Câu hỏi: IAP301 - Phần 4: Khung chính sách, vai trò và phân tách nhiệm vụ

Đáp án đúng: "A governance and controls framework for assessing, governing, and managing IT security and risks". COBIT (Control Objectives for Information and Related Technologies) do ISACA phát triển là khung quản trị và kiểm soát CNTT, giúp tổ chức đánh giá, quản trị và quản lý an ninh cũng như rủi ro CNTT, gắn mục tiêu CNTT với mục tiêu kinh doanh và cung cấp mục tiêu kiểm soát để đo mức trưởng thành. "A framework for financial controls only" sai vì COBIT không chỉ bao trùm kiểm soát tài chính; khung tập trung vào kiểm soát nội bộ cho báo cáo tài chính gần với COSO hơn, dù COBIT thường được dùng hỗ trợ tuân thủ SOX. "A set of practices for IT service management" mô tả đúng hơn ITIL, bộ thực hành quản lý dịch vụ CNTT; COBIT có đề cập dịch vụ nhưng tầm của nó là quản trị và kiểm soát. "A specific set of technologies for risk management" sai vì COBIT trung lập về công nghệ, nó nêu mục tiêu và quy trình chứ không chỉ định sản phẩm hay công nghệ cụ thể.

Đáp án đúng: "Company officers". Khi xảy ra vi phạm an ninh nghiêm trọng, cơ quan quản lý và công chúng quy trách nhiệm cuối cùng cho company officers (cán bộ điều hành cấp cao như CEO, CFO cùng hội đồng quản trị), vì họ có nghĩa vụ ủy thác bảo vệ tài sản và dữ liệu của tổ chức; luật như SOX còn buộc lãnh đạo cấp cao ký xác nhận về hệ thống kiểm soát nội bộ. "The CIO" chịu trách nhiệm vận hành CNTT nhưng vẫn báo cáo lên ban lãnh đạo, không phải người gánh trách nhiệm sau cùng. "The ISO" (Information Security Officer, cán bộ an toàn thông tin) xây dựng và giám sát chương trình an ninh, nhưng thẩm quyền và trách nhiệm pháp lý cuối cùng thuộc về lãnh đạo công ty. "The data owner" chịu trách nhiệm phân loại và phê duyệt quyền truy cập cho một tập dữ liệu cụ thể, phạm vi hẹp hơn nhiều.

Đáp án đúng: "Align, Plan, and Organize". Trong COBIT 5, miền Align, Plan, and Organize (APO, căn chỉnh, hoạch định và tổ chức) bao gồm các quy trình như quản lý danh mục đầu tư, ngân sách và chi phí, quản lý nhà cung cấp và hợp đồng, quản lý thoả thuận dịch vụ (SLA, cam kết mức dịch vụ) và định hướng chính sách. Rà soát cách quản lý khoản đầu tư CNTT, hợp đồng, ý tưởng chính sách mới và SLA là công việc hoạch định nên thuộc miền này. "Build, Acquire, and Implement" (BAI) lo việc xây dựng, mua sắm và triển khai giải pháp, quản lý thay đổi và dự án, tức là bước thực hiện sau khi đã hoạch định. "Deliver, Service, and Support" (DSS) là vận hành hằng ngày: cung cấp dịch vụ, xử lý sự cố, yêu cầu người dùng và bảo đảm an ninh vận hành. "Monitor, Evaluate, and Assess" (MEA) giám sát hiệu năng, đánh giá kiểm soát nội bộ và tuân thủ, tức là đo lường kết quả chứ không lập kế hoạch đầu tư.

Đáp án đúng: "Approving access to data". Câu hỏi phủ định: cần tìm việc KHÔNG phải trách nhiệm chính của data steward (người quản lý dữ liệu tác nghiệp). Quyền phê duyệt ai được truy cập dữ liệu thuộc data owner (chủ sở hữu dữ liệu), thường là lãnh đạo nghiệp vụ chịu trách nhiệm cuối cùng về dữ liệu; data steward thực thi các quyết định đó ở mức hằng ngày. Những việc sau đây đúng là của data steward nên không chọn. "Ensuring data quality within the business unit" là trách nhiệm cốt lõi: bảo đảm dữ liệu trong đơn vị chính xác, đầy đủ, nhất quán. "Implementing data handling policies" đúng vì steward áp dụng chính sách xử lý dữ liệu vào thực tế công việc. "Defining business requirements for data" cũng thuộc steward vì họ hiểu nghiệp vụ nên xác định dữ liệu cần gì, định nghĩa trường dữ liệu và quy tắc nghiệp vụ.

Đáp án đúng: "Management processes". COBIT tách các quy trình thành hai nhóm: governance processes (quy trình quản trị, miền EDM gồm đánh giá, định hướng và giám sát) do hội đồng quản trị và lãnh đạo cấp cao đảm nhận để đặt mục tiêu, và management processes (quy trình quản lý, các miền APO, BAI, DSS, MEA) do cấp quản lý thực hiện để lập kế hoạch, xây dựng, vận hành và theo dõi. Quality assurance controls (kiểm soát đảm bảo chất lượng) là hoạt động vận hành thường xuyên, thuộc quy trình APO11 Manage Quality nằm trong nhóm quản lý. Phương án "Governance processes" sai vì quản trị chỉ đặt định hướng và giám sát, không trực tiếp thực hiện kiểm soát chất lượng. Phương án "Both governance processes and management processes" sai vì gộp cả hai làm mờ ranh giới giữa quản trị và quản lý mà COBIT cố ý tách biệt. Phương án "None of the above" sai vì kiểm soát chất lượng có vị trí xác định trong nhóm quản lý.

Đáp án đúng: "expensive or burdensome". Separation of duties (SOD, phân tách nhiệm vụ) chia một quy trình nhạy cảm cho nhiều người để không ai một mình thực hiện trọn được, ví dụ người tạo lệnh chi khác người duyệt lệnh chi. Mỗi lớp phê duyệt thêm vào đòi hỏi thêm nhân sự, thêm thời gian chờ và thêm công quản lý, nên càng nhiều lớp thì quy trình càng tốn kém hoặc nặng nề; tổ chức phải cân bằng mức kiểm soát với chi phí và tốc độ kinh doanh. "effective" không phù hợp vì thêm lớp duyệt không tự động làm quy trình hiệu quả hơn; vượt mức cần thiết còn khiến người dùng tìm cách lách. "inexpensive" nói ngược hẳn với thực tế, vì mỗi lớp duyệt là thêm chi phí. "None of the mentioned" sai vì đã có phương án mô tả đúng hệ quả là chi phí và gánh nặng tăng lên.

Đáp án đúng: "Reporting risks and threats to higher levels of management". Trong chính sách an ninh, escalation (leo thang) là quy trình chuyển một rủi ro, mối đe dọa hay sự cố vượt quá thẩm quyền hoặc khả năng xử lý của cấp hiện tại lên cấp quản lý cao hơn theo các ngưỡng định sẵn, để người có đủ quyền quyết định nguồn lực và hành động. Ví dụ quản trị viên phát hiện rò rỉ dữ liệu khách hàng phải báo ngay lên trưởng bộ phận an ninh và lãnh đạo thay vì tự xử lý một mình. Phương án "Upgrading security systems" là nâng cấp kỹ thuật, không phải khái niệm leo thang trong chính sách. Phương án "Increasing user access rights" gợi tới privilege escalation (leo thang đặc quyền), một kiểu tấn công hoặc thay đổi quyền, khác với leo thang báo cáo trong quản lý rủi ro. Phương án "Implementing new software" là hoạt động triển khai, không liên quan tới việc báo cáo lên cấp trên.

Đáp án đúng: "COBIT". COBIT (Control Objectives for Information and Related Technologies) do ISACA phát triển là khung thực hành tốt được chấp nhận rộng rãi trên thế giới cho quản trị và quản lý CNTT doanh nghiệp: nó gắn mục tiêu CNTT với mục tiêu kinh doanh, định nghĩa các quy trình, mục tiêu kiểm soát và chỉ số đo lường, nên thường được dùng làm nền cho chính sách và kiểm toán. "ITIL" cũng là bộ thực hành tốt nhưng tập trung vào quản lý dịch vụ CNTT (vận hành, hỗ trợ, sự cố, thay đổi), không phải khung quản trị IT tổng thể. "PRINCE2" là phương pháp quản lý dự án, không chuyên về quản trị quy trình CNTT. "Agile" là triết lý và cách tiếp cận phát triển phần mềm lặp, linh hoạt, không phải khung quản trị CNTT.

Đáp án đúng: "Sell, Market, and Profit". Câu hỏi phủ định: cần tìm cái KHÔNG phải miền quy trình của COBIT. COBIT chia mảng quản lý CNTT thành các miền theo vòng đời: lập kế hoạch, xây dựng, vận hành và giám sát; bán hàng, tiếp thị, lợi nhuận là hoạt động kinh doanh thuần, không phải miền quản trị CNTT. "Align, Plan, and Organize" (APO) đúng là miền COBIT, lo chiến lược, kiến trúc, ngân sách, rủi ro CNTT. "Build, Acquire, and Implement" (BAI) đúng là miền COBIT, bao trùm việc xây dựng, mua sắm và triển khai giải pháp, quản lý thay đổi. "Deliver, Service, and Support" là cách gọi miền DSS (Deliver, Service and Support) lo vận hành, quản lý sự cố, dịch vụ an ninh hằng ngày, nên cũng thuộc COBIT và không được chọn.

Đáp án đúng: "Defines an approach to reduce risk". GRC (governance, risk and compliance, quản trị, rủi ro và tuân thủ) và ERM (enterprise risk management, quản trị rủi ro doanh nghiệp) đều là cách tiếp cận có hệ thống nhằm nhận diện và giảm rủi ro cho tổ chức; đó là điểm chung của hai mô hình. "Applies rigid framework to eliminate redundant controls, policies, and efforts" là đặc điểm của GRC, vốn dùng khung cố định để hợp nhất kiểm soát và tuân thủ, trong khi ERM linh hoạt theo mục tiêu kinh doanh. "Passively enforces security policy" không đúng với cả hai, vì GRC chủ động thực thi chính sách. "Seeks line of sight into root causes of risks" là đặc trưng của ERM, chú trọng tìm nguyên nhân gốc của rủi ro trên toàn doanh nghiệp.

Đáp án đúng: "Chief risk officer and Chief information officer". Báo cáo lên hội đồng quản trị về tình trạng an toàn thông tin là báo cáo cấp điều hành, gắn an ninh với rủi ro doanh nghiệp; vì vậy chief risk officer, viết tắt CRO (giám đốc rủi ro), người tổng hợp rủi ro toàn tổ chức, cùng chief information officer, viết tắt CIO (giám đốc công nghệ thông tin), người chịu trách nhiệm hệ thống CNTT, thường là người lập và trình bày báo cáo này. "Chief risk officer" hoặc "Chief information officer" đứng riêng chỉ nêu một nửa vai trò. "Chief information security officer" (CISO) điều hành chương trình an ninh hằng ngày và cung cấp dữ liệu cho báo cáo, nhưng ở nhiều tổ chức CISO báo cáo qua CIO hoặc CRO chứ không trực tiếp trình hội đồng. "Chief information officer and Chief information security officer" vì thế bỏ mất góc nhìn rủi ro doanh nghiệp của CRO.

Đáp án đúng: "The overall way in which the organization's controls are governed and executed". Control environment (môi trường kiểm soát) là nền tảng của hệ thống kiểm soát nội bộ, thể hiện cách tổ chức quản trị và vận hành các kiểm soát nói chung: thái độ của lãnh đạo đối với kiểm soát (tone at the top), cơ cấu tổ chức, phân công trách nhiệm, chính sách và văn hóa tuân thủ. Đây là thành phần đầu tiên trong khung kiểm soát nội bộ COSO. Phương án "An inventory of the security policy controls" chỉ là danh mục các kiểm soát, một tài liệu chứ không phải toàn bộ cách kiểm soát được quản trị và thực hiện. Phương án "A well-defined framework to track control exceptions" chỉ là cơ chế theo dõi các ngoại lệ, một phần nhỏ bên trong môi trường kiểm soát. Phương án "None of the above" sai vì đã có phương án mô tả đúng định nghĩa.

Đáp án đúng: "Auditor". Auditor (kiểm toán viên) là người độc lập với bộ phận được kiểm tra, có nhiệm vụ đánh giá rủi ro, xem các kiểm soát có được thiết kế và vận hành đúng không, rồi đưa ra ý kiến độc lập cho ban lãnh đạo, hội đồng quản trị hoặc cơ quan quản lý. Tính độc lập là điều làm ý kiến của họ có giá trị. "Administrators" là người quản trị hệ thống, trực tiếp cấu hình và vận hành kiểm soát nên không thể tự đưa ra ý kiến độc lập về chính công việc của mình. "Customers" là khách hàng, bên sử dụng sản phẩm, dịch vụ và quan tâm dữ liệu của mình được bảo vệ, nhưng không có vai trò đánh giá rủi ro nội bộ. "Shareholders" là cổ đông, bên dựa vào ý kiến của kiểm toán viên để ra quyết định, chứ không phải người phát hành ý kiến đó.

Đáp án đúng: "Monitors adherence to laws and regulations". Compliance officer (cán bộ tuân thủ) giám sát việc tổ chức tuân thủ luật, quy định và chính sách nội bộ, ví dụ HIPAA, SOX, GLBA: theo dõi, kiểm tra, báo cáo vi phạm và đề xuất khắc phục, đóng vai trò độc lập với người vận hành. "Identifies and develops security policies" là việc của nhóm chính sách an ninh, thường do CISO dẫn dắt. "Approves access rights to information" là trách nhiệm của data owner (chủ sở hữu dữ liệu), người quyết định ai được truy cập. "Manages day-to-day data maintenance" thuộc data custodian (người giám hộ dữ liệu) hoặc data steward, những người lo sao lưu, bảo trì và chất lượng dữ liệu hằng ngày.

Đáp án đúng: "Auditor". Auditor (kiểm toán viên) xem xét rủi ro và mức hiệu quả của kiểm soát, rồi phát hành ý kiến độc lập; vì không trực tiếp vận hành hệ thống, họ có thể đánh giá khách quan việc tổ chức có tuân thủ chính sách và quy định như SOX hay không. "Administrator" là người quản trị hệ thống, thực hiện các thao tác hằng ngày như tạo tài khoản, cấu hình máy chủ, nên công việc của họ là đối tượng được kiểm toán chứ không độc lập. "Data Custodian" (người giám hộ dữ liệu) là người bảo quản dữ liệu về mặt kỹ thuật: sao lưu, phân quyền, bảo vệ theo yêu cầu của chủ dữ liệu, không phải người đánh giá độc lập. "Data Steward" (người quản lý dữ liệu) chịu trách nhiệm chất lượng và việc dùng dữ liệu đúng quy tắc trong nghiệp vụ, cũng là vai trò vận hành chứ không đưa ra ý kiến độc lập về rủi ro.

Đáp án đúng: "Decentralization of the risk function". Đây là câu phủ định: cần chọn điều không phải lợi ích của việc triển khai COBIT (Control Objectives for Information and Related Technologies), khung quản trị CNTT của ISACA. COBIT giúp tập trung và chuẩn hóa chức năng quản lý rủi ro, để rủi ro CNTT được nhìn thống nhất ở cấp doanh nghiệp, nên phi tập trung hóa chức năng rủi ro đi ngược mục tiêu đó. Ba ý kia là lợi ích thật nên không được chọn. "Value delivery" đúng vì COBIT gắn đầu tư CNTT với giá trị kinh doanh mang lại. "Better resourcing of IT" đúng vì khung giúp phân bổ con người, ngân sách và hạ tầng CNTT hợp lý hơn. "Better communication" đúng vì COBIT tạo ngôn ngữ chung giữa bộ phận CNTT, ban lãnh đạo và kiểm toán.

Đáp án đúng: "All of the above". Data owner (chủ sở hữu dữ liệu) là người quản lý phía kinh doanh chịu trách nhiệm cuối cùng về một tập dữ liệu: quyết định phân loại dữ liệu, ai được truy cập và mức bảo vệ cần thiết, còn việc vận hành kỹ thuật giao cho data custodian (người giám hộ dữ liệu). Để làm tròn vai trò đó, chủ sở hữu cần đủ cả bốn phẩm chất nêu ra, nên phương án gộp là đúng. Phương án "Is in a senior position within the business" đúng vì cần đủ thẩm quyền để quyết định và chịu trách nhiệm, nhưng chỉ là một phẩm chất. Phương án "Understands the data operations of the business" đúng vì phải hiểu dữ liệu được tạo và dùng thế nào trong nghiệp vụ, nhưng chưa đủ. Phương án "Understands the importance and value of the information to the business" đúng vì giá trị dữ liệu quyết định mức phân loại và đầu tư bảo vệ, nhưng chưa đủ. Phương án "Understand the ramifications of inaccurate data or unauthorized access" đúng vì phải lường được hậu quả khi dữ liệu sai lệch hay bị lộ, nhưng chọn riêng nó thì bỏ sót các phẩm chất khác.

Đáp án đúng: "Decentralization of the risk function". Khi tổ chức áp dụng COBIT, các cải thiện thường được ghi nhận là quản trị CNTT gắn với mục tiêu kinh doanh hơn, và chức năng quản lý rủi ro được tập trung, thống nhất chứ không phải phân tán. Vì vậy phân tán chức năng rủi ro không phải là một cải thiện, đây là đáp án của câu phủ định. "Value delivery" là cải thiện thật, vì COBIT giúp đo và bảo đảm đầu tư CNTT tạo ra giá trị cho doanh nghiệp, nên không được chọn. "Better resourcing of IT" cũng là cải thiện, khung giúp phân bổ con người, ngân sách và hạ tầng CNTT hợp lý hơn theo ưu tiên kinh doanh. "Better communication" đúng là cải thiện, vì COBIT tạo ngôn ngữ chung giữa CNTT, kinh doanh và kiểm toán, giúp các bên hiểu nhau hơn.

Đáp án đúng: "Defines an approach to reduce risk". GRC (governance, risk and compliance, quản trị, rủi ro và tuân thủ) và ERM (enterprise risk management, quản trị rủi ro doanh nghiệp) đều là cách tiếp cận có hệ thống để nhận diện và giảm rủi ro, đó là điểm chung của cả hai. "Applies rigid framework to eliminate redundant controls, policies, and efforts" sai vì GRC có hướng tới loại bỏ kiểm soát trùng lặp nhưng không bằng một khung cứng nhắc, còn ERM linh hoạt theo bối cảnh kinh doanh. "Passively enforces security policy" sai vì GRC chủ động thực thi chính sách qua công cụ tự động, còn ERM không phải công cụ thực thi. "Seeks line of sight into root causes of risks" là đặc trưng của ERM, nhìn rủi ro ở góc toàn doanh nghiệp tới tận nguyên nhân gốc, trong khi GRC tập trung vào kiểm soát và tuân thủ, nên đó không phải điểm chung.

Đáp án đúng: "Access management". Access management (quản lý truy cập) là quy trình xử lý yêu cầu cấp, sửa và thu hồi quyền; nếu được thiết kế đúng, nó đối chiếu yêu cầu mới với quyền hiện có để phát hiện vi phạm separation of duties (phân tách nhiệm vụ), như một nhân viên giao dịch cùng lúc có quyền vào ứng dụng front-office và back-office. "Risk assessment" là đánh giá rủi ro nói chung để xác định cần kiểm soát gì, không kiểm tra từng yêu cầu cấp quyền. "Controls design" là bước thiết kế kiểm soát, đặt ra quy tắc phân tách nhiệm vụ nhưng không tự phát hiện vi phạm khi quyền được cấp. "Escalation" là quy trình báo cáo lên cấp cao hơn sau khi vấn đề đã được phát hiện.