Câu hỏi: IAP301 - Phần 7: Chính sách quản trị rủi ro

Đáp án đúng gồm hai ý: "Risk avoidance" và "Risk acceptance". Quản lý rủi ro có bốn chiến lược được thừa nhận rộng rãi là avoidance (né tránh), acceptance (chấp nhận), transference (chuyển giao) và mitigation (giảm thiểu); trong danh sách này chỉ có hai chiến lược thuộc nhóm đó. "Risk avoidance" nghĩa là bỏ hẳn hoạt động gây rủi ro, ví dụ ngừng cung cấp một dịch vụ trực tuyến quá khó bảo vệ, còn "Risk acceptance" là ban lãnh đạo chấp nhận rủi ro có ý thức vì chi phí xử lý lớn hơn thiệt hại có thể xảy ra. "Risk collection" không phải chiến lược xử lý rủi ro nào cả; thu thập thông tin về rủi ro chỉ là đầu vào của bước nhận diện, không làm thay đổi mức rủi ro. "Risk monitoring" là hoạt động theo dõi liên tục sau khi đã chọn chiến lược, giúp phát hiện rủi ro thay đổi, chứ bản thân nó không phải cách xử lý rủi ro.

Đáp án đúng: "The recovery of IT assets after a major outage". Disaster Recovery Plan (DRP, kế hoạch khôi phục sau thảm họa) là một phần của kế hoạch liên tục kinh doanh (BCP), tập trung đưa hệ thống, ứng dụng, dữ liệu và hạ tầng CNTT trở lại hoạt động sau sự cố lớn như cháy trung tâm dữ liệu hay mất điện diện rộng, theo các mục tiêu RTO và RPO đã định. "Only the legal aspects of recovering from a disaster" sai vì DRP là kế hoạch kỹ thuật, yêu cầu pháp lý chỉ là một đầu vào chứ không phải trọng tâm duy nhất. "Employee safety during a disaster" thuộc kế hoạch ứng phó khẩn cấp và sơ tán, nơi con người được ưu tiên trước khi tính chuyện khôi phục máy móc. "Communication strategies with the media" thuộc kế hoạch truyền thông khủng hoảng (crisis communication plan) trong BCP, không phải nội dung chính của DRP.

Đáp án đúng: "Risk and Control Self-Assessment". RCSA (tự đánh giá rủi ro và kiểm soát) là phương pháp trong đó chính các đơn vị kinh doanh tự nhận diện rủi ro trong quy trình của mình, đánh giá các kiểm soát hiện có có hiệu quả không, rồi đề xuất cải thiện; ví dụ phòng kế toán tự rà soát rủi ro sai lệch thanh toán và mức hiệu quả của bước phê duyệt hai cấp. Chữ S trong RCSA là Self, nhấn mạnh việc tự đánh giá thay vì để kiểm toán bên ngoài làm. "Risk and Control Security Assessment" sai vì thay Self bằng Security, làm mất ý tự đánh giá của đơn vị. "Risk Control Security Assurance" sai ở cả hai chữ cuối, assurance là bảo đảm chứ không phải đánh giá. "Risk and Classification Security Assessment" sai vì đổi Control thành Classification, tức phân loại dữ liệu, không liên quan tới đánh giá kiểm soát.

Đáp án đúng gồm hai ý: "Because we need to focus limited resources on protecting a smaller amount of the most important data" và "Because tt's not practical to keep data classified forever". Declassification (hạ hoặc bỏ mức phân loại) là bước trong vòng đời phân loại dữ liệu: giá trị và độ nhạy của dữ liệu giảm theo thời gian, ví dụ kế hoạch ra mắt sản phẩm sẽ thành công khai sau ngày ra mắt. Bảo vệ dữ liệu mật tốn chi phí lưu trữ, mã hóa, kiểm soát truy cập, nên hạ mức dữ liệu không còn nhạy giúp dồn nguồn lực có hạn cho phần dữ liệu quan trọng nhất, và giữ mật mãi mãi là không thực tế. "Because some data are still important" là lý do để TIẾP TỤC phân loại một số dữ liệu, ngược với mục đích hạ mức. "Because we need to keep data secured and handled" mô tả mục tiêu chung của phân loại và bảo vệ dữ liệu, không giải thích vì sao phải bỏ mức phân loại.

Đáp án đúng: "Resiliency–Policies provide guidelines for the unexpected". Đây là câu phủ định: cần chọn ý không thuộc nhóm hướng dẫn khi xây dựng chính sách bảo vệ PII (personally identifiable information, thông tin định danh cá nhân). Resiliency (khả năng chống chịu) là đặc tính chung của một chính sách tốt, giúp tổ chức ứng phó tình huống bất ngờ, chứ không phải hướng dẫn riêng về quyền riêng tư dữ liệu cá nhân. Ba ý còn lại đều là hướng dẫn bảo vệ PII nên không được chọn. "Align–Coordinate privacy policies with data classification policies" đúng vì PII phải được gắn nhãn theo chính sách phân loại dữ liệu để áp đúng mức bảo vệ. "Retain–Ensure proper controls around data retention and destruction" đúng vì PII chỉ được giữ trong thời gian cần thiết rồi phải hủy an toàn. "Disclose–Fully disclose to the individual what data is being collected and how it will be used" đúng vì cá nhân có quyền biết dữ liệu nào bị thu thập và dùng vào việc gì, đây là nguyên tắc minh bạch của quyền riêng tư.

Đáp án đúng: "Business Impact Analysis". BIA (phân tích tác động kinh doanh) là bước xác định các quy trình kinh doanh quan trọng và đánh giá tác động khi chúng bị gián đoạn, từ đó đặt ra các chỉ số như MTD (thời gian gián đoạn tối đa chịu được), RTO (mục tiêu thời gian khôi phục) và RPO (mục tiêu điểm khôi phục dữ liệu). BIA là đầu vào cho kế hoạch duy trì hoạt động kinh doanh (BCP) và kế hoạch khắc phục thảm họa (DRP). Phương án "Business Integrity Assessment" không phải thuật ngữ chuẩn trong quản lý rủi ro; tính toàn vẹn là một mục tiêu của bộ ba CIA chứ không phải tên của phân tích này. Phương án "Business Information Assurance" gần với information assurance (đảm bảo thông tin) nhưng không phải nghĩa của BIA. Phương án "Business Internal Audit" là kiểm toán nội bộ, một chức năng giám sát độc lập, không phải phân tích tác động của gián đoạn.

Đáp án đúng: "A BCP focuses on the business recovery and DRP focuses on technology recovery.". BCP (business continuity plan, kế hoạch duy trì kinh doanh) nhằm giữ các chức năng kinh doanh thiết yếu tiếp tục hoạt động khi có gián đoạn, bao gồm con người, quy trình, địa điểm làm việc và liên lạc. DRP (disaster recovery plan, kế hoạch khôi phục sau thảm hoạ) là một phần hẹp hơn, tập trung khôi phục hệ thống, dữ liệu và hạ tầng công nghệ, ví dụ dựng lại máy chủ ở trung tâm dự phòng. "A DRP focuses on the business recovery and BCP focuses on technology recovery." đảo ngược phạm vi của hai kế hoạch nên sai: BCP mới là kế hoạch bao trùm phía kinh doanh, còn DRP lo phần kỹ thuật. "There is no difference. The two terms mean the same thing." sai vì hai kế hoạch có mục tiêu và phạm vi khác nhau, dù liên kết chặt và DRP thường được kích hoạt như một phần của BCP.

Đáp án đúng: "Data stored on any physical or virtual storage device". Data at rest (dữ liệu ở trạng thái lưu trữ) là dữ liệu đang nằm trên ổ cứng, SSD, băng từ, cơ sở dữ liệu hay kho lưu trữ đám mây, phân biệt với dữ liệu đang truyền và dữ liệu đang xử lý; biện pháp bảo vệ điển hình là mã hoá ổ đĩa và kiểm soát truy cập. "Data being transferred over a network" là data in transit, được bảo vệ bằng TLS hay VPN. "Data that is currently being processed" là data in use, đang nằm trong bộ nhớ hoặc CPU. "Data that has been archived and is no longer in use" chỉ là một phần nhỏ của dữ liệu lưu trữ; dữ liệu đang được dùng hằng ngày nhưng nằm trên ổ đĩa vẫn là data at rest.

Đáp án đúng: "Risk tolerance". Risk appetite (khẩu vị rủi ro) là mức rủi ro tổng thể tổ chức sẵn sàng chấp nhận để theo đuổi mục tiêu, thường phát biểu chung chung; risk tolerance (dung sai rủi ro) là mức sai lệch cụ thể, đo được mà tổ chức chấp nhận quanh mục tiêu đó. Quy tắc vá ngay lỗ hổng nghiêm trọng nhưng cho phép 27 đến 33 ngày với bản vá mức vừa là một ngưỡng cụ thể về độ trễ chấp nhận được, đúng nghĩa dung sai. "Risk appetite" sai vì nó ở mức định hướng, không đưa ra con số ngày cụ thể. "Risk exposure" (mức phơi nhiễm) là thiệt hại tiềm tàng nếu rủi ro xảy ra, thường tính từ khả năng xảy ra và tác động, không mô tả quy tắc thời hạn. "Risk residual" (rủi ro còn lại) là phần rủi ro tồn tại sau khi đã áp kiểm soát, cũng không phải một ngưỡng chấp nhận.

Đáp án đúng: "To understand an organization's risks and their potential effects on the business". Risk and Control Self-Assessment (RCSA, tự đánh giá rủi ro và kiểm soát) là quy trình trong đó chính các đơn vị kinh doanh, qua hội thảo hoặc bảng hỏi, tự nhận diện rủi ro trong hoạt động của mình, đánh giá hiệu lực của kiểm soát hiện có và tác động tiềm tàng tới doanh nghiệp; kết quả đưa vào quản trị rủi ro toàn tổ chức. "To assess the performance of IT staff" là đánh giá hiệu suất nhân sự, việc của quản lý nhân sự. "To calculate the annual IT budget" là lập ngân sách; kết quả RCSA có thể giúp ưu tiên đầu tư nhưng không nhằm tính ngân sách. "To determine the number of employees needed in the IT department" là hoạch định nhân lực, không phải mục tiêu của tự đánh giá rủi ro và kiểm soát.

Đáp án đúng: "False". Risk acceptance (chấp nhận rủi ro) là quyết định có ý thức giữ lại rủi ro vì chi phí xử lý lớn hơn thiệt hại dự kiến, nhưng rủi ro vẫn tồn tại. Tổ chức phải ghi nhận quyết định, có người chịu trách nhiệm phê duyệt, theo dõi rủi ro trong sổ đăng ký rủi ro và đánh giá lại định kỳ, vì mối đe doạ, lỗ hổng hay giá trị tài sản có thể thay đổi khiến rủi ro vượt mức chấp nhận được. Vì vậy phát biểu cho rằng có thể bỏ qua rủi ro sau khi chấp nhận là sai, và "True" không được chọn: bỏ qua rủi ro tức là không còn quản lý nó, trái với bản chất của quản trị rủi ro.

Đáp án đúng: "All of the above". Chính sách lưu giữ dữ liệu (data retention policy) xác định dữ liệu nào phải giữ, giữ bao lâu và khi nào hủy, dựa trên ba nhóm lý do chính, nên phương án gộp là đầy đủ nhất. "Legal obligation" đúng vì luật và quy định như SOX, HIPAA buộc giữ hồ sơ tài chính, y tế trong thời hạn nhất định để phục vụ kiểm toán, điều tra hay tố tụng. "Needs of the business" đúng vì tổ chức cần dữ liệu lịch sử để vận hành, phân tích, chăm sóc khách hàng. "For recovery" đúng vì bản sao lưu được giữ để khôi phục hệ thống và dữ liệu sau sự cố hay thảm họa. Chọn riêng một trong ba sẽ bỏ sót hai lý do còn lại, nên chỉ phương án tổng hợp là trọn vẹn.

Đáp án đúng: "Sell information". Data classification (phân loại dữ liệu) gắn mỗi loại dữ liệu với một mức nhạy cảm để tổ chức biết phải đối xử với nó thế nào; câu hỏi dạng phủ định nên đáp án là thứ không phải nhu cầu phân loại. Bán thông tin là hoạt động kinh doanh của một số ít công ty, không phải lý do chung khiến các tổ chức phân loại dữ liệu. "Protect information" là nhu cầu chính: biết dữ liệu nào bí mật để áp mã hóa và kiểm soát truy cập tương xứng, không tốn tiền bảo vệ quá mức dữ liệu công khai. "Retain information" cũng là nhu cầu thật, vì luật và hợp đồng quy định thời hạn lưu giữ khác nhau cho từng loại hồ sơ. "Recover information" đúng vì phân loại giúp xác định dữ liệu nào phải khôi phục trước trong kế hoạch liên tục kinh doanh và khôi phục sau thảm họa.

Đáp án đúng: "Data traversing a network". Data in transit (dữ liệu đang truyền) là dữ liệu đang di chuyển qua mạng giữa hai điểm, ví dụ email gửi qua Internet hay tệp tải từ máy chủ về máy trạm; vì có thể bị nghe lén trên đường truyền nên chính sách xử lý dữ liệu thường yêu cầu mã hóa bằng TLS hoặc VPN. "Data backup tapes being moved to a recovery facility" là phương tiện lưu trữ được vận chuyển vật lý, dữ liệu trên băng vẫn là dữ liệu lưu trữ và được bảo vệ bằng mã hóa băng cùng kiểm soát vận chuyển, không phải dữ liệu đi qua mạng. "Data on your USB drive" là data at rest (dữ liệu lưu trữ) trên thiết bị di động. "Data being stored for later transmission" đang nằm trên ổ đĩa chờ gửi, nên vẫn là dữ liệu lưu trữ cho tới khi thực sự được truyền đi.

Đáp án đúng: "Risk avoidance". Risk avoidance (né tránh rủi ro) là loại bỏ hẳn khả năng gặp rủi ro bằng cách thôi làm hoạt động đó hoặc rời khỏi môi trường gây rủi ro. Chuyển trung tâm dữ liệu từ Florida, nơi hay có bão, sang Iowa nghĩa là tài sản không còn nằm trong vùng chịu bão nữa, nên rủi ro bão bị né đi chứ không chỉ được giảm. "Risk acceptance" là chấp nhận rủi ro, giữ trung tâm ở Florida và chịu hậu quả nếu bão đến, thường khi chi phí xử lý cao hơn tổn thất dự kiến. "Risk transference" là chuyển rủi ro tài chính cho bên khác, ví dụ mua bảo hiểm thiên tai hoặc thuê bên thứ ba vận hành, trong khi trung tâm vẫn ở chỗ cũ. "Risk mitigation" là giảm khả năng xảy ra hoặc mức tác động, như gia cố toà nhà, lắp máy phát điện dự phòng, nhưng vẫn ở lại vùng có bão.

Đáp án đúng: "The amount of risk an organization is willing to accept". Risk appetite (khẩu vị rủi ro) là mức rủi ro mà tổ chức sẵn sàng chấp nhận để theo đuổi mục tiêu kinh doanh, do lãnh đạo xác định; nó là căn cứ để quyết định rủi ro nào được chấp nhận, rủi ro nào phải giảm, chuyển giao hay tránh. Ví dụ ngân hàng thường có khẩu vị rủi ro thấp với dữ liệu khách hàng. "The number of threats an organization faces" là số lượng mối đe doạ, một yếu tố đầu vào của đánh giá rủi ro chứ không phải mức sẵn sàng chấp nhận. "The budget for cybersecurity tools" là nguồn lực tài chính, chịu ảnh hưởng của khẩu vị rủi ro nhưng không đồng nhất. "The number of IT policies in use" chỉ phản ánh quy mô bộ chính sách.

Đáp án đúng: "Proprietary". Lược đồ phân loại dữ liệu hướng doanh nghiệp thường dùng các mức như public (công khai), internal (nội bộ), confidential hay proprietary (độc quyền) để bảo vệ thông tin có giá trị cạnh tranh như bí mật thương mại, công thức sản phẩm, mã nguồn. "Top Secret" là mức phân loại của chính phủ và quân đội, áp dụng cho thông tin mà nếu lộ có thể gây thiệt hại đặc biệt nghiêm trọng cho an ninh quốc gia. "NATO Secret" là mức phân loại của khối NATO, dùng giữa các quốc gia thành viên chứ không phải trong doanh nghiệp. "Unclassified" cũng thuộc hệ thống phân loại của chính phủ, chỉ thông tin chưa được xếp vào mức mật nào.

Đáp án đúng: "Internal". Military classification scheme (lược đồ phân loại quân sự, điển hình của chính phủ Mỹ) gồm các mức Top Secret, Secret, Confidential và Unclassified, xếp theo mức thiệt hại cho an ninh quốc gia nếu thông tin bị lộ. "Internal" (nội bộ) là mức thường gặp trong lược đồ phân loại thương mại của doanh nghiệp (Public, Internal, Confidential, Restricted), không thuộc lược đồ quân sự. Những mức sau đây đều đúng là mức quân sự nên không chọn: "Top Secret" là mức cao nhất, lộ ra gây thiệt hại đặc biệt nghiêm trọng; "Secret" là mức gây thiệt hại nghiêm trọng; "Confidential" là mức thấp nhất trong nhóm mật, lộ ra gây thiệt hại cho an ninh quốc gia.

Đáp án đúng: "Data at rest and data in transit". Trong chính sách xử lý dữ liệu, mã hóa là kiểm soát bảo vệ tính bí mật ở cả hai trạng thái chính: data at rest (dữ liệu lưu trữ) trên ổ đĩa, cơ sở dữ liệu, băng sao lưu, và data in transit (dữ liệu đang truyền) qua mạng. Ví dụ tổ chức mã hóa toàn bộ ổ đĩa máy xách tay để phòng mất máy và dùng TLS cho web, VPN cho kết nối từ xa. "Only data in transit" sai vì bỏ qua rủi ro mất thiết bị hay lộ bản sao lưu. "Only data at rest" sai vì bỏ qua rủi ro nghe lén trên đường truyền. "Data during processing only" sai vì dữ liệu khi đang xử lý trong bộ nhớ thường phải ở dạng giải mã để tính toán, đó không phải phạm vi chính mà chính sách mã hóa nhắm tới.

Đáp án đúng: "Customers as the third line". Mô hình ba tuyến phòng thủ (three lines of defense) phân chia trách nhiệm quản trị rủi ro bên trong tổ chức: tuyến một là bộ phận kinh doanh sở hữu và kiểm soát rủi ro hằng ngày, tuyến hai là chức năng quản lý rủi ro và tuân thủ giám sát, tuyến ba là kiểm toán độc lập đưa ra sự bảo đảm khách quan. Khách hàng là bên ngoài, không có vai trò trong cơ cấu này. Những tuyến sau đây đều mô tả đúng mô hình nên không chọn: "Business Unit as the first line" mô tả đúng tuyến một; "Enterprise Risk Management Program as the second line" mô tả đúng tuyến hai, nơi chương trình quản lý rủi ro doanh nghiệp đặt khung và theo dõi; "Independent Auditors as the third line" mô tả đúng tuyến ba, kiểm toán độc lập với cả hai tuyến trước.