IAA202 - Chương 7: Xác định tài sản và hoạt động cần bảo vệ

Đáp án đúng: "A database created by combining multiple databases into a central database". Kho dữ liệu (data warehouse) gom dữ liệu từ nhiều cơ sở dữ liệu nguồn, chẳng hạn bán hàng, kho vận, nhân sự, vào một cơ sở dữ liệu trung tâm để phân tích và khai phá dữ liệu (data mining); vì tập trung nhiều thứ nhạy cảm vào một chỗ, nó là tài sản dữ liệu giá trị cao cần được bảo vệ chặt. "A database used in a warehouse" hiểu chữ warehouse theo nghĩa đen là nhà kho, không phải khái niệm CNTT. "A database used to identify the location of products in a warehouse" mô tả một hệ thống quản lý kho hàng, chỉ là một nguồn dữ liệu đơn lẻ. "One of several databases used to create a central database for data mining" mô tả cơ sở dữ liệu nguồn đổ vào kho, chứ không phải chính kho dữ liệu trung tâm.

Đáp án đúng: "True". Câu dựa trên ý dữ liệu là một tài sản: khi nguồn dữ liệu đủ lớn, ví dụ lịch sử bán hàng nhiều năm, tổ chức có thể khai phá xu hướng để xây chiến lược bán hàng theo mùa, nên dữ liệu có giá trị kinh doanh và vì thế cũng là tài sản cần bảo vệ trong quản trị rủi ro. Cần nói thẳng chỗ tranh cãi: chữ readily (dễ dàng, sẵn sàng) khiến câu có thể bị hiểu là "False", vì dữ liệu lớn vẫn phải được làm sạch, tích hợp và phân tích mới dùng được, kích thước tự nó không sinh ra lợi thế. Tuy vậy, ý chính của câu là dữ liệu đủ lớn mở ra khả năng khai thác giá trị, nên đáp án được chốt theo ý chính đó; cách hiểu ngược lại chỉ đứng được nếu đọc chữ readily theo nghĩa hoàn toàn không cần xử lý gì.

Đáp án đúng: "To protect valuable resources". Nhận diện tài sản (asset identification) là bước đầu của quản trị rủi ro: phải biết tổ chức có những gì (phần cứng, phần mềm, dữ liệu, con người, quy trình) và mỗi thứ có giá trị bao nhiêu thì mới xác định được mối đe doạ, điểm yếu và mức bảo vệ tương xứng; không biết tài sản thì không thể bảo vệ nó. "To increase sales" là mục tiêu kinh doanh, việc lập danh mục tài sản không trực tiếp làm tăng doanh số. "To improve employee productivity" có thể là lợi ích phụ khi quản lý tài sản tốt hơn, nhưng không phải mục đích của bước này trong quản trị rủi ro. "To enhance customer satisfaction" cũng là kết quả gián tiếp ở tầng kinh doanh; mục đích chính vẫn là bảo vệ những nguồn lực có giá trị khỏi tổn thất.

Đáp án đúng gồm hai ý: "Redundancy / fail-over" và "Using external service". Yêu cầu có hai vế: dữ liệu được bảo vệ và vẫn truy cập được với zero downtime (không có thời gian ngừng). Redundancy (dự phòng) cùng fail-over (chuyển đổi dự phòng) giữ hệ thống chạy khi một thành phần hỏng vì bản sao kia tiếp quản ngay; dùng dịch vụ bên ngoài, như nhà cung cấp lưu trữ hay hosting có sẵn hạ tầng dự phòng và nhiều trung tâm dữ liệu, cũng giữ dữ liệu sẵn sàng liên tục, nhưng chỉ khi chính nhà cung cấp có dự phòng như vậy; đề không công bố khoá và vế thứ hai này là chỗ còn tranh cãi, được chọn vì nó là phương án duy nhất còn lại không đòi khôi phục. "On-site backup" bảo vệ được dữ liệu nhưng muốn dùng lại phải khôi phục, tức là có thời gian ngừng, và còn chung số phận nếu cơ sở bị thảm hoạ. "Off-site backup" là biện pháp bảo vệ dữ liệu rất tốt, chống được cả thảm hoạ tại chỗ, nhưng cũng phải khôi phục mới truy cập lại được nên không đáp ứng vế zero downtime; đó là lý do nó bị loại, dù xét riêng về bảo vệ dữ liệu nó còn vượt bản sao lưu tại chỗ.

Đáp án đúng: "SLA". SLA (Service Level Agreement, thoả thuận mức dịch vụ) là hợp đồng giữa tổ chức và nhà cung cấp quy định mức hiệu năng kỳ vọng như thời gian hoạt động (uptime) tối thiểu, thời gian phản hồi sự cố, và chế tài khi nhà cung cấp không đạt; đây chính là công cụ để chuyển một phần rủi ro gián đoạn sang bên cung cấp dịch vụ. "MAO" (Maximum Acceptable Outage, thời gian ngừng tối đa chấp nhận được) là chỉ số nội bộ rút ra từ BIA; nó có thể làm căn cứ để đặt điều khoản trong SLA nhưng bản thân không phải thoả thuận với nhà cung cấp. "BIA" (Business Impact Analysis, phân tích tác động kinh doanh) là phân tích nội bộ về hậu quả khi chức năng bị gián đoạn. "IDS" (Intrusion Detection System, hệ thống phát hiện xâm nhập) là biện pháp kỹ thuật giám sát mạng, không liên quan tới hợp đồng dịch vụ.

Đáp án đúng: "Software assets". Khi kiểm kê tài sản để đánh giá rủi ro, tài sản CNTT được chia thành phần cứng, phần mềm, dữ liệu và nhân sự; hệ điều hành và các ứng dụng là chương trình chạy trên máy, nên thuộc tài sản phần mềm, được định giá theo chi phí giấy phép, phát triển hay cài đặt lại và cần quản lý phiên bản, bản vá. "Hardware assets" là thiết bị vật lý như máy chủ, máy trạm, thiết bị mạng, nơi phần mềm được cài đặt chứ không phải chính phần mềm. "Personnel assets" là con người cùng kỹ năng và kiến thức của họ, ví dụ quản trị viên hệ thống. "Data assets" là thông tin mà phần mềm xử lý và lưu trữ, như hồ sơ khách hàng hay dữ liệu giao dịch, tách biệt với chương trình xử lý nó.

Đáp án đúng: "They require less labor to use and ensure process availability". Tự động hoá quy trình mang lợi cho cả hai phía: với công ty, quy trình tự động cần ít công lao động để vận hành nên giảm chi phí và sai sót thủ công; với khách hàng, quy trình luôn sẵn sàng, chạy được ngoài giờ làm việc và cho kết quả nhất quán. Chính vì giá trị đó, trong quản trị rủi ro các quy trình tự động được coi là tài sản cần bảo vệ, vì nó ngừng thì cả hai phía cùng chịu thiệt. "They reduce the need for personnel assets" chỉ là lợi ích một phía cho công ty, trong khi câu hỏi yêu cầu giá trị cho cả khách hàng. "They increase the risk of failure" là một mặt tiêu cực có thể có, không phải giá trị. "They decrease the value to customers" mâu thuẫn trực tiếp với câu hỏi, vì quy trình tự động thường làm tăng chứ không giảm giá trị cho khách hàng.

Đáp án đúng: "Any single part of a system that can cause the entire system to fail, if it fails". Single point of failure (điểm lỗi đơn) là một thành phần mà nếu nó hỏng thì toàn bộ hệ thống ngừng, vì không có thành phần dự phòng nào thay thế, ví dụ một máy chủ cơ sở dữ liệu duy nhất, một đường truyền Internet duy nhất hay một bộ nguồn duy nhất. Nhận diện điểm lỗi đơn giúp tổ chức biết chỗ cần thêm dự phòng (redundancy) hoặc cơ chế chịu lỗi. "Any single part of a system that can fail" quá rộng, mọi thành phần đều có thể hỏng, nhưng chỉ thành phần mà hỏng kéo cả hệ thống sập mới là điểm lỗi đơn. "Any single part of system that has been protected with redundancy" ngược nghĩa, thành phần đã có dự phòng thì không còn là điểm lỗi đơn. "Any single part of a system" chỉ là một thành phần bất kỳ, không nói gì tới hậu quả khi nó hỏng.