Câu hỏi: IAA202 Quản trị rủi ro trong hệ thống thông tin – Bộ ôn tập thi lại số 2

Đáp án đúng: "Run the servers concurrently with the alternate location for three to five days.". Khi trở về site chính sau gián đoạn, máy chủ vừa dựng lại cần chứng minh nó chịu được tải và dữ liệu thật trước khi cắt site dự phòng; chạy song song vài ngày cho phép so kết quả hai bên, và nếu máy chủ mới hỏng thì vẫn còn site dự phòng làm đường lui. Lựa chọn "Test the servers and then turn off the servers at the alternate location." nghe hợp lý vì có kiểm thử trước, nhưng kiểm thử thường không tái tạo đủ tải thật, tắt ngay site dự phòng là bỏ mất đường lui khi lỗi chỉ lộ ra dưới tải vận hành. Lựa chọn "Bring the servers online and turn off the alternate location servers." còn rủi ro hơn vì không kiểm thử gì đã cắt dự phòng. Lựa chọn "Test the servers for three to five days before bringing them online." kéo dài thời gian chờ mà máy chủ vẫn chưa nhận tải thật, nên không chứng minh được khả năng vận hành thực tế.

Đáp án đúng: "This is a form of inappropriate usage.". Sự cố an toàn máy tính (computer security incident) gồm cả vi phạm chính sách sử dụng; khi chính sách đã cấm rõ phần mềm P2P mà người dùng vẫn cài, đó là sử dụng không phù hợp (inappropriate usage), tức người dùng hợp lệ dùng tài nguyên trái quy định. "This is not a computer security incident." sai vì vi phạm chính sách an toàn đã ban hành cũng là sự cố, nhất là P2P có thể làm lộ dữ liệu và kéo mã độc vào. "This is a form of unauthorized access." không khớp vì người dùng dùng chính máy được cấp, không vượt quyền truy cập hệ thống hay dữ liệu của người khác. "This is a form of malware." sai vì phần mềm P2P là ứng dụng hợp pháp, chỉ bị cấm theo chính sách; nó không tự là mã độc dù có thể trở thành đường lây.

Đáp án đúng gồm ba ý: "Accept it", "Transfer it" và "Avoid it". Các chiến lược xử lý rủi ro kinh điển là chấp nhận (accept, khi chi phí xử lý vượt tổn thất dự kiến), chuyển giao (transfer, như mua bảo hiểm hay thuê ngoài kèm hợp đồng ràng buộc trách nhiệm), tránh né (avoid, bỏ hoặc thay đổi hoạt động gây ra rủi ro) và giảm thiểu (mitigate, thêm biện pháp kiểm soát để giảm khả năng xảy ra hoặc tác động). "Migrate it" là bẫy chữ, viết gần giống mitigate nhưng nghĩa là di chuyển, di trú; chuyển hệ thống hay dữ liệu sang chỗ khác không phải một chiến lược xử lý rủi ro được công nhận, và bản thân việc di trú còn sinh ra rủi ro mới cần quản lý. Vì vậy chỉ chấp nhận, chuyển giao và tránh né là các chiến lược đúng trong danh sách.

Đáp án đúng: "A project's schedule". Biểu đồ Gantt là công cụ quản lý dự án thể hiện các công việc dưới dạng thanh ngang trên trục thời gian, cho thấy ngày bắt đầu, ngày kết thúc, thời lượng, sự phụ thuộc giữa các việc và các mốc (milestone); trong kế hoạch quản trị rủi ro, nó được dùng để theo dõi tiến độ triển khai biện pháp đối phó. "Project costs" là thông tin ngân sách, được theo dõi bằng báo cáo chi phí, không phải nội dung chính của biểu đồ Gantt. "Risk likelihood" là xác suất xảy ra rủi ro, thể hiện trên ma trận khả năng xảy ra – tác động. "Employee assignments" có thể được ghi kèm tên người phụ trách trên một số biểu đồ Gantt, nhưng đó là thông tin phụ, còn mục đích chính vẫn là lịch trình của dự án.

Đáp án đúng: "Either internal or external security professionals or both". Đánh giá điểm yếu (vulnerability assessment) có thể do chuyên gia an toàn nội bộ thực hiện vì họ hiểu hệ thống, hoặc chuyên gia bên ngoài vì họ khách quan và có công cụ, kinh nghiệm rộng; nhiều tổ chức kết hợp cả hai, ví dụ đội nội bộ quét định kỳ còn bên ngoài kiểm tra độc lập hằng năm. "Internal security professionals working as employees" đúng một phần nhưng loại trừ bên ngoài, mất góc nhìn độc lập. "External security professionals hired as consultants" cũng đúng một phần nhưng loại trừ nội bộ, vốn rẻ hơn và làm thường xuyên được. "Only the IT personnel who own the systems" sai vì người sở hữu hệ thống tự đánh giá chính mình sẽ thiếu khách quan và dễ bỏ qua lỗi của mình; nguyên tắc phân tách nhiệm vụ khuyên người đánh giá độc lập với người vận hành.

Đáp án đúng: "Recovery Time Objectives and Recovery Point Objectives". BIA xác định hai mục tiêu khôi phục cho từng chức năng và hệ thống: RTO (Recovery Time Objective) là thời gian tối đa để khôi phục hệ thống sau gián đoạn, và RPO (Recovery Point Objective) là mốc thời gian mà dữ liệu phải được khôi phục về, tức lượng dữ liệu tối đa được phép mất, quyết định tần suất sao lưu. Hai con số này là đầu vào trực tiếp cho chiến lược sao lưu và chọn địa điểm dự phòng. "Return on Investment and Economic Value" là thước đo tài chính của khoản đầu tư, không phải mục tiêu khôi phục. "Risk Threshold Objectives and Resource Allocation" trộn ngưỡng chịu rủi ro với phân bổ nguồn lực, đều là quyết định quản lý chung. "Regulatory Compliance and Operational Efficiency" là mục tiêu tuân thủ và hiệu quả vận hành, có thể được xét tới khi đánh giá tác động nhưng không phải hai mục tiêu khôi phục.

Đáp án đúng: "If it receives E-Rate funding". Đạo luật Bảo vệ trẻ em trên Internet của Mỹ (CIPA, Children's Internet Protection Act) áp dụng cho trường học và thư viện nhận tài trợ chương trình E-Rate, khoản giảm giá dịch vụ Internet của liên bang; muốn nhận tiền thì phải có chính sách an toàn Internet và bộ lọc chặn nội dung độc hại với trẻ vị thành niên. "If it is registered with the Securities and Exchange Commission" là điều kiện để công ty đại chúng chịu Đạo luật Sarbanes-Oxley (SOX) về báo cáo tài chính. "If employees handle health-related information" gắn với HIPAA, luật bảo vệ thông tin sức khoẻ. "If it is a federal agency" thuộc phạm vi FISMA, luật quản lý an ninh thông tin của các cơ quan liên bang, không phải CIPA.

Đáp án đúng: "They help identify which safeguards to implement.". Đánh giá rủi ro (risk assessment) xác định tài sản, mối đe doạ, điểm yếu và mức rủi ro, từ đó khuyến nghị biện pháp bảo vệ (safeguard) nào nên triển khai và rủi ro nào nên ưu tiên. "They guarantee the elimination of all risks." sai vì không thể loại bỏ hoàn toàn rủi ro; luôn còn rủi ro tồn dư (residual risk) mà tổ chức chấp nhận. "They are a one-time requirement." sai vì hệ thống, mối đe doạ và điểm yếu thay đổi liên tục nên đánh giá phải lặp lại định kỳ hoặc khi có thay đổi lớn. "They focus solely on external threats." sai vì đánh giá rủi ro xét cả mối đe doạ nội bộ như nhân viên bất cẩn hay có ý đồ xấu, cũng như thiên tai và lỗi hệ thống.

Đáp án đúng: "$65,000". Hiện tại ALE = $100,000 với ARO = 5, nên SLE = ALE ÷ ARO = $100,000 ÷ 5 = $20,000 cho mỗi lần tấn công. Sau khi có tường lửa, ARO giảm còn 1, nên ALE mới = SLE × ARO = $20,000 × 1 = $20,000. Mức giảm tổn thất hằng năm là $100,000 − $20,000 = $80,000; trừ chi phí tường lửa $15,000 mỗi năm thì khoản tiết kiệm ròng là $80,000 − $15,000 = $65,000. Con số "$50,000" chỉ ra được nếu ALE mới là $35,000, tức đã tính sai SLE hoặc ARO sau khi có tường lửa. Con số "$60,000" chỉ ra được nếu chi phí tường lửa là $20,000, tức đã trừ dư chi phí. Con số "$70,000" chỉ ra được nếu chi phí chỉ là $10,000, tức đã trừ thiếu chi phí hằng năm của biện pháp. Nguyên tắc là giá trị của biện pháp bảo vệ bằng ALE trước trừ ALE sau rồi trừ chi phí hằng năm của nó.

Đáp án đúng: "BIA". Phân tích tác động kinh doanh (BIA, business impact analysis) trả lời đúng câu hỏi điều gì xảy ra nếu một hệ thống hay chức năng ngừng hoạt động: xác định chức năng kinh doanh nào phụ thuộc vào máy chủ đó, thiệt hại tài chính và vận hành theo thời gian ngừng, thời gian ngừng tối đa chấp nhận được (MAO) và mục tiêu khôi phục (RTO, RPO). "BCP" là kế hoạch liên tục kinh doanh, dùng kết quả BIA để lên cách duy trì hoạt động, chứ bản thân nó không đo tác động. "DRP" là kế hoạch khôi phục thảm hoạ, mô tả cách đưa hệ thống trở lại, đến sau khi tác động đã được phân tích. "BCC" không phải tên một loại phân tích trong lập kế hoạch liên tục kinh doanh, nên không cung cấp đánh giá tác động khi máy chủ hỏng.

Đáp án đúng: "Clear identification of areas, processes, or projects covered". Phạm vi (scope) của kế hoạch quản trị rủi ro (RMP) xác định ranh giới và giới hạn của kế hoạch, nên điều phải nêu rõ là những khu vực, quy trình hay dự án nằm trong kế hoạch, kéo theo những gì nằm ngoài; nhờ đó tránh phạm vi phình ra (scope creep) và giúp ước lượng nguồn lực. "A breakdown of specific vulnerabilities" là kết quả của bước đánh giá điểm yếu diễn ra bên trong phạm vi, không phải ranh giới. "A list of recommended actions" là đầu ra của kế hoạch sau khi phân tích xong. "The financial impact of risks" là nội dung của phân tích tác động, cũng nằm trong phạm vi chứ không xác định phạm vi.

Đáp án đúng: "All of them". Kế hoạch CIRT có thể khác nhau giữa các tổ chức, nhưng thường gồm chung một số nội dung: danh sách thành viên và vai trò, các chính sách quy định khi nào và ai được hành động, quy trình ứng phó sự cố ở mức tổng thể và các thủ tục chi tiết từng bước; thiếu bất kỳ phần nào thì đội ứng phó đều lúng túng. "Members" đúng nhưng chưa đủ, vì đội có người mà không có quy tắc hành động thì không phối hợp được. "Policies" cũng chỉ là một phần, quy định quyền hạn mà không chỉ cách làm. "Incident response process" tả các giai đoạn lớn như chuẩn bị, phát hiện, ngăn chặn, khắc phục, rút kinh nghiệm nhưng cần thủ tục để thực thi. "Incident response procedure" là các bước cụ thể cho từng loại sự cố, lại cần quy trình và con người đi kèm. Vì cả bốn thường cùng có mặt nên đáp án gộp là đúng.

Đáp án đúng: "Containment". Trong vòng đời ứng cứu sự cố, sau khi phát hiện và phân tích xác nhận đúng là có sự cố, bước tiếp theo là ngăn chặn (containment): cô lập máy bị nhiễm, ngắt kết nối mạng, khoá tài khoản bị chiếm để sự cố không lan sang hệ thống khác, rồi mới đến loại bỏ nguyên nhân và khôi phục. "Spread avoidance" mô tả gần đúng mục tiêu nhưng không phải tên một giai đoạn trong quy trình ứng cứu sự cố. "Incident response" là tên của toàn bộ quy trình ứng cứu, bao trùm mọi giai đoạn từ chuẩn bị tới rút kinh nghiệm, không phải riêng bước chặn lây lan. "Impact and priority calculation." là việc đánh giá mức tác động và mức ưu tiên của sự cố, thuộc bước phân tích trước khi ngăn chặn chứ không phải hành động ngăn sự cố lan rộng.

Đáp án đúng: "Critical path chart". Biểu đồ đường găng (critical path chart) chỉ ra chuỗi công việc dài nhất trong dự án; các công việc trên đường găng không có thời gian dự trữ, nên trễ một công việc là trễ cả dự án, đúng thứ câu hỏi muốn theo dõi. "Affinity diagram" là sơ đồ tương đồng, dùng gom nhóm ý tưởng hay vấn đề có liên quan. "Cause and effect diagram" là sơ đồ nhân quả, còn gọi là sơ đồ xương cá Ishikawa, dùng tìm nguyên nhân gốc của một vấn đề. "Gantt chart" là biểu đồ thanh ngang thể hiện thời điểm bắt đầu, kết thúc của từng công việc; nó cho thấy lịch trình nhưng tự nó không đánh dấu công việc nào là then chốt.

Đáp án đúng: "HIPAA". HIPAA (Health Insurance Portability and Accountability Act) là luật của Mỹ áp dụng cho các tổ chức xử lý thông tin y tế như bệnh viện, phòng khám, công ty bảo hiểm sức khoẻ và đối tác của họ; luật đòi bảo vệ tính bí mật, toàn vẹn và sẵn sàng của thông tin sức khoẻ cá nhân, có các quy tắc riêng về quyền riêng tư và an ninh. "SOX" (Sarbanes-Oxley Act) áp dụng cho công ty đại chúng, nhắm vào tính chính xác của báo cáo tài chính và kiểm soát nội bộ. "GLBA" (Gramm-Leach-Bliley Act) áp dụng cho tổ chức tài chính, bảo vệ thông tin tài chính cá nhân của khách hàng. "FISMA" (Federal Information Security Management Act) áp dụng cho cơ quan liên bang Mỹ và nhà thầu của họ, yêu cầu chương trình an ninh thông tin cho hệ thống của chính phủ.

Đáp án đúng: "Evaluating the effectiveness of implemented controls and identifying necessary adjustments.". Sau khi triển khai kế hoạch giảm thiểu rủi ro, môi trường vẫn tiếp tục thay đổi: mối đe doạ mới xuất hiện, hệ thống được nâng cấp, biện pháp có thể không hiệu quả như dự tính; đánh giá rủi ro định kỳ là để kiểm tra biện pháp đã đặt có thật sự giảm rủi ro hay không và điều chỉnh khi cần, khép vòng quản trị rủi ro liên tục. "Demonstrating compliance with regulatory requirements." có thể là lợi ích phụ khi luật yêu cầu đánh giá định kỳ, nhưng tuân thủ không phải mục đích chính. "Updating the risk register and documenting changes in the risk landscape." là việc ghi chép đi kèm kết quả đánh giá, phục vụ cho mục đích đánh giá hiệu quả chứ không phải chính mục đích. "Allocating additional resources and budget for risk management activities." là quyết định có thể đến sau khi biết biện pháp nào cần điều chỉnh, chứ không phải lý do tiến hành đánh giá.

Đáp án đúng: "The current configuration of the system". Khi xác định hệ thống cho đánh giá rủi ro, người đánh giá phải ghi lại cấu hình hiện tại như phần cứng, phần mềm, phiên bản, dịch vụ đang chạy, kết nối mạng, vì điểm yếu và rủi ro gắn với đúng trạng thái đang vận hành; mô tả sai cấu hình thì toàn bộ phân tích phía sau sẽ lệch. "Only the title of the system" quá sơ sài, không đủ để biết hệ thống có gì cần bảo vệ. "A list of possible attacks" thuộc bước nhận diện mối đe doạ, diễn ra sau khi đã mô tả hệ thống. "A list of previous risk assessments" là tài liệu tham khảo hữu ích nhưng có thể đã lỗi thời và không mô tả hệ thống ở hiện tại.

Đáp án đúng: "All of the above". Server hardening (gia cố máy chủ) là giảm bề mặt tấn công và đóng các điểm yếu đã biết, và cả bốn biện pháp được liệt kê đều là thực hành chuẩn của việc này. "Removing unnecessary services and protocols" đúng vì mỗi dịch vụ hay giao thức không dùng tới là một cửa vào thừa cho kẻ tấn công. "Keeping the server up to date" đúng vì vá hệ điều hành và phần mềm đóng các lỗ hổng đã được công bố. "Changing defaults" đúng vì mật khẩu, tài khoản, cổng và cấu hình mặc định ai cũng biết, nên là mục tiêu đầu tiên của kẻ tấn công. "Enabling local firewalls" đúng vì tường lửa trên chính máy chủ chặn kết nối không mong muốn kể cả khi tường lửa biên bị vượt qua, đúng tinh thần phòng thủ nhiều lớp. Vì từng biện pháp riêng lẻ đều đúng nhưng chỉ là một phần, chọn đáp án gộp mới đầy đủ.

Đáp án đúng: "True". Hệ thống trọng yếu (mission-critical system) được định nghĩa đúng như câu nói: bất kỳ hệ thống nào được xác định là thiết yếu cho sứ mệnh của tổ chức, tức nếu nó ngừng thì tổ chức không thực hiện được chức năng chính, ví dụ hệ thống đặt hàng của một công ty thương mại điện tử. Việc xác định hệ thống trọng yếu thường diễn ra trong phân tích tác động kinh doanh để ưu tiên bảo vệ và khôi phục. Định nghĩa này nghe như lặp từ, nhưng điểm cốt lõi là tính trọng yếu do tổ chức tự xác định theo sứ mệnh của mình, không cố định theo loại công nghệ. Chọn "False" là sai, vì phát biểu không chứa điều kiện nào trái với định nghĩa.

Đáp án đúng: "Unauthorized access incident". Cách phân loại sự cố của NIST chia theo bản chất hành vi; sự cố truy cập trái phép là khi ai đó chiếm được quyền vào hệ thống, mạng hay dữ liệu mà họ không được phép, thường nhờ tấn công phi kỹ thuật như lừa lấy mật khẩu, hoặc tấn công kỹ thuật như khai thác lỗ hổng hay dò mật khẩu. "Malware incident" là sự cố do mã độc như virus, sâu, trojan lây nhiễm, trọng tâm là phần mềm độc hại chứ không phải hành vi đăng nhập trái phép. "DoS attack" là tấn công từ chối dịch vụ, làm hệ thống quá tải để người dùng hợp lệ không truy cập được, không cần chiếm quyền vào. "Inappropriate usage incident" là khi người dùng hợp lệ dùng tài nguyên sai chính sách, chẳng hạn vi phạm AUP, tức họ có quyền truy cập nhưng dùng sai mục đích.