Câu hỏi: IAP301 Phát triển chính sách an toàn thông tin – Bộ ôn tập cuối kỳ số 1

Đáp án đúng gồm hai ý: "Least access privileges customize access to an individual" và "Best fit privileges customize access to a group based on risk". Least access privileges (đặc quyền tối thiểu) cấp cho từng người đúng và chỉ đủ quyền cần cho công việc của chính họ, nên quyền được may đo theo cá nhân; best fit access privileges (đặc quyền phù hợp nhất) gom những người có vai trò tương tự thành nhóm và cấp quyền chung theo mức rủi ro, dễ quản trị hơn nhưng có thể dư quyền đôi chút. "Least access privileges customize access to a group based on risk" sai vì gán đặc điểm cấp theo nhóm của best fit cho least privilege. "Best fit privileges customize access to an individual" sai vì đảo ngược định nghĩa, may đo cho từng cá nhân là bản chất của least privilege. "No diffenrence" sai vì hai cách tiếp cận khác nhau rõ ở đơn vị được cấp quyền và mức độ chặt chẽ.

Đáp án đúng: "False". Khi xảy ra sự cố, nhóm phản ứng đầu tiên là computer security incident response team, viết tắt CSIRT (đội ứng cứu sự cố an toàn thông tin), cùng các first responders (người ứng cứu đầu tiên) như bộ phận vận hành hay trung tâm giám sát an ninh: họ phát hiện, khoanh vùng, ngăn chặn và thu thập chứng cứ. Nhóm risk management and metrics (quản trị rủi ro và đo lường) có vai trò khác: đánh giá rủi ro, theo dõi chỉ số, báo cáo xu hướng và đề xuất cải tiến sau khi sự cố đã được xử lý, chứ không trực tiếp lao vào ứng cứu ban đầu. Vì vậy phát biểu rằng nhóm này "thường là nhóm phản ứng đầu tiên" là sai, và phương án "True" không thể chọn: nó nhầm vai trò phân tích, đo lường hậu kỳ với vai trò ứng cứu tức thời của đội phản ứng sự cố.

Đáp án đúng gồm hai ý: "Risk avoidance" và "Risk acceptance". Quản lý rủi ro có bốn chiến lược được thừa nhận rộng rãi là avoidance (né tránh), acceptance (chấp nhận), transference (chuyển giao) và mitigation (giảm thiểu); trong danh sách này chỉ có hai chiến lược thuộc nhóm đó. "Risk avoidance" nghĩa là bỏ hẳn hoạt động gây rủi ro, ví dụ ngừng cung cấp một dịch vụ trực tuyến quá khó bảo vệ, còn "Risk acceptance" là ban lãnh đạo chấp nhận rủi ro có ý thức vì chi phí xử lý lớn hơn thiệt hại có thể xảy ra. "Risk collection" không phải chiến lược xử lý rủi ro nào cả; thu thập thông tin về rủi ro chỉ là đầu vào của bước nhận diện, không làm thay đổi mức rủi ro. "Risk monitoring" là hoạt động theo dõi liên tục sau khi đã chọn chiến lược, giúp phát hiện rủi ro thay đổi, chứ bản thân nó không phải cách xử lý rủi ro.

Đáp án đúng: "Enterprise Data Management". Trong bốn phương án, Enterprise Data Management (quản lý dữ liệu toàn doanh nghiệp) là cách mở rộng thông dụng của EDM: tập hợp chính sách, quy trình và vai trò bảo đảm dữ liệu của cả tổ chức được định nghĩa, phân loại, kiểm soát chất lượng và bảo vệ một cách thống nhất, gắn trực tiếp với chính sách phân loại và bảo vệ dữ liệu. Cần lưu ý rằng trong khung quản trị CNTT COBIT 5 mà môn học dùng, EDM lại là miền Evaluate, Direct and Monitor (đánh giá, chỉ đạo, giám sát) thuộc phần quản trị của ban lãnh đạo, nhưng nghĩa này không có trong các phương án nên chọn cách mở rộng thông dụng nhất. "Electronic Data Management" không phải thuật ngữ chuẩn; dữ liệu điện tử chỉ là một dạng dữ liệu, còn EDM nói tới phạm vi toàn doanh nghiệp. "Efficient Data Management" chỉ là một tính từ mô tả mục tiêu hiệu quả, không phải tên một lĩnh vực quản lý. "Encrypted Data Management" nhầm sang một biện pháp kỹ thuật: mã hoá là một kiểm soát bảo vệ dữ liệu nằm bên trong chương trình quản lý dữ liệu, không phải nghĩa của chữ viết tắt.

Đáp án đúng gồm hai ý: "needs" và "capacity to deploy". Số lượng tài liệu chính sách (policy, standard, procedure, guideline) mà một tổ chức duy trì tùy thuộc vào needs (nhu cầu) của chính nó, do quy mô, ngành nghề và yêu cầu tuân thủ quyết định, và vào capacity to deploy (năng lực triển khai), tức khả năng phổ biến, đào tạo, thực thi và giám sát các tài liệu đó. Một ngân hàng chịu nhiều quy định sẽ cần nhiều tài liệu hơn một cửa hàng nhỏ, nhưng viết quá nhiều tài liệu mà không đủ người và quy trình để triển khai thì chính sách chỉ nằm trên giấy. Phương án "demands" nghe gần với nhu cầu nhưng chỉ là áp lực bên ngoài nhất thời, không phải thước đo tổ chức dùng để quyết định cần bao nhiêu tài liệu. Phương án "availability" là một mục tiêu trong bộ ba CIA (tính sẵn sàng của hệ thống và dữ liệu), không phải yếu tố quyết định số lượng tài liệu chính sách.

Đáp án đúng: "Law". Security awareness (nhận thức an ninh) là chương trình giúp nhân viên hiểu rủi ro và trách nhiệm của mình đối với chính sách an toàn thông tin. Yếu tố buộc tổ chức phải có chương trình này rõ nhất là luật và quy định: các văn bản như HIPAA hay FISMA đòi hỏi tổ chức đào tạo nhân viên về an ninh, và không tuân thủ có thể dẫn tới phạt tiền hoặc kiện tụng. "Customers" là bên hưởng lợi khi dữ liệu của họ được bảo vệ và có thể gây áp lực gián tiếp qua niềm tin, nhưng khách hàng không có quyền bắt buộc tổ chức đào tạo nhân viên. "Shareholders" quan tâm tới giá trị doanh nghiệp và có thể ủng hộ đầu tư cho an ninh, song đó vẫn là động lực gián tiếp chứ không phải nghĩa vụ pháp lý. "All are correct" không được chọn vì câu hỏi tìm yếu tố có khả năng cao nhất tạo ra sự bắt buộc, và chỉ luật mới mang tính cưỡng chế, hai bên còn lại chỉ tạo áp lực.

Đáp án đúng: "The recovery of IT assets after a major outage". Disaster Recovery Plan (DRP, kế hoạch khôi phục sau thảm họa) là một phần của kế hoạch liên tục kinh doanh (BCP), tập trung đưa hệ thống, ứng dụng, dữ liệu và hạ tầng CNTT trở lại hoạt động sau sự cố lớn như cháy trung tâm dữ liệu hay mất điện diện rộng, theo các mục tiêu RTO và RPO đã định. "Only the legal aspects of recovering from a disaster" sai vì DRP là kế hoạch kỹ thuật, yêu cầu pháp lý chỉ là một đầu vào chứ không phải trọng tâm duy nhất. "Employee safety during a disaster" thuộc kế hoạch ứng phó khẩn cấp và sơ tán, nơi con người được ưu tiên trước khi tính chuyện khôi phục máy móc. "Communication strategies with the media" thuộc kế hoạch truyền thông khủng hoảng (crisis communication plan) trong BCP, không phải nội dung chính của DRP.

Đáp án đúng: "False". Interactive service account (tài khoản dịch vụ tương tác) là tài khoản mà con người hoặc ứng dụng dùng để đăng nhập trực tiếp vào hệ thống, ví dụ quản trị viên đăng nhập bằng tài khoản dịch vụ để bảo trì một ứng dụng. Vì có phiên đăng nhập tương tác nên tài khoản này phải có mật khẩu, và mật khẩu đó cần được quản lý chặt: đủ phức tạp, thay định kỳ, giới hạn số người được biết và ghi nhật ký mỗi lần sử dụng. Phát biểu cho rằng nó thường không có mật khẩu là sai. Vì vậy "True" không được chọn: chấp nhận nó đồng nghĩa với việc để một tài khoản đăng nhập được mà không có lớp xác thực nào, trái với nguyên tắc kiểm soát truy cập và là lỗ hổng mà kẻ tấn công rất hay khai thác.

Đáp án đúng: "The measurable business benefits". Ban lãnh đạo ra quyết định dựa trên giá trị kinh doanh, nên khi trình bày một chính sách mới cần nhấn mạnh lợi ích đo được: giảm rủi ro tổn thất, tránh phạt do vi phạm quy định, giữ niềm tin khách hàng, hỗ trợ mục tiêu chiến lược, kèm chỉ số cụ thể để họ thấy chính sách là khoản đầu tư chứ không phải chi phí thuần. "The cost of training" là thông tin cần có trong ngân sách nhưng nếu đặt làm trọng tâm sẽ khiến chính sách bị nhìn như gánh nặng. "The technical implementation" phù hợp khi trao đổi với đội kỹ thuật, còn lãnh đạo không cần đi sâu chi tiết triển khai. "The timeline for deployment" là thông tin phụ phục vụ lập kế hoạch, không thuyết phục được lãnh đạo vì sao phải phê duyệt và tài trợ cho chính sách.

Đáp án đúng: "Procedure". Procedure (thủ tục) là tài liệu hướng dẫn từng bước, mô tả trình tự công việc cần làm để thực hiện đúng chính sách của công ty, ví dụ các bước tạo tài khoản cho nhân viên mới hoặc các bước sao lưu máy chủ mỗi tối; đây chính là định nghĩa mà câu hỏi mô tả. "Policy" (chính sách) là tuyên bố ở mức cao về ý định và định hướng của ban lãnh đạo, nói cần đạt điều gì chứ không chỉ cách làm từng bước. "Standard" (tiêu chuẩn) là yêu cầu bắt buộc, đo được, áp dụng thống nhất cho công nghệ hay quy trình, ví dụ mật khẩu tối thiểu 12 ký tự, nhưng không trình bày trình tự thao tác. "Guideline" (hướng dẫn) là khuyến nghị mang tính tham khảo, không bắt buộc, giúp người dùng chọn cách làm tốt khi chưa có quy định cứng.

Đáp án đúng gồm ba ý: "Avoiding financial penalties", "Maintaining public trust" và "Preventing criminal liability". Compliance (tuân thủ) với luật và quy định như SOX, HIPAA, GLBA là bắt buộc vì vi phạm dẫn tới hậu quả trực tiếp: bị phạt tiền, mất niềm tin của khách hàng và công chúng khi sự cố lộ dữ liệu bị công bố, và người có trách nhiệm có thể bị truy cứu hình sự, ví dụ SOX buộc giám đốc điều hành và giám đốc tài chính ký xác nhận báo cáo tài chính và chịu trách nhiệm nếu xác nhận sai. Phương án "Gaining competitive edge through vendor lock-in" sai vì vendor lock-in (bị khóa chặt vào một nhà cung cấp) là rủi ro cần tránh và chẳng liên quan gì tới nghĩa vụ pháp lý. Phương án "Reducing operational costs" sai vì tuân thủ thường làm tăng chi phí vận hành do phải kiểm soát, kiểm toán và lập báo cáo; tiết kiệm chi phí có thể là hệ quả phụ của việc chuẩn hóa quy trình nhưng không phải lý do chính khiến tổ chức buộc phải tuân thủ.

Đáp án đúng: "Integration principle". Integration principle (nguyên tắc tích hợp) yêu cầu các biện pháp, thực hành và thủ tục an ninh được phối hợp thành một hệ thống nhất quán, gắn với nhau và với các quy trình khác của tổ chức, thay vì mỗi bộ phận tự làm một kiểu rời rạc. Ví dụ quy trình cấp tài khoản, giám sát nhật ký và ứng phó sự cố cùng dùng một bộ chính sách và chia sẻ thông tin cho nhau. "Ethics principle" là nguyên tắc đạo đức, yêu cầu việc dùng và quản lý thông tin tôn trọng quyền và lợi ích chính đáng của người khác, không nói về tính liền mạch của hệ thống biện pháp. "Defense-in-depth principle" là phòng thủ nhiều lớp, đặt nhiều lớp kiểm soát chồng nhau để một lớp hỏng thì lớp khác vẫn chặn, nhấn vào số lớp bảo vệ chứ không phải sự tích hợp. "Democracy principle" yêu cầu an ninh tương thích với các giá trị của xã hội dân chủ như tự do trao đổi thông tin, không liên quan tới việc thống nhất các biện pháp.

Đáp án đúng: "HIPAA". Đạo luật HIPAA (Health Insurance Portability and Accountability Act) qua Security Rule (quy tắc bảo mật) bắt buộc các tổ chức y tế và đối tác kinh doanh của họ thực hiện risk analysis (phân tích rủi ro) đối với thông tin sức khoẻ điện tử được bảo vệ, rồi dựa vào kết quả đó chọn các biện pháp bảo vệ hành chính, vật lý và kỹ thuật; vì vậy đánh giá rủi ro là một phần bắt buộc của việc tuân thủ. "GLBA" cũng yêu cầu đánh giá rủi ro qua Safeguards Rule đối với các tổ chức tài chính, nên đây là phương án không sai hẳn, nhưng câu hỏi chỉ cho chọn một và HIPAA là luật điển hình gắn yêu cầu phân tích rủi ro vào việc tuân thủ. "CIPA" (Children's Internet Protection Act) chỉ yêu cầu trường học và thư viện nhận hỗ trợ liên bang lọc nội dung Internet có hại cho trẻ em, không đòi hỏi đánh giá rủi ro. "All of the above" sai vì CIPA không thuộc nhóm luật yêu cầu đánh giá rủi ro, nên không thể đúng cho cả ba.

Đáp án đúng: "LAN". Trong bảy miền hạ tầng CNTT, Remote Access Domain (miền truy cập từ xa) mô tả việc nhân viên ở ngoài văn phòng kết nối qua VPN vào LAN nội bộ để dùng máy chủ, ứng dụng và dữ liệu của công ty. Vì kết nối đi qua Internet không tin cậy, chính sách thường bắt buộc two-factor authentication (xác thực hai yếu tố), ví dụ mật khẩu cộng mã OTP. "Workstation" sai vì máy trạm là thiết bị đầu cuối nhân viên đăng nhập tại chỗ, không phải đích của phiên truy cập từ xa. "DMZ Web site" sai vì website đặt trong DMZ phục vụ công chúng, thường không đòi nhân viên xác thực hai yếu tố mới xem được. "WAN" sai vì mạng diện rộng chỉ là đường truyền nối các địa điểm, không phải tài nguyên nội bộ mà nhân viên cần đăng nhập vào.

Đáp án đúng: "Clear and Concise". Thư viện chính sách và tiêu chuẩn (policies and standards library) là nơi lưu trữ tập trung các tài liệu mà mọi nhân viên phải đọc, hiểu và tuân thủ; tài liệu chỉ phát huy tác dụng khi người đọc nắm ngay được điều mình phải làm, nên nội dung cần rõ ràng và súc tích. "Comprehensive and Detailed" nghe hợp lý nhưng tài liệu quá dày và chi tiết khiến người dùng bỏ qua, còn chi tiết thao tác nên tách sang procedure (thủ tục). "Short and Vague" sai vì ngắn mà mơ hồ thì mỗi người hiểu một kiểu, không thể thực thi hay kiểm tra tuân thủ. "Technical and Complex" sai vì người đọc gồm cả nhân viên không chuyên kỹ thuật, viết phức tạp làm giảm khả năng hiểu và chấp nhận chính sách.

Đáp án đúng: "Background checks & Access rights reviews". Manual control (kiểm soát thủ công) là kiểm soát do con người thực hiện, cần đánh giá và quyết định của người, không do hệ thống tự động chạy. Kiểm tra lý lịch trước khi tuyển và rà soát định kỳ quyền truy cập (quản lý xem xét danh sách ai đang có quyền gì rồi ký xác nhận) đều là việc thủ công, nên đáp án gộp cả hai. Chọn riêng "Background checks" hoặc riêng "Access rights reviews" đều đúng một phần nhưng bỏ sót ví dụ còn lại, nên không đầy đủ bằng phương án gộp. "Authentication" (xác thực) là kiểm soát tự động: hệ thống tự kiểm tra mật khẩu, thẻ hay sinh trắc mỗi lần đăng nhập mà không cần người can thiệp. Vì xác thực là kiểm soát tự động nên "All of the above" sai, vì nó kéo cả xác thực vào nhóm kiểm soát thủ công.

Đáp án đúng: "All of the above". Một khung IT (IT framework) như COBIT hay ISO 27001 có các đặc điểm chung: quản trị dựa trên rủi ro, gắn kiểm soát với khẩu vị rủi ro của doanh nghiệp, giảm gián đoạn vận hành và tổn thất, và tạo đường đi rõ ràng từ yêu cầu tới kiểm soát cụ thể. Vì vậy bốn phương án riêng lẻ đều đúng nhưng mỗi cái chỉ là một phần. "Risk-based management" đúng vì khung ưu tiên kiểm soát theo mức rủi ro, nhưng chưa đủ. "Aligned business risk appetite" đúng vì kiểm soát phải tương xứng với mức rủi ro doanh nghiệp chấp nhận, nhưng cũng chỉ là một đặc điểm. "Reduced operation disruption and losses" là lợi ích có thật khi áp dụng khung, song không bao quát hết. "Established path from requirements to control" đúng vì khung giúp truy vết từ luật hay yêu cầu kinh doanh xuống kiểm soát, nhưng vẫn thiếu các ý kia. "Risk-based management and Reduced operation disruption and losses only" sai vì chữ "only" loại bỏ hai đặc điểm cũng đúng là gắn khẩu vị rủi ro và đường đi từ yêu cầu tới kiểm soát.

Đáp án đúng: "Frequent security breaches". Mục tiêu của security awareness program (chương trình nâng cao nhận thức an ninh) là thay đổi hành vi của nhân viên, nên thước đo hiệu quả là kết quả thực tế: nếu sự cố do con người gây ra như bấm vào email lừa đảo, dùng mật khẩu yếu hay làm lộ dữ liệu vẫn liên tục xảy ra thì chương trình chưa đạt mục đích. Phương án "High number of training sessions" chỉ đo đầu vào là tổ chức bao nhiêu buổi; nhiều buổi không chứng minh chương trình tốt hay kém. Phương án "Lack of policy exceptions" nghĩa là ít trường hợp xin miễn áp dụng chính sách, thường cho thấy chính sách phù hợp và được chấp nhận, không phải dấu hiệu thất bại. Phương án "Consistent policy compliance" là dấu hiệu ngược lại, cho thấy nhân viên hiểu và làm theo chính sách, tức chương trình đang có hiệu quả.

Đáp án đúng: "Skills individuals are comfortable with to achieve predictable outcomes". Khi nói về tính cách và sự thay đổi, safe zone (vùng an toàn) là tập kỹ năng và cách làm mà một người đã quen dùng vì chúng mang lại kết quả đoán trước được. Khi chính sách an ninh mới buộc họ đổi thói quen, họ phải rời vùng này nên dễ kháng cự; người triển khai chính sách cần nhận ra điều đó để đào tạo và hỗ trợ đúng cách. "A place where individuals feel physically secure" hiểu safe zone theo nghĩa đen là một nơi chốn an toàn về thể chất, không phải khái niệm về hành vi và kỹ năng. "The area where policies are most effective" mô tả phạm vi áp dụng chính sách, không gắn với đặc điểm tính cách của cá nhân. "A set of security protocols" là tập giao thức kỹ thuật, thuộc về hệ thống chứ không thuộc về con người nên không trả lời câu hỏi về tính cách.

Đáp án đúng: "Decryption". Kiểm soát truy cập (access control) được mô tả qua chuỗi định danh, xác thực, cấp quyền và truy trách nhiệm, thường gọi gọn là AAA. Decryption (giải mã) là thao tác mật mã khôi phục bản rõ từ bản mã, một công cụ bảo vệ tính bí mật chứ không phải thành phần của quy trình quyết định ai được vào và được làm gì, nên đây là đáp án của câu phủ định. "Authentication" (xác thực) là bước xác minh chủ thể đúng là người họ khai, nên thuộc kiểm soát truy cập. "Authorization" (cấp quyền) quyết định chủ thể đã xác thực được phép làm gì với tài nguyên nào, cũng là thành phần cốt lõi. "Logging" (ghi nhật ký) ghi lại hành động của từng tài khoản để phục vụ accountability (truy trách nhiệm), chữ A thứ ba trong AAA, nên cũng thuộc kiểm soát truy cập và không được chọn.