Câu hỏi: IAP301 - Phần 1: Quản lý chính sách bảo đảm thông tin

Đáp án đúng: "Protect cardholder data". PCI DSS (Payment Card Industry Data Security Standard, tiêu chuẩn bảo mật dữ liệu ngành thẻ thanh toán) gom mười hai yêu cầu vào sáu control objectives (mục tiêu kiểm soát): xây dựng và duy trì mạng an toàn, bảo vệ dữ liệu chủ thẻ, duy trì chương trình quản lý lỗ hổng, triển khai kiểm soát truy cập mạnh, giám sát và kiểm thử mạng thường xuyên, duy trì chính sách an toàn thông tin. Bảo vệ dữ liệu chủ thẻ, gồm bảo vệ dữ liệu lưu trữ và mã hoá khi truyền qua mạng công cộng, là mục tiêu cốt lõi của cả tiêu chuẩn. "Maintain an information security policy" thực ra cũng là một trong sáu mục tiêu, nên câu này có hai phương án đúng về nội dung; khi chỉ được chọn một thì bảo vệ dữ liệu chủ thẻ là mục tiêu trung tâm. "Alert when credit cards are illegally used" là chức năng phát hiện gian lận của ngân hàng phát hành thẻ, không phải mục tiêu kiểm soát mà PCI DSS đặt ra cho đơn vị lưu trữ, xử lý hay truyền dữ liệu thẻ. "None of the above" sai vì có ít nhất một phương án là mục tiêu kiểm soát của PCI DSS.

Đáp án đúng: "HIPAA". Security Rule của HIPAA (luật về bảo mật thông tin y tế ở Mỹ) nêu rõ trong nhóm biện pháp hành chính rằng tổ chức phải có chương trình nhận thức và đào tạo an ninh (security awareness and training program) cho toàn bộ nhân sự, gồm nhắc nhở định kỳ, cảnh giác phần mềm độc hại, giám sát đăng nhập và quản lý mật khẩu. "Sarbanes-Oxley Act" (SOX) yêu cầu kiểm soát nội bộ đối với báo cáo tài chính của công ty niêm yết và trách nhiệm của ban điều hành, không có điều khoản đích danh buộc lập chương trình nhận thức an ninh. "Gramm-Leach-Bliley Act" (GLBA) tập trung vào thông báo quyền riêng tư và bảo vệ thông tin tài chính của khách hàng; đào tạo nhân viên có thể là một phần của chương trình bảo vệ nhưng luật không nêu chương trình nhận thức như một yêu cầu riêng như HIPAA. "All of the above" sai vì SOX chắc chắn không chứa yêu cầu này.