IAA202 - Chương 9: Biện pháp kiểm soát giảm thiểu rủi ro

Đáp án đúng: "Technical control". Kiểm soát kỹ thuật (technical control) là biện pháp được hiện thực bằng phần mềm hoặc phần cứng, như tường lửa, mã hoá, hệ thống phát hiện xâm nhập hay cơ chế xác thực; nó tự động thực thi chính sách an toàn ngay bên trong hệ thống. "Procedural control" là kiểm soát thủ tục, tức các quy trình, hướng dẫn công việc mà con người phải tuân theo, không dựa vào phần mềm hay phần cứng. "Physical control" bảo vệ không gian vật lý như khoá cửa, camera, hàng rào, nhân viên bảo vệ, nên nhắm vào việc tiếp cận cơ sở chứ không phải công nghệ bảo vệ hệ thống. "Administrative control" là kiểm soát quản lý gồm chính sách, đào tạo, phân công trách nhiệm do ban lãnh đạo ban hành; nó định hướng hành vi con người chứ không phải một cơ chế phần mềm hay phần cứng.

Đáp án đúng: "Data backups for recovery". Kiểm soát khắc phục (corrective control) hoạt động sau khi sự cố đã xảy ra, nhằm đưa hệ thống về trạng thái bình thường và hạn chế thiệt hại; bản sao lưu dữ liệu dùng để khôi phục là ví dụ điển hình vì nó chỉ phát huy tác dụng khi dữ liệu đã bị mất hay hỏng. "Password policies" là kiểm soát phòng ngừa (preventive control), ngăn truy cập trái phép trước khi nó xảy ra. "Intrusion detection systems" là kiểm soát phát hiện (detective control), cảnh báo khi có xâm nhập nhưng tự nó không khôi phục được gì. "Employee security awareness training" cũng mang tính phòng ngừa, giúp nhân viên tránh sai lầm như mở thư lừa đảo, chứ không sửa chữa hậu quả sau sự cố.

Đáp án đúng: "False". In-place control (biện pháp kiểm soát hiện hữu) theo định nghĩa chính là biện pháp đã được cài đặt và đang chạy trong một hệ thống đang vận hành (operational system), ví dụ tường lửa đã bật, phần mềm diệt virus đã triển khai; nó được đặt đối lập với planned control (biện pháp kiểm soát dự kiến), là biện pháp nằm trong kế hoạch, có ngày triển khai nhưng chưa cài. Phát biểu nói biện pháp hiện hữu không được cài đặt trong hệ thống vận hành là mâu thuẫn trực tiếp với định nghĩa, nên phát biểu sai. Chọn "True" là nhầm in-place control với planned control. Phân biệt hai loại này quan trọng khi đánh giá rủi ro: chỉ biện pháp hiện hữu mới đang làm giảm rủi ro hiện tại, còn biện pháp dự kiến chỉ được tính sau khi triển khai.

Đáp án đúng: "fraud, theft, errors, and conflicts of interest". Separation of duties (phân tách nhiệm vụ) chia một quy trình nhạy cảm cho nhiều người, ví dụ người tạo yêu cầu thanh toán không được tự duyệt, để không ai một mình vừa làm vừa che giấu; nhờ đó nó giảm gian lận (fraud), trộm cắp (theft), sai sót (errors) vì người thứ hai sẽ phát hiện, và xung đột lợi ích (conflicts of interest) vì không ai tự duyệt việc có lợi cho mình. "fraud, theft, failure, and incident" sai ở hai vế cuối: hỏng hóc (failure) của hệ thống được xử lý bằng dự phòng, còn sự cố (incident) là hệ quả chung chứ không phải loại rủi ro riêng mà phân tách nhiệm vụ nhắm tới. "fraud, theft, errors, and incident" đúng ba vế đầu nhưng thay xung đột lợi ích bằng sự cố. "fraud, theft, failure, and conflicts" vừa có failure, vừa cắt cụt thành conflicts chung chung, trong khi điều cần nói là xung đột lợi ích.

Đáp án đúng: "CCTV". Biện pháp kiểm soát được chia thành ba nhóm: thủ tục (procedural, hay hành chính), kỹ thuật (technical) và vật lý (physical); kiểm soát vật lý bảo vệ cơ sở và thiết bị bằng tác động hữu hình như khoá cửa, hàng rào, bảo vệ và camera giám sát. Hệ thống camera quan sát (CCTV) ghi hình khu vực ra vào để răn đe và phát hiện xâm nhập vật lý, nên là kiểm soát vật lý điển hình. "Logon identifiers" là định danh đăng nhập, một kiểm soát kỹ thuật dùng để xác định và xác thực người dùng trên hệ thống. "Encryption" là mã hoá dữ liệu, cũng là kiểm soát kỹ thuật thực hiện bằng phần mềm hoặc phần cứng. "BCP" là kế hoạch liên tục kinh doanh, một tài liệu kế hoạch thuộc nhóm kiểm soát thủ tục chứ không phải vật lý.

Đáp án đúng: "Mandatory vacation". Nghỉ phép bắt buộc (mandatory vacation) là kiểm soát hành chính buộc nhân viên nghỉ liền nhiều ngày; khi người đó vắng mặt, người khác phải đảm nhận công việc, nên các giao dịch gian lận hay biển thủ vốn cần người thực hiện liên tục che giấu sẽ dễ bị lộ. "Job rotation" là luân chuyển công việc, đổi vị trí nhân viên định kỳ; nó cũng giúp phát hiện gian lận nhưng không phải là buộc nghỉ phép. "Separation of duties" là phân tách nhiệm vụ, chia một quy trình nhạy cảm cho nhiều người để không ai tự làm trọn từ đầu đến cuối. "Due diligence" là sự thẩm định cẩn trọng, nỗ lực hợp lý của tổ chức trong việc tìm hiểu và quản lý rủi ro, không phải một chính sách nghỉ phép.

Đáp án đúng: "Who, what, when, and where details of an event". Nhật ký kiểm toán (audit log) có giá trị khi mỗi bản ghi trả lời được ai thực hiện, làm gì, lúc nào và từ đâu (máy, địa chỉ, tài nguyên), nhờ vậy có thể truy vết trách nhiệm, điều tra sự cố và làm chứng cứ. "All system events" sai vì ghi mọi sự kiện hệ thống sẽ tạo khối dữ liệu khổng lồ, làm chìm sự kiện quan trọng và tốn chỗ lưu, tổ chức cần chọn lọc sự kiện cần ghi. "All security-related events" chỉ trả lời câu hỏi ghi những sự kiện nào, còn câu hỏi ở đây là mỗi sự kiện phải ghi những chi tiết gì. "The details of what happened for an event" chỉ có phần làm gì, thiếu ai, lúc nào và ở đâu, nên không đủ để quy trách nhiệm cho một người dùng cụ thể.