Câu hỏi: IAP301 - Phần 7: Chính sách quản trị rủi ro

Đáp án đúng: "Non-repudiation". Đây là câu phủ định: cần chọn ý không thuộc nhóm hướng dẫn khi xây dựng chính sách bảo vệ PII (thông tin định danh cá nhân). Non-repudiation (chống chối bỏ) là thuộc tính bảo mật bảo đảm người gửi không thể phủ nhận đã thực hiện giao dịch, thường nhờ chữ ký số; nó quan trọng với giao dịch điện tử nhưng không phải hướng dẫn riêng về quyền riêng tư dữ liệu cá nhân. Ba ý còn lại đều là hướng dẫn bảo vệ PII nên không được chọn. "Educate" đúng vì nhân viên phải được đào tạo cách xử lý PII an toàn. "Limit" đúng vì chỉ thu thập và cho truy cập PII ở mức tối thiểu cần thiết cho mục đích kinh doanh. "Encrypt" đúng vì PII cần được mã hóa khi lưu trữ và khi truyền để giảm thiệt hại nếu bị lộ.

Đáp án đúng: "To identify critical business functions and assess the impact of a disruptive event". Business Impact Analysis (BIA, phân tích tác động kinh doanh) là bước nền của kế hoạch liên tục kinh doanh và khôi phục thảm họa: tổ chức xác định chức năng nào là thiết yếu, đo thiệt hại về tài chính, pháp lý, uy tín nếu chức năng đó ngừng, và từ đó đặt mục tiêu thời gian khôi phục như RTO (recovery time objective). Ví dụ ngân hàng xác định hệ thống thanh toán phải chạy lại trong vài giờ, còn hệ thống báo cáo nội bộ có thể chờ vài ngày. "To train employees on security protocols" là mục tiêu của chương trình nhận thức và đào tạo bảo mật. "To monitor daily business operations" là hoạt động giám sát vận hành thường ngày, không phải phân tích tình huống gián đoạn. "To ensure compliance with employment laws" thuộc chính sách nhân sự, không liên quan tới đánh giá tác động khi có sự cố.