Câu hỏi: IAP301 Phát triển chính sách an toàn thông tin – Bộ ôn tập thi lại số 1

Đáp án đúng: "True". RBAC (role-based access control, kiểm soát truy cập theo vai trò) gán quyền cho các vai trò cố định như kế toán hay quản trị viên, người dùng nhận quyền khi được xếp vào vai trò đó. ABAC (attribute-based access control, kiểm soát truy cập theo thuộc tính) thì đánh giá tại mỗi yêu cầu các thuộc tính của người dùng, tài nguyên và môi trường như phòng ban, mức phân loại dữ liệu, thời gian, vị trí, nên quyền được quyết định động theo ngữ cảnh. Ví dụ một bác sĩ chỉ xem được hồ sơ bệnh nhân của khoa mình trong ca trực. Vì phát biểu mô tả đúng sự khác biệt này nên "False" không được chọn.

Đáp án đúng: "Firewalls". Technical control (kiểm soát kỹ thuật, còn gọi logical control) là biện pháp được thực thi bằng phần cứng hoặc phần mềm, tự động áp dụng mà không cần con người thao tác mỗi lần. Tường lửa lọc lưu lượng mạng theo bộ luật là ví dụ điển hình, cùng nhóm với mã hóa, hệ thống phát hiện xâm nhập, kiểm soát truy cập trên hệ thống. "Security awareness training" là kiểm soát hành chính (administrative control) vì tác động đến nhận thức và hành vi con người. "Security guards" là kiểm soát vật lý, bảo vệ cơ sở và tài sản hữu hình. "Policies and procedures" cũng là kiểm soát hành chính: chúng là tài liệu quy định cách làm, đặt nền cho các kiểm soát kỹ thuật nhưng bản thân không phải công nghệ thực thi.

Đáp án đúng gồm hai ý: "Intent" và "Human behavior". Trước khi triển khai một chính sách, tổ chức phải làm rõ intent (ý định), tức chính sách sinh ra để giải quyết rủi ro hay yêu cầu nào và mong đạt kết quả gì, để mọi người hiểu lý do thay vì chỉ thấy thêm luật lệ. Đồng thời phải tính tới human behavior (hành vi con người): nhân viên sẽ phản ứng thế nào, có thói quen hay văn hóa nào làm họ lách chính sách, và cần đào tạo, truyền thông ra sao để họ chấp nhận. "Architecture operating model" là mô hình vận hành của kiến trúc công nghệ, quan trọng khi thiết kế cách các hệ thống và đội ngũ phối hợp, nhưng nó là bối cảnh kỹ thuật chứ không phải yếu tố cốt lõi cần cân nhắc ngay trước khi đưa chính sách vào áp dụng. "Policy change control board" là cơ chế quản trị dùng để xem xét và phê duyệt việc sửa đổi chính sách trong quá trình duy trì, tức hoạt động diễn ra sau khi chính sách đã ban hành.

Đáp án đúng: "Business Impact Analysis". BIA (phân tích tác động kinh doanh) là bước xác định các quy trình kinh doanh quan trọng và đánh giá tác động khi chúng bị gián đoạn, từ đó đặt ra các chỉ số như MTD (thời gian gián đoạn tối đa chịu được), RTO (mục tiêu thời gian khôi phục) và RPO (mục tiêu điểm khôi phục dữ liệu). BIA là đầu vào cho kế hoạch duy trì hoạt động kinh doanh (BCP) và kế hoạch khắc phục thảm họa (DRP). Phương án "Business Integrity Assessment" không phải thuật ngữ chuẩn trong quản lý rủi ro; tính toàn vẹn là một mục tiêu của bộ ba CIA chứ không phải tên của phân tích này. Phương án "Business Information Assurance" gần với information assurance (đảm bảo thông tin) nhưng không phải nghĩa của BIA. Phương án "Business Internal Audit" là kiểm toán nội bộ, một chức năng giám sát độc lập, không phải phân tích tác động của gián đoạn.

Đáp án đúng: "Flat network". Flat network (mạng phẳng) là mạng mà mọi thiết bị nằm chung một miền, không có phân đoạn hay ranh giới kiểm soát bên trong; một router ra Internet cộng các switch không quản lý (unmanaged switch, không cấu hình được VLAN hay ACL) đúng là mô hình này. Nó rẻ và dễ dựng cho doanh nghiệp nhỏ nhưng một máy bị nhiễm có thể lan sang mọi máy khác. "Segmented network" đòi hỏi chia mạng thành các vùng như VLAN hay subnet có tường lửa hoặc ACL ngăn cách, điều switch không quản lý không làm được. "Hierarchical network" là thiết kế nhiều tầng như core, distribution và access, thường thấy ở mạng lớn, không phải mạng 15 người qua một router. "Mesh network" là cấu trúc mà các nút nối với nhiều nút khác để có đường dự phòng, trong khi ở đây mọi thứ đi qua một router duy nhất.

Đáp án đúng: "Security". Truy cập từ xa mở một đường đi từ Internet vào LAN nội bộ, nên mối lo chung của tổ chức là an ninh: thiết bị ở nhà không do công ty quản lý, thông tin đăng nhập có thể bị đánh cắp, phiên kết nối có thể bị nghe lén. Vì vậy chính sách truy cập từ xa thường đòi VPN mã hóa, xác thực hai yếu tố và kiểm tra tình trạng thiết bị trước khi cho kết nối. "Cost" không phải mối lo chính vì VPN và dịch vụ truy cập từ xa ngày nay tương đối rẻ so với thiệt hại của một vụ xâm nhập. "Bandwidth" là vấn đề hiệu năng, giải quyết được bằng nâng cấp đường truyền. "Speed" cũng thuộc trải nghiệm người dùng; kết nối chậm gây phiền nhưng không đe dọa tài sản thông tin như lỗ hổng an ninh.

Đáp án đúng: "Clean desk policy". Clean desk policy (chính sách bàn làm việc sạch) yêu cầu nhân viên cất và khoá mọi tài liệu giấy, thiết bị lưu trữ, phương tiện số khi hết ngày làm việc hoặc khi rời chỗ, nhằm ngăn người khác nhìn trộm, lấy cắp hoặc chụp lại thông tin nhạy cảm. "Acceptable use policy" (chính sách sử dụng chấp nhận được) quy định cách dùng tài nguyên CNTT như máy tính, email, Internet, không nói về việc khoá tài liệu. "Privacy policy" (chính sách quyền riêng tư) mô tả cách tổ chức thu thập, sử dụng và bảo vệ dữ liệu cá nhân. "Walk out policy" không phải tên chính sách an ninh chuẩn yêu cầu cất giữ tài liệu cuối ngày.

Đáp án đúng: "Inform your supervisor/manager of the incident.". Đồng nghiệp đã tra cứu cơ sở dữ liệu cho mục đích cá nhân và tiết lộ thông tin cá nhân của người khác, đây là vi phạm chính sách sử dụng chấp nhận được và nguyên tắc need-to-know (chỉ truy cập khi công việc cần), đồng thời có thể là sự cố quyền riêng tư phải xử lý theo quy trình. Cách đúng là báo cho cấp quản lý để sự cố được ghi nhận, điều tra và khắc phục. "Nothing, it is all right because we all work for the same organization." sai vì làm cùng tổ chức không cho ai quyền xem dữ liệu ngoài phạm vi công việc. "Tell the co-worker that his behavior was inappropriate." là phản ứng tốt về mặt cá nhân nhưng không đủ, vì dữ liệu đã bị lộ và tổ chức cần biết để xử lý. "All other choices" sai vì bao gồm cả việc im lặng bỏ qua.

Đáp án đúng: "GLBA". Gramm-Leach-Bliley Act (GLBA) là luật Hoa Kỳ áp dụng cho các tổ chức tài chính như ngân hàng, công ty bảo hiểm, công ty chứng khoán; luật buộc họ bảo vệ thông tin tài chính cá nhân của khách hàng, thông báo chính sách quyền riêng tư và xây dựng chương trình an toàn thông tin bằng văn bản. "FERPA" (Family Educational Rights and Privacy Act) bảo vệ quyền riêng tư của hồ sơ học tập, áp dụng cho cơ sở giáo dục chứ không phải tổ chức tài chính. "HIPAA" (Health Insurance Portability and Accountability Act) điều chỉnh việc bảo vệ thông tin sức khỏe của bệnh nhân trong ngành y tế. "CIPA" (Children's Internet Protection Act) yêu cầu trường học và thư viện nhận tài trợ liên bang lọc nội dung Internet có hại cho trẻ em, không liên quan tới dữ liệu tài chính.

Đáp án đúng: "After a company decides to implement wireless and before it is installed". Chính sách an ninh không dây nên được viết sau khi doanh nghiệp quyết định dùng mạng không dây và trước khi lắp đặt, vì chính sách phải đặt ra yêu cầu như chuẩn mã hóa, cách xác thực, tách mạng khách, cấm điểm truy cập tự lắp để dẫn dắt việc thiết kế và cấu hình ngay từ đầu; viết sau khi đã lắp thì phải sửa lại hạ tầng và có một khoảng thời gian mạng chạy mà không được kiểm soát. Phương án "When the industry publishes new wireless standards" sai vì chuẩn mới là lý do để rà soát, cập nhật chính sách đã có chứ không phải thời điểm viết lần đầu. Phương án "When a vendor presents wireless solutions to the business" sai vì chính sách phải xuất phát từ nhu cầu và rủi ro của tổ chức, không phải từ lời chào hàng của nhà cung cấp. Phương án "When the next generation of wireless technology is launched" sai vì việc công nghệ mới ra đời không gắn với quyết định triển khai của tổ chức.

Đáp án đúng: "A BCP focuses on the business recovery and DRP focuses on technology recovery.". BCP (business continuity plan, kế hoạch duy trì kinh doanh) nhằm giữ các chức năng kinh doanh thiết yếu tiếp tục hoạt động khi có gián đoạn, bao gồm con người, quy trình, địa điểm làm việc và liên lạc. DRP (disaster recovery plan, kế hoạch khôi phục sau thảm hoạ) là một phần hẹp hơn, tập trung khôi phục hệ thống, dữ liệu và hạ tầng công nghệ, ví dụ dựng lại máy chủ ở trung tâm dự phòng. "A DRP focuses on the business recovery and BCP focuses on technology recovery." đảo ngược phạm vi của hai kế hoạch nên sai: BCP mới là kế hoạch bao trùm phía kinh doanh, còn DRP lo phần kỹ thuật. "There is no difference. The two terms mean the same thing." sai vì hai kế hoạch có mục tiêu và phạm vi khác nhau, dù liên kết chặt và DRP thường được kích hoạt như một phần của BCP.

Đáp án đúng: "Regular patch management and antivirus enforcement". Workstation Domain (miền máy trạm) gồm máy tính để bàn và laptop người dùng làm việc hằng ngày; rủi ro chính ở đây là lỗ hổng hệ điều hành, ứng dụng chưa vá và mã độc lây qua email, web hay USB. Vá định kỳ và bắt buộc phần mềm diệt virus luôn bật, cập nhật là biện pháp trực tiếp gia cố miền này. "Network redundancy" thuộc LAN và WAN, tăng tính sẵn sàng của đường truyền chứ không làm máy trạm an toàn hơn. "Vendor risk assessment" thuộc quản lý rủi ro bên thứ ba, đánh giá nhà cung cấp trước khi ký hợp đồng. "Incident response tabletop exercises" là diễn tập ứng phó sự cố trên giấy cho đội ngũ, giúp tổ chức phản ứng tốt hơn khi có sự cố nhưng không gia cố trực tiếp cấu hình của máy trạm.

Đáp án đúng: "Data stored on any physical or virtual storage device". Data at rest (dữ liệu ở trạng thái lưu trữ) là dữ liệu đang nằm trên ổ cứng, SSD, băng từ, cơ sở dữ liệu hay kho lưu trữ đám mây, phân biệt với dữ liệu đang truyền và dữ liệu đang xử lý; biện pháp bảo vệ điển hình là mã hoá ổ đĩa và kiểm soát truy cập. "Data being transferred over a network" là data in transit, được bảo vệ bằng TLS hay VPN. "Data that is currently being processed" là data in use, đang nằm trong bộ nhớ hoặc CPU. "Data that has been archived and is no longer in use" chỉ là một phần nhỏ của dữ liệu lưu trữ; dữ liệu đang được dùng hằng ngày nhưng nằm trên ổ đĩa vẫn là data at rest.

Đáp án đúng: "COBIT". COBIT (Control Objectives for Information and Related Technologies) do ISACA phát triển là khung thực hành tốt được chấp nhận rộng rãi trên thế giới cho quản trị và quản lý CNTT doanh nghiệp: nó gắn mục tiêu CNTT với mục tiêu kinh doanh, định nghĩa các quy trình, mục tiêu kiểm soát và chỉ số đo lường, nên thường được dùng làm nền cho chính sách và kiểm toán. "ITIL" cũng là bộ thực hành tốt nhưng tập trung vào quản lý dịch vụ CNTT (vận hành, hỗ trợ, sự cố, thay đổi), không phải khung quản trị IT tổng thể. "PRINCE2" là phương pháp quản lý dự án, không chuyên về quản trị quy trình CNTT. "Agile" là triết lý và cách tiếp cận phát triển phần mềm lặp, linh hoạt, không phải khung quản trị CNTT.

Đáp án đúng: "Baseline standard". Baseline standard (tiêu chuẩn cơ sở) là tài liệu kỹ thuật nêu cụ thể các kiểm soát mà một loại công nghệ hay thiết bị phải hỗ trợ và được cấu hình, ví dụ cấu hình tối thiểu cho máy chủ Windows: tắt dịch vụ thừa, bật ghi nhật ký, đặt chính sách khóa tài khoản. "Control standard" là tài liệu chính sách nêu các yêu cầu kiểm soát cốt lõi ở mức tổ chức, ví dụ mọi truy cập phải được xác thực, nó nói kiểm soát nào cần có chứ không đi vào việc từng thiết bị phải hỗ trợ gì. "Procedure" là hướng dẫn từng bước để thực hiện một công việc, như các bước áp dụng cấu hình cơ sở lên máy chủ, chứ không liệt kê danh mục kiểm soát. "Policy" là tuyên bố định hướng ở mức cao của ban lãnh đạo, quá khái quát để chỉ ra kiểm soát kỹ thuật cho một thiết bị.

Đáp án đúng: "Prevents employees from misusing the Internet". Acceptable use policy (chính sách sử dụng chấp nhận được, AUP) là văn bản quy định hành vi được phép và bị cấm khi dùng tài nguyên CNTT và Internet của tổ chức. AUP là kiểm soát hành chính mang tính răn đe: nó nói rõ thế nào là đúng và hậu quả khi vi phạm, nhưng tự nó không thể ngăn chặn hành vi sai; muốn ngăn chặn phải có kiểm soát kỹ thuật như lọc web. Vì vậy đây là phát biểu không phải lợi ích của AUP. Các phát biểu kia đều là lợi ích thật nên không được chọn: "Outlines disciplinary action for improper behavior" đúng vì AUP nêu rõ biện pháp kỷ luật khi vi phạm; "Reduces business liability" đúng vì khi có quy định rõ và nhân viên đã ký cam kết, tổ chức có căn cứ chứng minh mình đã phòng ngừa, giảm trách nhiệm pháp lý khi nhân viên lạm dụng; "Defines proper behavior while using the Internet" đúng vì đó chính là nội dung cốt lõi của AUP.

Đáp án đúng: "Faster time-to-market". Industry-standard frameworks (khung chuẩn ngành) như ISO 27001, COBIT hay NIST giúp tổ chức xây dựng chính sách an ninh dựa trên kinh nghiệm đã được kiểm chứng. Tốc độ đưa sản phẩm ra thị trường không phải lợi ích của việc áp dụng khung; thực tế làm theo khung còn thêm bước kiểm soát và tài liệu. "Shared best practices" là lợi ích thật, vì khung tổng hợp thực hành tốt nhất mà nhiều tổ chức đã dùng, nên câu phủ định này không chọn nó. "Enhanced compliance" cũng là lợi ích, vì khung chuẩn thường được ánh xạ sẵn tới các quy định như SOX hay HIPAA, giúp chứng minh tuân thủ dễ hơn. "Avoid reinventing the wheel" đúng là một lợi ích, tổ chức không phải tự nghĩ từ đầu mọi chính sách và kiểm soát mà dùng lại cấu trúc có sẵn.

Đáp án đúng: "Risk tolerance". Risk appetite (khẩu vị rủi ro) là mức rủi ro tổng thể tổ chức sẵn sàng chấp nhận để theo đuổi mục tiêu, thường phát biểu chung chung; risk tolerance (dung sai rủi ro) là mức sai lệch cụ thể, đo được mà tổ chức chấp nhận quanh mục tiêu đó. Quy tắc vá ngay lỗ hổng nghiêm trọng nhưng cho phép 27 đến 33 ngày với bản vá mức vừa là một ngưỡng cụ thể về độ trễ chấp nhận được, đúng nghĩa dung sai. "Risk appetite" sai vì nó ở mức định hướng, không đưa ra con số ngày cụ thể. "Risk exposure" (mức phơi nhiễm) là thiệt hại tiềm tàng nếu rủi ro xảy ra, thường tính từ khả năng xảy ra và tác động, không mô tả quy tắc thời hạn. "Risk residual" (rủi ro còn lại) là phần rủi ro tồn tại sau khi đã áp kiểm soát, cũng không phải một ngưỡng chấp nhận.

Đáp án đúng: "ERM". Đây là câu phủ định: cần tìm mục không phải khung chính sách an toàn CNTT. ERM (enterprise risk management, quản trị rủi ro doanh nghiệp) là cách tiếp cận quản trị toàn bộ rủi ro kinh doanh như tài chính, chiến lược, vận hành, trong đó rủi ro CNTT chỉ là một phần, nên nó không phải khung chính sách an ninh CNTT. "COBIT" là khung quản trị và kiểm soát CNTT do ISACA phát triển, được dùng rộng rãi để xây dựng chính sách. "ISO" chỉ bộ tiêu chuẩn ISO/IEC 27001 và 27002 về hệ thống quản lý an toàn thông tin. "OCTAVE" là khung đánh giá rủi ro an toàn thông tin của Carnegie Mellon. Ba mục này đều là khung an ninh CNTT nên không được chọn.

Đáp án đúng: "State of Tennessee's information security program". Chương trình an toàn thông tin của bang Tennessee là ví dụ khu vực công dùng NIST SP 800-53, danh mục kiểm soát an ninh và quyền riêng tư của Viện Tiêu chuẩn và Công nghệ Hoa Kỳ, để phân nhóm các kiểm soát theo họ (family) và đo lường mức độ thực hiện của từng kiểm soát. "Target's response to a data breach" là ví dụ về ứng phó vi phạm dữ liệu và bài học sau sự cố lộ dữ liệu thẻ thanh toán, không phải minh họa phân loại kiểm soát theo NIST. "Piedmont Healthcare IT Security" gắn với bối cảnh y tế và yêu cầu bảo vệ thông tin sức khỏe, không phải ví dụ được chọn cho NIST SP 800-53. "ISO/IEC 27002 compliance in public sector" dùng một bộ chuẩn khác hẳn (ISO/IEC 27002 là quy tắc thực hành kiểm soát của ISO), nên không minh họa NIST SP 800-53.