Câu hỏi: IAA202 Quản trị rủi ro trong hệ thống thông tin – Bộ ôn tập thi lại số 2

Đáp án đúng: "Reviewed and updated regularly". Kế hoạch khôi phục sau thảm hoạ (DRP) phản ánh hệ thống, nhân sự và địa điểm tại thời điểm soạn; khi tổ chức thay đổi phần cứng, ứng dụng, người phụ trách hay nhà cung cấp, kế hoạch cũ sẽ chỉ dẫn sai, nên phải được rà soát, diễn tập và cập nhật định kỳ. "Secret" sai vì những người tham gia khôi phục phải biết và tiếp cận được kế hoạch; chỉ những chi tiết nhạy cảm mới cần hạn chế. "Unchanged" ngược với yêu cầu trên, vì kế hoạch không đổi sẽ nhanh chóng lỗi thời. "Used daily" sai vì DRP chỉ được kích hoạt khi xảy ra thảm hoạ; dùng hằng ngày là việc của quy trình vận hành thường lệ.

Đáp án đúng: "To identify and prioritize risks". Risk assessment (đánh giá rủi ro) nhận diện tài sản, mối đe doạ, điểm yếu rồi phân tích khả năng xảy ra và tác động để xếp hạng rủi ro; kết quả là danh sách rủi ro đã được ưu tiên, làm căn cứ cho quyết định xử lý và phân bổ nguồn lực. "To create a budget plan" là việc dùng kết quả đánh giá, ngân sách được lập sau khi biết rủi ro nào cần xử lý. "To ensure data privacy" là một mục tiêu bảo mật cụ thể mà các biện pháp kiểm soát hướng tới; đánh giá rủi ro xét mọi loại rủi ro chứ không chỉ quyền riêng tư, và bản thân nó không bảo đảm điều gì. "To train security personnel" là hoạt động nâng cao năng lực, có thể được khuyến nghị sau đánh giá nhưng không phải mục đích của nó.

Đáp án đúng: "The time by which a system must be recovered". RTO (Recovery Time Objective, mục tiêu thời gian khôi phục) là mốc thời gian mà hệ thống phải được dựng lại sau sự cố để chức năng kinh doanh không vượt quá mức ngừng tối đa chịu được (MAO); nó được rút ra từ BIA và đưa vào DRP làm chỉ tiêu cho đội khôi phục. "The maximum time allowed for data recovery" dễ nhầm nhưng nói về dữ liệu, trong khi lượng dữ liệu được phép mất là RPO (Recovery Point Objective), còn RTO nói về cả hệ thống hoạt động trở lại. "The time needed to detect a disaster" là thời gian phát hiện, thuộc khâu giám sát và thông báo, không phải mục tiêu khôi phục. "The minimum acceptable downtime" đảo ngược ý nghĩa: RTO là giới hạn trên của thời gian ngừng, không phải mức tối thiểu, và không ai đặt chỉ tiêu cho thời gian ngừng tối thiểu.

Đáp án đúng: "Who, what, when, and where details of an event". Nhật ký kiểm toán (audit log) có giá trị khi mỗi bản ghi trả lời được ai thực hiện, làm gì, lúc nào và từ đâu (máy, địa chỉ, tài nguyên), nhờ vậy có thể truy vết trách nhiệm, điều tra sự cố và làm chứng cứ. "All system events" sai vì ghi mọi sự kiện hệ thống sẽ tạo khối dữ liệu khổng lồ, làm chìm sự kiện quan trọng và tốn chỗ lưu, tổ chức cần chọn lọc sự kiện cần ghi. "All security-related events" chỉ trả lời câu hỏi ghi những sự kiện nào, còn câu hỏi ở đây là mỗi sự kiện phải ghi những chi tiết gì. "The details of what happened for an event" chỉ có phần làm gì, thiếu ai, lúc nào và ở đâu, nên không đủ để quy trách nhiệm cho một người dùng cụ thể.

Đáp án đúng: "A defense-in-depth strategy". Phòng thủ theo chiều sâu (defense in depth) là chiến lược dùng nhiều lớp biện pháp đối phó cho cùng một rủi ro, để nếu một lớp bị vượt qua thì lớp khác vẫn bảo vệ; ví dụ chống mã độc bằng tường lửa, lọc thư, phần mềm diệt virus và đào tạo người dùng cùng lúc. "A defense-in-layer strategy" nghe gần đúng vì ý tưởng đúng là các lớp, nhưng đó không phải tên chuẩn của chiến lược này. "A prevent-in-depth strategy" cũng không phải thuật ngữ được dùng; ngoài ra chiều sâu không chỉ gồm biện pháp phòng ngừa mà còn có kiểm soát phát hiện và khắc phục.

Đáp án đúng: "To prepare an organization for unforeseen disruptions and ensure critical functions continue.". BCP là kế hoạch giúp tổ chức chuẩn bị trước cho các gián đoạn bất ngờ như thảm hoạ thiên nhiên, mất điện kéo dài, tấn công mạng, và bảo đảm các chức năng kinh doanh thiết yếu tiếp tục hoạt động hoặc được khôi phục trong thời gian chấp nhận được, dựa trên kết quả BIA. "To ensure all employees know their daily tasks." là việc của mô tả công việc và quản lý nhân sự thường ngày; BCP chỉ quy định vai trò khi có gián đoạn. "To guarantee a company's stock value increases." sai vì không kế hoạch nào bảo đảm giá cổ phiếu tăng; BCP chỉ hạn chế thiệt hại khi có sự cố. "To outline a company's financial plan for the next five years." là kế hoạch tài chính chiến lược, không liên quan tới ứng phó gián đoạn.

Đáp án đúng: "Developing marketing strategies". Quy trình đánh giá rủi ro gồm các bước như xác định ranh giới và tài sản, nhận diện mối đe doạ và điểm yếu, đánh giá rủi ro, đề xuất biện pháp đối phó và trình bày khuyến nghị cho ban lãnh đạo; xây dựng chiến lược tiếp thị là hoạt động kinh doanh không liên quan tới đánh giá rủi ro, nên là phát biểu không thuộc nhóm. "Identifying assets and activities" là bước đầu tiên và cần thiết vì phải biết bảo vệ cái gì mới đánh giá được rủi ro, nên không được chọn. "Evaluating risks" là trọng tâm của quy trình, kết hợp khả năng xảy ra và tác động để xếp hạng rủi ro, cũng là một bước chính. "Presenting recommendations to management" là bước cuối, đưa kết quả cho ban lãnh đạo quyết định chấp nhận, trì hoãn hay điều chỉnh, nên cũng thuộc quy trình.

Đáp án đúng: "Disaster Recovery Plan (DRP)". Kế hoạch khôi phục sau thảm hoạ tập trung vào việc khôi phục hệ thống và hạ tầng CNTT sau thảm hoạ: thủ tục khôi phục, địa điểm dự phòng, sao lưu và thứ tự đưa hệ thống trở lại hoạt động. "Business Impact Analysis (BIA)" là bước phân tích xác định chức năng then chốt và thời gian ngừng tối đa; nó cung cấp đầu vào cho DRP nhưng tự nó không chứa thủ tục khôi phục. "Business Continuity Plan (BCP)" bao quát hơn, nhằm duy trì hoạt động kinh doanh trong và sau gián đoạn; DRP thường là một phần của BCP, và phần đảm nhận việc khôi phục hệ thống chính là DRP. "Business Continuity Control (BCC)" không phải một loại kế hoạch hay thuật ngữ chuẩn trong lĩnh vực này.

Đáp án đúng: "Any single part of a system that can cause the entire system to fail, if it fails". Single point of failure (điểm lỗi đơn) là một thành phần mà nếu nó hỏng thì toàn bộ hệ thống ngừng, vì không có thành phần dự phòng nào thay thế, ví dụ một máy chủ cơ sở dữ liệu duy nhất, một đường truyền Internet duy nhất hay một bộ nguồn duy nhất. Nhận diện điểm lỗi đơn giúp tổ chức biết chỗ cần thêm dự phòng (redundancy) hoặc cơ chế chịu lỗi. "Any single part of a system that can fail" quá rộng, mọi thành phần đều có thể hỏng, nhưng chỉ thành phần mà hỏng kéo cả hệ thống sập mới là điểm lỗi đơn. "Any single part of system that has been protected with redundancy" ngược nghĩa, thành phần đã có dự phòng thì không còn là điểm lỗi đơn. "Any single part of a system" chỉ là một thành phần bất kỳ, không nói gì tới hậu quả khi nó hỏng.

Đáp án đúng: "Critical business functions (CBFs) only". Câu hỏi diễn đạt hơi lỏng nhưng ý thực là hỏi phạm vi đúng của kế hoạch liên tục kinh doanh (BCP): phạm vi chỉ gồm các chức năng kinh doanh trọng yếu (CBF) đã được xác định qua phân tích tác động kinh doanh, tức những chức năng mà ngừng quá thời gian tối đa chấp nhận được thì tổ chức bị thiệt hại nghiêm trọng; nếu không có tuyên bố phạm vi, kế hoạch dễ phình ra bao trùm cả công ty và trở nên quá tốn kém, không khả thi. "All elements of the company globally" chính là tình trạng phình phạm vi mà tuyên bố phạm vi cần ngăn. "All IT elements of the company" vẫn quá rộng và chỉ nhìn từ góc CNTT, trong khi BCP lấy chức năng kinh doanh làm trung tâm, kể cả con người và cơ sở vật chất. "Critical success factors" là các yếu tố then chốt quyết định kế hoạch thành công, như sự ủng hộ của lãnh đạo, chứ không phải đối tượng thuộc phạm vi BCP.