Câu hỏi: IAA202 Quản trị rủi ro trong hệ thống thông tin – Bộ ôn tập cuối kỳ số 1

Đáp án đúng: "A denial of service (DoS) attack.". Khai thác (exploit) là hành động hay kỹ thuật lợi dụng một điểm yếu để gây hại cho hệ thống; tấn công từ chối dịch vụ lợi dụng giới hạn tài nguyên hoặc lỗi xử lý để làm dịch vụ không phục vụ được người dùng hợp lệ, nên là ví dụ của một exploit nhắm vào tính sẵn sàng. "Installing antivirus software." là biện pháp kiểm soát kỹ thuật để phòng và phát hiện mã độc. "Performing regular data backups." là kiểm soát khắc phục, giúp khôi phục dữ liệu sau sự cố. "Providing security awareness training for employees." là kiểm soát hành chính nhằm giảm sai sót của con người. Mỗi việc vừa nêu đều là biện pháp phòng thủ, ngược hẳn với khái niệm khai thác.

Đáp án đúng: "Intentional threat". Mối đe doạ được phân loại theo nguồn và động cơ: mối đe doạ cố ý (intentional threat) do con người chủ động gây hại, với động cơ như tức giận, trả thù, tiền bạc hay hệ tư tưởng; một nhân viên bị sa thải tức giận xoá dữ liệu là ví dụ điển hình. "Environmental threat" là mối đe doạ từ môi trường tự nhiên hay vật lý như lũ, cháy, mất điện, không có kẻ gây ra mang cảm xúc. "Human error" là sai sót vô ý của con người, như gõ nhầm lệnh, cấu hình sai, không có ý định gây hại. "Accidental damage" là hư hại do tai nạn, ví dụ làm rơi ổ cứng hay đổ nước vào máy, cũng không có chủ đích. Yếu tố anger (tức giận) trong câu cho biết có động cơ và hành động chủ ý, nên chỉ nhóm cố ý phù hợp.

Đáp án đúng: "Ignoring threats that seem insignificant". Quản lý điểm yếu tốt đòi hỏi xem xét đầy đủ mọi mối đe doạ rồi mới quyết định xử lý hay chấp nhận dựa trên đánh giá; bỏ qua những mối đe doạ trông có vẻ nhỏ là sai vì nhiều cuộc tấn công lớn bắt đầu từ một điểm yếu bị coi nhẹ, hoặc nhiều điểm yếu nhỏ kết hợp lại, nên đây là phát biểu không thuộc thực hành tốt. "Identifying vulnerabilities" là bước đầu tiên của quản lý điểm yếu, không biết thì không xử lý được, nên là thực hành tốt và không được chọn. "Performing vulnerability assessments" như quét bằng Nessus hay rà soát cấu hình định kỳ giúp phát hiện điểm yếu mới, cũng là thực hành tốt. "Using multiple mitigation techniques" thể hiện phòng thủ nhiều lớp, khi một biện pháp thất bại vẫn còn lớp khác, nên cũng là thực hành tốt.

Đáp án đúng gồm ba ý: "A list of threats", "A list of vulnerabilities" và "Costs associated with risks". Mục tiêu (objectives) của kế hoạch quản trị rủi ro (risk management plan) nêu những gì kế hoạch phải tạo ra: danh sách mối đe doạ và danh sách điểm yếu để biết rủi ro đến từ đâu, cùng chi phí gắn với rủi ro để ước lượng thiệt hại và so với chi phí biện pháp. Các mục tiêu thường còn gồm khuyến nghị giảm thiểu rủi ro, chi phí của từng khuyến nghị và phân tích chi phí - lợi ích. "Analysis document" là phương án gây phân vân, vì danh sách mục tiêu cũng có báo cáo kết quả và phân tích chi phí - lợi ích; nó bị loại vì quá chung chung, không nói phân tích cái gì, trong khi ba phương án được chọn là những nội dung cụ thể mà mọi phân tích hay báo cáo về sau đều phải dựa vào.

Đáp án đúng gồm hai ý: "Ensuring costs are controlled" và "Ensuring the project stays on schedule". Project manager (quản lý dự án) của kế hoạch quản trị rủi ro chịu trách nhiệm về chính dự án: giữ chi phí trong ngân sách và giữ tiến độ theo lịch, đồng thời điều phối thành viên và báo cáo với nhà tài trợ (sponsor). "Ensuring stakeholders have adequate funds" sai vì cấp và bảo đảm ngân sách là việc của nhà tài trợ hay lãnh đạo, quản lý dự án chỉ quản lý số tiền đã được cấp chứ không lo các bên liên quan có đủ tiền. "Ensuring recommendations are adopted" sai vì quản lý dự án chỉ lo khuyến nghị được đưa ra đầy đủ trong báo cáo; quyết định chấp nhận và triển khai khuyến nghị thuộc về lãnh đạo hoặc chủ sở hữu hệ thống, sau đó được theo dõi qua POAM (kế hoạch hành động và các mốc).

Đáp án đúng: "Identify critical assets, prioritize recovery order, and establish recovery time objectives (RTOs).". Kết quả của phân tích tác động kinh doanh (BIA) cho biết chức năng nào trọng yếu và ngừng bao lâu thì không chịu nổi, nên khi xây chiến lược khôi phục thì bước cốt lõi là xác định tài sản trọng yếu phục vụ các chức năng đó, sắp thứ tự khôi phục theo mức trọng yếu, và đặt mục tiêu thời gian khôi phục làm thước đo để chọn giải pháp như hot site hay warm site. "Develop backup and recovery procedures, test and validate recovery plans regularly." là các bước triển khai và kiểm thử, diễn ra sau khi chiến lược đã được chọn. "Assign roles and responsibilities for recovery activities, train personnel on their roles." thuộc giai đoạn tổ chức đội và đào tạo, cũng đến sau. "Communicate recovery plans to stakeholders, conduct regular drills and simulations." là bước truyền thông và diễn tập để duy trì kế hoạch, không phải bước xây chiến lược từ kết quả BIA.

Đáp án đúng: "Health Insurance Portability and Accountability Act (HIPAA)". HIPAA là luật Hoa Kỳ bảo vệ thông tin sức khoẻ, áp cho mọi tổ chức xử lý thông tin y tế như bệnh viện, phòng khám, công ty bảo hiểm y tế và đối tác của họ; luật yêu cầu bảo vệ tính bí mật, toàn vẹn và sẵn sàng của thông tin sức khoẻ cá nhân. "Sarbanes-Oxley Act (SOX)" áp cho công ty đại chúng, nhằm bảo đảm báo cáo tài chính chính xác. "Federal Information Security Management Act (FISMA)" áp cho các cơ quan liên bang và hệ thống thông tin của họ. "Family Educational Rights and Privacy Act (FERPA)" bảo vệ hồ sơ học tập của học sinh, sinh viên tại cơ sở giáo dục nhận tài trợ liên bang, không phải thông tin sức khoẻ nói chung.

Đáp án đúng: "Defense in depth". Defense in depth (phòng thủ nhiều lớp) đặt nhiều biện pháp kiểm soát chồng lên nhau ở các tầng khác nhau như tường lửa biên, phân đoạn mạng, xác thực, mã hoá, giám sát; nếu một lớp thất bại thì các lớp còn lại vẫn chặn hoặc phát hiện kẻ tấn công, nhờ đó khoảng trống an ninh được thu hẹp. "Access control implementation" là triển khai một loại kiểm soát cụ thể; bản thân nó cũng có thể thất bại và không tự che được khi chính nó hỏng. "Critical business factor analysis" là phân tích yếu tố kinh doanh then chốt, phục vụ xác định ưu tiên, không phải chiến lược bảo vệ. "Business impact analysis" (BIA) đo tác động khi chức năng kinh doanh bị gián đoạn để lập kế hoạch liên tục, không trực tiếp lấp khoảng trống khi một biện pháp kiểm soát hỏng.

Đáp án đúng: "Uncontrolled growth of a project's goals or deliverables". Phình phạm vi (scope creep) là hiện tượng mục tiêu hoặc sản phẩm bàn giao của một dự án cứ được thêm dần mà không qua kiểm soát thay đổi, kéo theo vượt ngân sách và trễ hạn; trong kế hoạch quản trị rủi ro, tuyên bố phạm vi (scope statement) rõ ràng được viết ra chính là để ngăn hiện tượng này. "The slow spread of malware" mô tả mã độc lây lan chậm, không liên quan tới quản lý dự án. "An increase in risk" là một hệ quả có thể xảy ra khi phạm vi phình ra, nhưng không phải định nghĩa của khái niệm. "A delay in software deployment" cũng chỉ là một hậu quả thường gặp; dự án có thể trễ vì nhiều lý do khác, còn scope creep là chính việc phạm vi tăng không kiểm soát.

Đáp án đúng: "Exposure Factor (EF)". Hệ số thiệt hại (exposure factor, EF) là phần trăm giá trị tài sản bị mất khi một mối đe doạ xảy ra một lần; ví dụ máy chủ trị giá 10.000 USD bị hỏng 40% thì EF là 40%. "Single Loss Expectancy (SLE)" là thiệt hại tính bằng tiền cho một lần xảy ra, SLE = giá trị tài sản × EF, trong ví dụ là 10.000 × 40% = 4.000 USD, nên là số tiền chứ không phải phần trăm. "Multiple Loss Expectancy" không phải đại lượng chuẩn trong phân tích định lượng; thiệt hại lặp lại được tính bằng ALE = SLE × ARO. "Rate of Occurrence (ARO)" là số lần mối đe doạ dự kiến xảy ra mỗi năm, ví dụ 0,5 lần/năm cho ALE = 4.000 × 0,5 = 2.000 USD; nó là tần suất chứ không phải tỉ lệ thiệt hại.

Đáp án đúng: "Understanding the impact of disruptions on business functions". BIA hoàn chỉnh là nền móng của BCP: nó xác định chức năng kinh doanh thiết yếu, đo tác động tài chính, vận hành, pháp lý khi từng chức năng bị gián đoạn, và đặt ra MAO, RTO, RPO; nhờ hiểu tác động đó, BCP biết phải ưu tiên khôi phục cái gì trước và trong bao lâu. "Ignoring potential threats" sai hoàn toàn, không bước nào trong lập kế hoạch liên tục lại bỏ qua mối đe doạ. "Identifying countermeasures and controls" là việc của đánh giá rủi ro và giai đoạn xây dựng chiến lược khôi phục; BIA tập trung vào hậu quả của gián đoạn, không bàn chọn biện pháp nào. "Providing training" là hoạt động sau khi đã có kế hoạch, giúp nhân viên biết vai trò khi kích hoạt BCP, không phải vai trò của BIA.

Đáp án đúng: "Provides a cost-benefit analysis". Đánh giá rủi ro định lượng gán giá trị tiền cho rủi ro qua SLE = giá trị tài sản × hệ số thiệt hại và ALE = SLE × ARO, nên có thể so trực tiếp mức tổn thất hằng năm với chi phí biện pháp đối phó; chẳng hạn ALE giảm từ 50.000 xuống 10.000 mà biện pháp tốn 15.000 mỗi năm thì đáng đầu tư, đây là ưu điểm lớn nhất của cách tiếp cận này. "Based on expert opinions" là đặc trưng của đánh giá định tính, nơi rủi ro được xếp hạng theo nhận định chuyên gia. "Faster to complete than qualitative assessments" ngược sự thật; định lượng tốn nhiều thời gian hơn vì phải thu thập số liệu giá trị tài sản và tần suất xảy ra. "Uses a subjective approach" cũng mô tả định tính; định lượng hướng tới con số khách quan.

Đáp án đúng gồm ba ý: "Help the organization well-prepared for incidents", "Identifying roles and responsibilities" và "Cost and time savings". Kế hoạch CIRT (kế hoạch của nhóm ứng phó sự cố máy tính) giảm thiểu rủi ro vì nó chuẩn bị sẵn thủ tục trước khi sự cố xảy ra, phân rõ ai làm gì trong nhóm, và nhờ vậy khi có sự cố tổ chức phản ứng nhanh, tốn ít thời gian và chi phí hơn so với xử lý ứng biến. Cần nói thẳng chỗ tranh cãi: "Better understanding of required skills" cũng là một lợi ích có thật, vì kế hoạch nêu kỹ năng cần cho từng vai trò nên tổ chức biết phải đào tạo hay tuyển ai. Tuy vậy, ba ý được chọn là ba lợi ích trực tiếp nhất của việc lập kế hoạch: chuẩn bị sẵn, phân vai rõ, và tiết kiệm chi phí, thời gian khi sự cố xảy ra; hiểu biết về kỹ năng là hệ quả phụ của việc phân vai nên không được tính là một lợi ích riêng.

Đáp án đúng: "True". Kế hoạch CIRT (Computer Incident Response Team, đội ứng phó sự cố máy tính) ghi rõ ai là thành viên, vai trò và trách nhiệm từng người, cách liên lạc và ai có quyền quyết định; xác định thành viên từ trước là một lợi ích chính vì khi sự cố xảy ra không còn thời gian tìm người, phân việc, và đội có thể phản ứng ngay theo phân công đã thống nhất. Có thể cãi rằng lợi ích lớn nhất của kế hoạch là giảm thiệt hại và rút ngắn thời gian khống chế sự cố, nhưng chính việc xác định thành viên trước là thứ tạo ra lợi ích đó, nên phát biểu vẫn đúng. Chọn "False" là cho rằng việc nêu thành viên chỉ là chi tiết hành chính, bỏ qua giá trị của việc chuẩn bị nhân sự trước, vốn là điều quyết định tốc độ ứng phó.

Đáp án đúng: "Preparation, detection and analysis, containment, eradication and recovery, and postincident recovery". Vòng đời ứng cứu sự cố theo NIST SP 800-61 đi từ chuẩn bị (lập đội, công cụ, quy trình), phát hiện và phân tích để xác nhận sự cố, ngăn chặn để không lan rộng, loại bỏ nguyên nhân và khôi phục hệ thống, rồi hoạt động sau sự cố để rút kinh nghiệm, nên chuỗi này đủ và đúng thứ tự. Chuỗi "Preparation, deletion and analysis" sai vì thay phát hiện bằng xoá, không có bước xoá trước khi phân tích. Chuỗi "Detection and analysis, containment, backup and eradication" bỏ mất bước chuẩn bị và chèn sao lưu vào chỗ của khôi phục. Chuỗi "Preparation, detection, deletion and analysis" lại chèn bước xoá vô nghĩa và gộp ngăn chặn với khôi phục, bỏ mất bước loại bỏ nguyên nhân, nên không phản ánh đúng vòng đời.

Đáp án đúng: "Maximum Acceptable Outage (MAO)". MAO (thời gian gián đoạn tối đa chấp nhận được) là khoảng thời gian dài nhất một hệ thống hay chức năng được phép ngừng trước khi tổ chức chịu thiệt hại không chấp nhận được; nó được xác định trong phân tích tác động kinh doanh và là mốc trần cho các mục tiêu khôi phục. "Recovery Time Objective (RTO)" là thời gian mục tiêu để khôi phục hệ thống, phải đặt ngắn hơn hoặc bằng MAO, nên là mục tiêu chứ không phải giới hạn tối đa. "Recovery Point Objective (RPO)" đo lượng dữ liệu được phép mất tính theo thời gian, ví dụ sao lưu mỗi 4 giờ thì có thể mất tối đa 4 giờ dữ liệu. "Business Continuity Plan (BCP)" là kế hoạch duy trì hoạt động kinh doanh, một tài liệu chứ không phải thước đo thời gian.

Đáp án đúng: "Maximum Acceptable Outage". MAO là thời gian ngừng tối đa chấp nhận được của một chức năng hay hệ thống kinh doanh, được xác định trong BIA; vượt quá mốc này, tổ chức chịu thiệt hại không thể chấp nhận như mất khách hàng, vi phạm hợp đồng hay luật. MAO là căn cứ để đặt RTO trong DRP, với RTO nhỏ hơn hoặc bằng MAO. "Mandatory Audit Objective" ghép đúng ba chữ cái MAO nhưng không phải thuật ngữ nào trong quản trị rủi ro; mục tiêu kiểm toán không có viết tắt chuẩn như vậy. "Major Application Outage" nghe gần nghĩa vì cũng nói về ngừng hoạt động, nhưng nó tả một sự cố chứ không phải ngưỡng chấp nhận được. "Minimum Access Option" không phải thuật ngữ chuẩn và mang nghĩa về quyền truy cập, chẳng liên quan tới thời gian ngừng.

Đáp án đúng: "Develop the contingency planning policy statement". Quy trình bảy bước lập kế hoạch dự phòng của NIST (SP 800-34) bắt đầu bằng việc ban hành tuyên bố chính sách lập kế hoạch dự phòng, tạo thẩm quyền và định hướng cho toàn bộ công việc, sau đó mới đến phân tích tác động kinh doanh, xác định biện pháp phòng ngừa, xây chiến lược dự phòng, viết kế hoạch, kiểm thử – đào tạo – diễn tập và cuối cùng là bảo trì kế hoạch. "Conduct the business impact analysis" là bước thứ hai; BIA cần chính sách đi trước để biết phạm vi và ai chịu trách nhiệm. "Identify preventive controls" là bước thứ ba, dùng kết quả BIA để chọn biện pháp giảm khả năng gián đoạn. "Create contingency strategies" là bước thứ tư, chọn cách khôi phục như site dự phòng hay sao lưu, nên không thể là bước đầu.

Đáp án đúng: "Scope". Phạm vi (scope) của phân tích tác động kinh doanh (BIA) xác định ranh giới: những bộ phận, chức năng, hệ thống nào được phân tích và những gì nằm ngoài; xác định phạm vi là bước đầu tiên để BIA không quá rộng mà cũng không bỏ sót. "MAO" là thời gian gián đoạn tối đa chấp nhận được, một kết quả mà BIA tính ra cho từng chức năng, không phải ranh giới của BIA. "BCP" là kế hoạch duy trì kinh doanh, tài liệu lớn hơn sử dụng kết quả của BIA làm đầu vào. "Recovery objectives" gồm RTO (thời gian khôi phục mục tiêu) và RPO (điểm khôi phục mục tiêu), cũng là đầu ra của BIA chứ không định nghĩa ranh giới của nó.

Đáp án đúng: "Value". Rủi ro được hình thành từ ba thành phần chính: threat (mối đe doạ) là thứ có thể gây hại, vulnerability (điểm yếu) là chỗ hở mà mối đe doạ khai thác, và loss (tổn thất) là hậu quả khi mối đe doạ khai thác được điểm yếu; vì thế rủi ro thường được tả là khả năng chịu tổn thất do mối đe doạ khai thác điểm yếu. "Value" (giá trị của tài sản) là đầu vào để đo mức tổn thất, giúp định lượng rủi ro, nhưng không phải thành phần cấu thành rủi ro; một tài sản có giá trị mà không có mối đe doạ hay điểm yếu thì không có rủi ro. "Threat" là thành phần chính vì không có nguồn gây hại thì điểm yếu chẳng bị khai thác. "Vulnerability" là thành phần chính vì mối đe doạ cần một điểm yếu để tác động. "Loss" là thành phần chính vì rủi ro rốt cuộc là khả năng chịu tổn thất.