Câu hỏi: IAP301 - Phần 1: Quản lý chính sách bảo đảm thông tin

Đáp án đúng gồm ba ý: "Avoiding financial penalties", "Maintaining public trust" và "Preventing criminal liability". Compliance (tuân thủ) với luật và quy định như SOX, HIPAA, GLBA là bắt buộc vì vi phạm dẫn tới hậu quả trực tiếp: bị phạt tiền, mất niềm tin của khách hàng và công chúng khi sự cố lộ dữ liệu bị công bố, và người có trách nhiệm có thể bị truy cứu hình sự, ví dụ SOX buộc giám đốc điều hành và giám đốc tài chính ký xác nhận báo cáo tài chính và chịu trách nhiệm nếu xác nhận sai. Phương án "Gaining competitive edge through vendor lock-in" sai vì vendor lock-in (bị khóa chặt vào một nhà cung cấp) là rủi ro cần tránh và chẳng liên quan gì tới nghĩa vụ pháp lý. Phương án "Reducing operational costs" sai vì tuân thủ thường làm tăng chi phí vận hành do phải kiểm soát, kiểm toán và lập báo cáo; tiết kiệm chi phí có thể là hệ quả phụ của việc chuẩn hóa quy trình nhưng không phải lý do chính khiến tổ chức buộc phải tuân thủ.

Đáp án đúng: "Background checks & Access rights reviews". Manual control (kiểm soát thủ công) là kiểm soát do con người thực hiện, cần đánh giá và quyết định của người, không do hệ thống tự động chạy. Kiểm tra lý lịch trước khi tuyển và rà soát định kỳ quyền truy cập (quản lý xem xét danh sách ai đang có quyền gì rồi ký xác nhận) đều là việc thủ công, nên đáp án gộp cả hai. Chọn riêng "Background checks" hoặc riêng "Access rights reviews" đều đúng một phần nhưng bỏ sót ví dụ còn lại, nên không đầy đủ bằng phương án gộp. "Authentication" (xác thực) là kiểm soát tự động: hệ thống tự kiểm tra mật khẩu, thẻ hay sinh trắc mỗi lần đăng nhập mà không cần người can thiệp. Vì xác thực là kiểm soát tự động nên "All of the above" sai, vì nó kéo cả xác thực vào nhóm kiểm soát thủ công.

Đáp án đúng: "Decryption". Kiểm soát truy cập (access control) được mô tả qua chuỗi định danh, xác thực, cấp quyền và truy trách nhiệm, thường gọi gọn là AAA. Decryption (giải mã) là thao tác mật mã khôi phục bản rõ từ bản mã, một công cụ bảo vệ tính bí mật chứ không phải thành phần của quy trình quyết định ai được vào và được làm gì, nên đây là đáp án của câu phủ định. "Authentication" (xác thực) là bước xác minh chủ thể đúng là người họ khai, nên thuộc kiểm soát truy cập. "Authorization" (cấp quyền) quyết định chủ thể đã xác thực được phép làm gì với tài nguyên nào, cũng là thành phần cốt lõi. "Logging" (ghi nhật ký) ghi lại hành động của từng tài khoản để phục vụ accountability (truy trách nhiệm), chữ A thứ ba trong AAA, nên cũng thuộc kiểm soát truy cập và không được chọn.

Đáp án đúng gồm hai ý: "Biometric scanners" và "RFID card readers". Physical access control (kiểm soát truy cập vật lý) điều khiển việc ra vào không gian thực như tòa nhà, phòng máy chủ, tủ thiết bị. Máy quét sinh trắc học (vân tay, mống mắt, khuôn mặt) gắn ở cửa và đầu đọc thẻ RFID mở khóa khi nhân viên quẹt thẻ đều là cơ chế quyết định ai được bước vào khu vực nào, nên thuộc nhóm vật lý. "Role-Based Access Control (RBAC)" là mô hình kiểm soát truy cập logic: quyền trên hệ thống thông tin được gán theo vai trò công việc, áp dụng cho tệp, ứng dụng, cơ sở dữ liệu chứ không phải cánh cửa. "Passwords" là yếu tố xác thực logic (thứ người dùng biết) để đăng nhập hệ thống; dù đôi khi khóa cửa dùng mã số, mật khẩu theo nghĩa thông thường thuộc kiểm soát truy cập logic, không phải cơ chế kiểm soát truy cập vật lý.

Đáp án đúng: "Protecting information from unauthorized access, use, disclosure, disruption, modification, or destruction". Đây là định nghĩa kinh điển của information systems security (an toàn hệ thống thông tin), bao trùm cả ba mục tiêu của bộ ba CIA: confidentiality (tính bí mật) chống truy cập và tiết lộ trái phép, integrity (tính toàn vẹn) chống sửa đổi và phá hủy, availability (tính sẵn sàng) chống gián đoạn. Định nghĩa này nói về mục tiêu bảo vệ thông tin, không gắn với một công nghệ cụ thể nào. Phương án "Managing physical security within an organization" chỉ là một mảng nhỏ là an ninh vật lý, không bao quát toàn bộ an toàn thông tin. Phương án "Applying software patches to prevent cyberattacks" là một biện pháp kỹ thuật cụ thể, không phải định nghĩa. Phương án "Implementing encryption on all devices" cũng chỉ là một biện pháp, chủ yếu phục vụ tính bí mật và không giải quyết tính sẵn sàng.

Đáp án đúng: "Availability of the data". Trong bộ ba CIA, availability (tính sẵn sàng) là bảo đảm người được phép truy cập được dữ liệu đúng lúc cần. John cần bản trình bày nằm trên máy để bàn ở văn phòng chính trong khi anh đang ở địa điểm khác, nên vấn đề là dữ liệu không sẵn có cho anh; lưu trên kho dùng chung hoặc cho phép truy cập từ xa an toàn sẽ giải quyết được. "Unauthorized access to the system" sai vì không có ai truy cập trái phép. "Integrity of the data" sai vì tính toàn vẹn nói về dữ liệu bị sửa trái phép hoặc sai lệch ngoài ý muốn, còn ở đây tệp chỉ chưa được cập nhật và trở ngại trước mắt là John không với tới nó. "Nonrepudiation of the data" sai vì chống chối bỏ liên quan tới việc chứng minh ai đã thực hiện một giao dịch. "Unauthorized use of the system" sai vì John là người dùng hợp lệ, dùng hệ thống đúng mục đích công việc.

Đáp án đúng: "Corrective". Corrective control (kiểm soát khắc phục) là biện pháp áp dụng sau khi sự cố đã xảy ra nhằm sửa nguyên nhân và đưa hệ thống về trạng thái bình thường. Ở đây vấn đề đã xuất hiện và nguyên nhân đã được xác định là hệ thống EHR thiếu năng lực xử lý, nên việc cần làm là khắc phục, ví dụ nâng cấp tài nguyên máy chủ hoặc mở rộng hạ tầng. "Preventative" là kiểm soát ngăn ngừa, đặt ra từ trước để sự cố không xảy ra, như lập kế hoạch năng lực trước khi triển khai, nay đã muộn. "Correlative" không phải một loại kiểm soát chuẩn; tương quan chỉ là kỹ thuật phân tích sự kiện. "Detective" là kiểm soát phát hiện như giám sát hiệu năng, mà bước phát hiện đã hoàn tất nên nó không giải quyết được tình trạng chậm.

Đáp án đúng: "Firewalls". Technical control (kiểm soát kỹ thuật, còn gọi logical control) là biện pháp được thực thi bằng phần cứng hoặc phần mềm, tự động áp dụng mà không cần con người thao tác mỗi lần. Tường lửa lọc lưu lượng mạng theo bộ luật là ví dụ điển hình, cùng nhóm với mã hóa, hệ thống phát hiện xâm nhập, kiểm soát truy cập trên hệ thống. "Security awareness training" là kiểm soát hành chính (administrative control) vì tác động đến nhận thức và hành vi con người. "Security guards" là kiểm soát vật lý, bảo vệ cơ sở và tài sản hữu hình. "Policies and procedures" cũng là kiểm soát hành chính: chúng là tài liệu quy định cách làm, đặt nền cho các kiểm soát kỹ thuật nhưng bản thân không phải công nghệ thực thi.

Đáp án đúng: "GLBA". Gramm-Leach-Bliley Act (GLBA) là luật Hoa Kỳ áp dụng cho các tổ chức tài chính như ngân hàng, công ty bảo hiểm, công ty chứng khoán; luật buộc họ bảo vệ thông tin tài chính cá nhân của khách hàng, thông báo chính sách quyền riêng tư và xây dựng chương trình an toàn thông tin bằng văn bản. "FERPA" (Family Educational Rights and Privacy Act) bảo vệ quyền riêng tư của hồ sơ học tập, áp dụng cho cơ sở giáo dục chứ không phải tổ chức tài chính. "HIPAA" (Health Insurance Portability and Accountability Act) điều chỉnh việc bảo vệ thông tin sức khỏe của bệnh nhân trong ngành y tế. "CIPA" (Children's Internet Protection Act) yêu cầu trường học và thư viện nhận tài trợ liên bang lọc nội dung Internet có hại cho trẻ em, không liên quan tới dữ liệu tài chính.

Đáp án đúng: "All of the above". Chính sách an ninh được định nghĩa rõ và thực thi đúng mang lại lợi ích kinh doanh trên nhiều mặt cùng lúc, nên cả ba ý đều đúng. "Maximize profit" đúng vì chính sách giảm tổn thất do sự cố, giảm phạt vi phạm quy định và giữ uy tín, từ đó giúp lợi nhuận cao hơn. "Reduce risk" là mục tiêu cốt lõi: chính sách xác định kiểm soát để giảm khả năng xảy ra và mức tác động của các mối đe doạ lên tài sản thông tin. "Produce consistent and reliable products" đúng vì chính sách chuẩn hoá cách làm, ví dụ quy trình quản lý thay đổi và kiểm thử bảo mật, nên sản phẩm và dịch vụ ổn định, ít lỗi hơn. Vì mỗi ý chỉ là một phần lợi ích, chọn riêng một ý là thiếu, chỉ phương án gộp mới bao trọn.

Đáp án đúng: "Background checks and access rights reviews". Manual control (kiểm soát thủ công) là kiểm soát do con người thực hiện và phán đoán, không do hệ thống tự động làm. Background checks (thẩm tra lý lịch) do bộ phận nhân sự tiến hành trước khi tuyển dụng, còn access rights reviews (rà soát quyền truy cập) là việc người quản lý định kỳ xem từng người có còn cần quyền đang có hay không; cả hai đều là kiểm soát thủ công nên phương án gộp đủ cả hai là đầy đủ nhất. Phương án "Background checks" đúng nhưng chưa đủ vì bỏ sót rà soát quyền. Phương án "Access rights reviews" cũng đúng nhưng chưa đủ vì bỏ sót thẩm tra lý lịch. Phương án "Authentication" sai vì xác thực là kiểm soát tự động do hệ thống thực hiện mỗi lần đăng nhập. Phương án "Background checks and authentication" sai vì gộp một kiểm soát thủ công với một kiểm soát tự động.

Đáp án đúng: "True". Phát biểu đúng vì chính sách an ninh nêu điều tổ chức muốn đạt và phản ánh yêu cầu kinh doanh, còn security controls (biện pháp kiểm soát an ninh) là phương tiện để biến chính sách đó thành thực tế và cưỡng chế nó. Ví dụ chính sách nói chỉ nhân viên có nhu cầu mới được xem dữ liệu khách hàng thì kiểm soát tương ứng là phân quyền truy cập theo vai trò, ghi nhật ký và rà soát quyền định kỳ. Kiểm soát có thể là kỹ thuật như tường lửa, mã hoá, hành chính như quy trình duyệt quyền, hoặc vật lý như khoá cửa phòng máy chủ. Chính vì chính sách bám theo nhu cầu kinh doanh nên kiểm soát cũng gián tiếp phục vụ nhu cầu đó. "False" không được chọn vì nó phủ nhận mối quan hệ chính sách đặt ra yêu cầu còn kiểm soát thực thi yêu cầu, vốn là nền tảng của khung chính sách an ninh.

Đáp án đúng gồm hai ý: "Authentication" và "Nonrepudiation". Information systems security (ISS, an ninh hệ thống thông tin) xoay quanh bộ ba CIA gồm bí mật, toàn vẹn và sẵn sàng. Information assurance (IA, bảo đảm thông tin) mở rộng bộ ba đó bằng authentication (xác thực, bảo đảm danh tính của người dùng hay hệ thống là thật) và nonrepudiation (chống chối bỏ, bảo đảm bên đã thực hiện giao dịch không thể phủ nhận, thường nhờ chữ ký số). Vì vậy hai tenet này đúng với IA nhưng không thuộc tập tenet cốt lõi của ISS. "Confidentiality" bảo đảm chỉ người được phép mới xem được dữ liệu, là tenet chung của cả IA lẫn ISS nên không thỏa điều kiện chỉ thuộc IA. "Integrity" bảo đảm dữ liệu không bị sửa trái phép, cũng là tenet chung của cả hai nên không được chọn.

Đáp án đúng: "Higher costs and complexity". Defense in depth (phòng thủ nhiều lớp) đặt nhiều lớp kiểm soát chồng lên nhau để khi một lớp thất bại vẫn còn lớp khác bảo vệ, nhưng cái giá là chi phí mua sắm, bản quyền và nhân sự vận hành tăng lên, hệ thống phức tạp hơn, khó cấu hình, khó xử lý sự cố và có thể gây phiền cho người dùng. Phương án "Increased risk exposure" sai vì nhiều lớp kiểm soát làm giảm chứ không làm tăng mức phơi nhiễm rủi ro. Phương án "Increased employee productivity" sai vì đây không phải nhược điểm, và thực tế nhiều lớp kiểm soát thường làm năng suất giảm đôi chút do thêm bước xác thực, kiểm tra. Phương án "Reduced overall security" sai vì mục đích và kết quả thông thường của nhiều lớp là tăng an ninh tổng thể; chỉ khi cấu hình sai vì quá phức tạp mới sinh lỗ hổng, và đó chính là hệ quả của độ phức tạp đã nêu.

Đáp án đúng: "Manual log review when automated monitoring is not available". Compensating control (kiểm soát bù trừ) là biện pháp thay thế được áp dụng khi kiểm soát chính theo yêu cầu không thể triển khai vì lý do kỹ thuật hay chi phí, sao cho vẫn đạt mức giảm rủi ro tương đương. Khi không có hệ thống giám sát tự động, việc giao người rà soát nhật ký thủ công định kỳ chính là bù đắp cho kiểm soát còn thiếu. Phương án "Firewall installation" là kiểm soát kỹ thuật phòng ngừa thông thường, không phải biện pháp thay thế cho một kiểm soát khác. Phương án "Intrusion detection system" là kiểm soát phát hiện chính, không đóng vai trò bù trừ. Phương án "Multi-factor authentication" là kiểm soát phòng ngừa chính cho việc xác thực; nó chỉ được coi là bù trừ nếu dùng thay cho một kiểm soát khác không triển khai được, điều mà câu hỏi không nêu.

Đáp án đúng: "A policy that defines how to protect information in any form". Chính sách an toàn thông tin là tài liệu cấp cao do lãnh đạo phê duyệt, nêu cách tổ chức bảo vệ tính bí mật, toàn vẹn và sẵn sàng của thông tin dưới mọi hình thức: dữ liệu số, giấy tờ, lời nói, khi lưu trữ, truyền đi hay xử lý. "A policy that defines acceptable behavior of a customer" sai vì chính sách an ninh chủ yếu điều chỉnh nhân viên và người dùng nội bộ, quy định hành vi khách hàng thuộc điều khoản dịch vụ. "A policy that defines what hardware to purchase" là quy định mua sắm hoặc tiêu chuẩn kỹ thuật, quá hẹp. "A policy that defines the type of uniforms guards should wear" là quy định hành chính về nhân sự bảo vệ, không liên quan việc bảo vệ thông tin.

Đáp án đúng: "Unchanged default password". Cần phân biệt threat (mối đe dọa), là tác nhân hoặc sự kiện có thể gây hại cho tài sản thông tin, với vulnerability (lỗ hổng), là điểm yếu mà mối đe dọa có thể khai thác. Mật khẩu mặc định không được đổi là một lỗ hổng cấu hình, bản thân nó không gây hại mà chỉ tạo điều kiện cho kẻ tấn công. Những mục sau đây đều là mối đe dọa nên không chọn: "Robbery" (trộm cướp) là đe dọa vật lý có thể lấy đi máy tính, tài liệu chứa thông tin; "Eavesdropping" (nghe lén) là đe dọa chặn bắt thông tin khi truyền; "Information leakage" (rò rỉ thông tin) là sự kiện làm thông tin lọt ra ngoài, gây tổn hại tính bí mật.

Đáp án đúng: "Corrective". Corrective control (kiểm soát khắc phục) hoạt động sau khi sự cố xảy ra để sửa chữa, khôi phục hệ thống về trạng thái bình thường và hạn chế thiệt hại, ví dụ khôi phục từ bản sao lưu, vá lỗ hổng, cách ly máy nhiễm, chạy quy trình ứng cứu sự cố. "Deterrent" (răn đe) nhằm làm kẻ xấu nản lòng trước khi hành động, như biển cảnh báo, camera hiện rõ. "Compensating" (bù trừ) là kiểm soát thay thế khi không thể áp dụng kiểm soát chính, ví dụ tăng giám sát khi không tách được nhiệm vụ. "Detective" (phát hiện) nhận ra sự cố đang hoặc đã xảy ra, như IDS, nhật ký kiểm toán; nó báo hiệu sự cố nhưng không trực tiếp sửa chữa.

Đáp án đúng: "Ensuring no user can deny a transaction". Nonrepudiation (chống chối bỏ) bảo đảm một bên đã thực hiện hành động, như gửi thông điệp hay phê duyệt giao dịch, không thể phủ nhận sau đó; cơ chế điển hình là chữ ký số dựa trên khóa riêng mà chỉ người ký nắm giữ, kèm nhật ký có dấu thời gian. "The ability to prevent malware" là chức năng của phần mềm chống mã độc, bảo vệ tính toàn vẹn và sẵn sàng của hệ thống, không chứng minh ai đã làm gì. "Making data public" ngược với tính bí mật và không liên quan tới việc xác định trách nhiệm của bên giao dịch. "Encrypting all files" bảo vệ tính bí mật; mã hóa thông thường, nhất là mã hóa đối xứng dùng chung khóa, không chứng minh được ai là người tạo ra hay gửi dữ liệu.

Đáp án đúng: "HIPAA". Đạo luật HIPAA (Health Insurance Portability and Accountability Act) qua Security Rule (quy tắc bảo mật) bắt buộc các tổ chức y tế và đối tác kinh doanh của họ thực hiện risk analysis (phân tích rủi ro) đối với thông tin sức khoẻ điện tử được bảo vệ, rồi dựa vào kết quả đó chọn các biện pháp bảo vệ hành chính, vật lý và kỹ thuật; vì vậy đánh giá rủi ro là một phần bắt buộc của việc tuân thủ. "GLBA" cũng yêu cầu đánh giá rủi ro qua Safeguards Rule đối với các tổ chức tài chính, nên đây là phương án không sai hẳn, nhưng câu hỏi chỉ cho chọn một và HIPAA là luật điển hình gắn yêu cầu phân tích rủi ro vào việc tuân thủ. "CIPA" (Children's Internet Protection Act) chỉ yêu cầu trường học và thư viện nhận hỗ trợ liên bang lọc nội dung Internet có hại cho trẻ em, không đòi hỏi đánh giá rủi ro. "All of the above" sai vì CIPA không thuộc nhóm luật yêu cầu đánh giá rủi ro, nên không thể đúng cho cả ba.