Câu hỏi: IAA202 Quản trị rủi ro trong hệ thống thông tin – Bộ ôn tập thi lại số 2

Đáp án đúng: "CBA". Phân tích chi phí - lợi ích (cost-benefit analysis) là phần của bản đánh giá rủi ro (RA) dùng để biện minh chi phí của một kiểm soát: lấy thiệt hại dự kiến hằng năm trước khi có kiểm soát trừ đi thiệt hại sau khi có kiểm soát, rồi so với chi phí kiểm soát; lợi ích lớn hơn chi phí thì khoản chi là hợp lý. "Probability and impact" giúp xếp mức rủi ro nhưng không chứa thông tin về chi phí kiểm soát. "ALE" (annualized loss expectancy) bằng SLE × ARO, chỉ là số liệu đầu vào của phép so sánh, tự nó chưa chứng minh kiểm soát đáng tiền. "POAM" là kế hoạch hành động và các mốc, theo dõi việc thực hiện khuyến nghị sau khi đã quyết định.

Đáp án đúng: "False". Vế đầu của phát biểu đúng: rủi ro xuất hiện khi mối đe doạ (threat) có thể khai thác điểm yếu (vulnerability) của hệ thống. Nhưng kết luận rằng chỉ cần nhận diện mối đe doạ và điểm yếu là kiểm soát được rủi ro thì sai, vì nhận diện chỉ là bước đầu; quản trị rủi ro còn phải xác định tài sản và giá trị của nó, đánh giá khả năng xảy ra và tác động để xếp ưu tiên, chọn cách xử lý (giảm thiểu, chuyển giao, chấp nhận, tránh né), triển khai biện pháp kiểm soát và giám sát liên tục. Biết điểm yếu mà không vá hay không đặt kiểm soát thì rủi ro vẫn còn nguyên. Chọn "True" là đồng nhất việc nhận diện với việc kiểm soát, bỏ qua toàn bộ các bước đánh giá, xử lý và giám sát phía sau.

Đáp án đúng: "Creating and maintaining a secure environment that minimizes the likelihood and impact of security incidents.". Rủi ro được đo bằng khả năng xảy ra và tác động, nên mục tiêu tối hậu của kế hoạch quản trị rủi ro là duy trì một môi trường an toàn trong đó cả hai yếu tố này được giữ ở mức thấp nhất hợp lý, cân đối với chi phí và nhu cầu kinh doanh. Lựa chọn "Achieving maximum regulatory compliance" sai vì tuân thủ chỉ là một phần, tổ chức có thể tuân thủ đủ mà vẫn không an toàn. Lựa chọn "most advanced and expensive security controls" đi ngược phân tích chi phí – lợi ích, biện pháp đắt nhất không có nghĩa là phù hợp, nhất là khi không quan tâm tới hiệu quả. Lựa chọn "Completing all scheduled risk assessment" và mitigation đúng hạn mà bỏ qua an ninh thực tế chỉ là hoàn thành thủ tục trên giấy, không phải mục tiêu cuối cùng.

Đáp án đúng: "NIST". National Institute of Standards and Technology (Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ) thuộc Bộ Thương mại, có Information Technology Laboratory (Phòng thí nghiệm Công nghệ Thông tin) soạn bộ tài liệu Special Publication 800, trong đó SP 800-30 hướng dẫn đánh giá rủi ro. "DHS" là Department of Homeland Security, Bộ An ninh Nội địa chịu trách nhiệm an ninh quốc gia, không phải đơn vị ra SP 800-30. "NCCIC" là trung tâm tích hợp truyền thông và an ninh mạng quốc gia trực thuộc DHS, chuyên điều phối ứng phó sự cố. "US-CERT" là đội ứng phó khẩn cấp máy tính của Hoa Kỳ, cũng trực thuộc DHS, chuyên cảnh báo và hỗ trợ xử lý sự cố chứ không soạn chuẩn.

Đáp án đúng: "SP 800-34 Rev 1". NIST SP 800-34 Rev. 1 (Contingency Planning Guide for Federal Information Systems) là hướng dẫn lập kế hoạch dự phòng cho hệ thống thông tin, mô tả quy trình gồm xây dựng chính sách, thực hiện BIA, xác định biện pháp phòng ngừa, xây dựng chiến lược và kế hoạch dự phòng, kiểm thử, đào tạo và duy trì kế hoạch. "SP 800-53" là danh mục các biện pháp kiểm soát an ninh và quyền riêng tư; nó có họ kiểm soát về lập kế hoạch dự phòng nhưng không hướng dẫn từng bước làm BIA. "SP 800-37" là hướng dẫn áp dụng khung quản trị rủi ro (Risk Management Framework) cho hệ thống thông tin, với các bước phân loại, chọn, triển khai, đánh giá, cấp phép và giám sát. "SP 800-63" là hướng dẫn về định danh số và xác thực người dùng, không liên quan tới kế hoạch dự phòng.

Đáp án đúng gồm hai ý: "Controls" và "Countermeasures". Trong quản trị rủi ro, biện pháp kiểm soát (control) và biện pháp đối phó (countermeasure, còn gọi safeguard) là những hành động, cơ chế hay thiết bị được đặt vào để giảm hoặc vô hiệu hoá mối đe doạ hay điểm yếu, ví dụ tường lửa chặn lưu lượng độc hại, bản vá đóng lỗ hổng, đào tạo giảm khả năng người dùng bị lừa; hai từ thường được dùng gần như đồng nghĩa và đều được chọn sau khi phân tích chi phí – lợi ích. "Standards" là chuẩn, tức các yêu cầu bắt buộc cụ thể hoá chính sách như cấu hình tối thiểu, bản thân nó không trực tiếp chặn mối đe doạ mà quy định biện pháp cần có. "Guidelines" là hướng dẫn mang tính khuyến nghị, không bắt buộc, giúp người thực hiện làm đúng nhưng không phải cơ chế giảm rủi ro.

Đáp án đúng gồm ba ý: "Confidentiality", "Integrity" và "Availability". Bộ ba CIA là ba thuộc tính an toàn mà mối đe doạ có thể làm tổn hại: tính bí mật (dữ liệu lộ cho người không được phép), tính toàn vẹn (dữ liệu bị sửa trái phép) và tính sẵn sàng (hệ thống không phục vụ được khi cần). "Vulnerability" là điểm yếu, thứ mà mối đe doạ khai thác, chứ không phải thuộc tính bị ảnh hưởng. "Authentication" là xác thực, một cơ chế kiểm soát để xác minh danh tính và nhờ đó bảo vệ bộ ba CIA. "Authorization" là phân quyền, cơ chế quyết định người đã xác thực được làm gì; nó cũng là biện pháp bảo vệ chứ không nằm trong ba mục tiêu an toàn.

Đáp án đúng: "MAO includes all possible recovery activities, while RTO is limited to system restoration time". Định nghĩa chuẩn: MAO (Maximum Acceptable Outage) là thời gian ngừng tối đa mà một chức năng kinh doanh chịu được, còn RTO (Recovery Time Objective) là mục tiêu thời gian khôi phục hệ thống và phải nhỏ hơn hoặc bằng MAO. Phương án được chọn diễn đạt gần đúng ý đó: MAO bao trùm toàn bộ quá trình đưa chức năng trở lại, gồm phát hiện, quyết định, khôi phục, kiểm tra, còn RTO chỉ là phần dựng lại hệ thống nằm bên trong khoảng đó; cách nói all possible recovery activities không thật chặt nhưng hướng phân biệt là đúng. "MAO focuses only on IT systems, while RTO includes all business processes" đảo ngược hai khái niệm, MAO mới gắn với chức năng kinh doanh còn RTO gắn với hệ thống. "MAO is the sum of all individual RTOs for an organization" sai vì MAO xác định cho từng chức năng, không phải tổng cộng. "There is no difference; both terms are interchangeable" sai vì MAO là ngưỡng chịu đựng còn RTO là chỉ tiêu khôi phục phải nằm dưới ngưỡng đó.

Đáp án đúng: "IT systems". Trong BIA, sau khi xác định các critical business function (chức năng kinh doanh thiết yếu), người phân tích ánh xạ từng chức năng tới các hệ thống CNTT hỗ trợ nó, vì đó là cách biết hệ thống nào phải khôi phục trước và với RTO bao nhiêu; ví dụ chức năng bán hàng trực tuyến phụ thuộc máy chủ web, cơ sở dữ liệu và cổng thanh toán. "Personnel" là nguồn lực cần cho chức năng, nhưng BIA trong bối cảnh này tập trung xác định phụ thuộc vào hệ thống để lập kế hoạch khôi phục kỹ thuật. "Revenue" là một thước đo tác động (doanh thu mất đi khi chức năng ngừng), dùng để chấm mức nghiêm trọng chứ không phải đối tượng ánh xạ. "Replacement costs" là chi phí thay thế tài sản, thuộc về định giá tài sản trong đánh giá rủi ro, không phải thứ mà chức năng kinh doanh được ánh xạ tới.

Đáp án đúng gồm ba ý: "Reviewing firewall logs regularly", "Using SIEM systems for correlation and alerting" và "Monitoring configuration changes". Giám sát rủi ro liên tục nghĩa là theo dõi môi trường một cách đều đặn để phát hiện sớm dấu hiệu bất thường: xem xét nhật ký tường lửa định kỳ để thấy lưu lượng đáng ngờ, dùng hệ thống quản lý sự kiện và thông tin an ninh (SIEM) để tương quan sự kiện từ nhiều nguồn và cảnh báo, theo dõi thay đổi cấu hình để bắt kịp thay đổi trái phép hoặc làm phát sinh điểm yếu. "Applying encryption to archived data" là một biện pháp bảo vệ dữ liệu lưu trữ, hữu ích nhưng nó là kiểm soát phòng ngừa chứ không phải hoạt động giám sát. "Performing one-time vulnerability scans" chỉ chụp lại trạng thái tại một thời điểm, trái với tính liên tục; quét chỉ có giá trị giám sát khi được lặp lại định kỳ.

Đáp án đúng: "ISO 27002 Information Technology Security Techniques". Bộ chuẩn hai phần được mô tả, với Part I nêu mục tiêu và kiểm soát còn Part II dùng để chứng nhận, có gốc từ BS 7799 của Anh rồi phát triển thành họ chuẩn ISO/IEC 27000 về an toàn thông tin. Cần nói thẳng chỗ tranh cãi: ngày nay phần dùng cho chứng nhận là ISO/IEC 27001, còn 27002 là bộ hướng dẫn thực hành kiểm soát; nhưng 27001 không có trong phương án, và ISO 27002 là phương án duy nhất thuộc họ chuẩn an toàn thông tin này nên được chọn. "ISO 73 Risk Management–Vocabulary" chỉ là bộ thuật ngữ quản trị rủi ro, không đặt yêu cầu để chứng nhận. "ISO 31000 Risk Management Principles and Guidelines" đưa ra nguyên tắc và hướng dẫn chung, tự nó không dùng để cấp chứng nhận. "IEC 31010 Risk Management–Risk Assessment Techniques" mô tả các kỹ thuật đánh giá rủi ro như phân tích cây lỗi hay Delphi, không phải bộ yêu cầu tuân thủ.

Đáp án đúng: "Boundaries". Scope (phạm vi) của một kế hoạch quản trị rủi ro xác định ranh giới: những hệ thống, ứng dụng, địa điểm, bộ phận nào nằm trong kế hoạch và cái gì nằm ngoài, để tránh phình phạm vi (scope creep) và để mọi bên hiểu kế hoạch chịu trách nhiệm tới đâu. "Objectives" là mục tiêu, một thành phần riêng của kế hoạch nêu kế hoạch muốn đạt điều gì; phạm vi trả lời câu hỏi tới đâu chứ không phải để làm gì. "POAM" (Plan of Action and Milestones, kế hoạch hành động và các mốc) là tài liệu theo dõi việc triển khai khuyến nghị, được lập sau khi có kết quả, không do phạm vi định nghĩa. "Recommendations" là các khuyến nghị biện pháp xử lý rủi ro, là đầu ra của đánh giá; chúng phải nằm trong phạm vi chứ không phải thứ mà phạm vi xác định.

Đáp án đúng: "Nessus". Nessus là công cụ quét lỗ hổng (vulnerability scanner) tự động: nó dò các máy trong phạm vi, so sánh phiên bản phần mềm và cấu hình với cơ sở dữ liệu lỗ hổng đã biết rồi xuất báo cáo kèm mức nghiêm trọng và gợi ý khắc phục, nên là lựa chọn quen thuộc cho đánh giá lỗ hổng tự động. "Wireshark" là công cụ bắt và phân tích gói tin mạng, dùng để xem lưu lượng chứ không quét lỗ hổng. "Superscan" là công cụ quét cổng trên Windows, chỉ cho biết cổng nào mở chứ không đánh giá lỗ hổng. "Nmap" là công cụ quét mạng và cổng mạnh, nhận diện dịch vụ và hệ điều hành, có script mở rộng dò được một số lỗ hổng, nhưng mục đích chính là khám phá mạng chứ không phải công cụ đánh giá lỗ hổng toàn diện như Nessus.

Đáp án đúng: "before". Kế hoạch khôi phục thảm hoạ (DRP) được xây dựng từ trước, khi tổ chức còn bình tĩnh, để suy nghĩ thấu đáo về các kịch bản có thể xảy ra, chọn site dự phòng, phương án sao lưu và phân công vai trò, nhờ vậy lúc thảm hoạ thật xảy ra người ta chỉ cần làm theo kế hoạch thay vì phải nghĩ cách dưới áp lực. Lựa chọn "during" sai vì trong lúc thảm hoạ đang diễn ra, áp lực thời gian và hỗn loạn khiến việc tư duy phân tích rất khó, đó chính là lúc DRP phát huy tác dụng như một kịch bản có sẵn chứ không phải lúc bắt đầu suy nghĩ. Lựa chọn "after" sai vì nếu chờ thảm hoạ xảy ra rồi mới tính thì đã mất thời gian khôi phục quý giá; phân tích sau sự cố chỉ là bước rút kinh nghiệm để cập nhật kế hoạch.

Đáp án đúng gồm ba ý: "Identifying Threats", "Identifying Vulnerability" và "Assessing Impact and Likelihood of the Exploit". Rủi ro hình thành khi một mối đe doạ khai thác được điểm yếu và gây tác động, nên để nhận diện rủi ro cần đi qua ba bước: xác định mối đe doạ có thể xảy ra, xác định điểm yếu mà chúng có thể khai thác, rồi đánh giá tác động và khả năng việc khai thác đó xảy ra để biết cặp mối đe doạ/điểm yếu nào thành rủi ro đáng kể. "Evaluating the cost of damaged assets" thuộc phân tích thiệt hại tài chính, như tính SLE từ giá trị tài sản nhân hệ số thiệt hại; nó dùng để định lượng rủi ro đã nhận diện và để chọn biện pháp, chứ không phải kỹ thuật nhận diện rủi ro.

Đáp án đúng: "Prioritizing risks and countermeasures". Ma trận Threat/Likelihood/Impact (mối đe doạ, khả năng xảy ra, tác động) đặt mỗi mối đe doạ vào một ô theo khả năng xảy ra và mức tác động, mỗi ô cho một mức rủi ro như thấp, trung bình, cao; nhờ đó nhóm biết rủi ro nào cần xử lý trước và biện pháp đối phó nào đáng triển khai trước. "Determining the budget for the risk mitigation plan" là bước sau, ngân sách được quyết định dựa trên thứ tự ưu tiên và phân tích chi phí - lợi ích chứ ma trận không tự tính ra. "Assessing the effectiveness of existing controls" là việc của rà soát hay kiểm thử kiểm soát; mức kiểm soát hiện có ảnh hưởng tới ô được chọn, nhưng ma trận không đo hiệu quả kiểm soát. "Defining the scope of the risk assessment" là việc ở đầu quá trình, phải có phạm vi rồi mới biết mối đe doạ nào đưa vào ma trận.

Đáp án đúng: "Risk = Threat × Vulnerability". Theo cách trình bày của môn, rủi ro chỉ tồn tại khi một mối đe doạ có thể khai thác một điểm yếu, nên rủi ro được biểu diễn là tích của mối đe doạ và điểm yếu: nếu một trong hai bằng 0, chẳng hạn hệ thống không có điểm yếu tương ứng, thì rủi ro cũng bằng 0. Cần nói thẳng là một số tài liệu khác nhân thêm giá trị tài sản hoặc tác động vào công thức, nên "Risk = Threat × Vulnerability x Asset" không vô lý ở những nguồn đó, nhưng trong khung của môn học này công thức chuẩn chỉ gồm mối đe doạ và điểm yếu, còn giá trị tài sản được đưa vào khi tính thiệt hại bằng SLE và ALE. "Risk = Threat + Vulnerability" sai vì phép cộng cho ra rủi ro dương ngay cả khi không có điểm yếu nào, trái với bản chất cặp đe doạ – điểm yếu. "Risk = Threat + Vulnerability + Asset" mắc cùng lỗi của phép cộng.

Đáp án đúng: "True". Rủi ro là một yếu tố tạo ra chi phí kinh doanh (driver of business costs) theo hai cách: khi rủi ro thành hiện thực, tổ chức chịu thiệt hại như mất doanh thu, chi phí khôi phục, tiền phạt do vi phạm quy định; còn để giảm rủi ro, tổ chức phải chi tiền cho biện pháp kiểm soát, bảo hiểm, đào tạo. Vì vậy quản trị rủi ro luôn cân nhắc chi phí của rủi ro so với chi phí xử lý nó, và chỉ chọn biện pháp khi chi phí của biện pháp thấp hơn thiệt hại tránh được. "False" sai vì rủi ro rõ ràng ảnh hưởng tới chi phí, dù là chi phí thiệt hại hay chi phí phòng ngừa.

Đáp án đúng: "True". Fault tolerance (khả năng chịu lỗi) là thiết kế để hệ thống tiếp tục chạy khi một thành phần hỏng, nhờ dự phòng như RAID, nguồn điện kép, cụm máy chủ; nó xử lý hỏng hóc cục bộ, thường không có thời gian ngừng. Disaster recovery (khôi phục sau thảm hoạ) là tập hợp kế hoạch và thủ tục để khôi phục hệ thống sau một sự kiện lớn làm tê liệt cả cơ sở như cháy, lũ, tấn công diện rộng, thường có thời gian ngừng và có thể phải chuyển sang địa điểm dự phòng. Hai khái niệm bổ trợ nhau nhưng khác về phạm vi và mục đích: chịu lỗi giúp tránh gián đoạn nhỏ, khôi phục thảm hoạ giúp đứng dậy sau gián đoạn lớn. Chọn "False" là coi hai khái niệm là một, trong khi một hệ thống RAID tốt vẫn không cứu được dữ liệu nếu cả toà nhà cháy.

Đáp án đúng: "Plan of Action and Milestones (POAM)". Kế hoạch hành động và mốc (POAM) liệt kê từng biện pháp đối phó cần triển khai, người chịu trách nhiệm, nguồn lực, các mốc và hạn hoàn thành, cùng trạng thái hiện tại, nên ban lãnh đạo dùng nó để theo dõi và bảo đảm các biện pháp được thực hiện đúng như kế hoạch giảm thiểu rủi ro đã duyệt. "Threat/Likelihood-Impact Matrix" dùng để xếp mức ưu tiên các rủi ro trước khi lập kế hoạch, không theo dõi việc thực hiện. "Gantt Chart" thể hiện lịch trình công việc và hỗ trợ theo dõi tiến độ, nhưng không ghi trách nhiệm và tình trạng của từng biện pháp như một công cụ giải trình. "Risk Assessment Document" là kết quả đánh giá rủi ro, đầu vào để lập kế hoạch giảm thiểu, chứ không phải công cụ giám sát việc triển khai.