Câu hỏi: IAP301 Phát triển chính sách an toàn thông tin – Bộ ôn tập thi lại số 1

Đáp án đúng gồm ba ý: "Business risk", "Compliance" và "Assurance". Mục tiêu của chính sách an toàn thông tin thường được diễn đạt theo ba góc: business risk (rủi ro kinh doanh) là chính sách giảm những rủi ro nào đe dọa hoạt động và giá trị doanh nghiệp; compliance (tuân thủ) là chính sách giúp đáp ứng luật, quy định và hợp đồng nào; assurance (bảo đảm) là chính sách cho ban lãnh đạo, kiểm toán và cơ quan quản lý niềm tin rằng kiểm soát đang hoạt động đúng. "Threat vectors" là các con đường tấn công như email lừa đảo hay thiết bị USB, chúng là đầu vào của phân tích rủi ro chứ không phải cách mô tả mục tiêu chính sách. "Business operation" là bối cảnh mà chính sách phục vụ, không phải một trục mô tả mục tiêu riêng. "Law" đã nằm trong nhóm tuân thủ, vì luật chỉ là một nguồn yêu cầu cần đáp ứng.

Đáp án đúng: "Anger". Social engineering (tấn công phi kỹ thuật, lừa đảo dựa vào tâm lý) khai thác những mong muốn và cảm xúc khiến nạn nhân hành động vội vàng hoặc hạ cảnh giác; anger (tức giận) không nằm trong nhóm động cơ thường bị khai thác vì nó làm người ta đối đầu và nghi ngờ hơn là hợp tác. Đây là câu phủ định nên các phương án kia là những điểm yếu tâm lý có thật: "Fear" (sợ hãi) bị khai thác qua email giả ngân hàng báo tài khoản sắp bị khóa hay giả cơ quan thuế đe dọa phạt; "Curiosity" (tò mò) bị khai thác bằng USB bỏ rơi dán nhãn hấp dẫn hay đường link giật gân; "Desire to help" (mong muốn giúp đỡ) bị khai thác khi kẻ gian giả làm nhân viên mới hay bộ phận hỗ trợ nhờ đặt lại mật khẩu. Vì ba cảm xúc này đều là công cụ quen thuộc của kẻ tấn công nên chúng không phải đáp án.

Đáp án đúng: "All of the above". Chính sách an ninh được định nghĩa rõ và thực thi đúng mang lại lợi ích kinh doanh trên nhiều mặt cùng lúc, nên cả ba ý đều đúng. "Maximize profit" đúng vì chính sách giảm tổn thất do sự cố, giảm phạt vi phạm quy định và giữ uy tín, từ đó giúp lợi nhuận cao hơn. "Reduce risk" là mục tiêu cốt lõi: chính sách xác định kiểm soát để giảm khả năng xảy ra và mức tác động của các mối đe doạ lên tài sản thông tin. "Produce consistent and reliable products" đúng vì chính sách chuẩn hoá cách làm, ví dụ quy trình quản lý thay đổi và kiểm thử bảo mật, nên sản phẩm và dịch vụ ổn định, ít lỗi hơn. Vì mỗi ý chỉ là một phần lợi ích, chọn riêng một ý là thiếu, chỉ phương án gộp mới bao trọn.

Đáp án đúng: "To understand an organization's risks and their potential effects on the business". Risk and Control Self-Assessment (RCSA, tự đánh giá rủi ro và kiểm soát) là quy trình trong đó chính các đơn vị kinh doanh, qua hội thảo hoặc bảng hỏi, tự nhận diện rủi ro trong hoạt động của mình, đánh giá hiệu lực của kiểm soát hiện có và tác động tiềm tàng tới doanh nghiệp; kết quả đưa vào quản trị rủi ro toàn tổ chức. "To assess the performance of IT staff" là đánh giá hiệu suất nhân sự, việc của quản lý nhân sự. "To calculate the annual IT budget" là lập ngân sách; kết quả RCSA có thể giúp ưu tiên đầu tư nhưng không nhằm tính ngân sách. "To determine the number of employees needed in the IT department" là hoạch định nhân lực, không phải mục tiêu của tự đánh giá rủi ro và kiểm soát.

Đáp án đúng: "Create peer pressure". Để nhân viên chủ động tuân thủ, họ cần cảm nhận được lợi ích khi làm theo chính sách; tạo peer pressure (áp lực đồng nghiệp) khiến việc tuân thủ trở thành chuẩn mực của nhóm, người làm đúng được ghi nhận, người làm sai thấy mình lạc lõng, ví dụ công khai khen phòng ban không có ai mắc bẫy thư lừa đảo. "Increase workload" sai vì làm chính sách bị xem là gánh nặng, gây phản kháng. "Implement more policies" sai vì quá nhiều chính sách gây mệt mỏi và khó nhớ, không tạo lợi ích nào. "Decrease communication" sai vì thiếu truyền thông khiến nhân viên không hiểu lý do và giá trị của chính sách.

Đáp án đúng: "Sell, Market, and Profit". Câu hỏi phủ định: cần tìm cái KHÔNG phải miền quy trình của COBIT. COBIT chia mảng quản lý CNTT thành các miền theo vòng đời: lập kế hoạch, xây dựng, vận hành và giám sát; bán hàng, tiếp thị, lợi nhuận là hoạt động kinh doanh thuần, không phải miền quản trị CNTT. "Align, Plan, and Organize" (APO) đúng là miền COBIT, lo chiến lược, kiến trúc, ngân sách, rủi ro CNTT. "Build, Acquire, and Implement" (BAI) đúng là miền COBIT, bao trùm việc xây dựng, mua sắm và triển khai giải pháp, quản lý thay đổi. "Deliver, Service, and Support" là cách gọi miền DSS (Deliver, Service and Support) lo vận hành, quản lý sự cố, dịch vụ an ninh hằng ngày, nên cũng thuộc COBIT và không được chọn.

Đáp án đúng: "To inform employees about basic principles of information security and threats". Security Awareness Policy (SAP, chính sách nhận thức an toàn thông tin) quy định việc giáo dục và đào tạo định kỳ để nhân viên hiểu các nguyên tắc cơ bản như bảo mật mật khẩu, nhận diện email lừa đảo, báo cáo sự cố, và biết các mối đe dọa đang nhắm vào tổ chức. Mục tiêu là thay đổi hành vi của con người, vốn là mắt xích yếu nhất trong miền người dùng. "To manage software licenses" thuộc chính sách sử dụng chấp nhận được hoặc quản lý tài sản phần mềm, không phải mục đích của SAP. "To manage network traffic" là việc của tiêu chuẩn kỹ thuật về tường lửa và phân đoạn mạng trong miền LAN hoặc LAN-to-WAN. "To set encryption standards" thuộc tiêu chuẩn mã hóa, quy định thuật toán và độ dài khóa, chứ không phải nội dung giáo dục nhân viên.

Đáp án đúng: "Inventory management". Inventory management (quản lý kiểm kê tài sản) là việc theo dõi danh sách phần cứng và phần mềm có trên từng máy trạm, gồm tên, phiên bản và giấy phép. Biết chính xác phần mềm nào đang được cài là nền tảng để phát hiện phần mềm trái phép, kiểm soát bản quyền và xác định máy nào cần vá khi có lỗ hổng. Phương án "Patch management" là quản lý bản vá, dùng dữ liệu kiểm kê để biết máy nào cần cập nhật, nhưng mục đích của nó là cài bản vá chứ không phải nắm phần mềm đang có. Phương án "Security management" là khái niệm rộng bao trùm mọi hoạt động an ninh, không chỉ riêng việc nắm danh mục phần mềm. Phương án "Discovery management" gần nghĩa vì công cụ dò quét giúp phát hiện thiết bị và phần mềm trên mạng, nhưng đó là phương tiện thu thập dữ liệu cho quản lý kiểm kê, không phải tên loại quản lý được hỏi.

Đáp án đúng: "Company officers". Khi xảy ra vi phạm an ninh nghiêm trọng, cơ quan quản lý và công chúng quy trách nhiệm cuối cùng cho company officers (cán bộ điều hành cấp cao như CEO, CFO cùng hội đồng quản trị), vì họ có nghĩa vụ ủy thác bảo vệ tài sản và dữ liệu của tổ chức; luật như SOX còn buộc lãnh đạo cấp cao ký xác nhận về hệ thống kiểm soát nội bộ. "The CIO" chịu trách nhiệm vận hành CNTT nhưng vẫn báo cáo lên ban lãnh đạo, không phải người gánh trách nhiệm sau cùng. "The ISO" (Information Security Officer, cán bộ an toàn thông tin) xây dựng và giám sát chương trình an ninh, nhưng thẩm quyền và trách nhiệm pháp lý cuối cùng thuộc về lãnh đạo công ty. "The data owner" chịu trách nhiệm phân loại và phê duyệt quyền truy cập cho một tập dữ liệu cụ thể, phạm vi hẹp hơn nhiều.

Đáp án đúng: "All of the above". Ánh xạ (mapping) yêu cầu quy định tới chính sách và kiểm soát là việc chỉ rõ mỗi điều khoản của luật như SOX hay HIPAA được đáp ứng bởi chính sách nào và kiểm soát cụ thể nào; bảng ánh xạ này phục vụ đồng thời nhiều mục đích. "To demonstrate compliance to regulators" đúng vì khi kiểm toán, tổ chức đưa bảng ánh xạ ra làm bằng chứng mình đã đáp ứng từng yêu cầu. "To ensure regulatory requirements are covered" đúng vì ánh xạ giúp phát hiện điều khoản chưa có kiểm soát nào đáp ứng để bổ sung. "To demonstrate the importance of a security control" cũng đúng, vì một kiểm soát gắn với nhiều yêu cầu pháp lý cho thấy nó quan trọng, giúp ưu tiên ngân sách và giải thích cho người dùng vì sao phải tuân theo. Mỗi ý là một lợi ích riêng nên chỉ phương án gộp là đầy đủ.