Câu hỏi: IAP301 Phát triển chính sách an toàn thông tin – Bộ ôn tập thi lại số 2

Đáp án đúng: "The protocol's capability to manage and query network devices for compliance.". SNMP (Simple Network Management Protocol, giao thức quản lý mạng đơn giản) cho phép trạm quản lý truy vấn và cấu hình thiết bị mạng như router, switch, máy chủ, thu thập thông tin cấu hình và trạng thái, nhận cảnh báo trap. Nhờ đó tổ chức kiểm tra thiết bị có cấu hình đúng tiêu chuẩn của chính sách hay không, phát hiện lệch chuẩn. "Its ability to manage non-IT related tasks." sai vì SNMP chỉ dành cho thiết bị mạng và hệ thống CNTT. "SNMP's exclusive use for email server management." sai vì SNMP không chuyên cho máy chủ email, email dùng giao thức khác như SMTP. "Its role in managing physical security barriers." sai vì rào chắn an ninh vật lý không phải đối tượng của giao thức quản lý mạng.

Đáp án đúng: "To identify critical business functions and assess the impact of a disruptive event". Business Impact Analysis (BIA, phân tích tác động kinh doanh) là bước nền của kế hoạch liên tục kinh doanh và khôi phục thảm họa: tổ chức xác định chức năng nào là thiết yếu, đo thiệt hại về tài chính, pháp lý, uy tín nếu chức năng đó ngừng, và từ đó đặt mục tiêu thời gian khôi phục như RTO (recovery time objective). Ví dụ ngân hàng xác định hệ thống thanh toán phải chạy lại trong vài giờ, còn hệ thống báo cáo nội bộ có thể chờ vài ngày. "To train employees on security protocols" là mục tiêu của chương trình nhận thức và đào tạo bảo mật. "To monitor daily business operations" là hoạt động giám sát vận hành thường ngày, không phải phân tích tình huống gián đoạn. "To ensure compliance with employment laws" thuộc chính sách nhân sự, không liên quan tới đánh giá tác động khi có sự cố.

Đáp án đúng: "The chronological documentation that shows how evidence was controlled, transferred, and analyzed". Chain of custody (chuỗi lưu giữ chứng cứ) là hồ sơ ghi theo trình tự thời gian mọi lần chứng cứ được thu giữ, chuyển giao, lưu trữ và phân tích: ai giữ, lúc nào, ở đâu, làm gì. Hồ sơ này chứng minh chứng cứ số như ổ cứng hay bản sao nhật ký không bị thay đổi, nhờ đó có giá trị trước tòa hoặc khi xử lý kỷ luật; thiếu một mắt xích là chứng cứ có thể bị bác bỏ. Phương án "The sequence of management approvals required for budget increases" sai vì đó là quy trình phê duyệt ngân sách, không liên quan tới chứng cứ. Phương án "The order in which employees are notified about an incident" sai vì đó là danh sách thông báo trong kế hoạch ứng phó sự cố. Phương án "A list of potential custodians for company data during a disaster" sai vì chỉ mượn chữ custodian (người giám hộ) nhưng nói về phân công giữ dữ liệu khi thảm họa, không phải theo dõi chứng cứ.

Đáp án đúng: "This is used to assess the severity of the threat.". Triage (phân loại ưu tiên) trong ứng phó sự cố là bước đầu sau khi phát hiện: xem xét sự kiện để xác định mối đe doạ nghiêm trọng tới đâu, ảnh hưởng tài sản nào, từ đó quyết định mức ưu tiên, ai xử lý và có cần leo thang không, giống như phân loại bệnh nhân ở phòng cấp cứu. "This is used to assess the severity of the vulnerability." mô tả việc đánh giá lỗ hổng, thường làm trong quản lý lỗ hổng định kỳ với thang như CVSS, không phải mục đích của triage khi sự cố đang diễn ra. "This is used to assess the severity of the exploit." chỉ nhìn vào kỹ thuật khai thác, một phần của mối đe doạ, chưa đủ để đánh giá tác động tổng thể lên tổ chức. "This is used to assess the severity of the prevention." không có nghĩa trong ứng phó sự cố, vì biện pháp phòng ngừa không phải thứ được đo mức nghiêm trọng.

Đáp án đúng gồm ba ý: "IRT provides on-site response", "IRT acts in a support role" và "IRT acts in a coordination role". Mô hình của incident response team (IRT, đội ứng phó sự cố) được phân theo cách đội tham gia xử lý: ứng cứu tại chỗ khi đội trực tiếp có mặt và xử lý sự cố; vai trò hỗ trợ khi đội hướng dẫn từ xa còn đơn vị bị ảnh hưởng tự thực hiện; vai trò điều phối khi đội kết nối và sắp xếp công việc giữa nhiều nhóm hay nhiều địa điểm, thường ở tổ chức lớn phân tán. "IRT provides in-site response" không phải tên một mô hình, nó chỉ là biến thể sai của ứng cứu tại chỗ. "IRT acts in a expert role" sai vì chuyên môn là năng lực mọi đội đều cần, không phải một cách tổ chức riêng. "IRT acts in a technical role" cũng sai vì kỹ năng kỹ thuật có mặt trong cả ba mô hình chứ không tạo thành mô hình thứ tư.

Đáp án đúng: "To serve as the foundation of an organization’s information security program.". IT security policy framework (khung chính sách an toàn CNTT) gồm policy, standard, procedure và guideline, là nền móng của chương trình an toàn thông tin: mọi biện pháp kỹ thuật, đào tạo hay kiểm toán đều bắt nguồn từ đó và phải nhất quán với nó. "To ensure all IT projects are completed on time." sai vì tiến độ dự án là việc của quản lý dự án, không phải của khung chính sách an ninh. "To monitor employee internet usage." chỉ là một biện pháp cụ thể có thể được một chính sách quy định, không phải mục đích của cả khung. "To facilitate software development processes." sai vì hỗ trợ phát triển phần mềm là vai trò của quy trình phát triển, khung an ninh chỉ đặt yêu cầu an toàn cho quy trình đó.

Đáp án đúng: "Unchanged default password". Cần phân biệt threat (mối đe dọa), là tác nhân hoặc sự kiện có thể gây hại cho tài sản thông tin, với vulnerability (lỗ hổng), là điểm yếu mà mối đe dọa có thể khai thác. Mật khẩu mặc định không được đổi là một lỗ hổng cấu hình, bản thân nó không gây hại mà chỉ tạo điều kiện cho kẻ tấn công. Những mục sau đây đều là mối đe dọa nên không chọn: "Robbery" (trộm cướp) là đe dọa vật lý có thể lấy đi máy tính, tài liệu chứa thông tin; "Eavesdropping" (nghe lén) là đe dọa chặn bắt thông tin khi truyền; "Information leakage" (rò rỉ thông tin) là sự kiện làm thông tin lọt ra ngoài, gây tổn hại tính bí mật.

Đáp án đúng gồm ba ý: "COBIT", "ISO/IEC 27002" và "NIST SP 800-53". Đây là ba khung chính sách và kiểm soát được chấp nhận rộng rãi: COBIT là khung quản trị và kiểm soát CNTT của ISACA, gắn CNTT với mục tiêu kinh doanh; ISO/IEC 27002 là bộ quy tắc thực hành về các kiểm soát an toàn thông tin, đi kèm hệ thống quản lý ISO/IEC 27001; NIST SP 800-53 là danh mục kiểm soát bảo mật và quyền riêng tư của Viện Tiêu chuẩn và Công nghệ Hoa Kỳ, dùng rộng rãi cho hệ thống liên bang. "NIPP" (National Infrastructure Protection Plan) là kế hoạch quốc gia của Hoa Kỳ về bảo vệ hạ tầng trọng yếu, mang tính chiến lược phối hợp giữa chính phủ và các ngành, không phải khung xây dựng chính sách cho một tổ chức. "Factor Analysis of Information Risk (FAIR)" là mô hình định lượng rủi ro thông tin theo giá trị tiền tệ, hữu ích cho phân tích rủi ro nhưng không phải khung chính sách.

Đáp án đúng: "Procedure". Procedure (thủ tục) là tài liệu chính sách chi tiết nhất, mô tả từng bước, từng thao tác cụ thể mà nhân sự bắt buộc phải làm để thực hiện một chính sách hay tiêu chuẩn, ví dụ các bước tạo tài khoản cho nhân viên mới hay các bước sao lưu máy chủ hằng đêm. Phương án "Standard" (tiêu chuẩn) là yêu cầu bắt buộc đo lường được, như độ dài mật khẩu tối thiểu hay thuật toán mã hóa phải dùng; nó nói cần đạt cái gì chứ không mô tả các bước làm. Phương án "Guideline" (hướng dẫn) là khuyến nghị không bắt buộc, giúp người dùng chọn cách làm tốt khi chưa có quy định cụ thể. Phương án "Baseline" (cấu hình cơ sở) là mức cấu hình an ninh tối thiểu cho một loại hệ thống, như danh sách dịch vụ phải tắt trên máy chủ, không phải chuỗi thao tác của nhân sự.

Đáp án đúng: "A coding error in the heartbeat routine.". Heartbleed (CVE-2014-0160) là lỗi lập trình trong phần xử lý tiện ích heartbeat của thư viện OpenSSL: mã không kiểm tra độ dài thực của dữ liệu mà bên gửi khai báo, nên kẻ tấn công có thể đòi máy chủ trả về tới khoảng 64 KB bộ nhớ, trong đó có thể chứa khoá riêng, mật khẩu hay phiên đăng nhập. Bài học cho chính sách là cần quản lý bản vá và kiểm định mã của thành phần mã nguồn mở. "A password weakness." sai vì lỗi không liên quan tới mật khẩu yếu; mật khẩu chỉ là một trong những thứ có thể bị lộ do lỗi. "An outdated encryption method." sai vì thuật toán mã hoá không bị phá, lỗi nằm ở cách cài đặt chứ không ở thuật toán. "An SQL injection vulnerability." sai vì SQL injection là lỗi chèn câu lệnh vào cơ sở dữ liệu của ứng dụng web, không liên quan tới thư viện TLS.

Đáp án đúng: "To identify risk of fraud". Major applications (ứng dụng lớn) như hệ thống tài chính, bảng lương hay ERP xử lý dữ liệu và giao dịch có giá trị, nên đánh giá rủi ro cho chúng nhằm nhận diện mối đe dọa với quy trình nghiệp vụ, trong đó gian lận là rủi ro điển hình, ví dụ một người vừa tạo vừa duyệt thanh toán. Kết quả đánh giá dẫn tới các kiểm soát như separation of duties (phân tách nhiệm vụ) và nhật ký kiểm toán. "To enhance user interface" là mục tiêu thiết kế trải nghiệm người dùng, không phải mục đích của đánh giá rủi ro. "To reduce development time" là mục tiêu quản lý dự án; đánh giá rủi ro thậm chí còn thêm việc vào quá trình phát triển. "To increase application performance" là mục tiêu tối ưu kỹ thuật, không liên quan tới việc nhận diện rủi ro an ninh.

Đáp án đúng: "Access management". Access management (quản lý truy cập) là quy trình xử lý yêu cầu cấp, sửa và thu hồi quyền; nếu được thiết kế đúng, nó đối chiếu yêu cầu mới với quyền hiện có để phát hiện vi phạm separation of duties (phân tách nhiệm vụ), như một nhân viên giao dịch cùng lúc có quyền vào ứng dụng front-office và back-office. "Risk assessment" là đánh giá rủi ro nói chung để xác định cần kiểm soát gì, không kiểm tra từng yêu cầu cấp quyền. "Controls design" là bước thiết kế kiểm soát, đặt ra quy tắc phân tách nhiệm vụ nhưng không tự phát hiện vi phạm khi quyền được cấp. "Escalation" là quy trình báo cáo lên cấp cao hơn sau khi vấn đề đã được phát hiện.

Đáp án đúng: "Balancing security needs with business objectives". Khung chính sách an ninh tốt phải hỗ trợ mục tiêu kinh doanh: kiểm soát được thiết kế tương xứng với rủi ro, không cản trở hoạt động tới mức nhân viên tìm cách lách. Chính sách quá lỏng gây rủi ro, quá chặt làm giảm năng suất, nên cân bằng là đặc trưng then chốt. "High complexity to cover all technological aspects" sai vì chính sách phức tạp khó hiểu, khó thực thi; khung tốt cần rõ ràng, súc tích. "Strict focus on external threats" sai vì bỏ qua đe dọa nội bộ như nhân viên bất cẩn hay cố ý. "Inclusion of detailed technical instructions" sai vì chỉ dẫn kỹ thuật chi tiết thuộc procedures hoặc standards bên dưới, đưa vào chính sách cấp cao làm nó nhanh lỗi thời.

Đáp án đúng: "True". Thiết bị do công ty sở hữu là tài sản của tổ chức, và chính sách thiết bị di động hay chính sách sử dụng chấp nhận được thường nêu rõ bộ phận CNTT được quyền xóa từ xa (remote wipe) toàn bộ thiết bị khi bị mất, bị đánh cắp hoặc khi nhân viên nghỉ việc, để ngăn dữ liệu công ty rơi vào tay người khác. Vì việc xóa thường áp lên cả thiết bị, dữ liệu cá nhân mà nhân viên tự lưu trên đó cũng có thể bị xóa; người dùng được thông báo và chấp nhận điều này khi nhận thiết bị, nên họ được khuyên không lưu dữ liệu riêng quan trọng trên máy công ty. Phương án "False" sai vì nó cho rằng công ty không có quyền đó, trong khi quyền xóa từ xa vì lý do an ninh là kiểm soát phổ biến và hợp lệ trên tài sản do công ty sở hữu.

Đáp án đúng: "Router Security Controls". Đây là tiêu chuẩn đặt ra cấu hình an ninh tối thiểu cho mọi router và switch trong hạ tầng mạng, chẳng hạn đổi mật khẩu mặc định, tắt dịch vụ không dùng, quản trị qua kênh mã hóa như SSH, giới hạn ai được truy cập giao diện quản trị và bật ghi nhật ký. Một tiêu chuẩn như vậy giúp mọi thiết bị mạng có chung một mức an ninh nền, dễ kiểm tra và khó bị bỏ sót. Phương án "Firewall Configuration Standard" chỉ áp dụng cho tường lửa, quy định tập luật lọc lưu lượng chứ không bao trùm router và switch. Phương án "Intrusion Detection and Prevention Standard" quy định việc triển khai và giám sát hệ thống IDS/IPS để phát hiện, chặn xâm nhập, không phải cấu hình nền cho thiết bị mạng. Phương án "Network Time Protocol Standard" chỉ quy định đồng bộ thời gian giữa các thiết bị để nhật ký có dấu thời gian nhất quán, một mục nhỏ chứ không phải toàn bộ cấu hình an ninh tối thiểu.

Đáp án đúng: "Internet". DMZ (demilitarized zone, vùng phi quân sự) là phân đoạn mạng đặt giữa mạng nội bộ LAN và Internet, thường được giới hạn bởi tường lửa ở hai phía. Các máy chủ phải cho bên ngoài truy cập như web, email, DNS công khai được đặt trong DMZ, nên nếu chúng bị chiếm thì kẻ tấn công vẫn chưa vào thẳng được LAN. Đây là một phần của miền LAN-to-WAN trong hạ tầng CNTT. "Phone network" là mạng điện thoại truyền thống, không phải vùng mà DMZ được thiết kế để ngăn cách. "Cellular network" là mạng di động của nhà mạng; thiết bị di động có thể vào hệ thống qua Internet, nhưng DMZ không được định nghĩa là ranh giới với mạng di động. "VoIP Network" là mạng thoại qua IP, thường là một phân đoạn nằm bên trong hạ tầng của tổ chức, không phải mạng không tin cậy bên ngoài mà DMZ đứng chắn.

Đáp án đúng gồm bốn ý: "Control standards–Policy documents describing core security control requirements", "Baseline standards–Technical documents describing security controls for a specific technology", "Procedure documents–Processes to implement control and baseline standards" và "Guidelines–Optional documents that include parameters and recommend policies, standards, or procedures". Bốn loại tài liệu này tạo thành tầng thực thi bên dưới chính sách cho từng miền hạ tầng: control standard nêu yêu cầu kiểm soát cốt lõi, baseline standard cụ thể hóa cấu hình an toàn cho một công nghệ như một phiên bản hệ điều hành, procedure mô tả từng bước thực hiện hai loại chuẩn trên, còn guideline là khuyến nghị không bắt buộc giúp người thực hiện lựa chọn hợp lý. "Vulnerability standards–Technical documents describing core security vulnerabilities released" sai vì danh sách lỗ hổng như CVE là thông tin đầu vào cho đánh giá rủi ro, không phải loại tài liệu ghi yêu cầu kiểm soát. "Threat standards–Technical documents describing core security threats released" sai vì thông tin về mối đe dọa cũng là đầu vào phân tích, không phải tài liệu quy định kiểm soát của miền.

Đáp án đúng: "Routers and firewalls". Phân đoạn LAN (segmentation) là chia mạng nội bộ thành các vùng nhỏ để hạn chế lưu lượng và ngăn kẻ tấn công di chuyển ngang; router tách các mạng con và định tuyến giữa chúng, còn firewall lọc lưu lượng giữa các vùng theo luật, nên đây là cặp thiết bị điển hình của miền LAN. "Routers and gateways" chỉ đúng một nửa, vì gateway chủ yếu chuyển đổi giữa các giao thức hay mạng khác nhau chứ không phải công cụ chính để phân đoạn và lọc lưu lượng. "Gateways and servers" sai vì server là máy cung cấp dịch vụ, không phân đoạn mạng. "Servers and workstations" sai vì đó là các thiết bị đầu cuối nằm trong các phân đoạn chứ không tạo ra phân đoạn.

Đáp án đúng: "More controls than if you were in the office". Khi truy cập từ xa, người dùng ở ngoài vành đai bảo vệ vật lý và mạng nội bộ, đi qua mạng công cộng không tin cậy, thiết bị có thể bị mất hoặc nhiễm mã độc, nên rủi ro cao hơn. Vì vậy xác thực từ xa thường thêm kiểm soát: VPN mã hóa, xác thực đa yếu tố, kiểm tra tình trạng thiết bị, giới hạn phiên. "Fewer controls than if you were in the office" sai vì giảm kiểm soát trong môi trường rủi ro cao hơn là ngược nguyên tắc. "The same controls than if you were in the office" sai vì ở văn phòng đã có lớp bảo vệ vật lý và mạng nội bộ mà truy cập từ xa thiếu, nên phải bù thêm. "Less need for controls than in the office" sai vì nhu cầu kiểm soát tăng chứ không giảm.

Đáp án đúng: "True". RBAC (role-based access control, kiểm soát truy cập dựa trên vai trò) gán quyền cho vai trò như kế toán viên, nhân viên kho, quản trị hệ thống, rồi gán người dùng vào vai trò thay vì cấp quyền cho từng người. Nhờ vậy khi có nhân viên mới chỉ cần gán đúng vai trò là họ có ngay bộ quyền chuẩn, nên triển khai rất nhanh; và vì quyền gắn với chức năng công việc nên ai cũng nhìn rõ một vai trò được làm gì, dễ rà soát, dễ áp dụng nguyên tắc least privilege (đặc quyền tối thiểu). Đây đúng là hai ưu điểm lớn mà phát biểu nêu. Phương án "False" sai vì phủ nhận chính những lợi ích cốt lõi khiến RBAC được dùng rộng rãi; nhược điểm của RBAC nằm ở chỗ khác, như số vai trò phình to khi tổ chức phức tạp.