IAA202 - Chương 12: Phân tích tác động kinh doanh

Đáp án đúng: "The time by which a system must be recovered". RTO (Recovery Time Objective, mục tiêu thời gian khôi phục) là mốc thời gian mà hệ thống phải được dựng lại sau sự cố để chức năng kinh doanh không vượt quá mức ngừng tối đa chịu được (MAO); nó được rút ra từ BIA và đưa vào DRP làm chỉ tiêu cho đội khôi phục. "The maximum time allowed for data recovery" dễ nhầm nhưng nói về dữ liệu, trong khi lượng dữ liệu được phép mất là RPO (Recovery Point Objective), còn RTO nói về cả hệ thống hoạt động trở lại. "The time needed to detect a disaster" là thời gian phát hiện, thuộc khâu giám sát và thông báo, không phải mục tiêu khôi phục. "The minimum acceptable downtime" đảo ngược ý nghĩa: RTO là giới hạn trên của thời gian ngừng, không phải mức tối thiểu, và không ai đặt chỉ tiêu cho thời gian ngừng tối thiểu.

Đáp án đúng: "IT systems". Trong BIA, sau khi xác định các critical business function (chức năng kinh doanh thiết yếu), người phân tích ánh xạ từng chức năng tới các hệ thống CNTT hỗ trợ nó, vì đó là cách biết hệ thống nào phải khôi phục trước và với RTO bao nhiêu; ví dụ chức năng bán hàng trực tuyến phụ thuộc máy chủ web, cơ sở dữ liệu và cổng thanh toán. "Personnel" là nguồn lực cần cho chức năng, nhưng BIA trong bối cảnh này tập trung xác định phụ thuộc vào hệ thống để lập kế hoạch khôi phục kỹ thuật. "Revenue" là một thước đo tác động (doanh thu mất đi khi chức năng ngừng), dùng để chấm mức nghiêm trọng chứ không phải đối tượng ánh xạ. "Replacement costs" là chi phí thay thế tài sản, thuộc về định giá tài sản trong đánh giá rủi ro, không phải thứ mà chức năng kinh doanh được ánh xạ tới.

Đáp án đúng: "Outages". Phân tích tác động kinh doanh (BIA, business impact analysis) nhằm xác định điều gì xảy ra với tổ chức khi một chức năng hay hệ thống ngừng hoạt động: thiệt hại tài chính, uy tín, pháp lý theo thời gian gián đoạn, từ đó suy ra thời gian ngừng tối đa chấp nhận được (MAO) và mục tiêu thời gian khôi phục (RTO); BIA không quan tâm nguyên nhân mà quan tâm hậu quả của việc ngừng. "Incidents" là sự kiện an ninh do đội CIRT xử lý, một sự cố có thể gây hoặc không gây gián đoạn. "Vulnerabilities" là điểm yếu, đối tượng của đánh giá điểm yếu và đánh giá rủi ro. "Threats" là mối đe doạ, được phân tích trong đánh giá rủi ro; BIA cố ý bỏ qua việc mối đe doạ nào gây ra gián đoạn.

Đáp án đúng: "They are vital functions whose failure impacts essential operations". Trong phân tích tác động kinh doanh (business impact analysis, BIA), chức năng kinh doanh then chốt (critical business function, CBF) là chức năng mà nếu ngừng thì hoạt động cốt lõi của tổ chức bị ảnh hưởng nghiêm trọng; BIA xác định chúng để gắn thời gian ngừng tối đa chấp nhận được và ưu tiên khôi phục trước. "They represent non-essential business activities" nói ngược bản chất, vì hoạt động không thiết yếu chính là thứ được khôi phục sau cùng. "They include functions necessary for compliance only" quá hẹp, vì chức năng then chốt gồm cả bán hàng, sản xuất, thanh toán chứ không chỉ chức năng tuân thủ. "They are functions that can be outsourced" lẫn sang quyết định thuê ngoài; một chức năng then chốt có thể thuê ngoài hay không, nhưng đó không phải điều định nghĩa nó.

Đáp án đúng: "True". Hệ thống trọng yếu (mission-critical system) được định nghĩa đúng như câu nói: bất kỳ hệ thống nào được xác định là thiết yếu cho sứ mệnh của tổ chức, tức nếu nó ngừng thì tổ chức không thực hiện được chức năng chính, ví dụ hệ thống đặt hàng của một công ty thương mại điện tử. Việc xác định hệ thống trọng yếu thường diễn ra trong phân tích tác động kinh doanh để ưu tiên bảo vệ và khôi phục. Định nghĩa này nghe như lặp từ, nhưng điểm cốt lõi là tính trọng yếu do tổ chức tự xác định theo sứ mệnh của mình, không cố định theo loại công nghệ. Chọn "False" là sai, vì phát biểu không chứa điều kiện nào trái với định nghĩa.

Đáp án đúng: "Impact of downtime on business operations and financial losses.". Mục tiêu thời gian khôi phục (RTO, recovery time objective) là khoảng thời gian tối đa mà một chức năng được phép ngừng trước khi gây thiệt hại không chấp nhận được, nên nó được suy ra từ phân tích tác động kinh doanh: ngừng bao lâu thì hoạt động và tài chính bị ảnh hưởng tới mức nào, và RTO phải nằm dưới thời gian ngừng tối đa chấp nhận được (MAO). "Severity of potential disruptions." nói về mức nghiêm trọng của từng kịch bản gián đoạn, hữu ích khi đánh giá rủi ro nhưng không trả lời doanh nghiệp chịu được ngừng bao lâu. "Technical limitations of backup and restoration technologies." là ràng buộc khi chọn giải pháp khôi phục để đạt RTO, chứ RTO phải xuất phát từ nhu cầu kinh doanh trước. "Existing budget allocated for DRP implementation and maintenance." ảnh hưởng tới việc chọn site dự phòng hay công nghệ, nhưng để ngân sách quyết định RTO là đảo ngược thứ tự, có thể khiến mục tiêu không bảo vệ được chức năng trọng yếu.

Đáp án đúng: "Recovery time objective (RTO)". MAO (Maximum Acceptable Outage) trong BIA là thời gian ngừng tối đa mà một chức năng kinh doanh chịu được; khi chuyển sang DRP, con số này được cụ thể hoá thành RTO, mục tiêu thời gian mà hệ thống phải được khôi phục, và RTO phải nhỏ hơn hoặc bằng MAO để còn thời gian kiểm tra rồi đưa chức năng trở lại. "Critical business function (CBF)" là chức năng kinh doanh thiết yếu, chính là đối tượng mà MAO được xác định cho, không phải một thuật ngữ thời gian. "DRP action item (DRPAI)" không phải thuật ngữ chuẩn của DRP; hiểu theo nghĩa đen thì đó là một đầu việc trong kế hoạch, tức nội dung cần làm chứ không phải giới hạn thời gian. "Recovery action item (RAI)" cũng chỉ là một hành động khôi phục cụ thể, như dựng lại máy chủ hay nạp bản sao lưu, mô tả việc làm chứ không mang ý nghĩa mốc thời gian thay cho MAO.

Đáp án đúng: "Identify critical assets, prioritize recovery order, and establish recovery time objectives (RTOs).". Kết quả của phân tích tác động kinh doanh (BIA) cho biết chức năng nào trọng yếu và ngừng bao lâu thì không chịu nổi, nên khi xây chiến lược khôi phục thì bước cốt lõi là xác định tài sản trọng yếu phục vụ các chức năng đó, sắp thứ tự khôi phục theo mức trọng yếu, và đặt mục tiêu thời gian khôi phục làm thước đo để chọn giải pháp như hot site hay warm site. "Develop backup and recovery procedures, test and validate recovery plans regularly." là các bước triển khai và kiểm thử, diễn ra sau khi chiến lược đã được chọn. "Assign roles and responsibilities for recovery activities, train personnel on their roles." thuộc giai đoạn tổ chức đội và đào tạo, cũng đến sau. "Communicate recovery plans to stakeholders, conduct regular drills and simulations." là bước truyền thông và diễn tập để duy trì kế hoạch, không phải bước xây chiến lược từ kết quả BIA.

Đáp án đúng: "Understanding the impact of disruptions on business functions". BIA hoàn chỉnh là nền móng của BCP: nó xác định chức năng kinh doanh thiết yếu, đo tác động tài chính, vận hành, pháp lý khi từng chức năng bị gián đoạn, và đặt ra MAO, RTO, RPO; nhờ hiểu tác động đó, BCP biết phải ưu tiên khôi phục cái gì trước và trong bao lâu. "Ignoring potential threats" sai hoàn toàn, không bước nào trong lập kế hoạch liên tục lại bỏ qua mối đe doạ. "Identifying countermeasures and controls" là việc của đánh giá rủi ro và giai đoạn xây dựng chiến lược khôi phục; BIA tập trung vào hậu quả của gián đoạn, không bàn chọn biện pháp nào. "Providing training" là hoạt động sau khi đã có kế hoạch, giúp nhân viên biết vai trò khi kích hoạt BCP, không phải vai trò của BIA.

Đáp án đúng: "Maximum Acceptable Outage (MAO)". MAO (thời gian gián đoạn tối đa chấp nhận được) là khoảng thời gian dài nhất một hệ thống hay chức năng được phép ngừng trước khi tổ chức chịu thiệt hại không chấp nhận được; nó được xác định trong phân tích tác động kinh doanh và là mốc trần cho các mục tiêu khôi phục. "Recovery Time Objective (RTO)" là thời gian mục tiêu để khôi phục hệ thống, phải đặt ngắn hơn hoặc bằng MAO, nên là mục tiêu chứ không phải giới hạn tối đa. "Recovery Point Objective (RPO)" đo lượng dữ liệu được phép mất tính theo thời gian, ví dụ sao lưu mỗi 4 giờ thì có thể mất tối đa 4 giờ dữ liệu. "Business Continuity Plan (BCP)" là kế hoạch duy trì hoạt động kinh doanh, một tài liệu chứ không phải thước đo thời gian.

Đáp án đúng: "Maximum Acceptable Outage". MAO là thời gian ngừng tối đa chấp nhận được của một chức năng hay hệ thống kinh doanh, được xác định trong BIA; vượt quá mốc này, tổ chức chịu thiệt hại không thể chấp nhận như mất khách hàng, vi phạm hợp đồng hay luật. MAO là căn cứ để đặt RTO trong DRP, với RTO nhỏ hơn hoặc bằng MAO. "Mandatory Audit Objective" ghép đúng ba chữ cái MAO nhưng không phải thuật ngữ nào trong quản trị rủi ro; mục tiêu kiểm toán không có viết tắt chuẩn như vậy. "Major Application Outage" nghe gần nghĩa vì cũng nói về ngừng hoạt động, nhưng nó tả một sự cố chứ không phải ngưỡng chấp nhận được. "Minimum Access Option" không phải thuật ngữ chuẩn và mang nghĩa về quyền truy cập, chẳng liên quan tới thời gian ngừng.

Đáp án đúng: "Develop the contingency planning policy statement". Quy trình bảy bước lập kế hoạch dự phòng của NIST (SP 800-34) bắt đầu bằng việc ban hành tuyên bố chính sách lập kế hoạch dự phòng, tạo thẩm quyền và định hướng cho toàn bộ công việc, sau đó mới đến phân tích tác động kinh doanh, xác định biện pháp phòng ngừa, xây chiến lược dự phòng, viết kế hoạch, kiểm thử – đào tạo – diễn tập và cuối cùng là bảo trì kế hoạch. "Conduct the business impact analysis" là bước thứ hai; BIA cần chính sách đi trước để biết phạm vi và ai chịu trách nhiệm. "Identify preventive controls" là bước thứ ba, dùng kết quả BIA để chọn biện pháp giảm khả năng gián đoạn. "Create contingency strategies" là bước thứ tư, chọn cách khôi phục như site dự phòng hay sao lưu, nên không thể là bước đầu.

Đáp án đúng: "Scope". Phạm vi (scope) của phân tích tác động kinh doanh (BIA) xác định ranh giới: những bộ phận, chức năng, hệ thống nào được phân tích và những gì nằm ngoài; xác định phạm vi là bước đầu tiên để BIA không quá rộng mà cũng không bỏ sót. "MAO" là thời gian gián đoạn tối đa chấp nhận được, một kết quả mà BIA tính ra cho từng chức năng, không phải ranh giới của BIA. "BCP" là kế hoạch duy trì kinh doanh, tài liệu lớn hơn sử dụng kết quả của BIA làm đầu vào. "Recovery objectives" gồm RTO (thời gian khôi phục mục tiêu) và RPO (điểm khôi phục mục tiêu), cũng là đầu ra của BIA chứ không định nghĩa ranh giới của nó.

Đáp án đúng: "Recovery Time Objectives and Recovery Point Objectives". BIA xác định hai mục tiêu khôi phục cho từng chức năng và hệ thống: RTO (Recovery Time Objective) là thời gian tối đa để khôi phục hệ thống sau gián đoạn, và RPO (Recovery Point Objective) là mốc thời gian mà dữ liệu phải được khôi phục về, tức lượng dữ liệu tối đa được phép mất, quyết định tần suất sao lưu. Hai con số này là đầu vào trực tiếp cho chiến lược sao lưu và chọn địa điểm dự phòng. "Return on Investment and Economic Value" là thước đo tài chính của khoản đầu tư, không phải mục tiêu khôi phục. "Risk Threshold Objectives and Resource Allocation" trộn ngưỡng chịu rủi ro với phân bổ nguồn lực, đều là quyết định quản lý chung. "Regulatory Compliance and Operational Efficiency" là mục tiêu tuân thủ và hiệu quả vận hành, có thể được xét tới khi đánh giá tác động nhưng không phải hai mục tiêu khôi phục.

Đáp án đúng: "BIA". Phân tích tác động kinh doanh (BIA, business impact analysis) trả lời đúng câu hỏi điều gì xảy ra nếu một hệ thống hay chức năng ngừng hoạt động: xác định chức năng kinh doanh nào phụ thuộc vào máy chủ đó, thiệt hại tài chính và vận hành theo thời gian ngừng, thời gian ngừng tối đa chấp nhận được (MAO) và mục tiêu khôi phục (RTO, RPO). "BCP" là kế hoạch liên tục kinh doanh, dùng kết quả BIA để lên cách duy trì hoạt động, chứ bản thân nó không đo tác động. "DRP" là kế hoạch khôi phục thảm hoạ, mô tả cách đưa hệ thống trở lại, đến sau khi tác động đã được phân tích. "BCC" không phải tên một loại phân tích trong lập kế hoạch liên tục kinh doanh, nên không cung cấp đánh giá tác động khi máy chủ hỏng.

Đáp án đúng: "MAO includes all possible recovery activities, while RTO is limited to system restoration time". Định nghĩa chuẩn: MAO (Maximum Acceptable Outage) là thời gian ngừng tối đa mà một chức năng kinh doanh chịu được, còn RTO (Recovery Time Objective) là mục tiêu thời gian khôi phục hệ thống và phải nhỏ hơn hoặc bằng MAO. Phương án được chọn diễn đạt gần đúng ý đó: MAO bao trùm toàn bộ quá trình đưa chức năng trở lại, gồm phát hiện, quyết định, khôi phục, kiểm tra, còn RTO chỉ là phần dựng lại hệ thống nằm bên trong khoảng đó; cách nói all possible recovery activities không thật chặt nhưng hướng phân biệt là đúng. "MAO focuses only on IT systems, while RTO includes all business processes" đảo ngược hai khái niệm, MAO mới gắn với chức năng kinh doanh còn RTO gắn với hệ thống. "MAO is the sum of all individual RTOs for an organization" sai vì MAO xác định cho từng chức năng, không phải tổng cộng. "There is no difference; both terms are interchangeable" sai vì MAO là ngưỡng chịu đựng còn RTO là chỉ tiêu khôi phục phải nằm dưới ngưỡng đó.