Câu hỏi: IAP301 - Phần 5: Chính sách người dùng
22 câu trắc nghiệm kèm lời giải của môn IAP301 - Phát triển chính sách an toàn thông tin, xếp theo thứ tự nhập vào ngân hàng. Trang 2/2 — câu 21–22.
Danh sách câu hỏi
22/22 câuHết danh sách
21Which is not a human desire that cyber criminals exploit when using social engineering techniques?4 lựa chọn
ACuriosity
BTrust
CFear
DSpite
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "Spite". Đây là câu phủ định: cần tìm cảm xúc KHÔNG được kẻ tấn công lợi dụng trong social engineering (kỹ thuật lừa đảo phi kỹ thuật). Kẻ lừa đảo khai thác những thôi thúc phổ biến khiến nạn nhân hành động vội; spite (ác ý, hằn học) không phải động cơ mà chúng dựa vào. "Curiosity" (tò mò) bị khai thác bằng tệp đính kèm hay USB gắn nhãn hấp dẫn để nạn nhân tự mở. "Trust" (lòng tin) bị khai thác khi kẻ tấn công giả danh đồng nghiệp, ngân hàng hay bộ phận CNTT. "Fear" (nỗi sợ) bị khai thác bằng thông báo tài khoản sắp bị khoá hay bị phạt để ép nạn nhân làm theo ngay. Ba cảm xúc này đều bị lợi dụng nên không được chọn.
AEnsure that the third party or contractor has a formal agreement with us for the work and that it has been agreed
BConsider the risk of the third party or contractor having access and the necessity of the work then decide if access should be granted, denied or if their access should be monitored
CEnsure that keys are not left in filing cabinets and papers are filed away
DEnsure that computer equipment is locked, turned off or removed from the area
EEnsure that private rooms containing critical equipment of confidential information cannot be accessed
FMake other staff aware of their presence and where they are expected to need access to
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "Consider the risk of the third party or contractor having access and the necessity of the work then decide if access should be granted, denied or if their access should be monitored". Với bên thứ ba (third party), mọi quyết định cho nhà thầu vào khu vực chứa thông tin hoặc dùng hệ thống phải bắt đầu bằng risk assessment (đánh giá rủi ro): cân nhắc rủi ro khi họ tiếp cận và mức cần thiết của công việc, rồi quyết định cấp, từ chối hay cấp kèm giám sát, đúng tinh thần least privilege (đặc quyền tối thiểu). Đây là bước quyết định bao trùm; những biện pháp được nêu cùng cũng đều đúng và nên làm, nhưng là biện pháp cụ thể thực hiện sau quyết định đó. Có "formal agreement with us for the work" là cần thiết, song thoả thuận chỉ là điều kiện pháp lý, chưa trả lời việc có nên cho truy cập hay không. Bảo đảm "keys are not left in filing cabinets" và giấy tờ được cất đi là biện pháp clean desk (bàn làm việc sạch) áp dụng khi đã quyết định cho họ vào khu vực. Bảo đảm "computer equipment is locked, turned off or removed from the area" là kiểm soát kỹ thuật và vật lý cho máy tính, cũng chỉ triển khai sau khi đã đánh giá rủi ro. Bảo đảm "private rooms containing critical equipment" không thể bị vào là kiểm soát an ninh vật lý cho phần nhạy cảm nhất. "Make other staff aware of their presence" giúp nhân viên cảnh giác, tức là một cách thực hiện việc cấp quyền có giám sát chứ không thay cho quyết định ban đầu.