Câu hỏi: IAP301 Phát triển chính sách an toàn thông tin – Bộ ôn tập cuối kỳ số 1

Đáp án đúng: "Corrective". Corrective control (kiểm soát khắc phục) là biện pháp áp dụng sau khi sự cố đã xảy ra nhằm sửa nguyên nhân và đưa hệ thống về trạng thái bình thường. Ở đây vấn đề đã xuất hiện và nguyên nhân đã được xác định là hệ thống EHR thiếu năng lực xử lý, nên việc cần làm là khắc phục, ví dụ nâng cấp tài nguyên máy chủ hoặc mở rộng hạ tầng. "Preventative" là kiểm soát ngăn ngừa, đặt ra từ trước để sự cố không xảy ra, như lập kế hoạch năng lực trước khi triển khai, nay đã muộn. "Correlative" không phải một loại kiểm soát chuẩn; tương quan chỉ là kỹ thuật phân tích sự kiện. "Detective" là kiểm soát phát hiện như giám sát hiệu năng, mà bước phát hiện đã hoàn tất nên nó không giải quyết được tình trạng chậm.

Đáp án đúng gồm bốn ý: "Principles", "Guidelines", "Procedures" và "Standards". Security policy framework (khung chính sách an ninh) là bộ tài liệu phân tầng: principles (nguyên tắc) và policy nêu ý định, mục tiêu cấp cao của tổ chức; standards (tiêu chuẩn) quy định yêu cầu bắt buộc, đo được, ví dụ độ dài mật khẩu tối thiểu; procedures (thủ tục) hướng dẫn từng bước thực hiện; guidelines (hướng dẫn) đưa khuyến nghị không bắt buộc giúp áp dụng linh hoạt. Bốn loại này cùng tạo nên khung tài liệu mà mọi người trong tổ chức tham chiếu. "Firewalls" (tường lửa) là một kiểm soát kỹ thuật, tức thiết bị hoặc phần mềm lọc lưu lượng mạng; nó có thể được một tiêu chuẩn trong khung quy định cách cấu hình, nhưng bản thân nó không phải một loại tài liệu của khung chính sách.

Đáp án đúng: "Risk and Control Self-Assessment". RCSA (tự đánh giá rủi ro và kiểm soát) là phương pháp trong đó chính các đơn vị kinh doanh tự nhận diện rủi ro trong quy trình của mình, đánh giá các kiểm soát hiện có có hiệu quả không, rồi đề xuất cải thiện; ví dụ phòng kế toán tự rà soát rủi ro sai lệch thanh toán và mức hiệu quả của bước phê duyệt hai cấp. Chữ S trong RCSA là Self, nhấn mạnh việc tự đánh giá thay vì để kiểm toán bên ngoài làm. "Risk and Control Security Assessment" sai vì thay Self bằng Security, làm mất ý tự đánh giá của đơn vị. "Risk Control Security Assurance" sai ở cả hai chữ cuối, assurance là bảo đảm chứ không phải đánh giá. "Risk and Classification Security Assessment" sai vì đổi Control thành Classification, tức phân loại dữ liệu, không liên quan tới đánh giá kiểm soát.

Đáp án đúng: "Remote browser access". Remote browser access, còn gọi là remote browser isolation (cô lập trình duyệt từ xa), cho người dùng duyệt web qua một trình duyệt chạy trên máy chủ hoặc vùng cách ly bên ngoài; máy người dùng chỉ nhận luồng hiển thị đã được làm sạch, nên mã độc, script hay khai thác lỗ hổng trình duyệt không chạm được tới máy trạm và mạng nội bộ. Vì vậy đây là công nghệ chặn tấn công qua trình duyệt từ gốc. Phương án "Anti-malware in browsers" chủ yếu phát hiện mã độc đã biết, mã vẫn chạy trên máy người dùng nên không ngăn được khai thác mới. Phương án "Adware remover in browsers" chỉ gỡ phần mềm quảng cáo sau khi nó đã cài vào, không chống tấn công. Phương án "Incognito mode in a browser" chỉ không lưu lịch sử và cookie sau phiên, hoàn toàn không bảo vệ khỏi mã độc hay trang web độc hại.

Đáp án đúng: "HIPAA". Security Rule của HIPAA (luật về bảo mật thông tin y tế ở Mỹ) nêu rõ trong nhóm biện pháp hành chính rằng tổ chức phải có chương trình nhận thức và đào tạo an ninh (security awareness and training program) cho toàn bộ nhân sự, gồm nhắc nhở định kỳ, cảnh giác phần mềm độc hại, giám sát đăng nhập và quản lý mật khẩu. "Sarbanes-Oxley Act" (SOX) yêu cầu kiểm soát nội bộ đối với báo cáo tài chính của công ty niêm yết và trách nhiệm của ban điều hành, không có điều khoản đích danh buộc lập chương trình nhận thức an ninh. "Gramm-Leach-Bliley Act" (GLBA) tập trung vào thông báo quyền riêng tư và bảo vệ thông tin tài chính của khách hàng; đào tạo nhân viên có thể là một phần của chương trình bảo vệ nhưng luật không nêu chương trình nhận thức như một yêu cầu riêng như HIPAA. "All of the above" sai vì SOX chắc chắn không chứa yêu cầu này.

Đáp án đúng: "Random audits". Trong mô hình CNTT phi tập trung, các phòng ban tự vận hành phần lớn hệ thống còn bộ phận IT trung tâm giữ dịch vụ lõi và an ninh. Muốn xác minh (verify) từng nơi có tuân thủ yêu cầu an ninh chính hay không thì cần một kiểm soát phát hiện độc lập: kiểm toán ngẫu nhiên đối chiếu thực tế với yêu cầu, và vì không báo trước nên phản ánh đúng trạng thái thường ngày. "Group Policy" là công cụ của Active Directory để áp đặt cấu hình, tức kiểm soát phòng ngừa chứ không kiểm chứng, và các phòng ban phi tập trung có thể không cùng miền quản lý. "Centralized change management policies" quy định cách phê duyệt thay đổi, đi ngược mô hình phi tập trung và không tự cho biết ai đang tuân thủ. "Centralized configuration management policies" đặt cấu hình chuẩn nhưng cũng chỉ là áp đặt, không phải bước xác minh.

Đáp án đúng: "Guideline". Đoạn mô tả nói về một tài liệu không bắt buộc, hỗ trợ chính sách, mềm dẻo hơn procedure, chỉ ra hướng nên đi khi có thể và có thể nâng lên thành policy khi đã được áp dụng rộng rãi; đó chính là guideline (hướng dẫn). "Policy definitions document" là tài liệu định nghĩa thống nhất các thuật ngữ dùng trong bộ chính sách, không đặt ra hướng làm việc. "Procedure" (thủ tục) là các bước bắt buộc, chi tiết để thực hiện một standard, tính chất cứng nhắc trái với mô tả. "Policy" (chính sách) là tuyên bố bắt buộc của lãnh đạo về điều tổ chức phải đạt được, không phải tài liệu tùy chọn; theo chính mô tả, guideline chỉ trở thành policy sau khi được chấp nhận rộng rãi.

Đáp án đúng gồm hai ý: "Because we need to focus limited resources on protecting a smaller amount of the most important data" và "Because tt's not practical to keep data classified forever". Declassification (hạ hoặc bỏ mức phân loại) là bước trong vòng đời phân loại dữ liệu: giá trị và độ nhạy của dữ liệu giảm theo thời gian, ví dụ kế hoạch ra mắt sản phẩm sẽ thành công khai sau ngày ra mắt. Bảo vệ dữ liệu mật tốn chi phí lưu trữ, mã hóa, kiểm soát truy cập, nên hạ mức dữ liệu không còn nhạy giúp dồn nguồn lực có hạn cho phần dữ liệu quan trọng nhất, và giữ mật mãi mãi là không thực tế. "Because some data are still important" là lý do để TIẾP TỤC phân loại một số dữ liệu, ngược với mục đích hạ mức. "Because we need to keep data secured and handled" mô tả mục tiêu chung của phân loại và bảo vệ dữ liệu, không giải thích vì sao phải bỏ mức phân loại.

Đáp án đúng: "Between the private LAN and public WAN". DMZ (demilitarized zone, vùng phi quân sự) là phân đoạn mạng đặt giữa mạng nội bộ riêng và mạng công cộng bên ngoài, thường kẹp giữa hai tường lửa hoặc nằm trên một cổng riêng của tường lửa. Các máy chủ phải phục vụ người ngoài như web, email gateway hay DNS công khai được đặt ở đây, để nếu bị xâm nhập thì kẻ tấn công vẫn chưa vào được mạng nội bộ. "Inside the private LAN" sai vì đặt máy chủ công khai trong LAN là mở cửa cho người ngoài đi thẳng vào vùng tin cậy. "Within the WAN" sai vì WAN công cộng không do tổ chức kiểm soát, không thể đặt kiểm soát truy cập ở đó. "Within the mail server" sai vì DMZ là một vùng mạng, còn máy chủ thư chỉ là một hệ thống có thể được đặt trong DMZ.

Đáp án đúng: "Shared beliefs and purpose". Shared vision (tầm nhìn chung) khi triển khai chính sách an ninh nghĩa là lãnh đạo và nhân viên cùng tin rằng chính sách cần thiết và cùng hướng tới một mục đích, ví dụ coi bảo vệ dữ liệu khách hàng là trách nhiệm của mọi người chứ không riêng phòng CNTT; khi đó chính sách được ủng hộ thay vì bị coi là rào cản. Đây là yếu tố văn hóa và con người, quyết định chính sách có sống được hay không. Phương án "Technical complexity" là đặc điểm của giải pháp kỹ thuật, độ phức tạp cao thậm chí còn cản trở sự đồng thuận. Phương án "Outsourcing agreements" là hợp đồng với bên thứ ba, chỉ quy định trách nhiệm dịch vụ chứ không tạo ra niềm tin chung trong nội bộ. Phương án "System availability" là một mục tiêu an ninh (tính sẵn sàng của hệ thống), không phải yếu tố tạo nên tầm nhìn chung.