếu mà chúng có thể khai thác, rồi đánh giá tác động và khả năng việc khai thác đó xảy ra để biết cặp mối đe doạ/điểm yếu nào thành rủi ro đáng kể. "Evaluating the cost of damaged assets" thuộc phân tích thiệt hại tài chính, như tính SLE từ giá trị tài sản nhân hệ số thiệt hại; nó dùng để định lượng rủi ro đã nhận diện và để chọn biện pháp, chứ không phải kỹ thuật nhận diện rủi ro.

Đáp án đúng: "Risk = Threat × Vulnerability". Theo cách trình bày của môn, rủi ro chỉ tồn tại khi một mối đe doạ có thể khai thác một điểm yếu, nên rủi ro được biểu diễn là tích của mối đe doạ và điểm yếu: nếu một trong hai bằng 0, chẳng hạn hệ thống không có điểm yếu tương ứng, thì rủi ro cũng bằng 0. Cần nói thẳng là một số tài liệu khác nhân thêm giá trị tài sản hoặc tác động vào công thức, nên "Risk = Threat × Vulnerability x Asset" không vô lý ở những nguồn đó, nhưng trong khung của môn học này công thức chuẩn chỉ gồm mối đe doạ và điểm yếu, còn giá trị tài sản được đưa vào khi tính thiệt hại bằng SLE và ALE. "Risk = Threat + Vulnerability" sai vì phép cộng cho ra rủi ro dương ngay cả khi không có điểm yếu nào, trái với bản chất cặp đe doạ – điểm yếu. "Risk = Threat + Vulnerability + Asset" mắc cùng lỗi của phép cộng.

Đáp án đúng: "True". Rủi ro là một yếu tố tạo ra chi phí kinh doanh (driver of business costs) theo hai cách: khi rủi ro thành hiện thực, tổ chức chịu thiệt hại như mất doanh thu, chi phí khôi phục, tiền phạt do vi phạm quy định; còn để giảm rủi ro, tổ chức phải chi tiền cho biện pháp kiểm soát, bảo hiểm, đào tạo. Vì vậy quản trị rủi ro luôn cân nhắc chi phí của rủi ro so với chi phí xử lý nó, và chỉ chọn biện pháp khi chi phí của biện pháp thấp hơn thiệt hại tránh được. "False" sai vì rủi ro rõ ràng ảnh hưởng tới chi phí, dù là chi phí thiệt hại hay chi phí phòng ngừa.