IAA202 - Chương 4: Xây dựng kế hoạch quản trị rủi ro

Đáp án đúng: "Accept, defer, or modify the recommendations.". Khi nhận khuyến nghị từ đánh giá rủi ro, ban lãnh đạo là người quyết định cuối cùng và có ba hướng: chấp nhận để triển khai, trì hoãn (defer) sang thời điểm khác, chẳng hạn chờ ngân sách năm sau, hoặc điều chỉnh khuyến nghị cho phù hợp nguồn lực, sau đó các quyết định được ghi vào kế hoạch hành động như POAM. "Accept or reject the recommendations." quá hẹp, chỉ có chấp nhận hoặc bác bỏ, bỏ mất hai hướng hay dùng nhất là trì hoãn và điều chỉnh. "Adjust, defer, or modify the recommendations." thiếu hẳn lựa chọn chấp nhận, trong khi adjust và modify gần như trùng nghĩa. "Allow or deny the recommendations." mượn cách nói của kiểm soát truy cập (cho phép hay từ chối), không phải cách ban lãnh đạo xử lý một khuyến nghị quản trị rủi ro.

Đáp án đúng: "Plan of Action and Milestones (POAM)". POAM (kế hoạch hành động và các mốc) là tài liệu liệt kê từng khuyến nghị hay biện pháp cần thực hiện, người chịu trách nhiệm, nguồn lực, mốc thời gian và trạng thái hoàn thành, nên được dùng để theo dõi tiến độ triển khai kế hoạch quản trị rủi ro. "Project charter" là điều lệ dự án, văn bản cho phép dự án bắt đầu và nêu mục tiêu, nhà tài trợ, chứ không theo dõi tiến độ. "Scope statement" là tuyên bố phạm vi, xác định ranh giới công việc và sản phẩm bàn giao của dự án. "Affinity diagram" là sơ đồ tương đồng, dùng để gom nhóm ý tưởng hay vấn đề có liên quan, ví dụ khi phân loại rủi ro, không phải công cụ theo dõi tiến độ thực hiện.

Đáp án đúng: "Boundaries". Scope (phạm vi) của một kế hoạch quản trị rủi ro xác định ranh giới: những hệ thống, ứng dụng, địa điểm, bộ phận nào nằm trong kế hoạch và cái gì nằm ngoài, để tránh phình phạm vi (scope creep) và để mọi bên hiểu kế hoạch chịu trách nhiệm tới đâu. "Objectives" là mục tiêu, một thành phần riêng của kế hoạch nêu kế hoạch muốn đạt điều gì; phạm vi trả lời câu hỏi tới đâu chứ không phải để làm gì. "POAM" (Plan of Action and Milestones, kế hoạch hành động và các mốc) là tài liệu theo dõi việc triển khai khuyến nghị, được lập sau khi có kết quả, không do phạm vi định nghĩa. "Recommendations" là các khuyến nghị biện pháp xử lý rủi ro, là đầu ra của đánh giá; chúng phải nằm trong phạm vi chứ không phải thứ mà phạm vi xác định.

Đáp án đúng gồm ba ý: "A list of threats", "A list of vulnerabilities" và "Costs associated with risks". Mục tiêu (objectives) của kế hoạch quản trị rủi ro (risk management plan) nêu những gì kế hoạch phải tạo ra: danh sách mối đe doạ và danh sách điểm yếu để biết rủi ro đến từ đâu, cùng chi phí gắn với rủi ro để ước lượng thiệt hại và so với chi phí biện pháp. Các mục tiêu thường còn gồm khuyến nghị giảm thiểu rủi ro, chi phí của từng khuyến nghị và phân tích chi phí - lợi ích. "Analysis document" là phương án gây phân vân, vì danh sách mục tiêu cũng có báo cáo kết quả và phân tích chi phí - lợi ích; nó bị loại vì quá chung chung, không nói phân tích cái gì, trong khi ba phương án được chọn là những nội dung cụ thể mà mọi phân tích hay báo cáo về sau đều phải dựa vào.

Đáp án đúng gồm hai ý: "Ensuring costs are controlled" và "Ensuring the project stays on schedule". Project manager (quản lý dự án) của kế hoạch quản trị rủi ro chịu trách nhiệm về chính dự án: giữ chi phí trong ngân sách và giữ tiến độ theo lịch, đồng thời điều phối thành viên và báo cáo với nhà tài trợ (sponsor). "Ensuring stakeholders have adequate funds" sai vì cấp và bảo đảm ngân sách là việc của nhà tài trợ hay lãnh đạo, quản lý dự án chỉ quản lý số tiền đã được cấp chứ không lo các bên liên quan có đủ tiền. "Ensuring recommendations are adopted" sai vì quản lý dự án chỉ lo khuyến nghị được đưa ra đầy đủ trong báo cáo; quyết định chấp nhận và triển khai khuyến nghị thuộc về lãnh đạo hoặc chủ sở hữu hệ thống, sau đó được theo dõi qua POAM (kế hoạch hành động và các mốc).

Đáp án đúng: "Uncontrolled growth of a project's goals or deliverables". Phình phạm vi (scope creep) là hiện tượng mục tiêu hoặc sản phẩm bàn giao của một dự án cứ được thêm dần mà không qua kiểm soát thay đổi, kéo theo vượt ngân sách và trễ hạn; trong kế hoạch quản trị rủi ro, tuyên bố phạm vi (scope statement) rõ ràng được viết ra chính là để ngăn hiện tượng này. "The slow spread of malware" mô tả mã độc lây lan chậm, không liên quan tới quản lý dự án. "An increase in risk" là một hệ quả có thể xảy ra khi phạm vi phình ra, nhưng không phải định nghĩa của khái niệm. "A delay in software deployment" cũng chỉ là một hậu quả thường gặp; dự án có thể trễ vì nhiều lý do khác, còn scope creep là chính việc phạm vi tăng không kiểm soát.

Đáp án đúng: "A project's schedule". Biểu đồ Gantt là công cụ quản lý dự án thể hiện các công việc dưới dạng thanh ngang trên trục thời gian, cho thấy ngày bắt đầu, ngày kết thúc, thời lượng, sự phụ thuộc giữa các việc và các mốc (milestone); trong kế hoạch quản trị rủi ro, nó được dùng để theo dõi tiến độ triển khai biện pháp đối phó. "Project costs" là thông tin ngân sách, được theo dõi bằng báo cáo chi phí, không phải nội dung chính của biểu đồ Gantt. "Risk likelihood" là xác suất xảy ra rủi ro, thể hiện trên ma trận khả năng xảy ra – tác động. "Employee assignments" có thể được ghi kèm tên người phụ trách trên một số biểu đồ Gantt, nhưng đó là thông tin phụ, còn mục đích chính vẫn là lịch trình của dự án.

Đáp án đúng: "Clear identification of areas, processes, or projects covered". Phạm vi (scope) của kế hoạch quản trị rủi ro (RMP) xác định ranh giới và giới hạn của kế hoạch, nên điều phải nêu rõ là những khu vực, quy trình hay dự án nằm trong kế hoạch, kéo theo những gì nằm ngoài; nhờ đó tránh phạm vi phình ra (scope creep) và giúp ước lượng nguồn lực. "A breakdown of specific vulnerabilities" là kết quả của bước đánh giá điểm yếu diễn ra bên trong phạm vi, không phải ranh giới. "A list of recommended actions" là đầu ra của kế hoạch sau khi phân tích xong. "The financial impact of risks" là nội dung của phân tích tác động, cũng nằm trong phạm vi chứ không xác định phạm vi.

Đáp án đúng: "Critical path chart". Biểu đồ đường găng (critical path chart) chỉ ra chuỗi công việc dài nhất trong dự án; các công việc trên đường găng không có thời gian dự trữ, nên trễ một công việc là trễ cả dự án, đúng thứ câu hỏi muốn theo dõi. "Affinity diagram" là sơ đồ tương đồng, dùng gom nhóm ý tưởng hay vấn đề có liên quan. "Cause and effect diagram" là sơ đồ nhân quả, còn gọi là sơ đồ xương cá Ishikawa, dùng tìm nguyên nhân gốc của một vấn đề. "Gantt chart" là biểu đồ thanh ngang thể hiện thời điểm bắt đầu, kết thúc của từng công việc; nó cho thấy lịch trình nhưng tự nó không đánh dấu công việc nào là then chốt.

Đáp án đúng: "Creating and maintaining a secure environment that minimizes the likelihood and impact of security incidents.". Rủi ro được đo bằng khả năng xảy ra và tác động, nên mục tiêu tối hậu của kế hoạch quản trị rủi ro là duy trì một môi trường an toàn trong đó cả hai yếu tố này được giữ ở mức thấp nhất hợp lý, cân đối với chi phí và nhu cầu kinh doanh. Lựa chọn "Achieving maximum regulatory compliance" sai vì tuân thủ chỉ là một phần, tổ chức có thể tuân thủ đủ mà vẫn không an toàn. Lựa chọn "most advanced and expensive security controls" đi ngược phân tích chi phí – lợi ích, biện pháp đắt nhất không có nghĩa là phù hợp, nhất là khi không quan tâm tới hiệu quả. Lựa chọn "Completing all scheduled risk assessment" và mitigation đúng hạn mà bỏ qua an ninh thực tế chỉ là hoàn thành thủ tục trên giấy, không phải mục tiêu cuối cùng.