Câu hỏi: IAP301 Phát triển chính sách an toàn thông tin – Bộ ôn tập thi lại số 2

Đáp án đúng: "Between the private LAN and public WAN". DMZ (demilitarized zone, vùng phi quân sự) là phân đoạn mạng đặt giữa mạng nội bộ riêng và mạng công cộng như Internet, thường tạo bằng một hoặc hai tường lửa, để chứa các máy chủ phải phục vụ bên ngoài như web, email, DNS. Nếu máy chủ trong DMZ bị chiếm, kẻ tấn công vẫn bị tường lửa chặn không vào thẳng mạng nội bộ. Trong mô hình bảy miền hạ tầng CNTT, DMZ thuộc LAN-to-WAN Domain. Phương án "Inside the private LAN" sai vì đặt máy chủ công khai trong mạng nội bộ là mở đường cho tấn công vào thẳng bên trong. Phương án "Within the WAN" sai vì khi đó máy chủ phơi hoàn toàn ra Internet, không có lớp bảo vệ. Phương án "Within the mail server" sai vì DMZ là vùng mạng chứa máy chủ, không nằm bên trong một máy chủ. Phương án "Workstation Domain" sai vì miền này gồm máy tính của người dùng cuối. Phương án "Remote Access Domain" sai vì miền này lo kết nối của người dùng từ xa như VPN, không phải nơi đặt DMZ.

Đáp án đúng: "Consider the risk of the third party or contractor having access and the necessity of the work then decide if access should be granted, denied or if their access should be monitored". Với bên thứ ba (third party), mọi quyết định cho nhà thầu vào khu vực chứa thông tin hoặc dùng hệ thống phải bắt đầu bằng risk assessment (đánh giá rủi ro): cân nhắc rủi ro khi họ tiếp cận và mức cần thiết của công việc, rồi quyết định cấp, từ chối hay cấp kèm giám sát, đúng tinh thần least privilege (đặc quyền tối thiểu). Đây là bước quyết định bao trùm; những biện pháp được nêu cùng cũng đều đúng và nên làm, nhưng là biện pháp cụ thể thực hiện sau quyết định đó. Có "formal agreement with us for the work" là cần thiết, song thoả thuận chỉ là điều kiện pháp lý, chưa trả lời việc có nên cho truy cập hay không. Bảo đảm "keys are not left in filing cabinets" và giấy tờ được cất đi là biện pháp clean desk (bàn làm việc sạch) áp dụng khi đã quyết định cho họ vào khu vực. Bảo đảm "computer equipment is locked, turned off or removed from the area" là kiểm soát kỹ thuật và vật lý cho máy tính, cũng chỉ triển khai sau khi đã đánh giá rủi ro. Bảo đảm "private rooms containing critical equipment" không thể bị vào là kiểm soát an ninh vật lý cho phần nhạy cảm nhất. "Make other staff aware of their presence" giúp nhân viên cảnh giác, tức là một cách thực hiện việc cấp quyền có giám sát chứ không thay cho quyết định ban đầu.

Đáp án đúng: "All of the above". Văn hoá tổ chức thật sự tiếp nhận chính sách an ninh khi chính sách đi vào thói quen, được bộ máy ủng hộ và trở thành giá trị bên trong mỗi người, nên cả ba dấu hiệu đều đúng. "Security policies are part of routine daily interaction." đúng vì khi nhân viên nhắc tới và làm theo chính sách trong công việc hằng ngày, chính sách đã không còn là văn bản treo tường. "Security policies are supported by organizational committees." đúng vì sự ủng hộ của các uỷ ban, hội đồng cho thấy chính sách được cấp quản lý coi trọng và được tích hợp vào cách điều hành. "Security policies' core values are demonstrated in workers' instinctive reactions to situations." là dấu hiệu sâu nhất, ví dụ nhân viên tự động báo cáo email lừa đảo mà không cần ai nhắc. Mỗi ý chỉ là một dấu hiệu nên phương án gộp mới đầy đủ.

Đáp án đúng: "Sharing your password with a supervisor". Mục tiêu của đào tạo nhận thức an ninh là thay đổi hành vi người dùng, và một trong những điều cơ bản nhất là mật khẩu không bao giờ được chia sẻ, kể cả với cấp trên, vì nó phá vỡ trách nhiệm giải trình và mở đường cho social engineering (tấn công phi kỹ thuật) giả danh lãnh đạo. Người đã học mà vẫn làm điều này cho thấy đào tạo không hiệu quả. "A firewall breach" là sự cố kỹ thuật, có thể do lỗ hổng hay cấu hình sai, không trực tiếp phản ánh hành vi người dùng. "Sharing a laptop with a coworker" có thể chấp nhận được khi thiết bị dùng chung được phép và mỗi người đăng nhập bằng tài khoản riêng, nên không phải dấu hiệu rõ ràng. "A fire in the data center" là sự cố vật lý, môi trường, thuộc phạm vi kiểm soát cơ sở vật chất chứ không phải nhận thức người dùng.

Đáp án đúng: "Spite". Đây là câu phủ định: cần tìm cảm xúc KHÔNG được kẻ tấn công lợi dụng trong social engineering (kỹ thuật lừa đảo phi kỹ thuật). Kẻ lừa đảo khai thác những thôi thúc phổ biến khiến nạn nhân hành động vội; spite (ác ý, hằn học) không phải động cơ mà chúng dựa vào. "Curiosity" (tò mò) bị khai thác bằng tệp đính kèm hay USB gắn nhãn hấp dẫn để nạn nhân tự mở. "Trust" (lòng tin) bị khai thác khi kẻ tấn công giả danh đồng nghiệp, ngân hàng hay bộ phận CNTT. "Fear" (nỗi sợ) bị khai thác bằng thông báo tài khoản sắp bị khoá hay bị phạt để ép nạn nhân làm theo ngay. Ba cảm xúc này đều bị lợi dụng nên không được chọn.

Đáp án đúng: "Corrective". Corrective control (kiểm soát khắc phục) hoạt động sau khi sự cố xảy ra để sửa chữa, khôi phục hệ thống về trạng thái bình thường và hạn chế thiệt hại, ví dụ khôi phục từ bản sao lưu, vá lỗ hổng, cách ly máy nhiễm, chạy quy trình ứng cứu sự cố. "Deterrent" (răn đe) nhằm làm kẻ xấu nản lòng trước khi hành động, như biển cảnh báo, camera hiện rõ. "Compensating" (bù trừ) là kiểm soát thay thế khi không thể áp dụng kiểm soát chính, ví dụ tăng giám sát khi không tách được nhiệm vụ. "Detective" (phát hiện) nhận ra sự cố đang hoặc đã xảy ra, như IDS, nhật ký kiểm toán; nó báo hiệu sự cố nhưng không trực tiếp sửa chữa.

Đáp án đúng: "All of the above". "Tone at the top" (thái độ từ cấp cao nhất) chỉ văn hóa đạo đức và cam kết kiểm soát mà ban lãnh đạo cấp cao tạo ra cho toàn tổ chức; nhân viên nhìn vào hành động của lãnh đạo để biết điều gì thật sự quan trọng. Khái niệm này bao gồm cả ba mặt được nêu. "A company's leaders making sure every employee knows the priorities" đúng vì lãnh đạo phải truyền đạt rõ ưu tiên, trong đó có an toàn thông tin. "Senior leaders implementing and enforcing policies" đúng vì lãnh đạo không chỉ ban hành mà còn tự tuân thủ và xử lý vi phạm, làm gương cho cấp dưới. "Senior managers building trust with the public and with regulators" cũng đúng vì thái độ nghiêm túc của lãnh đạo tạo uy tín với công chúng và cơ quan quản lý. Mỗi ý chỉ là một mặt, nên đáp án gộp mới đầy đủ.

Đáp án đúng: "Standard". Công ty đang áp dụng các standard (tiêu chuẩn): OpenID Connect là chuẩn xác thực mở, các hướng dẫn tiếp cận nội dung web về độ tương phản, điều hướng bàn phím, trình đọc màn hình là bộ tiêu chí tuân thủ đo lường được, còn HTTP, HTML5, CSS, JavaScript là các chuẩn web chung. Đặc điểm của standard là yêu cầu cụ thể, thống nhất, kiểm tra được đạt hay không và thường do tổ chức chuẩn hóa ban hành, đúng như cách công ty dùng chúng để bảo đảm an ninh, khả năng tiếp cận và tương thích. Phương án "Policy" (chính sách) là tuyên bố cấp cao về mục tiêu và ý định của lãnh đạo, không chỉ định công nghệ cụ thể nào. Phương án "Procedure" (thủ tục) là chuỗi bước thao tác chi tiết, trong khi tình huống mô tả việc chọn chuẩn để tuân theo chứ không mô tả các bước làm. Phương án "Guildline" là hướng dẫn mang tính khuyến nghị, không bắt buộc, còn ở đây công ty cam kết tuân thủ các chuẩn chung của ngành.

Đáp án đúng: "After a company decides to implement wireless and before it is installed". Chính sách an ninh cho mạng không dây nên được soạn sau khi tổ chức đã quyết định dùng không dây, vì lúc đó đã rõ nhu cầu kinh doanh, và trước khi lắp đặt, để yêu cầu như mã hoá WPA2/WPA3, xác thực, tách mạng khách được đưa vào thiết kế ngay từ đầu thay vì vá sau. "When the industry publishes new wireless standards" sai vì chuẩn mới ra không có nghĩa tổ chức sẽ dùng không dây; chính sách phải bám theo nhu cầu của tổ chức, chuẩn mới chỉ là lý do để rà soát chính sách đã có. "When a vendor presents wireless solutions to the business" sai vì lời chào hàng của nhà cung cấp chưa phải quyết định kinh doanh, soạn chính sách lúc đó là quá sớm. "When the next generation of wireless technology is launched" sai vì việc công nghệ thế hệ mới ra mắt cũng không liên quan tới quyết định triển khai của tổ chức.

Đáp án đúng: "Ensuring no user can deny a transaction". Nonrepudiation (chống chối bỏ) bảo đảm một bên đã thực hiện hành động, như gửi thông điệp hay phê duyệt giao dịch, không thể phủ nhận sau đó; cơ chế điển hình là chữ ký số dựa trên khóa riêng mà chỉ người ký nắm giữ, kèm nhật ký có dấu thời gian. "The ability to prevent malware" là chức năng của phần mềm chống mã độc, bảo vệ tính toàn vẹn và sẵn sàng của hệ thống, không chứng minh ai đã làm gì. "Making data public" ngược với tính bí mật và không liên quan tới việc xác định trách nhiệm của bên giao dịch. "Encrypting all files" bảo vệ tính bí mật; mã hóa thông thường, nhất là mã hóa đối xứng dùng chung khóa, không chứng minh được ai là người tạo ra hay gửi dữ liệu.