Câu hỏi: IAP301 Phát triển chính sách an toàn thông tin – Bộ ôn tập thi lại số 2

Đáp án đúng: "Contact the IT Service Desk immediately". Khi nghi mật khẩu bị lộ, người dùng phải báo ngay cho IT Service Desk (bộ phận hỗ trợ CNTT), vì chỉ bộ phận này có quyền đặt lại mật khẩu, tạm khoá tài khoản, kiểm tra nhật ký đăng nhập và khởi động quy trình ứng phó sự cố nếu cần; tốc độ báo cáo quyết định thiệt hại. "Advise your Operations Support Advisor contact" sai vì người này hỗ trợ nghiệp vụ, không có quyền xử lý tài khoản. "Contact your line manager immediately" có thể làm thêm để quản lý nắm tình hình, nhưng quản lý trực tiếp không đặt lại hay khoá được tài khoản nên không phải bước đúng nhất. "Email the Sports Leaders UK distribution group to let everybody know" sai vì loan tin rộng không khắc phục gì, còn có thể làm lộ thêm thông tin cho kẻ tấn công.

Đáp án đúng: "A breach is a confirmed event that compromises the confidentiality, integrity, or availability of information.". Breach (vi phạm an ninh) là sự kiện đã được xác nhận làm tổn hại tới thông tin, và tổn hại đó có thể ở bất kỳ thuộc tính nào trong bộ ba CIA: confidentiality (bí mật), integrity (toàn vẹn), availability (sẵn sàng). Ví dụ lộ hồ sơ khách hàng, dữ liệu bị sửa trái phép hay hệ thống bị ransomware khóa đều có thể là breach. Những mô tả chỉ giữ một thuộc tính thì quá hẹp: phương án kết thúc bằng "compromises the confidentiality of information." chỉ gồm việc lộ thông tin; phương án kết thúc bằng "compromises the integrity of information." chỉ gồm việc thông tin bị sửa đổi; phương án kết thúc bằng "compromises the availability of information." chỉ gồm việc thông tin không truy cập được. Mỗi trường hợp đó đúng là một dạng breach nhưng không phải mô tả đầy đủ nhất.

Đáp án đúng: "Engaging in communication". Apathy (sự thờ ơ) là khi nhân viên không quan tâm tới chính sách an toàn thông tin vì không thấy nó liên quan tới mình. Cách khắc phục hiệu quả là giao tiếp chủ động: giải thích lý do chính sách tồn tại, lợi ích với chính họ, lắng nghe phản hồi và cho họ tham gia, nhờ đó họ thấy mình có vai trò và quan tâm hơn. "Avoiding redundancy" là nguyên tắc tránh trùng lặp khi viết tài liệu chính sách, giúp tài liệu gọn nhưng không tác động tới thái độ người dùng. "Issuing company directives" là ra mệnh lệnh từ trên xuống, có thể buộc làm theo trên giấy nhưng thường làm sự thờ ơ sâu hơn vì người nhận không hiểu lý do. "Requiring obedience to policies" cũng chỉ ép tuân thủ, không tạo ra sự quan tâm thật, nên không giải quyết gốc rễ của thờ ơ.

Đáp án đúng: "Pride, self-interest, and success". Ba yếu tố cơ bản tạo động lực ở nơi làm việc là pride (niềm tự hào về công việc và tổ chức), self-interest (lợi ích cá nhân, điều người lao động nhận được cho bản thân) và success (mong muốn thành công, đạt kết quả). Khi triển khai chính sách an ninh, lãnh đạo khai thác cả ba: giúp nhân viên tự hào vì góp phần bảo vệ khách hàng, cho thấy tuân thủ có lợi cho chính họ và gắn an ninh với thành công của tổ chức. Phương án "Salary, benefits, and job title" là các phần thưởng vật chất bên ngoài, có ảnh hưởng nhưng không phải ba yếu tố nền tảng của động lực. Phương án "Authority, control, and responsibility" là các khái niệm về quyền hạn và trách nhiệm trong cơ cấu tổ chức, không phải động lực. Phương án "Fear, rewards, and punishments" là cách tiếp cận cây gậy và củ cà rốt, chỉ tạo tuân thủ ngắn hạn chứ không phải thành phần cơ bản của động lực.

Đáp án đúng: "They often bypass formal processes". Đơn vị kinh doanh kiểu entrepreneurial (khởi nghiệp, năng động) ưu tiên tốc độ, đổi mới và cơ hội thị trường, nên hay đi đường tắt, bỏ qua quy trình chính thức như duyệt thay đổi hay đánh giá rủi ro. Đó là rủi ro với chính sách an ninh: kiểm soát bị lách, hệ thống được đưa vào dùng khi chưa được đánh giá. Người viết chính sách cần thiết kế quy trình đủ nhanh để họ chịu làm theo. "They resist innovation" nói ngược với đặc điểm của nhóm này, vì họ chính là bên thúc đẩy đổi mới. "They tend to over-document procedures" sai vì lập quá nhiều tài liệu là đặc điểm của đơn vị quan liêu, còn nhóm khởi nghiệp thường ghi chép quá ít. "They avoid cloud technologies" sai vì nhóm năng động thường nhanh chóng dùng công nghệ mới như đám mây, đôi khi còn tự dùng mà không qua bộ phận CNTT.

Đáp án đúng: "Reduction in risk". Chính sách an toàn thông tin tồn tại để đưa rủi ro của tổ chức xuống mức chấp nhận được, nên thước đo thành công đáng tin nhất là rủi ro thực sự giảm, thể hiện qua ít sự cố hơn, ít phát hiện kiểm toán hơn, thiệt hại nhỏ hơn. "Number of security controls developed as a result" sai vì số lượng kiểm soát không cho biết chúng có hiệu quả hay chỉ tạo thêm gánh nặng. "The number of people aware of the policy" là chỉ số nhận thức hữu ích, nhưng biết chính sách chưa chắc đã làm theo, nên không chứng minh rủi ro giảm. "The rank of the highest executive who approved it" phản ánh sự ủng hộ của lãnh đạo, điều kiện quan trọng để triển khai thuận lợi, nhưng là đầu vào chứ không phải kết quả đo được của chính sách.

Đáp án đúng: "Proprietary". Lược đồ phân loại dữ liệu hướng doanh nghiệp thường dùng các mức như public (công khai), internal (nội bộ), confidential hay proprietary (độc quyền) để bảo vệ thông tin có giá trị cạnh tranh như bí mật thương mại, công thức sản phẩm, mã nguồn. "Top Secret" là mức phân loại của chính phủ và quân đội, áp dụng cho thông tin mà nếu lộ có thể gây thiệt hại đặc biệt nghiêm trọng cho an ninh quốc gia. "NATO Secret" là mức phân loại của khối NATO, dùng giữa các quốc gia thành viên chứ không phải trong doanh nghiệp. "Unclassified" cũng thuộc hệ thống phân loại của chính phủ, chỉ thông tin chưa được xếp vào mức mật nào.

Đáp án đúng: "Internal". Military classification scheme (lược đồ phân loại quân sự, điển hình của chính phủ Mỹ) gồm các mức Top Secret, Secret, Confidential và Unclassified, xếp theo mức thiệt hại cho an ninh quốc gia nếu thông tin bị lộ. "Internal" (nội bộ) là mức thường gặp trong lược đồ phân loại thương mại của doanh nghiệp (Public, Internal, Confidential, Restricted), không thuộc lược đồ quân sự. Những mức sau đây đều đúng là mức quân sự nên không chọn: "Top Secret" là mức cao nhất, lộ ra gây thiệt hại đặc biệt nghiêm trọng; "Secret" là mức gây thiệt hại nghiêm trọng; "Confidential" là mức thấp nhất trong nhóm mật, lộ ra gây thiệt hại cho an ninh quốc gia.

Đáp án đúng: "Data at rest and data in transit". Trong chính sách xử lý dữ liệu, mã hóa là kiểm soát bảo vệ tính bí mật ở cả hai trạng thái chính: data at rest (dữ liệu lưu trữ) trên ổ đĩa, cơ sở dữ liệu, băng sao lưu, và data in transit (dữ liệu đang truyền) qua mạng. Ví dụ tổ chức mã hóa toàn bộ ổ đĩa máy xách tay để phòng mất máy và dùng TLS cho web, VPN cho kết nối từ xa. "Only data in transit" sai vì bỏ qua rủi ro mất thiết bị hay lộ bản sao lưu. "Only data at rest" sai vì bỏ qua rủi ro nghe lén trên đường truyền. "Data during processing only" sai vì dữ liệu khi đang xử lý trong bộ nhớ thường phải ở dạng giải mã để tính toán, đó không phải phạm vi chính mà chính sách mã hóa nhắm tới.

Đáp án đúng: "All of the above". Data owner (chủ sở hữu dữ liệu) là người quản lý phía kinh doanh chịu trách nhiệm cuối cùng về một tập dữ liệu: quyết định phân loại dữ liệu, ai được truy cập và mức bảo vệ cần thiết, còn việc vận hành kỹ thuật giao cho data custodian (người giám hộ dữ liệu). Để làm tròn vai trò đó, chủ sở hữu cần đủ cả bốn phẩm chất nêu ra, nên phương án gộp là đúng. Phương án "Is in a senior position within the business" đúng vì cần đủ thẩm quyền để quyết định và chịu trách nhiệm, nhưng chỉ là một phẩm chất. Phương án "Understands the data operations of the business" đúng vì phải hiểu dữ liệu được tạo và dùng thế nào trong nghiệp vụ, nhưng chưa đủ. Phương án "Understands the importance and value of the information to the business" đúng vì giá trị dữ liệu quyết định mức phân loại và đầu tư bảo vệ, nhưng chưa đủ. Phương án "Understand the ramifications of inaccurate data or unauthorized access" đúng vì phải lường được hậu quả khi dữ liệu sai lệch hay bị lộ, nhưng chọn riêng nó thì bỏ sót các phẩm chất khác.

Đáp án đúng: "Decentralization of the risk function". Khi tổ chức áp dụng COBIT, các cải thiện thường được ghi nhận là quản trị CNTT gắn với mục tiêu kinh doanh hơn, và chức năng quản lý rủi ro được tập trung, thống nhất chứ không phải phân tán. Vì vậy phân tán chức năng rủi ro không phải là một cải thiện, đây là đáp án của câu phủ định. "Value delivery" là cải thiện thật, vì COBIT giúp đo và bảo đảm đầu tư CNTT tạo ra giá trị cho doanh nghiệp, nên không được chọn. "Better resourcing of IT" cũng là cải thiện, khung giúp phân bổ con người, ngân sách và hạ tầng CNTT hợp lý hơn theo ưu tiên kinh doanh. "Better communication" đúng là cải thiện, vì COBIT tạo ngôn ngữ chung giữa CNTT, kinh doanh và kiểm toán, giúp các bên hiểu nhau hơn.

Đáp án đúng: "Defines an approach to reduce risk". GRC (governance, risk and compliance, quản trị, rủi ro và tuân thủ) và ERM (enterprise risk management, quản trị rủi ro doanh nghiệp) đều là cách tiếp cận có hệ thống để nhận diện và giảm rủi ro, đó là điểm chung của cả hai. "Applies rigid framework to eliminate redundant controls, policies, and efforts" sai vì GRC có hướng tới loại bỏ kiểm soát trùng lặp nhưng không bằng một khung cứng nhắc, còn ERM linh hoạt theo bối cảnh kinh doanh. "Passively enforces security policy" sai vì GRC chủ động thực thi chính sách qua công cụ tự động, còn ERM không phải công cụ thực thi. "Seeks line of sight into root causes of risks" là đặc trưng của ERM, nhìn rủi ro ở góc toàn doanh nghiệp tới tận nguyên nhân gốc, trong khi GRC tập trung vào kiểm soát và tuân thủ, nên đó không phải điểm chung.

Đáp án đúng: "ISO/IEC 27001". ISO/IEC 27001 là tiêu chuẩn quốc tế đặt ra yêu cầu để thiết lập, vận hành, giám sát và cải tiến liên tục một ISMS (Information Security Management System, hệ thống quản lý an toàn thông tin), dựa trên đánh giá rủi ro và chu trình Plan-Do-Check-Act; tổ chức có thể được chứng nhận theo tiêu chuẩn này. "HIPAA" là luật của Mỹ về bảo vệ thông tin sức khoẻ, chỉ áp dụng cho ngành y tế. "SOX" (Sarbanes-Oxley) là luật của Mỹ yêu cầu kiểm soát nội bộ đối với báo cáo tài chính của công ty niêm yết. "PCI-DSS" là tiêu chuẩn của ngành thẻ thanh toán về bảo vệ dữ liệu chủ thẻ, không phải khung ISMS quốc tế tổng quát.

Đáp án đúng: "Customers as the third line". Mô hình ba tuyến phòng thủ (three lines of defense) phân chia trách nhiệm quản trị rủi ro bên trong tổ chức: tuyến một là bộ phận kinh doanh sở hữu và kiểm soát rủi ro hằng ngày, tuyến hai là chức năng quản lý rủi ro và tuân thủ giám sát, tuyến ba là kiểm toán độc lập đưa ra sự bảo đảm khách quan. Khách hàng là bên ngoài, không có vai trò trong cơ cấu này. Những tuyến sau đây đều mô tả đúng mô hình nên không chọn: "Business Unit as the first line" mô tả đúng tuyến một; "Enterprise Risk Management Program as the second line" mô tả đúng tuyến hai, nơi chương trình quản lý rủi ro doanh nghiệp đặt khung và theo dõi; "Independent Auditors as the third line" mô tả đúng tuyến ba, kiểm toán độc lập với cả hai tuyến trước.

Đáp án đúng: "All of the above". Ánh xạ (mapping) yêu cầu quy định tới chính sách và kiểm soát là việc chỉ rõ mỗi điều khoản của luật như SOX hay HIPAA được đáp ứng bởi chính sách nào và kiểm soát cụ thể nào; bảng ánh xạ này phục vụ đồng thời nhiều mục đích. "To demonstrate compliance to regulators" đúng vì khi kiểm toán, tổ chức đưa bảng ánh xạ ra làm bằng chứng mình đã đáp ứng từng yêu cầu. "To ensure regulatory requirements are covered" đúng vì ánh xạ giúp phát hiện điều khoản chưa có kiểm soát nào đáp ứng để bổ sung. "To demonstrate the importance of a security control" cũng đúng, vì một kiểm soát gắn với nhiều yêu cầu pháp lý cho thấy nó quan trọng, giúp ưu tiên ngân sách và giải thích cho người dùng vì sao phải tuân theo. Mỗi ý là một lợi ích riêng nên chỉ phương án gộp là đầy đủ.

Đáp án đúng: "Non-repudiation". Đây là câu phủ định: cần chọn ý không thuộc nhóm hướng dẫn khi xây dựng chính sách bảo vệ PII (thông tin định danh cá nhân). Non-repudiation (chống chối bỏ) là thuộc tính bảo mật bảo đảm người gửi không thể phủ nhận đã thực hiện giao dịch, thường nhờ chữ ký số; nó quan trọng với giao dịch điện tử nhưng không phải hướng dẫn riêng về quyền riêng tư dữ liệu cá nhân. Ba ý còn lại đều là hướng dẫn bảo vệ PII nên không được chọn. "Educate" đúng vì nhân viên phải được đào tạo cách xử lý PII an toàn. "Limit" đúng vì chỉ thu thập và cho truy cập PII ở mức tối thiểu cần thiết cho mục đích kinh doanh. "Encrypt" đúng vì PII cần được mã hóa khi lưu trữ và khi truyền để giảm thiệt hại nếu bị lộ.

Đáp án đúng: "All other choices". Khi security awareness program (chương trình nâng cao nhận thức an ninh) nhấn mạnh rủi ro kinh doanh, tức giải thích sự cố an ninh ảnh hưởng thế nào tới doanh thu, khách hàng và công việc của chính nhân viên thay vì chỉ liệt kê quy định kỹ thuật, nó mang lại cả ba lợi ích nêu ra nên phương án gộp là đúng. Phương án "Risk becomes more relevant to employees" đúng vì nhân viên thấy rủi ro gắn với công việc hằng ngày của mình chứ không phải chuyện riêng của phòng CNTT, nhưng chỉ là một lợi ích. Phương án "Security policies are more likely to be followed" đúng vì khi hiểu lý do đằng sau, người ta tuân thủ tự nguyện hơn, nhưng chưa đủ. Phương án "Provides employees a foundation to deal with unexpected risk" đúng vì người hiểu bản chất rủi ro có thể tự phán đoán đúng trong tình huống chính sách chưa lường trước, nhưng chọn riêng nó thì bỏ sót hai lợi ích kia.

Đáp án đúng: "The visibility of management’s response to violations". Peer pressure (áp lực đồng nghiệp) là việc nhân viên nhắc nhở và giữ nhau tuân thủ chính sách. Nó chỉ hiệu quả khi mọi người thấy rõ ban lãnh đạo thực sự phản ứng với vi phạm; nếu vi phạm bị bỏ qua, nhân viên sẽ nghĩ chính sách không quan trọng và không còn lý do nhắc nhau. Ví dụ khi một người chia sẻ mật khẩu bị xử lý công khai và nhất quán, đồng nghiệp sẽ tự giác giám sát lẫn nhau hơn. "The size of the team" có ảnh hưởng tới cách nhóm tương tác nhưng không quyết định áp lực đồng nghiệp có tác dụng hay không. "The technological tools used" là công cụ kỹ thuật thực thi chính sách, một cơ chế khác, không phải yếu tố tạo nên áp lực xã hội. "The severity of the security policies" là mức nghiêm khắc của chính sách; chính sách nghiêm mà không ai thấy lãnh đạo xử lý thì áp lực đồng nghiệp vẫn yếu.

Đáp án đúng: "WMI". SCAP (Security Content Automation Protocol) là bộ chuẩn do NIST duy trì để tự động hóa việc kiểm tra cấu hình và lỗ hổng, gồm các ngôn ngữ, cách đặt tên và hệ thống chấm điểm như XCCDF, OVAL, CPE, CVE, CCE và CVSS. Câu hỏi phủ định nên đáp án là phần tử không thuộc bộ này: WMI (Windows Management Instrumentation) là công nghệ quản trị của Microsoft; công cụ quét có thể dùng WMI để thu thập dữ liệu từ máy Windows, nhưng nó không phải thành phần SCAP. "XCCDF" là ngôn ngữ mô tả checklist và kết quả đánh giá cấu hình, thuộc SCAP. "OVAL" là ngôn ngữ mô tả cách kiểm tra trạng thái hệ thống để phát hiện lỗ hổng hay cấu hình sai, cũng thuộc SCAP. "CPE" là quy ước đặt tên chuẩn cho hệ điều hành, phần mềm và phần cứng, cũng là thành phần của SCAP.

Đáp án đúng: "It provides a standardized risk score to determine patch criticality". OWASP Risk Rating Methodology (phương pháp xếp hạng rủi ro của OWASP) ước lượng rủi ro của một lỗ hổng bằng cách kết hợp khả năng xảy ra (likelihood) và mức tác động (impact) thành một điểm chuẩn hoá; trong quản lý bản vá, điểm này giúp xếp thứ tự ưu tiên, vá lỗ hổng rủi ro cao trước. "It automates the patching process" sai vì đây là phương pháp đánh giá, việc tự động hoá do công cụ quản lý bản vá đảm nhận. "It ensures patches are applied within a specific timeframe" sai vì thời hạn vá do chính sách quản lý bản vá quy định. "It evaluates the financial impact of patches" sai vì nó đánh giá rủi ro của lỗ hổng chứ không tính chi phí của bản vá.