IAP301 - Phần 9: Triển khai và duy trì khung chính sách

Đáp án đúng gồm hai ý: "When logged in to terminal services I will save an organizational document on to my personal laptop/computer/tablet so I can work on it off line. I then upload it again after I have finished." và "I save a list of learner and tutor information on to my encrypted memory stick / flash drive.". Luật bảo vệ dữ liệu như GDPR hay Data Protection Act yêu cầu dữ liệu cá nhân chỉ được lưu và xử lý trong môi trường tổ chức kiểm soát, đúng mục đích và có biện pháp bảo vệ phù hợp. Lưu tài liệu của tổ chức xuống máy cá nhân khi làm việc qua terminal services tạo bản sao nằm ngoài hệ thống được quản lý, dù sau đó có tải lên lại thì bản sao vẫn còn. Chép danh sách học viên và giảng viên ra USB, kể cả đã mã hóa, vẫn đưa dữ liệu cá nhân ra thiết bị di động dễ thất lạc và ngoài quy trình được phép. Tình huống "The responsible tutor assessor has requested I send them the list" là hợp lệ vì người gửi đã xác minh đúng người theo quy trình và dùng tài khoản email của công ty, đúng mục đích kiểm tra dữ liệu. "All of other choices" sai vì tình huống gửi email đó không vi phạm.

Đáp án đúng: "Random audits". Trong mô hình CNTT phi tập trung, các phòng ban tự vận hành phần lớn hệ thống còn bộ phận IT trung tâm giữ dịch vụ lõi và an ninh. Muốn xác minh (verify) từng nơi có tuân thủ yêu cầu an ninh chính hay không thì cần một kiểm soát phát hiện độc lập: kiểm toán ngẫu nhiên đối chiếu thực tế với yêu cầu, và vì không báo trước nên phản ánh đúng trạng thái thường ngày. "Group Policy" là công cụ của Active Directory để áp đặt cấu hình, tức kiểm soát phòng ngừa chứ không kiểm chứng, và các phòng ban phi tập trung có thể không cùng miền quản lý. "Centralized change management policies" quy định cách phê duyệt thay đổi, đi ngược mô hình phi tập trung và không tự cho biết ai đang tuân thủ. "Centralized configuration management policies" đặt cấu hình chuẩn nhưng cũng chỉ là áp đặt, không phải bước xác minh.

Đáp án đúng: "Shared beliefs and purpose". Shared vision (tầm nhìn chung) khi triển khai chính sách an ninh nghĩa là lãnh đạo và nhân viên cùng tin rằng chính sách cần thiết và cùng hướng tới một mục đích, ví dụ coi bảo vệ dữ liệu khách hàng là trách nhiệm của mọi người chứ không riêng phòng CNTT; khi đó chính sách được ủng hộ thay vì bị coi là rào cản. Đây là yếu tố văn hóa và con người, quyết định chính sách có sống được hay không. Phương án "Technical complexity" là đặc điểm của giải pháp kỹ thuật, độ phức tạp cao thậm chí còn cản trở sự đồng thuận. Phương án "Outsourcing agreements" là hợp đồng với bên thứ ba, chỉ quy định trách nhiệm dịch vụ chứ không tạo ra niềm tin chung trong nội bộ. Phương án "System availability" là một mục tiêu an ninh (tính sẵn sàng của hệ thống), không phải yếu tố tạo nên tầm nhìn chung.

Đáp án đúng: "Ensuring policies are uniformly applied across all locations and devices.". Hạ tầng phân tán gồm nhiều chi nhánh, trung tâm dữ liệu, thiết bị di động và dịch vụ đám mây ở các nơi khác nhau, mỗi nơi có đội vận hành và cấu hình riêng. Thách thức chính là bảo đảm cùng một chính sách được thực thi nhất quán ở mọi điểm; nếu chi nhánh này bật mã hóa ổ đĩa còn chi nhánh kia thì không, thì mắt xích yếu nhất quyết định mức an toàn của cả tổ chức. Vì vậy cần công cụ quản lý cấu hình tập trung và giám sát tuân thủ. "Finding the right software." là việc mua sắm có thể giải quyết, không phải thách thức đặc thù của hạ tầng phân tán. "Deciding on the policies to implement." là bước xây dựng chính sách diễn ra trước khi triển khai, áp dụng cho mọi tổ chức dù tập trung hay phân tán. "Training IT staff on new technologies." là việc cần làm nhưng chỉ là hoạt động hỗ trợ, không phải khó khăn cốt lõi của việc áp dụng chính sách đồng đều.

Đáp án đúng: "Revising a firewall rule after a breach occurs". Lessons learned (bài học kinh nghiệm) là bước rút kinh nghiệm sau sự cố hoặc sau một đợt triển khai: phân tích điều gì đã sai, rồi sửa chính sách, tiêu chuẩn hay cấu hình để không lặp lại. Chỉnh lại quy tắc tường lửa sau khi bị xâm nhập chính là đưa bài học từ sự cố vào kiểm soát. "Installing new operating systems" là hoạt động nâng cấp hay vận hành thông thường, không nhất thiết xuất phát từ việc phân tích một sự kiện đã xảy ra. "Hiring additional IT staff" là quyết định nhân sự, có thể do nhiều lý do như mở rộng kinh doanh, không minh hoạ việc rút kinh nghiệm trong thực thi chính sách. "Outsourcing IT services" là lựa chọn chiến lược về nguồn lực, chuyển công việc cho bên ngoài, chứ không phải việc điều chỉnh chính sách dựa trên kinh nghiệm thực tế.

Đáp án đúng: "Inform your supervisor/manager of the incident.". Đồng nghiệp đã tra cứu cơ sở dữ liệu cho mục đích cá nhân và tiết lộ thông tin cá nhân của người khác, đây là vi phạm chính sách sử dụng chấp nhận được và nguyên tắc need-to-know (chỉ truy cập khi công việc cần), đồng thời có thể là sự cố quyền riêng tư phải xử lý theo quy trình. Cách đúng là báo cho cấp quản lý để sự cố được ghi nhận, điều tra và khắc phục. "Nothing, it is all right because we all work for the same organization." sai vì làm cùng tổ chức không cho ai quyền xem dữ liệu ngoài phạm vi công việc. "Tell the co-worker that his behavior was inappropriate." là phản ứng tốt về mặt cá nhân nhưng không đủ, vì dữ liệu đã bị lộ và tổ chức cần biết để xử lý. "All other choices" sai vì bao gồm cả việc im lặng bỏ qua.

Đáp án đúng: "Create peer pressure". Để nhân viên chủ động tuân thủ, họ cần cảm nhận được lợi ích khi làm theo chính sách; tạo peer pressure (áp lực đồng nghiệp) khiến việc tuân thủ trở thành chuẩn mực của nhóm, người làm đúng được ghi nhận, người làm sai thấy mình lạc lõng, ví dụ công khai khen phòng ban không có ai mắc bẫy thư lừa đảo. "Increase workload" sai vì làm chính sách bị xem là gánh nặng, gây phản kháng. "Implement more policies" sai vì quá nhiều chính sách gây mệt mỏi và khó nhớ, không tạo lợi ích nào. "Decrease communication" sai vì thiếu truyền thông khiến nhân viên không hiểu lý do và giá trị của chính sách.

Đáp án đúng: "None of other choices". Tài khoản và mật khẩu là thông tin xác thực gắn với một cá nhân; nguyên tắc accountability (trách nhiệm giải trình) đòi hỏi mọi hành động trên hệ thống truy được về đúng người, nên chính sách mật khẩu và chính sách sử dụng chấp nhận được đều cấm chia sẻ thông tin đăng nhập với bất kỳ ai. Người cần truy cập phải được cấp tài khoản riêng theo quy trình. "Other companies' personnel" sai vì người ngoài tổ chức càng không được dùng thông tin xác thực nội bộ. "Business Partners" sai vì đối tác nếu cần truy cập phải được cấp tài khoản riêng theo hợp đồng và phê duyệt, không dùng chung tài khoản nhân viên. "Family" sai vì người thân không có quyền hợp lệ nào với hệ thống công ty, chia sẻ cho họ vẫn là vi phạm.

Đáp án đúng: "User Apathy". User apathy (sự thờ ơ của người dùng) là tình trạng người dùng thiếu quan tâm, hứng thú hay để tâm tới một sản phẩm, dịch vụ hoặc hệ thống; trong an toàn thông tin, đây là rào cản lớn của chương trình nhận thức vì người dùng biết quy định nhưng không buồn làm theo, ví dụ bỏ qua cảnh báo hay không đọc thông báo chính sách. "User Resistance" (sự kháng cự) khác ở chỗ người dùng chủ động phản đối hoặc né tránh thay đổi, chứ không phải chỉ thiếu quan tâm. "User Discomfort" là cảm giác khó chịu, lúng túng khi phải dùng hệ thống hay biện pháp mới, có thể vẫn rất quan tâm. "Learned Helplessness" (bất lực tập nhiễm) là niềm tin rằng mình không thể làm gì để thay đổi kết quả sau nhiều lần thất bại, nguyên nhân và biểu hiện khác với sự thờ ơ.

Đáp án đúng: "Contact the IT Service Desk immediately". Khi nghi mật khẩu bị lộ, người dùng phải báo ngay cho IT Service Desk (bộ phận hỗ trợ CNTT), vì chỉ bộ phận này có quyền đặt lại mật khẩu, tạm khoá tài khoản, kiểm tra nhật ký đăng nhập và khởi động quy trình ứng phó sự cố nếu cần; tốc độ báo cáo quyết định thiệt hại. "Advise your Operations Support Advisor contact" sai vì người này hỗ trợ nghiệp vụ, không có quyền xử lý tài khoản. "Contact your line manager immediately" có thể làm thêm để quản lý nắm tình hình, nhưng quản lý trực tiếp không đặt lại hay khoá được tài khoản nên không phải bước đúng nhất. "Email the Sports Leaders UK distribution group to let everybody know" sai vì loan tin rộng không khắc phục gì, còn có thể làm lộ thêm thông tin cho kẻ tấn công.

Đáp án đúng: "Engaging in communication". Apathy (sự thờ ơ) là khi nhân viên không quan tâm tới chính sách an toàn thông tin vì không thấy nó liên quan tới mình. Cách khắc phục hiệu quả là giao tiếp chủ động: giải thích lý do chính sách tồn tại, lợi ích với chính họ, lắng nghe phản hồi và cho họ tham gia, nhờ đó họ thấy mình có vai trò và quan tâm hơn. "Avoiding redundancy" là nguyên tắc tránh trùng lặp khi viết tài liệu chính sách, giúp tài liệu gọn nhưng không tác động tới thái độ người dùng. "Issuing company directives" là ra mệnh lệnh từ trên xuống, có thể buộc làm theo trên giấy nhưng thường làm sự thờ ơ sâu hơn vì người nhận không hiểu lý do. "Requiring obedience to policies" cũng chỉ ép tuân thủ, không tạo ra sự quan tâm thật, nên không giải quyết gốc rễ của thờ ơ.

Đáp án đúng: "Reduction in risk". Chính sách an toàn thông tin tồn tại để đưa rủi ro của tổ chức xuống mức chấp nhận được, nên thước đo thành công đáng tin nhất là rủi ro thực sự giảm, thể hiện qua ít sự cố hơn, ít phát hiện kiểm toán hơn, thiệt hại nhỏ hơn. "Number of security controls developed as a result" sai vì số lượng kiểm soát không cho biết chúng có hiệu quả hay chỉ tạo thêm gánh nặng. "The number of people aware of the policy" là chỉ số nhận thức hữu ích, nhưng biết chính sách chưa chắc đã làm theo, nên không chứng minh rủi ro giảm. "The rank of the highest executive who approved it" phản ánh sự ủng hộ của lãnh đạo, điều kiện quan trọng để triển khai thuận lợi, nhưng là đầu vào chứ không phải kết quả đo được của chính sách.

Đáp án đúng: "The visibility of management’s response to violations". Peer pressure (áp lực đồng nghiệp) là việc nhân viên nhắc nhở và giữ nhau tuân thủ chính sách. Nó chỉ hiệu quả khi mọi người thấy rõ ban lãnh đạo thực sự phản ứng với vi phạm; nếu vi phạm bị bỏ qua, nhân viên sẽ nghĩ chính sách không quan trọng và không còn lý do nhắc nhau. Ví dụ khi một người chia sẻ mật khẩu bị xử lý công khai và nhất quán, đồng nghiệp sẽ tự giác giám sát lẫn nhau hơn. "The size of the team" có ảnh hưởng tới cách nhóm tương tác nhưng không quyết định áp lực đồng nghiệp có tác dụng hay không. "The technological tools used" là công cụ kỹ thuật thực thi chính sách, một cơ chế khác, không phải yếu tố tạo nên áp lực xã hội. "The severity of the security policies" là mức nghiêm khắc của chính sách; chính sách nghiêm mà không ai thấy lãnh đạo xử lý thì áp lực đồng nghiệp vẫn yếu.

Đáp án đúng: "All of the above". Văn hoá tổ chức thật sự tiếp nhận chính sách an ninh khi chính sách đi vào thói quen, được bộ máy ủng hộ và trở thành giá trị bên trong mỗi người, nên cả ba dấu hiệu đều đúng. "Security policies are part of routine daily interaction." đúng vì khi nhân viên nhắc tới và làm theo chính sách trong công việc hằng ngày, chính sách đã không còn là văn bản treo tường. "Security policies are supported by organizational committees." đúng vì sự ủng hộ của các uỷ ban, hội đồng cho thấy chính sách được cấp quản lý coi trọng và được tích hợp vào cách điều hành. "Security policies' core values are demonstrated in workers' instinctive reactions to situations." là dấu hiệu sâu nhất, ví dụ nhân viên tự động báo cáo email lừa đảo mà không cần ai nhắc. Mỗi ý chỉ là một dấu hiệu nên phương án gộp mới đầy đủ.