انفارمیشن سیکیورٹی کے تناظر میں معلوماتی اثاثے کی سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
اس سے مراد صرف سرور اور PC جیسے معلوماتی آلات اور ان میں محفوظ الیکٹرانک ڈیٹا ہے، اور اس میں کاغذ پر چھپی ہوئی محفوظ دستاویزات شامل نہیں۔
اس سے مراد صرف ڈیجیٹل شکل میں موجود ڈیٹا ہے، اور اس میں کاغذی دستاویزات اور صرف مخصوص عملے کو معلوم طریقۂ کار یا مہارت (know-how) شامل نہیں۔
اس میں ڈیٹا، دستاویزات، آلات اور سافٹ ویئر کے ساتھ ساتھ ادارے کے لیے قیمتی چیزیں، جیسے لوگوں کے پاس موجود علم اور کمپنی کی ساکھ، وسیع طور پر شامل ہیں۔
صرف وہ چیزیں معلوماتی اثاثے شمار ہوتی ہیں جن کی قیمت کا اندازہ رقم میں لگایا جا سکے؛ اعتماد یا برانڈ جیسی چیزیں، جنہیں رقم میں تبدیل نہیں کیا جا سکتا، انتظام کے دائرے سے باہر ہیں۔
درست جوابC. اس میں ڈیٹا، دستاویزات، آلات اور سافٹ ویئر کے ساتھ ساتھ ادارے کے لیے قیمتی چیزیں، جیسے لوگوں کے پاس موجود علم اور کمپنی کی ساکھ، وسیع طور پر شامل ہیں۔
معلوماتی اثاثہ (情報資産) ہر وہ چیز ہے جو تحفظ کے لائق ہو، اور اس میں صرف ڈیٹا، دستاویزات، آلات اور سافٹ ویئر ہی نہیں بلکہ غیر مادی اثاثے (無形資産) بھی شامل ہیں، جیسے لوگوں کے پاس موجود علم اور مہارت (know-how) اور ادارے کا اعتماد یا برانڈ۔ دائرے کو صرف آلات، صرف الیکٹرانک ڈیٹا، یا صرف رقم میں تبدیل ہو سکنے والی چیزوں تک محدود کرنے سے خارج شدہ حصہ کمزور نقطہ بن جاتا ہے، اس لیے یہ سب غلط ہیں۔
سوال 2 | اثاثوں کا رجسٹر
درج ذیل میں سے کون سی چیز معلوماتی اثاثوں کے رجسٹر میں درج کرنے کے لیے موزوں نہیں ہے؟
اثاثے کا نام اور اس کے انتظام کے ذمہ دار شخص (اس کے مالک) کا نام
اس اثاثے تک رسائی حاصل کرنے والے صارف کا اصل پاس ورڈ
محفوظ کرنے کی جگہ اور وہ میڈیم جس پر یہ ریکارڈ ہے
معلومات کی رازداری کی سطح اور کاروباری اہمیت کے لحاظ سے درجہ بندی
درست جوابB. اس اثاثے تک رسائی حاصل کرنے والے صارف کا اصل پاس ورڈ
چونکہ رجسٹر (情報資産台帳) کو بہت سے لوگ دیکھتے ہیں، اس لیے اس میں اصل پاس ورڈ لکھنے کا مطلب ہے کہ رجسٹر کا افشا براہِ راست غیر مجاز رسائی (不正アクセス) تک لے جائے گا۔ اثاثے کا نام، انتظام کا ذمہ دار شخص، محفوظ کرنے کی جگہ، میڈیم، اور رازداری و اہمیت کی درجہ بندی وہ بنیادی چیزیں ہیں جو کنٹرولز (管理策) طے کرنے کے لیے رجسٹر میں درج کی جاتی ہیں۔
سوال 3 | درجہ بندی کے لیبل
معلومات کو خفیہ، صرف اندرونی استعمال کے لیے، عوامی وغیرہ میں درجہ بند کر کے لیبل لگانے کا بنیادی مقصد کیا ہے؟
تاکہ معلومات کو سنبھالنے والا ہر شخص یہ اندازہ لگا سکے کہ اسے کس حد تک تحفظ کی ضرورت ہے۔
معلومات محفوظ کرنے کے لیے درکار ڈسک کی گنجائش کم کرنا اور ذخیرہ کرنے کے اخراجات گھٹانا۔
تمام معلومات کو انکرپٹ کر کے درجہ بندی اور لیبل لگانے کی ضرورت ہی ختم کر دینا۔
ایکسیس لاگز جمع کرنے اور محفوظ رکھنے کی ضرورت ختم کرنا۔
درست جوابA. تاکہ معلومات کو سنبھالنے والا ہر شخص یہ اندازہ لگا سکے کہ اسے کس حد تک تحفظ کی ضرورت ہے۔
لیبل موجود ہونے کی وجہ سے صارف خود فیصلہ کر سکتا ہے کہ ”کیا اسے ای میل کے ساتھ منسلک کیا جا سکتا ہے؟“ یا ”کیا اسے باہر لے جایا جا سکتا ہے؟“۔ درجہ بندی (分類) ذخیرے کی گنجائش کم کرنے کا ذریعہ نہیں، معلومات انکرپٹ ہونے کے باوجود درجہ بندی ضروری رہتی ہے، اور لیبل لگانے (ラベリング) سے لاگز جمع کرنا غیر ضروری نہیں ہو جاتا، اس لیے باقی آپشنز غلط ہیں۔
سوال 4 | اثاثے کا مالک
معلوماتی اثاثے کے ذمہ دار منتظم (اثاثے کے مالک) کا سب سے موزوں کردار درج ذیل میں سے کون سا ہے؟
ادارے کے ISMS کا تیسرے فریق کے نقطۂ نظر سے آڈٹ کرنا اور اس بارے میں رائے رپورٹ کرنا کہ سرٹیفیکیشن دیا جائے یا نہیں۔
اثاثے کو روزمرہ چلانا، اور روزانہ کے کام کے حصے کے طور پر ڈیٹا درج کرنے اور اپ ڈیٹ کرنے جیسے کام انجام دینا۔
اثاثے کی درجہ بندی طے کرنا، یہ منظور کرنا کہ کس کو کس سطح کی رسائی دی جائے، اور اس کا وقتاً فوقتاً جائزہ لینا۔
نیٹ ورک آلات یا سرورز کی کنفیگریشن میں عملی طور پر تبدیلیاں کرنا۔
درست جوابC. اثاثے کی درجہ بندی طے کرنا، یہ منظور کرنا کہ کس کو کس سطح کی رسائی دی جائے، اور اس کا وقتاً فوقتاً جائزہ لینا۔
اثاثے کا ذمہ دار منتظم (管理責任者) اس کی درجہ بندی طے کرنے، رسائی کے حقوق (アクセス権) منظور کرنے اور ان کا وقتاً فوقتاً جائزہ لینے کی ذمہ داری اٹھاتا ہے۔ روزانہ ڈیٹا درج کرنا صارف کا کام ہے، آلات کی کنفیگریشن سسٹم ایڈمنسٹریٹر کا کام ہے، اور تیسرے فریق کا آڈٹ سرٹیفیکیشن ادارے (認証機関) کا کردار ہے؛ ان میں سے کوئی بھی ذمہ دار منتظم کا کردار نہیں۔
سوال 5 | ہارڈ ڈسک کو ٹھکانے لگانا
ایک کمپنی اندرونی طور پر استعمال ہونے والے PC کی اندرونی ہارڈ ڈسک کو ٹھکانے لگانے کا کام ایک بیرونی وینڈر کو سونپ رہی ہے۔ معلومات کے افشا کو روکنے کے نقطۂ نظر سے کون سا اقدام سب سے موزوں ہے؟
متعلقہ فائلوں کو ری سائیکل بن میں منتقل کریں، اسے خالی کریں، اسکرین پر تصدیق کریں کہ وہ حذف ہو گئی ہیں، اور پھر ڈسک وینڈر کے حوالے کر دیں۔
کوئیک فارمیٹ کریں، اسکرین پر تصدیق کریں کہ فائلیں غائب ہو گئی ہیں، اور ڈسک جوں کی توں وینڈر کے حوالے کر دیں۔
صرف اہم فائلیں حذف کریں، باقی کو ویسے ہی رہنے دیں، اور ڈسک حوالے کر دیں۔
ڈیٹا مٹانے والے سافٹ ویئر سے اوور رائٹ کر کے مٹائیں یا ڈسک کو جسمانی طور پر تباہ کریں، اور اس کی تصدیق کام کا خود مشاہدہ کر کے یا مٹانے کا سرٹیفکیٹ حاصل کر کے کریں۔
درست جوابD. ڈیٹا مٹانے والے سافٹ ویئر سے اوور رائٹ کر کے مٹائیں یا ڈسک کو جسمانی طور پر تباہ کریں، اور اس کی تصدیق کام کا خود مشاہدہ کر کے یا مٹانے کا سرٹیفکیٹ حاصل کر کے کریں۔
ری سائیکل بن خالی کرنا یا کوئیک فارمیٹ کرنا صرف انتظامی معلومات مٹاتا ہے، اور بعض اوقات ریکوری سافٹ ویئر سے ڈیٹا اب بھی واپس حاصل کیا جا سکتا ہے۔ قابلِ اعتماد طریقہ اوور رائٹ کر کے مٹانا (上書き消去) یا جسمانی تباہی (物理破壊) ہے، اور جب یہ کام باہر سونپا جائے تو اس کے انجام پانے کا ثبوت رکھنا، چاہے خود مشاہدہ (立会い) کر کے یا سرٹیفکیٹ (消去証明書) کے ذریعے، لازمی ہے۔ صرف کچھ فائلیں حذف کرنا تو بالکل ناقابلِ قبول ہے۔
سوال 6 | کاغذ کو ٹھکانے لگانا
”صرف اندرونی استعمال کے لیے“ درجہ بند کاغذی دستاویز کو ٹھکانے لگانے کا سب سے موزوں طریقہ درج ذیل میں سے کون سا ہے؟
اسے آدھا پھاڑ کر ری سائیکل ہونے والی اشیاء کے ساتھ باہر رکھ دیں۔
اسے عام کچرے میں ملا کر باہر رکھ دیں تاکہ باہر کے لوگوں کی نظر میں آنا مشکل ہو۔
صرف عنوان پر سیاہی پھیر دیں، پھر اسے جوں کا توں باہر رکھ دیں۔
اسے شریڈ کریں، یا گودا بنانے (pulping) کے لیے باہر سونپ دیں۔
درست جوابD. اسے شریڈ کریں، یا گودا بنانے (pulping) کے لیے باہر سونپ دیں۔
کاغذ کو ٹھکانے لگانے کا بنیادی اصول یہ ہے کہ شریڈنگ (シュレッダー) یا گودا بنانے (溶解処理) کے ذریعے اسے دوبارہ جوڑنا ناممکن بنا دیا جائے۔ دوسرے کچرے میں ملا دینے کے باوجود اگر کوئی اسے نکال لے تو وہ پڑھی جا سکتی ہے، اور صرف آدھا پھاڑنے یا عنوان پر سیاہی پھیرنے سے متن پڑھنے کے قابل رہتا ہے، اس لیے ان میں سے کوئی بھی ”صرف اندرونی استعمال کے لیے“ دستاویز کو ٹھکانے لگانے کا موزوں طریقہ نہیں۔
سوال 7 | انوینٹری لینا
معلوماتی اثاثوں کی وقتاً فوقتاً انوینٹری لینے کی سب سے موزوں وجہ درج ذیل میں سے کون سی ہے؟
معلوماتی اثاثوں کی خریداری کی قیمت پر مول تول کر کے اسے کم کروانا اور آلات کی خریداری یا تبدیلی کے اخراجات کم رکھنا۔
رجسٹر کے اندراجات اور حقیقت میں موجود اثاثوں کے درمیان ہر فرق ختم کرنا، تاکہ کنٹرولز بغیر کسی خلا کے لاگو ہوں۔
یہ یقینی بنانا کہ ادارے کے پاس موجود معلوماتی اثاثوں کی کل تعداد ہر سال لازماً کم ہو، تاکہ انتظام کا بوجھ ہلکا ہو۔
ملازمین کی حاضری کا حساب رکھنا اور عملے کی تعیناتی کا جائزہ لینا۔
درست جوابB. رجسٹر کے اندراجات اور حقیقت میں موجود اثاثوں کے درمیان ہر فرق ختم کرنا، تاکہ کنٹرولز بغیر کسی خلا کے لاگو ہوں۔
انوینٹری لینے (棚卸し) کا مقصد رجسٹر کو حقیقت کے مطابق کرنا ہے۔ جو اثاثہ رجسٹر میں نہ ہو اس پر کوئی کنٹرول (管理策) لاگو نہیں ہوتا، اور اگر پہلے سے ٹھکانے لگایا گیا اثاثہ رجسٹر میں باقی رہ جائے تو اسے لاپتہ سمجھ کر بے فائدہ تلاش کیا جاتا رہے گا۔ قیمت پر مول تول اور حاضری کا انتظام مقصد نہیں، اور اثاثوں کی تعداد کم کرنا بھی مقصد نہیں۔
سوال 8 | معلومات کا لائف سائیکل
معلومات کے لائف سائیکل کو تخلیق ← استعمال ← ذخیرہ ← منتقلی ← تلفی کے طور پر دیکھتے ہوئے، ہر مرحلے کے لیے کنٹرولز کا سب سے موزوں مجموعہ درج ذیل میں سے کون سا ہے؟
اگر منتقلی اندرونی ڈاک (internal courier) کے ذریعے کی جائے تو حوالگی کا ریکارڈ چھوڑا جا سکتا ہے۔
چونکہ ذخیرہ شدہ معلومات کمپنی کے اندر رکھی جاتی ہیں اور محفوظ ہیں، اس لیے رسائی کے حقوق مقرر کرنا خاص طور پر ضروری نہیں۔
تخلیق کے مرحلے پر درجہ بندی طے نہ کریں؛ معلومات کو تلف کرنے کا وقت آنے پر ہی درجہ بندی اور اسے سنبھالنے کا طریقہ ایک ساتھ طے کریں۔
ذخیرے کے دوران معلومات کو تالے میں رکھیں یا انکرپٹ کریں؛ منتقلی کے دوران اسے سربمہر کریں اور حوالگی کا ریکارڈ رکھیں؛ اور تلفی کے وقت اسے مٹا دیں یا جسمانی طور پر تباہ کر دیں۔
درست جوابD. ذخیرے کے دوران معلومات کو تالے میں رکھیں یا انکرپٹ کریں؛ منتقلی کے دوران اسے سربمہر کریں اور حوالگی کا ریکارڈ رکھیں؛ اور تلفی کے وقت اسے مٹا دیں یا جسمانی طور پر تباہ کر دیں۔
تخلیق (حصول) کے وقت درجہ بندی (分類) طے کرنا ہی وہ چیز ہے جو بعد میں معلومات کو سنبھالنے کا طریقہ متعین کرتی ہے۔ ذخیرے کے دوران بھی معلومات کو ان ملازمین سے بچانا ضروری ہے جن کے پاس اجازت نہیں، اور اندرونی ڈاک کی صورت میں بھی یہ ریکارڈ ضروری ہے کہ کس نے کب حوالے کیا۔ وہ آپشن درست ہے جو ہر مرحلے پر مناسب کنٹرول (管理策) لاگو کرتا ہے۔
سوال 9 | درجہ بندی کے معیارات
معلومات کی درجہ بندی کی سطح طے کرتے وقت سب سے موزوں سوچ درج ذیل میں سے کون سی ہے؟
صرف اس میڈیم کی بنیاد پر طے کریں جس پر یہ ریکارڈ ہے — مثلاً ہر الیکٹرانک فائل کو خفیہ اور ہر کاغذی دستاویز کو ”صرف اندرونی استعمال کے لیے“ سمجھیں۔
معلومات تیار کرنے والے شعبے میں جتنے زیادہ لوگ ہوں، اس کی درجہ بندی اتنی ہی اونچی ہونی چاہیے۔
اسے صرف افشا کے اثر کی بنیاد پر نہیں بلکہ ردوبدل (tampering) کے اثر یا معلومات کے ناقابلِ استعمال ہو جانے کے اثر کی بنیاد پر بھی طے کریں۔
معلومات کی درجہ بندی ایک بار طے ہو جائے تو اس کے بعد مواد یا حالات بدلنے پر بھی جائزہ لیے بغیر اسے جوں کا توں استعمال کرتے رہیں۔
درست جوابC. اسے صرف افشا کے اثر کی بنیاد پر نہیں بلکہ ردوبدل (tampering) کے اثر یا معلومات کے ناقابلِ استعمال ہو جانے کے اثر کی بنیاد پر بھی طے کریں۔
درجہ بندی صرف رازداری (機密性) کو دیکھ کر نہیں بلکہ اس بات کو بھی دیکھ کر طے کی جانی چاہیے کہ سالمیت (完全性) یا دستیابی (可用性) متاثر ہونے کی صورت میں کیا اثر ہوگا۔ شعبے میں لوگوں کی تعداد کا اثر کی شدت سے کوئی تعلق نہیں، اور صرف میڈیم کی بنیاد پر یکساں طور پر طے کرنا بھی حقیقت سے مطابقت نہیں رکھتا۔ حالات بدلنے پر جائزہ لینا بھی ضروری ہے، جیسے ایسی معلومات جن کی اشاعت کی طے شدہ تاریخ گزر چکی ہو۔
سوال 10 | ترتیب
درج ذیل میں سے کون سا رسک اسیسمنٹ پر مشتمل تین سرگرمیوں کو اس ترتیب میں درست طور پر رکھتا ہے جس میں وہ انجام دی جاتی ہیں؟
رسک کی جانچ ← رسک کا تجزیہ ← رسک کی شناخت
رسک کی شناخت ← رسک کی جانچ ← رسک کا تجزیہ
رسک کی شناخت ← رسک کا تجزیہ ← رسک کی جانچ
رسک کا تجزیہ ← رسک کی شناخت ← رسک کی جانچ
درست جوابC. رسک کی شناخت ← رسک کا تجزیہ ← رسک کی جانچ
رسک اسیسمنٹ (リスクアセスメント) اس ترتیب سے انجام دیا جاتا ہے: شناخت (リスク特定)، جو رسک تلاش کرتی ہے؛ تجزیہ (リスク分析)، جو ان کی شدت کا اندازہ لگاتا ہے؛ اور جانچ (リスク評価)، جو اس شدت کا ایک معیار سے موازنہ کر کے طے کرتی ہے کہ ردعمل ضروری ہے یا نہیں۔ جس چیز کی شناخت نہ ہوئی ہو اس کا تجزیہ نہیں ہو سکتا، اور جس کا تجزیہ نہ ہوا ہو اس کا معیار سے موازنہ نہیں ہو سکتا، اس لیے کوئی دوسری ترتیب کام نہیں کرتی۔
سوال 11 | کون سی سرگرمی
ٹیم نے درج ذیل بات کی نشاندہی کر کے اسے ایک فہرست میں لکھا: ”سرور روم پہلی منزل پر ہے، اور شدید بارش سے اس میں پانی بھر سکتا ہے اور سرور بند ہو سکتے ہیں۔“ یہ کام رسک اسیسمنٹ کی کس سرگرمی کے زمرے میں آتا ہے؟
رسک ٹریٹمنٹ
رسک کی قبولیت
رسک کی شناخت
رسک کی جانچ
درست جوابC. رسک کی شناخت
یہ دریافت کرنے اور بیان کرنے کی سرگرمی کہ کون سے رسک موجود ہیں، رسک کی شناخت (リスク特定) ہے۔ شدت کا رسک کے معیار (リスク基準) سے موازنہ کر کے یہ طے کرنا کہ ردعمل ضروری ہے یا نہیں، رسک کی جانچ ہے؛ اجتناب یا کمی جیسا قدم اٹھانا رسک ٹریٹمنٹ (リスク対応) ہے؛ اور کسی چیز کو معیار کے اندر سمجھ کر قبول کرنا رسک کی قبولیت ہے؛ یہ سب اس مرحلے کے بعد آنے والی سرگرمیاں ہیں۔
سوال 12 | جانچ کا مقام
رسک اسیسمنٹ کے اندر رسک کی جانچ کی سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
تجزیے کے ذریعے معلوم ہونے والی رسک کی شدت کا رسک کے معیار سے موازنہ کر کے طے کرنا کہ ردعمل ضروری ہے یا نہیں اور کس ترجیحی ترتیب سے۔
معلوماتی اثاثوں، خطرات اور کمزوریوں کے امتزاج سے ادارے میں موجود رسک کو جامع طور پر تلاش کرنا اور بیان کرنا۔
منتخب کنٹرولز کو عملی طور پر متعارف کرانا، انہیں چالو کرنا اور روزمرہ کام کا حصہ بنانا۔
وقوع کے امکان اور اثر کی حد کا الگ الگ اندازہ لگانا، اور ان سے رسک کی شدت کا حساب لگانا۔
درست جوابA. تجزیے کے ذریعے معلوم ہونے والی رسک کی شدت کا رسک کے معیار سے موازنہ کر کے طے کرنا کہ ردعمل ضروری ہے یا نہیں اور کس ترجیحی ترتیب سے۔
رسک کی جانچ (リスク評価) اسیسمنٹ کی آخری سرگرمی ہے، یعنی وہ مرحلہ جس میں تجزیے کے نتائج کو ایک معیار کی روشنی میں پرکھا جاتا ہے۔ رسک تلاش کرنا رسک کی شناخت ہے، شدت کا حساب لگانا رسک کا تجزیہ ہے، اور کنٹرولز متعارف کرانا رسک ٹریٹمنٹ پر عمل درآمد ہے؛ ہر ایک الگ مرحلے سے تعلق رکھتا ہے۔
سوال 13 | منتقلی
ایک ادارے نے معلومات کے افشا سے پیدا ہونے والے معاوضے اور تحقیقات کے اخراجات کی تیاری کے لیے سائبر انشورنس لی۔ یہ رسک ٹریٹمنٹ کی کون سی قسم ہے؟
رسک سے اجتناب
رسک میں کمی (mitigation)
رسک کی قبولیت (retention)
رسک کی منتقلی (sharing)
درست جوابD. رسک کی منتقلی (sharing)
انشورنس لینے سے نقصان کا بوجھ انشورنس کمپنی کے ساتھ بانٹا جاتا ہے، اس لیے یہ رسک کی منتقلی (リスク移転) (sharing) ہے۔ اجتناب رسک پیدا کرنے والی سرگرمی کو بالکل روک دینا ہے، کمی جوابی اقدامات کے ذریعے امکان یا اثر کو گھٹانا ہے، اور قبولیت جوابی اقدامات کے بغیر رسک کو جوں کا توں اٹھانا ہے؛ انشورنس ان میں سے کچھ بھی نہیں۔
سوال 14 | ALE کا حساب
ایک مخصوص واقعہ ہر بار پیش آنے پر 6 ملین ین کا نقصان کرتا ہے، اور توقع ہے کہ یہ ہر دو سال میں ایک بار پیش آئے گا۔ اس واقعے کا سالانہ متوقع نقصان (ALE) کیا ہے؟
1,500,000 ین
3 ملین ین
6 ملین ین
12 ملین ین
درست جوابB. 3 ملین ین
ALE کا حساب SLE (ہر وقوع پر نقصان) × ARO (سالانہ شرحِ وقوع) کے طور پر کیا جاتا ہے۔ ہر دو سال میں ایک بار کا مطلب ARO = 0.5 ہے، لہٰذا 6,000,000 × 0.5 = 3,000,000 ین۔ 6 ملین ین محض SLE ہے، 12 ملین ین وہ قدر ہے جو سال میں دو بار وقوع کی صورت میں آتی، اور 1,500,000 ین ARO کو 0.25 لینے کا غلط نتیجہ ہے۔
سوال 15 | ALE کا حساب
ایک آفت ہر بار پیش آنے پر 40 ملین ین کا نقصان کرتی ہے، اور اس کا سالانہ امکان 5% اندازہ کیا گیا ہے۔ اس آفت کا سالانہ متوقع نقصان (ALE) کیا ہے؟
8 ملین ین
2 ملین ین
40 ملین ین
4 ملین ین
درست جوابB. 2 ملین ین
5% کی سالانہ شرح کا مطلب ARO = 0.05 ہے، لہٰذا ALE = 40,000,000 × 0.05 = 2,000,000 ین۔ 4 ملین ین 10% امکان لینے سے آنے والی قدر ہے، 8 ملین ین 20% لینے سے آتی ہے، اور 40 ملین ین محض SLE ہے؛ ان میں سے ہر ایک یا تو سالانہ شرحِ وقوع (年間発生率) سے ضرب نہیں دیتا یا غلط شرح استعمال کرتا ہے۔
سوال 16 | لاگت کی تاثیر
ایک مخصوص رسک ہر بار پیش آنے پر 10 ملین ین کا نقصان کرتا ہے، اور اس کی سالانہ شرحِ وقوع 0.4 اندازہ کی گئی ہے۔ سالانہ 2.2 ملین ین لاگت والا جوابی اقدام متعارف کرانے سے سالانہ شرحِ وقوع 0.1 تک کم ہو جائے گی۔ درج ذیل میں سے سب سے موزوں مالی جائزہ کون سا ہے؟
جوابی اقدام سالانہ متوقع نقصان کو 10 ملین ین سے 1 ملین ین تک لے آتا ہے، یعنی 9 ملین ین کی کمی، جو لاگت سے کہیں زیادہ ہے، اس لیے یہ فائدہ مند ہے۔
جوابی اقدام سالانہ متوقع نقصان کو 4 ملین ین سے 1 ملین ین تک لے آتا ہے، یعنی 2 ملین ین کی کمی، جو 2,200,000 ین کی لاگت سے کم ہے، اس لیے یہ فائدہ مند نہیں۔
جوابی اقدام سالانہ متوقع نقصان کو 4 ملین ین سے 1 ملین ین تک لے آتا ہے، یعنی 3 ملین ین کی کمی، جو 2,200,000 ین کی لاگت سے زیادہ ہے، اس لیے یہ فائدہ مند ہے۔
چونکہ سالانہ شرحِ وقوع صفر تک نہیں لائی گئی، اس لیے جوابی اقدام کے اثر کا رقم کے لحاظ سے جائزہ نہیں لیا جا سکتا۔
درست جوابC. جوابی اقدام سالانہ متوقع نقصان کو 4 ملین ین سے 1 ملین ین تک لے آتا ہے، یعنی 3 ملین ین کی کمی، جو 2,200,000 ین کی لاگت سے زیادہ ہے، اس لیے یہ فائدہ مند ہے۔
جوابی اقدام سے پہلے ALE = 10,000,000 × 0.4 = 4,000,000 ین ہے، اور اس کے بعد 10,000,000 × 0.1 = 1,000,000 ین، یعنی 3,000,000 ین کی کمی۔ چونکہ یہ 2,200,000 ین کی لاگت سے زیادہ ہے، اس لیے مالی لحاظ سے یہ معقول ہے۔ 10 ملین ین SLE ہے، ALE نہیں، اور کمی کو 2 ملین ین سمجھنا بھی حساب کی غلطی ہے۔ کچھ باقی ماندہ رسک (残留リスク) رہ جانے کے باوجود رقم کے لحاظ سے موازنہ ممکن رہتا ہے۔
سوال 17 | اجتناب
ایک ڈاک کے ذریعے فروخت (mail-order) کا کاروبار، جو بڑی مقدار میں ذاتی معلومات سنبھالتا ہے لیکن منافع بخش ہونے کا کوئی امکان نہیں دکھاتا، کے بارے میں یہ فیصلہ کیا گیا کہ افشا کی صورت میں اس کا اثر بہت زیادہ ہوگا، اور کمپنی اس کاروبار ہی سے دستبردار ہو گئی۔ یہ رسک ٹریٹمنٹ کی کون سی قسم ہے؟
رسک سے اجتناب
رسک کی منتقلی (sharing)
رسک کی قبولیت (retention)
رسک میں کمی (mitigation)
درست جوابA. رسک سے اجتناب
وہ ردعمل جو رسک پیدا کرنے والی سرگرمی کو بالکل روک دیتا ہے، رسک سے اجتناب (リスク回避) ہے۔ منتقلی کا مطلب انشورنس یا آؤٹ سورسنگ کے ذریعے نقصان بانٹنا ہے، کمی کا مطلب جوابی اقدامات کے ذریعے امکان یا اثر گھٹانا ہے، اور قبولیت کا مطلب جوابی اقدامات کے بغیر رسک اٹھانا ہے؛ سرگرمی بند کر دینا ان میں سے کچھ بھی نہیں۔
سوال 18 | کمی
میل ویئر کے انفیکشن کے رسک سے نمٹنے کے لیے ایک ادارے نے اینٹی وائرس سافٹ ویئر متعارف کرایا، OS اپ ڈیٹس پوری طرح لاگو کیں اور ملازمین کو تربیت دی، جس سے انفیکشن کا امکان کم ہو گیا۔ یہ رسک ٹریٹمنٹ کی کون سی قسم ہے؟
رسک کی قبولیت (retention)
رسک میں کمی (mitigation)
رسک سے اجتناب
رسک کی منتقلی (sharing)
درست جوابB. رسک میں کمی (mitigation)
وہ ردعمل جو امکان یا اثر کم کرنے کے لیے کنٹرولز نافذ کرتا ہے، رسک میں کمی (リスク低減) ہے۔ اجتناب کا مطلب کاروباری سرگرمی ہی روک دینا ہے، منتقلی کا مطلب انشورنس یا آؤٹ سورسنگ کے ذریعے نقصان دوسروں کے ساتھ بانٹنا ہے، اور قبولیت کا مطلب معیار کے اندر ہونے کی وجہ سے کوئی جوابی اقدام نہ کرنا ہے، اس لیے امکان کم کرنے کے لیے قدم اٹھانا ان میں سے کچھ بھی نہیں۔
سوال 19 | قبولیت
اندرونی بلیٹن بورڈ کی عارضی بندش کے بارے میں تصدیق ہو گئی کہ کام پر اس کا اثر کم ہے اور متوقع نقصان رسک کی قبولیت کے معیارات کے اندر ہے، اس لیے ذمہ دار منتظم کی منظوری سے فیصلہ کیا گیا کہ مزید کوئی جوابی اقدام نہ کیا جائے۔ یہ رسک ٹریٹمنٹ کی کون سی قسم ہے؟
رسک کی منتقلی (sharing)
رسک سے اجتناب
رسک میں کمی (mitigation)
رسک کی قبولیت (retention)
درست جوابD. رسک کی قبولیت (retention)
وہ ردعمل جو یہ تصدیق کرتا ہے کہ اثر کم اور قبولیت کے معیارات (受容基準) کے اندر ہے، اور جوابی اقدام کیے بغیر جان بوجھ کر اسے قبول کرتا ہے، رسک کی قبولیت (リスク受容) (retention) ہے۔ اجتناب سرگرمی روک دینا ہے، منتقلی نقصان بانٹنا ہے، اور کمی جوابی اقدام کرنا ہے؛ ان میں سے ہر ایک قبولیت سے اس لحاظ سے مختلف ہے کہ اس میں کوئی نہ کوئی قدم اٹھایا جاتا ہے۔ نوٹ کریں کہ یہ محض نظر انداز کرنا نہیں — ذمہ دار منتظم کی منظوری اور ریکارڈ ضروری ہے۔
سوال 20 | ٹریٹمنٹ اور مثالیں
رسک ٹریٹمنٹ کی قسم اور ٹھوس مثال کا کون سا جوڑا موزوں نہیں ہے؟
رسک کی قبولیت — ایسا نقصان ہوگا جو کاروبار کے تسلسل کے لیے خطرہ بن جائے، لیکن جوابی اقدام کو بہت زحمت والا سمجھ کر کچھ نہ کرنا۔
رسک سے اجتناب — بہت خطرناک قرار دی گئی آن لائن سروس بند کر کے اس کاروبار سے دستبردار ہونا۔
رسک کی منتقلی — معلومات کے افشا کی صورت کے لیے انشورنس لینا، اور نقصان کا کچھ حصہ انشورنس کمپنی سے برداشت کروانا۔
رسک میں کمی — اہم ڈیٹا کو انکرپٹ کرنا اور وقتاً فوقتاً بیک اپ لے کر انہیں الگ جگہ محفوظ کرنا۔
درست جوابA. رسک کی قبولیت — ایسا نقصان ہوگا جو کاروبار کے تسلسل کے لیے خطرہ بن جائے، لیکن جوابی اقدام کو بہت زحمت والا سمجھ کر کچھ نہ کرنا۔
قبولیت (リスク受容) وہ ردعمل ہے جو یہ تصدیق کرنے کے بعد منتخب کیا جاتا ہے کہ اثر کم اور قبولیت کے معیارات کے اندر ہے، اور جسے ذمہ دار منتظم منظور کرتا ہے؛ کاروبار کے تسلسل کے لیے خطرہ بننے والے رسک کو محض اس لیے نظر انداز کرنا کہ جوابی اقدام زحمت والا ہے، قبولیت نہیں۔ باقی تینوں جوڑے — انشورنس بطور منتقلی، سروس بند کرنا بطور اجتناب، اور انکرپشن یا بیک اپ بطور کمی — درست ہیں۔
سوال 21 | باقی ماندہ رسک
باقی ماندہ رسک سے نمٹنے کا سب سے موزوں طریقہ درج ذیل میں سے کون سا ہے؟
جب تک تھوڑا سا بھی باقی ماندہ رسک موجود ہو، رسک ٹریٹمنٹ ناکام شمار ہوتا ہے، اور اسے اس وقت تک دوبارہ کرنا چاہیے جب تک کچھ بھی باقی نہ رہے۔
باقی ماندہ رسک کو ہر معاملے میں متعلقہ فرنٹ لائن عملے کی صوابدید پر نمٹانا چاہیے، اور جان بوجھ کر فیصلے کا کوئی ریکارڈ نہیں رکھنا چاہیے۔
چونکہ رسک ٹریٹمنٹ کرنے سے باقی ماندہ رسک ہمیشہ صفر ہو جاتا ہے، اس لیے ٹریٹمنٹ مکمل ہونے کے بعد مواد کا دوبارہ جائزہ لینے اور منظوری دینے کی ضرورت نہیں۔
یہ وہ رسک ہے جو رسک ٹریٹمنٹ کرنے کے بعد باقی رہ جاتا ہے، اور اعلیٰ انتظامیہ جیسا کوئی ذمہ دار عہدے والا شخص فیصلہ کرتا اور منظوری دیتا ہے کہ اسے قبول کیا جائے یا نہیں۔
درست جوابD. یہ وہ رسک ہے جو رسک ٹریٹمنٹ کرنے کے بعد باقی رہ جاتا ہے، اور اعلیٰ انتظامیہ جیسا کوئی ذمہ دار عہدے والا شخص فیصلہ کرتا اور منظوری دیتا ہے کہ اسے قبول کیا جائے یا نہیں۔
کوئی بھی ٹریٹمنٹ رسک کو مکمل طور پر ختم نہیں کر سکتا، اور جو مقدار باقی رہ جائے اسے قبولیت کے معیارات (受容基準) کی روشنی میں پرکھ کر قبول کرنے یا نہ کرنے کی منظوری ذمہ دار منتظم دیتا ہے۔ یہ مفروضہ کہ یہ صفر ہو جاتا ہے غلط ہے، اور فرنٹ لائن عملے کو اکیلے فیصلہ کرنے دینا یا ریکارڈ نہ رکھنا جواب دہی (説明責任) کے تقاضے پورے نہیں کرتا۔ باقی ماندہ رسک (残留リスク) کا محض موجود ہونا اس بات کا مطلب نہیں کہ ٹریٹمنٹ ناکام ہو گیا۔
سوال 22 | 27001 بمقابلہ 27002
JIS Q 27001 اور JIS Q 27002 کے درمیان تعلق کی سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
دونوں ایسے معیارات ہیں جو صرف اصطلاحات کی تعریف کرتے ہیں، اور ان کے دائرے میں کوئی تقاضے (requirements) شامل نہیں۔
27001 کنٹرولز نافذ کرنے کا عملی ضابطہ (code of practice) ہے، اور 27002 وہ معیار ہے جو ISMS کے تقاضے متعین کرتا ہے۔
دونوں ایسے معیارات ہیں جو ISMS کے تقاضے متعین کرتے ہیں، اور ان کا مواد یکساں ہے۔
27001 سرٹیفیکیشن کا وہ معیار ہے جو ISMS کے تقاضے متعین کرتا ہے، اور 27002 کنٹرولز نافذ کرنے کا عملی ضابطہ (code of practice) ہے۔
درست جوابD. 27001 سرٹیفیکیشن کا وہ معیار ہے جو ISMS کے تقاضے متعین کرتا ہے، اور 27002 کنٹرولز نافذ کرنے کا عملی ضابطہ (code of practice) ہے۔
سرٹیفیکیشن کی بنیاد کے طور پر استعمال ہونے والا معیار JIS Q 27001 ہے، جو تقاضے (要求事項) متعین کرتا ہے، جبکہ JIS Q 27002 ایک عملی ضابطہ (実践のための規範) ہے جو بتاتا ہے کہ انفرادی کنٹرولز (管理策) کیسے نافذ کیے جائیں۔ دونوں کو آپس میں بدل دینے والی وضاحت غلط ہے۔ اصطلاحات اور جائزہ JIS Q 27000 میں متعین ہیں، اور 27001 اور 27002 کا مواد یکساں نہیں۔
سوال 23 | کس چیز کا سرٹیفیکیشن ہوتا ہے
ایک کمپنی نے اعلان کیا: ”ہم نے JIS Q 27002 سرٹیفیکیشن حاصل کر لیا ہے۔“ اس بیان میں سب سے موزوں طور پر بیان کردہ مسئلہ درج ذیل میں سے کون سا ہے؟
27002 کنٹرولز نافذ کرنے کا عملی ضابطہ (code of practice) ہے، سرٹیفیکیشن کا معیار نہیں؛ ISMS سرٹیفیکیشن JIS Q 27001 کی بنیاد پر دیا جاتا ہے۔
27002 ایسا معیار ہے جو اصطلاحات اور جائزہ پیش کرتا ہے، اور ٹھوس کنٹرولز کا احاطہ نہیں کرتا۔
27002 ایسا معیار ہے جو صرف ذاتی معلومات کے تحفظ کا احاطہ کرتا ہے، اس لیے اسے مجموعی طور پر انفارمیشن سیکیورٹی سے نمٹنے والی عام کمپنی کے سرٹیفیکیشن کے لیے استعمال نہیں کیا جا سکتا۔
27002 قابلِ سرٹیفیکیشن معیار ہے، لیکن اسے صرف سرکاری ادارے اور خود مختار انتظامی ادارے حاصل کر سکتے ہیں؛ نجی کمپنیاں اس کے دائرے سے باہر ہیں۔
درست جوابA. 27002 کنٹرولز نافذ کرنے کا عملی ضابطہ (code of practice) ہے، سرٹیفیکیشن کا معیار نہیں؛ ISMS سرٹیفیکیشن JIS Q 27001 کی بنیاد پر دیا جاتا ہے۔
ISMS مطابقت کی جانچ کے نظام (ISMS適合性評価制度) کے تحت جانچ کا معیار JIS Q 27001 ہے، جو تقاضے متعین کرتا ہے؛ 27002 سرٹیفیکیشن کا معیار نہیں بن سکتا۔ 27002 کنٹرولز کی رہنمائی ہے، نہ کہ اصطلاحات کا معیار (27000) یا ذاتی معلومات کے تحفظ کا معیار (15001)، اور اس بات پر بھی کوئی ایسی پابندی نہیں کہ کس قسم کے ادارے سرٹیفیکیشن حاصل کر سکتے ہیں۔
سوال 24 | قابلِ اطلاق ہونے کا بیان
ISMS کے قابلِ اطلاق ہونے کے بیان (statement of applicability) میں درج کرنے کے لیے سب سے موزوں مواد درج ذیل میں سے کون سا ہے؟
منتخب کیے گئے کنٹرولز، انہیں منتخب کرنے کی وجوہات، ان کے نفاذ کی صورتِ حال، اور اختیار نہ کیے گئے کنٹرولز کو خارج کرنے کی وجوہات
پچھلے ایک سال میں پیش آنے والی خرابیوں کی فہرست اور ہر ایک سے بحالی میں لگنے والے وقت کا خلاصہ کرنے والا ریکارڈ
کسی انسیڈنٹ (incident) کے پیش آنے پر گاہکوں کو بھیجے جانے والے معذرت ناموں کے مسودے، اور ان رابطوں کی فہرست جنہیں یہ بھیجے جائیں
ہر ملازم کی کارکردگی کے جائزے کے نتائج اور آئندہ سال کے لیے ان کے مقرر کردہ کام کے اہداف کی فہرست والا جدول
درست جوابA. منتخب کیے گئے کنٹرولز، انہیں منتخب کرنے کی وجوہات، ان کے نفاذ کی صورتِ حال، اور اختیار نہ کیے گئے کنٹرولز کو خارج کرنے کی وجوہات
قابلِ اطلاق ہونے کا بیان (適用宣言書) ایسی دستاویز ہے جو بتاتی ہے کہ کون سے کنٹرولز (管理策) کیوں منتخب کیے گئے، انہیں کس حد تک نافذ کیا گیا ہے، اور اختیار نہ کیے گئے کنٹرولز کو خارج کرنے کی وجہ کیا ہے۔ معذرت ناموں کے مسودے، خرابیوں کے ریکارڈ اور کارکردگی کے جائزے سب الگ دستاویزات ہیں اور یہ ثابت کرنے کا کردار ادا نہیں کرتے کہ کون سے کنٹرولز منتخب یا خارج کیے گئے۔
سوال 25 | PDCA
ISMS کے PDCA سائیکل میں اندرونی آڈٹ اور انتظامیہ کا جائزہ (management review) کس مرحلے میں آتے ہیں؟
Do
Check
Plan
Act
درست جوابB. Check
اندرونی آڈٹ (内部監査) اور انتظامیہ کا جائزہ (マネジメントレビュー) ایسی سرگرمیاں ہیں جو تصدیق کرتی ہیں کہ کام طے شدہ طریقے کے مطابق ہو رہا ہے اور مؤثر طور پر چل رہا ہے، اس لیے یہ Check سے تعلق رکھتی ہیں۔ Plan میں دائرۂ کار طے کرنا، پالیسی بنانا، رسک اسیسمنٹ اور کنٹرولز کا انتخاب شامل ہے؛ Do میں کنٹرولز متعارف کرانا اور چلانا شامل ہے؛ اور Act میں اصلاحی اقدام اور نظام کا جائزہ شامل ہے۔
سوال 26 | اندرونی آڈٹ
ISMS کا اندرونی آڈٹ کرتے وقت ذہن میں رکھنے کے لیے سب سے موزوں نکتہ درج ذیل میں سے کون سا ہے؟
اندرونی آڈٹ کو ایسی چیز سمجھیں جو صرف بیرونی سرٹیفیکیشن ادارہ انجام دیتا ہے، اور فرض کریں کہ ادارہ خود اسے کبھی انجام نہیں دیتا۔
اگر اندرونی آڈٹ کے دوران کوئی عدم مطابقت (nonconformity) ملے تو کوئی ریکارڈ رکھے بغیر صرف زبانی تنبیہ کر دیں۔
ایسے آڈیٹرز منتخب کریں جو آڈٹ ہونے والے کام سے آزاد ہوں، تاکہ معروضیت اور غیر جانبداری برقرار رکھی جا سکے۔
آڈٹ کو معروضی رکھنے کے لیے آڈیٹر اسی کام کا آڈٹ اور جائزہ لیتا ہے جس کا وہ خود ذمہ دار ہے۔
درست جوابC. ایسے آڈیٹرز منتخب کریں جو آڈٹ ہونے والے کام سے آزاد ہوں، تاکہ معروضیت اور غیر جانبداری برقرار رکھی جا سکے۔
اپنے ہی کام کا آڈٹ کرنے سے نرم جائزہ سامنے آنے کا رجحان ہوتا ہے، اس لیے آڈیٹرز ان لوگوں میں سے منتخب کیے جانے چاہئیں جو آڈٹ ہونے والے کام سے آزاد ہوں۔ اندرونی آڈٹ (内部監査) وہ سرگرمی ہے جو ادارہ خود انجام دیتا ہے؛ سرٹیفیکیشن ادارہ جو کرتا ہے وہ تیسرے فریق کی جانچ ہے۔ عدم مطابقت (不適合) کو ریکارڈ کرنا اور اس پر اصلاحی اقدام کرنا ضروری ہے۔
سوال 27 | پرائیویسی مارک
پرائیویسی مارک دیتے وقت کس معیار سے مطابقت کی جانچ کی جاتی ہے؟
ISO/IEC 27017
JIS Q 27001
JIS Q 15001
JIS Q 27002
درست جوابC. JIS Q 15001
پرائیویسی مارک (プライバシーマーク) JIS Q 15001 سے مطابقت کی جانچ کے بعد دیا جاتا ہے، جو ذاتی معلومات کے تحفظ کے انتظامی نظام (PMS) کے تقاضے متعین کرتا ہے۔ JIS Q 27001 ISMS سرٹیفیکیشن کا معیار ہے، 27002 کنٹرولز کا عملی ضابطہ ہے، اور ISO/IEC 27017 کلاؤڈ سروس کے کنٹرولز کا عملی ضابطہ ہے۔
سوال 28 | متعلقہ معیارات
کون سا جوڑا ISO/IEC 27017 اور ISO/IEC 27701 کی درست وضاحت کرتا ہے؟
27017 کلاؤڈ سروسز کے لیے انفارمیشن سیکیورٹی کنٹرولز کا عملی ضابطہ ہے، اور 27701 پرائیویسی انفارمیشن مینجمنٹ سسٹم کا معیار ہے۔
27017 پیشہ ورانہ صحت و تحفظ کا احاطہ کرتا ہے، اور 27701 کاروباری تسلسل کے انتظام کے تقاضوں کا احاطہ کرتا ہے۔
27017 فیکٹریوں اور اسی طرح کی جگہوں میں استعمال ہونے والے کنٹرول سسٹمز کی سیکیورٹی کا معیار ہے، اور 27701 معیاری کرپٹوگرافک الگورتھم اور کی (key) کی لمبائیاں متعین کرتا ہے۔
27017 کوالٹی مینجمنٹ سسٹم کا معیار ہے اور 27701 ماحولیاتی مینجمنٹ سسٹم کا معیار ہے، اور دونوں میں سے کسی کا انفارمیشن سیکیورٹی سے تعلق نہیں۔
درست جوابA. 27017 کلاؤڈ سروسز کے لیے انفارمیشن سیکیورٹی کنٹرولز کا عملی ضابطہ ہے، اور 27701 پرائیویسی انفارمیشن مینجمنٹ سسٹم کا معیار ہے۔
ISO/IEC 27017 انفارمیشن سیکیورٹی کنٹرولز (管理策) کی رہنمائی ہے جو کلاؤڈ سروس فراہم کنندگان اور صارفین دونوں کے لیے ہے، اور ISO/IEC 27701 ISMS کو وسعت دے کر ذاتی معلومات کو سنبھالنے پر مشتمل PIMS بناتا ہے۔ کوالٹی، ماحول، پیشہ ورانہ صحت و تحفظ اور کاروباری تسلسل ہر ایک بالکل الگ معیارات کے خاندان ہیں، اس لیے باقی وضاحتوں میں سے کوئی بھی درست نہیں۔
سوال 29 | مطابقت کی جانچ کا نظام
ISMS مطابقت کی جانچ کے نظام کی سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
ایسا نظام جس میں ادارہ اپنے ISMS کا خود معائنہ کرتا ہے اور محض خود یہ اعلان کر دینے سے کہ وہ تقاضوں کے مطابق ہے، اسے سرٹیفائیڈ سمجھا جاتا ہے۔
ایسا نظام جس میں تیسرے فریق کا سرٹیفیکیشن ادارہ جانچ کرتا ہے کہ ادارے کا ISMS JIS Q 27001 کے تقاضوں کے مطابق ہے یا نہیں، اور سرٹیفیکیشن دیتا ہے۔
ایسا نظام جس میں ایک سرکاری ادارہ کسی ادارے کے استعمال کردہ انفارمیشن سسٹمز کی کمزوریوں کا مجموعی معائنہ کرتا ہے اور کوئی مسئلہ نہ ملنے پر عوامی طور پر ان کے محفوظ ہونے کی ضمانت دیتا ہے۔
ایسا نظام جس میں سرٹیفیکیشن ایک بار حاصل ہو جائے تو مزید کسی جانچ کے بغیر غیر معینہ مدت تک مؤثر رہتا ہے۔
درست جوابB. ایسا نظام جس میں تیسرے فریق کا سرٹیفیکیشن ادارہ جانچ کرتا ہے کہ ادارے کا ISMS JIS Q 27001 کے تقاضوں کے مطابق ہے یا نہیں، اور سرٹیفیکیشن دیتا ہے۔
مطابقت کی جانچ کا نظام (適合性評価制度) خود اعلان پر نہیں بلکہ تیسرے فریق کی جانچ اور سرٹیفیکیشن پر مبنی ہے۔ اس کا موضوع انتظامی نظام ہے، انفرادی سسٹمز کی کمزوریوں کا معائنہ نہیں، اور سرٹیفیکیشن حاصل ہونے کے بعد بھی ادارے کو باقاعدہ نگرانی کے آڈٹ (維持審査) اور ہر چند سال بعد تجدید کا آڈٹ (更新審査) کرواتے رہنا ہوتا ہے۔
سوال 30 | تین درجے
جب انفارمیشن سیکیورٹی پالیسی کو تین درجوں میں منظم کیا جائے، تو درج ذیل میں سے کون سا انہیں اوپر سے نیچے تک درست ترتیب میں رکھتا ہے؟
معیارات ← بنیادی پالیسی ← طریقۂ کار
طریقۂ کار ← معیارات ← بنیادی پالیسی
بنیادی پالیسی ← طریقۂ کار ← معیارات
بنیادی پالیسی ← معیارات ← طریقۂ کار
درست جوابD. بنیادی پالیسی ← معیارات ← طریقۂ کار
سب سے اوپر بنیادی پالیسی (基本方針) ہے، جو ادارے کا مؤقف بیان کرتی ہے؛ اس کے نیچے معیارات (対策基準) ہیں، جو بتاتے ہیں کہ ہر شعبے میں کن باتوں کی پابندی لازمی ہے؛ اور سب سے نیچے طریقۂ کار (実施手順) ہیں، جو کام کرنے کا ٹھوس طریقہ دکھاتے ہیں۔ درجہ جتنا اوپر ہو اتنا ہی تجریدی اور مستحکم ہوتا ہے، اور جتنا نیچے ہو اتنا ہی ٹھوس اور بار بار نظرِ ثانی والا ہوتا ہے۔ کوئی دوسری ترتیب ہر درجے کے کردار سے مطابقت نہیں رکھتی۔
سوال 31 | بنیادی پالیسی
انفارمیشن سیکیورٹی پالیسی کی بنیادی پالیسی کے لیے سب سے موزوں مواد درج ذیل میں سے کون سا ہے؟
ہر شعبے کے استعمال کردہ PCs کے اثاثہ نمبر، ان کی جگہ اور ان کے صارفین
اینٹی وائرس سافٹ ویئر کا پروڈکٹ نام اور اسکرین پر اس کی ڈیفینیشن فائلیں اپ ڈیٹ کرنے کے ٹھوس مراحل
ہر سرور پر ترتیب دیے گئے فائر وال کے اصول اور اجازت یافتہ پورٹ نمبروں کی فہرست
ادارے کی انفارمیشن سیکیورٹی کی کوششوں کا مقصد، اس کے اطلاق کا دائرہ، اور اعلیٰ انتظامیہ کی ذمہ داری اور پابندی کی ذمہ داری
درست جوابD. ادارے کی انفارمیشن سیکیورٹی کی کوششوں کا مقصد، اس کے اطلاق کا دائرہ، اور اعلیٰ انتظامیہ کی ذمہ داری اور پابندی کی ذمہ داری
بنیادی پالیسی (基本方針) میں ادارے کا مؤقف بیان ہونا چاہیے — اس کا مقصد، دائرہ، اعلیٰ انتظامیہ کی ذمہ داری اور عزم، اور پابندی کی ذمہ داری۔ پروڈکٹ کا نام، چلانے کے مراحل یا پورٹ نمبر جیسی ٹھوس باتیں طریقۂ کار (実施手順) میں آتی ہیں، اور اثاثہ نمبر یا جگہ معلوماتی اثاثوں کے رجسٹر میں آتے ہیں؛ یہ ایک الگ درجے سے تعلق رکھتے ہیں۔
سوال 32 | کون سا درجہ
”کاروبار کے لیے استعمال ہونے والا پاس ورڈ کم از کم 12 حروف کا ہونا چاہیے اور اس میں بڑے حروف، چھوٹے حروف، اعداد اور علامات شامل ہونی چاہئیں“ جیسا اصول انفارمیشن سیکیورٹی پالیسی کے تین درجوں میں سے کس میں آتا ہے؟
طریقۂ کار
معیارات
بنیادی پالیسی
قابلِ اطلاق ہونے کا بیان
درست جوابB. معیارات
معیارات (対策基準) ہر شعبے میں ”کیا کرنا ہے“ کی سطح پر بتاتے ہیں کہ کن باتوں کی پابندی لازمی ہے۔ بنیادی پالیسی ادارے کا مؤقف بیان کرتی ہے اور اس میں انفرادی تقاضے شامل نہیں ہوتے، اور طریقۂ کار سیٹنگز اسکرین چلانے کے طریقے تک کو دستاویزی شکل دیتے ہیں۔ قابلِ اطلاق ہونے کا بیان (適用宣言書) ISMS کے تحت منتخب کنٹرولز دکھانے والی دستاویز ہے، پالیسی کا کوئی درجہ نہیں۔
سوال 33 | طریقۂ کار
انفارمیشن سیکیورٹی پالیسی کے طریقۂ کار والے درجے کی سب سے موزوں خصوصیت درج ذیل میں سے کون سی ہے؟
چونکہ یہ ادارے کا مؤقف دکھانے والی دستاویز ہے، اس لیے اسے بیرونی اشاعت کے مفروضے پر مختصر لکھا جاتا ہے، اور ٹھوس کنفیگریشن قدریں شامل نہیں کی جاتیں۔
ایک بار طے ہو جانے کے بعد یہ ایسی دستاویز ہے جس کا مواد کبھی تبدیل نہیں کیا جانا چاہیے، چاہے سسٹم بدل دیا جائے۔
یہ ایسی دستاویز ہے جسے صرف اعلیٰ انتظامیہ دیکھتی ہے، فرنٹ لائن عملے میں کبھی تقسیم نہیں کی جاتی، اور استعمال کے دوران بھی اس کا مواد خفیہ رکھا جاتا ہے۔
یہ چلانے کے ٹھوس مراحل اور کنفیگریشن قدریں، ذمہ دار شخص، اور ریکارڈ رکھنے کا طریقہ دکھاتی ہے، اور سسٹمز بدلنے کے ساتھ اس پر بار بار نظرِ ثانی کی جاتی ہے۔
درست جوابD. یہ چلانے کے ٹھوس مراحل اور کنفیگریشن قدریں، ذمہ دار شخص، اور ریکارڈ رکھنے کا طریقہ دکھاتی ہے، اور سسٹمز بدلنے کے ساتھ اس پر بار بار نظرِ ثانی کی جاتی ہے۔
طریقۂ کار (実施手順) دستی ہدایات (manual) کی وہ تہہ ہیں جو بتاتی ہے کہ ”یہ کیسے کرنا ہے“، اور ٹھوس ہونے کی وجہ ہی سے ان پر بار بار نظرِ ثانی کی جاتی ہے۔ بیرونی اشاعت کے لیے بنیادی پالیسی (基本方針) ہوتی ہے، اور طریقۂ کار فرنٹ لائن عملے کی استعمال کردہ دستاویزات ہیں۔ اگر طریقۂ کار کو سسٹم کی تبدیلیوں کے مطابق اپ ڈیٹ نہ کیا جائے تو وہ حقیقت سے مطابقت کھو دیتے ہیں۔
سوال 34 | CISO
CISO کا سب سے موزوں کردار درج ذیل میں سے کون سا ہے؟
گاہکوں کے سوالات کے لیے رابطے کا مرکز بننا، اور انہیں کمپنی کی مصنوعات استعمال کرنے یا ترتیب دینے کا طریقہ بتانا۔
ہر شعبے میں PCs سیٹ اپ کرنے یا نیٹ ورک کی وائرنگ جیسے کام انجام دینا۔
ادارے کی انفارمیشن سیکیورٹی کی حکمتِ عملی اور اقدامات کی مجموعی نگرانی کرنا، اور اعلیٰ انتظامیہ کو رپورٹ کرنا۔
ادارے کے ISMS کی تیسرے فریق کے نقطۂ نظر سے جانچ کرنا اور معروضی طور پر فیصلہ کرنا کہ سرٹیفیکیشن دیا جائے یا نہیں۔
درست جوابC. ادارے کی انفارمیشن سیکیورٹی کی حکمتِ عملی اور اقدامات کی مجموعی نگرانی کرنا، اور اعلیٰ انتظامیہ کو رپورٹ کرنا۔
CISO (چیف انفارمیشن سیکیورٹی آفیسر، 最高情報セキュリティ責任者) پورے ادارے میں انفارمیشن سیکیورٹی کی نگرانی کرتا ہے اور صورتِ حال اعلیٰ انتظامیہ کو رپورٹ کرتا ہے۔ گاہکوں کے سوالات نمٹانا یا آلات سیٹ اپ کرنا متعلقہ شعبے کا کام ہے، اور تیسرے فریق کی جانچ سرٹیفیکیشن ادارے کا کردار ہے؛ ان میں سے کوئی بھی CISO کا کردار نہیں۔
سوال 35 | استثنا کی منظوری
ایک کاروباری شراکت دار کے تقاضے کی وجہ سے ایسی فائل شیئرنگ سروس استعمال کرنا ضروری ہو گیا جس کا استعمال اندرونی ضوابط میں ممنوع ہے۔ متعلقہ عملے کے رکن کے لیے کون سا ردعمل سب سے موزوں ہے؟
استعمال کی وجہ، متعلقہ ڈیٹا، مدت اور متبادل کنٹرول بیان کرتے ہوئے استثنا کی درخواست دیں، اور ذمہ دار منتظم کی منظوری ملنے اور اس کا ریکارڈ بننے کے بعد ہی سروس استعمال کریں۔
کاروباری شراکت دار کو کچھ نہ بتائیں، اور آخر کار کمپنی کے کنٹرول سے باہر ذاتی کلاؤڈ اکاؤنٹ کے ذریعے کام کا ڈیٹا تبادلہ کریں
صورتِ حال کو ایسی سمجھیں جس کا اندرونی ضوابط احاطہ نہیں کرتے، اور کام مکمل کرنے کو ترجیح دیتے ہوئے ذاتی فیصلے کی بنیاد پر فوراً سروس استعمال کرنا شروع کر دیں
کاروباری شراکت دار کی ہدایت کو اندرونی ضوابط پر فوقیت دیں، ذمہ دار منتظم کی کسی منظوری یا ریکارڈ کے بغیر استعمال شروع کر دیں، اور بعد میں صرف مختصر زبانی رپورٹ دے دیں
درست جوابA. استعمال کی وجہ، متعلقہ ڈیٹا، مدت اور متبادل کنٹرول بیان کرتے ہوئے استثنا کی درخواست دیں، اور ذمہ دار منتظم کی منظوری ملنے اور اس کا ریکارڈ بننے کے بعد ہی سروس استعمال کریں۔
جب حالات کی وجہ سے ضوابط پر لفظ بلفظ عمل ممکن نہ ہو تو استثنا کی منظوری کا طریقۂ کار (例外承認) استعمال کرنا چاہیے: وجہ، مدت اور متبادل کنٹرول (代替の管理策) واضح طور پر بیان کریں، ذمہ دار منتظم کی منظوری لیں، ریکارڈ رکھیں، اور مدت ختم ہونے پر اس کا جائزہ لیں۔ اپنے فیصلے پر عمل کرنا، کاروباری شراکت دار کی ہدایت کو منظوری چھوڑنے کا بہانہ بنانا، یا ذاتی اکاؤنٹ استعمال کرنا، یہ سب معلومات کو ادارے کے کنٹرول سے باہر لے جاتے ہیں۔
سوال 36 | سائبر سیکیورٹی مینجمنٹ کی رہنما ہدایات
سائبر سیکیورٹی مینجمنٹ کی رہنما ہدایات (Cybersecurity Management Guidelines) کی سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
انفارمیشن سسٹم انجینئرز کے لیے ایک تکنیکی دستاویز، جس میں فائر والز اور سرورز کی تفصیلی کنفیگریشن قدریں اور کام کے طریقۂ کار درج ہیں۔
اعلیٰ انتظامیہ کے لیے رہنمائی کا مجموعہ، جو تین اصول پیش کرتا ہے جن سے ایگزیکٹوز کو آگاہ ہونا چاہیے اور دس اہم نکات جن پر عمل کی ہدایت ایگزیکٹوز کو اپنے CISO وغیرہ کو دینی چاہیے۔
ایک قانون جو ذاتی معلومات سنبھالنے والے کاروباروں کے لیے لازمی ذمہ داریاں اور ان کی خلاف ورزی پر قانونی سزائیں متعین کرتا ہے۔
ایک بین الاقوامی معیار جو ISMS سرٹیفیکیشن کے خواہش مند ادارے کے لیے لازمی تقاضے متعین کرتا ہے، اور تیسرے فریق کی جانچ کے معیار کے طور پر استعمال ہوتا ہے۔
درست جوابB. اعلیٰ انتظامیہ کے لیے رہنمائی کا مجموعہ، جو تین اصول پیش کرتا ہے جن سے ایگزیکٹوز کو آگاہ ہونا چاہیے اور دس اہم نکات جن پر عمل کی ہدایت ایگزیکٹوز کو اپنے CISO وغیرہ کو دینی چاہیے۔
سائبر سیکیورٹی مینجمنٹ کی رہنما ہدایات (サイバーセキュリティ経営ガイドライン) اعلیٰ انتظامیہ کے لیے رہنمائی ہیں جو وزارتِ معیشت، تجارت و صنعت (経済産業省) اور IPA نے شائع کی ہیں، اور یہ تین اصولوں اور دس اہم نکات پر مشتمل ہیں۔ یہ کنفیگریشن قدریں متعین کرنے والی تکنیکی دستاویز نہیں، سزائیں متعین کرنے والا قانون نہیں، اور جانچ کے لیے سرٹیفیکیشن کا معیار بھی نہیں (وہ JIS Q 27001 ہوگا)۔
سوال 37 | ضوابط کا نفاذ
انفارمیشن سیکیورٹی سے متعلق ضوابط کی آگاہی دینے اور ان کا جائزہ لینے کا سب سے موزوں طریقہ درج ذیل میں سے کون سا ہے؟
متعلقہ لوگوں کو ملازمت کے آغاز کی تربیت اور سامعین کے مطابق تیار کیے گئے باقاعدہ سیشنز کے ذریعے ان سے آگاہ کریں، اور جب بھی کوئی قانون ترمیم ہو، نئی ٹیکنالوجی متعارف ہو، ادارہ بدلے، کوئی انسیڈنٹ پیش آئے یا آڈٹ میں کوئی نشاندہی ہو تو ان کا جائزہ لیں۔
خلاف ورزی ہونے پر، چاہے ضابطہ کبھی ملازم کو بتایا ہی نہ گیا ہو، اسے یکساں طور پر ملازم کی ذاتی ذمہ داری سمجھیں، اور ضابطے کا جائزہ نہ لیں۔
ضوابط ایک بار طے ہو جائیں تو قانون میں ترمیم یا ادارے میں تبدیلی کے باوجود انہیں جوں کا توں رکھیں۔
ضوابط کو ایسے اندرونی سرور پر رکھ دینا کافی ہے جہاں ہر کوئی انہیں دیکھ سکے؛ ملازمت کے آغاز کی تربیت یا باقاعدہ سیشنز کے ذریعے دوبارہ آگاہی دینے کی کوئی خاص ضرورت نہیں۔
درست جوابA. متعلقہ لوگوں کو ملازمت کے آغاز کی تربیت اور سامعین کے مطابق تیار کیے گئے باقاعدہ سیشنز کے ذریعے ان سے آگاہ کریں، اور جب بھی کوئی قانون ترمیم ہو، نئی ٹیکنالوجی متعارف ہو، ادارہ بدلے، کوئی انسیڈنٹ پیش آئے یا آڈٹ میں کوئی نشاندہی ہو تو ان کا جائزہ لیں۔
ضوابط اسی وقت کام کرتے ہیں جب ان سے آگاہ کیا جا چکا ہو (周知)، اور حالات بدلنے کے ساتھ ان کا جائزہ (見直し) لینا ضروری ہے۔ محض کہیں رکھ دینے کا مطلب یہ نہیں کہ انہیں پڑھا جائے گا، اور ترمیم پر پابندی انہیں حقیقت سے ہم آہنگ نہیں رہنے دیتی۔ ایسے ضابطے کی خلاف ورزی پر جو ملازم کو کبھی بتایا ہی نہ گیا ہو، یکطرفہ طور پر ملازم کو قصوروار ٹھہرانا موزوں طریقہ نہیں۔
سوال 38 | BCP بمقابلہ BCM
BCP اور BCM کے درمیان تعلق کی سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
BCP اعلیٰ انتظامیہ کے پڑھنے کے لیے مرتب کی گئی دستاویز ہے، اور BCM فرنٹ لائن عملے کے پڑھنے کے لیے مرتب کی گئی دستاویز ہے — یہ فرق صرف مطلوبہ قاری کی بنیاد پر ہے۔
BCP اور BCM کا مطلب ایک ہی ہے؛ دونوں اصطلاحات مترادف ہیں۔
BCP بذاتِ خود منصوبہ ہے، جو بتاتا ہے کہ اہم کاموں کو کیسے جاری رکھا جائے گا اور بحال کیا جائے گا، اور BCM اس منصوبے کو بنانے اور اس پر تربیت، مشق، جائزہ اور نظرِ ثانی جاری رکھنے کی مجموعی انتظامی سرگرمی ہے۔
BCP سے مراد روزمرہ انفارمیشن سیکیورٹی آپریشنز کا پورا مجموعہ ہے، اور BCM سے مراد صرف اس کے اندر موجود تکنیکی اقدامات ہیں، جیسے آلات کی کنفیگریشن اور نگرانی۔
درست جوابC. BCP بذاتِ خود منصوبہ ہے، جو بتاتا ہے کہ اہم کاموں کو کیسے جاری رکھا جائے گا اور بحال کیا جائے گا، اور BCM اس منصوبے کو بنانے اور اس پر تربیت، مشق، جائزہ اور نظرِ ثانی جاری رکھنے کی مجموعی انتظامی سرگرمی ہے۔
BCP (事業継続計画) ایک حاصل شدہ دستاویز یعنی منصوبہ ہے، جبکہ BCM (事業継続マネジメント) اس BCP کو بنانے اور اس پر تربیت، مشق، جائزہ اور بہتری جاری رکھنے کی انتظامی سرگرمی ہے۔ دونوں میں سے کوئی اصطلاح روزمرہ سیکیورٹی آپریشنز یا تکنیکی اقدامات کی طرف اشارہ نہیں کرتی، فرق مطلوبہ قاری کی بنیاد پر نہیں، اور دونوں مترادف بھی نہیں۔
سوال 39 | RTO اور RPO
کون سا جوڑا RTO اور RPO کی درست وضاحت کرتا ہے؟
RTO اس بات کا ہدف ہے کہ ڈیٹا کو کس وقت کی حالت تک بحال کیا جائے، اور RPO اس بات کا ہدف ہے کہ خرابی سے بحالی تک کتنا وقت لگ سکتا ہے۔
RTO اور RPO دونوں اس ہدف کی سطح کو ظاہر کرتے ہیں جس تک بحالی کے بعد کام بحال ہونا چاہیے، اور ان میں کوئی فرق نہیں۔
RTO محفوظ رکھی گئی بیک اپ نسلوں (generations) کی تعداد کو ظاہر کرتا ہے، اور RPO بیک اپ کے لیے استعمال ہونے والے اسٹوریج میڈیم کی قسم کو ظاہر کرتا ہے۔
RTO اس بات کا ہدف ہے کہ خرابی سے بحالی تک کتنا وقت لگ سکتا ہے، اور RPO اس بات کا ہدف ہے کہ ڈیٹا کو کس وقت کی حالت تک بحال کیا جائے۔
درست جوابD. RTO اس بات کا ہدف ہے کہ خرابی سے بحالی تک کتنا وقت لگ سکتا ہے، اور RPO اس بات کا ہدف ہے کہ ڈیٹا کو کس وقت کی حالت تک بحال کیا جائے۔
RTO (بحالی کے وقت کا ہدف، 目標復旧時間) وقت کا ہدف ہے، اور RPO (بحالی کے نقطے کا ہدف، 目標復旧時点) ڈیٹا کی تازگی کا ہدف ہے، یعنی ڈیٹا کے نقصان کی قابلِ قبول حد۔ دونوں کو آپس میں بدل دینے والی وضاحت غلط ہے۔ کام کی بحالی کی سطح ظاہر کرنے والا ہدف RLO ہے، اور نہ بیک اپ نسلوں کی تعداد اور نہ میڈیم کی قسم ان میں سے کسی پیمانے کو ظاہر کرتی ہے۔
سوال 40 | RPO اور وقفہ
ایک سسٹم نے اپنا RPO 4 گھنٹے مقرر کیا ہے۔ اس ہدف کو پورا کرنے کے لیے درج ذیل میں سے کون سا طریقۂ کار سب سے موزوں ہے؟
خرابی پیش آنے کے 4 گھنٹوں کے اندر سسٹم بحال کرنے کی صلاحیت رکھنے والا نظام اور طریقۂ کار قائم کریں، اور باقاعدہ بحالی کی مشقیں بھی کریں۔
کم از کم ہر 4 گھنٹے بعد بیک اپ لیں، تاکہ خرابی کی صورت میں سب سے حالیہ 4 گھنٹوں سے زیادہ کا ڈیٹا ضائع نہ ہو۔
بحالی کے بعد سسٹم کی پروسیسنگ صلاحیت کو کم از کم معمول کی سطح کے ایک چوتھائی تک بحال کرنے کا ہدف مقرر کریں، اور اس کے گرد نظام بنائیں۔
چار مختلف اقسام کے بیک اپ میڈیا تیار کریں، اور ہر ایک کو الگ جگہ محفوظ کرنے کا طریقہ اپنائیں۔
درست جوابB. کم از کم ہر 4 گھنٹے بعد بیک اپ لیں، تاکہ خرابی کی صورت میں سب سے حالیہ 4 گھنٹوں سے زیادہ کا ڈیٹا ضائع نہ ہو۔
چونکہ RPO (目標復旧時点) ڈیٹا کے نقصان کی قابلِ قبول حد کو ظاہر کرتا ہے، اس لیے 4 گھنٹے کے RPO کے لیے ضروری ہے کہ بیک اپ کا وقفہ 4 گھنٹے یا اس سے کم رکھا جائے۔ 4 گھنٹوں کے اندر بحال کرنا RTO کا معاملہ ہے، اور بحالی کی سطح RLO کا معاملہ ہے؛ چار اقسام کے میڈیا تیار کرنے کا RPO سے کوئی تعلق نہیں۔
سوال 41 | RLO
ایک کاروباری تسلسل کے منصوبے میں لکھا ہے: ”آفت پیش آنے کے بعد پہلے صرف آرڈر وصول کرنے کا کام، معمول کی پروسیسنگ صلاحیت کے 50% پر، دوبارہ شروع کریں۔“ کون سا پیمانہ اس ہدف کو ظاہر کرتا ہے؟
BIA (کاروباری اثرات کا تجزیہ)
RPO (بحالی کے نقطے کا ہدف)
RLO (بحالی کی سطح کا ہدف)
RTO (بحالی کے وقت کا ہدف)
درست جوابC. RLO (بحالی کی سطح کا ہدف)
RLO (目標復旧レベル) وہ پیمانہ ہے جو دکھاتا ہے کہ بحالی ہونے پر کام کو کس سطح تک بحال ہونا چاہیے۔ RTO بحالی تک کے وقت کا پیمانہ ہے، اور RPO اس بات کا پیمانہ ہے کہ ڈیٹا کو کس وقت کی حالت تک بحال کیا جائے؛ BIA ایک تجزیاتی سرگرمی ہے جو واضح کرتی ہے کہ کون سے کام پہلے بحال کیے جائیں، کوئی پیمانہ نہیں۔
سوال 42 | BIA
کاروباری اثرات کے تجزیے (BIA) کا سب سے موزوں مقصد درج ذیل میں سے کون سا ہے؟
شعبہ وار عملے کی تعیناتی بہتر بنانے کے لیے ہر ملازم کے کام کے بوجھ اور اوقاتِ کار کی پیمائش کرنا۔
انفارمیشن سسٹم میں موجود کمزوریوں کا جامع معائنہ کر کے یہ شناخت کرنا کہ کیا درست کرنا ہے اور اس کی ترجیح کیا ہے، اور پیشگی اصلاحی منصوبہ تیار کرنا۔
اگر کام رک جائیں تو اثر کی شدت اور وقت کے ساتھ اس کے پھیلاؤ کا تجزیہ کر کے یہ شناخت کرنا کہ کون سے اہم کام پہلے بحال کیے جائیں اور وہ کن وسائل پر منحصر ہیں۔
بیک اپ میڈیا کی فی یونٹ قیمتوں کا موازنہ کر کے اخراجات کم کرنے کے لیے سب سے سستا منتخب کرنا۔
درست جوابC. اگر کام رک جائیں تو اثر کی شدت اور وقت کے ساتھ اس کے پھیلاؤ کا تجزیہ کر کے یہ شناخت کرنا کہ کون سے اہم کام پہلے بحال کیے جائیں اور وہ کن وسائل پر منحصر ہیں۔
BIA یہ تجزیہ کرتا ہے کہ کون سے کام رک جانے سے کتنا نقصان اور کب تک ہوتا ہے، اور بحالی کی ترجیحی ترتیب اور ہر کام کے انحصار والے وسائل کی شناخت کرتا ہے، جو BCP تیار کرنے کی بنیاد بنتا ہے۔ عملے کی تعیناتی بہتر بنانا، کمزوریوں کا معائنہ کرنا اور میڈیا کی قیمتوں کا موازنہ کرنا، ان میں سے کوئی بھی BIA کا مقصد نہیں۔
سوال 43 | انکریمنٹل بیک اپ سے بحالی
اتوار کو مکمل (full) بیک اپ لیا جاتا ہے، اور پیر سے ہفتے تک ہر روز انکریمنٹل بیک اپ لیا جاتا ہے۔ اگر جمعرات کی رات خرابی پیش آئے تو سسٹم بحال کرنے کے لیے بیک اپس کا کون سا مجموعہ درکار ہے؟
صرف دو: اتوار کو لیا گیا مکمل بیک اپ اور جمعرات کو لیا گیا انکریمنٹل بیک اپ
اتوار کے مکمل بیک اپ کے علاوہ، پیر سے جمعرات تک کے تمام انکریمنٹل بیک اپس
اتوار کا مکمل بیک اپ اور پیر، منگل، بدھ اور جمعرات کے تمام انکریمنٹل بیک اپس
صرف جمعرات کو لیا گیا انکریمنٹل بیک اپ، یعنی خرابی سے فوراً پہلے والا، اور اس سے پہلے والوں میں سے کوئی نہیں
درست جوابC. اتوار کا مکمل بیک اپ اور پیر، منگل، بدھ اور جمعرات کے تمام انکریمنٹل بیک اپس
چونکہ انکریمنٹل بیک اپ (増分バックアップ) میں صرف پچھلے بیک اپ کے بعد کی گئی تبدیلیاں ہوتی ہیں، اس لیے بحالی کے لیے مکمل بیک اپ (フルバックアップ) اور اس کے بعد لیے گئے ہر انکریمنٹل بیک اپ کی ضرورت ہوتی ہے۔ ایک بھی کم ہو تو بحالی ناممکن ہو جاتی ہے۔ صرف مکمل بیک اپ اور سب سے حالیہ ایک بیک اپ سے بحال کر سکنا ڈفرینشل بیک اپ (差分バックアップ) کی صورت ہے۔
سوال 44 | ڈفرینشل بیک اپ سے بحالی
اتوار کو مکمل (full) بیک اپ لیا جاتا ہے، اور پیر سے ہفتے تک ہر روز ڈفرینشل بیک اپ لیا جاتا ہے۔ اگر جمعرات کی رات خرابی پیش آئے تو سسٹم بحال کرنے کے لیے بیک اپس کا کون سا مجموعہ درکار ہے؟
صرف جمعرات کا ڈفرینشل بیک اپ
پیر سے جمعرات تک کے تمام ڈفرینشل بیک اپس
اتوار کا مکمل بیک اپ اور جمعرات کا ڈفرینشل بیک اپ
اتوار کا مکمل بیک اپ اور پیر، منگل، بدھ اور جمعرات کے تمام ڈفرینشل بیک اپس
درست جوابC. اتوار کا مکمل بیک اپ اور جمعرات کا ڈفرینشل بیک اپ
ڈفرینشل بیک اپ (差分バックアップ) ہر بار لیے جانے پر آخری مکمل بیک اپ کے بعد کی تمام تبدیلیاں رکھتا ہے، اس لیے سب سے حالیہ ڈفرینشل بیک اپ میں اس وقت تک کی ہر تبدیلی پہلے ہی شامل ہوتی ہے۔ لہٰذا بحالی کے لیے صرف دو بیک اپس درکار ہیں: مکمل بیک اپ اور تازہ ترین ڈفرینشل بیک اپ۔ ہر ڈفرینشل بیک اپ کی ضرورت پڑنا انکریمنٹل بیک اپ (増分バックアップ) کی صورت ہے۔
Q45 | 3-2-1
درج ذیل میں سے کون سا 3-2-1 بیک اپ اصول اور رینسم ویئر کے خلاف جوابی اقدام کے طور پر ذخیرہ کرنے میں اس کے اطلاق کے طریقے کی سب سے موزوں وضاحت کرتا ہے؟
یہ ایسے طریقۂ کار کی رہنما ہدایت ہے جس میں بیک اپ لینے سے پہلے تین عملے کے ارکان دوہری جانچ کرتے ہیں اور ایک ذمہ دار شخص منظوری دیتا ہے۔
یہ اس بات کی رہنما ہدایت ہے کہ بیک اپ کتنی بار لیے جائیں اور کتنی دیر رکھے جائیں: دن میں تین بار بیک اپ لیں، دو ہفتوں کے بیک اپ محفوظ رکھیں، اور ایک سال سے پرانی ہر چیز ضائع کر دیں۔
ڈیٹا کی تین نقول رکھیں، جن میں اصل بھی شامل ہو، دو مختلف اقسام کے میڈیا پر، اور ان میں سے ایک الگ جگہ پر محفوظ ہو؛ اس کے علاوہ بیک اپ لینے کے بعد اسے نیٹ ورک سے منقطع کر کے آف لائن محفوظ کریں۔
یہ ذخیرہ کرنے کا ایسا طریقہ ہے جو ڈیٹا کو تین مختلف کرپٹوگرافک الگورتھمز سے دوہرا انکرپٹ کرتا ہے اور کیز (keys) کو ایک جگہ مرکزی طور پر سنبھالتا ہے۔
درست جوابC. ڈیٹا کی تین نقول رکھیں، جن میں اصل بھی شامل ہو، دو مختلف اقسام کے میڈیا پر، اور ان میں سے ایک الگ جگہ پر محفوظ ہو؛ اس کے علاوہ بیک اپ لینے کے بعد اسے نیٹ ورک سے منقطع کر کے آف لائن محفوظ کریں۔
3-2-1 اصول (3-2-1ルール) ذخیرہ کرنے کی ایک رہنما ہدایت ہے: ڈیٹا کی تین نقول، دو اقسام کے میڈیا، اور ایک نقل الگ جگہ پر۔ چونکہ رینسم ویئر (ランサムウェア) نیٹ ورک سے جڑے مشترکہ فولڈرز اور NAS آلات کو بھی انکرپٹ کر سکتا ہے، اس لیے ہمیشہ جڑا رہنے والا بیک اپ اکیلا اس سے تحفظ نہیں دے سکتا، اسی لیے آف لائن ذخیرہ مؤثر ہے۔ باقی آپشنز بیک اپ کی تعدد، منظوری کے طریقۂ کار یا انکرپشن کے طریقے سے متعلق ہیں، جن میں سے کسی کا اس اصول سے تعلق نہیں۔
مشق: اس صفحے کے سوالات حل کریں
یہ بے ترتیب سوالات والا مشق کا ٹول ہے (JavaScript فعال ہونے پر کام کرتا ہے)۔ اوپر دیے گئے تمام سوالات اور وضاحتیں اس کے بغیر بھی پڑھی جا سکتی ہیں۔
※ وضاحتیں مطالعے کے مقصد کے لیے معلومات ہیں۔ امتحان کا نصاب اور نظام سال بہ سال بدل سکتا ہے، اس لیے امتحان منعقد کرنے والے ادارے کے سرکاری اعلانات ضرور دیکھیں۔
یہ صفحہ جاپانی اصل متن کا ترجمہ ہے۔ اگر ترجمے اور اصل متن میں فرق ہو تو جاپانی ورژن کو ترجیح دی جائے گی۔ یہ ترجمہ AI کی مدد سے کیا گیا ہے اور اس میں غلطیاں ہو سکتی ہیں۔ترجمے کی غلطی کی اطلاع دیںجاپانی اصل متن دیکھیں