Câu hỏi: IAA202 Quản trị rủi ro trong hệ thống thông tin – Bộ ôn tập thi lại số 1

Đáp án đúng gồm ba ý: "physical security", "technical security" và "operational security". Điểm yếu (vulnerability) là chỗ hở mà mối đe doạ có thể khai thác, và nó được nhận diện theo ba mặt bảo vệ của tổ chức: an ninh vật lý (khoá cửa, camera, kiểm soát ra vào phòng máy), an ninh kỹ thuật (bản vá, cấu hình, mã hoá, tường lửa) và an ninh vận hành (quy trình, thủ tục, cách con người làm việc hằng ngày), tương ứng với ba nhóm biện pháp kiểm soát vật lý, kỹ thuật và thủ tục. "law security" không phải một mảng an ninh; luật và quy định là yêu cầu tuân thủ đặt ra cho tổ chức, vi phạm là rủi ro pháp lý chứ không phải điểm yếu của hệ thống. "training security" cũng không phải một mảng riêng; đào tạo nhận thức là một biện pháp kiểm soát nằm trong an ninh vận hành, thiếu đào tạo là điểm yếu thuộc mảng vận hành.

Đáp án đúng: "Purchasing insurance". Mối đe doạ môi trường (environmental threat) như cháy, lũ, động đất, bão là sự kiện tự nhiên không ngăn được bằng biện pháp kỹ thuật; vì vậy cách xử lý phổ biến là chuyển giao rủi ro (risk transfer), tức mua bảo hiểm để bên bảo hiểm gánh phần thiệt hại tài chính. Các biện pháp vật lý như hệ thống chữa cháy, chống ngập hay đặt trung tâm dữ liệu ở vùng an toàn cũng dùng cho loại mối đe doạ này nhưng không có mặt trong phương án. "Installing firewalls" chống truy cập trái phép qua mạng, không có tác dụng với lửa hay nước. "Using encryption" bảo vệ tính bí mật của dữ liệu, nhưng khi thiết bị bị phá huỷ thì dữ liệu mã hoá cũng mất theo. "Conducting regular audits" kiểm tra sự tuân thủ và hiệu quả kiểm soát, không làm giảm thiệt hại khi thảm hoạ tự nhiên xảy ra.

Đáp án đúng gồm hai ý: "Redundancy / fail-over" và "Using external service". Yêu cầu có hai vế: dữ liệu được bảo vệ và vẫn truy cập được với zero downtime (không có thời gian ngừng). Redundancy (dự phòng) cùng fail-over (chuyển đổi dự phòng) giữ hệ thống chạy khi một thành phần hỏng vì bản sao kia tiếp quản ngay; dùng dịch vụ bên ngoài, như nhà cung cấp lưu trữ hay hosting có sẵn hạ tầng dự phòng và nhiều trung tâm dữ liệu, cũng giữ dữ liệu sẵn sàng liên tục, nhưng chỉ khi chính nhà cung cấp có dự phòng như vậy; đề không công bố khoá và vế thứ hai này là chỗ còn tranh cãi, được chọn vì nó là phương án duy nhất còn lại không đòi khôi phục. "On-site backup" bảo vệ được dữ liệu nhưng muốn dùng lại phải khôi phục, tức là có thời gian ngừng, và còn chung số phận nếu cơ sở bị thảm hoạ. "Off-site backup" là biện pháp bảo vệ dữ liệu rất tốt, chống được cả thảm hoạ tại chỗ, nhưng cũng phải khôi phục mới truy cập lại được nên không đáp ứng vế zero downtime; đó là lý do nó bị loại, dù xét riêng về bảo vệ dữ liệu nó còn vượt bản sao lưu tại chỗ.

Đáp án đúng: "Accept, defer, or modify the recommendations.". Khi nhận khuyến nghị từ đánh giá rủi ro, ban lãnh đạo là người quyết định cuối cùng và có ba hướng: chấp nhận để triển khai, trì hoãn (defer) sang thời điểm khác, chẳng hạn chờ ngân sách năm sau, hoặc điều chỉnh khuyến nghị cho phù hợp nguồn lực, sau đó các quyết định được ghi vào kế hoạch hành động như POAM. "Accept or reject the recommendations." quá hẹp, chỉ có chấp nhận hoặc bác bỏ, bỏ mất hai hướng hay dùng nhất là trì hoãn và điều chỉnh. "Adjust, defer, or modify the recommendations." thiếu hẳn lựa chọn chấp nhận, trong khi adjust và modify gần như trùng nghĩa. "Allow or deny the recommendations." mượn cách nói của kiểm soát truy cập (cho phép hay từ chối), không phải cách ban lãnh đạo xử lý một khuyến nghị quản trị rủi ro.

Đáp án đúng: "Plan of Action and Milestones (POAM)". POAM (kế hoạch hành động và các mốc) là tài liệu liệt kê từng khuyến nghị hay biện pháp cần thực hiện, người chịu trách nhiệm, nguồn lực, mốc thời gian và trạng thái hoàn thành, nên được dùng để theo dõi tiến độ triển khai kế hoạch quản trị rủi ro. "Project charter" là điều lệ dự án, văn bản cho phép dự án bắt đầu và nêu mục tiêu, nhà tài trợ, chứ không theo dõi tiến độ. "Scope statement" là tuyên bố phạm vi, xác định ranh giới công việc và sản phẩm bàn giao của dự án. "Affinity diagram" là sơ đồ tương đồng, dùng để gom nhóm ý tưởng hay vấn đề có liên quan, ví dụ khi phân loại rủi ro, không phải công cụ theo dõi tiến độ thực hiện.

Đáp án đúng: "Boundaries". Scope (phạm vi) của một kế hoạch quản trị rủi ro xác định ranh giới: những hệ thống, ứng dụng, địa điểm, bộ phận nào nằm trong kế hoạch và cái gì nằm ngoài, để tránh phình phạm vi (scope creep) và để mọi bên hiểu kế hoạch chịu trách nhiệm tới đâu. "Objectives" là mục tiêu, một thành phần riêng của kế hoạch nêu kế hoạch muốn đạt điều gì; phạm vi trả lời câu hỏi tới đâu chứ không phải để làm gì. "POAM" (Plan of Action and Milestones, kế hoạch hành động và các mốc) là tài liệu theo dõi việc triển khai khuyến nghị, được lập sau khi có kết quả, không do phạm vi định nghĩa. "Recommendations" là các khuyến nghị biện pháp xử lý rủi ro, là đầu ra của đánh giá; chúng phải nằm trong phạm vi chứ không phải thứ mà phạm vi xác định.

Đáp án đúng: "User Domain". Trong bảy miền của hạ tầng CNTT điển hình, miền người dùng gồm chính con người sử dụng hệ thống, và tấn công phi kỹ thuật (social engineering) như lừa đảo qua thư (phishing), giả danh bộ phận hỗ trợ hay dụ tiết lộ mật khẩu nhắm thẳng vào sự cả tin của con người, nên đây là miền chịu ảnh hưởng nặng nhất; biện pháp chính là đào tạo nhận thức và chính sách sử dụng chấp nhận được. "LAN Domain" là miền mạng nội bộ, rủi ro chủ yếu là truy cập trái phép vào thiết bị mạng hay nghe lén, mang tính kỹ thuật. "Remote Access Domain" là miền truy cập từ xa qua VPN, rủi ro là xác thực yếu hay thiết bị bị mất. "System/Application Domain" chứa máy chủ và ứng dụng, rủi ro là lỗi phần mềm, cấu hình sai, truy cập dữ liệu trái phép, không xoay quanh việc thao túng con người.

Đáp án đúng: "If it is a federal agency". FISMA (Federal Information Security Management Act) là luật Hoa Kỳ buộc các cơ quan liên bang lập chương trình an toàn thông tin, đánh giá rủi ro và báo cáo định kỳ; vì vậy một tổ chức có phải tuân thủ FISMA hay không phụ thuộc vào việc nó có là cơ quan liên bang. "If it is registered with the Securities and Exchange Commission" là điều kiện áp dụng Sarbanes-Oxley Act (SOX) cho công ty niêm yết đại chúng, nhằm bảo đảm báo cáo tài chính trung thực. "If employees handle health-related information" là tiêu chí của HIPAA về bảo vệ thông tin sức khoẻ. "If it receives E-Rate funding" liên quan đến Children's Internet Protection Act (CIPA), áp cho trường học và thư viện nhận trợ giá E-Rate để kết nối Internet.

Đáp án đúng: "SLA". SLA (Service Level Agreement, thoả thuận mức dịch vụ) là hợp đồng giữa tổ chức và nhà cung cấp quy định mức hiệu năng kỳ vọng như thời gian hoạt động (uptime) tối thiểu, thời gian phản hồi sự cố, và chế tài khi nhà cung cấp không đạt; đây chính là công cụ để chuyển một phần rủi ro gián đoạn sang bên cung cấp dịch vụ. "MAO" (Maximum Acceptable Outage, thời gian ngừng tối đa chấp nhận được) là chỉ số nội bộ rút ra từ BIA; nó có thể làm căn cứ để đặt điều khoản trong SLA nhưng bản thân không phải thoả thuận với nhà cung cấp. "BIA" (Business Impact Analysis, phân tích tác động kinh doanh) là phân tích nội bộ về hậu quả khi chức năng bị gián đoạn. "IDS" (Intrusion Detection System, hệ thống phát hiện xâm nhập) là biện pháp kỹ thuật giám sát mạng, không liên quan tới hợp đồng dịch vụ.

Đáp án đúng: "Subjective judgment and expert opinion". Đánh giá rủi ro định tính (qualitative risk assessment) không gán con số tiền tệ mà xếp xác suất và tác động theo thang như thấp, trung bình, cao dựa trên nhận định chủ quan và ý kiến chuyên gia, chẳng hạn qua phỏng vấn, khảo sát hay kỹ thuật Delphi; ưu điểm là nhanh và dễ làm, nhược điểm là khó so sánh khách quan. "Math formulas" là đặc trưng của đánh giá định lượng, nơi dùng công thức SLE = giá trị tài sản × hệ số thiệt hại và ALE = SLE × ARO. "Laws and regulations" là yêu cầu tuân thủ, có thể là một đầu vào của đánh giá nhưng không phải thứ phương pháp định tính dựa vào để xếp hạng rủi ro. "Historical earnings" là số liệu tài chính quá khứ, nếu dùng thì thiên về tính toán định lượng.

Đáp án đúng: "Utilizing a risk matrix to assess probability and impact.". Đánh giá rủi ro định tính (qualitative risk assessment) không quy ra tiền mà xếp khả năng xảy ra và tác động theo thang mức như thấp, trung bình, cao; ma trận rủi ro (risk matrix) đặt hai trục này cạnh nhau để mỗi rủi ro rơi vào một ô, từ đó biết rủi ro nào cần xử lý trước. "Ranking based on financial impact only." mang tính định lượng và chỉ nhìn một chiều tác động, bỏ qua khả năng xảy ra. "Comparing past incident reports." là nguồn thông tin hữu ích để ước lượng khả năng, nhưng tự nó không phải phương pháp xếp ưu tiên. "Surveying all employees for their opinions." có thể giúp thu thập ý kiến, nhưng hỏi toàn bộ nhân viên không có tiêu chí chung để so sánh rủi ro; kỹ thuật lấy ý kiến như Delphi chỉ hỏi nhóm chuyên gia và vẫn cần thang đo khả năng - tác động.

Đáp án đúng gồm hai ý: "Resource allocation" và "Risk acceptance". Qualitative risk assessment (đánh giá rủi ro định tính) xếp rủi ro theo mức như thấp, trung bình, cao dựa trên khả năng xảy ra và tác động, không quy ra tiền; báo cáo cuối vì vậy phải giúp lãnh đạo quyết định phân bổ nguồn lực (ngân sách, nhân sự) cho rủi ro ưu tiên cao trước, và chỉ rõ rủi ro nào ở mức có thể chấp nhận (risk acceptance) để không tốn tiền xử lý. "SLE and ARO" là đại lượng của đánh giá định lượng: SLE (Single Loss Expectancy, tổn thất cho một lần xảy ra) và ARO (Annualized Rate of Occurrence, số lần xảy ra mỗi năm) đều tính bằng số cụ thể, không thuộc kết quả định tính. "SLE and ALE" cũng vậy, ALE (Annualized Loss Expectancy, tổn thất dự kiến hằng năm) bằng SLE nhân ARO, là thước đo tiền tệ đặc trưng của phương pháp định lượng.

Đáp án đúng gồm ba ý: "Incident containment", "Evidence preservation" và "Communication with internal and external stakeholders". Đội ứng cứu sự cố máy tính (CIRT) được lập ra để xử lý sự cố an ninh khi nó xảy ra: ngăn chặn để sự cố không lan sang hệ thống khác, bảo toàn chứng cứ theo chuỗi lưu giữ (chain of custody) để còn điều tra hay khởi kiện, và trao đổi thông tin với ban lãnh đạo, bộ phận pháp lý, cơ quan chức năng hay khách hàng bị ảnh hưởng. "Daily server maintenance" là công việc vận hành thường ngày của bộ phận quản trị hệ thống, không phải nhiệm vụ của một đội chỉ được kích hoạt khi có sự cố. "Disaster site construction" là việc chuẩn bị cơ sở vật chất cho site dự phòng, thuộc phạm vi kế hoạch khôi phục thảm hoạ và quản lý cơ sở hạ tầng, nằm ngoài vai trò của CIRT.

Đáp án đúng: "Isolate the affected systems to prevent further damage". Giai đoạn ngăn chặn (containment) trong xử lý sự cố đứng sau phát hiện và trước loại bỏ, khôi phục; mục tiêu là chặn sự cố lan rộng, nên việc tiêu biểu là cô lập hệ thống bị ảnh hưởng, ví dụ ngắt khỏi mạng hay khoá tài khoản bị chiếm. "Develop new security policies" thuộc bước rút kinh nghiệm sau sự cố, khi tổ chức sửa chính sách để tránh lặp lại. "Update antivirus software" là biện pháp phòng ngừa hoặc thuộc bước loại bỏ, không ngăn ngay được sự lây lan đang diễn ra. "Reboot the affected systems" có thể xoá bằng chứng trong bộ nhớ và không chặn được kẻ tấn công nếu mã độc vẫn còn trên máy hay trên mạng.

Đáp án đúng: "inappropriate usage". Theo cách phân loại sự cố an ninh máy tính phổ biến (gồm các nhóm như truy cập trái phép, mã độc, từ chối dịch vụ, sử dụng không phù hợp), việc một người dùng hợp lệ tự cài phần mềm P2P trái với chính sách của tổ chức là một sự cố, và thuộc nhóm inappropriate usage (sử dụng không phù hợp): người đó có quyền dùng máy nhưng dùng sai so với quy định. "It’s not a computer security incident" sai vì vi phạm chính sách bảo mật đã là sự cố, chưa kể P2P còn mở đường cho rò rỉ dữ liệu và vi phạm bản quyền. "unauthorized access" chỉ trường hợp ai đó vào hệ thống hay dữ liệu mà họ không được cấp quyền, ở đây người dùng không vượt quyền truy cập. "malware" là phần mềm độc hại như virus, sâu, trojan; phần mềm P2P tự nó không phải mã độc dù có thể kéo mã độc về.

Đáp án đúng: "Data leakage". Phần mềm ngang hàng (peer-to-peer) chia sẻ thư mục trên máy người dùng ra mạng bên ngoài, nhiều khi người dùng chia sẻ nhầm cả thư mục chứa tài liệu nội bộ, dữ liệu khách hàng hay mật khẩu, nên rủi ro lớn nhất là rò rỉ dữ liệu nhạy cảm ra ngoài tổ chức, kéo theo vi phạm tuân thủ và mất uy tín. "Loss of copyrights" sai vì việc tệp bị chia sẻ không làm tổ chức mất quyền tác giả về mặt pháp lý. "Piracy of the organization’s copyrighted material" là một rủi ro có thật khi tác phẩm của tổ chức bị phát tán trái phép, nhưng nó chỉ là một trường hợp hẹp của rò rỉ dữ liệu, còn rò rỉ bao trùm mọi loại thông tin nhạy cảm nên nghiêm trọng hơn. "DoS attacks" không phải hậu quả điển hình; phần mềm ngang hàng có thể ngốn băng thông nhưng hiếm khi gây từ chối dịch vụ cho tổ chức.

Đáp án đúng: "It outlines how responsibilities are assigned within the organization". Cơ cấu quản lý (management structure) trong đánh giá rủi ro mô tả ai chịu trách nhiệm việc gì: ai sở hữu tài sản, ai phê duyệt biện pháp, ai triển khai và ai báo cáo. Nó quan trọng vì người đánh giá cần biết phải hỏi ai, ai có quyền chấp nhận rủi ro, và khuyến nghị sẽ được giao cho ai thực hiện. "It identifies threats in the organizational structure" nhầm sang bước nhận diện mối đe doạ. "It assesses the impact severity of risks" là việc của bước phân tích tác động. "It evaluates the effectiveness of countermeasures" thuộc bước đánh giá kiểm soát hiện có và theo dõi sau triển khai, không phải nội dung của cơ cấu quản lý.

Đáp án đúng: "IT systems". Trong BIA, sau khi xác định các critical business function (chức năng kinh doanh thiết yếu), người phân tích ánh xạ từng chức năng tới các hệ thống CNTT hỗ trợ nó, vì đó là cách biết hệ thống nào phải khôi phục trước và với RTO bao nhiêu; ví dụ chức năng bán hàng trực tuyến phụ thuộc máy chủ web, cơ sở dữ liệu và cổng thanh toán. "Personnel" là nguồn lực cần cho chức năng, nhưng BIA trong bối cảnh này tập trung xác định phụ thuộc vào hệ thống để lập kế hoạch khôi phục kỹ thuật. "Revenue" là một thước đo tác động (doanh thu mất đi khi chức năng ngừng), dùng để chấm mức nghiêm trọng chứ không phải đối tượng ánh xạ. "Replacement costs" là chi phí thay thế tài sản, thuộc về định giá tài sản trong đánh giá rủi ro, không phải thứ mà chức năng kinh doanh được ánh xạ tới.

Đáp án đúng: "Outages". Phân tích tác động kinh doanh (BIA, business impact analysis) nhằm xác định điều gì xảy ra với tổ chức khi một chức năng hay hệ thống ngừng hoạt động: thiệt hại tài chính, uy tín, pháp lý theo thời gian gián đoạn, từ đó suy ra thời gian ngừng tối đa chấp nhận được (MAO) và mục tiêu thời gian khôi phục (RTO); BIA không quan tâm nguyên nhân mà quan tâm hậu quả của việc ngừng. "Incidents" là sự kiện an ninh do đội CIRT xử lý, một sự cố có thể gây hoặc không gây gián đoạn. "Vulnerabilities" là điểm yếu, đối tượng của đánh giá điểm yếu và đánh giá rủi ro. "Threats" là mối đe doạ, được phân tích trong đánh giá rủi ro; BIA cố ý bỏ qua việc mối đe doạ nào gây ra gián đoạn.

Đáp án đúng: "They are vital functions whose failure impacts essential operations". Trong phân tích tác động kinh doanh (business impact analysis, BIA), chức năng kinh doanh then chốt (critical business function, CBF) là chức năng mà nếu ngừng thì hoạt động cốt lõi của tổ chức bị ảnh hưởng nghiêm trọng; BIA xác định chúng để gắn thời gian ngừng tối đa chấp nhận được và ưu tiên khôi phục trước. "They represent non-essential business activities" nói ngược bản chất, vì hoạt động không thiết yếu chính là thứ được khôi phục sau cùng. "They include functions necessary for compliance only" quá hẹp, vì chức năng then chốt gồm cả bán hàng, sản xuất, thanh toán chứ không chỉ chức năng tuân thủ. "They are functions that can be outsourced" lẫn sang quyết định thuê ngoài; một chức năng then chốt có thể thuê ngoài hay không, nhưng đó không phải điều định nghĩa nó.