Câu hỏi: IAP301 Phát triển chính sách an toàn thông tin – Bộ ôn tập cuối kỳ số 2

Đáp án đúng: "Chief risk officer and Chief information officer". Báo cáo lên hội đồng quản trị về tình trạng an toàn thông tin là báo cáo cấp điều hành, gắn an ninh với rủi ro doanh nghiệp; vì vậy chief risk officer, viết tắt CRO (giám đốc rủi ro), người tổng hợp rủi ro toàn tổ chức, cùng chief information officer, viết tắt CIO (giám đốc công nghệ thông tin), người chịu trách nhiệm hệ thống CNTT, thường là người lập và trình bày báo cáo này. "Chief risk officer" hoặc "Chief information officer" đứng riêng chỉ nêu một nửa vai trò. "Chief information security officer" (CISO) điều hành chương trình an ninh hằng ngày và cung cấp dữ liệu cho báo cáo, nhưng ở nhiều tổ chức CISO báo cáo qua CIO hoặc CRO chứ không trực tiếp trình hội đồng. "Chief information officer and Chief information security officer" vì thế bỏ mất góc nhìn rủi ro doanh nghiệp của CRO.

Đáp án đúng: "Data traversing a network". Data in transit (dữ liệu đang truyền) là dữ liệu đang di chuyển qua mạng giữa hai điểm, ví dụ email gửi qua Internet hay tệp tải từ máy chủ về máy trạm; vì có thể bị nghe lén trên đường truyền nên chính sách xử lý dữ liệu thường yêu cầu mã hóa bằng TLS hoặc VPN. "Data backup tapes being moved to a recovery facility" là phương tiện lưu trữ được vận chuyển vật lý, dữ liệu trên băng vẫn là dữ liệu lưu trữ và được bảo vệ bằng mã hóa băng cùng kiểm soát vận chuyển, không phải dữ liệu đi qua mạng. "Data on your USB drive" là data at rest (dữ liệu lưu trữ) trên thiết bị di động. "Data being stored for later transmission" đang nằm trên ổ đĩa chờ gửi, nên vẫn là dữ liệu lưu trữ cho tới khi thực sự được truyền đi.

Đáp án đúng: "Manual log review when automated monitoring is not available". Compensating control (kiểm soát bù trừ) là biện pháp thay thế được áp dụng khi kiểm soát chính theo yêu cầu không thể triển khai vì lý do kỹ thuật hay chi phí, sao cho vẫn đạt mức giảm rủi ro tương đương. Khi không có hệ thống giám sát tự động, việc giao người rà soát nhật ký thủ công định kỳ chính là bù đắp cho kiểm soát còn thiếu. Phương án "Firewall installation" là kiểm soát kỹ thuật phòng ngừa thông thường, không phải biện pháp thay thế cho một kiểm soát khác. Phương án "Intrusion detection system" là kiểm soát phát hiện chính, không đóng vai trò bù trừ. Phương án "Multi-factor authentication" là kiểm soát phòng ngừa chính cho việc xác thực; nó chỉ được coi là bù trừ nếu dùng thay cho một kiểm soát khác không triển khai được, điều mà câu hỏi không nêu.

Đáp án đúng: "Risk avoidance". Risk avoidance (né tránh rủi ro) là loại bỏ hẳn khả năng gặp rủi ro bằng cách thôi làm hoạt động đó hoặc rời khỏi môi trường gây rủi ro. Chuyển trung tâm dữ liệu từ Florida, nơi hay có bão, sang Iowa nghĩa là tài sản không còn nằm trong vùng chịu bão nữa, nên rủi ro bão bị né đi chứ không chỉ được giảm. "Risk acceptance" là chấp nhận rủi ro, giữ trung tâm ở Florida và chịu hậu quả nếu bão đến, thường khi chi phí xử lý cao hơn tổn thất dự kiến. "Risk transference" là chuyển rủi ro tài chính cho bên khác, ví dụ mua bảo hiểm thiên tai hoặc thuê bên thứ ba vận hành, trong khi trung tâm vẫn ở chỗ cũ. "Risk mitigation" là giảm khả năng xảy ra hoặc mức tác động, như gia cố toà nhà, lắp máy phát điện dự phòng, nhưng vẫn ở lại vùng có bão.

Đáp án đúng gồm ba ý: "Promise not to share the credentials entrusted to his or her care", "Promise to report any indication of a breach or intrusion promptly" và "Acknowledgment of the risk associated with elevated access in the event the credentials are breached or abused". Privileged-level access agreement (PAA, thỏa thuận truy cập đặc quyền) là văn bản riêng cho người giữ quyền quản trị, nhằm tăng nhận thức và trách nhiệm giải trình của nhóm này. Vì tài khoản đặc quyền bị lộ có thể gây thiệt hại lớn nhất, PAA buộc người dùng cam kết không chia sẻ thông tin đăng nhập, báo cáo ngay dấu hiệu xâm nhập và thừa nhận rủi ro gắn với quyền cao. Phương án "Level of privacy an individual should expect" thuộc acceptable use policy (chính sách sử dụng chấp nhận được) áp cho mọi người dùng, thông báo rằng hoạt động trên máy và mạng của tổ chức có thể bị giám sát, không riêng gì người có quyền quản trị. "E-mail etiquette" là quy tắc ứng xử khi dùng email, thuộc chính sách email hoặc AUP chung, không liên quan tới trách nhiệm của quyền đặc quyền.

Đáp án đúng: "Surplus of funding". Câu hỏi phủ định nên cần tìm yếu tố KHÔNG phải thách thức tổ chức khi triển khai chính sách an toàn thông tin. Dư thừa ngân sách là điều kiện thuận lợi, giúp mua công cụ, đào tạo, thuê nhân sự; thực tế thách thức thường là thiếu ngân sách. Ba yếu tố sau đây đều là thách thức thật nên không được chọn. "Accountability" (trách nhiệm giải trình) là thách thức vì phải xác định rõ ai chịu trách nhiệm thực thi và ai chịu hậu quả khi vi phạm, việc này dễ gây đùn đẩy giữa các phòng ban. "Lack of priority" (thiếu ưu tiên) là thách thức vì khi lãnh đạo và nhân viên coi an ninh là việc phụ, chính sách bị gác lại. "Tight schedules" (lịch trình gấp) là thách thức vì áp lực tiến độ dự án khiến người ta bỏ qua bước kiểm soát để kịp hạn.

Đáp án đúng: "Policy definitions document". Policy definitions document (tài liệu định nghĩa chính sách) tập hợp định nghĩa thống nhất của các thuật ngữ dùng trong bộ chính sách như dữ liệu nhạy cảm, chủ sở hữu dữ liệu hay sự cố. Nó thường bị bỏ qua nhưng rất quan trọng vì kiểm toán viên và cơ quan quản lý dựa vào nó để hiểu chính sách được diễn giải ra sao và đánh giá kiểm soát có chặt chẽ không. "Guideline" là hướng dẫn tùy chọn, không phải căn cứ để đánh giá độ vững của kiểm soát. "Procedure" mô tả các bước thực hiện cụ thể và hiếm khi bị bỏ qua vì người vận hành dùng hằng ngày. "Policy" là tài liệu trung tâm mà ai cũng chú ý, nên không thể nói là thường bị bỏ qua.

Đáp án đúng: "Information security management systems (ISMS)". ISO/IEC 27001 là chuẩn quốc tế đặt yêu cầu cho việc thiết lập, triển khai, duy trì và cải tiến liên tục một ISMS (hệ thống quản lý an toàn thông tin), dựa trên đánh giá và xử lý rủi ro; tổ chức có thể được chứng nhận theo chuẩn này. "Hardware procurement" (mua sắm phần cứng) chỉ là một hoạt động vận hành, có thể chịu kiểm soát an ninh khi mua sắm nhưng không phải trọng tâm của chuẩn. "Financial reporting systems" liên quan báo cáo tài chính, lĩnh vực mà SOX và các chuẩn kế toán điều chỉnh. "Programming methodologies" là phương pháp phát triển phần mềm như Agile, Waterfall, không phải nội dung của ISO/IEC 27001.

Đáp án đúng: "Inbound traffic with a source address indicating that the packet originated on a network behind the firewall.". Gói tin đi từ ngoài vào mà mang địa chỉ nguồn thuộc mạng nội bộ phía sau tường lửa là dấu hiệu giả mạo địa chỉ (IP spoofing), vì gói tin thật của mạng nội bộ không thể đi vào từ phía bên ngoài. Kẻ tấn công dùng cách này để lách các quy tắc tin cậy địa chỉ nội bộ, nên tiêu chuẩn kiểm soát miền LAN yêu cầu tường lửa luôn chặn loại lưu lượng này. "Inbound traffic from an authenticated system with a destination address of the firewall system." không phải luôn bị chặn, vì quản trị viên từ hệ thống đã xác thực vẫn cần kết nối tới tường lửa để quản lý. "Inbound traffic containing Hypertext Transfer Protocol (HTTP) traffic." là lưu lượng web hợp lệ, được phép khi tổ chức cung cấp dịch vụ web. "Inbound traffic containing Domain Name System (DNS) traffic." cũng hợp lệ khi tổ chức vận hành máy chủ DNS hoặc nhận phản hồi tra cứu tên miền.

Đáp án đúng: "The overall way in which the organization's controls are governed and executed". Control environment (môi trường kiểm soát) là nền tảng của hệ thống kiểm soát nội bộ, thể hiện cách tổ chức quản trị và vận hành các kiểm soát nói chung: thái độ của lãnh đạo đối với kiểm soát (tone at the top), cơ cấu tổ chức, phân công trách nhiệm, chính sách và văn hóa tuân thủ. Đây là thành phần đầu tiên trong khung kiểm soát nội bộ COSO. Phương án "An inventory of the security policy controls" chỉ là danh mục các kiểm soát, một tài liệu chứ không phải toàn bộ cách kiểm soát được quản trị và thực hiện. Phương án "A well-defined framework to track control exceptions" chỉ là cơ chế theo dõi các ngoại lệ, một phần nhỏ bên trong môi trường kiểm soát. Phương án "None of the above" sai vì đã có phương án mô tả đúng định nghĩa.

Đáp án đúng: "Schedule a formal review and apply version tracking". Chính sách an ninh phải được rà soát định kỳ và khi môi trường CNTT thay đổi đáng kể, đồng thời có quản lý phiên bản (version control) ghi rõ ai sửa, sửa gì, khi nào để truy vết và chứng minh với kiểm toán. Một chính sách hai năm chưa cập nhật và không có ghi chú sửa đổi cần được đưa vào quy trình rà soát chính thức. "Leave it unchanged since no breach occurred" sai vì chưa bị xâm nhập không chứng minh chính sách còn phù hợp; đợi có sự cố mới sửa là phản ứng muộn. "Archive the policy and stop referencing it" sai vì bỏ chính sách mà không có bản thay thế để lại khoảng trống, nhân viên không còn hướng dẫn. "Add technical jargon to modernize the language" sai vì thêm thuật ngữ không cập nhật nội dung, còn làm chính sách khó hiểu hơn với người đọc không chuyên.

Đáp án đúng: "User Apathy". User apathy (sự thờ ơ của người dùng) là tình trạng người dùng thiếu quan tâm, hứng thú hay để tâm tới một sản phẩm, dịch vụ hoặc hệ thống; trong an toàn thông tin, đây là rào cản lớn của chương trình nhận thức vì người dùng biết quy định nhưng không buồn làm theo, ví dụ bỏ qua cảnh báo hay không đọc thông báo chính sách. "User Resistance" (sự kháng cự) khác ở chỗ người dùng chủ động phản đối hoặc né tránh thay đổi, chứ không phải chỉ thiếu quan tâm. "User Discomfort" là cảm giác khó chịu, lúng túng khi phải dùng hệ thống hay biện pháp mới, có thể vẫn rất quan tâm. "Learned Helplessness" (bất lực tập nhiễm) là niềm tin rằng mình không thể làm gì để thay đổi kết quả sau nhiều lần thất bại, nguyên nhân và biểu hiện khác với sự thờ ơ.

Đáp án đúng: "Security principle document". Tài liệu nguyên tắc an ninh nêu các quy tắc và nguyên lý nền tảng như đặc quyền tối thiểu, phân tách nhiệm vụ, phòng thủ nhiều lớp, giúp mọi người diễn giải thống nhất các chính sách chi tiết trong toàn tổ chức, nhất là khi một tình huống chưa được chính sách nói rõ. "Procedure manual" chứa các bước thao tác cụ thể, không phải nguyên lý để diễn giải chính sách. "Policy dictionary" chỉ định nghĩa thuật ngữ, giúp hiểu từ ngữ nhưng không nêu nguyên tắc định hướng. "Audit trail" là nhật ký ghi lại ai làm gì, khi nào, dùng để truy vết và kiểm toán chứ không phải tài liệu hướng dẫn diễn giải chính sách.

Đáp án đúng: "Data Leakage Protection Inventory". Data leakage protection, hay DLP (bảo vệ chống rò rỉ dữ liệu), bắt đầu bằng việc lập inventory (danh mục kiểm kê): quét và lập danh sách mọi nơi lưu trữ và xử lý dữ liệu nhạy cảm như cơ sở dữ liệu, thư mục chia sẻ, máy trạm ở từng văn phòng. Có danh mục này mới biết phải giám sát và bảo vệ ở đâu. "DLP Encryption Key" là khóa mã hóa, dùng để bảo vệ dữ liệu, không giúp liệt kê vị trí dữ liệu. "Data Loss Protection Perimeter" nói về ranh giới, điểm kiểm soát ở biên mạng để chặn dữ liệu đi ra, là bước giám sát chứ không phải lập danh mục. "DLP Trojans" là khái niệm phần mềm độc hại, hoàn toàn không phải công cụ bảo vệ dữ liệu hợp lệ.

Đáp án đúng: "Data Leakage Protection Inventory". Trong một chương trình DLP (data loss/leakage protection, chống rò rỉ dữ liệu), thành phần inventory (kiểm kê) dùng để quét máy chủ, cơ sở dữ liệu, thư mục chia sẻ và máy trạm nhằm tìm ra dữ liệu nhạy cảm như số thẻ tín dụng hay thông tin cá nhân đang nằm ở đâu, để biết cần bảo vệ chỗ nào. "DLP Encryption Key" là khóa dùng để mã hóa dữ liệu, giúp bảo vệ chứ không giúp phát hiện dữ liệu nằm ở đâu. "Data Loss Protection Perimeter" là lớp giám sát tại biên mạng, kiểm tra dữ liệu nhạy cảm đang rời khỏi tổ chức qua email hay web, tức theo dõi dữ liệu đang truyền chứ không lập danh mục nơi lưu trữ. "DLP Trojans" không phải thành phần của DLP; trojan là mã độc mà chính DLP và các kiểm soát khác phải ngăn chặn.

Đáp án đúng gồm hai ý: "Innovators" và "More likely to take risks". Entrepreneurs (người có tinh thần khởi nghiệp, doanh nhân) trong tổ chức là những người ưa sáng tạo, luôn tìm cách làm mới và sẵn sàng chấp nhận rủi ro để nắm lấy cơ hội kinh doanh. Khi triển khai chính sách an ninh, hiểu đặc điểm này giúp nhóm an ninh trình bày chính sách bằng ngôn ngữ giá trị kinh doanh, hướng họ tới việc chấp nhận rủi ro có kiểm soát thay vì lách chính sách để làm nhanh. Phương án "Well educated in business management" sai vì tinh thần khởi nghiệp không phụ thuộc bằng cấp quản trị; nhiều doanh nhân thành công nhờ kinh nghiệm và ý tưởng chứ không nhờ được đào tạo bài bản. Phương án "Averse to change" sai vì sợ thay đổi là đặc điểm ngược lại; người khởi nghiệp chủ động tạo ra thay đổi.

Đáp án đúng: "Auditor". Auditor (kiểm toán viên) là người độc lập với bộ phận được kiểm tra, có nhiệm vụ đánh giá rủi ro, xem các kiểm soát có được thiết kế và vận hành đúng không, rồi đưa ra ý kiến độc lập cho ban lãnh đạo, hội đồng quản trị hoặc cơ quan quản lý. Tính độc lập là điều làm ý kiến của họ có giá trị. "Administrators" là người quản trị hệ thống, trực tiếp cấu hình và vận hành kiểm soát nên không thể tự đưa ra ý kiến độc lập về chính công việc của mình. "Customers" là khách hàng, bên sử dụng sản phẩm, dịch vụ và quan tâm dữ liệu của mình được bảo vệ, nhưng không có vai trò đánh giá rủi ro nội bộ. "Shareholders" là cổ đông, bên dựa vào ý kiến của kiểm toán viên để ra quyết định, chứ không phải người phát hành ý kiến đó.

Đáp án đúng: "False". Network segmentation (phân đoạn mạng) chia mạng thành các vùng nhỏ như VLAN hay subnet để giới hạn máy nào được nói chuyện với máy nào, nhờ đó thu hẹp phạm vi lây lan khi một vùng bị xâm nhập. Thiết bị đóng vai người gác, kiểm tra và lọc bỏ lưu lượng trái phép theo bộ luật là firewall (tường lửa). Trong thực tế hai thứ thường đi cùng nhau, firewall đặt ở ranh giới giữa các phân đoạn, nhưng bản thân việc phân đoạn không thực hiện chức năng lọc. Vì vậy phát biểu gán chức năng của firewall cho mạng phân đoạn là sai, và "True" không được chọn vì nó đồng nhất cấu trúc chia vùng với thiết bị kiểm soát lưu lượng.

Đáp án đúng: "The amount of risk an organization is willing to accept". Risk appetite (khẩu vị rủi ro) là mức rủi ro mà tổ chức sẵn sàng chấp nhận để theo đuổi mục tiêu kinh doanh, do lãnh đạo xác định; nó là căn cứ để quyết định rủi ro nào được chấp nhận, rủi ro nào phải giảm, chuyển giao hay tránh. Ví dụ ngân hàng thường có khẩu vị rủi ro thấp với dữ liệu khách hàng. "The number of threats an organization faces" là số lượng mối đe doạ, một yếu tố đầu vào của đánh giá rủi ro chứ không phải mức sẵn sàng chấp nhận. "The budget for cybersecurity tools" là nguồn lực tài chính, chịu ảnh hưởng của khẩu vị rủi ro nhưng không đồng nhất. "The number of IT policies in use" chỉ phản ánh quy mô bộ chính sách.

Đáp án đúng: "Monitors adherence to laws and regulations". Compliance officer (cán bộ tuân thủ) giám sát việc tổ chức tuân thủ luật, quy định và chính sách nội bộ, ví dụ HIPAA, SOX, GLBA: theo dõi, kiểm tra, báo cáo vi phạm và đề xuất khắc phục, đóng vai trò độc lập với người vận hành. "Identifies and develops security policies" là việc của nhóm chính sách an ninh, thường do CISO dẫn dắt. "Approves access rights to information" là trách nhiệm của data owner (chủ sở hữu dữ liệu), người quyết định ai được truy cập. "Manages day-to-day data maintenance" thuộc data custodian (người giám hộ dữ liệu) hoặc data steward, những người lo sao lưu, bảo trì và chất lượng dữ liệu hằng ngày.