Chủ đề của IAA202 - Quản trị rủi ro trong hệ thống thông tin

IAA202 - Chương 10: Lập kế hoạch giảm thiểu rủi ro toàn tổ chức

Phân tích chi phí - lợi ích là phép thử cuối của mọi biện pháp giảm thiểu: lợi ích bằng tổn thất dự kiến hằng năm trước kiểm soát trừ tổn thất dự kiến sau kiểm soát, rồi đem so với chi phí hằng năm của kiểm soát; ALE giảm từ 50.000 xuống 10.000 đô la nhờ một kiểm soát giá 15.000 đô la mỗi năm thì khoản đầu tư có lời. Các nghĩa vụ pháp lý và tuân thủ phải được dịch xuống từng miền hạ tầng CNTT: ở miền người dùng là đào tạo và chính sách, ở miền máy trạm là mã hoá ổ đĩa, ở miền LAN đến WAN là tường lửa và giám sát lưu lượng. Vì vậy phạm vi quản trị rủi ro phủ cả tổ chức chứ không riêng phòng CNTT, và mỗi yêu cầu tuân thủ kéo theo hệ quả vận hành như lưu nhật ký lâu hơn, thêm bước phê duyệt hay đào tạo định kỳ. Việc xếp các lựa chọn này vào một kế hoạch có thứ tự ưu tiên thuộc Chương 11.

Xem danh sách câu hỏi3 câu hỏi100% có giải thích

Bắt đầu bằng Chế độ học nếu bạn muốn đáp án và giải thích hiện ngay sau mỗi câu — không bấm giờ, dừng lúc nào cũng được. Chọn Thi thử khi muốn biết mình đang ở đâu: có bấm giờ, chấm điểm ở cuối, và giải thích chỉ mở sau khi nộp.

Học ngân hàng câu hỏi của chủ đề

Luyện tập theo chủ đề này

3Câu hỏi hiện có

Số câu hỏi

Lấy từ 3 câu của môn

Độ khó

Gồm cả những câu chưa được chấm độ khó

Đảo vị trí đáp ánMỗi câu một thứ tự riêng, mỗi lượt làm lại một khác. Thứ tự câu hỏi giữ nguyên.

Phiên sắp tạo

3 câu Chế độ học Không giới hạn Mọi mức

Bắt đầu ngay, không cần tài khoản. Làm vài câu đầu rồi để lưu bài và làm tiếp.

Câu hỏi của chủ đề

3/3 câuHết danh sách

1Which of the following domains is most affected by social engineering risks?4 lựa chọn

AUser Domain

BLAN Domain

CRemote Access Domain

DSystem/Application Domain

Lời giải

Đáp án đúng: "User Domain". Trong bảy miền của hạ tầng CNTT điển hình, miền người dùng gồm chính con người sử dụng hệ thống, và tấn công phi kỹ thuật (social engineering) như lừa đảo qua thư (phishing), giả danh bộ phận hỗ trợ hay dụ tiết lộ mật khẩu nhắm thẳng vào sự cả tin của con người, nên đây là miền chịu ảnh hưởng nặng nhất; biện pháp chính là đào tạo nhận thức và chính sách sử dụng chấp nhận được. "LAN Domain" là miền mạng nội bộ, rủi ro chủ yếu là truy cập trái phép vào thiết bị mạng hay nghe lén, mang tính kỹ thuật. "Remote Access Domain" là miền truy cập từ xa qua VPN, rủi ro là xác thực yếu hay thiết bị bị mất. "System/Application Domain" chứa máy chủ và ứng dụng, rủi ro là lỗi phần mềm, cấu hình sai, truy cập dữ liệu trái phép, không xoay quanh việc thao túng con người.

Mở trang câu hỏi này →

2What is a critical concern when managing data on users in the User Domain?4 lựa chọn

AAvailability

BConfidentiality

CCost-effectiveness

DData redundancy

Lời giải

Đáp án đúng: "Confidentiality". User Domain (miền người dùng) là miền đầu tiên trong mô hình bảy miền của hạ tầng CNTT, nơi con người truy cập hệ thống; dữ liệu về người dùng như hồ sơ nhân sự, thông tin cá nhân, mật khẩu là dữ liệu nhạy cảm, nên mối quan tâm then chốt là confidentiality (tính bí mật): chỉ người được phép mới xem được, vì lộ lọt gây hại cho cá nhân và kéo theo trách nhiệm pháp lý về quyền riêng tư. "Availability" (tính sẵn sàng) quan trọng với hệ thống phục vụ, nhưng dữ liệu người dùng tạm thời không truy cập được thì ít nghiêm trọng hơn khi nó bị lộ. "Cost-effectiveness" là tiêu chí chọn biện pháp kiểm soát, không phải mối quan tâm về bản thân dữ liệu. "Data redundancy" (dư thừa dữ liệu) là kỹ thuật hỗ trợ tính sẵn sàng, và nếu thiếu kiểm soát còn làm tăng số bản sao có thể bị lộ.

Mở trang câu hỏi này →

3A company is deciding whether to implement a new firewall system. The current ALE for cyberattacks is $100,000. If the firewall reduces the annual occurrence rate from 5 to 1 and has an annual cost of $15,000, what is the cost savings?4 lựa chọn

A$50,000

B$60,000

C$65,000

D$70,000

Lời giải

Đáp án đúng: "$65,000". Hiện tại ALE = $100,000 với ARO = 5, nên SLE = ALE ÷ ARO = $100,000 ÷ 5 = $20,000 cho mỗi lần tấn công. Sau khi có tường lửa, ARO giảm còn 1, nên ALE mới = SLE × ARO = $20,000 × 1 = $20,000. Mức giảm tổn thất hằng năm là $100,000 − $20,000 = $80,000; trừ chi phí tường lửa $15,000 mỗi năm thì khoản tiết kiệm ròng là $80,000 − $15,000 = $65,000. Con số "$50,000" chỉ ra được nếu ALE mới là $35,000, tức đã tính sai SLE hoặc ARO sau khi có tường lửa. Con số "$60,000" chỉ ra được nếu chi phí tường lửa là $20,000, tức đã trừ dư chi phí. Con số "$70,000" chỉ ra được nếu chi phí chỉ là $10,000, tức đã trừ thiếu chi phí hằng năm của biện pháp. Nguyên tắc là giá trị của biện pháp bảo vệ bằng ALE trước trừ ALE sau rồi trừ chi phí hằng năm của nó.

Mở trang câu hỏi này →