SPM401 Quản trị dự án an toàn thông tin – Bộ ôn tập cuối kỳ số 1 (50 câu)

Đúng. Whitman và Mattord nêu rõ mỗi tổ chức phải tự xác lập phương pháp luận quản trị dự án cho các dự án công nghệ thông tin và an toàn thông tin của mình, vì quy mô, văn hoá và mức rủi ro mỗi nơi một khác. Không có một khuôn chung áp được cho mọi tổ chức.

Quản trị rủi ro thuộc pha Phân tích của vòng đời phát triển hệ thống an toàn. Pha Điều tra mới chỉ xác lập phạm vi và sự ủng hộ của lãnh đạo; Thiết kế vật lý và Triển khai đều nằm sau, và chúng thực thi các quyết định mà pha Phân tích đã chốt. Nhận diện tài sản, định giá tài sản và đánh giá mối đe doạ đều là việc phân tích.

Sai. Chiến lược mô tả trong câu là giảm nhẹ hay phòng vệ bằng cách thêm biện pháp kiểm soát, còn né tránh lại là chiến lược KHÔNG làm hoạt động sinh ra rủi ro. Hai thứ ngược hướng nhau nên không thể là tên gọi khác của cùng một chiến lược.

Xác thực tập trung là dịch vụ vận hành, không phải nghĩa vụ cưỡng chế tuân thủ. Ba mục còn lại đều là việc đặt ra chuẩn rồi đo xem tổ chức có theo hay không: chính sách đặt ra luật, tuân thủ và kiểm toán kiểm việc chấp hành, quản trị rủi ro quyết định mức nào là chấp nhận được.

Kiểm soát truy cập không tuỳ ý là nhóm có thể dựa trên vai trò hoặc dựa trên tác vụ. Kiểm soát tuỳ ý để chủ sở hữu tài nguyên tự quyết; kiểm soát ràng buộc và kiểm soát phụ thuộc nội dung là các trục phân loại khác, không phải trục vai trò hay tác vụ.

Sai. Cấu trúc phân rã công việc là một cách tổ chức công việc, không phải một sản phẩm phần mềm. Nó lập được bằng bảng tính, bằng giấy bút, hay bằng bất cứ công cụ nào; buộc phải có ứng dụng chuyên dụng phức tạp là mệnh đề sai.

Nghĩa vụ cẩn trọng và nghĩa vụ mẫn cán chính là cặp yêu cầu pháp lý đó: áp một chuẩn mực ngang mức mà một tổ chức thận trọng sẽ làm, rồi duy trì chuẩn mực ấy. Thông lệ tốt và chuẩn đối sánh là cách tìm ra chuẩn nên theo, còn chứng nhận và công nhận là cách chứng minh đã theo — cả hai nhóm đều không phải bản thân yêu cầu pháp lý.

Theo quy trình đo lường hiệu năng của NIST, pha đầu là chuẩn bị cho việc thu thập dữ liệu. Dựng luận chứng kinh doanh và xin nguồn lực nằm ở giai đoạn sau, khi đã biết sẽ đo cái gì; xác định hành động khắc phục thì nằm ở cuối, sau khi đã có số liệu. ⚠ Thứ tự các pha khác nhau giữa các tài liệu NIST nên tôi để độ chắc vừa phải.

Sai vì lệch nhóm. Thứ vốn thuộc về bản thân người dùng và được đánh giá bằng sinh trắc học là trụ 'thứ người dùng LÀ', không phải trụ 'thứ người dùng CÓ'. Trụ 'có' là vật mang theo như thẻ từ hay khoá cứng.

Sai. Chứng nhận luôn có thời hạn và gắn với phạm vi cùng cấu hình tại thời điểm đánh giá. Hệ thống đổi, mối đe doạ đổi, chuẩn đổi thì phải đánh giá lại; không có chuyện đạt một lần rồi giữ suốt vòng đời tổ chức.

Đúng. Triết lý 'vá rồi đi tiếp' chọn khôi phục vận hành và bịt lỗ hổng, chấp nhận bỏ qua việc truy tìm thủ phạm. Triết lý đối lập là 'truy tìm rồi truy tố', vốn ưu tiên giữ nguyên hiện trường làm chứng cứ dù việc đó kéo dài thời gian gián đoạn.

Đúng. Bản tin cảnh báo cố ý viết ngắn: chỉ đủ để mỗi người nhận biết phần nào của kế hoạch ứng phó hay khắc phục thuộc về mình. Viết dài sẽ làm chậm dây chuyền thông báo, đúng cái mà khâu này phải tránh.

⚠ TÔI NGHĨ KEY SAI. Thứ đóng vai 'giấy chứng minh' cấp cho máy khách khi yêu cầu dịch vụ trong Kerberos là Dịch vụ cấp vé (Ticket Granting Service) — chính nó phát tấm vé. Máy chủ xác thực chỉ xác minh danh tính ở bước đầu và cấp vé để đi lấy vé. Key chốt B; tôi nghiêng về A. Giữ key vì sinh viên bị chấm theo key, nhưng báo để rà lại.

Không lập và không giữ được chuẩn mực cẩn trọng thì hậu quả trực tiếp là trách nhiệm pháp lý — tổ chức phải chịu trách nhiệm cho thiệt hại. Ba lựa chọn kia hoặc là công cụ (đường cơ sở), hoặc là hệ quả kinh doanh gián tiếp, hoặc chỉ xảy ra khi đã có chứng nhận.

Trong mô hình IDEAL của Nhóm chuyên trách Quản trị Doanh nghiệp, pha Thiết lập là lúc tổ chức vạch cụ thể cách đi tới đích. Pha Khởi đầu dựng nền và cam kết; pha Hành động mới là lúc thực thi; pha Học hỏi nằm ở cuối chu trình.