Câu hỏi: IAP301 Phát triển chính sách an toàn thông tin – Bộ ôn tập cuối kỳ số 2

Đáp án đúng: "Approximately 60 hours/year". Chính sách cần được rà soát định kỳ để còn phù hợp với rủi ro và luật hiện hành; khối lượng công việc tính theo số lần rà soát trong năm. Bước một: chu kỳ 180 ngày nên một năm 365 ngày có khoảng 365 chia 180, xấp xỉ 2 lần rà soát. Bước hai: mỗi lần rà soát 25 chính sách, mỗi chính sách 1,2 giờ, tức 25 nhân 1,2 bằng 30 giờ. Bước ba: 30 giờ nhân 2 lần bằng 60 giờ mỗi năm. "Approximately 80 hours/year" sai vì ứng với khoảng 2,7 lần mỗi năm, tức chu kỳ chừng 137 ngày. "Approximately 100 hours/year" sai vì ứng với khoảng 3,3 lần, chu kỳ chừng 110 ngày. "Approximately 120 hours/year" sai vì ứng với 4 lần, tức rà soát mỗi quý 90 ngày, gấp đôi tần suất đã cho.

Đáp án đúng: "False". Risk acceptance (chấp nhận rủi ro) là quyết định có ý thức giữ lại rủi ro vì chi phí xử lý lớn hơn thiệt hại dự kiến, nhưng rủi ro vẫn tồn tại. Tổ chức phải ghi nhận quyết định, có người chịu trách nhiệm phê duyệt, theo dõi rủi ro trong sổ đăng ký rủi ro và đánh giá lại định kỳ, vì mối đe doạ, lỗ hổng hay giá trị tài sản có thể thay đổi khiến rủi ro vượt mức chấp nhận được. Vì vậy phát biểu cho rằng có thể bỏ qua rủi ro sau khi chấp nhận là sai, và "True" không được chọn: bỏ qua rủi ro tức là không còn quản lý nó, trái với bản chất của quản trị rủi ro.

Đáp án đúng: "None of other choices". Tài khoản và mật khẩu là thông tin xác thực gắn với một cá nhân; nguyên tắc accountability (trách nhiệm giải trình) đòi hỏi mọi hành động trên hệ thống truy được về đúng người, nên chính sách mật khẩu và chính sách sử dụng chấp nhận được đều cấm chia sẻ thông tin đăng nhập với bất kỳ ai. Người cần truy cập phải được cấp tài khoản riêng theo quy trình. "Other companies' personnel" sai vì người ngoài tổ chức càng không được dùng thông tin xác thực nội bộ. "Business Partners" sai vì đối tác nếu cần truy cập phải được cấp tài khoản riêng theo hợp đồng và phê duyệt, không dùng chung tài khoản nhân viên. "Family" sai vì người thân không có quyền hợp lệ nào với hệ thống công ty, chia sẻ cho họ vẫn là vi phạm.

Đáp án đúng: "Difficult to follow and enforce". Chính sách không thành văn (unwritten policy) chỉ tồn tại qua lời nói, thói quen hay sự hiểu ngầm, nên mỗi người hiểu một kiểu, nhân viên mới không biết để làm theo, và khi có vi phạm thì tổ chức khó chứng minh người đó đã được yêu cầu, do đó khó thực thi kỷ luật. Đây là lý do chính sách an toàn thông tin phải được ghi thành văn bản và phê duyệt. "Published in a formal document" là đặc điểm của chính sách thành văn, trái ngược với chính sách không thành văn. "Documented in a memo" cũng là một dạng ghi chép bằng văn bản, nên không còn là không thành văn. "Encompasses broad statements of intent" là đặc điểm của chính sách viết ra ở mức cao, nêu ý định chung của ban lãnh đạo, chứ không phải nét riêng của chính sách không thành văn.

Đáp án đúng: "Background checks and access rights reviews". Manual control (kiểm soát thủ công) là kiểm soát do con người thực hiện và phán đoán, không do hệ thống tự động làm. Background checks (thẩm tra lý lịch) do bộ phận nhân sự tiến hành trước khi tuyển dụng, còn access rights reviews (rà soát quyền truy cập) là việc người quản lý định kỳ xem từng người có còn cần quyền đang có hay không; cả hai đều là kiểm soát thủ công nên phương án gộp đủ cả hai là đầy đủ nhất. Phương án "Background checks" đúng nhưng chưa đủ vì bỏ sót rà soát quyền. Phương án "Access rights reviews" cũng đúng nhưng chưa đủ vì bỏ sót thẩm tra lý lịch. Phương án "Authentication" sai vì xác thực là kiểm soát tự động do hệ thống thực hiện mỗi lần đăng nhập. Phương án "Background checks and authentication" sai vì gộp một kiểm soát thủ công với một kiểm soát tự động.

Đáp án đúng: "True". Phát biểu đúng vì chính sách an ninh nêu điều tổ chức muốn đạt và phản ánh yêu cầu kinh doanh, còn security controls (biện pháp kiểm soát an ninh) là phương tiện để biến chính sách đó thành thực tế và cưỡng chế nó. Ví dụ chính sách nói chỉ nhân viên có nhu cầu mới được xem dữ liệu khách hàng thì kiểm soát tương ứng là phân quyền truy cập theo vai trò, ghi nhật ký và rà soát quyền định kỳ. Kiểm soát có thể là kỹ thuật như tường lửa, mã hoá, hành chính như quy trình duyệt quyền, hoặc vật lý như khoá cửa phòng máy chủ. Chính vì chính sách bám theo nhu cầu kinh doanh nên kiểm soát cũng gián tiếp phục vụ nhu cầu đó. "False" không được chọn vì nó phủ nhận mối quan hệ chính sách đặt ra yêu cầu còn kiểm soát thực thi yêu cầu, vốn là nền tảng của khung chính sách an ninh.

Đáp án đúng gồm hai ý: "Authentication" và "Nonrepudiation". Information systems security (ISS, an ninh hệ thống thông tin) xoay quanh bộ ba CIA gồm bí mật, toàn vẹn và sẵn sàng. Information assurance (IA, bảo đảm thông tin) mở rộng bộ ba đó bằng authentication (xác thực, bảo đảm danh tính của người dùng hay hệ thống là thật) và nonrepudiation (chống chối bỏ, bảo đảm bên đã thực hiện giao dịch không thể phủ nhận, thường nhờ chữ ký số). Vì vậy hai tenet này đúng với IA nhưng không thuộc tập tenet cốt lõi của ISS. "Confidentiality" bảo đảm chỉ người được phép mới xem được dữ liệu, là tenet chung của cả IA lẫn ISS nên không thỏa điều kiện chỉ thuộc IA. "Integrity" bảo đảm dữ liệu không bị sửa trái phép, cũng là tenet chung của cả hai nên không được chọn.

Đáp án đúng: "To lead by example and enhance policy credibility". Khi lãnh đạo tuân thủ đúng những chính sách áp dụng cho nhân viên, họ làm gương và chứng minh chính sách là nghiêm túc, từ đó tăng uy tín của chính sách và văn hoá an ninh; ngược lại, nếu lãnh đạo được miễn trừ, nhân viên sẽ coi chính sách là hình thức. "To maintain hierarchical control" sai vì mục đích không phải củng cố thứ bậc mà là tạo sự công bằng và tin tưởng. "To avoid legal entanglements" có thể là lợi ích phụ của việc tuân thủ nhưng không phải lý do chính khiến lãnh đạo cần làm theo chính sách. "To devalue the importance of the policies" sai hoàn toàn vì tác động thực tế là ngược lại.

Đáp án đúng: "All of the above". Chính sách lưu giữ dữ liệu (data retention policy) xác định dữ liệu nào phải giữ, giữ bao lâu và khi nào hủy, dựa trên ba nhóm lý do chính, nên phương án gộp là đầy đủ nhất. "Legal obligation" đúng vì luật và quy định như SOX, HIPAA buộc giữ hồ sơ tài chính, y tế trong thời hạn nhất định để phục vụ kiểm toán, điều tra hay tố tụng. "Needs of the business" đúng vì tổ chức cần dữ liệu lịch sử để vận hành, phân tích, chăm sóc khách hàng. "For recovery" đúng vì bản sao lưu được giữ để khôi phục hệ thống và dữ liệu sau sự cố hay thảm họa. Chọn riêng một trong ba sẽ bỏ sót hai lý do còn lại, nên chỉ phương án tổng hợp là trọn vẹn.

Đáp án đúng: "All of the above". Gắn yêu cầu pháp lý với chính sách và kiểm soát nghĩa là lập bảng ánh xạ từ từng điều khoản luật, ví dụ của SOX hay HIPAA, tới chính sách và kiểm soát cụ thể thực hiện nó. Việc này mang lại cả ba lợi ích được nêu. "To demonstrate compliance to regulators" đúng vì khi thanh tra hỏi, tổ chức chỉ ra được kiểm soát nào đáp ứng điều khoản nào. "To ensure regulatory requirements are covered" đúng vì ánh xạ giúp phát hiện điều khoản chưa có kiểm soát nào đáp ứng, tránh bỏ sót. "To demonstrate the importance of a security control" cũng đúng vì một kiểm soát gắn với yêu cầu luật cho thấy nó bắt buộc, giúp thuyết phục ban lãnh đạo cấp ngân sách và tránh bị cắt bỏ. Mỗi ý chỉ là một mặt, nên đáp án gộp mới đầy đủ.

Đáp án đúng: "Higher costs and complexity". Defense in depth (phòng thủ nhiều lớp) đặt nhiều lớp kiểm soát chồng lên nhau để khi một lớp thất bại vẫn còn lớp khác bảo vệ, nhưng cái giá là chi phí mua sắm, bản quyền và nhân sự vận hành tăng lên, hệ thống phức tạp hơn, khó cấu hình, khó xử lý sự cố và có thể gây phiền cho người dùng. Phương án "Increased risk exposure" sai vì nhiều lớp kiểm soát làm giảm chứ không làm tăng mức phơi nhiễm rủi ro. Phương án "Increased employee productivity" sai vì đây không phải nhược điểm, và thực tế nhiều lớp kiểm soát thường làm năng suất giảm đôi chút do thêm bước xác thực, kiểm tra. Phương án "Reduced overall security" sai vì mục đích và kết quả thông thường của nhiều lớp là tăng an ninh tổng thể; chỉ khi cấu hình sai vì quá phức tạp mới sinh lỗ hổng, và đó chính là hệ quả của độ phức tạp đã nêu.

Đáp án đúng: "Recovery". Trong quy trình ứng phó sự cố, sau khi mối đe doạ đã được ngăn chặn (containment) và loại bỏ, tổ chức chuyển sang giai đoạn recovery (khôi phục): đưa hệ thống trở lại hoạt động bình thường, khôi phục dữ liệu từ bản sao lưu, kiểm tra hệ thống sạch rồi theo dõi để chắc sự cố không tái diễn. "Reporting" là việc báo cáo sự cố cho lãnh đạo, cơ quan quản lý hay bên liên quan; nó diễn ra xuyên suốt và khi kết thúc chứ không phải giai đoạn bắt đầu ngay sau ngăn chặn. "Monitoring" là giám sát để phát hiện dấu hiệu bất thường, thuộc về phía phát hiện trước khi có sự cố, dù sau khôi phục cũng có theo dõi thêm. "Escalation" là chuyển sự cố lên cấp xử lý cao hơn khi mức độ nghiêm trọng vượt thẩm quyền, xảy ra ở giai đoạn đánh giá và ứng phó, trước khi mối đe doạ được kiểm soát.

Đáp án đúng: "Sell information". Data classification (phân loại dữ liệu) gắn mỗi loại dữ liệu với một mức nhạy cảm để tổ chức biết phải đối xử với nó thế nào; câu hỏi dạng phủ định nên đáp án là thứ không phải nhu cầu phân loại. Bán thông tin là hoạt động kinh doanh của một số ít công ty, không phải lý do chung khiến các tổ chức phân loại dữ liệu. "Protect information" là nhu cầu chính: biết dữ liệu nào bí mật để áp mã hóa và kiểm soát truy cập tương xứng, không tốn tiền bảo vệ quá mức dữ liệu công khai. "Retain information" cũng là nhu cầu thật, vì luật và hợp đồng quy định thời hạn lưu giữ khác nhau cho từng loại hồ sơ. "Recover information" đúng vì phân loại giúp xác định dữ liệu nào phải khôi phục trước trong kế hoạch liên tục kinh doanh và khôi phục sau thảm họa.

Đáp án đúng: "Defines an approach to reduce risk". GRC (governance, risk and compliance, quản trị, rủi ro và tuân thủ) và ERM (enterprise risk management, quản trị rủi ro doanh nghiệp) đều là cách tiếp cận có hệ thống nhằm nhận diện và giảm rủi ro cho tổ chức; đó là điểm chung của hai mô hình. "Applies rigid framework to eliminate redundant controls, policies, and efforts" là đặc điểm của GRC, vốn dùng khung cố định để hợp nhất kiểm soát và tuân thủ, trong khi ERM linh hoạt theo mục tiêu kinh doanh. "Passively enforces security policy" không đúng với cả hai, vì GRC chủ động thực thi chính sách. "Seeks line of sight into root causes of risks" là đặc trưng của ERM, chú trọng tìm nguyên nhân gốc của rủi ro trên toàn doanh nghiệp.

Đáp án đúng: "Clean desk policy". Clean desk policy (chính sách bàn làm việc sạch) yêu cầu nhân viên cất giữ, khóa tài liệu giấy và phương tiện số như USB, ổ cứng rời khi kết thúc ngày làm việc hoặc khi rời chỗ, đồng thời khóa màn hình máy tính, để người khác không nhìn trộm hay lấy đi thông tin nhạy cảm. "Acceptable use policy" quy định cách sử dụng hợp lệ tài nguyên CNTT như Internet, email, thiết bị, không tập trung vào việc cất giữ tài liệu cuối ngày. "Privacy policy" mô tả cách tổ chức thu thập, sử dụng và bảo vệ thông tin cá nhân, chủ yếu hướng tới khách hàng. "Walk out policy" không phải loại chính sách chuẩn về bảo vệ tài liệu tại chỗ làm việc.

Đáp án đúng: "Using anti-malware software on all devices". Malicious Code Protection standard (tiêu chuẩn chống mã độc) là tiêu chuẩn kiểm soát yêu cầu mọi thiết bị như máy trạm, máy chủ, thiết bị di động đều cài phần mềm chống mã độc, cập nhật mẫu nhận diện thường xuyên và quét định kỳ, để phát hiện và ngăn virus, trojan, ransomware. "Disabling all software installations" là cực đoan, làm tê liệt công việc; tiêu chuẩn chỉ hạn chế cài phần mềm không được phê duyệt chứ không cấm hết. "Sharing malware definitions with users" không phải yêu cầu của tiêu chuẩn, vì mẫu nhận diện được phần mềm tự cập nhật, người dùng không cần nhận hay xử lý chúng. "Blocking all network traffic" sẽ chặn luôn hoạt động kinh doanh; tường lửa chỉ lọc lưu lượng không được phép, và đó là tiêu chuẩn khác.

Đáp án đúng gồm hai ý: "Employees with VPN privileges must not share their VPN credentials to the organization's internal networks with unauthorized users" và "VPN use must be controlled using one-time password authentication.". Control statement (tuyên bố kiểm soát) trong Remote Access Domain (miền truy cập từ xa) là câu quy định ngắn, rõ ràng, kiểm chứng được về cách người dùng từ xa kết nối vào mạng nội bộ. Cấm chia sẻ thông tin đăng nhập VPN bảo đảm accountability (trách nhiệm giải trình cá nhân), còn one-time password (mật khẩu dùng một lần) là xác thực mạnh, mỗi mã chỉ dùng được một lần nên bị đánh cắp cũng khó tái sử dụng. Phương án "VPN users will be automatically disconnected from the the organization's network after 30 minutes of activity." sai vì ngắt kết nối khi người dùng đang làm việc chỉ gây gián đoạn mà không tăng an ninh; kiểm soát hợp lý là ngắt phiên sau một khoảng không hoạt động (inactivity timeout). Phương án "VPN use must be controlled using static password authentication." sai vì mật khẩu tĩnh dùng lại nhiều lần, dễ bị đoán, đánh cắp hay phát lại, không đủ mạnh cho kết nối từ xa vào mạng nội bộ.

Đáp án đúng: "All of the above". Công cụ điều tra số (forensic tool) giúp nhóm ứng phó sự cố thu thập và bảo toàn bằng chứng số theo cách đáng tin cậy, nên cả ba giá trị đều đúng. "Gathers evidence" đúng vì công cụ trích xuất nhật ký, tệp đã xoá, lịch sử truy cập và dấu vết khác từ hệ thống. "Helps evidence to be accepted by the court" đúng vì công cụ được thừa nhận rộng rãi tạo ra quy trình lặp lại được, có giá trị băm để chứng minh bằng chứng không bị thay đổi, hỗ trợ chuỗi lưu giữ bằng chứng (chain of custody). "Can take a bit image of a machine" đúng vì công cụ có thể tạo bản sao từng bit (bit-stream image) của ổ đĩa, để phân tích trên bản sao mà không đụng vào bản gốc. Mỗi ý chỉ là một mặt giá trị nên phương án gộp mới là câu trả lời đầy đủ.

Đáp án đúng: "To define the scope and meaning of terms used". Phần dictionary hay definitions (từ điển thuật ngữ) trong tài liệu chính sách giải thích chính xác ý nghĩa và phạm vi các từ được dùng, chẳng hạn thế nào là dữ liệu nhạy cảm hay ai được coi là người dùng, để mọi người đọc chính sách hiểu giống nhau và khi kiểm toán hay xử lý vi phạm không có tranh cãi về cách hiểu. "To provide translations" sai vì phần này không chuyển ngữ, nó cố định nghĩa của thuật ngữ trong cùng một ngôn ngữ. "To list employees" sai vì chính sách nêu vai trò và trách nhiệm theo chức danh, không liệt kê danh sách nhân sự, vốn thay đổi thường xuyên. "To outline budgets" sai vì ngân sách thuộc kế hoạch triển khai và quản lý dự án, không thuộc phần định nghĩa thuật ngữ của tài liệu chính sách.

Đáp án đúng: "Procedure". Procedure (thủ tục) là tài liệu mô tả các bước hành động cụ thể, tuần tự để thực hiện và tuân thủ một standard, ví dụ các bước cấu hình mật khẩu trên máy chủ để đạt tiêu chuẩn mật khẩu của công ty. "Policy" (chính sách) là tuyên bố cấp cao về điều tổ chức muốn đạt được, không chỉ ra thao tác. "Guideline" (hướng dẫn) là lời khuyên không bắt buộc, giúp làm tốt hơn khi có thể chứ không quy định hành động bắt buộc. "Standard" (tiêu chuẩn) đặt ra yêu cầu kỹ thuật bắt buộc như độ dài mật khẩu tối thiểu, nhưng nói phải đạt cái gì chứ không mô tả cách làm từng bước.