Câu hỏi: IAA202 Quản trị rủi ro trong hệ thống thông tin – Bộ ôn tập cuối kỳ số 1

Đáp án đúng: "Residual risk". Rủi ro tồn dư (residual risk) là phần rủi ro còn lại sau khi đã áp dụng biện pháp kiểm soát, vì không biện pháp nào đưa rủi ro về 0; ban lãnh đạo phải xem xét và chính thức chấp nhận phần này, nếu nó vẫn vượt mức chấp nhận được thì cần thêm biện pháp. "Remaining risk" có nghĩa đen giống vậy nhưng không phải thuật ngữ chuẩn được dùng trong quản trị rủi ro. "Mitigated risk" chỉ phần rủi ro đã được giảm bớt nhờ biện pháp, tức phần đã xử lý chứ không phải phần còn lại. "Managed risk" là cách nói chung cho rủi ro đã được đưa vào quy trình quản lý bằng một trong các cách xử lý như tránh, chuyển giao, giảm thiểu hay chấp nhận, không chỉ riêng phần tồn tại sau khi đặt kiểm soát.

Đáp án đúng: "Unauthorized access to data". Mối đe doạ (threat) là bất kỳ hành động hay sự kiện nào có thể gây hại cho tính bí mật, toàn vẹn hoặc sẵn sàng của tài sản; truy cập trái phép vào dữ liệu đe doạ trực tiếp tính bí mật và có thể dẫn tới sửa đổi hay đánh cắp dữ liệu. "Data encryption" là kiểm soát kỹ thuật bảo vệ dữ liệu, làm cho dữ liệu bị đánh cắp vẫn không đọc được. "Installing antivirus software" là biện pháp phòng ngừa và phát hiện mã độc. "Creating a backup plan" là biện pháp khắc phục, giúp khôi phục dữ liệu khi bị mất. Mỗi việc vừa nêu đều là biện pháp đối phó với mối đe doạ chứ không phải bản thân mối đe doạ.

Đáp án đúng: "Prioritizing risk mitigation activities based on potential impact and exploit likelihood.". Phương pháp đánh giá rủi ro (risk assessment methodology), dù định tính, định lượng hay kết hợp, cho tổ chức một cách nhất quán để chấm từng rủi ro theo tác động tiềm tàng và khả năng bị khai thác, từ đó xếp hạng và dồn nguồn lực vào việc giảm thiểu rủi ro cao nhất trước; đây là lợi ích then chốt vì nguồn lực luôn có hạn. Phương án "Facilitating data collection and analysis of security threats and vulnerabilities." mô tả một bước làm trong quá trình đánh giá, là phương tiện chứ chưa phải lợi ích quản lý mà phương pháp mang lại. Phương án "Automating security controls and incident response procedures." là việc của công cụ vận hành và tự động hoá ứng phó, không phải của phương pháp đánh giá. Phương án "Reducing the need for human intervention in security operations." sai hướng, đánh giá rủi ro cần phán đoán của con người để chấm điểm và quyết định, nó không thay con người trong vận hành an ninh.

Đáp án đúng: "A high false-positive error rate". Máy quét điểm yếu như Nessus so dấu hiệu của hệ thống, ví dụ phiên bản dịch vụ, với cơ sở dữ liệu điểm yếu đã biết, nên hay báo có lỗ hổng trong khi thực tế hệ thống đã được vá hoặc cấu hình khác đi; báo động giả (false positive) nhiều buộc người quản trị tốn công kiểm tra lại từng kết quả, đây là nhược điểm thường gặp nhất. "A high false-negative error rate" nghĩa là bỏ sót nhiều điểm yếu có thật; máy quét có thể bỏ sót lỗi chưa có trong cơ sở dữ liệu, nhưng đó không phải đặc điểm nổi bật của nó. "A low false-positive error rate" là một ưu điểm, không thể là nhược điểm. "A low false-negative error rate" nghĩa là ít bỏ sót, cũng là ưu điểm chứ không phải hạn chế.

Đáp án đúng gồm hai ý: "Historical data reviewing" và "Threat modeling performing". Rà soát dữ liệu lịch sử nghĩa là xem lại các sự cố, nhật ký và báo cáo trước đây để biết mối đe doạ nào đã từng nhắm vào tổ chức và có thể quay lại; mô hình hoá mối đe doạ (threat modeling) là cách tiếp cận có cấu trúc, xem xét hệ thống, tài sản, điểm vào và kẻ tấn công tiềm năng để suy ra những mối đe doạ có thể xảy ra. Đây là hai kỹ thuật nhận diện mối đe doạ. "Quantifying" là định lượng, gán giá trị tiền cho thiệt hại và tần suất, thuộc bước phân tích rủi ro sau khi đã có danh sách mối đe doạ. "Qualifying" là đánh giá định tính, xếp mức khả năng và tác động, cũng là bước đánh giá chứ không phải nhận diện.

Đáp án đúng gồm ba ý: "Notification", "Recovery" và "Reconstitution". Theo hướng dẫn lập kế hoạch dự phòng của NIST, kế hoạch được tổ chức theo ba giai đoạn: kích hoạt và thông báo (Activation and Notification) đánh giá thiệt hại, báo cho người liên quan và quyết định kích hoạt kế hoạch; khôi phục (Recovery) thực hiện các thủ tục đưa chức năng hoạt động trở lại, có thể ở địa điểm dự phòng; tái lập (Reconstitution) đưa hoạt động về trạng thái bình thường, kiểm tra hệ thống và chính thức đóng kế hoạch. "Authorization" (cấp phép) là một bước trong quy trình cấp phép vận hành hệ thống của khung quản trị rủi ro, không phải một giai đoạn của kế hoạch liên tục. "Detection" (phát hiện) là hoạt động thuộc ứng phó sự cố, xảy ra trước và dẫn tới việc kích hoạt kế hoạch, nhưng không được tính là một giai đoạn riêng; ý phát hiện đã nằm trong giai đoạn kích hoạt và thông báo.

Đáp án đúng: "To review the BCP procedures in a discussion format". Bài tập trên bàn (tabletop exercise) tập hợp các thành viên đội BCP quanh một kịch bản giả định, cùng thảo luận từng bước trong kế hoạch xem ai làm gì, còn thiếu gì, có mâu thuẫn chỗ nào, mà không động tới hệ thống thật; ưu điểm là rẻ, ít gây gián đoạn và phát hiện sớm lỗ hổng của quy trình. "To fully simulate a disaster scenario" mô tả kiểm thử mô phỏng toàn phần hoặc gián đoạn toàn phần, tốn kém và có rủi ro hơn nhiều. "To train personnel on using recovery tools" là hoạt động đào tạo kỹ năng thực hành, có thể đi kèm diễn tập nhưng không phải mục đích của buổi thảo luận. "To physically test alternate locations and equipment" là kiểm thử chức năng hay kiểm thử song song tại site dự phòng, đòi hỏi vận hành thiết bị thật.

Đáp án đúng: "DAT". DAT (damage assessment team, nhóm đánh giá thiệt hại) là nhóm trong kế hoạch khôi phục sau thảm hoạ có nhiệm vụ đánh giá mức thiệt hại và xác định mức nghiêm trọng của sự cố; họ thu thập và báo cáo dữ liệu cho người ra quyết định nhưng không trực tiếp hành động khôi phục. "EMT" là nhóm quản lý khẩn cấp (emergency management team), gồm lãnh đạo ra quyết định và điều phối toàn bộ phản ứng. "TRT" là nhóm khôi phục kỹ thuật (technical recovery team), trực tiếp khôi phục hệ thống tại chỗ hay ở địa điểm dự phòng. "DRT" là nhóm khôi phục sau thảm hoạ (disaster recovery team), thực hiện các hoạt động khôi phục; nhóm này hành động chứ không chỉ thu thập và báo cáo.

Đáp án đúng: "They require less labor to use and ensure process availability". Tự động hoá quy trình mang lợi cho cả hai phía: với công ty, quy trình tự động cần ít công lao động để vận hành nên giảm chi phí và sai sót thủ công; với khách hàng, quy trình luôn sẵn sàng, chạy được ngoài giờ làm việc và cho kết quả nhất quán. Chính vì giá trị đó, trong quản trị rủi ro các quy trình tự động được coi là tài sản cần bảo vệ, vì nó ngừng thì cả hai phía cùng chịu thiệt. "They reduce the need for personnel assets" chỉ là lợi ích một phía cho công ty, trong khi câu hỏi yêu cầu giá trị cho cả khách hàng. "They increase the risk of failure" là một mặt tiêu cực có thể có, không phải giá trị. "They decrease the value to customers" mâu thuẫn trực tiếp với câu hỏi, vì quy trình tự động thường làm tăng chứ không giảm giá trị cho khách hàng.