Câu hỏi: IAP301 Phát triển chính sách an toàn thông tin – Bộ ôn tập thi lại số 1

Đáp án đúng: "Align, Plan, and Organize". Trong COBIT 5, miền Align, Plan, and Organize (APO, căn chỉnh, hoạch định và tổ chức) bao gồm các quy trình như quản lý danh mục đầu tư, ngân sách và chi phí, quản lý nhà cung cấp và hợp đồng, quản lý thoả thuận dịch vụ (SLA, cam kết mức dịch vụ) và định hướng chính sách. Rà soát cách quản lý khoản đầu tư CNTT, hợp đồng, ý tưởng chính sách mới và SLA là công việc hoạch định nên thuộc miền này. "Build, Acquire, and Implement" (BAI) lo việc xây dựng, mua sắm và triển khai giải pháp, quản lý thay đổi và dự án, tức là bước thực hiện sau khi đã hoạch định. "Deliver, Service, and Support" (DSS) là vận hành hằng ngày: cung cấp dịch vụ, xử lý sự cố, yêu cầu người dùng và bảo đảm an ninh vận hành. "Monitor, Evaluate, and Assess" (MEA) giám sát hiệu năng, đánh giá kiểm soát nội bộ và tuân thủ, tức là đo lường kết quả chứ không lập kế hoạch đầu tư.

Đáp án đúng: "Vulnerability Window". Vulnerability window (cửa sổ lỗ hổng) là khoảng thời gian từ lúc lỗ hổng được phát hiện tới khi bản vá được phát hành và phân phối; trong khoảng này hệ thống bị phơi nhiễm, nên chính sách quản lý bản vá cố rút ngắn nó và dùng biện pháp bù trừ như chặn cổng, tắt dịch vụ trong lúc chờ vá. "Zero Day" chỉ lỗ hổng hoặc mã khai thác xuất hiện khi nhà cung cấp chưa biết hay chưa có bản vá, tức là thời điểm mở đầu của cửa sổ chứ không phải tên của cả khoảng thời gian. "Exposure Period" chỉ là cụm từ mô tả chung, không phải thuật ngữ chuẩn cho khoảng từ phát hiện tới phân phối bản vá. "Risk Window" cũng không phải thuật ngữ chuẩn, hơn nữa rủi ro còn phụ thuộc mối đe dọa và tác động chứ không chỉ thời gian chờ vá.

Đáp án đúng: "Defining clear expectations and the impact of policies on the business.". Lãnh đạo cấp cao ủng hộ chính sách an ninh khi thấy rõ nó phục vụ mục tiêu kinh doanh; vì vậy cần trình bày kỳ vọng rõ ràng và tác động của chính sách lên hoạt động, chi phí, rủi ro và tuân thủ bằng ngôn ngữ kinh doanh, để lãnh đạo hiểu vì sao nên cấp nguồn lực và đứng ra bảo trợ. "Minimizing communication with executives to avoid overwhelming them." sai vì thiếu giao tiếp khiến lãnh đạo không hiểu và không cam kết. "Providing a detailed technical explanation of every policy." sai vì lãnh đạo cần bức tranh về rủi ro và giá trị, không phải chi tiết kỹ thuật của từng chính sách. "Implementing policies first and seeking approval later." sai vì chính sách thiếu phê duyệt từ cấp trên sẽ không có thẩm quyền thực thi, dễ bị phản đối và gỡ bỏ.

Đáp án đúng: "Approving access to data". Câu hỏi phủ định: cần tìm việc KHÔNG phải trách nhiệm chính của data steward (người quản lý dữ liệu tác nghiệp). Quyền phê duyệt ai được truy cập dữ liệu thuộc data owner (chủ sở hữu dữ liệu), thường là lãnh đạo nghiệp vụ chịu trách nhiệm cuối cùng về dữ liệu; data steward thực thi các quyết định đó ở mức hằng ngày. Những việc sau đây đúng là của data steward nên không chọn. "Ensuring data quality within the business unit" là trách nhiệm cốt lõi: bảo đảm dữ liệu trong đơn vị chính xác, đầy đủ, nhất quán. "Implementing data handling policies" đúng vì steward áp dụng chính sách xử lý dữ liệu vào thực tế công việc. "Defining business requirements for data" cũng thuộc steward vì họ hiểu nghiệp vụ nên xác định dữ liệu cần gì, định nghĩa trường dữ liệu và quy tắc nghiệp vụ.

Đáp án đúng: "Ensuring policies are uniformly applied across all locations and devices.". Hạ tầng phân tán gồm nhiều chi nhánh, trung tâm dữ liệu, thiết bị di động và dịch vụ đám mây ở các nơi khác nhau, mỗi nơi có đội vận hành và cấu hình riêng. Thách thức chính là bảo đảm cùng một chính sách được thực thi nhất quán ở mọi điểm; nếu chi nhánh này bật mã hóa ổ đĩa còn chi nhánh kia thì không, thì mắt xích yếu nhất quyết định mức an toàn của cả tổ chức. Vì vậy cần công cụ quản lý cấu hình tập trung và giám sát tuân thủ. "Finding the right software." là việc mua sắm có thể giải quyết, không phải thách thức đặc thù của hạ tầng phân tán. "Deciding on the policies to implement." là bước xây dựng chính sách diễn ra trước khi triển khai, áp dụng cho mọi tổ chức dù tập trung hay phân tán. "Training IT staff on new technologies." là việc cần làm nhưng chỉ là hoạt động hỗ trợ, không phải khó khăn cốt lõi của việc áp dụng chính sách đồng đều.

Đáp án đúng: "Management processes". COBIT tách các quy trình thành hai nhóm: governance processes (quy trình quản trị, miền EDM gồm đánh giá, định hướng và giám sát) do hội đồng quản trị và lãnh đạo cấp cao đảm nhận để đặt mục tiêu, và management processes (quy trình quản lý, các miền APO, BAI, DSS, MEA) do cấp quản lý thực hiện để lập kế hoạch, xây dựng, vận hành và theo dõi. Quality assurance controls (kiểm soát đảm bảo chất lượng) là hoạt động vận hành thường xuyên, thuộc quy trình APO11 Manage Quality nằm trong nhóm quản lý. Phương án "Governance processes" sai vì quản trị chỉ đặt định hướng và giám sát, không trực tiếp thực hiện kiểm soát chất lượng. Phương án "Both governance processes and management processes" sai vì gộp cả hai làm mờ ranh giới giữa quản trị và quản lý mà COBIT cố ý tách biệt. Phương án "None of the above" sai vì kiểm soát chất lượng có vị trí xác định trong nhóm quản lý.

Đáp án đúng: "Commanders". Khi triển khai chính sách an ninh, người ta phân loại tính cách để biết cách làm việc với từng nhóm. Commanders (người chỉ huy) là kiểu người định hướng kết quả, thích nắm quyền quyết định và hành động nhanh, nên thường vượt qua những trở ngại từng cản bước thành công; họ là đồng minh mạnh khi được thuyết phục rằng chính sách giúp đạt mục tiêu. "Attackers" là kiểu người hay đối đầu, phản bác và công kích ý tưởng mới, họ thường tạo thêm trở ngại hơn là gỡ bỏ. "Analyticals" là người thiên về dữ liệu, chi tiết và thận trọng, cần nhiều bằng chứng trước khi hành động nên không nổi bật ở việc phá vỡ rào cản. "Pleasers" là người muốn làm hài lòng mọi người và tránh xung đột, họ dễ đồng ý nhưng ít khi chủ động vượt qua khó khăn.

Đáp án đúng: "Users accessing the Internet". Acceptable use policy (AUP, chính sách sử dụng chấp nhận được) thuộc User Domain, quy định người dùng được và không được làm gì với tài nguyên của tổ chức như Internet, email và máy tính, ví dụ cấm truy cập trang cờ bạc hay tải phần mềm lậu; nhân viên thường ký xác nhận đã đọc AUP. Trọng tâm của nó là hành vi của con người. "Server-to-server communication" là vấn đề kỹ thuật giữa các hệ thống, được điều chỉnh bằng tiêu chuẩn cấu hình mạng và máy chủ chứ không bằng AUP. "Encryption when transmitting files" thuộc chính sách hoặc tiêu chuẩn mã hóa dữ liệu khi truyền. "Server-to-server communication & Encryption when transmitting files" gộp hai chủ đề kỹ thuật vừa nêu nên cũng nằm ngoài phạm vi AUP, vốn nhắm vào cách người dùng sử dụng tài nguyên.

Đáp án đúng: "Classifying assets and assigning accountability for them". System/Application Domain (miền hệ thống/ứng dụng) gồm máy chủ, ứng dụng và dữ liệu cốt lõi của tổ chức; chính sách cho miền này phải phân loại tài sản theo mức nhạy cảm và gán trách nhiệm cho chủ sở hữu, từ đó quyết định mức bảo vệ, quyền truy cập và yêu cầu sao lưu. "Providing a comprehensive list of approved websites" là nội dung lọc web, thuộc chính sách sử dụng Internet hoặc miền LAN-to-WAN, không phải trọng tâm của miền ứng dụng. "Outlining the dress code for IT staff" là quy định nhân sự, không liên quan bảo vệ hệ thống. "Describing the layout of office spaces for optimal security" thuộc an ninh vật lý của cơ sở, không phải khía cạnh then chốt của chính sách miền hệ thống/ứng dụng.

Đáp án đúng: "Users accessing the Internet". Acceptable use policy, viết tắt AUP (chính sách sử dụng chấp nhận được), quy định người dùng được và không được làm gì với tài nguyên công nghệ của tổ chức, điển hình là việc truy cập Internet, email, cấm vào trang độc hại, cấm tải phần mềm lậu; nhân viên thường phải ký xác nhận AUP. Trọng tâm là hành vi của con người. "Server-to-server communication" là giao tiếp giữa các máy chủ, do tiêu chuẩn cấu hình hạ tầng và kiến trúc mạng điều chỉnh, không liên quan hành vi người dùng. "Encryption when transmitting files" thuộc tiêu chuẩn mã hóa hoặc chính sách bảo vệ dữ liệu khi truyền. "Server-to-server communication and Users accessing the Internet" sai vì kéo theo phần giao tiếp máy chủ vốn không thuộc phạm vi AUP.

Đáp án đúng: "Resiliency–Policies provide guidelines for the unexpected". Đây là câu phủ định: cần chọn ý không thuộc nhóm hướng dẫn khi xây dựng chính sách bảo vệ PII (personally identifiable information, thông tin định danh cá nhân). Resiliency (khả năng chống chịu) là đặc tính chung của một chính sách tốt, giúp tổ chức ứng phó tình huống bất ngờ, chứ không phải hướng dẫn riêng về quyền riêng tư dữ liệu cá nhân. Ba ý còn lại đều là hướng dẫn bảo vệ PII nên không được chọn. "Align–Coordinate privacy policies with data classification policies" đúng vì PII phải được gắn nhãn theo chính sách phân loại dữ liệu để áp đúng mức bảo vệ. "Retain–Ensure proper controls around data retention and destruction" đúng vì PII chỉ được giữ trong thời gian cần thiết rồi phải hủy an toàn. "Disclose–Fully disclose to the individual what data is being collected and how it will be used" đúng vì cá nhân có quyền biết dữ liệu nào bị thu thập và dùng vào việc gì, đây là nguyên tắc minh bạch của quyền riêng tư.

Đáp án đúng: "A technique that allows alteration of user-supplied input fields to build a SQL query". SQL injection (tấn công chèn mã SQL) xảy ra khi ứng dụng ghép trực tiếp dữ liệu người dùng nhập vào câu lệnh SQL mà không kiểm tra; kẻ tấn công nhập chuỗi đặc biệt như ' OR '1'='1 vào ô đăng nhập để thay đổi logic truy vấn, từ đó vượt qua xác thực, đọc hoặc xóa dữ liệu. Biện pháp phòng chống chuẩn là truy vấn tham số hóa (parameterized query), kiểm tra dữ liệu đầu vào và cấp quyền tối thiểu cho tài khoản cơ sở dữ liệu. Phương án "A method of encrypting data" sai vì SQL injection là kỹ thuật tấn công, không phải mã hóa. Phương án "A type of firewall configuration" sai vì đây không phải cấu hình tường lửa; tường lửa ứng dụng web chỉ là một lớp phòng thủ chống lại nó. Phương án "A way to back up databases" sai vì sao lưu là biện pháp khôi phục dữ liệu, không liên quan tới việc chèn mã vào truy vấn.

Đáp án đúng: "expensive or burdensome". Separation of duties (SOD, phân tách nhiệm vụ) chia một quy trình nhạy cảm cho nhiều người để không ai một mình thực hiện trọn được, ví dụ người tạo lệnh chi khác người duyệt lệnh chi. Mỗi lớp phê duyệt thêm vào đòi hỏi thêm nhân sự, thêm thời gian chờ và thêm công quản lý, nên càng nhiều lớp thì quy trình càng tốn kém hoặc nặng nề; tổ chức phải cân bằng mức kiểm soát với chi phí và tốc độ kinh doanh. "effective" không phù hợp vì thêm lớp duyệt không tự động làm quy trình hiệu quả hơn; vượt mức cần thiết còn khiến người dùng tìm cách lách. "inexpensive" nói ngược hẳn với thực tế, vì mỗi lớp duyệt là thêm chi phí. "None of the mentioned" sai vì đã có phương án mô tả đúng hệ quả là chi phí và gánh nặng tăng lên.

Đáp án đúng: "All of the above". Khi soạn chính sách và tiêu chuẩn, tổ chức không cần viết từ con số không mà tham khảo nhiều nguồn rồi điều chỉnh cho phù hợp với mình. "U.S. Government" là nguồn tốt, ví dụ bộ tài liệu NIST SP 800 công bố miễn phí. "Private companies selling standards" cũng là nguồn tốt, cung cấp chuẩn và bộ mẫu chính sách có phí như ISO/IEC 27001 và 27002. "Professional organizations" như ISACA với COBIT, (ISC)² hay SANS cung cấp khung và mẫu chính sách do cộng đồng chuyên gia xây dựng. "Vendors" như Microsoft hay Cisco phát hành hướng dẫn cấu hình an toàn và baseline cho sản phẩm của họ. Mỗi nguồn trên đều đúng nhưng chỉ là một phần, nên chọn riêng bất kỳ nguồn nào cũng bỏ sót các nguồn còn lại; phương án gộp tất cả mới đầy đủ.

Đáp án đúng: "Unauthorized access to military systems by a contractor". Tình huống của Bộ Quốc phòng Mỹ (DoD) nhấn mạnh rằng người bên trong hoặc nhà thầu được cấp quyền rộng hơn nhu cầu có thể truy cập trái phép hệ thống quân sự, nên tổ chức phải áp dụng đặc quyền tối thiểu, rà soát quyền định kỳ và giám sát, ghi nhật ký hoạt động người dùng. "Government laptop theft" là bài học về mã hoá và bảo vệ vật lý thiết bị di động, không xoay quanh kiểm soát truy cập người dùng. "Target payment system hack" là vụ tấn công doanh nghiệp bán lẻ qua thông tin đăng nhập của nhà cung cấp bên thứ ba, không phải tình huống của DoD. "Healthcare data breach" thuộc lĩnh vực y tế gắn với HIPAA, cũng không phải tình huống của DoD.

Đáp án đúng: "Severity". Để quyết định một sự cố là lớn hay nhỏ, đội ứng cứu phân loại sự cố theo severity rating (mức độ nghiêm trọng), xét phạm vi ảnh hưởng, loại dữ liệu bị lộ, số hệ thống và người dùng bị tác động, thiệt hại tài chính, nghĩa vụ pháp lý. Mức nghiêm trọng quyết định ai được báo, cần huy động bao nhiêu nguồn lực và tốc độ phản hồi. "Important" chỉ là tính từ chung chung, không phải tên một thang phân loại sự cố. "Urgent" gần với khái niệm khẩn cấp về thời gian, có thể là một yếu tố khi ưu tiên xử lý nhưng không phải thang xác định lớn hay nhỏ. "Non vital" chỉ mô tả một mức thấp (không thiết yếu) chứ không phải tên phương pháp đánh giá; một thang đánh giá phải bao gồm nhiều mức từ thấp đến cao như severity.

Đáp án đúng: "All of the Above". Đào tạo nhận thức an toàn thông tin (security awareness) thường bị yêu cầu từ nhiều phía cùng lúc, vì con người là mắt xích dễ bị khai thác nhất qua lừa đảo, mật khẩu yếu hay làm lộ dữ liệu. "Law" đúng vì nhiều luật và quy định như HIPAA với ngành y tế hay GLBA với tổ chức tài chính đòi hỏi tổ chức phải đào tạo nhận thức bảo mật cho nhân viên. "Customers" cũng đúng vì khách hàng, nhất là doanh nghiệp đối tác, thường đưa yêu cầu đào tạo nhận thức vào hợp đồng hoặc bảng câu hỏi đánh giá nhà cung cấp trước khi giao dữ liệu. "Shareholders" đúng vì cổ đông muốn rủi ro được quản lý để bảo vệ giá trị công ty, và một vụ rò rỉ do nhân viên thiếu hiểu biết có thể làm sụt giá cổ phiếu. Mỗi ý riêng chỉ là một nguồn yêu cầu, nên chọn đủ cả ba mới đúng.

Đáp án đúng: "Reporting risks and threats to higher levels of management". Trong chính sách an ninh, escalation (leo thang) là quy trình chuyển một rủi ro, mối đe dọa hay sự cố vượt quá thẩm quyền hoặc khả năng xử lý của cấp hiện tại lên cấp quản lý cao hơn theo các ngưỡng định sẵn, để người có đủ quyền quyết định nguồn lực và hành động. Ví dụ quản trị viên phát hiện rò rỉ dữ liệu khách hàng phải báo ngay lên trưởng bộ phận an ninh và lãnh đạo thay vì tự xử lý một mình. Phương án "Upgrading security systems" là nâng cấp kỹ thuật, không phải khái niệm leo thang trong chính sách. Phương án "Increasing user access rights" gợi tới privilege escalation (leo thang đặc quyền), một kiểu tấn công hoặc thay đổi quyền, khác với leo thang báo cáo trong quản lý rủi ro. Phương án "Implementing new software" là hoạt động triển khai, không liên quan tới việc báo cáo lên cấp trên.

Đáp án đúng: "Revising a firewall rule after a breach occurs". Lessons learned (bài học kinh nghiệm) là bước rút kinh nghiệm sau sự cố hoặc sau một đợt triển khai: phân tích điều gì đã sai, rồi sửa chính sách, tiêu chuẩn hay cấu hình để không lặp lại. Chỉnh lại quy tắc tường lửa sau khi bị xâm nhập chính là đưa bài học từ sự cố vào kiểm soát. "Installing new operating systems" là hoạt động nâng cấp hay vận hành thông thường, không nhất thiết xuất phát từ việc phân tích một sự kiện đã xảy ra. "Hiring additional IT staff" là quyết định nhân sự, có thể do nhiều lý do như mở rộng kinh doanh, không minh hoạ việc rút kinh nghiệm trong thực thi chính sách. "Outsourcing IT services" là lựa chọn chiến lược về nguồn lực, chuyển công việc cho bên ngoài, chứ không phải việc điều chỉnh chính sách dựa trên kinh nghiệm thực tế.

Đáp án đúng: "Both the U.S. Government and private companies selling standards". Nguồn tham khảo đáng tin cậy để xây dựng chính sách an toàn thông tin gồm cả cơ quan nhà nước lẫn tổ chức chuyên bán chuẩn: chính phủ Mỹ công bố miễn phí bộ tài liệu NIST SP 800, còn các tổ chức bán chuẩn cung cấp ISO/IEC 27001, 27002 và nhiều bộ mẫu chính sách có phí được dùng rộng rãi. "U.S. Government" đúng nhưng chỉ là một nửa, chọn riêng nó sẽ bỏ qua nguồn chuẩn thương mại. "Private companies selling standards" cũng đúng một phần, chọn riêng sẽ bỏ qua nguồn NIST miễn phí và có uy tín. "Neither the U.S. Government nor private companies selling standards" sai vì phủ nhận cả hai nguồn, trong khi cả hai đều được ngành công nhận là đáng tin để tổ chức điều chỉnh thành chính sách của mình.