IAA202 - Chương 13: Kế hoạch liên tục kinh doanh

Đáp án đúng gồm ba ý: "The information technology (IT) systems", "The facilities" và "The personnel". BCP (Business Continuity Plan, kế hoạch duy trì hoạt động kinh doanh) phải xác định phạm vi, tức những gì cần được giữ vận hành khi có gián đoạn, và ba thành phần cốt lõi là hệ thống CNTT phục vụ chức năng kinh doanh, cơ sở vật chất (toà nhà, mặt bằng, điện, thông tin liên lạc) và nhân sự thực hiện các chức năng đó. "The supply chain system" là chỗ tranh cãi: nhà cung cấp gián đoạn cũng làm tổ chức ngưng trệ và một số tài liệu ôn tập có kể nhà cung cấp trong phạm vi BCP, nhưng đề chỉ cho chọn ba và chuỗi cung ứng nằm ngoài quyền kiểm soát trực tiếp của tổ chức, thường được xử lý ở phần giả định hay phụ thuộc bên ngoài, nên nó bị loại so với ba thành phần cốt lõi kia. "The assurance" (sự bảo đảm) là khái niệm về mức tin cậy rằng biện pháp hoạt động đúng, không phải đối tượng nào nằm trong phạm vi kế hoạch.

Đáp án đúng: "Employee recreational areas". Kế hoạch liên tục kinh doanh (BCP) tập trung vào những thành phần cần có để các chức năng kinh doanh trọng yếu tiếp tục chạy khi có gián đoạn; khu vui chơi giải trí của nhân viên không phục vụ chức năng trọng yếu nào nên không được xác định là thành phần quan trọng, đây là phát biểu đúng với câu hỏi phủ định. "Database servers" là thành phần trọng yếu vì chứa dữ liệu mà hầu hết chức năng kinh doanh cần, nên được BCP liệt kê, vì thế không được chọn. "IT systems" là hạ tầng chạy các quy trình kinh doanh, mất nó thì chức năng trọng yếu dừng, nên cũng thuộc thành phần trọng yếu. "Facilities and personnel" gồm nơi làm việc và con người vận hành chức năng trọng yếu, thiếu một trong hai thì không duy trì được hoạt động, nên cũng nằm trong BCP.

Đáp án đúng: "The business continuity coordinator or response leader". BCP chỉ được kích hoạt sau khi thảm hoạ được công bố, và người có thẩm quyền làm việc đó là điều phối viên duy trì hoạt động (business continuity coordinator) hoặc trưởng nhóm ứng phó đã được chỉ định trong kế hoạch; họ nắm toàn cảnh, có quyền điều động các nhóm và quyết định chuyển sang địa điểm dự phòng. "The IT help desk team" chỉ xử lý yêu cầu hỗ trợ kỹ thuật hằng ngày, không có thẩm quyền ra quyết định cho toàn tổ chức. "Any department supervisor" sai vì nếu ai cũng được kích hoạt thì sẽ có kích hoạt chồng chéo hoặc báo động giả; thẩm quyền phải giao cho một vai trò rõ ràng. "Internal audit team" là bộ phận đánh giá độc lập, xem xét kế hoạch có phù hợp và được thực hiện đúng không, nên không được đồng thời vận hành chính kế hoạch đó.

Đáp án đúng gồm ba ý: "Notification", "Recovery" và "Reconstitution". Theo hướng dẫn lập kế hoạch dự phòng của NIST, kế hoạch được tổ chức theo ba giai đoạn: kích hoạt và thông báo (Activation and Notification) đánh giá thiệt hại, báo cho người liên quan và quyết định kích hoạt kế hoạch; khôi phục (Recovery) thực hiện các thủ tục đưa chức năng hoạt động trở lại, có thể ở địa điểm dự phòng; tái lập (Reconstitution) đưa hoạt động về trạng thái bình thường, kiểm tra hệ thống và chính thức đóng kế hoạch. "Authorization" (cấp phép) là một bước trong quy trình cấp phép vận hành hệ thống của khung quản trị rủi ro, không phải một giai đoạn của kế hoạch liên tục. "Detection" (phát hiện) là hoạt động thuộc ứng phó sự cố, xảy ra trước và dẫn tới việc kích hoạt kế hoạch, nhưng không được tính là một giai đoạn riêng; ý phát hiện đã nằm trong giai đoạn kích hoạt và thông báo.

Đáp án đúng: "To review the BCP procedures in a discussion format". Bài tập trên bàn (tabletop exercise) tập hợp các thành viên đội BCP quanh một kịch bản giả định, cùng thảo luận từng bước trong kế hoạch xem ai làm gì, còn thiếu gì, có mâu thuẫn chỗ nào, mà không động tới hệ thống thật; ưu điểm là rẻ, ít gây gián đoạn và phát hiện sớm lỗ hổng của quy trình. "To fully simulate a disaster scenario" mô tả kiểm thử mô phỏng toàn phần hoặc gián đoạn toàn phần, tốn kém và có rủi ro hơn nhiều. "To train personnel on using recovery tools" là hoạt động đào tạo kỹ năng thực hành, có thể đi kèm diễn tập nhưng không phải mục đích của buổi thảo luận. "To physically test alternate locations and equipment" là kiểm thử chức năng hay kiểm thử song song tại site dự phòng, đòi hỏi vận hành thiết bị thật.

Đáp án đúng: "DAT". DAT (damage assessment team, nhóm đánh giá thiệt hại) là nhóm trong kế hoạch khôi phục sau thảm hoạ có nhiệm vụ đánh giá mức thiệt hại và xác định mức nghiêm trọng của sự cố; họ thu thập và báo cáo dữ liệu cho người ra quyết định nhưng không trực tiếp hành động khôi phục. "EMT" là nhóm quản lý khẩn cấp (emergency management team), gồm lãnh đạo ra quyết định và điều phối toàn bộ phản ứng. "TRT" là nhóm khôi phục kỹ thuật (technical recovery team), trực tiếp khôi phục hệ thống tại chỗ hay ở địa điểm dự phòng. "DRT" là nhóm khôi phục sau thảm hoạ (disaster recovery team), thực hiện các hoạt động khôi phục; nhóm này hành động chứ không chỉ thu thập và báo cáo.

Đáp án đúng: "To prepare an organization for unforeseen disruptions and ensure critical functions continue.". BCP là kế hoạch giúp tổ chức chuẩn bị trước cho các gián đoạn bất ngờ như thảm hoạ thiên nhiên, mất điện kéo dài, tấn công mạng, và bảo đảm các chức năng kinh doanh thiết yếu tiếp tục hoạt động hoặc được khôi phục trong thời gian chấp nhận được, dựa trên kết quả BIA. "To ensure all employees know their daily tasks." là việc của mô tả công việc và quản lý nhân sự thường ngày; BCP chỉ quy định vai trò khi có gián đoạn. "To guarantee a company's stock value increases." sai vì không kế hoạch nào bảo đảm giá cổ phiếu tăng; BCP chỉ hạn chế thiệt hại khi có sự cố. "To outline a company's financial plan for the next five years." là kế hoạch tài chính chiến lược, không liên quan tới ứng phó gián đoạn.

Đáp án đúng: "Critical business functions (CBFs) only". Câu hỏi diễn đạt hơi lỏng nhưng ý thực là hỏi phạm vi đúng của kế hoạch liên tục kinh doanh (BCP): phạm vi chỉ gồm các chức năng kinh doanh trọng yếu (CBF) đã được xác định qua phân tích tác động kinh doanh, tức những chức năng mà ngừng quá thời gian tối đa chấp nhận được thì tổ chức bị thiệt hại nghiêm trọng; nếu không có tuyên bố phạm vi, kế hoạch dễ phình ra bao trùm cả công ty và trở nên quá tốn kém, không khả thi. "All elements of the company globally" chính là tình trạng phình phạm vi mà tuyên bố phạm vi cần ngăn. "All IT elements of the company" vẫn quá rộng và chỉ nhìn từ góc CNTT, trong khi BCP lấy chức năng kinh doanh làm trung tâm, kể cả con người và cơ sở vật chất. "Critical success factors" là các yếu tố then chốt quyết định kế hoạch thành công, như sự ủng hộ của lãnh đạo, chứ không phải đối tượng thuộc phạm vi BCP.