Câu hỏi: IAA202 Quản trị rủi ro trong hệ thống thông tin – Bộ ôn tập thi lại số 1

Đáp án đúng: "Improved decision-making, reduced costs, increased resilience, enhanced security.". Cả bốn phương án đều nghe tích cực, nên cần phân biệt lợi ích, tức kết quả mà tổ chức thu được, với đặc điểm của quy trình hay cách tổ chức. Một risk management framework (khung quản trị rủi ro) như NIST RMF hay ISO 31000 mang lại bốn kết quả kinh doanh: quyết định tốt hơn nhờ có dữ liệu rủi ro, giảm chi phí do sự cố và đầu tư đúng chỗ, tăng khả năng chống chịu (resilience) trước gián đoạn, và an ninh được nâng cao. Phương án "Centralized control, standardized processes, streamlined reporting, faster response times." tả các đặc điểm quản lý như kiểm soát tập trung, chuẩn hoá quy trình; khung quản trị rủi ro không nhất thiết đòi tập trung hoá. Phương án "Clear risk identification, efficient mitigation strategies, proactive risk monitoring, continuous improvement." tả chính các hoạt động bên trong khung (nhận diện, giảm thiểu, giám sát), tức là khung làm gì chứ chưa phải tổ chức được gì. Phương án "Enhanced communication, increased awareness, shared responsibility, improved accountability." nói về truyền thông và văn hoá nội bộ, là hệ quả phụ chứ không phải nhóm lợi ích cốt lõi.

Đáp án đúng gồm ba ý: "Future lost revenue", "Cost of gaining the customer" và "Customer influence". Giá trị vô hình (intangible value) là thứ không có hình thể và khó định giá chính xác, nhưng tổ chức vẫn mất nếu sự cố xảy ra: doanh thu tương lai bị mất khi khách bỏ đi, chi phí đã bỏ ra để có được khách hàng, và ảnh hưởng của khách hàng tới người khác qua lời giới thiệu hay đánh giá; khi đánh giá định lượng người ta phải ước tính các giá trị này để tính đủ thiệt hại. Ba phương án kia được xếp vào giá trị hữu hình theo nghĩa của quản trị rủi ro, tức giá trị đo được bằng chi phí thay thế. "Computer systems" là tài sản vật chất, có giá mua và chi phí thay thế rõ ràng. "Software applications" về kế toán là tài sản vô hình vì không có hình thể, nên phương án này có thể gây tranh cãi; trong đánh giá rủi ro nó bị loại vì giá trị của nó tính được trực tiếp bằng giá giấy phép hay chi phí phát triển lại. "Data" cũng không có hình thể, nhưng trong kiểm kê tài sản được định giá theo chi phí tạo lại hoặc khôi phục, khác với doanh thu tương lai hay uy tín vốn chỉ ước đoán được.

Đáp án đúng: "The likelihood that a loss will occur". Rủi ro (risk) là khả năng một tổn thất xảy ra khi mối đe doạ khai thác được điểm yếu; nó nói về điều có thể xảy ra trong tương lai và được đo bằng khả năng xảy ra kết hợp với tác động. "A vulnerability that has been exploited" mô tả một sự cố đã xảy ra, không còn là khả năng nữa. "A weakness in a system" là định nghĩa của điểm yếu (vulnerability), chỉ là một thành phần tạo nên rủi ro bên cạnh mối đe doạ. "A financial loss due to poor management" là một tổn thất cụ thể đã diễn ra, lại giới hạn ở nguyên nhân quản lý kém, nên không phải định nghĩa chung của rủi ro trong hệ thống thông tin.

Đáp án đúng: "An audit". Audit (kiểm toán, đánh giá tuân thủ) là hoạt động có hệ thống, thường do bên độc lập thực hiện, so sánh thực tế vận hành với các quy tắc, chính sách và hướng dẫn nội bộ (hoặc luật, chuẩn bên ngoài) để kết luận tổ chức có tuân thủ hay không. "Threat assessment" là đánh giá mối đe doạ, xác định ai hay cái gì có thể gây hại cho tài sản, không đo mức tuân thủ. "Gap analysis" so sánh trạng thái hiện tại với trạng thái mong muốn để tìm khoảng trống cần bù; nó thường dùng để chuẩn bị cho hoặc theo sau một cuộc kiểm toán, nhưng việc kiểm tra tuân thủ thì chính là kiểm toán. "An audit trail" là nhật ký kiểm toán, bản ghi theo thời gian các hành động trên hệ thống; nó là bằng chứng mà cuộc kiểm toán dùng tới chứ không phải hoạt động kiểm tra tuân thủ.

Đáp án đúng: "Vulnerabilities are weaknesses that can be exploited, while exploits are specific attacks targeting those vulnerabilities.". Điểm yếu (vulnerability) là chỗ hở trong phần mềm, cấu hình, quy trình hay con người mà mối đe doạ có thể tận dụng; khai thác (exploit) là hành động hay cuộc tấn công cụ thể tận dụng đúng điểm yếu đó, nên rủi ro chỉ thành hiện thực khi có một exploit nhắm vào một vulnerability còn mở. Phát biểu "Vulnerabilities are external threats" sai vì điểm yếu nằm bên trong hệ thống, còn mối đe doạ mới có thể đến từ bên ngoài. Phát biểu "Vulnerabilities are known flaws in software or systems" quá hẹp vì có điểm yếu chưa ai biết (zero-day) và điểm yếu không nằm ở phần mềm, đồng thời gọi exploit là công cụ thì bỏ sót bản chất nó là cuộc tấn công. Phát biểu "Vulnerabilities are hypothetical risks" sai vì điểm yếu là có thật ngay cả khi chưa bị khai thác, và exploit không đồng nghĩa với một sự cố an ninh đã xảy ra.

Đáp án đúng: "To identify as many likely threats as possible". Đánh giá mối đe doạ (threat assessment) là bước nhận diện các mối đe doạ có thể xảy ra với tài sản, như tin tặc, mã độc, thiên tai, lỗi người dùng; mục tiêu là liệt kê càng nhiều mối đe doạ có khả năng xảy ra càng tốt để không bỏ sót trước khi phân tích tiếp. "To eliminate all possible threats" là bất khả thi, vì mối đe doạ thường nằm ngoài tầm kiểm soát của tổ chức; quản trị rủi ro chỉ giảm rủi ro xuống mức chấp nhận được. "To secure systems from any future threats" cũng là mục tiêu tuyệt đối không đạt được và thuộc giai đoạn triển khai biện pháp. "To identify vulnerabilities that can be exploited" là mục tiêu của đánh giá điểm yếu (vulnerability assessment), một bước khác trong quy trình.

Đáp án đúng gồm ba ý: "The information technology (IT) systems", "The facilities" và "The personnel". BCP (Business Continuity Plan, kế hoạch duy trì hoạt động kinh doanh) phải xác định phạm vi, tức những gì cần được giữ vận hành khi có gián đoạn, và ba thành phần cốt lõi là hệ thống CNTT phục vụ chức năng kinh doanh, cơ sở vật chất (toà nhà, mặt bằng, điện, thông tin liên lạc) và nhân sự thực hiện các chức năng đó. "The supply chain system" là chỗ tranh cãi: nhà cung cấp gián đoạn cũng làm tổ chức ngưng trệ và một số tài liệu ôn tập có kể nhà cung cấp trong phạm vi BCP, nhưng đề chỉ cho chọn ba và chuỗi cung ứng nằm ngoài quyền kiểm soát trực tiếp của tổ chức, thường được xử lý ở phần giả định hay phụ thuộc bên ngoài, nên nó bị loại so với ba thành phần cốt lõi kia. "The assurance" (sự bảo đảm) là khái niệm về mức tin cậy rằng biện pháp hoạt động đúng, không phải đối tượng nào nằm trong phạm vi kế hoạch.

Đáp án đúng: "Employee recreational areas". Kế hoạch liên tục kinh doanh (BCP) tập trung vào những thành phần cần có để các chức năng kinh doanh trọng yếu tiếp tục chạy khi có gián đoạn; khu vui chơi giải trí của nhân viên không phục vụ chức năng trọng yếu nào nên không được xác định là thành phần quan trọng, đây là phát biểu đúng với câu hỏi phủ định. "Database servers" là thành phần trọng yếu vì chứa dữ liệu mà hầu hết chức năng kinh doanh cần, nên được BCP liệt kê, vì thế không được chọn. "IT systems" là hạ tầng chạy các quy trình kinh doanh, mất nó thì chức năng trọng yếu dừng, nên cũng thuộc thành phần trọng yếu. "Facilities and personnel" gồm nơi làm việc và con người vận hành chức năng trọng yếu, thiếu một trong hai thì không duy trì được hoạt động, nên cũng nằm trong BCP.

Đáp án đúng: "True". Hệ thống trọng yếu (mission-critical system) được định nghĩa đúng như câu nói: bất kỳ hệ thống nào được xác định là thiết yếu cho sứ mệnh của tổ chức, tức nếu nó ngừng thì tổ chức không thực hiện được chức năng chính, ví dụ hệ thống đặt hàng của một công ty thương mại điện tử. Việc xác định hệ thống trọng yếu thường diễn ra trong phân tích tác động kinh doanh để ưu tiên bảo vệ và khôi phục. Định nghĩa này nghe như lặp từ, nhưng điểm cốt lõi là tính trọng yếu do tổ chức tự xác định theo sứ mệnh của mình, không cố định theo loại công nghệ. Chọn "False" là sai, vì phát biểu không chứa điều kiện nào trái với định nghĩa.

Đáp án đúng: "The business continuity coordinator or response leader". BCP chỉ được kích hoạt sau khi thảm hoạ được công bố, và người có thẩm quyền làm việc đó là điều phối viên duy trì hoạt động (business continuity coordinator) hoặc trưởng nhóm ứng phó đã được chỉ định trong kế hoạch; họ nắm toàn cảnh, có quyền điều động các nhóm và quyết định chuyển sang địa điểm dự phòng. "The IT help desk team" chỉ xử lý yêu cầu hỗ trợ kỹ thuật hằng ngày, không có thẩm quyền ra quyết định cho toàn tổ chức. "Any department supervisor" sai vì nếu ai cũng được kích hoạt thì sẽ có kích hoạt chồng chéo hoặc báo động giả; thẩm quyền phải giao cho một vai trò rõ ràng. "Internal audit team" là bộ phận đánh giá độc lập, xem xét kế hoạch có phù hợp và được thực hiện đúng không, nên không được đồng thời vận hành chính kế hoạch đó.