การจัดการความมั่นคงปลอดภัยสารสนเทศ

คำอธิบายของสินทรัพย์สารสนเทศในด้านความมั่นคงปลอดภัยสารสนเทศ ข้อใดเหมาะสมที่สุด

1. หมายถึงเฉพาะอุปกรณ์สารสนเทศ เช่น เซิร์ฟเวอร์หรือคอมพิวเตอร์ และข้อมูลอิเล็กทรอนิกส์ที่บันทึกไว้ในนั้นเท่านั้น ไม่รวมเอกสารที่พิมพ์และจัดเก็บเป็นกระดาษ
2. หมายถึงเฉพาะข้อมูลที่ทำเป็นอิเล็กทรอนิกส์เท่านั้น ไม่รวมเอกสารกระดาษหรือขั้นตอนและองค์ความรู้ที่มีเฉพาะผู้รับผิดชอบเท่านั้นที่ทราบ
3. รวมถึงข้อมูลและเอกสาร อุปกรณ์ ซอฟต์แวร์ ตลอดจนความรู้ที่บุคคลมีและความน่าเชื่อถือขององค์กร ซึ่งเป็นสิ่งมีค่าต่อองค์กรอย่างกว้างขวาง
4. หมายถึงเฉพาะสิ่งที่สามารถประเมินมูลค่าเป็นตัวเงินได้เท่านั้น สิ่งที่แปลงเป็นตัวเงินไม่ได้ เช่น ความน่าเชื่อถือหรือแบรนด์ ไม่อยู่ในขอบเขตการบริหารจัดการ

รายการที่ไม่เหมาะสมที่จะบันทึกในบัญชีทรัพย์สินสารสนเทศ คือข้อใด

1. ชื่อสินทรัพย์ และชื่อผู้รับผิดชอบดูแล (เจ้าของ) สินทรัพย์นั้น
2. รหัสผ่านของผู้ใช้งานที่ใช้เข้าถึงสินทรัพย์นั้นโดยตรง
3. สถานที่จัดเก็บ และชนิดของสื่อบันทึกข้อมูล
4. ระดับความลับของข้อมูล และการจำแนกความสำคัญในทางธุรกิจ

วัตถุประสงค์หลักของการจำแนกข้อมูลเป็นความลับ ใช้ภายในเท่านั้น เปิดเผยได้ เป็นต้น แล้วติดป้ายกำกับ คือข้อใด

1. เพื่อให้ผู้ที่จัดการข้อมูลนั้นสามารถตัดสินได้ว่าจำเป็นต้องปกป้องในระดับใด
2. เพื่อลดพื้นที่ดิสก์ที่จำเป็นในการจัดเก็บข้อมูล และประหยัดค่าใช้จ่ายในการจัดเก็บ
3. เพื่อทำให้ไม่จำเป็นต้องทำการจำแนกและติดป้ายกำกับอีกต่อไป โดยการเข้ารหัสข้อมูลทั้งหมด
4. เพื่อทำให้ไม่จำเป็นต้องเก็บรวบรวมและบันทึกล็อกการเข้าถึงอีกต่อไป

บทบาทของผู้รับผิดชอบดูแลสินทรัพย์สารสนเทศ (เจ้าของสินทรัพย์) ข้อใดเหมาะสมที่สุด

1. ตรวจสอบ ISMS ขององค์กรในฐานะบุคคลที่สาม และตัดสินพร้อมรายงานว่าจะให้การรับรองหรือไม่
2. ดำเนินการกับสินทรัพย์นั้นเป็นประจำ และรับผิดชอบงานป้อนข้อมูลหรือปรับปรุงข้อมูลในแต่ละวัน
3. กำหนดการจำแนกของสินทรัพย์นั้น อนุมัติว่าจะอนุญาตให้ใครเข้าถึงได้แค่ไหน และทบทวนเป็นระยะ
4. ดำเนินการเปลี่ยนแปลงการตั้งค่าอุปกรณ์เครือข่ายหรือเซิร์ฟเวอร์จริง

จะมอบฮาร์ดดิสก์ในตัวของคอมพิวเตอร์ที่เคยใช้ในบริษัทให้ผู้รับจ้างภายนอกกำจัดทิ้ง การรับมือที่เหมาะสมที่สุดในมุมมองการป้องกันการรั่วไหลของข้อมูล คือข้อใด

1. ย้ายไฟล์เป้าหมายไปที่ถังขยะแล้วล้างถังขยะให้ว่าง ยืนยันบนหน้าจอว่าถูกลบแล้ว จากนั้นจึงส่งมอบให้ผู้รับจ้าง
2. ทำการฟอร์แมตแบบเร็ว (quick format) ยืนยันบนหน้าจอว่าไฟล์หายไปแล้ว แล้วส่งมอบให้ผู้รับจ้างตามสภาพนั้น
3. เลือกลบเฉพาะไฟล์สำคัญเท่านั้น ส่วนที่เหลือปล่อยไว้ตามเดิมแล้วส่งมอบ
4. ทำการลบข้อมูลด้วยการเขียนทับด้วยซอฟต์แวร์ลบข้อมูลหรือทำลายทางกายภาพ และยืนยันด้วยการเข้าร่วมสังเกตการณ์หรือรับใบรับรองการลบข้อมูล

วิธีการทิ้งเอกสารกระดาษที่จำแนกเป็นความลับใช้ภายในเท่านั้น ข้อใดเหมาะสมที่สุด

1. ฉีกครึ่งแล้วนำไปทิ้งรวมเป็นขยะรีไซเคิล
2. ทิ้งปนกับขยะทั่วไป เพื่อไม่ให้สังเกตเห็นได้จากภายนอก
3. ป้ายดำเฉพาะส่วนหัวเรื่องแล้วนำไปทิ้งตามสภาพนั้น
4. ย่อยด้วยเครื่องย่อยกระดาษ หรือว่าจ้างการละลายเยื่อกระดาษ

เหตุผลที่ต้องตรวจนับสินทรัพย์สารสนเทศเป็นระยะ ข้อใดเหมาะสมที่สุด

1. เพื่อเจรจาต่อรองลดราคาซื้อสินทรัพย์สารสนเทศ และลดค่าใช้จ่ายในการจัดหาหรือเปลี่ยนอุปกรณ์
2. เพื่อขจัดความคลาดเคลื่อนระหว่างสิ่งที่บันทึกในบัญชีกับสินทรัพย์จริง และทำให้มาตรการควบคุมถูกนำไปใช้อย่างครบถ้วนไม่ตกหล่น
3. เพื่อลดจำนวนสินทรัพย์สารสนเทศทั้งหมดที่องค์กรถือครองลงทุกปีอย่างแน่นอน และลดภาระงานบริหารจัดการ
4. เพื่อรับรู้สถานะการทำงานของพนักงาน และทบทวนการจัดวางกำลังคน

เมื่อมองวงจรชีวิตของข้อมูลเป็น "สร้าง → ใช้งาน → จัดเก็บ → เคลื่อนย้าย → ทิ้ง" มาตรการควบคุมในแต่ละขั้นตอน ข้อใดเหมาะสมที่สุด

1. หากเป็นการเคลื่อนย้ายโดยใช้ระบบขนส่งภายในบริษัท สามารถงดเว้นบันทึกการส่งมอบได้
2. ข้อมูลระหว่างจัดเก็บอยู่ภายในบริษัทจึงปลอดภัย ไม่จำเป็นต้องกำหนดสิทธิ์การเข้าถึงเป็นพิเศษ
3. ในขั้นตอนการสร้างไม่ต้องกำหนดการจำแนก แล้วค่อยกำหนดการจำแนกและวิธีจัดการรวมทีเดียวเมื่อถึงขั้นตอนการทิ้ง
4. ในขั้นตอนจัดเก็บใช้การล็อกกุญแจหรือการเข้ารหัส ในขั้นตอนเคลื่อนย้ายใช้การผนึกและบันทึกการส่งมอบ ในขั้นตอนทิ้งใช้การลบข้อมูลหรือการทำลายทางกายภาพ

แนวคิดในการกำหนดระดับการจำแนกของข้อมูล ข้อใดเหมาะสมที่สุด

1. กำหนดโดยดูจากสื่อบันทึกข้อมูลเพียงอย่างเดียว เช่น ไฟล์อิเล็กทรอนิกส์ทั้งหมดเป็นความลับ ส่วนเอกสารกระดาษทั้งหมดเป็นใช้ภายในเท่านั้น
2. ข้อมูลที่แผนกที่สร้างมีจำนวนคนมาก ยิ่งกำหนดให้เป็นระดับการจำแนกที่สูง
3. กำหนดโดยพิจารณาทั้งผลกระทบเมื่อรั่วไหล รวมถึงผลกระทบเมื่อถูกปลอมแปลงหรือเมื่อใช้งานไม่ได้ด้วย
4. เมื่อกำหนดการจำแนกของข้อมูลไว้ครั้งหนึ่งแล้ว แม้เนื้อหาหรือสถานการณ์จะเปลี่ยนไปในภายหลัง ก็ให้ใช้ต่อไปโดยไม่ทบทวน

สามกิจกรรมที่ประกอบกันเป็นการประเมินความเสี่ยง (risk assessment) เมื่อเรียงตามลำดับที่ดำเนินการ คือข้อใด

1. การประเมินความเสี่ยง → การวิเคราะห์ความเสี่ยง → การระบุความเสี่ยง
2. การระบุความเสี่ยง → การประเมินความเสี่ยง → การวิเคราะห์ความเสี่ยง
3. การระบุความเสี่ยง → การวิเคราะห์ความเสี่ยง → การประเมินความเสี่ยง
4. การวิเคราะห์ความเสี่ยง → การระบุความเสี่ยง → การประเมินความเสี่ยง

การเขียนบรรยายเหตุการณ์ "ห้องเซิร์ฟเวอร์อยู่ชั้น 1 หากมีฝนตกหนักจนน้ำท่วมอาจทำให้เซิร์ฟเวอร์หยุดทำงาน" แล้วบันทึกลงในรายการ งานนี้ตรงกับกิจกรรมใดของการประเมินความเสี่ยง

1. การรับมือความเสี่ยง
2. การยอมรับความเสี่ยง
3. การระบุความเสี่ยง
4. การประเมินความเสี่ยง

คำอธิบายของการประเมินความเสี่ยง (risk evaluation) ในการประเมินความเสี่ยงโดยรวม (risk assessment) ข้อใดเหมาะสมที่สุด

1. เปรียบเทียบขนาดความเสี่ยงที่ได้จากการวิเคราะห์กับเกณฑ์ความเสี่ยง เพื่อตัดสินความจำเป็นในการรับมือและลำดับความสำคัญ
2. ค้นหาและบรรยายความเสี่ยงที่มีอยู่ในองค์กรอย่างครบถ้วนไม่ตกหล่น จากชุดของสินทรัพย์สารสนเทศ ภัยคุกคาม และช่องโหว่
3. นำมาตรการควบคุมที่เลือกไว้ไปติดตั้งใช้งานจริง เริ่มดำเนินการและทำให้เป็นส่วนหนึ่งของการปฏิบัติงาน
4. ประมาณความเป็นไปได้ที่จะเกิดขึ้นและระดับผลกระทบของความเสี่ยงแต่ละอย่าง แล้วคำนวณหาขนาดของความเสี่ยง

บริษัทได้ทำประกันภัยไซเบอร์เพื่อเตรียมรับมือค่าสินไหมทดแทนและค่าใช้จ่ายในการสอบสวนกรณีเกิดการรั่วไหลของข้อมูล การรับมือความเสี่ยงนี้จัดอยู่ในประเภทใด

1. การหลีกเลี่ยงความเสี่ยง
2. การลด (บรรเทา) ความเสี่ยง
3. การยอมรับ (รับไว้เอง) ความเสี่ยง
4. การโอนย้าย (แบ่งปัน) ความเสี่ยง

อุบัติเหตุอย่างหนึ่งหากเกิดขึ้นหนึ่งครั้งจะก่อความเสียหาย 6,000,000 เยน และคาดว่าจะเกิดขึ้นในอัตรา 1 ครั้งต่อ 2 ปี มูลค่าความสูญเสียที่คาดการณ์ต่อปี (ALE) ของอุบัติเหตุนี้คือเท่าใด

1. 1,500,000 เยน
2. 3,000,000 เยน
3. 6,000,000 เยน
4. 12,000,000 เยน

มีภัยพิบัติอย่างหนึ่งที่หากเกิดขึ้นหนึ่งครั้งจะก่อความเสียหาย 40,000,000 เยน และประมาณความน่าจะเป็นที่จะเกิดขึ้นไว้ที่ 5% ต่อปี มูลค่าความสูญเสียที่คาดการณ์ต่อปี (ALE) ของภัยพิบัตินี้คือเท่าใด

1. 8,000,000 เยน
2. 2,000,000 เยน
3. 40,000,000 เยน
4. 4,000,000 เยน

ความเสี่ยงอย่างหนึ่งหากเกิดขึ้นหนึ่งครั้งจะก่อความเสียหาย 10,000,000 เยน และประมาณอัตราการเกิดขึ้นต่อปีไว้ที่ 0.4 หากนำมาตรการที่มีค่าใช้จ่าย 2,200,000 เยนต่อปีมาใช้ จะทำให้อัตราการเกิดขึ้นต่อปีลดลงเหลือ 0.1 การประเมินในแง่มูลค่าเงิน ข้อใดเหมาะสมที่สุด

1. จากมาตรการนี้ มูลค่าความสูญเสียที่คาดการณ์ต่อปีจะเปลี่ยนจาก 10,000,000 เยน เป็น 1,000,000 เยน มูลค่าที่ลดได้ 9,000,000 เยน สูงกว่าค่าใช้จ่ายอย่างมาก จึงคุ้มค่า
2. จากมาตรการนี้ มูลค่าความสูญเสียที่คาดการณ์ต่อปีจะเปลี่ยนจาก 4,000,000 เยน เป็น 1,000,000 เยน มูลค่าที่ลดได้ 2,000,000 เยน ต่ำกว่าค่าใช้จ่าย 2,200,000 เยน จึงไม่คุ้มค่า
3. จากมาตรการนี้ มูลค่าความสูญเสียที่คาดการณ์ต่อปีจะเปลี่ยนจาก 4,000,000 เยน เป็น 1,000,000 เยน มูลค่าที่ลดได้ 3,000,000 เยน สูงกว่าค่าใช้จ่าย 2,200,000 เยน จึงคุ้มค่า
4. เนื่องจากอัตราการเกิดขึ้นต่อปีไม่ได้ลดลงเหลือ 0 การประเมินผลของมาตรการในแง่มูลค่าเงินจึงทำไม่ได้

ธุรกิจขายตรงที่ต้องจัดการข้อมูลส่วนบุคคลจำนวนมากแต่ไม่คุ้มทุน ถูกตัดสินว่าผลกระทบเมื่อรั่วไหลนั้นใหญ่เกินไป จึงถอนตัวจากธุรกิจนั้นไปเลย การรับมือความเสี่ยงนี้จัดอยู่ในประเภทใด

1. การหลีกเลี่ยงความเสี่ยง
2. การโอนย้าย (แบ่งปัน) ความเสี่ยง
3. การยอมรับ (รับไว้เอง) ความเสี่ยง
4. การลด (บรรเทา) ความเสี่ยง

เพื่อรับมือความเสี่ยงจากการติดมัลแวร์ ได้นำซอฟต์แวร์ป้องกันไวรัสมาใช้ อัปเดตระบบปฏิบัติการอย่างครบถ้วน และให้ความรู้แก่พนักงาน เพื่อลดความน่าจะเป็นในการติดเชื้อ การรับมือความเสี่ยงนี้จัดอยู่ในประเภทใด

1. การยอมรับ (รับไว้เอง) ความเสี่ยง
2. การลด (บรรเทา) ความเสี่ยง
3. การหลีกเลี่ยงความเสี่ยง
4. การโอนย้าย (แบ่งปัน) ความเสี่ยง

เกี่ยวกับการหยุดทำงานชั่วคราวของกระดานข่าวภายในบริษัท ได้ยืนยันแล้วว่าผลกระทบต่องานมีน้อยและมูลค่าความสูญเสียที่คาดว่าจะเกิดขึ้นก็อยู่ในขอบเขตของเกณฑ์การยอมรับความเสี่ยง จึงได้รับการอนุมัติจากผู้รับผิดชอบและตัดสินใจไม่ทำมาตรการเพิ่มเติมใด ๆ การรับมือความเสี่ยงนี้จัดอยู่ในประเภทใด

1. การโอนย้าย (แบ่งปัน) ความเสี่ยง
2. การหลีกเลี่ยงความเสี่ยง
3. การลด (บรรเทา) ความเสี่ยง
4. การยอมรับ (รับไว้เอง) ความเสี่ยง

ชุดของประเภทการรับมือความเสี่ยงกับตัวอย่างที่เป็นรูปธรรม ข้อใดไม่เหมาะสม

1. การยอมรับความเสี่ยง — แม้จะเกิดความสูญเสียถึงขั้นที่ธุรกิจดำเนินต่อไปไม่ได้ แต่เนื่องจากการทำมาตรการยุ่งยาก จึงไม่ทำอะไรเลย
2. การหลีกเลี่ยงความเสี่ยง — ยุติการให้บริการออนไลน์ที่ตัดสินว่ามีความเสี่ยงสูง และถอนตัวจากธุรกิจนั้น
3. การโอนย้ายความเสี่ยง — ทำประกันภัยเพื่อเตรียมรับมือการรั่วไหลของข้อมูล และให้บริษัทประกันรับภาระความสูญเสียบางส่วน
4. การลดความเสี่ยง — เข้ารหัสข้อมูลสำคัญ และสำรองข้อมูลเป็นระยะแล้วเก็บไว้ในสถานที่อื่น

การจัดการความเสี่ยงที่หลงเหลือ (residual risk) ข้อใดเหมาะสมที่สุด

1. ตราบใดที่ยังมีความเสี่ยงที่หลงเหลืออยู่แม้เพียงเล็กน้อย ถือว่าการรับมือความเสี่ยงล้มเหลว จึงต้องทำมาตรการใหม่จนกว่าจะไม่เหลืออยู่เลย
2. สำหรับความเสี่ยงที่หลงเหลือ ให้เจ้าหน้าที่หน้างานเป็นผู้ตัดสินใจด้วยดุลยพินิจของตนเองในแต่ละครั้ง และจงใจไม่บันทึกเนื้อหาการตัดสินใจไว้
3. เมื่อดำเนินการรับมือความเสี่ยงแล้ว ความเสี่ยงที่หลงเหลือจะกลายเป็น 0 เสมอ จึงไม่จำเป็นต้องตรวจสอบและอนุมัติเนื้อหาอีกครั้งหลังจากการรับมือเสร็จสิ้น
4. เป็นความเสี่ยงที่ยังคงเหลืออยู่หลังจากดำเนินการรับมือความเสี่ยงแล้ว ซึ่งผู้มีความรับผิดชอบ เช่น ผู้บริหารระดับสูง จะเป็นผู้ตัดสินใจและอนุมัติว่าจะยอมรับหรือไม่

คำอธิบายความสัมพันธ์ระหว่าง JIS Q 27001 กับ JIS Q 27002 ข้อใดเหมาะสมที่สุด

1. ทั้งสองเป็นมาตรฐานที่กำหนดเฉพาะคำนิยามของศัพท์เท่านั้น ไม่ครอบคลุมข้อกำหนด
2. 27001 เป็นบรรทัดฐานสำหรับการนำมาตรการควบคุมไปปฏิบัติจริง ส่วน 27002 เป็นมาตรฐานที่กำหนดข้อกำหนดของ ISMS
3. ทั้งสองเป็นมาตรฐานที่กำหนดข้อกำหนดของ ISMS และมีเนื้อหาเหมือนกันทุกประการ
4. 27001 เป็นมาตรฐานการรับรองที่กำหนดข้อกำหนดของ ISMS ส่วน 27002 เป็นบรรทัดฐานสำหรับการนำมาตรการควบคุมไปปฏิบัติจริง

บริษัทหนึ่งประกาศว่า "บริษัทของเราได้รับการรับรอง JIS Q 27002 แล้ว" ปัญหาของข้อความนี้ ข้อใดเหมาะสมที่สุด

1. 27002 เป็นบรรทัดฐานสำหรับการนำมาตรการควบคุมไปปฏิบัติจริง ไม่ใช่เกณฑ์การรับรอง การรับรอง ISMS จะดำเนินการโดยเทียบกับ JIS Q 27001
2. 27002 เป็นมาตรฐานที่แสดงคำนิยามและภาพรวม ไม่ครอบคลุมมาตรการควบคุมที่เป็นรูปธรรม
3. 27002 เป็นมาตรฐานที่กำหนดเฉพาะเรื่องการคุ้มครองข้อมูลส่วนบุคคลเท่านั้น จึงไม่สามารถใช้กับการรับรองของบริษัททั่วไปที่จัดการความมั่นคงปลอดภัยสารสนเทศโดยรวม
4. 27002 เป็นมาตรฐานที่เป็นเป้าหมายการรับรอง แต่หน่วยงานที่สามารถรับการรับรองได้จำกัดเฉพาะหน่วยงานราชการและองค์การอิสระเท่านั้น บริษัทเอกชนอยู่นอกขอบเขตการรับรอง

เนื้อหาที่บันทึกในเอกสารประกาศการนำไปใช้ (Statement of Applicability) ของ ISMS ข้อใดเหมาะสมที่สุด

1. มาตรการควบคุมที่เลือกและเหตุผลในการเลือก สถานะการดำเนินการ และเหตุผลในการไม่นำมาตรการควบคุมที่ไม่ได้เลือกมาใช้
2. รายการความขัดข้องที่เกิดขึ้นในช่วงหนึ่งปีที่ผ่านมา และตารางบันทึกเวลาที่ใช้ในการกู้คืนของแต่ละครั้ง
3. ร่างจดหมายขอโทษที่จะส่งให้ลูกค้าเมื่อเกิดเหตุการณ์ผิดปกติ และรายชื่อผู้รับผิดชอบปลายทางในการส่ง
4. ผลการประเมินผลงานของพนักงานแต่ละคน และรายการเป้าหมายงานที่ตัวบุคคลตั้งไว้สำหรับปีถัดไป

ในวงจร PDCA ของ ISMS การตรวจสอบภายในและการทบทวนโดยฝ่ายบริหาร (management review) ถูกจัดอยู่ในขั้นตอนใด

1. Do (ปฏิบัติ)
2. Check (ตรวจสอบ)
3. Plan (วางแผน)
4. Act (ดำเนินการปรับปรุง)

ข้อควรระวังในการดำเนินการตรวจสอบภายใน (internal audit) ของ ISMS ข้อใดเหมาะสมที่สุด

1. ถือว่าการตรวจสอบภายในเป็นสิ่งที่หน่วยงานรับรองภายนอกเป็นผู้ดำเนินการ องค์กรเองไม่ดำเนินการ
2. หากพบข้อไม่สอดคล้อง (nonconformity) จากการตรวจสอบภายใน ให้เพียงตักเตือนด้วยวาจาโดยไม่บันทึกไว้
3. เลือกผู้ตรวจสอบที่ไม่ตรวจสอบงานที่ตนเองรับผิดชอบ เพื่อรักษาความเป็นกลางและความเป็นธรรม
4. เพื่อรักษาความเป็นกลางของการตรวจสอบ ผู้ตรวจสอบตรวจสอบและประเมินงานที่ตนเองรับผิดชอบด้วยตนเอง

มาตรฐานใดที่ถูกตรวจสอบความสอดคล้องเพื่อมอบเครื่องหมาย Privacy Mark

1. ISO/IEC 27017
2. JIS Q 27001
3. JIS Q 15001
4. JIS Q 27002

การจับคู่คำอธิบายของ ISO/IEC 27017 และ ISO/IEC 27701 ข้อใดเหมาะสมที่สุด

1. 27017 เป็นแนวปฏิบัติมาตรการควบคุมความมั่นคงปลอดภัยสารสนเทศสำหรับบริการคลาวด์ ส่วน 27701 เป็นมาตรฐานเกี่ยวกับระบบบริหารจัดการข้อมูลส่วนบุคคล
2. 27017 เกี่ยวกับความปลอดภัยและอาชีวอนามัย ส่วน 27701 เกี่ยวกับข้อกำหนดของระบบบริหารความต่อเนื่องทางธุรกิจ
3. 27017 เป็นมาตรฐานเกี่ยวกับความปลอดภัยของระบบควบคุมที่ใช้ในโรงงานเป็นต้น ส่วน 27701 เป็นมาตรฐานกำหนดอัลกอริทึมการเข้ารหัสและความยาวของกุญแจ
4. 27017 เป็นมาตรฐานเกี่ยวกับระบบบริหารคุณภาพ ส่วน 27701 เป็นมาตรฐานเกี่ยวกับระบบบริหารสิ่งแวดล้อม ทั้งสองไม่เกี่ยวข้องกับความมั่นคงปลอดภัยสารสนเทศ

คำอธิบายของระบบการประเมินความสอดคล้อง ISMS (ISMS conformity assessment scheme) ข้อใดเหมาะสมที่สุด

1. เป็นระบบที่องค์กรตรวจสอบ ISMS ของตนเองและประกาศด้วยตนเองว่าสอดคล้องกับข้อกำหนด แล้วถือว่าได้รับการรับรอง
2. เป็นระบบที่หน่วยงานรับรองซึ่งเป็นบุคคลที่สามตรวจสอบว่า ISMS ขององค์กรสอดคล้องกับข้อกำหนดของ JIS Q 27001 หรือไม่ แล้วให้การรับรอง
3. เป็นระบบที่หน่วยงานรัฐตรวจสอบช่องโหว่ของระบบสารสนเทศที่องค์กรใช้งานรวมกัน และรับรองความปลอดภัยอย่างเป็นทางการหากไม่มีปัญหา
4. เป็นระบบที่เมื่อได้รับการรับรองครั้งหนึ่งแล้ว จะมีผลต่อเนื่องไปโดยไม่ต้องรับการตรวจประเมินอีก

เมื่อจัดโครงสร้างนโยบายความมั่นคงปลอดภัยสารสนเทศเป็น 3 ระดับ การเรียงจากระดับบนลงล่างข้อใดเหมาะสมที่สุด

1. มาตรฐานปฏิบัติ → นโยบายพื้นฐาน → ขั้นตอนปฏิบัติ
2. ขั้นตอนปฏิบัติ → มาตรฐานปฏิบัติ → นโยบายพื้นฐาน
3. นโยบายพื้นฐาน → ขั้นตอนปฏิบัติ → มาตรฐานปฏิบัติ
4. นโยบายพื้นฐาน → มาตรฐานปฏิบัติ → ขั้นตอนปฏิบัติ

เนื้อหาที่ควรระบุไว้ในนโยบายพื้นฐาน (basic policy) ของนโยบายความมั่นคงปลอดภัยสารสนเทศ ข้อใดเหมาะสมที่สุด

1. หมายเลขทรัพย์สินของคอมพิวเตอร์ที่แต่ละแผนกใช้งาน พร้อมสถานที่ติดตั้งและรายชื่อผู้ใช้งาน
2. ชื่อผลิตภัณฑ์ซอฟต์แวร์ป้องกันไวรัส และขั้นตอนการปฏิบัติงานที่เป็นรูปธรรมบนหน้าจอสำหรับอัปเดตไฟล์ข้อมูลนิยาม
3. กฎการสื่อสารของไฟร์วอลล์ที่ตั้งค่าในแต่ละเซิร์ฟเวอร์ และรายการหมายเลขพอร์ตที่อนุญาต
4. วัตถุประสงค์ในการดำเนินงานด้านความมั่นคงปลอดภัยสารสนเทศ ขอบเขตการบังคับใช้ ความรับผิดชอบของผู้บริหารและหน้าที่ในการปฏิบัติตาม

ข้อกำหนดที่ว่า "รหัสผ่านที่ใช้ในงานต้องมีความยาว 12 ตัวอักษรขึ้นไป ประกอบด้วยตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก ตัวเลข และสัญลักษณ์" จัดอยู่ในระดับใดของนโยบายความมั่นคงปลอดภัยสารสนเทศ 3 ระดับ

1. ขั้นตอนปฏิบัติ
2. มาตรฐานปฏิบัติ
3. นโยบายพื้นฐาน
4. เอกสารประกาศการปรับใช้ (Statement of Applicability)

ลักษณะของขั้นตอนปฏิบัติ (procedure) ในนโยบายความมั่นคงปลอดภัยสารสนเทศ ข้อใดเหมาะสมที่สุด

1. เนื่องจากเป็นเอกสารที่แสดงจุดยืนขององค์กร จึงจัดทำให้กระชับโดยมีเป้าหมายเผยแพร่สู่ภายนอก และละเว้นการระบุค่าที่ตั้งค่าที่เป็นรูปธรรม
2. เป็นเอกสารที่เมื่อกำหนดไว้ครั้งหนึ่งแล้ว ห้ามเปลี่ยนแปลงเนื้อหาแม้จะเปลี่ยนระบบก็ตาม
3. เป็นเอกสารที่ผู้บริหารเท่านั้นที่อ้างอิง ไม่แจกจ่ายให้ผู้ปฏิบัติงานหน้างาน และปกปิดเนื้อหาไว้ตลอดการดำเนินงาน
4. ระบุวิธีการปฏิบัติงานที่เป็นรูปธรรม ค่าที่ตั้งค่า ผู้รับผิดชอบ และวิธีการเก็บบันทึก และมีการแก้ไขบ่อยตามการเปลี่ยนแปลงของระบบ

บทบาทของ CISO ข้อใดเหมาะสมที่สุด

1. เป็นช่องทางรับข้อสอบถามจากลูกค้า และให้คำแนะนำวิธีใช้งานและวิธีตั้งค่าผลิตภัณฑ์ของบริษัท
2. รับผิดชอบงานติดตั้งคอมพิวเตอร์และเดินสายเครือข่ายในแต่ละแผนก
3. กำกับดูแลกลยุทธ์และมาตรการด้านความมั่นคงปลอดภัยสารสนเทศขององค์กรทั้งหมด และรายงานต่อผู้บริหาร
4. ตรวจสอบ ISMS ขององค์กรในฐานะบุคคลที่สาม และตัดสินอย่างเป็นกลางว่าจะให้การรับรองหรือไม่

เกิดความจำเป็นต้องใช้บริการแชร์ไฟล์ซึ่งระเบียบภายในบริษัทห้ามใช้งาน เนื่องจากคู่ค้าเป็นผู้กำหนด การรับมือของผู้รับผิดชอบข้อใดเหมาะสมที่สุด

1. ยื่นขออนุมัติข้อยกเว้นโดยระบุเหตุผล ข้อมูลที่เกี่ยวข้อง ระยะเวลา และมาตรการควบคุมทดแทน แล้วใช้งานหลังได้รับการอนุมัติและบันทึกจากผู้รับผิดชอบ
2. ใช้บัญชีคลาวด์ส่วนตัวที่อยู่นอกการควบคุมของบริษัทในการแลกเปลี่ยนข้อมูลงาน โดยไม่แจ้งคู่ค้าเลย
3. ตีความว่าเป็นสถานการณ์ที่ระเบียบภายในไม่ได้กำหนดไว้ แล้วเริ่มใช้งานตามดุลยพินิจส่วนตัวของผู้รับผิดชอบทันที โดยให้ความสำคัญกับความคืบหน้าของงานก่อนเป็นอันดับแรก
4. เห็นว่าคำสั่งของคู่ค้ามีความสำคัญเหนือระเบียบภายใน จึงเริ่มใช้งานโดยไม่ขอการอนุมัติหรือบันทึกจากผู้รับผิดชอบ แล้วรายงานด้วยวาจาอย่างง่าย ๆ ในภายหลัง

คำอธิบายของแนวทางการบริหารความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity Management Guidelines) ข้อใดเหมาะสมที่สุด

1. เป็นเอกสารทางเทคนิคสำหรับวิศวกรระบบสารสนเทศ ที่กำหนดค่าที่ตั้งค่าที่เป็นรูปธรรมของไฟร์วอลล์และเซิร์ฟเวอร์และขั้นตอนการทำงานอย่างละเอียด
2. เป็นแนวทางสำหรับผู้บริหารที่แสดงหลักการ 3 ข้อที่ผู้บริหารควรตระหนัก และรายการสำคัญ 10 ข้อที่ผู้บริหารควรสั่งการให้ CISO เป็นต้นดำเนินการ
3. เป็นกฎหมายที่กำหนดหน้าที่ที่ผู้ประกอบธุรกิจซึ่งจัดการข้อมูลส่วนบุคคลต้องปฏิบัติตาม และบทลงโทษทางกฎหมายกรณีฝ่าฝืน
4. เป็นมาตรฐานสากลที่กำหนดข้อกำหนดที่องค์กรซึ่งต้องการรับรอง ISMS ต้องปฏิบัติตาม เพื่อใช้เป็นเกณฑ์การตรวจประเมินโดยบุคคลที่สาม

การดำเนินการเกี่ยวกับการเผยแพร่และทบทวนระเบียบด้านความมั่นคงปลอดภัยสารสนเทศ ข้อใดเหมาะสมที่สุด

1. เผยแพร่ให้ผู้ที่เกี่ยวข้องทราบตามความเหมาะสมผ่านการอบรมตอนเข้างานและการฝึกอบรมเป็นระยะ และทบทวนเมื่อมีการแก้ไขกฎหมาย การนำเทคโนโลยีใหม่มาใช้ การเปลี่ยนแปลงองค์กร เหตุการณ์ผิดปกติ หรือข้อบ่งชี้จากการตรวจสอบ เป็นต้น
2. หากเกิดการฝ่าฝืน แม้จะเป็นระเบียบที่ไม่ได้เผยแพร่ ก็ให้ถือเป็นความรับผิดชอบของพนักงานคนนั้นเพียงฝ่ายเดียวเสมอ และงดการทบทวนระเบียบ
3. เมื่อกำหนดระเบียบครั้งหนึ่งแล้ว จะไม่แก้ไขต่อไปแม้จะมีการแก้ไขกฎหมายหรือการเปลี่ยนแปลงองค์กรก็ตาม
4. เพียงวางระเบียบไว้ในเซิร์ฟเวอร์ภายในบริษัทให้ทุกคนดูได้ก็เพียงพอแล้ว ไม่จำเป็นต้องเผยแพร่ซ้ำผ่านการอบรมตอนเข้างานหรือการฝึกอบรม

คำอธิบายความสัมพันธ์ระหว่าง BCP และ BCM ข้อใดเหมาะสมที่สุด

1. BCP เป็นเอกสารที่รวบรวมไว้สำหรับผู้บริหารอ่าน ส่วน BCM เป็นเอกสารที่รวบรวมไว้สำหรับผู้ปฏิบัติงานหน้างานอ่าน เป็นเพียงความแตกต่างของประเภทเอกสารตามผู้อ่าน
2. BCP และ BCM เป็นคำที่มีความหมายเดียวกัน ทั้งสองคำมีความหมายเหมือนกัน
3. BCP คือแผนที่กำหนดวิธีการดำเนินงานสำคัญให้ต่อเนื่องและวิธีการฟื้นฟูด้วยตัวมันเอง ส่วน BCM คือกิจกรรมการบริหารจัดการโดยรวมที่จัดทำแผนนั้นและดำเนินการอบรม ฝึกซ้อม ตรวจสอบ และทบทวนอย่างต่อเนื่อง
4. BCP หมายถึงกลไกการดำเนินงานด้านความมั่นคงปลอดภัยสารสนเทศประจำวันทั้งหมด ส่วน BCM หมายถึงเฉพาะมาตรการทางเทคนิค เช่น การตั้งค่าอุปกรณ์และการเฝ้าติดตาม

การจับคู่คำอธิบายของ RTO และ RPO ข้อใดเหมาะสมที่สุด

1. RTO คือเป้าหมายว่าจะย้อนกลับไปถึงข้อมูล ณ จุดเวลาใด ส่วน RPO คือเป้าหมายเวลาที่ยอมรับได้ตั้งแต่เกิดเหตุขัดข้องจนกว่าจะกู้คืน
2. ทั้ง RTO และ RPO ต่างเป็นเป้าหมายที่แสดงว่าจะฟื้นฟูงานให้กลับไปสู่ระดับใดหลังการกู้คืน โดยไม่มีความแตกต่างระหว่างสองคำนี้
3. RTO หมายถึงจำนวนรุ่นของข้อมูลสำรองที่เก็บไว้ ส่วน RPO หมายถึงตัวชี้วัดประเภทของสื่อบันทึกที่ใช้ในการสำรองข้อมูล
4. RTO คือเป้าหมายเวลาที่ยอมรับได้ตั้งแต่เกิดเหตุขัดข้องจนกว่าจะกู้คืน ส่วน RPO คือเป้าหมายว่าจะย้อนกลับไปถึงข้อมูล ณ จุดเวลาใด

ระบบหนึ่งกำหนด RPO ไว้ที่ 4 ชั่วโมง การดำเนินงานที่จำเป็นเพื่อให้บรรลุเป้าหมายนี้ ข้อใดเหมาะสมที่สุด

1. จัดเตรียมระบบและขั้นตอนที่สามารถกู้คืนระบบให้เสร็จภายใน 4 ชั่วโมงหลังเกิดเหตุขัดข้อง พร้อมทั้งฝึกซ้อมการกู้คืนเป็นระยะด้วย
2. สำรองข้อมูลอย่างน้อยทุก 4 ชั่วโมง เพื่อไม่ให้สูญเสียข้อมูลที่เก่ากว่า 4 ชั่วโมงก่อนเกิดเหตุขัดข้อง
3. ตั้งเป้าหมายให้ความสามารถในการประมวลผลของระบบหลังการกู้คืนฟื้นตัวได้ถึงระดับ 1 ใน 4 ของภาวะปกติ
4. จัดเตรียมสื่อบันทึกข้อมูลสำรอง 4 ประเภท แล้วเปลี่ยนไปใช้วิธีเก็บรักษาแบบกระจายไว้ในสถานที่จัดเก็บที่แยกจากกัน

แผนความต่อเนื่องทางธุรกิจกำหนดว่า "หลังเกิดภัยพิบัติ ให้เริ่มเปิดเฉพาะงานรับคำสั่งซื้อก่อน ด้วยความสามารถในการประมวลผล 50% ของภาวะปกติ" ตัวชี้วัดใดที่แสดงเป้าหมายนี้

1. BIA (การวิเคราะห์ผลกระทบทางธุรกิจ)
2. RPO (เป้าหมายจุดเวลาการกู้คืน)
3. RLO (เป้าหมายระดับการกู้คืน)
4. RTO (เป้าหมายเวลาการกู้คืน)

วัตถุประสงค์ของการวิเคราะห์ผลกระทบทางธุรกิจ (BIA) ข้อใดเหมาะสมที่สุด

1. วัดปริมาณงานและเวลาทำงานของพนักงานแต่ละคน เพื่อปรับปรุงการจัดสรรกำลังคนในแต่ละแผนกให้เหมาะสม
2. ตรวจสอบช่องโหว่ที่มีอยู่ในระบบสารสนเทศอย่างครอบคลุม ชี้ให้เห็นจุดที่ต้องแก้ไขและลำดับความสำคัญในการรับมือ แล้ววางแผนการแก้ไขล่วงหน้า
3. วิเคราะห์ขนาดของผลกระทบและระยะเวลาที่ขยายวงกว้างเมื่อธุรกิจหยุดชะงัก เพื่อชี้ให้เห็นงานสำคัญที่ควรได้รับการกู้คืนก่อนและทรัพยากรที่งานนั้นพึ่งพา
4. เปรียบเทียบราคาต่อหน่วยของสื่อบันทึกข้อมูลสำรอง แล้วเลือกสื่อที่ถูกที่สุดเพื่อลดค่าใช้จ่าย

สำรองข้อมูลแบบเต็ม (full backup) ไว้ในวันอาทิตย์ และสำรองข้อมูลแบบส่วนเพิ่ม (incremental backup) ทุกวันตั้งแต่วันจันทร์ถึงวันเสาร์ หากเกิดเหตุขัดข้องในคืนวันพฤหัสบดี ชุดข้อมูลสำรองที่จำเป็นสำหรับการกู้คืนคือข้อใด

1. ข้อมูลสำรองแบบเต็มที่เก็บไว้ในวันอาทิตย์ และข้อมูลสำรองแบบส่วนเพิ่มที่เก็บไว้ในวันพฤหัสบดี รวมทั้งหมดเพียง 2 ชุด
2. ใช้ข้อมูลสำรองแบบส่วนเพิ่มตั้งแต่วันจันทร์ถึงวันพฤหัสบดีทั้งหมด และไม่รวมข้อมูลสำรองแบบเต็มของวันอาทิตย์
3. ข้อมูลสำรองแบบเต็มของวันอาทิตย์ และข้อมูลสำรองแบบส่วนเพิ่มของวันจันทร์ อังคาร พุธ พฤหัสบดี ทั้งหมด
4. ใช้เฉพาะข้อมูลสำรองแบบส่วนเพิ่มที่เก็บไว้ในวันพฤหัสบดีซึ่งเป็นวันก่อนเกิดเหตุขัดข้องเท่านั้น ไม่ใช้ชุดที่เก่ากว่านั้น

สำรองข้อมูลแบบเต็ม (full backup) ไว้ในวันอาทิตย์ และสำรองข้อมูลแบบส่วนต่าง (differential backup) ทุกวันตั้งแต่วันจันทร์ถึงวันเสาร์ หากเกิดเหตุขัดข้องในคืนวันพฤหัสบดี ชุดข้อมูลสำรองที่จำเป็นสำหรับการกู้คืนคือข้อใด

1. เฉพาะข้อมูลสำรองแบบส่วนต่างของวันพฤหัสบดีเท่านั้น
2. ข้อมูลสำรองแบบส่วนต่างตั้งแต่วันจันทร์ถึงวันพฤหัสบดีทั้งหมด
3. ข้อมูลสำรองแบบเต็มของวันอาทิตย์ และข้อมูลสำรองแบบส่วนต่างของวันพฤหัสบดี
4. ข้อมูลสำรองแบบเต็มของวันอาทิตย์ และข้อมูลสำรองแบบส่วนต่างของวันจันทร์ อังคาร พุธ พฤหัสบดี ทั้งหมด

คำอธิบายกฎ 3-2-1 ของการสำรองข้อมูล และวิธีการเก็บรักษาในฐานะมาตรการรับมือแรนซัมแวร์ ข้อใดเหมาะสมที่สุด

1. เป็นแนวทางขั้นตอนที่ผู้รับผิดชอบ 3 คนตรวจสอบซ้ำ และผู้รับผิดชอบ 1 คนอนุมัติก่อนทำการสำรองข้อมูล
2. เป็นแนวทางการดำเนินงานเกี่ยวกับจำนวนครั้งและระยะเวลาในการเก็บรักษา คือสำรองข้อมูล 3 ครั้งต่อวัน เก็บไว้ 2 สัปดาห์ และทิ้งข้อมูลที่ผ่านไป 1 ปีแล้ว
3. เก็บข้อมูลไว้ 3 ชุดรวมต้นฉบับ บันทึกลงสื่อบันทึก 2 ประเภท และเก็บรักษา 1 ชุดไว้ในสถานที่อื่น พร้อมทั้งตัดการเชื่อมต่อแล้วเก็บรักษาแบบออฟไลน์หลังการสำรองข้อมูล
4. เป็นวิธีการเก็บรักษาที่เข้ารหัสซ้อนกันด้วยอัลกอริทึมการเข้ารหัส 3 ประเภท แล้วบริหารจัดการกุญแจนั้นแบบรวมศูนย์ไว้ที่จุดเดียว