Câu hỏi: IAA202 Quản trị rủi ro trong hệ thống thông tin – Bộ ôn tập thi lại số 1

Đáp án đúng: "Technical control". Kiểm soát kỹ thuật (technical control) là biện pháp được hiện thực bằng phần mềm hoặc phần cứng, như tường lửa, mã hoá, hệ thống phát hiện xâm nhập hay cơ chế xác thực; nó tự động thực thi chính sách an toàn ngay bên trong hệ thống. "Procedural control" là kiểm soát thủ tục, tức các quy trình, hướng dẫn công việc mà con người phải tuân theo, không dựa vào phần mềm hay phần cứng. "Physical control" bảo vệ không gian vật lý như khoá cửa, camera, hàng rào, nhân viên bảo vệ, nên nhắm vào việc tiếp cận cơ sở chứ không phải công nghệ bảo vệ hệ thống. "Administrative control" là kiểm soát quản lý gồm chính sách, đào tạo, phân công trách nhiệm do ban lãnh đạo ban hành; nó định hướng hành vi con người chứ không phải một cơ chế phần mềm hay phần cứng.

Đáp án đúng gồm ba ý: "Host site", "Cold site" và "Warm site". Alternate site (địa điểm dự phòng) là nơi tổ chức chuyển hoạt động tới khi cơ sở chính bị thảm hoạ, và ba loại kinh điển là hot site (site nóng, trang bị sẵn phần cứng, phần mềm, dữ liệu gần thời gian thực, chuyển sang trong vài giờ), warm site (site ấm, có hạ tầng và một phần thiết bị, cần thêm thời gian nạp dữ liệu) và cold site (site lạnh, chỉ có mặt bằng, điện, điều hoà, phải mang thiết bị tới). Cách viết "Host site" gần như chắc là lỗi in của Hot site, và chỉ khi hiểu đúng như vậy thì mới đủ bộ ba loại site dự phòng. "Active site" là cách gọi địa điểm đang vận hành chính (hoặc mô hình active-active), không phải một loại site dự phòng. "Permanent site" là cơ sở cố định của tổ chức, chính là thứ cần được dự phòng chứ không phải nơi dự phòng. "Alternate site" là tên chung của cả nhóm, nên không thể là một loại nằm trong chính nhóm đó.

Đáp án đúng: "Controlling the ability of threat and vulnerability pairs". Rủi ro chỉ thành hiện thực khi một mối đe doạ (threat) gặp đúng điểm yếu (vulnerability) mà nó khai thác được, nên ngoài việc quản lý riêng từng bên, cách làm hiệu quả là kiểm soát khả năng cặp đe doạ – điểm yếu ấy kết hợp với nhau, tức giảm xác suất mối đe doạ chạm tới điểm yếu tương ứng. "Eliminating the risks" sai vì trong thực tế không thể đưa rủi ro về 0, mục tiêu của quản trị rủi ro là hạ rủi ro xuống mức tổ chức chấp nhận được. "Eliminating the vulnerabilities" cũng phi thực tế vì hệ thống luôn phát sinh điểm yếu mới, hơn nữa câu dẫn đã nhắc việc quản lý điểm yếu nên đây không phải biện pháp bổ sung. "All of them" sai vì hai cách loại bỏ tuyệt đối kể trên không đạt được, nên không thể gộp tất cả là đúng.

Đáp án đúng: "To identify overlapping countermeasures". Sau khi lập danh sách cặp mối đe doạ/điểm yếu (threat/vulnerability pair), người phân tích ghép từng biện pháp đối phó (countermeasure) vào từng cặp; bảng ghép cho thấy một biện pháp phủ được nhiều cặp, hoặc nhiều biện pháp cùng chồng lên một cặp, từ đó phát hiện chồng chéo để gộp hay bỏ bớt. Cần nói thẳng: "To prioritize countermeasures" là phương án gây phân vân nhất, vì kết quả ghép có thể được dùng về sau khi xếp thứ tự; nhưng việc ưu tiên biện pháp thường dựa vào ma trận khả năng - tác động hay phân tích chi phí - lợi ích, nên đó không phải mục đích trực tiếp của phép ghép. "To reduce implementation costs" có thể là hệ quả khi bỏ bớt biện pháp trùng, chứ không phải mục đích của bước ghép. "To ensure compliance with regulatory requirements" thuộc việc đối chiếu với luật và chuẩn, không phải với từng cặp mối đe doạ/điểm yếu.

Đáp án đúng: "To quantify risks based on impact severity". Risk Assessment (RA, đánh giá rủi ro) là bước đo độ lớn của từng rủi ro theo mức tác động và khả năng xảy ra, để chương trình quản trị rủi ro có căn cứ ưu tiên và chọn cách xử lý; câu hỏi viết khá mơ hồ nên cần hiểu "mục đích chính" là đầu ra mà các bước sau dùng tới. "To identify potential threats" chỉ là một bước bên trong đánh giá, chưa cho biết rủi ro lớn hay nhỏ. "To evaluate control gaps" là việc của rà soát kiểm soát (control review, gap analysis), có thể dùng kết quả đánh giá nhưng không phải mục đích của nó. "To realize savings through safeguards" là kết quả của phân tích chi phí - lợi ích (cost-benefit analysis) khi đã chọn biện pháp bảo vệ, đứng sau đánh giá rủi ro. Vì vậy lượng hoá rủi ro theo mức nghiêm trọng của tác động mới là đóng góp trực tiếp của RA cho toàn chương trình.

Đáp án đúng: "Threat/likelihood-impact matrix". Ma trận khả năng xảy ra – tác động xếp từng mối đe doạ theo hai trục là xác suất xảy ra (likelihood) và mức tác động (impact); rủi ro rơi vào ô cao – cao được ưu tiên biện pháp đối phó (countermeasure) trước, rủi ro thấp – thấp có thể để sau hoặc chấp nhận, nên đây là công cụ xác định thứ tự ưu tiên. "Cost-benefit analysis" (phân tích chi phí – lợi ích) dùng để quyết định một biện pháp cụ thể có đáng tiền hay không bằng cách so chi phí với mức giảm thiệt hại, chứ không xếp hạng các rủi ro với nhau. "Disaster recovery plan" là kế hoạch khôi phục hệ thống sau thảm hoạ, một sản phẩm của lập kế hoạch dự phòng chứ không phải công cụ ưu tiên. "Best guess method" là đoán theo cảm tính, không có cơ sở nhất quán để bảo vệ quyết định trước ban lãnh đạo.

Đáp án đúng: "Recalculate the cost-benefit analysis". Kế hoạch giảm thiểu rủi ro (risk mitigation plan) chọn biện pháp dựa trên phân tích chi phí - lợi ích (cost-benefit analysis, CBA): một biện pháp chỉ đáng làm khi lợi ích, tức phần thiệt hại hằng năm giảm được, lớn hơn chi phí của nó. Khi phát sinh chi phí mới, phép so sánh đó không còn đúng nên phải tính lại để xem biện pháp còn hợp lý không. "Ignore the new costs" khiến quyết định dựa trên số liệu sai và có thể làm dự án vượt ngân sách. "Immediately implement the countermeasures" bỏ qua bước đánh giá lại, có thể triển khai một biện pháp nay đã đắt hơn lợi ích nó mang lại. "Cancel the risk mitigation plan" là phản ứng quá mức, vì chi phí mới chỉ đòi hỏi điều chỉnh, có khi chỉ ở một biện pháp, chứ không làm cả kế hoạch mất giá trị.

Đáp án đúng: "annually". DRP (Disaster Recovery Plan, kế hoạch khôi phục sau thảm hoạ) là tài liệu sống: hệ thống, nhân sự, nhà cung cấp và mức ưu tiên thay đổi theo thời gian nên kế hoạch phải được rà soát định kỳ, và mức tối thiểu thường được khuyến nghị là ít nhất mỗi năm một lần, cộng thêm rà soát bất thường mỗi khi có thay đổi lớn về hạ tầng hay tổ chức. Chu kỳ "monthly" quá dày đối với một tài liệu lớn cần nhiều bên liên quan cùng xem xét và diễn tập; nó tốn nguồn lực mà không tăng tương xứng độ sẵn sàng. Chu kỳ "weekly" càng không thực tế vì DRP không thay đổi theo tuần; việc theo dõi hằng tuần thuộc về vận hành như kiểm tra bản sao lưu chứ không phải rà soát toàn bộ kế hoạch. Cụm "at least" trong câu cho thấy đang hỏi mức sàn, và mức sàn đó là hằng năm.

Đáp án đúng: "To ensure data can be recovered even if the primary site is destroyed". Bản sao lưu đặt cùng chỗ với hệ thống gốc sẽ cùng bị mất khi cháy, lụt hay động đất phá huỷ site chính; giữ bản sao ở nơi khác (off-site) tách hai thứ ra khỏi cùng một mối đe doạ vật lý, nên dữ liệu vẫn khôi phục được, đây là nguyên tắc nền của kế hoạch khôi phục thảm hoạ (DRP). "To reduce the cost of data storage" sai vì lưu ngoài site thường tốn thêm chi phí vận chuyển, thuê kho hay đường truyền, không phải để tiết kiệm. "To improve data access speed" sai vì bản sao ở xa thường truy cập chậm hơn bản tại chỗ. "To comply with legal requirements" có thể đúng với một số ngành bị luật bắt lưu trữ dự phòng, nhưng đó là hệ quả phụ chứ không phải lý do cốt lõi khiến việc lưu ngoài site quan trọng.

Đáp án đúng: "All of them". Yếu tố thành công then chốt (critical success factor, CSF) của kế hoạch khôi phục sau thảm hoạ (DRP) là những điều kiện mà thiếu một cái thì kế hoạch khó hiệu quả. "Management support" cần thiết vì ban lãnh đạo phê duyệt, cấp nguồn lực và buộc các bộ phận tham gia. "Authority and knowledge for DRP developers" cần vì người soạn kế hoạch phải đủ quyền để thu thập thông tin và đủ hiểu biết về hệ thống để viết thủ tục khôi phục khả thi. "Identification of primary concerns" giúp xác định chức năng, hệ thống quan trọng nhất cần khôi phục trước. "Budget funding" bảo đảm có tiền cho địa điểm dự phòng, sao lưu, thiết bị thay thế và diễn tập. Vì từng yếu tố riêng lẻ đều là CSF, chọn bất kỳ một ý đơn lẻ nào cũng bỏ sót các yếu tố khác, nên phương án gộp mới là câu trả lời đầy đủ.

Đáp án đúng: "The time by which a system must be recovered". RTO (Recovery Time Objective, mục tiêu thời gian khôi phục) là mốc thời gian mà hệ thống phải được dựng lại sau sự cố để chức năng kinh doanh không vượt quá mức ngừng tối đa chịu được (MAO); nó được rút ra từ BIA và đưa vào DRP làm chỉ tiêu cho đội khôi phục. "The maximum time allowed for data recovery" dễ nhầm nhưng nói về dữ liệu, trong khi lượng dữ liệu được phép mất là RPO (Recovery Point Objective), còn RTO nói về cả hệ thống hoạt động trở lại. "The time needed to detect a disaster" là thời gian phát hiện, thuộc khâu giám sát và thông báo, không phải mục tiêu khôi phục. "The minimum acceptable downtime" đảo ngược ý nghĩa: RTO là giới hạn trên của thời gian ngừng, không phải mức tối thiểu, và không ai đặt chỉ tiêu cho thời gian ngừng tối thiểu.

Đáp án đúng: "How an organization should respond to a security incident". Kế hoạch ứng cứu sự cố (incident response plan) là tài liệu của đội CIRT mô tả tổ chức phải làm gì khi có sự cố an ninh: ai được báo, ai có quyền quyết định, các bước phát hiện, phân tích, ngăn chặn, loại bỏ, khôi phục và rút kinh nghiệm, giúp phản ứng nhanh và nhất quán thay vì xoay xở tuỳ hứng. "The annual financial audit process" thuộc lĩnh vực kế toán – kiểm toán tài chính, không liên quan tới xử lý sự cố. "The procedure for employee termination" là thủ tục nhân sự (thu hồi tài khoản, thẻ ra vào khi nghỉ việc), một biện pháp kiểm soát hành chính riêng. "The guidelines for data encryption" là hướng dẫn kỹ thuật bảo vệ dữ liệu, thuộc chính sách an ninh chứ không phải kế hoạch phản ứng khi sự cố đã xảy ra.

Đáp án đúng: "Data backups for recovery". Kiểm soát khắc phục (corrective control) hoạt động sau khi sự cố đã xảy ra, nhằm đưa hệ thống về trạng thái bình thường và hạn chế thiệt hại; bản sao lưu dữ liệu dùng để khôi phục là ví dụ điển hình vì nó chỉ phát huy tác dụng khi dữ liệu đã bị mất hay hỏng. "Password policies" là kiểm soát phòng ngừa (preventive control), ngăn truy cập trái phép trước khi nó xảy ra. "Intrusion detection systems" là kiểm soát phát hiện (detective control), cảnh báo khi có xâm nhập nhưng tự nó không khôi phục được gì. "Employee security awareness training" cũng mang tính phòng ngừa, giúp nhân viên tránh sai lầm như mở thư lừa đảo, chứ không sửa chữa hậu quả sau sự cố.

Đáp án đúng: "False". In-place control (biện pháp kiểm soát hiện hữu) theo định nghĩa chính là biện pháp đã được cài đặt và đang chạy trong một hệ thống đang vận hành (operational system), ví dụ tường lửa đã bật, phần mềm diệt virus đã triển khai; nó được đặt đối lập với planned control (biện pháp kiểm soát dự kiến), là biện pháp nằm trong kế hoạch, có ngày triển khai nhưng chưa cài. Phát biểu nói biện pháp hiện hữu không được cài đặt trong hệ thống vận hành là mâu thuẫn trực tiếp với định nghĩa, nên phát biểu sai. Chọn "True" là nhầm in-place control với planned control. Phân biệt hai loại này quan trọng khi đánh giá rủi ro: chỉ biện pháp hiện hữu mới đang làm giảm rủi ro hiện tại, còn biện pháp dự kiến chỉ được tính sau khi triển khai.

Đáp án đúng: "Plan and Organize". Trong COBIT (bản 4.1), 34 quy trình CNTT được gom vào bốn miền theo vòng đời quản trị: miền lập kế hoạch và tổ chức lo phần chiến lược và chiến thuật, tức xác định CNTT đóng góp thế nào vào mục tiêu kinh doanh, kiến trúc thông tin, đầu tư và quản lý rủi ro ở tầm định hướng. "Acquire and Implement" là miền hiện thực hoá chiến lược: xác định, mua sắm, phát triển và tích hợp giải pháp CNTT vào quy trình kinh doanh. "Deliver and Support" là miền vận hành hằng ngày: cung cấp dịch vụ, bảo đảm an ninh, liên tục dịch vụ và hỗ trợ người dùng. "Monitor and Evaluate" là miền giám sát, đánh giá chất lượng và mức tuân thủ của các quy trình theo thời gian, đứng sau khi chiến lược đã được triển khai chứ không đặt ra chiến lược.

Đáp án đúng: "Risk assessments". NIST SP 800-30, tên đầy đủ Guide for Conducting Risk Assessments, hướng dẫn cách tiến hành đánh giá rủi ro cho hệ thống thông tin: chuẩn bị, xác định mối đe doạ, điểm yếu, khả năng xảy ra, tác động và từ đó xác định mức rủi ro. "Maturity levels" là khái niệm mức trưởng thành của các mô hình như CMMI hay COBIT, không phải nội dung của SP 800-30. "A framework of good practices" mô tả đúng hơn các khung như COBIT hay ITIL, tập hợp thực hành tốt cho quản trị và vận hành CNTT. "Certification and accreditation" là quy trình chứng nhận và cấp phép vận hành cho hệ thống liên bang, được NIST hướng dẫn trong tài liệu khác là SP 800-37, không phải trọng tâm của SP 800-30.

Đáp án đúng: "fraud, theft, errors, and conflicts of interest". Separation of duties (phân tách nhiệm vụ) chia một quy trình nhạy cảm cho nhiều người, ví dụ người tạo yêu cầu thanh toán không được tự duyệt, để không ai một mình vừa làm vừa che giấu; nhờ đó nó giảm gian lận (fraud), trộm cắp (theft), sai sót (errors) vì người thứ hai sẽ phát hiện, và xung đột lợi ích (conflicts of interest) vì không ai tự duyệt việc có lợi cho mình. "fraud, theft, failure, and incident" sai ở hai vế cuối: hỏng hóc (failure) của hệ thống được xử lý bằng dự phòng, còn sự cố (incident) là hệ quả chung chứ không phải loại rủi ro riêng mà phân tách nhiệm vụ nhắm tới. "fraud, theft, errors, and incident" đúng ba vế đầu nhưng thay xung đột lợi ích bằng sự cố. "fraud, theft, failure, and conflicts" vừa có failure, vừa cắt cụt thành conflicts chung chung, trong khi điều cần nói là xung đột lợi ích.

Đáp án đúng: "A database created by combining multiple databases into a central database". Kho dữ liệu (data warehouse) gom dữ liệu từ nhiều cơ sở dữ liệu nguồn, chẳng hạn bán hàng, kho vận, nhân sự, vào một cơ sở dữ liệu trung tâm để phân tích và khai phá dữ liệu (data mining); vì tập trung nhiều thứ nhạy cảm vào một chỗ, nó là tài sản dữ liệu giá trị cao cần được bảo vệ chặt. "A database used in a warehouse" hiểu chữ warehouse theo nghĩa đen là nhà kho, không phải khái niệm CNTT. "A database used to identify the location of products in a warehouse" mô tả một hệ thống quản lý kho hàng, chỉ là một nguồn dữ liệu đơn lẻ. "One of several databases used to create a central database for data mining" mô tả cơ sở dữ liệu nguồn đổ vào kho, chứ không phải chính kho dữ liệu trung tâm.

Đáp án đúng: "True". Câu dựa trên ý dữ liệu là một tài sản: khi nguồn dữ liệu đủ lớn, ví dụ lịch sử bán hàng nhiều năm, tổ chức có thể khai phá xu hướng để xây chiến lược bán hàng theo mùa, nên dữ liệu có giá trị kinh doanh và vì thế cũng là tài sản cần bảo vệ trong quản trị rủi ro. Cần nói thẳng chỗ tranh cãi: chữ readily (dễ dàng, sẵn sàng) khiến câu có thể bị hiểu là "False", vì dữ liệu lớn vẫn phải được làm sạch, tích hợp và phân tích mới dùng được, kích thước tự nó không sinh ra lợi thế. Tuy vậy, ý chính của câu là dữ liệu đủ lớn mở ra khả năng khai thác giá trị, nên đáp án được chốt theo ý chính đó; cách hiểu ngược lại chỉ đứng được nếu đọc chữ readily theo nghĩa hoàn toàn không cần xử lý gì.

Đáp án đúng: "To protect valuable resources". Nhận diện tài sản (asset identification) là bước đầu của quản trị rủi ro: phải biết tổ chức có những gì (phần cứng, phần mềm, dữ liệu, con người, quy trình) và mỗi thứ có giá trị bao nhiêu thì mới xác định được mối đe doạ, điểm yếu và mức bảo vệ tương xứng; không biết tài sản thì không thể bảo vệ nó. "To increase sales" là mục tiêu kinh doanh, việc lập danh mục tài sản không trực tiếp làm tăng doanh số. "To improve employee productivity" có thể là lợi ích phụ khi quản lý tài sản tốt hơn, nhưng không phải mục đích của bước này trong quản trị rủi ro. "To enhance customer satisfaction" cũng là kết quả gián tiếp ở tầng kinh doanh; mục đích chính vẫn là bảo vệ những nguồn lực có giá trị khỏi tổn thất.