IAA202 - Chương 11: Từ đánh giá rủi ro đến kế hoạch giảm thiểu

Đáp án đúng: "Threat/likelihood-impact matrix". Ma trận khả năng xảy ra – tác động xếp từng mối đe doạ theo hai trục là xác suất xảy ra (likelihood) và mức tác động (impact); rủi ro rơi vào ô cao – cao được ưu tiên biện pháp đối phó (countermeasure) trước, rủi ro thấp – thấp có thể để sau hoặc chấp nhận, nên đây là công cụ xác định thứ tự ưu tiên. "Cost-benefit analysis" (phân tích chi phí – lợi ích) dùng để quyết định một biện pháp cụ thể có đáng tiền hay không bằng cách so chi phí với mức giảm thiệt hại, chứ không xếp hạng các rủi ro với nhau. "Disaster recovery plan" là kế hoạch khôi phục hệ thống sau thảm hoạ, một sản phẩm của lập kế hoạch dự phòng chứ không phải công cụ ưu tiên. "Best guess method" là đoán theo cảm tính, không có cơ sở nhất quán để bảo vệ quyết định trước ban lãnh đạo.

Đáp án đúng: "Recalculate the cost-benefit analysis". Kế hoạch giảm thiểu rủi ro (risk mitigation plan) chọn biện pháp dựa trên phân tích chi phí - lợi ích (cost-benefit analysis, CBA): một biện pháp chỉ đáng làm khi lợi ích, tức phần thiệt hại hằng năm giảm được, lớn hơn chi phí của nó. Khi phát sinh chi phí mới, phép so sánh đó không còn đúng nên phải tính lại để xem biện pháp còn hợp lý không. "Ignore the new costs" khiến quyết định dựa trên số liệu sai và có thể làm dự án vượt ngân sách. "Immediately implement the countermeasures" bỏ qua bước đánh giá lại, có thể triển khai một biện pháp nay đã đắt hơn lợi ích nó mang lại. "Cancel the risk mitigation plan" là phản ứng quá mức, vì chi phí mới chỉ đòi hỏi điều chỉnh, có khi chỉ ở một biện pháp, chứ không làm cả kế hoạch mất giá trị.

Đáp án đúng: "Review and validate findings". Kết thúc đánh giá rủi ro, nhóm có danh sách rủi ro, mối đe doạ, điểm yếu và mức ưu tiên; bước đầu tiên là rà soát và xác nhận các phát hiện cùng chủ sở hữu hệ thống và các bên liên quan để chắc rằng dữ liệu đúng, không bỏ sót, không thổi phồng, trước khi dùng chúng làm căn cứ ra quyết định. "Create a cost-benefit analysis" cũng nằm ngay sau đánh giá, nhưng chỉ làm được khi các phát hiện đã được xác minh, vì tính lợi ích của biện pháp trên một rủi ro sai thì kết quả vô nghĩa; do đó xác nhận phát hiện đứng trước. "Develop security policies" là việc ở giai đoạn xử lý rủi ro, xa hơn nhiều. "Hire a security consultant" không phải bước tất yếu của quy trình; thuê chuyên gia là quyết định nguồn lực, có thể xảy ra ở bất kỳ lúc nào hoặc không cần tới.

Đáp án đúng: "To stay within budget and on schedule.". Triển khai kế hoạch giảm thiểu rủi ro được quản lý như một dự án, nên hai mục tiêu chính là hoàn thành trong ngân sách và đúng tiến độ; vượt chi phí làm sai kết quả phân tích chi phí - lợi ích đã dùng để chọn biện pháp, còn trễ hạn khiến tổ chức phơi nhiễm rủi ro lâu hơn. "To hire new staff and purchase new software only." quá hẹp và nhầm phương tiện với mục tiêu, vì nhiều biện pháp chỉ cần đổi quy trình. "To complete the project without documenting any changes." đi ngược thực hành tốt, vì thay đổi phải được ghi nhận để kiểm soát và kiểm toán. "To ignore project management principles and rush the implementation." dẫn tới sai sót và vượt ngân sách, đúng điều cần tránh.

Đáp án đúng: "Evaluating the effectiveness of implemented controls and identifying necessary adjustments.". Sau khi triển khai kế hoạch giảm thiểu rủi ro, môi trường vẫn tiếp tục thay đổi: mối đe doạ mới xuất hiện, hệ thống được nâng cấp, biện pháp có thể không hiệu quả như dự tính; đánh giá rủi ro định kỳ là để kiểm tra biện pháp đã đặt có thật sự giảm rủi ro hay không và điều chỉnh khi cần, khép vòng quản trị rủi ro liên tục. "Demonstrating compliance with regulatory requirements." có thể là lợi ích phụ khi luật yêu cầu đánh giá định kỳ, nhưng tuân thủ không phải mục đích chính. "Updating the risk register and documenting changes in the risk landscape." là việc ghi chép đi kèm kết quả đánh giá, phục vụ cho mục đích đánh giá hiệu quả chứ không phải chính mục đích. "Allocating additional resources and budget for risk management activities." là quyết định có thể đến sau khi biết biện pháp nào cần điều chỉnh, chứ không phải lý do tiến hành đánh giá.

Đáp án đúng gồm ba ý: "Reviewing firewall logs regularly", "Using SIEM systems for correlation and alerting" và "Monitoring configuration changes". Giám sát rủi ro liên tục nghĩa là theo dõi môi trường một cách đều đặn để phát hiện sớm dấu hiệu bất thường: xem xét nhật ký tường lửa định kỳ để thấy lưu lượng đáng ngờ, dùng hệ thống quản lý sự kiện và thông tin an ninh (SIEM) để tương quan sự kiện từ nhiều nguồn và cảnh báo, theo dõi thay đổi cấu hình để bắt kịp thay đổi trái phép hoặc làm phát sinh điểm yếu. "Applying encryption to archived data" là một biện pháp bảo vệ dữ liệu lưu trữ, hữu ích nhưng nó là kiểm soát phòng ngừa chứ không phải hoạt động giám sát. "Performing one-time vulnerability scans" chỉ chụp lại trạng thái tại một thời điểm, trái với tính liên tục; quét chỉ có giá trị giám sát khi được lặp lại định kỳ.

Đáp án đúng: "Prioritizing risks and countermeasures". Ma trận Threat/Likelihood/Impact (mối đe doạ, khả năng xảy ra, tác động) đặt mỗi mối đe doạ vào một ô theo khả năng xảy ra và mức tác động, mỗi ô cho một mức rủi ro như thấp, trung bình, cao; nhờ đó nhóm biết rủi ro nào cần xử lý trước và biện pháp đối phó nào đáng triển khai trước. "Determining the budget for the risk mitigation plan" là bước sau, ngân sách được quyết định dựa trên thứ tự ưu tiên và phân tích chi phí - lợi ích chứ ma trận không tự tính ra. "Assessing the effectiveness of existing controls" là việc của rà soát hay kiểm thử kiểm soát; mức kiểm soát hiện có ảnh hưởng tới ô được chọn, nhưng ma trận không đo hiệu quả kiểm soát. "Defining the scope of the risk assessment" là việc ở đầu quá trình, phải có phạm vi rồi mới biết mối đe doạ nào đưa vào ma trận.

Đáp án đúng: "Plan of Action and Milestones (POAM)". Kế hoạch hành động và mốc (POAM) liệt kê từng biện pháp đối phó cần triển khai, người chịu trách nhiệm, nguồn lực, các mốc và hạn hoàn thành, cùng trạng thái hiện tại, nên ban lãnh đạo dùng nó để theo dõi và bảo đảm các biện pháp được thực hiện đúng như kế hoạch giảm thiểu rủi ro đã duyệt. "Threat/Likelihood-Impact Matrix" dùng để xếp mức ưu tiên các rủi ro trước khi lập kế hoạch, không theo dõi việc thực hiện. "Gantt Chart" thể hiện lịch trình công việc và hỗ trợ theo dõi tiến độ, nhưng không ghi trách nhiệm và tình trạng của từng biện pháp như một công cụ giải trình. "Risk Assessment Document" là kết quả đánh giá rủi ro, đầu vào để lập kế hoạch giảm thiểu, chứ không phải công cụ giám sát việc triển khai.