ความมั่นคงปลอดภัย

ในสามองค์ประกอบของความมั่นคงปลอดภัยสารสนเทศ กรณีที่การรักษาความลับ (confidentiality) ถูกทำลาย ข้อใดเหมาะสมที่สุด

1. การใช้งานพลาดทำให้จำนวนเงินในข้อมูลยอดขายถูกเขียนทับเป็นค่าที่ผิด
2. การส่งผิดพลาดทำให้บัญชีรายชื่อลูกค้าไปถึงบุคคลที่สามที่ไม่เกี่ยวข้อง
3. เซิร์ฟเวอร์เสียหายทำให้ระบบงานใช้การไม่ได้ครึ่งวัน
4. ข้อบกพร่องของโปรแกรมทำให้ผลการประมวลผลได้ค่าไม่เหมือนกันในแต่ละครั้ง

มาตรการเพื่อประกันบูรณภาพ (integrity) ในความมั่นคงปลอดภัยสารสนเทศ ข้อใดเหมาะสมที่สุด

1. ตรวจสอบด้วยค่าแฮชเป็นระยะว่าเนื้อหาหน้าเว็บไม่ถูกเขียนแก้
2. ทำเซิร์ฟเวอร์ซ้ำสองชุด เพื่อให้ประมวลผลต่อได้แม้เกิดเหตุขัดข้อง
3. ล็อกกุญแจห้องเซิร์ฟเวอร์ไม่ให้บุคคลภายนอกเข้าไปได้
4. เข้ารหัสลับการสื่อสารไม่ให้บุคคลที่สามอ่านเนื้อหาได้

มาตรการที่มีวัตถุประสงค์หลักเพื่อยกระดับสภาพความพร้อมใช้งาน (availability) คือข้อใด

1. ทำเซิร์ฟเวอร์ซ้ำสองชุดและติดตั้งเครื่องสำรองไฟ (UPS)
2. เก็บเอกสารสำคัญในตู้นิรภัยแล้วล็อกกุญแจ
3. ตั้งรหัสผ่านให้ไฟล์เพื่อไม่ให้เปิดได้
4. กำหนด ID ให้ผู้ใช้แต่ละคนและบันทึกล็อกการใช้งาน

คำอธิบายของการห้ามปฏิเสธความรับผิด (non-repudiation) ในความมั่นคงปลอดภัยสารสนเทศ ข้อใดเหมาะสมที่สุด

1. ทำให้ข้อมูลและระบบอยู่ในสภาพใช้งานได้ทุกเมื่อที่จำเป็น
2. ทำให้ผู้ที่ไม่ได้รับอนุญาตไม่สามารถดูข้อมูลหรือนำออกไปภายนอกได้
3. ทำให้ผู้ที่กระทำการใด ไม่สามารถอ้างภายหลังได้ว่าตนไม่ได้กระทำการนั้น
4. รับประกันว่าข้อมูลไม่ถูกปลอมแปลงและคงเนื้อหาที่ถูกต้องล่าสุดไว้

มาตรการเตรียมรับความเสียหายจากแรนซัมแวร์ที่ได้ผลที่สุดคือข้อใด

1. ระบุชื่อบริษัทและช่องทางติดต่อในช่องลายเซ็นของอีเมลที่ส่ง
2. ลดกำลังส่งคลื่นของแอกเซสพอยต์ LAN ไร้สายให้ครอบคลุมแคบลง
3. เปลี่ยนรหัสผ่านของผู้ใช้เป็นระยะ
4. เก็บแบ็กอัปไว้ และเก็บรักษาโดยตัดแยกออกจากเครือข่าย

ลักษณะเด่นของม้าโทรจัน ข้อใดเหมาะสมที่สุด

1. เพิ่มจำนวนตัวเองได้โดยลำพังผ่านเครือข่าย และแพร่การติดไปยังอุปกรณ์อื่นต่อเนื่อง
2. ปลอมตัวเป็นซอฟต์แวร์มีประโยชน์ให้ผู้ใช้ติดตั้ง แล้วทำพฤติกรรมมิชอบโดยผู้ใช้ไม่รู้ตัว
3. เข้ารหัสลับไฟล์ของอุปกรณ์ที่ติด แล้วเรียกร้องเงินแลกกับการถอดรหัสลับ
4. ส่งอีเมลจำนวนมหาศาลจนเมลเซิร์ฟเวอร์หยุดทำงาน

คำอธิบายของ SQL อินเจกชัน ข้อใดเหมาะสมที่สุด

1. การโจมตีที่ป้อนคำสั่งฐานข้อมูลลงในช่องกรอกของเว็บไซต์ เพื่อดึงหรือปลอมแปลงข้อมูลโดยมิชอบ
2. การโจมตีที่ลองล็อกอินด้วยคู่ ID กับรหัสผ่านที่รั่วไหลจากเว็บไซต์อื่น
3. การโจมตีที่ฝังสคริปต์มิชอบในกระดานสนทนาเป็นต้น แล้วให้รันบนเบราว์เซอร์ของผู้เข้าชม
4. การโจมตีที่ส่งการสื่อสารปริมาณมหาศาลพร้อมกันจากอุปกรณ์จำนวนมาก จนเซิร์ฟเวอร์ตอบสนองไม่ได้

การกระทำที่ตรงกับโซเชียลเอนจิเนียริง (social engineering) คือข้อใด

1. ดักรับคลื่นของ LAN ไร้สายแล้วถอดรหัสเนื้อหาการสื่อสาร
2. ลองรหัสผ่านแบบไล่ทุกความเป็นไปได้จนพบคู่ที่ถูกต้อง
3. โทรศัพท์ปลอมตัวเป็นผู้ดูแลระบบ แล้วหลอกถามรหัสผ่านจากผู้ใช้
4. ใช้ช่องโหว่ของ OS เพื่อยึดสิทธิ์ผู้ดูแลระบบโดยมิชอบ

คำอธิบายของการโจมตีแบบซีโรเดย์ (zero-day attack) ข้อใดเหมาะสมที่สุด

1. การโจมตีที่อาศัยบัญชีของพนักงานลาออกซึ่งยังหลงเหลืออยู่เพื่อบุกรุกระบบภายใน
2. การโจมตีที่เล็งช่วงเวลาทันทีหลังเริ่มงานแล้วส่งการสื่อสารปริมาณมหาศาลเข้าใส่
3. การโจมตีที่ใช้ใบรับรองดิจิทัลหมดอายุมาหลอกนำทางไปยังเว็บไซต์ปลอม
4. การโจมตีที่เจาะช่องโหว่ในช่วงเวลาตั้งแต่ช่องโหว่ถูกเปิดเผยจนกระทั่งโปรแกรมแก้ไขถูกปล่อยออกมา

การเรียงงานสามอย่างที่ประกอบเป็นการประเมินความเสี่ยง (risk assessment) ตามลำดับการดำเนินการคือข้อใด

1. การวิเคราะห์ความเสี่ยง → การระบุความเสี่ยง → การประเมินค่าความเสี่ยง
2. การระบุความเสี่ยง → การวิเคราะห์ความเสี่ยง → การประเมินค่าความเสี่ยง
3. การระบุความเสี่ยง → การประเมินค่าความเสี่ยง → การวิเคราะห์ความเสี่ยง
4. การประเมินค่าความเสี่ยง → การวิเคราะห์ความเสี่ยง → การระบุความเสี่ยง

องค์กรทำประกันภัยไซเบอร์ไว้เผื่อความเสียหายจากเหตุขัดข้องของระบบสารสนเทศ การจัดการความเสี่ยงที่ตรงกับกรณีนี้คือข้อใด

1. การหลีกเลี่ยงความเสี่ยง
2. การลดความเสี่ยง
3. การยอมรับความเสี่ยง
4. การถ่ายโอนความเสี่ยง

เมื่อจัดโครงสร้างนโยบายความมั่นคงปลอดภัยสารสนเทศเป็น 3 ชั้นคือแนวนโยบายพื้นฐาน มาตรฐานมาตรการ และขั้นตอนปฏิบัติ เนื้อหาที่เขียนในขั้นตอนปฏิบัติที่เหมาะสมที่สุดคือข้อใด

1. แนวคิดขององค์กรต่อความมั่นคงปลอดภัยสารสนเทศและคำประกาศของผู้บริหาร
2. ขั้นตอนวิธีใช้งานซอฟต์แวร์แบ็กอัปอย่างเป็นรูปธรรมและเวลาที่ต้องรัน
3. เกณฑ์ที่เป็นกติกาต้องปฏิบัติ เช่นรหัสผ่านต้องยาวอย่างน้อย 12 ตัวอักษรและมีตัวอักษร ตัวเลข และเครื่องหมาย
4. การจัดตั้งคณะกรรมการความมั่นคงปลอดภัยสารสนเทศและข้อกำหนดบทบาทของคณะกรรมการ

คำอธิบายเกี่ยวกับ ISMS (ระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ) ข้อใดเหมาะสมที่สุด

1. กลไกที่องค์กรกำหนดแนวนโยบาย ดำเนินมาตรการ ตรวจสอบ และปรับปรุง โดยหมุน PDCA อย่างต่อเนื่อง ซึ่งข้อกำหนดถูกบัญญัติไว้ใน JIS Q 27001
2. ระบบที่อนุญาตให้ผู้ประกอบการซึ่งจัดการข้อมูลส่วนบุคคลอย่างเหมาะสมใช้เครื่องหมายรับรองได้
3. องค์กรเชี่ยวชาญที่เฝ้าติดตามเครือข่ายตลอด 24 ชั่วโมงเพื่อตรวจจับสัญญาณการโจมตี
4. ทีมเชี่ยวชาญที่รับผิดชอบตั้งแต่รับรายงาน สอบสวนสาเหตุ จำกัดวงความเสียหาย จนถึงกู้คืน เมื่อเกิดอุบัติการณ์ความปลอดภัยคอมพิวเตอร์ในองค์กร

บทบาทของ CSIRT ข้อใดเหมาะสมที่สุด

1. วางแผนการพัฒนาระบบสารสนเทศ และบริหารความคืบหน้ากับคุณภาพของการพัฒนา
2. รับรายงานอุบัติการณ์ความปลอดภัย สอบสวนสาเหตุ จำกัดวงความเสียหาย กู้คืน และประสานงานผู้เกี่ยวข้อง
3. ตรวจสอบจากจุดยืนอิสระว่าการทำบัญชีและงบการเงินของบริษัทเหมาะสมหรือไม่
4. ตรวจประเมินผู้ประกอบการว่ามีโครงสร้างจัดการข้อมูลส่วนบุคคลอย่างเหมาะสมหรือไม่ แล้วมอบเครื่องหมายรับรอง

เหตุผลของการติดตั้งเว็บเซิร์ฟเวอร์ที่เปิดสู่ภายนอกไว้ใน DMZ ข้อใดเหมาะสมที่สุด

1. เพราะเพิ่มความเร็วประมวลผลของเซิร์ฟเวอร์และย่นเวลาตอบสนองได้
2. เพราะแม้เซิร์ฟเวอร์สาธารณะถูกบุกรุก ก็ป้องกันไม่ให้ถูกบุกรุกต่อเข้าเครือข่ายภายในโดยตรงได้
3. เพราะทำให้เก็บแบ็กอัปของเซิร์ฟเวอร์สาธารณะได้โดยอัตโนมัติ
4. เพราะกดการใช้ไฟฟ้าของเซิร์ฟเวอร์และลดค่าใช้จ่ายการดำเนินงานได้

คำอธิบายของ WAF (Web Application Firewall) ข้อใดเหมาะสมที่สุด

1. กลไกตรวจสอบเนื้อหาการสื่อสารที่ส่งไปยังเว็บแอปพลิเคชัน และสกัดกั้นการโจมตีเช่น SQL อินเจกชัน
2. กลไกเข้ารหัสลับการสื่อสารของ LAN ไร้สายเพื่อป้องกันการดักฟัง
3. กลไกตรวจสอบไฟล์แนบอีเมลโดยอัตโนมัติว่ามีไวรัสหรือไม่ก่อนเปิด
4. กลไกยืนยันตัวบุคคลด้วยลายนิ้วมือหรือม่านตาของผู้ใช้

ในการยืนยันตัวตนด้วยชีวมิติ เมื่อทำเกณฑ์การตัดสินให้เข้มงวดขึ้น อัตราการปฏิเสธเจ้าตัว (FRR) กับอัตราการรับผู้อื่น (FAR) เปลี่ยนแปลงอย่างไรจึงเหมาะสม

1. FRR ต่ำลง และ FAR สูงขึ้น
2. ทั้ง FRR และ FAR สูงขึ้น
3. FRR สูงขึ้น และ FAR ต่ำลง
4. ทั้ง FRR และ FAR ต่ำลง

ชุดที่ตรงกับการยืนยันตัวตนหลายปัจจัย (multi-factor authentication) คือข้อใด

1. การป้อนรหัสผ่าน กับการป้อนรหัสผ่านครั้งเดียวที่ส่งมายังสมาร์ตโฟน
2. การป้อนรหัสผ่านล็อกอิน กับการตอบคำถามลับ
3. การป้อนรหัสผ่านล็อกอิน กับการป้อนรหัสผ่านอีกชุดซ้ำ
4. การป้อน ID ผู้ใช้ กับการป้อนรหัสผ่าน

คำอธิบายแนวคิดของซีโรทรัสต์ (zero trust) ข้อใดเหมาะสมที่สุด

1. ให้ความสะดวกของผู้ใช้สำคัญที่สุด โดยยกเลิกวันหมดอายุและข้อบังคับเปลี่ยนรหัสผ่าน
2. ไม่เชื่อถือสิ่งใดไม่ว่าภายในหรือภายนอกบริษัท ทวนสอบผู้ใช้และอุปกรณ์ทุกครั้งที่เข้าถึง และให้สิทธิ์เพียงเท่าที่จำเป็นขั้นต่ำ
3. ถือว่าการสื่อสารจากด้านในเครือข่ายบริษัทเชื่อถือได้ และการเข้าถึงหลังจากนั้นละเว้นการยืนยันตัวตนได้
4. ห้ามการสื่อสารกับภายนอกทั้งหมด และใช้ระบบเฉพาะภายในเครือข่ายบริษัทที่ปิดเท่านั้น

ในบรรดามาตรการความมั่นคงปลอดภัยสารสนเทศ มาตรการที่จัดอยู่ในประเภทมาตรการทางกายภาพคือข้อใด

1. ติดตั้งโปรแกรมแก้ไขของเว็บเซิร์ฟเวอร์โดยเร็ว
2. อัปเดตไฟล์แพตเทิร์นของซอฟต์แวร์ป้องกันไวรัสทุกวัน
3. จัดฝึกซ้อมรับมืออีเมลโจมตีแบบเจาะจงเป้าหมายให้พนักงานทุกคน
4. ติดตั้งอุปกรณ์ควบคุมการเข้าออกด้วยบัตร IC ที่ทางเข้าห้องเซิร์ฟเวอร์

ลักษณะเด่นของวิธีเข้ารหัสลับแบบกุญแจสาธารณะเมื่อเทียบกับแบบกุญแจร่วม ข้อใดเหมาะสมที่สุด

1. เมื่อคน n คนสื่อสารระหว่างกัน จำนวนกุญแจทั้งหมดที่ต้องใช้คือ n(n-1)/2 ดอก
2. กุญแจที่ใช้เข้ารหัสลับเปิดเผยได้ ปัญหาการนำส่งกุญแจอย่างปลอดภัยจึงเกิดยาก
3. ใช้กุญแจดอกเดียวกันทั้งเข้ารหัสลับและถอดรหัสลับ การจัดการกุญแจจึงจบด้วยดอกเดียว
4. ประมวลผลเร็ว เหมาะกับการเข้ารหัสลับข้อมูลปริมาณมากทีเดียว

นาย A ต้องการส่งอีเมลที่นาย B เท่านั้นอ่านได้ให้นาย B ด้วยวิธีเข้ารหัสลับแบบกุญแจสาธารณะ กุญแจที่นาย A ใช้เข้ารหัสลับคือข้อใด

1. กุญแจสาธารณะของนาย B
2. กุญแจสาธารณะของนาย A
3. กุญแจส่วนตัวของนาย B
4. กุญแจส่วนตัวของนาย A

นาย A จะแนบลายเซ็นดิจิทัลไปกับเอกสารที่ส่ง ชุดของกุญแจที่ใช้สร้างลายเซ็นกับผลที่ได้ ข้อใดเหมาะสม

1. ใช้กุญแจส่วนตัวของนาย A เพื่อแสดงว่านาย A เป็นผู้สร้างจริงและไม่มีการปลอมแปลง
2. ใช้กุญแจสาธารณะของนาย B เพื่อให้นาย B เท่านั้นอ่านเอกสารได้
3. ใช้กุญแจสาธารณะของนาย A เพื่อทำให้เนื้อหาเอกสารเป็นความลับ
4. ใช้กุญแจส่วนตัวของนาย B เพื่อพิสูจน์ข้อเท็จจริงว่านาย B ได้รับแล้ว

นาย B ได้รับเอกสารพร้อมลายเซ็นดิจิทัลจากนาย A กุญแจที่นาย B ใช้ทวนสอบลายเซ็นคือข้อใด

1. กุญแจส่วนตัวของนาย B
2. กุญแจร่วมที่นาย A กับนาย B แชร์กันไว้ล่วงหน้า
3. กุญแจสาธารณะของนาย B
4. กุญแจสาธารณะของนาย A

คำอธิบายเกี่ยวกับใบรับรองดิจิทัลของเซิร์ฟเวอร์ที่ใช้ในการสื่อสาร HTTPS ข้อใดเหมาะสมที่สุด

1. ใช้เพื่อฝากรหัสผ่านที่ผู้ใช้ป้อนไว้กับหน่วยงานรับรองให้ช่วยตรวจสอบแทน
2. ใช้เพื่อแจกจ่ายตัวกุญแจส่วนตัวของเซิร์ฟเวอร์ไปยังเบราว์เซอร์ของผู้ใช้อย่างปลอดภัย
3. รับประกันว่าข้อมูลการสื่อสารจะถูกเข้ารหัสลับด้วยวิธีกุญแจสาธารณะเท่านั้น ไม่ใช้วิธีกุญแจร่วม
4. ออกโดยหน่วยงานรับรอง และรับประกันว่ากุญแจสาธารณะของเซิร์ฟเวอร์เป็นของเซิร์ฟเวอร์นั้นจริง