Câu hỏi: IAP301 Phát triển chính sách an toàn thông tin – Bộ ôn tập cuối kỳ số 2

Đáp án đúng: "To inform users of security procedures". Nguyên tắc awareness (nhận thức) trong bộ nguyên tắc an toàn hệ thống thông tin yêu cầu người dùng và các bên liên quan được thông tin về các biện pháp, thủ tục bảo mật đang áp dụng, để họ biết mình cần làm gì và vì sao. Ví dụ tổ chức phổ biến quy trình báo cáo email lừa đảo cho toàn bộ nhân viên. "To enforce strict security controls" là việc thực thi kiểm soát, thuộc về chính sách và cơ chế kỹ thuật, còn nhận thức chỉ nhằm cung cấp hiểu biết. "To increase personal accountability" là mục tiêu của nguyên tắc accountability (trách nhiệm giải trình), xác định ai chịu trách nhiệm cho hành động nào. "To ensure ethical use of information systems" là nội dung của nguyên tắc ethics (đạo đức), nói về việc sử dụng hệ thống tôn trọng quyền và lợi ích chính đáng của người khác.

Đáp án đúng: "All of the above". Ba yếu tố cơ bản của động lực làm việc, thường được nêu khi bàn cách thúc đẩy nhân viên tuân thủ chính sách an ninh, là pride (niềm tự hào), self-interest (lợi ích cá nhân) và success (thành công). Nhân viên tự hào về công việc và tổ chức sẽ muốn bảo vệ nó, thấy được lợi ích cho bản thân như tránh bị kỷ luật hay được ghi nhận sẽ làm theo, và mong muốn thành công cùng tổ chức sẽ ủng hộ các kiểm soát giữ cho doanh nghiệp an toàn. Vì cả ba đều là thành phần nền tảng nên phương án gộp là đúng. Phương án "Pride" đúng nhưng chưa đủ vì chỉ là một trong ba yếu tố. Phương án "Self-interest" đúng nhưng thiếu niềm tự hào và thành công. Phương án "Success" đúng nhưng thiếu hai yếu tố kia, nên chọn riêng nó là không đầy đủ.

Đáp án đúng: "Auditor". Auditor (kiểm toán viên) xem xét rủi ro và mức hiệu quả của kiểm soát, rồi phát hành ý kiến độc lập; vì không trực tiếp vận hành hệ thống, họ có thể đánh giá khách quan việc tổ chức có tuân thủ chính sách và quy định như SOX hay không. "Administrator" là người quản trị hệ thống, thực hiện các thao tác hằng ngày như tạo tài khoản, cấu hình máy chủ, nên công việc của họ là đối tượng được kiểm toán chứ không độc lập. "Data Custodian" (người giám hộ dữ liệu) là người bảo quản dữ liệu về mặt kỹ thuật: sao lưu, phân quyền, bảo vệ theo yêu cầu của chủ dữ liệu, không phải người đánh giá độc lập. "Data Steward" (người quản lý dữ liệu) chịu trách nhiệm chất lượng và việc dùng dữ liệu đúng quy tắc trong nghiệp vụ, cũng là vai trò vận hành chứ không đưa ra ý kiến độc lập về rủi ro.

Đáp án đúng: "User education and periodic training". Security Awareness Policy (SAP, chính sách nhận thức an ninh) quy định cách tổ chức nâng hiểu biết của nhân viên về rủi ro và trách nhiệm của họ: đào tạo khi mới vào, tập huấn định kỳ, nhắc nhở qua email hay áp phích, thử nghiệm lừa đảo giả lập. Trọng tâm là con người, vì người dùng là mắt xích yếu mà social engineering (tấn công phi kỹ thuật) khai thác. "Encryption key escrow" (ký gửi khóa mã) là cơ chế lưu giữ khóa để khôi phục dữ liệu, thuộc chính sách mật mã. "Firewall configurations" là tiêu chuẩn kỹ thuật cho ranh giới mạng, do đội hạ tầng thực hiện chứ không phải sáng kiến nhận thức. "Vendor service-level agreements" là thỏa thuận mức dịch vụ với nhà cung cấp, thuộc quản lý bên thứ ba.

Đáp án đúng: "Detailed line budget". Đây là câu phủ định: cần tìm mục KHÔNG nên có trong charter (điều lệ) của đội ứng phó sự cố. Charter là văn bản ủy quyền nêu đội tồn tại để làm gì, tổ chức thế nào và ai chịu trách nhiệm gì; ngân sách chi tiết từng dòng là tài liệu tài chính thay đổi theo năm, được quản lý qua quy trình ngân sách riêng nên không đưa vào charter. "Mission" là nội dung đúng của charter vì xác định sứ mệnh và phạm vi hoạt động của đội. "Organizational. structure" cũng thuộc charter vì cho biết đội trực thuộc ai và gồm những vị trí nào. "Roles and responsibilities" cũng thuộc charter vì phân định quyền hạn và trách nhiệm từng thành viên khi xử lý sự cố. Ba mục này đều nên có nên không được chọn.

Đáp án đúng: "A policy that defines how to protect information in any form". Chính sách an toàn thông tin là tài liệu cấp cao do lãnh đạo phê duyệt, nêu cách tổ chức bảo vệ tính bí mật, toàn vẹn và sẵn sàng của thông tin dưới mọi hình thức: dữ liệu số, giấy tờ, lời nói, khi lưu trữ, truyền đi hay xử lý. "A policy that defines acceptable behavior of a customer" sai vì chính sách an ninh chủ yếu điều chỉnh nhân viên và người dùng nội bộ, quy định hành vi khách hàng thuộc điều khoản dịch vụ. "A policy that defines what hardware to purchase" là quy định mua sắm hoặc tiêu chuẩn kỹ thuật, quá hẹp. "A policy that defines the type of uniforms guards should wear" là quy định hành chính về nhân sự bảo vệ, không liên quan việc bảo vệ thông tin.

Đáp án đúng: "Decentralization of the risk function". Đây là câu phủ định: cần chọn điều không phải lợi ích của việc triển khai COBIT (Control Objectives for Information and Related Technologies), khung quản trị CNTT của ISACA. COBIT giúp tập trung và chuẩn hóa chức năng quản lý rủi ro, để rủi ro CNTT được nhìn thống nhất ở cấp doanh nghiệp, nên phi tập trung hóa chức năng rủi ro đi ngược mục tiêu đó. Ba ý kia là lợi ích thật nên không được chọn. "Value delivery" đúng vì COBIT gắn đầu tư CNTT với giá trị kinh doanh mang lại. "Better resourcing of IT" đúng vì khung giúp phân bổ con người, ngân sách và hạ tầng CNTT hợp lý hơn. "Better communication" đúng vì COBIT tạo ngôn ngữ chung giữa bộ phận CNTT, ban lãnh đạo và kiểm toán.

Đáp án đúng: "An account that has not been used for an extended period.". Dormant account (tài khoản không hoạt động) là tài khoản vẫn còn hiệu lực nhưng lâu không có ai đăng nhập, thường của nhân viên đã nghỉ việc, chuyển bộ phận hoặc tài khoản tạo cho dự án đã kết thúc. Đây là rủi ro vì kẻ tấn công có thể chiếm dụng mà không ai phát hiện, nên chính sách quản lý tài khoản yêu cầu rà soát định kỳ và vô hiệu hóa tài khoản không dùng sau một khoảng thời gian quy định. Phương án "An account with unlimited access." mô tả tài khoản đặc quyền, không liên quan tới việc có được dùng hay không. Phương án "An account used only by the IT department." là tài khoản quản trị của phòng CNTT, vẫn đang được dùng nên không phải tài khoản không hoạt động. Phương án "An account for testing purposes only." là tài khoản thử nghiệm, có thể trở thành tài khoản không hoạt động nếu bị bỏ quên, nhưng định nghĩa của nó dựa trên mục đích chứ không dựa trên việc lâu không dùng.

Đáp án đúng: "To measure systems and networks for security compliance.". SCAP (Security Content Automation Protocol) là bộ đặc tả do NIST duy trì, gom các chuẩn như CVE, CCE, CVSS, XCCDF và OVAL để công cụ có thể tự động quét cấu hình, đo lỗ hổng và kiểm tra hệ thống, mạng có tuân thủ cấu hình an ninh chuẩn hay không, ví dụ đối chiếu máy trạm với một bộ tiêu chuẩn cấu hình. "To decrease security in IT systems." sai vì SCAP sinh ra để nâng mức an ninh và tuân thủ, không bao giờ nhằm giảm an ninh. "For the entertainment of IT personnel." sai vì SCAP là chuẩn kỹ thuật phục vụ đánh giá an ninh, không có mục đích giải trí. "SCAP is a communication protocol for social media." sai vì dù tên có chữ protocol, SCAP không phải giao thức truyền tin hay mạng xã hội mà là bộ chuẩn mô tả nội dung kiểm tra an ninh.

Đáp án đúng gồm ba ý: "Basic principles of information security", "Awareness of risk and threats" và "How to report suspicious activity, incidents, and breaches". Một security awareness policy (chính sách nhận thức an ninh) tốt giúp nhân viên nắm nguyên tắc cơ bản như bảo vệ mật khẩu và phân loại dữ liệu, nhận ra rủi ro cùng mối đe dọa như email lừa đảo, và biết báo cáo hoạt động đáng ngờ, sự cố hay vi phạm cho đúng đầu mối để tổ chức phản ứng sớm. "Overriding skepticism" (hoài nghi quá mức) không phải lợi ích, vì chương trình nhận thức hướng tới sự cảnh giác vừa phải; nghi ngờ mọi thứ làm cản trở công việc và hợp tác. "Inherent human trust" (lòng tin bẩm sinh của con người) là điểm yếu mà kẻ tấn công phi kỹ thuật khai thác, chính sách nhận thức cần khắc phục nó chứ không đem lại nó như một lợi ích.