IAA202 - Chương 6: Thực hiện đánh giá rủi ro

Đáp án đúng: "To identify overlapping countermeasures". Sau khi lập danh sách cặp mối đe doạ/điểm yếu (threat/vulnerability pair), người phân tích ghép từng biện pháp đối phó (countermeasure) vào từng cặp; bảng ghép cho thấy một biện pháp phủ được nhiều cặp, hoặc nhiều biện pháp cùng chồng lên một cặp, từ đó phát hiện chồng chéo để gộp hay bỏ bớt. Cần nói thẳng: "To prioritize countermeasures" là phương án gây phân vân nhất, vì kết quả ghép có thể được dùng về sau khi xếp thứ tự; nhưng việc ưu tiên biện pháp thường dựa vào ma trận khả năng - tác động hay phân tích chi phí - lợi ích, nên đó không phải mục đích trực tiếp của phép ghép. "To reduce implementation costs" có thể là hệ quả khi bỏ bớt biện pháp trùng, chứ không phải mục đích của bước ghép. "To ensure compliance with regulatory requirements" thuộc việc đối chiếu với luật và chuẩn, không phải với từng cặp mối đe doạ/điểm yếu.

Đáp án đúng gồm hai ý: "Resource allocation" và "Risk acceptance". Qualitative risk assessment (đánh giá rủi ro định tính) xếp rủi ro theo mức như thấp, trung bình, cao dựa trên khả năng xảy ra và tác động, không quy ra tiền; báo cáo cuối vì vậy phải giúp lãnh đạo quyết định phân bổ nguồn lực (ngân sách, nhân sự) cho rủi ro ưu tiên cao trước, và chỉ rõ rủi ro nào ở mức có thể chấp nhận (risk acceptance) để không tốn tiền xử lý. "SLE and ARO" là đại lượng của đánh giá định lượng: SLE (Single Loss Expectancy, tổn thất cho một lần xảy ra) và ARO (Annualized Rate of Occurrence, số lần xảy ra mỗi năm) đều tính bằng số cụ thể, không thuộc kết quả định tính. "SLE and ALE" cũng vậy, ALE (Annualized Loss Expectancy, tổn thất dự kiến hằng năm) bằng SLE nhân ARO, là thước đo tiền tệ đặc trưng của phương pháp định lượng.

Đáp án đúng: "It outlines how responsibilities are assigned within the organization". Cơ cấu quản lý (management structure) trong đánh giá rủi ro mô tả ai chịu trách nhiệm việc gì: ai sở hữu tài sản, ai phê duyệt biện pháp, ai triển khai và ai báo cáo. Nó quan trọng vì người đánh giá cần biết phải hỏi ai, ai có quyền chấp nhận rủi ro, và khuyến nghị sẽ được giao cho ai thực hiện. "It identifies threats in the organizational structure" nhầm sang bước nhận diện mối đe doạ. "It assesses the impact severity of risks" là việc của bước phân tích tác động. "It evaluates the effectiveness of countermeasures" thuộc bước đánh giá kiểm soát hiện có và theo dõi sau triển khai, không phải nội dung của cơ cấu quản lý.

Đáp án đúng: "CBA". Phân tích chi phí - lợi ích (cost-benefit analysis) trong một bản đánh giá rủi ro (RA) so sánh chi phí của kiểm soát với lợi ích nó mang lại, thường là phần thiệt hại hằng năm giảm được; nếu lợi ích lớn hơn chi phí thì có lý do để chi tiền cho kiểm soát. "Probability and impact" là hai đại lượng dùng để xác định mức rủi ro, chưa nói gì về chi phí của kiểm soát. "ALE" (annualized loss expectancy, thiệt hại dự kiến hằng năm) bằng SLE × ARO; nó là đầu vào cho phép so sánh nhưng một mình nó không biện minh được chi phí, vì phải so mức thiệt hại trước và sau kiểm soát với giá của kiểm soát. "POAM" là kế hoạch hành động và các mốc, dùng theo dõi tiến độ thực hiện khuyến nghị chứ không biện minh chi phí.

Đáp án đúng: "True". Một rủi ro thường được giảm bằng nhiều lớp biện pháp đối phó (countermeasure) cùng lúc theo nguyên tắc phòng thủ nhiều lớp (defense in depth); ví dụ rủi ro nhiễm mã độc có thể được giảm bằng phần mềm diệt virus, lọc thư rác, vá hệ thống định kỳ và đào tạo người dùng, mỗi biện pháp chặn một con đường khác nhau nên khi một lớp thất bại thì lớp khác vẫn còn tác dụng. Ngược lại, một biện pháp như tường lửa cũng có thể giảm nhiều rủi ro khác nhau. Khi chọn tổ hợp biện pháp, tổ chức dùng phân tích chi phí – lợi ích để bảo đảm tổng chi phí không vượt quá mức giảm thiệt hại. "False" sai vì nó ngụ ý mỗi rủi ro chỉ gắn với đúng một biện pháp, trái với cách các tổ chức thực sự xây dựng nhiều lớp kiểm soát cho cùng một rủi ro quan trọng.

Đáp án đúng: "It helps decision-makers better understand impact and priorities". Người quyết định ngân sách và hướng xử lý rủi ro thường là lãnh đạo kinh doanh, không phải chuyên gia kỹ thuật; nói lỗ hổng trên máy chủ web ít ý nghĩa với họ, còn nói có thể mất hai ngày doanh thu bán hàng trực tuyến và bị phạt vì lộ dữ liệu khách hàng thì họ hiểu ngay mức tác động và biết ưu tiên đầu tư vào đâu. "It avoids legal accountability" sai, cách diễn đạt không làm giảm trách nhiệm pháp lý; truyền đạt rõ ràng còn giúp chứng minh tổ chức đã làm đủ trách nhiệm. "It increases user compliance with technical protocols" nhắm sai đối tượng, đó là việc của đào tạo nâng cao nhận thức cho người dùng chứ không phải báo cáo rủi ro cho lãnh đạo. "It improves security performance" quá gián tiếp: ngôn ngữ báo cáo tự nó không làm hệ thống an toàn hơn, nó chỉ giúp quyết định đúng, rồi các biện pháp được chọn mới cải thiện an ninh.

Đáp án đúng: "Prioritizing risk mitigation activities based on potential impact and exploit likelihood.". Phương pháp đánh giá rủi ro (risk assessment methodology), dù định tính, định lượng hay kết hợp, cho tổ chức một cách nhất quán để chấm từng rủi ro theo tác động tiềm tàng và khả năng bị khai thác, từ đó xếp hạng và dồn nguồn lực vào việc giảm thiểu rủi ro cao nhất trước; đây là lợi ích then chốt vì nguồn lực luôn có hạn. Phương án "Facilitating data collection and analysis of security threats and vulnerabilities." mô tả một bước làm trong quá trình đánh giá, là phương tiện chứ chưa phải lợi ích quản lý mà phương pháp mang lại. Phương án "Automating security controls and incident response procedures." là việc của công cụ vận hành và tự động hoá ứng phó, không phải của phương pháp đánh giá. Phương án "Reducing the need for human intervention in security operations." sai hướng, đánh giá rủi ro cần phán đoán của con người để chấm điểm và quyết định, nó không thay con người trong vận hành an ninh.

Đáp án đúng: "The current configuration of the system". Khi xác định hệ thống cho đánh giá rủi ro, người đánh giá phải ghi lại cấu hình hiện tại như phần cứng, phần mềm, phiên bản, dịch vụ đang chạy, kết nối mạng, vì điểm yếu và rủi ro gắn với đúng trạng thái đang vận hành; mô tả sai cấu hình thì toàn bộ phân tích phía sau sẽ lệch. "Only the title of the system" quá sơ sài, không đủ để biết hệ thống có gì cần bảo vệ. "A list of possible attacks" thuộc bước nhận diện mối đe doạ, diễn ra sau khi đã mô tả hệ thống. "A list of previous risk assessments" là tài liệu tham khảo hữu ích nhưng có thể đã lỗi thời và không mô tả hệ thống ở hiện tại.

Đáp án đúng: "CBA". Phân tích chi phí - lợi ích (cost-benefit analysis) là phần của bản đánh giá rủi ro (RA) dùng để biện minh chi phí của một kiểm soát: lấy thiệt hại dự kiến hằng năm trước khi có kiểm soát trừ đi thiệt hại sau khi có kiểm soát, rồi so với chi phí kiểm soát; lợi ích lớn hơn chi phí thì khoản chi là hợp lý. "Probability and impact" giúp xếp mức rủi ro nhưng không chứa thông tin về chi phí kiểm soát. "ALE" (annualized loss expectancy) bằng SLE × ARO, chỉ là số liệu đầu vào của phép so sánh, tự nó chưa chứng minh kiểm soát đáng tiền. "POAM" là kế hoạch hành động và các mốc, theo dõi việc thực hiện khuyến nghị sau khi đã quyết định.