Câu hỏi: IAP301 - Phần 5: Chính sách người dùng

Đáp án đúng gồm hai ý: "Least access privileges customize access to an individual" và "Best fit privileges customize access to a group based on risk". Least access privileges (đặc quyền tối thiểu) cấp cho từng người đúng và chỉ đủ quyền cần cho công việc của chính họ, nên quyền được may đo theo cá nhân; best fit access privileges (đặc quyền phù hợp nhất) gom những người có vai trò tương tự thành nhóm và cấp quyền chung theo mức rủi ro, dễ quản trị hơn nhưng có thể dư quyền đôi chút. "Least access privileges customize access to a group based on risk" sai vì gán đặc điểm cấp theo nhóm của best fit cho least privilege. "Best fit privileges customize access to an individual" sai vì đảo ngược định nghĩa, may đo cho từng cá nhân là bản chất của least privilege. "No diffenrence" sai vì hai cách tiếp cận khác nhau rõ ở đơn vị được cấp quyền và mức độ chặt chẽ.

Đáp án đúng: "Law". Security awareness (nhận thức an ninh) là chương trình giúp nhân viên hiểu rủi ro và trách nhiệm của mình đối với chính sách an toàn thông tin. Yếu tố buộc tổ chức phải có chương trình này rõ nhất là luật và quy định: các văn bản như HIPAA hay FISMA đòi hỏi tổ chức đào tạo nhân viên về an ninh, và không tuân thủ có thể dẫn tới phạt tiền hoặc kiện tụng. "Customers" là bên hưởng lợi khi dữ liệu của họ được bảo vệ và có thể gây áp lực gián tiếp qua niềm tin, nhưng khách hàng không có quyền bắt buộc tổ chức đào tạo nhân viên. "Shareholders" quan tâm tới giá trị doanh nghiệp và có thể ủng hộ đầu tư cho an ninh, song đó vẫn là động lực gián tiếp chứ không phải nghĩa vụ pháp lý. "All are correct" không được chọn vì câu hỏi tìm yếu tố có khả năng cao nhất tạo ra sự bắt buộc, và chỉ luật mới mang tính cưỡng chế, hai bên còn lại chỉ tạo áp lực.

Đáp án đúng: "False". Interactive service account (tài khoản dịch vụ tương tác) là tài khoản mà con người hoặc ứng dụng dùng để đăng nhập trực tiếp vào hệ thống, ví dụ quản trị viên đăng nhập bằng tài khoản dịch vụ để bảo trì một ứng dụng. Vì có phiên đăng nhập tương tác nên tài khoản này phải có mật khẩu, và mật khẩu đó cần được quản lý chặt: đủ phức tạp, thay định kỳ, giới hạn số người được biết và ghi nhật ký mỗi lần sử dụng. Phát biểu cho rằng nó thường không có mật khẩu là sai. Vì vậy "True" không được chọn: chấp nhận nó đồng nghĩa với việc để một tài khoản đăng nhập được mà không có lớp xác thực nào, trái với nguyên tắc kiểm soát truy cập và là lỗ hổng mà kẻ tấn công rất hay khai thác.

Đáp án đúng: "Frequent security breaches". Mục tiêu của security awareness program (chương trình nâng cao nhận thức an ninh) là thay đổi hành vi của nhân viên, nên thước đo hiệu quả là kết quả thực tế: nếu sự cố do con người gây ra như bấm vào email lừa đảo, dùng mật khẩu yếu hay làm lộ dữ liệu vẫn liên tục xảy ra thì chương trình chưa đạt mục đích. Phương án "High number of training sessions" chỉ đo đầu vào là tổ chức bao nhiêu buổi; nhiều buổi không chứng minh chương trình tốt hay kém. Phương án "Lack of policy exceptions" nghĩa là ít trường hợp xin miễn áp dụng chính sách, thường cho thấy chính sách phù hợp và được chấp nhận, không phải dấu hiệu thất bại. Phương án "Consistent policy compliance" là dấu hiệu ngược lại, cho thấy nhân viên hiểu và làm theo chính sách, tức chương trình đang có hiệu quả.

Đáp án đúng gồm ba ý: "Users accessing the Internet", "Managing software licenses" và "Managing intellectual property". Acceptable use policy (AUP, chính sách sử dụng chấp nhận được) quy định người dùng được và không được làm gì với tài sản công nghệ của tổ chức, thuộc miền User Domain. Vì thế nó điều chỉnh cách nhân viên truy cập Internet (không vào trang độc hại, không dùng cho việc riêng quá mức), cấm cài phần mềm không có bản quyền để giữ đúng giấy phép, và cấm sao chép, phát tán tài sản trí tuệ của công ty hay của bên thứ ba. "Server-to-server communication" là giao tiếp giữa các hệ thống, do tiêu chuẩn kỹ thuật của miền hạ tầng và đội vận hành quản lý, không phải hành vi của người dùng. "Encryption when transmitting files" thuộc tiêu chuẩn mã hóa hoặc chính sách xử lý dữ liệu, quy định kỹ thuật bảo vệ dữ liệu khi truyền, chứ không phải nội dung chính của AUP.

Đáp án đúng: "Users accessing the Internet". Acceptable use policy (AUP, chính sách sử dụng chấp nhận được) thuộc User Domain, quy định người dùng được và không được làm gì với tài nguyên của tổ chức như Internet, email và máy tính, ví dụ cấm truy cập trang cờ bạc hay tải phần mềm lậu; nhân viên thường ký xác nhận đã đọc AUP. Trọng tâm của nó là hành vi của con người. "Server-to-server communication" là vấn đề kỹ thuật giữa các hệ thống, được điều chỉnh bằng tiêu chuẩn cấu hình mạng và máy chủ chứ không bằng AUP. "Encryption when transmitting files" thuộc chính sách hoặc tiêu chuẩn mã hóa dữ liệu khi truyền. "Server-to-server communication & Encryption when transmitting files" gộp hai chủ đề kỹ thuật vừa nêu nên cũng nằm ngoài phạm vi AUP, vốn nhắm vào cách người dùng sử dụng tài nguyên.

Đáp án đúng: "Users accessing the Internet". Acceptable use policy, viết tắt AUP (chính sách sử dụng chấp nhận được), quy định người dùng được và không được làm gì với tài nguyên công nghệ của tổ chức, điển hình là việc truy cập Internet, email, cấm vào trang độc hại, cấm tải phần mềm lậu; nhân viên thường phải ký xác nhận AUP. Trọng tâm là hành vi của con người. "Server-to-server communication" là giao tiếp giữa các máy chủ, do tiêu chuẩn cấu hình hạ tầng và kiến trúc mạng điều chỉnh, không liên quan hành vi người dùng. "Encryption when transmitting files" thuộc tiêu chuẩn mã hóa hoặc chính sách bảo vệ dữ liệu khi truyền. "Server-to-server communication and Users accessing the Internet" sai vì kéo theo phần giao tiếp máy chủ vốn không thuộc phạm vi AUP.

Đáp án đúng: "Unauthorized access to military systems by a contractor". Tình huống của Bộ Quốc phòng Mỹ (DoD) nhấn mạnh rằng người bên trong hoặc nhà thầu được cấp quyền rộng hơn nhu cầu có thể truy cập trái phép hệ thống quân sự, nên tổ chức phải áp dụng đặc quyền tối thiểu, rà soát quyền định kỳ và giám sát, ghi nhật ký hoạt động người dùng. "Government laptop theft" là bài học về mã hoá và bảo vệ vật lý thiết bị di động, không xoay quanh kiểm soát truy cập người dùng. "Target payment system hack" là vụ tấn công doanh nghiệp bán lẻ qua thông tin đăng nhập của nhà cung cấp bên thứ ba, không phải tình huống của DoD. "Healthcare data breach" thuộc lĩnh vực y tế gắn với HIPAA, cũng không phải tình huống của DoD.

Đáp án đúng: "All of the Above". Đào tạo nhận thức an toàn thông tin (security awareness) thường bị yêu cầu từ nhiều phía cùng lúc, vì con người là mắt xích dễ bị khai thác nhất qua lừa đảo, mật khẩu yếu hay làm lộ dữ liệu. "Law" đúng vì nhiều luật và quy định như HIPAA với ngành y tế hay GLBA với tổ chức tài chính đòi hỏi tổ chức phải đào tạo nhận thức bảo mật cho nhân viên. "Customers" cũng đúng vì khách hàng, nhất là doanh nghiệp đối tác, thường đưa yêu cầu đào tạo nhận thức vào hợp đồng hoặc bảng câu hỏi đánh giá nhà cung cấp trước khi giao dữ liệu. "Shareholders" đúng vì cổ đông muốn rủi ro được quản lý để bảo vệ giá trị công ty, và một vụ rò rỉ do nhân viên thiếu hiểu biết có thể làm sụt giá cổ phiếu. Mỗi ý riêng chỉ là một nguồn yêu cầu, nên chọn đủ cả ba mới đúng.

Đáp án đúng: "Clean desk policy". Clean desk policy (chính sách bàn làm việc sạch) yêu cầu nhân viên cất và khoá mọi tài liệu giấy, thiết bị lưu trữ, phương tiện số khi hết ngày làm việc hoặc khi rời chỗ, nhằm ngăn người khác nhìn trộm, lấy cắp hoặc chụp lại thông tin nhạy cảm. "Acceptable use policy" (chính sách sử dụng chấp nhận được) quy định cách dùng tài nguyên CNTT như máy tính, email, Internet, không nói về việc khoá tài liệu. "Privacy policy" (chính sách quyền riêng tư) mô tả cách tổ chức thu thập, sử dụng và bảo vệ dữ liệu cá nhân. "Walk out policy" không phải tên chính sách an ninh chuẩn yêu cầu cất giữ tài liệu cuối ngày.

Đáp án đúng: "Prevents employees from misusing the Internet". Acceptable use policy (chính sách sử dụng chấp nhận được, AUP) là văn bản quy định hành vi được phép và bị cấm khi dùng tài nguyên CNTT và Internet của tổ chức. AUP là kiểm soát hành chính mang tính răn đe: nó nói rõ thế nào là đúng và hậu quả khi vi phạm, nhưng tự nó không thể ngăn chặn hành vi sai; muốn ngăn chặn phải có kiểm soát kỹ thuật như lọc web. Vì vậy đây là phát biểu không phải lợi ích của AUP. Các phát biểu kia đều là lợi ích thật nên không được chọn: "Outlines disciplinary action for improper behavior" đúng vì AUP nêu rõ biện pháp kỷ luật khi vi phạm; "Reduces business liability" đúng vì khi có quy định rõ và nhân viên đã ký cam kết, tổ chức có căn cứ chứng minh mình đã phòng ngừa, giảm trách nhiệm pháp lý khi nhân viên lạm dụng; "Defines proper behavior while using the Internet" đúng vì đó chính là nội dung cốt lõi của AUP.

Đáp án đúng: "Anger". Social engineering (tấn công phi kỹ thuật, lừa đảo dựa vào tâm lý) khai thác những mong muốn và cảm xúc khiến nạn nhân hành động vội vàng hoặc hạ cảnh giác; anger (tức giận) không nằm trong nhóm động cơ thường bị khai thác vì nó làm người ta đối đầu và nghi ngờ hơn là hợp tác. Đây là câu phủ định nên các phương án kia là những điểm yếu tâm lý có thật: "Fear" (sợ hãi) bị khai thác qua email giả ngân hàng báo tài khoản sắp bị khóa hay giả cơ quan thuế đe dọa phạt; "Curiosity" (tò mò) bị khai thác bằng USB bỏ rơi dán nhãn hấp dẫn hay đường link giật gân; "Desire to help" (mong muốn giúp đỡ) bị khai thác khi kẻ gian giả làm nhân viên mới hay bộ phận hỗ trợ nhờ đặt lại mật khẩu. Vì ba cảm xúc này đều là công cụ quen thuộc của kẻ tấn công nên chúng không phải đáp án.

Đáp án đúng: "To inform employees about basic principles of information security and threats". Security Awareness Policy (SAP, chính sách nhận thức an toàn thông tin) quy định việc giáo dục và đào tạo định kỳ để nhân viên hiểu các nguyên tắc cơ bản như bảo mật mật khẩu, nhận diện email lừa đảo, báo cáo sự cố, và biết các mối đe dọa đang nhắm vào tổ chức. Mục tiêu là thay đổi hành vi của con người, vốn là mắt xích yếu nhất trong miền người dùng. "To manage software licenses" thuộc chính sách sử dụng chấp nhận được hoặc quản lý tài sản phần mềm, không phải mục đích của SAP. "To manage network traffic" là việc của tiêu chuẩn kỹ thuật về tường lửa và phân đoạn mạng trong miền LAN hoặc LAN-to-WAN. "To set encryption standards" thuộc tiêu chuẩn mã hóa, quy định thuật toán và độ dài khóa, chứ không phải nội dung giáo dục nhân viên.

Đáp án đúng: "Clean desk policy". Clean desk policy (chính sách bàn làm việc sạch) yêu cầu nhân viên cất giữ, khóa tài liệu giấy và phương tiện số như USB, ổ cứng rời khi kết thúc ngày làm việc hoặc khi rời chỗ, đồng thời khóa màn hình máy tính, để người khác không nhìn trộm hay lấy đi thông tin nhạy cảm. "Acceptable use policy" quy định cách sử dụng hợp lệ tài nguyên CNTT như Internet, email, thiết bị, không tập trung vào việc cất giữ tài liệu cuối ngày. "Privacy policy" mô tả cách tổ chức thu thập, sử dụng và bảo vệ thông tin cá nhân, chủ yếu hướng tới khách hàng. "Walk out policy" không phải loại chính sách chuẩn về bảo vệ tài liệu tại chỗ làm việc.

Đáp án đúng gồm ba ý: "Promise not to share the credentials entrusted to his or her care", "Promise to report any indication of a breach or intrusion promptly" và "Acknowledgment of the risk associated with elevated access in the event the credentials are breached or abused". Privileged-level access agreement (PAA, thỏa thuận truy cập đặc quyền) là văn bản riêng cho người giữ quyền quản trị, nhằm tăng nhận thức và trách nhiệm giải trình của nhóm này. Vì tài khoản đặc quyền bị lộ có thể gây thiệt hại lớn nhất, PAA buộc người dùng cam kết không chia sẻ thông tin đăng nhập, báo cáo ngay dấu hiệu xâm nhập và thừa nhận rủi ro gắn với quyền cao. Phương án "Level of privacy an individual should expect" thuộc acceptable use policy (chính sách sử dụng chấp nhận được) áp cho mọi người dùng, thông báo rằng hoạt động trên máy và mạng của tổ chức có thể bị giám sát, không riêng gì người có quyền quản trị. "E-mail etiquette" là quy tắc ứng xử khi dùng email, thuộc chính sách email hoặc AUP chung, không liên quan tới trách nhiệm của quyền đặc quyền.

Đáp án đúng: "User education and periodic training". Security Awareness Policy (SAP, chính sách nhận thức an ninh) quy định cách tổ chức nâng hiểu biết của nhân viên về rủi ro và trách nhiệm của họ: đào tạo khi mới vào, tập huấn định kỳ, nhắc nhở qua email hay áp phích, thử nghiệm lừa đảo giả lập. Trọng tâm là con người, vì người dùng là mắt xích yếu mà social engineering (tấn công phi kỹ thuật) khai thác. "Encryption key escrow" (ký gửi khóa mã) là cơ chế lưu giữ khóa để khôi phục dữ liệu, thuộc chính sách mật mã. "Firewall configurations" là tiêu chuẩn kỹ thuật cho ranh giới mạng, do đội hạ tầng thực hiện chứ không phải sáng kiến nhận thức. "Vendor service-level agreements" là thỏa thuận mức dịch vụ với nhà cung cấp, thuộc quản lý bên thứ ba.

Đáp án đúng: "An account that has not been used for an extended period.". Dormant account (tài khoản không hoạt động) là tài khoản vẫn còn hiệu lực nhưng lâu không có ai đăng nhập, thường của nhân viên đã nghỉ việc, chuyển bộ phận hoặc tài khoản tạo cho dự án đã kết thúc. Đây là rủi ro vì kẻ tấn công có thể chiếm dụng mà không ai phát hiện, nên chính sách quản lý tài khoản yêu cầu rà soát định kỳ và vô hiệu hóa tài khoản không dùng sau một khoảng thời gian quy định. Phương án "An account with unlimited access." mô tả tài khoản đặc quyền, không liên quan tới việc có được dùng hay không. Phương án "An account used only by the IT department." là tài khoản quản trị của phòng CNTT, vẫn đang được dùng nên không phải tài khoản không hoạt động. Phương án "An account for testing purposes only." là tài khoản thử nghiệm, có thể trở thành tài khoản không hoạt động nếu bị bỏ quên, nhưng định nghĩa của nó dựa trên mục đích chứ không dựa trên việc lâu không dùng.

Đáp án đúng gồm ba ý: "Basic principles of information security", "Awareness of risk and threats" và "How to report suspicious activity, incidents, and breaches". Một security awareness policy (chính sách nhận thức an ninh) tốt giúp nhân viên nắm nguyên tắc cơ bản như bảo vệ mật khẩu và phân loại dữ liệu, nhận ra rủi ro cùng mối đe dọa như email lừa đảo, và biết báo cáo hoạt động đáng ngờ, sự cố hay vi phạm cho đúng đầu mối để tổ chức phản ứng sớm. "Overriding skepticism" (hoài nghi quá mức) không phải lợi ích, vì chương trình nhận thức hướng tới sự cảnh giác vừa phải; nghi ngờ mọi thứ làm cản trở công việc và hợp tác. "Inherent human trust" (lòng tin bẩm sinh của con người) là điểm yếu mà kẻ tấn công phi kỹ thuật khai thác, chính sách nhận thức cần khắc phục nó chứ không đem lại nó như một lợi ích.

Đáp án đúng: "All other choices". Khi security awareness program (chương trình nâng cao nhận thức an ninh) nhấn mạnh rủi ro kinh doanh, tức giải thích sự cố an ninh ảnh hưởng thế nào tới doanh thu, khách hàng và công việc của chính nhân viên thay vì chỉ liệt kê quy định kỹ thuật, nó mang lại cả ba lợi ích nêu ra nên phương án gộp là đúng. Phương án "Risk becomes more relevant to employees" đúng vì nhân viên thấy rủi ro gắn với công việc hằng ngày của mình chứ không phải chuyện riêng của phòng CNTT, nhưng chỉ là một lợi ích. Phương án "Security policies are more likely to be followed" đúng vì khi hiểu lý do đằng sau, người ta tuân thủ tự nguyện hơn, nhưng chưa đủ. Phương án "Provides employees a foundation to deal with unexpected risk" đúng vì người hiểu bản chất rủi ro có thể tự phán đoán đúng trong tình huống chính sách chưa lường trước, nhưng chọn riêng nó thì bỏ sót hai lợi ích kia.

Đáp án đúng: "Sharing your password with a supervisor". Mục tiêu của đào tạo nhận thức an ninh là thay đổi hành vi người dùng, và một trong những điều cơ bản nhất là mật khẩu không bao giờ được chia sẻ, kể cả với cấp trên, vì nó phá vỡ trách nhiệm giải trình và mở đường cho social engineering (tấn công phi kỹ thuật) giả danh lãnh đạo. Người đã học mà vẫn làm điều này cho thấy đào tạo không hiệu quả. "A firewall breach" là sự cố kỹ thuật, có thể do lỗ hổng hay cấu hình sai, không trực tiếp phản ánh hành vi người dùng. "Sharing a laptop with a coworker" có thể chấp nhận được khi thiết bị dùng chung được phép và mỗi người đăng nhập bằng tài khoản riêng, nên không phải dấu hiệu rõ ràng. "A fire in the data center" là sự cố vật lý, môi trường, thuộc phạm vi kiểm soát cơ sở vật chất chứ không phải nhận thức người dùng.