Câu hỏi: IAA202 Quản trị rủi ro trong hệ thống thông tin – Bộ ôn tập cuối kỳ số 1

Đáp án đúng gồm hai ý: "Resource allocation" và "Risk acceptance". Qualitative risk assessment (đánh giá rủi ro định tính) xếp rủi ro theo mức như thấp, trung bình, cao dựa trên khả năng xảy ra và tác động, không quy ra tiền; báo cáo cuối vì vậy phải giúp lãnh đạo quyết định phân bổ nguồn lực (ngân sách, nhân sự) cho rủi ro ưu tiên cao trước, và chỉ rõ rủi ro nào ở mức có thể chấp nhận (risk acceptance) để không tốn tiền xử lý. "SLE and ARO" là đại lượng của đánh giá định lượng: SLE (Single Loss Expectancy, tổn thất cho một lần xảy ra) và ARO (Annualized Rate of Occurrence, số lần xảy ra mỗi năm) đều tính bằng số cụ thể, không thuộc kết quả định tính. "SLE and ALE" cũng vậy, ALE (Annualized Loss Expectancy, tổn thất dự kiến hằng năm) bằng SLE nhân ARO, là thước đo tiền tệ đặc trưng của phương pháp định lượng.

Đáp án đúng: "Impact of downtime on business operations and financial losses.". Mục tiêu thời gian khôi phục (RTO, recovery time objective) là khoảng thời gian tối đa mà một chức năng được phép ngừng trước khi gây thiệt hại không chấp nhận được, nên nó được suy ra từ phân tích tác động kinh doanh: ngừng bao lâu thì hoạt động và tài chính bị ảnh hưởng tới mức nào, và RTO phải nằm dưới thời gian ngừng tối đa chấp nhận được (MAO). "Severity of potential disruptions." nói về mức nghiêm trọng của từng kịch bản gián đoạn, hữu ích khi đánh giá rủi ro nhưng không trả lời doanh nghiệp chịu được ngừng bao lâu. "Technical limitations of backup and restoration technologies." là ràng buộc khi chọn giải pháp khôi phục để đạt RTO, chứ RTO phải xuất phát từ nhu cầu kinh doanh trước. "Existing budget allocated for DRP implementation and maintenance." ảnh hưởng tới việc chọn site dự phòng hay công nghệ, nhưng để ngân sách quyết định RTO là đảo ngược thứ tự, có thể khiến mục tiêu không bảo vệ được chức năng trọng yếu.

Đáp án đúng: "CBA". Phân tích chi phí - lợi ích (cost-benefit analysis) trong một bản đánh giá rủi ro (RA) so sánh chi phí của kiểm soát với lợi ích nó mang lại, thường là phần thiệt hại hằng năm giảm được; nếu lợi ích lớn hơn chi phí thì có lý do để chi tiền cho kiểm soát. "Probability and impact" là hai đại lượng dùng để xác định mức rủi ro, chưa nói gì về chi phí của kiểm soát. "ALE" (annualized loss expectancy, thiệt hại dự kiến hằng năm) bằng SLE × ARO; nó là đầu vào cho phép so sánh nhưng một mình nó không biện minh được chi phí, vì phải so mức thiệt hại trước và sau kiểm soát với giá của kiểm soát. "POAM" là kế hoạch hành động và các mốc, dùng theo dõi tiến độ thực hiện khuyến nghị chứ không biện minh chi phí.

Đáp án đúng: "Review and validate findings". Kết thúc đánh giá rủi ro, nhóm có danh sách rủi ro, mối đe doạ, điểm yếu và mức ưu tiên; bước đầu tiên là rà soát và xác nhận các phát hiện cùng chủ sở hữu hệ thống và các bên liên quan để chắc rằng dữ liệu đúng, không bỏ sót, không thổi phồng, trước khi dùng chúng làm căn cứ ra quyết định. "Create a cost-benefit analysis" cũng nằm ngay sau đánh giá, nhưng chỉ làm được khi các phát hiện đã được xác minh, vì tính lợi ích của biện pháp trên một rủi ro sai thì kết quả vô nghĩa; do đó xác nhận phát hiện đứng trước. "Develop security policies" là việc ở giai đoạn xử lý rủi ro, xa hơn nhiều. "Hire a security consultant" không phải bước tất yếu của quy trình; thuê chuyên gia là quyết định nguồn lực, có thể xảy ra ở bất kỳ lúc nào hoặc không cần tới.

Đáp án đúng: "True". Một rủi ro thường được giảm bằng nhiều lớp biện pháp đối phó (countermeasure) cùng lúc theo nguyên tắc phòng thủ nhiều lớp (defense in depth); ví dụ rủi ro nhiễm mã độc có thể được giảm bằng phần mềm diệt virus, lọc thư rác, vá hệ thống định kỳ và đào tạo người dùng, mỗi biện pháp chặn một con đường khác nhau nên khi một lớp thất bại thì lớp khác vẫn còn tác dụng. Ngược lại, một biện pháp như tường lửa cũng có thể giảm nhiều rủi ro khác nhau. Khi chọn tổ hợp biện pháp, tổ chức dùng phân tích chi phí – lợi ích để bảo đảm tổng chi phí không vượt quá mức giảm thiệt hại. "False" sai vì nó ngụ ý mỗi rủi ro chỉ gắn với đúng một biện pháp, trái với cách các tổ chức thực sự xây dựng nhiều lớp kiểm soát cho cùng một rủi ro quan trọng.

Đáp án đúng: "To stay within budget and on schedule.". Triển khai kế hoạch giảm thiểu rủi ro được quản lý như một dự án, nên hai mục tiêu chính là hoàn thành trong ngân sách và đúng tiến độ; vượt chi phí làm sai kết quả phân tích chi phí - lợi ích đã dùng để chọn biện pháp, còn trễ hạn khiến tổ chức phơi nhiễm rủi ro lâu hơn. "To hire new staff and purchase new software only." quá hẹp và nhầm phương tiện với mục tiêu, vì nhiều biện pháp chỉ cần đổi quy trình. "To complete the project without documenting any changes." đi ngược thực hành tốt, vì thay đổi phải được ghi nhận để kiểm soát và kiểm toán. "To ignore project management principles and rush the implementation." dẫn tới sai sót và vượt ngân sách, đúng điều cần tránh.

Đáp án đúng: "It helps decision-makers better understand impact and priorities". Người quyết định ngân sách và hướng xử lý rủi ro thường là lãnh đạo kinh doanh, không phải chuyên gia kỹ thuật; nói lỗ hổng trên máy chủ web ít ý nghĩa với họ, còn nói có thể mất hai ngày doanh thu bán hàng trực tuyến và bị phạt vì lộ dữ liệu khách hàng thì họ hiểu ngay mức tác động và biết ưu tiên đầu tư vào đâu. "It avoids legal accountability" sai, cách diễn đạt không làm giảm trách nhiệm pháp lý; truyền đạt rõ ràng còn giúp chứng minh tổ chức đã làm đủ trách nhiệm. "It increases user compliance with technical protocols" nhắm sai đối tượng, đó là việc của đào tạo nâng cao nhận thức cho người dùng chứ không phải báo cáo rủi ro cho lãnh đạo. "It improves security performance" quá gián tiếp: ngôn ngữ báo cáo tự nó không làm hệ thống an toàn hơn, nó chỉ giúp quyết định đúng, rồi các biện pháp được chọn mới cải thiện an ninh.

Đáp án đúng: "Restore systems after a disaster". Kế hoạch khôi phục thảm hoạ (DRP, disaster recovery plan) là phần của lập kế hoạch dự phòng tập trung vào việc đưa hệ thống CNTT và dữ liệu hoạt động trở lại sau khi thảm hoạ đã xảy ra, chẳng hạn chuyển sang site dự phòng, khôi phục từ bản sao lưu, rồi đưa về site chính, theo đúng mục tiêu RTO và RPO đã định. "Prevent disasters" sai vì phòng ngừa thuộc các biện pháp kiểm soát và đánh giá rủi ro; DRP mặc định thảm hoạ có thể xảy ra và chuẩn bị cách phục hồi. "Eliminate downtime" phi thực tế; DRP chỉ rút ngắn thời gian ngừng xuống mức chấp nhận được, không xoá bỏ hoàn toàn. "Identify malware" là việc của công cụ diệt mã độc, hệ thống phát hiện xâm nhập và đội ứng cứu sự cố, không phải mục tiêu của DRP.

Đáp án đúng: "Recovery time objective (RTO)". MAO (Maximum Acceptable Outage) trong BIA là thời gian ngừng tối đa mà một chức năng kinh doanh chịu được; khi chuyển sang DRP, con số này được cụ thể hoá thành RTO, mục tiêu thời gian mà hệ thống phải được khôi phục, và RTO phải nhỏ hơn hoặc bằng MAO để còn thời gian kiểm tra rồi đưa chức năng trở lại. "Critical business function (CBF)" là chức năng kinh doanh thiết yếu, chính là đối tượng mà MAO được xác định cho, không phải một thuật ngữ thời gian. "DRP action item (DRPAI)" không phải thuật ngữ chuẩn của DRP; hiểu theo nghĩa đen thì đó là một đầu việc trong kế hoạch, tức nội dung cần làm chứ không phải giới hạn thời gian. "Recovery action item (RAI)" cũng chỉ là một hành động khôi phục cụ thể, như dựng lại máy chủ hay nạp bản sao lưu, mô tả việc làm chứ không mang ý nghĩa mốc thời gian thay cho MAO.

Đáp án đúng gồm ba ý: "Data replication", "Electronic vaulting" và "Remote journaling". Cả ba là kỹ thuật đưa dữ liệu của một cơ sở dữ liệu lớn ra địa điểm khác: sao chép dữ liệu (data replication) ghi bản sao sang máy chủ ở xa gần như theo thời gian thực; electronic vaulting gửi bản sao lưu theo lô qua đường truyền tới kho lưu ngoài site; remote journaling gửi nhật ký giao dịch tới site xa để có thể dựng lại các thay đổi mới nhất, giúp giảm mục tiêu điểm khôi phục (RPO). "S3 bucket" là một dịch vụ lưu trữ đối tượng trên đám mây, tức là một nơi chứa dữ liệu chứ không phải một phương pháp sao chép; nó có thể là đích đến của bản sao lưu, nhưng tự nó không bảo đảm dữ liệu của cơ sở dữ liệu được chuyển ra ngoài site, nên không phải đáp án cùng loại với ba kỹ thuật trên.

Đáp án đúng: "18". NIST SP 800-53 revision 4 sắp xếp các kiểm soát an toàn thành 18 họ (family), mỗi họ có mã hai chữ cái, ví dụ AC cho kiểm soát truy cập (Access Control), IR cho ứng phó sự cố (Incident Response) hay CP cho kế hoạch dự phòng (Contingency Planning); cách chia họ giúp tổ chức chọn và kiểm tra kiểm soát theo từng nhóm chức năng. "16" và "21" không khớp với số họ của revision 4; bản revision 5 ra sau có mở rộng số họ lên 20, nhưng câu hỏi nói rõ revision 4. "32" còn xa hơn, có thể bị nhầm với số lượng kiểm soát hay tăng cường trong một họ chứ không phải số họ kiểm soát.

Đáp án đúng: "By implementing automated solutions that complement and enhance existing risk management processes.". Công nghệ như hệ thống GRC (Governance, Risk and Compliance), công cụ quét lỗ hổng hay SIEM giúp thu thập bằng chứng, theo dõi kiểm soát và lập báo cáo tuân thủ nhanh, đều đặn hơn; nhưng đánh giá ngữ cảnh, phán đoán mức chấp nhận rủi ro và chịu trách nhiệm trước cơ quan quản lý vẫn cần con người, nên cách đúng là dùng tự động hoá để bổ trợ và tăng cường quy trình sẵn có. Phương án "By automating risk assessment and mitigation processes completely." sai ở chữ completely: đánh giá rủi ro cần hiểu biết kinh doanh mà máy không tự có. Phương án "By relying solely on automated security tools to detect and respond to threats." sai ở chữ solely, công cụ tự động có báo động giả và bỏ sót, lại chỉ lo phát hiện, ứng phó chứ không bao trùm tuân thủ. Phương án "By replacing human expertise with automated systems for managing risk" đi ngược nguyên tắc giữ con người trong vòng quyết định và trách nhiệm giải trình.

Đáp án đúng: "CCTV". Biện pháp kiểm soát được chia thành ba nhóm: thủ tục (procedural, hay hành chính), kỹ thuật (technical) và vật lý (physical); kiểm soát vật lý bảo vệ cơ sở và thiết bị bằng tác động hữu hình như khoá cửa, hàng rào, bảo vệ và camera giám sát. Hệ thống camera quan sát (CCTV) ghi hình khu vực ra vào để răn đe và phát hiện xâm nhập vật lý, nên là kiểm soát vật lý điển hình. "Logon identifiers" là định danh đăng nhập, một kiểm soát kỹ thuật dùng để xác định và xác thực người dùng trên hệ thống. "Encryption" là mã hoá dữ liệu, cũng là kiểm soát kỹ thuật thực hiện bằng phần mềm hoặc phần cứng. "BCP" là kế hoạch liên tục kinh doanh, một tài liệu kế hoạch thuộc nhóm kiểm soát thủ tục chứ không phải vật lý.

Đáp án đúng: "Mandatory vacation". Nghỉ phép bắt buộc (mandatory vacation) là kiểm soát hành chính buộc nhân viên nghỉ liền nhiều ngày; khi người đó vắng mặt, người khác phải đảm nhận công việc, nên các giao dịch gian lận hay biển thủ vốn cần người thực hiện liên tục che giấu sẽ dễ bị lộ. "Job rotation" là luân chuyển công việc, đổi vị trí nhân viên định kỳ; nó cũng giúp phát hiện gian lận nhưng không phải là buộc nghỉ phép. "Separation of duties" là phân tách nhiệm vụ, chia một quy trình nhạy cảm cho nhiều người để không ai tự làm trọn từ đầu đến cuối. "Due diligence" là sự thẩm định cẩn trọng, nỗ lực hợp lý của tổ chức trong việc tìm hiểu và quản lý rủi ro, không phải một chính sách nghỉ phép.

Đáp án đúng gồm bốn ý: "Laws", "Policies", "Regulations" và "Standards". Để hệ thống CNTT an toàn, tổ chức phải tuân thủ cả yêu cầu bên ngoài lẫn bên trong: luật (laws) do nhà nước ban hành, ví dụ luật bảo vệ dữ liệu cá nhân; quy định (regulations) do cơ quan quản lý ngành đặt ra để thi hành luật; chính sách (policies) là cam kết nội bộ của tổ chức về bảo mật; và chuẩn (standards) như ISO/IEC 27001 hay PCI DSS đưa ra yêu cầu cụ thể, đo được. Đây là những văn bản có tính ràng buộc, vi phạm sẽ bị xử phạt hoặc kỷ luật. "Manuals" là sổ tay hướng dẫn sử dụng hay vận hành một sản phẩm, mang tính tham khảo cách làm, không phải nghĩa vụ tuân thủ; tài liệu này có thể giúp cấu hình đúng nhưng không thuộc nhóm yêu cầu bắt buộc mà tổ chức phải đáp ứng.

Đáp án đúng: "Acceptable Use Policy". Chính sách sử dụng chấp nhận được (AUP) là văn bản người dùng phải đọc và ký, quy định họ được và không được làm gì với máy tính, mạng, thư điện tử và Internet của tổ chức, ví dụ cấm cài phần mềm không phép hay truy cập trang trái phép; đây là kiểm soát thủ tục chủ yếu cho miền người dùng (User Domain) và là cơ sở để xử lý vi phạm. "Access User Policy" không phải tên một chính sách chuẩn; quy định quyền truy cập thuộc chính sách kiểm soát truy cập. "Asset Use Policy" nghe gần nghĩa nhưng không phải nghĩa của chữ viết tắt AUP, và việc quản lý tài sản có chính sách riêng. "Acceptance User Policy" ghép sai chữ, đảo ý từ chính sách về hành vi được chấp nhận thành người dùng được chấp nhận, không tồn tại trong quản trị an ninh.

Đáp án đúng: "To identify the root cause of the incident, understand its scope and impact.". Nhóm ứng phó sự cố máy tính (computer incident response team, CIRT) điều tra sau sự cố để tìm nguyên nhân gốc, xác định sự cố đã lan tới đâu và gây thiệt hại gì; kết quả này dùng để loại bỏ triệt để, khôi phục và sửa kiểm soát để sự cố không tái diễn. "To assign blame and identify the individuals responsible" sai vì mục tiêu là cải thiện an toàn chứ không phải đổ lỗi; tập trung vào đổ lỗi khiến mọi người giấu thông tin. "To recover from the incident as quickly as possible without considering potential future threats" bỏ qua bài học rút ra, dễ để sự cố lặp lại. "To implement immediate changes to security controls without a thorough analysis" có thể sửa sai chỗ hoặc gây sự cố mới vì chưa hiểu nguyên nhân.

Đáp án đúng: "Confidentiality". User Domain (miền người dùng) là miền đầu tiên trong mô hình bảy miền của hạ tầng CNTT, nơi con người truy cập hệ thống; dữ liệu về người dùng như hồ sơ nhân sự, thông tin cá nhân, mật khẩu là dữ liệu nhạy cảm, nên mối quan tâm then chốt là confidentiality (tính bí mật): chỉ người được phép mới xem được, vì lộ lọt gây hại cho cá nhân và kéo theo trách nhiệm pháp lý về quyền riêng tư. "Availability" (tính sẵn sàng) quan trọng với hệ thống phục vụ, nhưng dữ liệu người dùng tạm thời không truy cập được thì ít nghiêm trọng hơn khi nó bị lộ. "Cost-effectiveness" là tiêu chí chọn biện pháp kiểm soát, không phải mối quan tâm về bản thân dữ liệu. "Data redundancy" (dư thừa dữ liệu) là kỹ thuật hỗ trợ tính sẵn sàng, và nếu thiếu kiểm soát còn làm tăng số bản sao có thể bị lộ.

Đáp án đúng: "Software assets". Khi kiểm kê tài sản để đánh giá rủi ro, tài sản CNTT được chia thành phần cứng, phần mềm, dữ liệu và nhân sự; hệ điều hành và các ứng dụng là chương trình chạy trên máy, nên thuộc tài sản phần mềm, được định giá theo chi phí giấy phép, phát triển hay cài đặt lại và cần quản lý phiên bản, bản vá. "Hardware assets" là thiết bị vật lý như máy chủ, máy trạm, thiết bị mạng, nơi phần mềm được cài đặt chứ không phải chính phần mềm. "Personnel assets" là con người cùng kỹ năng và kiến thức của họ, ví dụ quản trị viên hệ thống. "Data assets" là thông tin mà phần mềm xử lý và lưu trữ, như hồ sơ khách hàng hay dữ liệu giao dịch, tách biệt với chương trình xử lý nó.