Câu hỏi: IAP301 - Phần 3: Chính sách, tiêu chuẩn, quy trình và hướng dẫn

Đáp án đúng gồm hai ý: "needs" và "capacity to deploy". Số lượng tài liệu chính sách (policy, standard, procedure, guideline) mà một tổ chức duy trì tùy thuộc vào needs (nhu cầu) của chính nó, do quy mô, ngành nghề và yêu cầu tuân thủ quyết định, và vào capacity to deploy (năng lực triển khai), tức khả năng phổ biến, đào tạo, thực thi và giám sát các tài liệu đó. Một ngân hàng chịu nhiều quy định sẽ cần nhiều tài liệu hơn một cửa hàng nhỏ, nhưng viết quá nhiều tài liệu mà không đủ người và quy trình để triển khai thì chính sách chỉ nằm trên giấy. Phương án "demands" nghe gần với nhu cầu nhưng chỉ là áp lực bên ngoài nhất thời, không phải thước đo tổ chức dùng để quyết định cần bao nhiêu tài liệu. Phương án "availability" là một mục tiêu trong bộ ba CIA (tính sẵn sàng của hệ thống và dữ liệu), không phải yếu tố quyết định số lượng tài liệu chính sách.

Đáp án đúng: "Procedure". Procedure (thủ tục) là tài liệu hướng dẫn từng bước, mô tả trình tự công việc cần làm để thực hiện đúng chính sách của công ty, ví dụ các bước tạo tài khoản cho nhân viên mới hoặc các bước sao lưu máy chủ mỗi tối; đây chính là định nghĩa mà câu hỏi mô tả. "Policy" (chính sách) là tuyên bố ở mức cao về ý định và định hướng của ban lãnh đạo, nói cần đạt điều gì chứ không chỉ cách làm từng bước. "Standard" (tiêu chuẩn) là yêu cầu bắt buộc, đo được, áp dụng thống nhất cho công nghệ hay quy trình, ví dụ mật khẩu tối thiểu 12 ký tự, nhưng không trình bày trình tự thao tác. "Guideline" (hướng dẫn) là khuyến nghị mang tính tham khảo, không bắt buộc, giúp người dùng chọn cách làm tốt khi chưa có quy định cứng.

Đáp án đúng: "Integration principle". Integration principle (nguyên tắc tích hợp) yêu cầu các biện pháp, thực hành và thủ tục an ninh được phối hợp thành một hệ thống nhất quán, gắn với nhau và với các quy trình khác của tổ chức, thay vì mỗi bộ phận tự làm một kiểu rời rạc. Ví dụ quy trình cấp tài khoản, giám sát nhật ký và ứng phó sự cố cùng dùng một bộ chính sách và chia sẻ thông tin cho nhau. "Ethics principle" là nguyên tắc đạo đức, yêu cầu việc dùng và quản lý thông tin tôn trọng quyền và lợi ích chính đáng của người khác, không nói về tính liền mạch của hệ thống biện pháp. "Defense-in-depth principle" là phòng thủ nhiều lớp, đặt nhiều lớp kiểm soát chồng nhau để một lớp hỏng thì lớp khác vẫn chặn, nhấn vào số lớp bảo vệ chứ không phải sự tích hợp. "Democracy principle" yêu cầu an ninh tương thích với các giá trị của xã hội dân chủ như tự do trao đổi thông tin, không liên quan tới việc thống nhất các biện pháp.

Đáp án đúng: "Clear and Concise". Thư viện chính sách và tiêu chuẩn (policies and standards library) là nơi lưu trữ tập trung các tài liệu mà mọi nhân viên phải đọc, hiểu và tuân thủ; tài liệu chỉ phát huy tác dụng khi người đọc nắm ngay được điều mình phải làm, nên nội dung cần rõ ràng và súc tích. "Comprehensive and Detailed" nghe hợp lý nhưng tài liệu quá dày và chi tiết khiến người dùng bỏ qua, còn chi tiết thao tác nên tách sang procedure (thủ tục). "Short and Vague" sai vì ngắn mà mơ hồ thì mỗi người hiểu một kiểu, không thể thực thi hay kiểm tra tuân thủ. "Technical and Complex" sai vì người đọc gồm cả nhân viên không chuyên kỹ thuật, viết phức tạp làm giảm khả năng hiểu và chấp nhận chính sách.

Đáp án đúng: "All of the above". Một khung IT (IT framework) như COBIT hay ISO 27001 có các đặc điểm chung: quản trị dựa trên rủi ro, gắn kiểm soát với khẩu vị rủi ro của doanh nghiệp, giảm gián đoạn vận hành và tổn thất, và tạo đường đi rõ ràng từ yêu cầu tới kiểm soát cụ thể. Vì vậy bốn phương án riêng lẻ đều đúng nhưng mỗi cái chỉ là một phần. "Risk-based management" đúng vì khung ưu tiên kiểm soát theo mức rủi ro, nhưng chưa đủ. "Aligned business risk appetite" đúng vì kiểm soát phải tương xứng với mức rủi ro doanh nghiệp chấp nhận, nhưng cũng chỉ là một đặc điểm. "Reduced operation disruption and losses" là lợi ích có thật khi áp dụng khung, song không bao quát hết. "Established path from requirements to control" đúng vì khung giúp truy vết từ luật hay yêu cầu kinh doanh xuống kiểm soát, nhưng vẫn thiếu các ý kia. "Risk-based management and Reduced operation disruption and losses only" sai vì chữ "only" loại bỏ hai đặc điểm cũng đúng là gắn khẩu vị rủi ro và đường đi từ yêu cầu tới kiểm soát.

Đáp án đúng: "To provide a structured approach to implementing and managing security policies". IT security policy framework (khung chính sách an toàn CNTT) là cấu trúc phân tầng gồm policy, standard, procedure và guideline, giúp tổ chức triển khai, duy trì và quản lý chính sách an toàn một cách có hệ thống, thường dựa trên các khung như ISO 27001 hay COBIT. "To enforce strict access controls for employees" chỉ là một nội dung cụ thể mà một chính sách có thể quy định, không phải mục đích của cả khung. "To serve as a guideline for hardware and software procurement" là việc của chính sách mua sắm, trong khi khung bao quát toàn bộ chương trình an ninh. "To ensure security policies are updated automatically without review" sai vì chính sách phải được con người rà soát và phê duyệt định kỳ, không bao giờ tự cập nhật mà không xem xét.

Đáp án đúng: "False". Phát biểu sai vì một bộ chính sách an ninh tốt được thiết kế theo khung (framework) có cấu trúc và ánh xạ được tới nhiều quy định cùng lúc. Khi có quy định mới, tổ chức nên đối chiếu yêu cầu mới với chính sách, tiêu chuẩn và kiểm soát đang có, rồi chỉ sửa hoặc bổ sung phần còn thiếu. Viết chính sách mới mỗi lần có luật mới sẽ tạo ra nhiều tài liệu chồng chéo, mâu thuẫn, khó bảo trì và khó đào tạo nhân viên; ví dụ yêu cầu mã hoá dữ liệu của HIPAA và của GLBA có thể cùng được đáp ứng bởi một tiêu chuẩn mã hoá chung. "True" không được chọn vì nó coi mỗi quy định là một bài toán riêng, trái với cách tiếp cận dùng lại khung chính sách và kiểm soát sẵn có để giảm chi phí và giữ tính nhất quán.

Đáp án đúng: "Policies, standards, and procedures". Khung chính sách gồm policy nêu ý định và yêu cầu ở mức quản lý, standard đặt yêu cầu bắt buộc đo được, procedure hướng dẫn từng bước thực hiện; ba lớp này được lãnh đạo phê duyệt và gắn với mục tiêu kinh doanh, nên là nền thống nhất để quản lý mọi hoạt động an toàn thông tin. "Technical solutions alone" sai vì công nghệ thiếu chính sách dẫn dắt sẽ rời rạc, không xác định được ai chịu trách nhiệm hay cần bảo vệ tới mức nào. "Employee intuition and judgment" sai vì phán đoán cá nhân không nhất quán giữa người này với người khác và không kiểm toán được. "External regulatory requirements" là nguồn đầu vào quan trọng khi soạn chính sách, nhưng luật chỉ nêu yêu cầu tối thiểu; tổ chức phải chuyển chúng thành chính sách, tiêu chuẩn và thủ tục nội bộ mới quản lý được hoạt động hằng ngày.

Đáp án đúng gồm bốn ý: "Principles", "Guidelines", "Procedures" và "Standards". Security policy framework (khung chính sách an ninh) là bộ tài liệu phân tầng: principles (nguyên tắc) và policy nêu ý định, mục tiêu cấp cao của tổ chức; standards (tiêu chuẩn) quy định yêu cầu bắt buộc, đo được, ví dụ độ dài mật khẩu tối thiểu; procedures (thủ tục) hướng dẫn từng bước thực hiện; guidelines (hướng dẫn) đưa khuyến nghị không bắt buộc giúp áp dụng linh hoạt. Bốn loại này cùng tạo nên khung tài liệu mà mọi người trong tổ chức tham chiếu. "Firewalls" (tường lửa) là một kiểm soát kỹ thuật, tức thiết bị hoặc phần mềm lọc lưu lượng mạng; nó có thể được một tiêu chuẩn trong khung quy định cách cấu hình, nhưng bản thân nó không phải một loại tài liệu của khung chính sách.

Đáp án đúng: "Guideline". Đoạn mô tả nói về một tài liệu không bắt buộc, hỗ trợ chính sách, mềm dẻo hơn procedure, chỉ ra hướng nên đi khi có thể và có thể nâng lên thành policy khi đã được áp dụng rộng rãi; đó chính là guideline (hướng dẫn). "Policy definitions document" là tài liệu định nghĩa thống nhất các thuật ngữ dùng trong bộ chính sách, không đặt ra hướng làm việc. "Procedure" (thủ tục) là các bước bắt buộc, chi tiết để thực hiện một standard, tính chất cứng nhắc trái với mô tả. "Policy" (chính sách) là tuyên bố bắt buộc của lãnh đạo về điều tổ chức phải đạt được, không phải tài liệu tùy chọn; theo chính mô tả, guideline chỉ trở thành policy sau khi được chấp nhận rộng rãi.

Đáp án đúng: "All of the above". Khi soạn chính sách và tiêu chuẩn, tổ chức không cần viết từ con số không mà tham khảo nhiều nguồn rồi điều chỉnh cho phù hợp với mình. "U.S. Government" là nguồn tốt, ví dụ bộ tài liệu NIST SP 800 công bố miễn phí. "Private companies selling standards" cũng là nguồn tốt, cung cấp chuẩn và bộ mẫu chính sách có phí như ISO/IEC 27001 và 27002. "Professional organizations" như ISACA với COBIT, (ISC)² hay SANS cung cấp khung và mẫu chính sách do cộng đồng chuyên gia xây dựng. "Vendors" như Microsoft hay Cisco phát hành hướng dẫn cấu hình an toàn và baseline cho sản phẩm của họ. Mỗi nguồn trên đều đúng nhưng chỉ là một phần, nên chọn riêng bất kỳ nguồn nào cũng bỏ sót các nguồn còn lại; phương án gộp tất cả mới đầy đủ.

Đáp án đúng: "Both the U.S. Government and private companies selling standards". Nguồn tham khảo đáng tin cậy để xây dựng chính sách an toàn thông tin gồm cả cơ quan nhà nước lẫn tổ chức chuyên bán chuẩn: chính phủ Mỹ công bố miễn phí bộ tài liệu NIST SP 800, còn các tổ chức bán chuẩn cung cấp ISO/IEC 27001, 27002 và nhiều bộ mẫu chính sách có phí được dùng rộng rãi. "U.S. Government" đúng nhưng chỉ là một nửa, chọn riêng nó sẽ bỏ qua nguồn chuẩn thương mại. "Private companies selling standards" cũng đúng một phần, chọn riêng sẽ bỏ qua nguồn NIST miễn phí và có uy tín. "Neither the U.S. Government nor private companies selling standards" sai vì phủ nhận cả hai nguồn, trong khi cả hai đều được ngành công nhận là đáng tin để tổ chức điều chỉnh thành chính sách của mình.

Đáp án đúng gồm hai ý: "Intent" và "Human behavior". Trước khi triển khai một chính sách, tổ chức phải làm rõ intent (ý định), tức chính sách sinh ra để giải quyết rủi ro hay yêu cầu nào và mong đạt kết quả gì, để mọi người hiểu lý do thay vì chỉ thấy thêm luật lệ. Đồng thời phải tính tới human behavior (hành vi con người): nhân viên sẽ phản ứng thế nào, có thói quen hay văn hóa nào làm họ lách chính sách, và cần đào tạo, truyền thông ra sao để họ chấp nhận. "Architecture operating model" là mô hình vận hành của kiến trúc công nghệ, quan trọng khi thiết kế cách các hệ thống và đội ngũ phối hợp, nhưng nó là bối cảnh kỹ thuật chứ không phải yếu tố cốt lõi cần cân nhắc ngay trước khi đưa chính sách vào áp dụng. "Policy change control board" là cơ chế quản trị dùng để xem xét và phê duyệt việc sửa đổi chính sách trong quá trình duy trì, tức hoạt động diễn ra sau khi chính sách đã ban hành.

Đáp án đúng: "Baseline standard". Baseline standard (tiêu chuẩn cơ sở) là tài liệu kỹ thuật nêu cụ thể các kiểm soát mà một loại công nghệ hay thiết bị phải hỗ trợ và được cấu hình, ví dụ cấu hình tối thiểu cho máy chủ Windows: tắt dịch vụ thừa, bật ghi nhật ký, đặt chính sách khóa tài khoản. "Control standard" là tài liệu chính sách nêu các yêu cầu kiểm soát cốt lõi ở mức tổ chức, ví dụ mọi truy cập phải được xác thực, nó nói kiểm soát nào cần có chứ không đi vào việc từng thiết bị phải hỗ trợ gì. "Procedure" là hướng dẫn từng bước để thực hiện một công việc, như các bước áp dụng cấu hình cơ sở lên máy chủ, chứ không liệt kê danh mục kiểm soát. "Policy" là tuyên bố định hướng ở mức cao của ban lãnh đạo, quá khái quát để chỉ ra kiểm soát kỹ thuật cho một thiết bị.

Đáp án đúng: "Faster time-to-market". Industry-standard frameworks (khung chuẩn ngành) như ISO 27001, COBIT hay NIST giúp tổ chức xây dựng chính sách an ninh dựa trên kinh nghiệm đã được kiểm chứng. Tốc độ đưa sản phẩm ra thị trường không phải lợi ích của việc áp dụng khung; thực tế làm theo khung còn thêm bước kiểm soát và tài liệu. "Shared best practices" là lợi ích thật, vì khung tổng hợp thực hành tốt nhất mà nhiều tổ chức đã dùng, nên câu phủ định này không chọn nó. "Enhanced compliance" cũng là lợi ích, vì khung chuẩn thường được ánh xạ sẵn tới các quy định như SOX hay HIPAA, giúp chứng minh tuân thủ dễ hơn. "Avoid reinventing the wheel" đúng là một lợi ích, tổ chức không phải tự nghĩ từ đầu mọi chính sách và kiểm soát mà dùng lại cấu trúc có sẵn.

Đáp án đúng: "ERM". Đây là câu phủ định: cần tìm mục không phải khung chính sách an toàn CNTT. ERM (enterprise risk management, quản trị rủi ro doanh nghiệp) là cách tiếp cận quản trị toàn bộ rủi ro kinh doanh như tài chính, chiến lược, vận hành, trong đó rủi ro CNTT chỉ là một phần, nên nó không phải khung chính sách an ninh CNTT. "COBIT" là khung quản trị và kiểm soát CNTT do ISACA phát triển, được dùng rộng rãi để xây dựng chính sách. "ISO" chỉ bộ tiêu chuẩn ISO/IEC 27001 và 27002 về hệ thống quản lý an toàn thông tin. "OCTAVE" là khung đánh giá rủi ro an toàn thông tin của Carnegie Mellon. Ba mục này đều là khung an ninh CNTT nên không được chọn.

Đáp án đúng: "State of Tennessee's information security program". Chương trình an toàn thông tin của bang Tennessee là ví dụ khu vực công dùng NIST SP 800-53, danh mục kiểm soát an ninh và quyền riêng tư của Viện Tiêu chuẩn và Công nghệ Hoa Kỳ, để phân nhóm các kiểm soát theo họ (family) và đo lường mức độ thực hiện của từng kiểm soát. "Target's response to a data breach" là ví dụ về ứng phó vi phạm dữ liệu và bài học sau sự cố lộ dữ liệu thẻ thanh toán, không phải minh họa phân loại kiểm soát theo NIST. "Piedmont Healthcare IT Security" gắn với bối cảnh y tế và yêu cầu bảo vệ thông tin sức khỏe, không phải ví dụ được chọn cho NIST SP 800-53. "ISO/IEC 27002 compliance in public sector" dùng một bộ chuẩn khác hẳn (ISO/IEC 27002 là quy tắc thực hành kiểm soát của ISO), nên không minh họa NIST SP 800-53.

Đáp án đúng gồm ba ý: "Business risk", "Compliance" và "Assurance". Mục tiêu của chính sách an toàn thông tin thường được diễn đạt theo ba góc: business risk (rủi ro kinh doanh) là chính sách giảm những rủi ro nào đe dọa hoạt động và giá trị doanh nghiệp; compliance (tuân thủ) là chính sách giúp đáp ứng luật, quy định và hợp đồng nào; assurance (bảo đảm) là chính sách cho ban lãnh đạo, kiểm toán và cơ quan quản lý niềm tin rằng kiểm soát đang hoạt động đúng. "Threat vectors" là các con đường tấn công như email lừa đảo hay thiết bị USB, chúng là đầu vào của phân tích rủi ro chứ không phải cách mô tả mục tiêu chính sách. "Business operation" là bối cảnh mà chính sách phục vụ, không phải một trục mô tả mục tiêu riêng. "Law" đã nằm trong nhóm tuân thủ, vì luật chỉ là một nguồn yêu cầu cần đáp ứng.

Đáp án đúng: "Approximately 60 hours/year". Chính sách cần được rà soát định kỳ để còn phù hợp với rủi ro và luật hiện hành; khối lượng công việc tính theo số lần rà soát trong năm. Bước một: chu kỳ 180 ngày nên một năm 365 ngày có khoảng 365 chia 180, xấp xỉ 2 lần rà soát. Bước hai: mỗi lần rà soát 25 chính sách, mỗi chính sách 1,2 giờ, tức 25 nhân 1,2 bằng 30 giờ. Bước ba: 30 giờ nhân 2 lần bằng 60 giờ mỗi năm. "Approximately 80 hours/year" sai vì ứng với khoảng 2,7 lần mỗi năm, tức chu kỳ chừng 137 ngày. "Approximately 100 hours/year" sai vì ứng với khoảng 3,3 lần, chu kỳ chừng 110 ngày. "Approximately 120 hours/year" sai vì ứng với 4 lần, tức rà soát mỗi quý 90 ngày, gấp đôi tần suất đã cho.

Đáp án đúng: "Difficult to follow and enforce". Chính sách không thành văn (unwritten policy) chỉ tồn tại qua lời nói, thói quen hay sự hiểu ngầm, nên mỗi người hiểu một kiểu, nhân viên mới không biết để làm theo, và khi có vi phạm thì tổ chức khó chứng minh người đó đã được yêu cầu, do đó khó thực thi kỷ luật. Đây là lý do chính sách an toàn thông tin phải được ghi thành văn bản và phê duyệt. "Published in a formal document" là đặc điểm của chính sách thành văn, trái ngược với chính sách không thành văn. "Documented in a memo" cũng là một dạng ghi chép bằng văn bản, nên không còn là không thành văn. "Encompasses broad statements of intent" là đặc điểm của chính sách viết ra ở mức cao, nêu ý định chung của ban lãnh đạo, chứ không phải nét riêng của chính sách không thành văn.