IAP301 - Phần 2: Giảm thiểu rủi ro và hỗ trợ quy trình kinh doanh

Đáp án đúng: "The measurable business benefits". Ban lãnh đạo ra quyết định dựa trên giá trị kinh doanh, nên khi trình bày một chính sách mới cần nhấn mạnh lợi ích đo được: giảm rủi ro tổn thất, tránh phạt do vi phạm quy định, giữ niềm tin khách hàng, hỗ trợ mục tiêu chiến lược, kèm chỉ số cụ thể để họ thấy chính sách là khoản đầu tư chứ không phải chi phí thuần. "The cost of training" là thông tin cần có trong ngân sách nhưng nếu đặt làm trọng tâm sẽ khiến chính sách bị nhìn như gánh nặng. "The technical implementation" phù hợp khi trao đổi với đội kỹ thuật, còn lãnh đạo không cần đi sâu chi tiết triển khai. "The timeline for deployment" là thông tin phụ phục vụ lập kế hoạch, không thuyết phục được lãnh đạo vì sao phải phê duyệt và tài trợ cho chính sách.

Đáp án đúng: "Skills individuals are comfortable with to achieve predictable outcomes". Khi nói về tính cách và sự thay đổi, safe zone (vùng an toàn) là tập kỹ năng và cách làm mà một người đã quen dùng vì chúng mang lại kết quả đoán trước được. Khi chính sách an ninh mới buộc họ đổi thói quen, họ phải rời vùng này nên dễ kháng cự; người triển khai chính sách cần nhận ra điều đó để đào tạo và hỗ trợ đúng cách. "A place where individuals feel physically secure" hiểu safe zone theo nghĩa đen là một nơi chốn an toàn về thể chất, không phải khái niệm về hành vi và kỹ năng. "The area where policies are most effective" mô tả phạm vi áp dụng chính sách, không gắn với đặc điểm tính cách của cá nhân. "A set of security protocols" là tập giao thức kỹ thuật, thuộc về hệ thống chứ không thuộc về con người nên không trả lời câu hỏi về tính cách.

Đáp án đúng: "Surplus of funding". Câu hỏi phủ định nên cần tìm yếu tố KHÔNG phải thách thức tổ chức khi triển khai chính sách an toàn thông tin. Dư thừa ngân sách là điều kiện thuận lợi, giúp mua công cụ, đào tạo, thuê nhân sự; thực tế thách thức thường là thiếu ngân sách. Ba yếu tố sau đây đều là thách thức thật nên không được chọn. "Accountability" (trách nhiệm giải trình) là thách thức vì phải xác định rõ ai chịu trách nhiệm thực thi và ai chịu hậu quả khi vi phạm, việc này dễ gây đùn đẩy giữa các phòng ban. "Lack of priority" (thiếu ưu tiên) là thách thức vì khi lãnh đạo và nhân viên coi an ninh là việc phụ, chính sách bị gác lại. "Tight schedules" (lịch trình gấp) là thách thức vì áp lực tiến độ dự án khiến người ta bỏ qua bước kiểm soát để kịp hạn.

Đáp án đúng: "Commanders". Khi triển khai chính sách an toàn thông tin, người ta phân loại tính cách nhân sự để chọn cách thuyết phục phù hợp, gồm commanders, analyticals, pleasers và attackers. Commanders (người chỉ huy) là người hướng tới kết quả, quyết đoán, thích kiểm soát và thường phá vỡ được những rào cản trước đây ngăn cản thành công, nên họ hợp với vai trò dẫn dắt thay đổi. "Attackers" là kiểu người hay phản đối, chỉ trích và có thái độ tiêu cực với thay đổi, nên họ thường tạo ra rào cản chứ không phá rào cản. "Analyticals" là người thận trọng, cần dữ liệu và chi tiết trước khi quyết định, họ mạnh ở phân tích nhưng không nổi bật ở việc đột phá. "Pleasers" là người muốn làm hài lòng mọi người, tránh xung đột, nên ít khi chủ động đối đầu với trở ngại.

Đáp án đúng: "Employees prioritize job preservation". Khi kinh tế suy thoái, nhân viên lo bị cắt giảm nên tập trung giữ việc làm, hoàn thành chỉ tiêu cốt lõi; chính sách an ninh mới đòi thêm đào tạo, thủ tục, thay đổi thói quen nên dễ bị coi là gánh nặng làm chậm công việc, thậm chí bị xem là dấu hiệu tổ chức đang giám sát để tìm cớ sa thải. "Companies are focused on hiring" ngược với bối cảnh suy thoái, khi doanh nghiệp thường đóng băng tuyển dụng. "Employees may feel over-rewarded" không khớp hoàn cảnh: thời kỳ khó khăn thường đi kèm cắt thưởng, giảm phúc lợi chứ không phải cảm giác được thưởng quá mức. "Executives delegate all policy tasks to HR" không giải thích vì sao chính sách bị cảm nhận là gánh nặng, và giao toàn bộ cho nhân sự cũng không phải cách quản trị chính sách an ninh đúng.

Đáp án đúng: "Defining clear expectations and the impact of policies on the business.". Lãnh đạo cấp cao ủng hộ chính sách an ninh khi thấy rõ nó phục vụ mục tiêu kinh doanh; vì vậy cần trình bày kỳ vọng rõ ràng và tác động của chính sách lên hoạt động, chi phí, rủi ro và tuân thủ bằng ngôn ngữ kinh doanh, để lãnh đạo hiểu vì sao nên cấp nguồn lực và đứng ra bảo trợ. "Minimizing communication with executives to avoid overwhelming them." sai vì thiếu giao tiếp khiến lãnh đạo không hiểu và không cam kết. "Providing a detailed technical explanation of every policy." sai vì lãnh đạo cần bức tranh về rủi ro và giá trị, không phải chi tiết kỹ thuật của từng chính sách. "Implementing policies first and seeking approval later." sai vì chính sách thiếu phê duyệt từ cấp trên sẽ không có thẩm quyền thực thi, dễ bị phản đối và gỡ bỏ.

Đáp án đúng: "Commanders". Khi triển khai chính sách an ninh, người ta phân loại tính cách để biết cách làm việc với từng nhóm. Commanders (người chỉ huy) là kiểu người định hướng kết quả, thích nắm quyền quyết định và hành động nhanh, nên thường vượt qua những trở ngại từng cản bước thành công; họ là đồng minh mạnh khi được thuyết phục rằng chính sách giúp đạt mục tiêu. "Attackers" là kiểu người hay đối đầu, phản bác và công kích ý tưởng mới, họ thường tạo thêm trở ngại hơn là gỡ bỏ. "Analyticals" là người thiên về dữ liệu, chi tiết và thận trọng, cần nhiều bằng chứng trước khi hành động nên không nổi bật ở việc phá vỡ rào cản. "Pleasers" là người muốn làm hài lòng mọi người và tránh xung đột, họ dễ đồng ý nhưng ít khi chủ động vượt qua khó khăn.

Đáp án đúng: "To lead by example and enhance policy credibility". Khi lãnh đạo tuân thủ đúng những chính sách áp dụng cho nhân viên, họ làm gương và chứng minh chính sách là nghiêm túc, từ đó tăng uy tín của chính sách và văn hoá an ninh; ngược lại, nếu lãnh đạo được miễn trừ, nhân viên sẽ coi chính sách là hình thức. "To maintain hierarchical control" sai vì mục đích không phải củng cố thứ bậc mà là tạo sự công bằng và tin tưởng. "To avoid legal entanglements" có thể là lợi ích phụ của việc tuân thủ nhưng không phải lý do chính khiến lãnh đạo cần làm theo chính sách. "To devalue the importance of the policies" sai hoàn toàn vì tác động thực tế là ngược lại.

Đáp án đúng gồm hai ý: "Innovators" và "More likely to take risks". Entrepreneurs (người có tinh thần khởi nghiệp, doanh nhân) trong tổ chức là những người ưa sáng tạo, luôn tìm cách làm mới và sẵn sàng chấp nhận rủi ro để nắm lấy cơ hội kinh doanh. Khi triển khai chính sách an ninh, hiểu đặc điểm này giúp nhóm an ninh trình bày chính sách bằng ngôn ngữ giá trị kinh doanh, hướng họ tới việc chấp nhận rủi ro có kiểm soát thay vì lách chính sách để làm nhanh. Phương án "Well educated in business management" sai vì tinh thần khởi nghiệp không phụ thuộc bằng cấp quản trị; nhiều doanh nhân thành công nhờ kinh nghiệm và ý tưởng chứ không nhờ được đào tạo bài bản. Phương án "Averse to change" sai vì sợ thay đổi là đặc điểm ngược lại; người khởi nghiệp chủ động tạo ra thay đổi.

Đáp án đúng: "All of the above". Ba yếu tố cơ bản của động lực làm việc, thường được nêu khi bàn cách thúc đẩy nhân viên tuân thủ chính sách an ninh, là pride (niềm tự hào), self-interest (lợi ích cá nhân) và success (thành công). Nhân viên tự hào về công việc và tổ chức sẽ muốn bảo vệ nó, thấy được lợi ích cho bản thân như tránh bị kỷ luật hay được ghi nhận sẽ làm theo, và mong muốn thành công cùng tổ chức sẽ ủng hộ các kiểm soát giữ cho doanh nghiệp an toàn. Vì cả ba đều là thành phần nền tảng nên phương án gộp là đúng. Phương án "Pride" đúng nhưng chưa đủ vì chỉ là một trong ba yếu tố. Phương án "Self-interest" đúng nhưng thiếu niềm tự hào và thành công. Phương án "Success" đúng nhưng thiếu hai yếu tố kia, nên chọn riêng nó là không đầy đủ.

Đáp án đúng: "Pride, self-interest, and success". Ba yếu tố cơ bản tạo động lực ở nơi làm việc là pride (niềm tự hào về công việc và tổ chức), self-interest (lợi ích cá nhân, điều người lao động nhận được cho bản thân) và success (mong muốn thành công, đạt kết quả). Khi triển khai chính sách an ninh, lãnh đạo khai thác cả ba: giúp nhân viên tự hào vì góp phần bảo vệ khách hàng, cho thấy tuân thủ có lợi cho chính họ và gắn an ninh với thành công của tổ chức. Phương án "Salary, benefits, and job title" là các phần thưởng vật chất bên ngoài, có ảnh hưởng nhưng không phải ba yếu tố nền tảng của động lực. Phương án "Authority, control, and responsibility" là các khái niệm về quyền hạn và trách nhiệm trong cơ cấu tổ chức, không phải động lực. Phương án "Fear, rewards, and punishments" là cách tiếp cận cây gậy và củ cà rốt, chỉ tạo tuân thủ ngắn hạn chứ không phải thành phần cơ bản của động lực.

Đáp án đúng: "They often bypass formal processes". Đơn vị kinh doanh kiểu entrepreneurial (khởi nghiệp, năng động) ưu tiên tốc độ, đổi mới và cơ hội thị trường, nên hay đi đường tắt, bỏ qua quy trình chính thức như duyệt thay đổi hay đánh giá rủi ro. Đó là rủi ro với chính sách an ninh: kiểm soát bị lách, hệ thống được đưa vào dùng khi chưa được đánh giá. Người viết chính sách cần thiết kế quy trình đủ nhanh để họ chịu làm theo. "They resist innovation" nói ngược với đặc điểm của nhóm này, vì họ chính là bên thúc đẩy đổi mới. "They tend to over-document procedures" sai vì lập quá nhiều tài liệu là đặc điểm của đơn vị quan liêu, còn nhóm khởi nghiệp thường ghi chép quá ít. "They avoid cloud technologies" sai vì nhóm năng động thường nhanh chóng dùng công nghệ mới như đám mây, đôi khi còn tự dùng mà không qua bộ phận CNTT.

Đáp án đúng: "All of the above". "Tone at the top" (thái độ từ cấp cao nhất) chỉ văn hóa đạo đức và cam kết kiểm soát mà ban lãnh đạo cấp cao tạo ra cho toàn tổ chức; nhân viên nhìn vào hành động của lãnh đạo để biết điều gì thật sự quan trọng. Khái niệm này bao gồm cả ba mặt được nêu. "A company's leaders making sure every employee knows the priorities" đúng vì lãnh đạo phải truyền đạt rõ ưu tiên, trong đó có an toàn thông tin. "Senior leaders implementing and enforcing policies" đúng vì lãnh đạo không chỉ ban hành mà còn tự tuân thủ và xử lý vi phạm, làm gương cho cấp dưới. "Senior managers building trust with the public and with regulators" cũng đúng vì thái độ nghiêm túc của lãnh đạo tạo uy tín với công chúng và cơ quan quản lý. Mỗi ý chỉ là một mặt, nên đáp án gộp mới đầy đủ.