IAA202 - Chương 5: Các cách tiếp cận đánh giá rủi ro

Đáp án đúng: "To quantify risks based on impact severity". Risk Assessment (RA, đánh giá rủi ro) là bước đo độ lớn của từng rủi ro theo mức tác động và khả năng xảy ra, để chương trình quản trị rủi ro có căn cứ ưu tiên và chọn cách xử lý; câu hỏi viết khá mơ hồ nên cần hiểu "mục đích chính" là đầu ra mà các bước sau dùng tới. "To identify potential threats" chỉ là một bước bên trong đánh giá, chưa cho biết rủi ro lớn hay nhỏ. "To evaluate control gaps" là việc của rà soát kiểm soát (control review, gap analysis), có thể dùng kết quả đánh giá nhưng không phải mục đích của nó. "To realize savings through safeguards" là kết quả của phân tích chi phí - lợi ích (cost-benefit analysis) khi đã chọn biện pháp bảo vệ, đứng sau đánh giá rủi ro. Vì vậy lượng hoá rủi ro theo mức nghiêm trọng của tác động mới là đóng góp trực tiếp của RA cho toàn chương trình.

Đáp án đúng: "Subjective judgment and expert opinion". Đánh giá rủi ro định tính (qualitative risk assessment) không gán con số tiền tệ mà xếp xác suất và tác động theo thang như thấp, trung bình, cao dựa trên nhận định chủ quan và ý kiến chuyên gia, chẳng hạn qua phỏng vấn, khảo sát hay kỹ thuật Delphi; ưu điểm là nhanh và dễ làm, nhược điểm là khó so sánh khách quan. "Math formulas" là đặc trưng của đánh giá định lượng, nơi dùng công thức SLE = giá trị tài sản × hệ số thiệt hại và ALE = SLE × ARO. "Laws and regulations" là yêu cầu tuân thủ, có thể là một đầu vào của đánh giá nhưng không phải thứ phương pháp định tính dựa vào để xếp hạng rủi ro. "Historical earnings" là số liệu tài chính quá khứ, nếu dùng thì thiên về tính toán định lượng.

Đáp án đúng: "Utilizing a risk matrix to assess probability and impact.". Đánh giá rủi ro định tính (qualitative risk assessment) không quy ra tiền mà xếp khả năng xảy ra và tác động theo thang mức như thấp, trung bình, cao; ma trận rủi ro (risk matrix) đặt hai trục này cạnh nhau để mỗi rủi ro rơi vào một ô, từ đó biết rủi ro nào cần xử lý trước. "Ranking based on financial impact only." mang tính định lượng và chỉ nhìn một chiều tác động, bỏ qua khả năng xảy ra. "Comparing past incident reports." là nguồn thông tin hữu ích để ước lượng khả năng, nhưng tự nó không phải phương pháp xếp ưu tiên. "Surveying all employees for their opinions." có thể giúp thu thập ý kiến, nhưng hỏi toàn bộ nhân viên không có tiêu chí chung để so sánh rủi ro; kỹ thuật lấy ý kiến như Delphi chỉ hỏi nhóm chuyên gia và vẫn cần thang đo khả năng - tác động.

Đáp án đúng: "Exposure Factor (EF)". Hệ số thiệt hại (exposure factor, EF) là phần trăm giá trị tài sản bị mất khi một mối đe doạ xảy ra một lần; ví dụ máy chủ trị giá 10.000 USD bị hỏng 40% thì EF là 40%. "Single Loss Expectancy (SLE)" là thiệt hại tính bằng tiền cho một lần xảy ra, SLE = giá trị tài sản × EF, trong ví dụ là 10.000 × 40% = 4.000 USD, nên là số tiền chứ không phải phần trăm. "Multiple Loss Expectancy" không phải đại lượng chuẩn trong phân tích định lượng; thiệt hại lặp lại được tính bằng ALE = SLE × ARO. "Rate of Occurrence (ARO)" là số lần mối đe doạ dự kiến xảy ra mỗi năm, ví dụ 0,5 lần/năm cho ALE = 4.000 × 0,5 = 2.000 USD; nó là tần suất chứ không phải tỉ lệ thiệt hại.

Đáp án đúng: "Provides a cost-benefit analysis". Đánh giá rủi ro định lượng gán giá trị tiền cho rủi ro qua SLE = giá trị tài sản × hệ số thiệt hại và ALE = SLE × ARO, nên có thể so trực tiếp mức tổn thất hằng năm với chi phí biện pháp đối phó; chẳng hạn ALE giảm từ 50.000 xuống 10.000 mà biện pháp tốn 15.000 mỗi năm thì đáng đầu tư, đây là ưu điểm lớn nhất của cách tiếp cận này. "Based on expert opinions" là đặc trưng của đánh giá định tính, nơi rủi ro được xếp hạng theo nhận định chuyên gia. "Faster to complete than qualitative assessments" ngược sự thật; định lượng tốn nhiều thời gian hơn vì phải thu thập số liệu giá trị tài sản và tần suất xảy ra. "Uses a subjective approach" cũng mô tả định tính; định lượng hướng tới con số khách quan.

Đáp án đúng: "They help identify which safeguards to implement.". Đánh giá rủi ro (risk assessment) xác định tài sản, mối đe doạ, điểm yếu và mức rủi ro, từ đó khuyến nghị biện pháp bảo vệ (safeguard) nào nên triển khai và rủi ro nào nên ưu tiên. "They guarantee the elimination of all risks." sai vì không thể loại bỏ hoàn toàn rủi ro; luôn còn rủi ro tồn dư (residual risk) mà tổ chức chấp nhận. "They are a one-time requirement." sai vì hệ thống, mối đe doạ và điểm yếu thay đổi liên tục nên đánh giá phải lặp lại định kỳ hoặc khi có thay đổi lớn. "They focus solely on external threats." sai vì đánh giá rủi ro xét cả mối đe doạ nội bộ như nhân viên bất cẩn hay có ý đồ xấu, cũng như thiên tai và lỗi hệ thống.

Đáp án đúng: "To identify and prioritize risks". Risk assessment (đánh giá rủi ro) nhận diện tài sản, mối đe doạ, điểm yếu rồi phân tích khả năng xảy ra và tác động để xếp hạng rủi ro; kết quả là danh sách rủi ro đã được ưu tiên, làm căn cứ cho quyết định xử lý và phân bổ nguồn lực. "To create a budget plan" là việc dùng kết quả đánh giá, ngân sách được lập sau khi biết rủi ro nào cần xử lý. "To ensure data privacy" là một mục tiêu bảo mật cụ thể mà các biện pháp kiểm soát hướng tới; đánh giá rủi ro xét mọi loại rủi ro chứ không chỉ quyền riêng tư, và bản thân nó không bảo đảm điều gì. "To train security personnel" là hoạt động nâng cao năng lực, có thể được khuyến nghị sau đánh giá nhưng không phải mục đích của nó.

Đáp án đúng: "Developing marketing strategies". Quy trình đánh giá rủi ro gồm các bước như xác định ranh giới và tài sản, nhận diện mối đe doạ và điểm yếu, đánh giá rủi ro, đề xuất biện pháp đối phó và trình bày khuyến nghị cho ban lãnh đạo; xây dựng chiến lược tiếp thị là hoạt động kinh doanh không liên quan tới đánh giá rủi ro, nên là phát biểu không thuộc nhóm. "Identifying assets and activities" là bước đầu tiên và cần thiết vì phải biết bảo vệ cái gì mới đánh giá được rủi ro, nên không được chọn. "Evaluating risks" là trọng tâm của quy trình, kết hợp khả năng xảy ra và tác động để xếp hạng rủi ro, cũng là một bước chính. "Presenting recommendations to management" là bước cuối, đưa kết quả cho ban lãnh đạo quyết định chấp nhận, trì hoãn hay điều chỉnh, nên cũng thuộc quy trình.