Câu hỏi: IAP301 - Phần 3: Chính sách, tiêu chuẩn, quy trình và hướng dẫn

Đáp án đúng: "To define the scope and meaning of terms used". Phần dictionary hay definitions (từ điển thuật ngữ) trong tài liệu chính sách giải thích chính xác ý nghĩa và phạm vi các từ được dùng, chẳng hạn thế nào là dữ liệu nhạy cảm hay ai được coi là người dùng, để mọi người đọc chính sách hiểu giống nhau và khi kiểm toán hay xử lý vi phạm không có tranh cãi về cách hiểu. "To provide translations" sai vì phần này không chuyển ngữ, nó cố định nghĩa của thuật ngữ trong cùng một ngôn ngữ. "To list employees" sai vì chính sách nêu vai trò và trách nhiệm theo chức danh, không liệt kê danh sách nhân sự, vốn thay đổi thường xuyên. "To outline budgets" sai vì ngân sách thuộc kế hoạch triển khai và quản lý dự án, không thuộc phần định nghĩa thuật ngữ của tài liệu chính sách.

Đáp án đúng: "Procedure". Procedure (thủ tục) là tài liệu mô tả các bước hành động cụ thể, tuần tự để thực hiện và tuân thủ một standard, ví dụ các bước cấu hình mật khẩu trên máy chủ để đạt tiêu chuẩn mật khẩu của công ty. "Policy" (chính sách) là tuyên bố cấp cao về điều tổ chức muốn đạt được, không chỉ ra thao tác. "Guideline" (hướng dẫn) là lời khuyên không bắt buộc, giúp làm tốt hơn khi có thể chứ không quy định hành động bắt buộc. "Standard" (tiêu chuẩn) đặt ra yêu cầu kỹ thuật bắt buộc như độ dài mật khẩu tối thiểu, nhưng nói phải đạt cái gì chứ không mô tả cách làm từng bước.

Đáp án đúng: "Policy definitions document". Policy definitions document (tài liệu định nghĩa chính sách) tập hợp định nghĩa thống nhất của các thuật ngữ dùng trong bộ chính sách như dữ liệu nhạy cảm, chủ sở hữu dữ liệu hay sự cố. Nó thường bị bỏ qua nhưng rất quan trọng vì kiểm toán viên và cơ quan quản lý dựa vào nó để hiểu chính sách được diễn giải ra sao và đánh giá kiểm soát có chặt chẽ không. "Guideline" là hướng dẫn tùy chọn, không phải căn cứ để đánh giá độ vững của kiểm soát. "Procedure" mô tả các bước thực hiện cụ thể và hiếm khi bị bỏ qua vì người vận hành dùng hằng ngày. "Policy" là tài liệu trung tâm mà ai cũng chú ý, nên không thể nói là thường bị bỏ qua.

Đáp án đúng: "Information security management systems (ISMS)". ISO/IEC 27001 là chuẩn quốc tế đặt yêu cầu cho việc thiết lập, triển khai, duy trì và cải tiến liên tục một ISMS (hệ thống quản lý an toàn thông tin), dựa trên đánh giá và xử lý rủi ro; tổ chức có thể được chứng nhận theo chuẩn này. "Hardware procurement" (mua sắm phần cứng) chỉ là một hoạt động vận hành, có thể chịu kiểm soát an ninh khi mua sắm nhưng không phải trọng tâm của chuẩn. "Financial reporting systems" liên quan báo cáo tài chính, lĩnh vực mà SOX và các chuẩn kế toán điều chỉnh. "Programming methodologies" là phương pháp phát triển phần mềm như Agile, Waterfall, không phải nội dung của ISO/IEC 27001.

Đáp án đúng: "Schedule a formal review and apply version tracking". Chính sách an ninh phải được rà soát định kỳ và khi môi trường CNTT thay đổi đáng kể, đồng thời có quản lý phiên bản (version control) ghi rõ ai sửa, sửa gì, khi nào để truy vết và chứng minh với kiểm toán. Một chính sách hai năm chưa cập nhật và không có ghi chú sửa đổi cần được đưa vào quy trình rà soát chính thức. "Leave it unchanged since no breach occurred" sai vì chưa bị xâm nhập không chứng minh chính sách còn phù hợp; đợi có sự cố mới sửa là phản ứng muộn. "Archive the policy and stop referencing it" sai vì bỏ chính sách mà không có bản thay thế để lại khoảng trống, nhân viên không còn hướng dẫn. "Add technical jargon to modernize the language" sai vì thêm thuật ngữ không cập nhật nội dung, còn làm chính sách khó hiểu hơn với người đọc không chuyên.

Đáp án đúng: "Security principle document". Tài liệu nguyên tắc an ninh nêu các quy tắc và nguyên lý nền tảng như đặc quyền tối thiểu, phân tách nhiệm vụ, phòng thủ nhiều lớp, giúp mọi người diễn giải thống nhất các chính sách chi tiết trong toàn tổ chức, nhất là khi một tình huống chưa được chính sách nói rõ. "Procedure manual" chứa các bước thao tác cụ thể, không phải nguyên lý để diễn giải chính sách. "Policy dictionary" chỉ định nghĩa thuật ngữ, giúp hiểu từ ngữ nhưng không nêu nguyên tắc định hướng. "Audit trail" là nhật ký ghi lại ai làm gì, khi nào, dùng để truy vết và kiểm toán chứ không phải tài liệu hướng dẫn diễn giải chính sách.

Đáp án đúng: "To inform users of security procedures". Nguyên tắc awareness (nhận thức) trong bộ nguyên tắc an toàn hệ thống thông tin yêu cầu người dùng và các bên liên quan được thông tin về các biện pháp, thủ tục bảo mật đang áp dụng, để họ biết mình cần làm gì và vì sao. Ví dụ tổ chức phổ biến quy trình báo cáo email lừa đảo cho toàn bộ nhân viên. "To enforce strict security controls" là việc thực thi kiểm soát, thuộc về chính sách và cơ chế kỹ thuật, còn nhận thức chỉ nhằm cung cấp hiểu biết. "To increase personal accountability" là mục tiêu của nguyên tắc accountability (trách nhiệm giải trình), xác định ai chịu trách nhiệm cho hành động nào. "To ensure ethical use of information systems" là nội dung của nguyên tắc ethics (đạo đức), nói về việc sử dụng hệ thống tôn trọng quyền và lợi ích chính đáng của người khác.

Đáp án đúng: "ISO/IEC 27001". ISO/IEC 27001 là tiêu chuẩn quốc tế đặt ra yêu cầu để thiết lập, vận hành, giám sát và cải tiến liên tục một ISMS (Information Security Management System, hệ thống quản lý an toàn thông tin), dựa trên đánh giá rủi ro và chu trình Plan-Do-Check-Act; tổ chức có thể được chứng nhận theo tiêu chuẩn này. "HIPAA" là luật của Mỹ về bảo vệ thông tin sức khoẻ, chỉ áp dụng cho ngành y tế. "SOX" (Sarbanes-Oxley) là luật của Mỹ yêu cầu kiểm soát nội bộ đối với báo cáo tài chính của công ty niêm yết. "PCI-DSS" là tiêu chuẩn của ngành thẻ thanh toán về bảo vệ dữ liệu chủ thẻ, không phải khung ISMS quốc tế tổng quát.

Đáp án đúng: "To serve as the foundation of an organization’s information security program.". IT security policy framework (khung chính sách an toàn CNTT) gồm policy, standard, procedure và guideline, là nền móng của chương trình an toàn thông tin: mọi biện pháp kỹ thuật, đào tạo hay kiểm toán đều bắt nguồn từ đó và phải nhất quán với nó. "To ensure all IT projects are completed on time." sai vì tiến độ dự án là việc của quản lý dự án, không phải của khung chính sách an ninh. "To monitor employee internet usage." chỉ là một biện pháp cụ thể có thể được một chính sách quy định, không phải mục đích của cả khung. "To facilitate software development processes." sai vì hỗ trợ phát triển phần mềm là vai trò của quy trình phát triển, khung an ninh chỉ đặt yêu cầu an toàn cho quy trình đó.

Đáp án đúng gồm ba ý: "COBIT", "ISO/IEC 27002" và "NIST SP 800-53". Đây là ba khung chính sách và kiểm soát được chấp nhận rộng rãi: COBIT là khung quản trị và kiểm soát CNTT của ISACA, gắn CNTT với mục tiêu kinh doanh; ISO/IEC 27002 là bộ quy tắc thực hành về các kiểm soát an toàn thông tin, đi kèm hệ thống quản lý ISO/IEC 27001; NIST SP 800-53 là danh mục kiểm soát bảo mật và quyền riêng tư của Viện Tiêu chuẩn và Công nghệ Hoa Kỳ, dùng rộng rãi cho hệ thống liên bang. "NIPP" (National Infrastructure Protection Plan) là kế hoạch quốc gia của Hoa Kỳ về bảo vệ hạ tầng trọng yếu, mang tính chiến lược phối hợp giữa chính phủ và các ngành, không phải khung xây dựng chính sách cho một tổ chức. "Factor Analysis of Information Risk (FAIR)" là mô hình định lượng rủi ro thông tin theo giá trị tiền tệ, hữu ích cho phân tích rủi ro nhưng không phải khung chính sách.

Đáp án đúng: "Procedure". Procedure (thủ tục) là tài liệu chính sách chi tiết nhất, mô tả từng bước, từng thao tác cụ thể mà nhân sự bắt buộc phải làm để thực hiện một chính sách hay tiêu chuẩn, ví dụ các bước tạo tài khoản cho nhân viên mới hay các bước sao lưu máy chủ hằng đêm. Phương án "Standard" (tiêu chuẩn) là yêu cầu bắt buộc đo lường được, như độ dài mật khẩu tối thiểu hay thuật toán mã hóa phải dùng; nó nói cần đạt cái gì chứ không mô tả các bước làm. Phương án "Guideline" (hướng dẫn) là khuyến nghị không bắt buộc, giúp người dùng chọn cách làm tốt khi chưa có quy định cụ thể. Phương án "Baseline" (cấu hình cơ sở) là mức cấu hình an ninh tối thiểu cho một loại hệ thống, như danh sách dịch vụ phải tắt trên máy chủ, không phải chuỗi thao tác của nhân sự.

Đáp án đúng: "Balancing security needs with business objectives". Khung chính sách an ninh tốt phải hỗ trợ mục tiêu kinh doanh: kiểm soát được thiết kế tương xứng với rủi ro, không cản trở hoạt động tới mức nhân viên tìm cách lách. Chính sách quá lỏng gây rủi ro, quá chặt làm giảm năng suất, nên cân bằng là đặc trưng then chốt. "High complexity to cover all technological aspects" sai vì chính sách phức tạp khó hiểu, khó thực thi; khung tốt cần rõ ràng, súc tích. "Strict focus on external threats" sai vì bỏ qua đe dọa nội bộ như nhân viên bất cẩn hay cố ý. "Inclusion of detailed technical instructions" sai vì chỉ dẫn kỹ thuật chi tiết thuộc procedures hoặc standards bên dưới, đưa vào chính sách cấp cao làm nó nhanh lỗi thời.

Đáp án đúng gồm bốn ý: "Control standards–Policy documents describing core security control requirements", "Baseline standards–Technical documents describing security controls for a specific technology", "Procedure documents–Processes to implement control and baseline standards" và "Guidelines–Optional documents that include parameters and recommend policies, standards, or procedures". Bốn loại tài liệu này tạo thành tầng thực thi bên dưới chính sách cho từng miền hạ tầng: control standard nêu yêu cầu kiểm soát cốt lõi, baseline standard cụ thể hóa cấu hình an toàn cho một công nghệ như một phiên bản hệ điều hành, procedure mô tả từng bước thực hiện hai loại chuẩn trên, còn guideline là khuyến nghị không bắt buộc giúp người thực hiện lựa chọn hợp lý. "Vulnerability standards–Technical documents describing core security vulnerabilities released" sai vì danh sách lỗ hổng như CVE là thông tin đầu vào cho đánh giá rủi ro, không phải loại tài liệu ghi yêu cầu kiểm soát. "Threat standards–Technical documents describing core security threats released" sai vì thông tin về mối đe dọa cũng là đầu vào phân tích, không phải tài liệu quy định kiểm soát của miền.

Đáp án đúng: "Standard". Công ty đang áp dụng các standard (tiêu chuẩn): OpenID Connect là chuẩn xác thực mở, các hướng dẫn tiếp cận nội dung web về độ tương phản, điều hướng bàn phím, trình đọc màn hình là bộ tiêu chí tuân thủ đo lường được, còn HTTP, HTML5, CSS, JavaScript là các chuẩn web chung. Đặc điểm của standard là yêu cầu cụ thể, thống nhất, kiểm tra được đạt hay không và thường do tổ chức chuẩn hóa ban hành, đúng như cách công ty dùng chúng để bảo đảm an ninh, khả năng tiếp cận và tương thích. Phương án "Policy" (chính sách) là tuyên bố cấp cao về mục tiêu và ý định của lãnh đạo, không chỉ định công nghệ cụ thể nào. Phương án "Procedure" (thủ tục) là chuỗi bước thao tác chi tiết, trong khi tình huống mô tả việc chọn chuẩn để tuân theo chứ không mô tả các bước làm. Phương án "Guildline" là hướng dẫn mang tính khuyến nghị, không bắt buộc, còn ở đây công ty cam kết tuân thủ các chuẩn chung của ngành.