HOD402Chưa đo Cập nhật 2 ngày trước
HOD402 - Thâm nhập thử và phòng thủ
197Câu hỏi
4Bộ đề
12Chủ đề
Câu hỏi của môn
104/197 câuCòn 93
AGaining root access to a VM
BOverloading a VM with requests
CHijacking the hypervisor to control the entire environment
DInjecting malware into containers
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "Hijacking the hypervisor to control the entire environment". Hyperjacking (chiếm quyền hypervisor) là tấn công nhắm vào hypervisor, lớp phần mềm quản lý và cấp phát tài nguyên cho các máy ảo; khi chiếm được lớp này hoặc cài một hypervisor độc hại bên dưới hệ điều hành, kẻ tấn công kiểm soát mọi máy ảo chạy trên đó mà các máy ảo khó phát hiện. "Gaining root access to a VM" sai vì có quyền root trong một máy ảo chỉ kiểm soát máy ảo đó; muốn đi xa hơn phải thoát khỏi máy ảo (VM escape). "Overloading a VM with requests" sai vì làm quá tải máy ảo bằng yêu cầu là tấn công từ chối dịch vụ. "Injecting malware into containers" sai vì container dùng chung nhân hệ điều hành chứ không dựa trên hypervisor, và chèn mã độc vào container thuộc nhóm tấn công ảnh container. Phòng thủ gồm vá hypervisor kịp thời, bật Secure Boot và giới hạn quyền truy cập giao diện quản trị.
AUse only a minimum set of error messages.
BUse a strong algorithm to encrypt the transmission of error messages.
CUse a well-thought-out scheme to provide meaningful error messages to the users but no useful information to an attacker.
DUse a third-party hosting service to provide coded error messages and transmit them securely to users, software developers, and support staff.
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "Use a well-thought-out scheme to provide meaningful error messages to the users but no useful information to an attacker.". Xử lý lỗi không đúng (improper error handling) làm lộ stack trace, câu truy vấn SQL, đường dẫn tệp hay phiên bản phần mềm, giúp kẻ tấn công trinh sát; cách làm đúng là thiết kế có chủ đích: người dùng nhận thông báo chung nhưng dễ hiểu, còn chi tiết kỹ thuật được ghi vào nhật ký phía máy chủ. "Use only a minimum set of error messages." chỉ giảm số lượng thông báo, không bảo đảm nội dung của chúng không làm lộ thông tin, và quá ít thông báo còn khiến người dùng khó hiểu. "Use a strong algorithm to encrypt the transmission of error messages." sai hướng vì mã hoá chỉ bảo vệ trên đường truyền; thông báo vẫn hiện nguyên văn cho chính người dùng, kể cả kẻ tấn công, ở phía trình duyệt. "Use a third-party hosting service to provide coded error messages and transmit them securely" thêm phức tạp và phụ thuộc bên ngoài nhưng không giải quyết gốc rễ là nội dung thông báo làm lộ thông tin.
87Which of the following is a true statement?4 lựa chọn
ASymmetric encryption scales easily and provides for nonrepudiation.
BSymmetric encryption does not scale easily and does not provide for nonrepudiation.
CSymmetric encryption is not suited for bulk encryption.
DSymmetric encryption is slower than asymmetric encryption.
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "Symmetric encryption does not scale easily and does not provide for nonrepudiation.". Mã hoá đối xứng dùng một khoá chung cho hai bên, nên số khoá cần có tăng theo n(n-1)/2 khi số người tham gia tăng, việc phân phối và quản lý khoá khó mở rộng; và vì cả hai bên cùng giữ một khoá, không thể chứng minh ai là người tạo thông điệp, tức không cung cấp nonrepudiation (chống chối bỏ). "Symmetric encryption scales easily and provides for nonrepudiation." nói ngược cả hai ý trên; chống chối bỏ cần chữ ký số dựa trên khoá riêng của mật mã bất đối xứng. "Symmetric encryption is not suited for bulk encryption." sai vì chính mã hoá đối xứng như AES mới là lựa chọn cho mã hoá dữ liệu khối lượng lớn nhờ tốc độ cao. "Symmetric encryption is slower than asymmetric encryption." cũng ngược thực tế: thuật toán đối xứng nhanh hơn RSA hay ECC nhiều lần, đó là lý do TLS dùng bất đối xứng để trao khoá rồi dùng đối xứng để mã hoá dữ liệu.
APharming
BWhaling
CVishing
DTailgating
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "Vishing". Vishing là ghép của voice và phishing, tức lừa đảo qua cuộc gọi thoại: kẻ tấn công gọi điện, thường giả số hiển thị, mạo danh ngân hàng, bộ phận IT hay cơ quan chức năng để dụ nạn nhân tiết lộ mật khẩu, mã OTP hoặc làm theo chỉ dẫn. Phòng thủ là đào tạo nhận thức và quy trình gọi lại qua số đã biết. "Pharming" sai vì pharming chuyển hướng người dùng từ tên miền thật tới trang giả bằng cách đầu độc DNS hoặc sửa tệp hosts, không dùng cuộc gọi. "Whaling" sai vì whaling là phishing nhắm vào lãnh đạo cấp cao, phân loại theo đối tượng chứ không theo kênh thoại. "Tailgating" sai vì tailgating (bám đuôi) là kỹ thuật xã hội vật lý, đi theo người có thẻ để lọt qua cửa kiểm soát.
AIt is a section of code that is created to perform a specific task.
BIt is a collection of resources that programs can reuse.
CIt is a non-linear data structure represented using nodes in a hierarchical model.
DIt is a collection of data values ordered using a key/value pair.
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "It is a section of code that is created to perform a specific task.". Procedure (thủ tục) là một đoạn mã được đặt tên để thực hiện một tác vụ cụ thể và có thể được gọi lại nhiều lần trong chương trình, giúp chia nhỏ logic; khác với hàm, thủ tục thường không trả về giá trị. "It is a collection of resources that programs can reuse." mô tả thư viện (library), nơi gom sẵn mã và tài nguyên cho nhiều chương trình dùng chung. "It is a non-linear data structure represented using nodes in a hierarchical model." mô tả cấu trúc cây (tree), một cấu trúc dữ liệu phân cấp gồm các nút cha và con, không phải đoạn mã thực thi. "It is a collection of data values ordered using a key/value pair." mô tả từ điển hay bảng băm (dictionary), cấu trúc lưu dữ liệu theo cặp khóa và giá trị để tra cứu nhanh.
ACVE
BCVSS
COWASP WSTG
DNIST SP 800-115
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "CVE". CVE (Common Vulnerabilities and Exposures) là danh mục các lỗ hổng đã được công bố công khai do MITRE điều phối; mỗi mục có một mã định danh dạng CVE-năm-số thứ tự, một mô tả ngắn và các tham chiếu tới khuyến cáo, bản vá, giúp mọi công cụ quét và nhà cung cấp gọi cùng một lỗ hổng bằng cùng một tên. "CVSS" (Common Vulnerability Scoring System) là hệ thống chấm điểm mức nghiêm trọng của lỗ hổng từ 0 tới 10, thường đi kèm mục CVE nhưng không phải danh mục liệt kê lỗ hổng. "OWASP WSTG" (Web Security Testing Guide) là hướng dẫn phương pháp kiểm thử bảo mật ứng dụng web, mô tả cần kiểm tra gì và kiểm tra thế nào. "NIST SP 800-115" là ấn phẩm của NIST hướng dẫn kỹ thuật kiểm thử và đánh giá an ninh thông tin, tức một khung phương pháp, không gán mã cho từng lỗ hổng.
APassword spraying
BKnown plaintext
CBrute force
DDictionary
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "Dictionary". Dictionary attack (tấn công từ điển) thử lần lượt các mật khẩu lấy từ một danh sách soạn sẵn, thường là mật khẩu phổ biến hay đã bị lộ, cho một tài khoản đã biết; Ricardo biết username và đưa danh sách mật khẩu thông dụng vào công cụ bẻ khoá đúng là cách này. "Password spraying" sai vì rải mật khẩu là thử một vài mật khẩu phổ biến trên rất nhiều tài khoản để tránh bị khoá, còn ở đây chỉ có một username. "Known plaintext" sai vì tấn công bản rõ đã biết là kỹ thuật thám mã dùng cặp bản rõ và bản mã để suy ra khoá, không phải đoán mật khẩu đăng nhập. "Brute force" sai vì vét cạn thử mọi tổ hợp ký tự có thể, không giới hạn trong một danh sách từ. Phòng thủ là cấm mật khẩu phổ biến, khoá tạm sau nhiều lần sai và bật xác thực đa yếu tố.
AProcedures
Bfunctions
CArrays
DLists
ELibraries
Lời giải
Mở trang câu hỏi này →Đáp án đúng gồm hai ý: "Arrays" và "Lists". Cấu trúc dữ liệu (data structure) là cách tổ chức và lưu trữ dữ liệu trong bộ nhớ để truy cập, xử lý hiệu quả; mảng (array) lưu các phần tử theo chỉ số liên tiếp, còn danh sách (list) là tập phần tử có thứ tự, thường co giãn được như list trong Python. Người kiểm thử gặp chúng thường xuyên khi viết hay đọc script tự động hoá. "Procedures" là thủ tục, tức khối lệnh thực hiện một tác vụ, thuộc phần điều khiển chương trình chứ không phải nơi chứa dữ liệu. "functions" là hàm, khối mã tái sử dụng nhận đầu vào và trả kết quả, cũng không phải cấu trúc dữ liệu. "Libraries" là thư viện, tập hợp mã viết sẵn như hàm, lớp để nhập vào chương trình, không phải cách tổ chức dữ liệu.
AGraphQL documentation
BSwagger (OpenAPI) documentation
CWeb Services Description Language (WSDL) document
DWeb Application Description Language (WADL) document
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "Web Services Description Language (WSDL) document". WSDL là ngôn ngữ dựa trên XML mô tả chức năng của một web service, thường là dịch vụ SOAP: các thao tác có sẵn, kiểu dữ liệu vào ra, giao thức và địa chỉ endpoint; đưa tệp WSDL cho chuyên gia giúp họ biết đầy đủ bề mặt cần đánh giá của API. "GraphQL documentation" mô tả API GraphQL, vốn dùng schema và ngôn ngữ truy vấn riêng chứ không phải XML. "Swagger (OpenAPI) documentation" là đặc tả cho REST API, viết bằng JSON hoặc YAML. "Web Application Description Language (WADL) document" cũng dựa trên XML nhưng dùng để mô tả ứng dụng web kiểu REST và ít phổ biến; câu hỏi nhắm tới ngôn ngữ XML chuẩn để mô tả chức năng web service, tức WSDL. Trong kiểm thử, các tài liệu này đều là nguồn tốt để liệt kê endpoint, nhưng mỗi loại ứng với một kiểu API khác nhau.
AThe wireless card was not turned on.
BThe wrong network card drivers were in use by Wireshark.
COn Linux and Mac OS X, only 802.11 headers are received in promiscuous mode.
DCertain operating systems and adapters do not collect the management or control packets.
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "Certain operating systems and adapters do not collect the management or control packets.". Trong mạng 802.11, khung quản lý (beacon, probe, authentication, association) và khung điều khiển (RTS, CTS, ACK) chỉ bắt được khi card không dây ở chế độ monitor và trình điều khiển cùng hệ điều hành chịu chuyển chúng lên phần mềm như Wireshark; nhiều tổ hợp hệ điều hành và adapter không hỗ trợ việc này nên bản bắt gói chỉ có khung dữ liệu, đó là nguyên nhân khả dĩ nhất. "The wireless card was not turned on." sai vì nếu card tắt thì không bắt được gói nào, trong khi bản trace vẫn có lưu lượng. "The wrong network card drivers were in use by Wireshark." sai vì Wireshark không dùng trình điều khiển riêng mà bắt gói qua libpcap hoặc Npcap trên driver của hệ điều hành, nên vấn đề nằm ở khả năng của hệ điều hành và adapter. "On Linux and Mac OS X, only 802.11 headers are received in promiscuous mode." sai vì ở chế độ promiscuous trên các hệ này, khung không dây thường được chuyển thành tiêu đề Ethernet giả chứ không giữ tiêu đề 802.11; muốn thấy tiêu đề 802.11 và khung quản lý phải bật chế độ monitor.
AIn the tailgating attack, an unauthorized person tags along with an authorized person to gain entry to a restricted area with the person’s consent.
BIn the piggybacking attack, an unauthorized person tags along with an authorized person to gain entry to a restricted area without the person’s consent.
CBadge cloning attacks cannot be performed by software.
DShoulder surfing can be prevented by using special screen filters for computer displays.
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "Shoulder surfing can be prevented by using special screen filters for computer displays.". Shoulder surfing (nhìn trộm qua vai) là quan sát màn hình hoặc bàn phím của người khác để đọc mật khẩu, mã PIN hay dữ liệu nhạy cảm; tấm lọc riêng tư cho màn hình thu hẹp góc nhìn nên người đứng bên cạnh không đọc được, đây là biện pháp phòng ngừa đúng. "In the tailgating attack, an unauthorized person tags along with an authorized person to gain entry to a restricted area with the person’s consent." sai vì tailgating (bám đuôi) xảy ra khi người được phép không hay biết, tức là không có sự đồng ý. "In the piggybacking attack, an unauthorized person tags along with an authorized person to gain entry to a restricted area without the person’s consent." sai vì piggybacking (cõng theo) là khi người được phép biết và đồng ý cho người kia đi cùng, ví dụ giữ cửa giúp. "Badge cloning attacks cannot be performed by software." sai vì sao chép thẻ RFID có thể thực hiện bằng đầu đọc kết hợp phần mềm đọc và ghi lại dữ liệu thẻ, không chỉ bằng thiết bị phần cứng chuyên dụng.
AMobile Security Framework (MobSF)
BSupervisory control and data acquisition (SCADA)
CShodan
DIntelligent Platform Management Interface (IPMI)
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "Intelligent Platform Management Interface (IPMI)". IPMI là bộ đặc tả giao diện cho phép quản lý và giám sát máy chủ ngoài băng (out-of-band) qua bộ điều khiển quản lý bo mạch BMC, hoạt động độc lập với CPU, firmware và hệ điều hành, kể cả khi máy đang tắt. Vì có quyền gần như vật lý với máy, giao diện IPMI lộ ra mạng hoặc còn mật khẩu mặc định là mục tiêu giá trị cao, nên cần đặt trong mạng quản trị tách biệt. "Mobile Security Framework (MobSF)" là khung kiểm thử bảo mật tự động cho ứng dụng di động Android và iOS, phân tích tĩnh và động. "Supervisory control and data acquisition (SCADA)" là hệ thống điều khiển giám sát và thu thập dữ liệu trong công nghiệp như điện, nước, sản xuất, không phải đặc tả quản lý máy chủ. "Shodan" là công cụ tìm kiếm các thiết bị kết nối Internet dựa trên banner dịch vụ, dùng để trinh sát chứ không phải giao diện quản lý.
AHost enumeration
BPacket crafting
COpen-source intelligence (OSINT)
DPort scanning
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "Open-source intelligence (OSINT)". Passive reconnaissance (trinh sát thụ động) là thu thập thông tin về mục tiêu mà không tương tác trực tiếp với hệ thống của họ; OSINT (tình báo nguồn mở) tận dụng nguồn công khai như trang web, mạng xã hội, bản ghi WHOIS, DNS công khai hay tin tuyển dụng nên không để lại dấu vết trên hệ thống mục tiêu. "Host enumeration" sai vì liệt kê máy chủ đòi hỏi gửi truy vấn tới mạng mục tiêu, thuộc trinh sát chủ động. "Packet crafting" sai vì tự tạo gói tin tuỳ biến rồi gửi tới mục tiêu để quan sát phản ứng là tương tác trực tiếp. "Port scanning" sai vì quét cổng gửi gói tới từng cổng của mục tiêu, dễ bị IDS ghi nhận, là trinh sát chủ động điển hình.
ABypass firewalls
BModify DNS records
CExtract and crack service account hashes
DRedirect SMTP messages
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "Extract and crack service account hashes". Kerberoasting là kỹ thuật hậu khai thác trong Active Directory: một tài khoản miền bất kỳ có thể xin vé dịch vụ Kerberos (TGS) cho các tài khoản dịch vụ có đăng ký SPN, phần vé được mã hoá bằng khoá dẫn xuất từ mật khẩu tài khoản dịch vụ, nên có thể đem ra bẻ khoá ngoại tuyến (offline) để tìm mật khẩu. Phòng thủ là đặt mật khẩu dài ngẫu nhiên hoặc dùng gMSA và giám sát số yêu cầu TGS bất thường. "Bypass firewalls" là mục tiêu né thiết bị phòng thủ mạng, không liên quan tới vé Kerberos. "Modify DNS records" là kiểu tấn công DNS như giả mạo bản ghi để chuyển hướng người dùng. "Redirect SMTP messages" là thao túng luồng thư điện tử, không dính tới cơ chế xác thực Kerberos.
AGoogle dork
BGoogle caching
CGoogle phishing
DGoogle archiving
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "Google dork". Google dork (truy vấn Google nâng cao) là chuỗi tìm kiếm kết hợp các toán tử như intext (chữ có trong nội dung trang), inurl (chữ có trong đường dẫn) và ext (phần mở rộng tệp) để lọc ra những trang hoặc tệp bị lộ ngoài ý muốn; ở đây chuỗi tìm tệp nhật ký access.log có chứa mã phiên JSESSIONID hoặc PHPSESSID, thứ có thể làm lộ phiên đăng nhập. Người phòng thủ dùng chính kỹ thuật này để tự kiểm tra xem máy chủ của mình có để lọt tệp nhạy cảm cho công cụ tìm kiếm hay không. "Google caching" là bản lưu tạm trang web mà Google giữ lại, không phải cú pháp truy vấn. "Google phishing" không phải thuật ngữ cho kỹ thuật này; phishing là lừa đảo qua thư hay trang giả. "Google archiving" chỉ việc lưu trữ nội dung theo thời gian, gần với dịch vụ như Wayback Machine, không mô tả một chuỗi tìm kiếm.
100Which cloud technology attack method could generate crafted packets to cause a cloud application to crash?4 lựa chọn
Aresource exhaustion attack
Baccount takeover
Cmetadata service attack
Dside-channel attack
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "resource exhaustion attack". Tấn công cạn kiệt tài nguyên (resource exhaustion) là một dạng từ chối dịch vụ: kẻ tấn công gửi gói tin hoặc yêu cầu được chế tác để ứng dụng đám mây tiêu hết CPU, bộ nhớ, kết nối hay băng thông, hoặc rơi vào trạng thái lỗi rồi sập; giới hạn tốc độ, co giãn tự động có trần và kiểm tra đầu vào là biện pháp giảm thiểu. "account takeover" sai vì chiếm tài khoản là đánh cắp hoặc dò thông tin đăng nhập để nắm quyền tài khoản đám mây, mục tiêu là truy cập chứ không làm sập ứng dụng. "metadata service attack" sai vì tấn công dịch vụ metadata nhắm vào điểm cuối metadata của máy ảo, thường qua SSRF, để lấy khoá truy cập tạm thời. "side-channel attack" sai vì tấn công kênh kề suy ra dữ liệu bí mật từ thời gian, bộ nhớ đệm hay điện năng của phần cứng dùng chung giữa các máy ảo, không gây sập.
101Which tool organizes query entities within the Entity Palette and calls the search options "transforms"?4 lựa chọn
A
ShodanB
FOCAC
MaltegoD
theHarvesterLời giải
Mở trang câu hỏi này →Đáp án đúng: "Maltego". Maltego là công cụ OSINT (tình báo nguồn mở) trực quan hóa quan hệ giữa các thực thể như người, tên miền, địa chỉ email, địa chỉ IP; các loại thực thể được sắp xếp trong Entity Palette (bảng thực thể), và mỗi thao tác truy vấn để mở rộng từ một thực thể sang thực thể liên quan được gọi là transform (phép biến đổi). "Shodan" là máy tìm kiếm thiết bị kết nối Internet, lập chỉ mục banner của dịch vụ như camera, máy chủ hay hệ thống điều khiển công nghiệp. "FOCA" phân tích siêu dữ liệu (metadata) trong tài liệu công khai như tệp Office và PDF để lộ tên người dùng, phần mềm và đường dẫn nội bộ. "theHarvester" thu thập email, tên miền con và máy chủ từ máy tìm kiếm và nguồn công khai qua dòng lệnh, không dùng khái niệm thực thể và transform.
102Which Wi-Fi protocol is most vulnerable to a brute-force attack during a Wi-Fi network deployment?4 lựa chọn
AWPA2-EAP
BWPS
CWPA3
DWPA2-TKIP
Lời giải
Mở trang câu hỏi này →Đáp án đúng: "WPS". WPS (Wi-Fi Protected Setup) cho phép kết nối bằng mã PIN 8 chữ số, nhưng PIN được kiểm tra theo hai nửa riêng và chữ số cuối là số kiểm tra, nên không gian cần thử chỉ còn khoảng mười một nghìn tổ hợp, đủ nhỏ để dò vét cạn (brute-force) trong vài giờ bằng công cụ như Reaver; cách phòng là tắt WPS trên điểm truy cập. "WPA2-EAP" dùng xác thực doanh nghiệp 802.1X qua máy chủ RADIUS với thông tin riêng cho từng người dùng, không có PIN hay khóa chung ngắn để dò. "WPA3" dùng cơ chế bắt tay SAE (Simultaneous Authentication of Equals) chống dò mật khẩu ngoại tuyến, được thiết kế chính là để khắc phục điểm yếu này. "WPA2-TKIP" dùng TKIP đã lỗi thời và có điểm yếu, và mật khẩu chung yếu vẫn có thể bị dò từ điển ngoại tuyến sau khi bắt gói bắt tay, nhưng không dễ bị vét cạn như mã PIN của WPS.
Ause reputable and standard libraries to create the APIs
Bmake internal API documentation mandatory
Cdiscussing company API development (or any other application development) on public forums
Dsecure API services to provide HTTP endpoints only keep API implementation and API security into one tier allowing the API developer to work on both facets simultaneously
Lời giải
Mở trang câu hỏi này →Đáp án đúng gồm hai ý: "use reputable and standard libraries to create the APIs" và "make internal API documentation mandatory". Bảo mật API (giao diện lập trình ứng dụng) bắt đầu từ việc dựng API trên thư viện có uy tín, theo chuẩn và được bảo trì, tránh tự viết phần xác thực hay mã hoá dễ lỗi; đồng thời bắt buộc có tài liệu API nội bộ giúp đội phát triển và đội an ninh nắm được từng endpoint, tham số và cơ chế xác thực để rà soát, kiểm thử và không bỏ sót API ẩn. "discussing company API development (or any other application development) on public forums" sai vì đưa chi tiết phát triển API nội bộ lên diễn đàn công khai làm lộ thông tin cho kẻ tấn công trinh sát, là điều cần tránh. Phương án bắt đầu bằng "secure API services to provide HTTP endpoints only" cũng sai: API nên chỉ cung cấp endpoint HTTPS chứ không phải HTTP không mã hoá, và việc "keep API implementation and API security into one tier" đi ngược nguyên tắc tách lớp, vì phần bảo mật như cổng API (API gateway) nên tách khỏi phần triển khai để kiểm soát độc lập.
A
GDPRB
GLBAC
HIPAAD
FedRAMPLời giải
Mở trang câu hỏi này →Đáp án đúng: "HIPAA". Health Insurance Portability and Accountability Act (HIPAA) là đạo luật liên bang Mỹ quy định bảo vệ thông tin sức khoẻ được bảo vệ (PHI) tại các cơ sở y tế, đơn vị bảo hiểm và đối tác kinh doanh của họ; người kiểm thử làm việc cho một phòng khám có thể chạm tới dữ liệu bệnh nhân nên phải hiểu yêu cầu của luật này trước khi bắt đầu. "GDPR" là quy định bảo vệ dữ liệu cá nhân của Liên minh châu Âu, không phải quy định của chính phủ Mỹ. "GLBA" (Gramm-Leach-Bliley Act) là luật Mỹ áp cho tổ chức tài chính, yêu cầu bảo vệ thông tin tài chính của khách hàng. "FedRAMP" là chương trình liên bang Mỹ đánh giá và cấp phép bảo mật cho dịch vụ đám mây cung cấp cho cơ quan chính phủ, không liên quan trực tiếp tới phòng khám.