ISC301 - Phần 9: An ninh và thương mại điện tử thông minh

Đáp án đúng gồm hai ý: "Regularly update security protocols." và "Enhanced user authentication methods.". An ninh thương mại điện tử dựa trên phòng thủ nhiều lớp (defense in depth): thường xuyên cập nhật giao thức bảo mật như TLS và vá lỗ hổng phần mềm để chặn các kiểu tấn công mới, đồng thời tăng cường xác thực người dùng (authentication) bằng xác thực đa yếu tố (MFA), mã OTP hay sinh trắc học để kẻ gian không đăng nhập được dù lộ mật khẩu. "Ignore encryption methods." sai vì mã hoá là nền tảng bảo vệ dữ liệu thẻ và thông tin cá nhân khi truyền qua mạng. "Rely only on username and password." là xác thực một yếu tố, dễ bị phá bởi lừa đảo (phishing) hoặc dò mật khẩu, nên không đủ mạnh. "Skip using firewalls." bỏ đi tường lửa (firewall), lớp lọc lưu lượng giúp chặn truy cập trái phép vào máy chủ, làm hệ thống phơi ra trước tấn công.

Đáp án đúng: "By encrypting data during transmission to prevent interception". Mã hoá (encryption) biến dữ liệu rõ (plaintext) thành dữ liệu mã (ciphertext) mà chỉ bên có khoá mới đọc được; trên web, giao thức TLS (biểu tượng ổ khoá, HTTPS) mã hoá số thẻ, mật khẩu khi truyền giữa trình duyệt và máy chủ, nên kẻ nghe lén có chặn được gói tin cũng không đọc được nội dung. "By making data easily accessible to unauthorized users" ngược hoàn toàn với mục tiêu bảo mật là tính bí mật (confidentiality). "By allowing the storage of sensitive data in plain text format" sai vì lưu dạng văn bản rõ chính là điều mã hoá muốn tránh. "By eliminating the need for password protection" sai vì mã hoá và xác thực bằng mật khẩu là hai lớp bổ sung cho nhau, không thay thế nhau. "By increasing vulnerability to cyberattacks" trái ngược, vì mã hoá làm giảm chứ không tăng lỗ hổng.

Đáp án đúng: "They protect against unauthorized access and cyber threats.". Firewall (tường lửa) là phần cứng hoặc phần mềm đặt giữa mạng nội bộ và Internet, lọc gói tin theo bộ quy tắc để chặn truy cập trái phép và lưu lượng độc hại, giúp bảo vệ máy chủ chứa dữ liệu khách hàng và đơn hàng của một website bán hàng. "They only focus on user authentication." sai vì xác thực người dùng là việc của mật khẩu, xác thực hai lớp hay chứng chỉ số, còn tường lửa kiểm soát luồng truy cập mạng. "They minimize the need for encryption." sai vì tường lửa và mã hoá bổ sung cho nhau: tường lửa chặn truy cập, mã hoá như TLS bảo vệ dữ liệu khi truyền đi. "They interfere with secure data transmission." sai vì tường lửa được cấu hình để cho phép kết nối hợp lệ như HTTPS đi qua. "They are not relevant in the eCommerce context" sai vì mọi hệ thống thương mại điện tử nối mạng đều cần tường lửa trong lớp phòng thủ nhiều tầng.

Đáp án đúng: "Regularly backing up data and systems offsite". Disaster recovery planning (kế hoạch khôi phục sau thảm hoạ) là phần của kế hoạch kinh doanh liên tục, giúp doanh nghiệp thương mại điện tử dựng lại website, dữ liệu đơn hàng và khách hàng sau sự cố như cháy trung tâm dữ liệu, mã độc tống tiền hay thiên tai; cốt lõi là sao lưu định kỳ và giữ bản sao ở nơi khác (offsite, như trung tâm dữ liệu khác hoặc đám mây) để sự cố tại chỗ không xoá luôn bản sao. "Relying solely on manual processes during emergencies" sai vì quy trình thủ công chỉ là phương án tạm, không vận hành nổi cửa hàng trực tuyến lâu dài. "Disregarding the importance of data security measures" sai vì bảo mật dữ liệu là một phần của phòng ngừa thảm hoạ. "Avoiding collaboration with third-party vendors" sai vì nhiều doanh nghiệp dựa vào nhà cung cấp đám mây và dịch vụ sao lưu để khôi phục. "Ignoring potential vulnerabilities in the system" sai vì lập kế hoạch bắt đầu từ đánh giá rủi ro, tức tìm ra lỗ hổng chứ không bỏ qua chúng.

Đáp án đúng: "SSL/TLS protocols". SSL (Secure Sockets Layer) và phiên bản kế nhiệm TLS (Transport Layer Security) là giao thức mã hoá dữ liệu truyền giữa trình duyệt và máy chủ, dùng chứng chỉ số để xác thực website; khi chạy trên HTTP sẽ thành HTTPS với biểu tượng ổ khoá, bảo vệ số thẻ, mật khẩu khỏi bị nghe lén. "Cookies" là tệp nhỏ lưu trên máy người dùng để ghi nhớ phiên, giỏ hàng, sở thích, không mã hoá đường truyền và còn có thể bị đánh cắp. "JavaScript" là ngôn ngữ lập trình tạo tính tương tác cho trang web, không phải cơ chế bảo mật đường truyền. "HTTP" là giao thức truyền siêu văn bản dạng văn bản thuần, không mã hoá, nên dữ liệu gửi qua nó dễ bị chặn và đọc trộm.

Đáp án đúng: "Secure Sockets Layer". SSL (Secure Sockets Layer - tầng socket bảo mật) là giao thức do Netscape phát triển, mã hoá kênh truyền giữa trình duyệt và máy chủ web và dùng chứng chỉ số để xác thực máy chủ, nhờ đó số thẻ, mật khẩu không bị nghe lén khi đi qua mạng; ngày nay được kế thừa bởi TLS (Transport Layer Security), biểu hiện qua tiền tố https và biểu tượng ổ khoá trên trình duyệt. "Single Sign-on Layer" gợi tới single sign-on (đăng nhập một lần), cơ chế xác thực dùng một tài khoản cho nhiều hệ thống, không phải nghĩa của SSL. "Smart Shopping Link" không phải thuật ngữ bảo mật nào. "Software Security Law" nghe như một đạo luật, trong khi SSL là giao thức kỹ thuật. "Safe Storage License" ám chỉ giấy phép lưu trữ, còn SSL bảo vệ dữ liệu khi truyền chứ không phải khi lưu.

Đáp án đúng: "Enhancing user experience by providing personalized product suggestions". Recommendation engine (hệ thống gợi ý) phân tích lịch sử xem, mua và đánh giá của người dùng, cùng hành vi của những người có sở thích tương tự, để gợi ý sản phẩm phù hợp với từng người; đây là một dạng cá nhân hoá giúp khách tìm hàng nhanh hơn và tăng doanh số bán thêm, tiêu biểu là mục "Khách hàng mua món này cũng mua" của Amazon hay danh sách phim gợi ý của Netflix. "Simplifying payment systems" là việc của cổng thanh toán và ví điện tử, không phải chức năng gợi ý. "Reducing website traffic" ngược với mục tiêu, vì gợi ý đúng làm khách ở lại lâu và quay lại nhiều hơn. "Automating inventory updates" là chức năng của hệ thống quản lý tồn kho, đồng bộ số lượng hàng, không liên quan tới việc đề xuất sản phẩm cho người dùng.

Đáp án đúng: "They aim to deceive users for malicious purposes.". Internet fraud (lừa đảo trên mạng), phishing (lừa đảo giả mạo để đánh cắp thông tin) và spam (thư rác) có chung bản chất là lợi dụng sự cả tin của người dùng: email giả ngân hàng dụ nhập mật khẩu, trang bán hàng ma nhận tiền rồi biến mất, thư rác quảng cáo kèm đường link độc hại; mục tiêu là đánh cắp tiền, dữ liệu hoặc phát tán mã độc. "They enhance e-commerce security measures." sai vì chúng chính là mối đe doạ mà các biện pháp bảo mật phải chống lại. "They rely on strong encryption methods." sai vì đặc trưng của chúng là thủ đoạn lừa người (social engineering, tấn công phi kỹ thuật) chứ không phải mã hoá. "They provide legitimate offers to online shoppers." sai vì lời mời từ những hình thức này là giả mạo, không hợp pháp. "They are endorsed by reputable companies." sai vì kẻ lừa đảo chỉ mạo danh công ty uy tín chứ không được công ty đó bảo trợ.