Câu hỏi: IAP301 Phát triển chính sách an toàn thông tin – Bộ ôn tập cuối kỳ số 1

Đáp án đúng: "To provide a structured approach to implementing and managing security policies". IT security policy framework (khung chính sách an toàn CNTT) là cấu trúc phân tầng gồm policy, standard, procedure và guideline, giúp tổ chức triển khai, duy trì và quản lý chính sách an toàn một cách có hệ thống, thường dựa trên các khung như ISO 27001 hay COBIT. "To enforce strict access controls for employees" chỉ là một nội dung cụ thể mà một chính sách có thể quy định, không phải mục đích của cả khung. "To serve as a guideline for hardware and software procurement" là việc của chính sách mua sắm, trong khi khung bao quát toàn bộ chương trình an ninh. "To ensure security policies are updated automatically without review" sai vì chính sách phải được con người rà soát và phê duyệt định kỳ, không bao giờ tự cập nhật mà không xem xét.

Đáp án đúng gồm hai ý: "Biometric scanners" và "RFID card readers". Physical access control (kiểm soát truy cập vật lý) điều khiển việc ra vào không gian thực như tòa nhà, phòng máy chủ, tủ thiết bị. Máy quét sinh trắc học (vân tay, mống mắt, khuôn mặt) gắn ở cửa và đầu đọc thẻ RFID mở khóa khi nhân viên quẹt thẻ đều là cơ chế quyết định ai được bước vào khu vực nào, nên thuộc nhóm vật lý. "Role-Based Access Control (RBAC)" là mô hình kiểm soát truy cập logic: quyền trên hệ thống thông tin được gán theo vai trò công việc, áp dụng cho tệp, ứng dụng, cơ sở dữ liệu chứ không phải cánh cửa. "Passwords" là yếu tố xác thực logic (thứ người dùng biết) để đăng nhập hệ thống; dù đôi khi khóa cửa dùng mã số, mật khẩu theo nghĩa thông thường thuộc kiểm soát truy cập logic, không phải cơ chế kiểm soát truy cập vật lý.

Đáp án đúng: "Both". Voice over Internet Protocol (VoIP, thoại qua giao thức Internet) đóng gói tiếng nói thành gói IP, nên nó chạy được trên bất kỳ mạng IP nào, cả mạng nội bộ lẫn mạng diện rộng. Trong tổ chức, điện thoại IP gọi giữa các phòng ban đi qua LAN, còn cuộc gọi tới chi nhánh ở tỉnh khác hay ra nhà cung cấp dịch vụ đi qua WAN; vì thế chính sách bảo mật VoIP phải phủ cả hai miền hạ tầng. Chọn "LAN" là thiếu, vì VoIP không bị giới hạn trong một tòa nhà hay một khuôn viên. Chọn "WAN" cũng thiếu, vì phần lớn lưu lượng VoIP nội bộ thực tế đi trên mạng LAN trước khi ra ngoài. "Neither" sai hoàn toàn vì VoIP chỉ cần hạ tầng IP, mà cả LAN và WAN đều là mạng IP có thể mang lưu lượng thoại.

Đáp án đúng: "Protect cardholder data". PCI DSS (Payment Card Industry Data Security Standard, tiêu chuẩn bảo mật dữ liệu ngành thẻ thanh toán) gom mười hai yêu cầu vào sáu control objectives (mục tiêu kiểm soát): xây dựng và duy trì mạng an toàn, bảo vệ dữ liệu chủ thẻ, duy trì chương trình quản lý lỗ hổng, triển khai kiểm soát truy cập mạnh, giám sát và kiểm thử mạng thường xuyên, duy trì chính sách an toàn thông tin. Bảo vệ dữ liệu chủ thẻ, gồm bảo vệ dữ liệu lưu trữ và mã hoá khi truyền qua mạng công cộng, là mục tiêu cốt lõi của cả tiêu chuẩn. "Maintain an information security policy" thực ra cũng là một trong sáu mục tiêu, nên câu này có hai phương án đúng về nội dung; khi chỉ được chọn một thì bảo vệ dữ liệu chủ thẻ là mục tiêu trung tâm. "Alert when credit cards are illegally used" là chức năng phát hiện gian lận của ngân hàng phát hành thẻ, không phải mục tiêu kiểm soát mà PCI DSS đặt ra cho đơn vị lưu trữ, xử lý hay truyền dữ liệu thẻ. "None of the above" sai vì có ít nhất một phương án là mục tiêu kiểm soát của PCI DSS.

Đáp án đúng: "To establish and maintain configuration information throughout a system's lifecycle". Configuration management (quản lý cấu hình) là quá trình thiết lập cấu hình chuẩn (baseline) cho hệ thống, ghi nhận và kiểm soát mọi thay đổi để thông tin cấu hình luôn chính xác từ lúc triển khai tới lúc loại bỏ hệ thống; nhờ đó tổ chức phát hiện được thay đổi trái phép và khôi phục cấu hình an toàn khi cần. Phương án "To deploy patches" là nhiệm vụ của patch management (quản lý bản vá), có liên quan nhưng chỉ là một loại thay đổi được kiểm soát chứ không phải mục đích của quản lý cấu hình. Phương án "To monitor user activities" thuộc về giám sát và ghi nhật ký hoạt động người dùng, không phải quản lý cấu hình hệ thống. Phương án "To ensure systems are up to date" mô tả mục tiêu cập nhật phiên bản, gần với quản lý bản vá; một hệ thống được quản lý cấu hình tốt vẫn có thể giữ phiên bản cũ có chủ đích miễn là đúng baseline đã phê duyệt.

Đáp án đúng: "A governance and controls framework for assessing, governing, and managing IT security and risks". COBIT (Control Objectives for Information and Related Technologies) do ISACA phát triển là khung quản trị và kiểm soát CNTT, giúp tổ chức đánh giá, quản trị và quản lý an ninh cũng như rủi ro CNTT, gắn mục tiêu CNTT với mục tiêu kinh doanh và cung cấp mục tiêu kiểm soát để đo mức trưởng thành. "A framework for financial controls only" sai vì COBIT không chỉ bao trùm kiểm soát tài chính; khung tập trung vào kiểm soát nội bộ cho báo cáo tài chính gần với COSO hơn, dù COBIT thường được dùng hỗ trợ tuân thủ SOX. "A set of practices for IT service management" mô tả đúng hơn ITIL, bộ thực hành quản lý dịch vụ CNTT; COBIT có đề cập dịch vụ nhưng tầm của nó là quản trị và kiểm soát. "A specific set of technologies for risk management" sai vì COBIT trung lập về công nghệ, nó nêu mục tiêu và quy trình chứ không chỉ định sản phẩm hay công nghệ cụ thể.

Đáp án đúng gồm hai ý: "When logged in to terminal services I will save an organizational document on to my personal laptop/computer/tablet so I can work on it off line. I then upload it again after I have finished." và "I save a list of learner and tutor information on to my encrypted memory stick / flash drive.". Luật bảo vệ dữ liệu như GDPR hay Data Protection Act yêu cầu dữ liệu cá nhân chỉ được lưu và xử lý trong môi trường tổ chức kiểm soát, đúng mục đích và có biện pháp bảo vệ phù hợp. Lưu tài liệu của tổ chức xuống máy cá nhân khi làm việc qua terminal services tạo bản sao nằm ngoài hệ thống được quản lý, dù sau đó có tải lên lại thì bản sao vẫn còn. Chép danh sách học viên và giảng viên ra USB, kể cả đã mã hóa, vẫn đưa dữ liệu cá nhân ra thiết bị di động dễ thất lạc và ngoài quy trình được phép. Tình huống "The responsible tutor assessor has requested I send them the list" là hợp lệ vì người gửi đã xác minh đúng người theo quy trình và dùng tài khoản email của công ty, đúng mục đích kiểm tra dữ liệu. "All of other choices" sai vì tình huống gửi email đó không vi phạm.

Đáp án đúng: "Detailed line budget". Đây là câu phủ định: cần tìm mục KHÔNG thuộc charter (điều lệ) của đội ứng phó sự cố. Charter là văn bản ủy quyền nêu đội tồn tại để làm gì, được tổ chức ra sao và ai chịu trách nhiệm gì; ngân sách chi tiết từng dòng là tài liệu tài chính thay đổi hằng năm, được quản lý qua quy trình ngân sách riêng nên không đưa vào charter. "Mission statement" là nội dung đúng của charter vì nêu sứ mệnh và phạm vi hoạt động của đội. "Organizational structure" cũng thuộc charter vì xác định đội trực thuộc ai và gồm những vị trí nào. "Roles and responsibilities" cũng thuộc charter vì phân định quyền hạn và trách nhiệm của từng thành viên khi xử lý sự cố. Ba mục này đều nên có trong charter nên không được chọn.

Đáp án đúng: "Surplus of funding". Câu hỏi phủ định nên cần tìm yếu tố KHÔNG phải thách thức tổ chức khi triển khai chính sách an toàn thông tin. Dư thừa ngân sách là điều kiện thuận lợi, giúp mua công cụ, đào tạo, thuê nhân sự; thực tế thách thức thường là thiếu ngân sách. Ba yếu tố sau đây đều là thách thức thật nên không được chọn. "Accountability" (trách nhiệm giải trình) là thách thức vì phải xác định rõ ai chịu trách nhiệm thực thi và ai chịu hậu quả khi vi phạm, việc này dễ gây đùn đẩy giữa các phòng ban. "Lack of priority" (thiếu ưu tiên) là thách thức vì khi lãnh đạo và nhân viên coi an ninh là việc phụ, chính sách bị gác lại. "Tight schedules" (lịch trình gấp) là thách thức vì áp lực tiến độ dự án khiến người ta bỏ qua bước kiểm soát để kịp hạn.

Đáp án đúng: "Commanders". Khi triển khai chính sách an toàn thông tin, người ta phân loại tính cách nhân sự để chọn cách thuyết phục phù hợp, gồm commanders, analyticals, pleasers và attackers. Commanders (người chỉ huy) là người hướng tới kết quả, quyết đoán, thích kiểm soát và thường phá vỡ được những rào cản trước đây ngăn cản thành công, nên họ hợp với vai trò dẫn dắt thay đổi. "Attackers" là kiểu người hay phản đối, chỉ trích và có thái độ tiêu cực với thay đổi, nên họ thường tạo ra rào cản chứ không phá rào cản. "Analyticals" là người thận trọng, cần dữ liệu và chi tiết trước khi quyết định, họ mạnh ở phân tích nhưng không nổi bật ở việc đột phá. "Pleasers" là người muốn làm hài lòng mọi người, tránh xung đột, nên ít khi chủ động đối đầu với trở ngại.

Đáp án đúng: "By using an incident severity rating". Incident severity rating (thang xếp hạng mức độ nghiêm trọng của sự cố) là tiêu chí định sẵn trong chính sách ứng phó sự cố, dựa trên phạm vi ảnh hưởng, loại dữ liệu liên quan, số người dùng bị ảnh hưởng và tác động tới hoạt động kinh doanh, giúp phân loại sự cố lớn hay nhỏ một cách nhất quán để quyết định mức leo thang và nguồn lực cần huy động. Phương án "By checking the system logs" chỉ là nguồn chứng cứ giúp phát hiện và điều tra; nhật ký không tự cho biết sự cố nghiêm trọng tới đâu. Phương án "By interviewing affected users" thu thập thông tin chủ quan, hữu ích khi điều tra nhưng không phải chuẩn phân loại. Phương án "By reviewing incident reports" diễn ra sau khi sự cố đã được xử lý và ghi lại, trong khi việc xác định lớn hay nhỏ phải làm ngay từ đầu để chọn cách ứng phó.

Đáp án đúng: "False". Phát biểu sai vì một bộ chính sách an ninh tốt được thiết kế theo khung (framework) có cấu trúc và ánh xạ được tới nhiều quy định cùng lúc. Khi có quy định mới, tổ chức nên đối chiếu yêu cầu mới với chính sách, tiêu chuẩn và kiểm soát đang có, rồi chỉ sửa hoặc bổ sung phần còn thiếu. Viết chính sách mới mỗi lần có luật mới sẽ tạo ra nhiều tài liệu chồng chéo, mâu thuẫn, khó bảo trì và khó đào tạo nhân viên; ví dụ yêu cầu mã hoá dữ liệu của HIPAA và của GLBA có thể cùng được đáp ứng bởi một tiêu chuẩn mã hoá chung. "True" không được chọn vì nó coi mỗi quy định là một bài toán riêng, trái với cách tiếp cận dùng lại khung chính sách và kiểm soát sẵn có để giảm chi phí và giữ tính nhất quán.

Đáp án đúng: "Policies, standards, and procedures". Khung chính sách gồm policy nêu ý định và yêu cầu ở mức quản lý, standard đặt yêu cầu bắt buộc đo được, procedure hướng dẫn từng bước thực hiện; ba lớp này được lãnh đạo phê duyệt và gắn với mục tiêu kinh doanh, nên là nền thống nhất để quản lý mọi hoạt động an toàn thông tin. "Technical solutions alone" sai vì công nghệ thiếu chính sách dẫn dắt sẽ rời rạc, không xác định được ai chịu trách nhiệm hay cần bảo vệ tới mức nào. "Employee intuition and judgment" sai vì phán đoán cá nhân không nhất quán giữa người này với người khác và không kiểm toán được. "External regulatory requirements" là nguồn đầu vào quan trọng khi soạn chính sách, nhưng luật chỉ nêu yêu cầu tối thiểu; tổ chức phải chuyển chúng thành chính sách, tiêu chuẩn và thủ tục nội bộ mới quản lý được hoạt động hằng ngày.

Đáp án đúng: "Company officers". Khi xảy ra vi phạm an ninh nghiêm trọng, cơ quan quản lý và công chúng quy trách nhiệm cuối cùng cho company officers (cán bộ điều hành cấp cao như CEO, CFO cùng hội đồng quản trị), vì họ có nghĩa vụ ủy thác bảo vệ tài sản và dữ liệu của tổ chức; luật như SOX còn buộc lãnh đạo cấp cao ký xác nhận về hệ thống kiểm soát nội bộ. "The CIO" chịu trách nhiệm vận hành CNTT nhưng vẫn báo cáo lên ban lãnh đạo, không phải người gánh trách nhiệm sau cùng. "The ISO" (Information Security Officer, cán bộ an toàn thông tin) xây dựng và giám sát chương trình an ninh, nhưng thẩm quyền và trách nhiệm pháp lý cuối cùng thuộc về lãnh đạo công ty. "The data owner" chịu trách nhiệm phân loại và phê duyệt quyền truy cập cho một tập dữ liệu cụ thể, phạm vi hẹp hơn nhiều.

Đáp án đúng: "Employees prioritize job preservation". Khi kinh tế suy thoái, nhân viên lo bị cắt giảm nên tập trung giữ việc làm, hoàn thành chỉ tiêu cốt lõi; chính sách an ninh mới đòi thêm đào tạo, thủ tục, thay đổi thói quen nên dễ bị coi là gánh nặng làm chậm công việc, thậm chí bị xem là dấu hiệu tổ chức đang giám sát để tìm cớ sa thải. "Companies are focused on hiring" ngược với bối cảnh suy thoái, khi doanh nghiệp thường đóng băng tuyển dụng. "Employees may feel over-rewarded" không khớp hoàn cảnh: thời kỳ khó khăn thường đi kèm cắt thưởng, giảm phúc lợi chứ không phải cảm giác được thưởng quá mức. "Executives delegate all policy tasks to HR" không giải thích vì sao chính sách bị cảm nhận là gánh nặng, và giao toàn bộ cho nhân sự cũng không phải cách quản trị chính sách an ninh đúng.

Đáp án đúng gồm ba ý: "Users accessing the Internet", "Managing software licenses" và "Managing intellectual property". Acceptable use policy (AUP, chính sách sử dụng chấp nhận được) quy định người dùng được và không được làm gì với tài sản công nghệ của tổ chức, thuộc miền User Domain. Vì thế nó điều chỉnh cách nhân viên truy cập Internet (không vào trang độc hại, không dùng cho việc riêng quá mức), cấm cài phần mềm không có bản quyền để giữ đúng giấy phép, và cấm sao chép, phát tán tài sản trí tuệ của công ty hay của bên thứ ba. "Server-to-server communication" là giao tiếp giữa các hệ thống, do tiêu chuẩn kỹ thuật của miền hạ tầng và đội vận hành quản lý, không phải hành vi của người dùng. "Encryption when transmitting files" thuộc tiêu chuẩn mã hóa hoặc chính sách xử lý dữ liệu, quy định kỹ thuật bảo vệ dữ liệu khi truyền, chứ không phải nội dung chính của AUP.

Đáp án đúng: "Protecting information from unauthorized access, use, disclosure, disruption, modification, or destruction". Đây là định nghĩa kinh điển của information systems security (an toàn hệ thống thông tin), bao trùm cả ba mục tiêu của bộ ba CIA: confidentiality (tính bí mật) chống truy cập và tiết lộ trái phép, integrity (tính toàn vẹn) chống sửa đổi và phá hủy, availability (tính sẵn sàng) chống gián đoạn. Định nghĩa này nói về mục tiêu bảo vệ thông tin, không gắn với một công nghệ cụ thể nào. Phương án "Managing physical security within an organization" chỉ là một mảng nhỏ là an ninh vật lý, không bao quát toàn bộ an toàn thông tin. Phương án "Applying software patches to prevent cyberattacks" là một biện pháp kỹ thuật cụ thể, không phải định nghĩa. Phương án "Implementing encryption on all devices" cũng chỉ là một biện pháp, chủ yếu phục vụ tính bí mật và không giải quyết tính sẵn sàng.

Đáp án đúng: "As soon as an incident is declared". IRT (incident response team, nhóm ứng phó sự cố) phải ghi chép mọi sự kiện, hành động và bằng chứng ngay từ khi sự cố được tuyên bố, vì nhật ký đầy đủ từ đầu giúp tái dựng diễn biến, giữ chuỗi lưu giữ bằng chứng (chain of custody) và phục vụ bài học kinh nghiệm sau này. "Only after executive approval" sai vì chờ lãnh đạo phê duyệt mới ghi sẽ làm mất thông tin ở giai đoạn đầu, vốn quan trọng nhất; lãnh đạo được báo cáo nhưng không phải điều kiện để bắt đầu ghi chép. "Once containment is complete" sai vì các bước ngăn chặn (containment) chính là hành động cần được ghi lại, bỏ qua chúng thì không đánh giá được phản ứng có đúng không. "After forensic analysis is finalized" sai vì điều tra số cần dựa vào ghi chép từ trước; đợi phân tích xong mới ghi thì bằng chứng khó được chấp nhận.

Đáp án đúng: "6". Chính sách thiết bị di động (mobile device policy) thường đặt yêu cầu mật khẩu hay mã PIN mở khoá tối thiểu 6 chữ số, vì mã 6 chữ số có một triệu tổ hợp, gấp một trăm lần mã 4 chữ số, đủ làm việc đoán thử thủ công trở nên không khả thi khi kết hợp với khoá máy hoặc xoá dữ liệu sau nhiều lần nhập sai. Thuật ngữ PTC (pass through certificate) trong câu hỏi không xác minh được qua nguồn chuẩn nào, nên cần hiểu câu hỏi theo nghĩa độ dài mật khẩu tối thiểu trong chính sách thiết bị di động, và 6 chữ số là mức tối thiểu thường gặp. "5" thấp hơn ngưỡng thường gặp và cho số tổ hợp ít hơn mười lần so với mã 6 chữ số. "7" là độ dài hiếm khi được dùng làm chuẩn cho mã PIN di động, chỉ là mức tổ chức có thể tự đặt cao hơn. "8" cho độ an toàn cao hơn nên một số tổ chức vẫn yêu cầu, nhưng đó là mức nâng cao do chính sách riêng đặt ra, không phải yêu cầu tối thiểu được hỏi.

Đáp án đúng: "Availability of the data". Trong bộ ba CIA, availability (tính sẵn sàng) là bảo đảm người được phép truy cập được dữ liệu đúng lúc cần. John cần bản trình bày nằm trên máy để bàn ở văn phòng chính trong khi anh đang ở địa điểm khác, nên vấn đề là dữ liệu không sẵn có cho anh; lưu trên kho dùng chung hoặc cho phép truy cập từ xa an toàn sẽ giải quyết được. "Unauthorized access to the system" sai vì không có ai truy cập trái phép. "Integrity of the data" sai vì tính toàn vẹn nói về dữ liệu bị sửa trái phép hoặc sai lệch ngoài ý muốn, còn ở đây tệp chỉ chưa được cập nhật và trở ngại trước mắt là John không với tới nó. "Nonrepudiation of the data" sai vì chống chối bỏ liên quan tới việc chứng minh ai đã thực hiện một giao dịch. "Unauthorized use of the system" sai vì John là người dùng hợp lệ, dùng hệ thống đúng mục đích công việc.