فائر وال کو صرف اس ٹریفک کی اجازت دینی ہے جو کمپنی کے اندر سے کسی بیرونی ویب سائٹ سے HTTPS کے ذریعے جڑتا ہے۔ کس منزل پورٹ نمبر کی اجازت دینی چاہیے؟
80
443
23
25
درست جوابB. 443
HTTPS، TCP کا پورٹ 443 استعمال کرتا ہے، اس لیے صرف 443 کی اجازت دینی چاہیے۔ پورٹ 80، HTTP ہے جس میں ٹریفک بغیر انکرپشن کے (平文) گزرتا ہے، اس لیے یہ یہاں کے مقصد یعنی صرف انکرپٹ شدہ کنکشنز کی اجازت دینے کے مطابق نہیں۔ پورٹ 25، SMTP (ای میل بھیجنا) اور پورٹ 23، Telnet (دور سے لاگ اِن) ہیں، اور دونوں کا ویب براؤزنگ سے کوئی تعلق نہیں۔ فائر وال (ファイアウォール) کا اصول یہ ہے کہ صرف ضروری ٹریفک کی اجازت دی جائے اور باقی سب کو مسترد کیا جائے۔
سوال 2 | نیٹ ورک کی زون بندی
کمپنی کے اندرونی نیٹ ورک کو شعبوں کے لحاظ سے سب نیٹس میں تقسیم کیا گیا، اور سب نیٹس کے درمیان رابطے کو روٹر کے ذریعے کنٹرول کیا گیا۔ اس اقدام کا بنیادی مقصد کیا ہے؟
سب نیٹس کے درمیان گزرنے والے تمام رابطوں کو انکرپٹ کرنا، تاکہ راستے میں روک لیے جانے پر بھی ان کا مواد پڑھا نہ جا سکے
کمپنی کے ہر اندرونی آلے کو ایک ساتھ ایک ہی IP ایڈریس دینا، تاکہ ایڈریس کے انتظام کی محنت بہت کم ہو جائے
بیرونی انٹرنیٹ سے آنے والی تمام غیر مجاز رسائی کو سرحد (perimeter) پر روک دینا، تاکہ کسی بھی اندرونی آلے میں کبھی دراندازی نہ ہو سکے
تاکہ اگر ایک آلہ میل ویئر سے متاثر ہو بھی جائے تو نقصان اس کے زون کے اندر محدود رہے اور سرحد پر رابطہ روکا جا سکے
درست جوابD. تاکہ اگر ایک آلہ میل ویئر سے متاثر ہو بھی جائے تو نقصان اس کے زون کے اندر محدود رہے اور سرحد پر رابطہ روکا جا سکے
نیٹ ورک کو زونز میں تقسیم کرنے کا مقصد یہ ہے کہ دراندازی یا انفیکشن ہو جانے کے بعد اس کے افقی پھیلاؤ (横展開) کو روکا جائے، اور سرحدی آلات پر ٹریفک روک کر اسے محدود کرنا آسان ہو۔ یہ باہر سے دراندازی کو مکمل طور پر روکنے کا نظام نہیں، بلکہ اندرونی طور پر نقصان کے پھیلاؤ کو محدود کرنے کا اقدام ہے۔ رابطہ کام کرنے کے لیے IP ایڈریس ہر آلے کے لیے منفرد ہونا ضروری ہے، اس لیے ہر آلے کو ایک ہی ایڈریس نہیں دیا جا سکتا۔ انکرپشن VPN یا TLS کا کام ہے اور سب نیٹ میں تقسیم سے حاصل نہیں ہوتی۔
سوال 3 | NAPT کے بارے میں ایک غلط فہمی
اندرونی آلات کو پرائیویٹ IP ایڈریس دیے گئے ہیں اور وہ NAPT کے ذریعے گلوبل IP ایڈریس میں تبدیلی کے بعد انٹرنیٹ سے جڑتے ہیں۔ اس ترتیب کی سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
NAPT کا بنیادی مقصد گلوبل IP ایڈریسز کی بچت ہے؛ باہر سے آنے والے رابطے کو کنٹرول کرنے کا کام فائر وال کے ذریعے الگ سے کرنا ضروری ہے
NAPT استعمال کرنے سے رابطے کا مواد خودکار طور پر انکرپٹ ہو جاتا ہے، اس لیے VPN کی ضرورت نہیں رہتی
چونکہ NAPT بھیجنے والے کا ایڈریس چھپانے کا نظام ہے، اس لیے اندر سے باہر جانے والا غیر مجاز رابطہ بھی خودکار طور پر مکمل طور پر روک دیا جاتا ہے
جب تک اندرونی آلات پرائیویٹ IP ایڈریس استعمال کرتے ہیں، ان تک باہر سے براہِ راست نہیں پہنچا جا سکتا، اس لیے وہ کبھی میل ویئر سے متاثر نہیں ہو سکتے
درست جوابA. NAPT کا بنیادی مقصد گلوبل IP ایڈریسز کی بچت ہے؛ باہر سے آنے والے رابطے کو کنٹرول کرنے کا کام فائر وال کے ذریعے الگ سے کرنا ضروری ہے
NAT/NAPT ایڈریس تبدیل کرنے (アドレス変換) کا نظام ہے جس کا مقصد گلوبل IP ایڈریسز (グローバルIPアドレス) کی بچت ہے۔ اس کا ایک ضمنی اثر یہ ہے کہ باہر سے براہِ راست پہنچنا مشکل ہو جاتا ہے، لیکن اس میں یہ چھانٹنے کا کوئی فنکشن نہیں کہ کس ٹریفک کی اجازت دی جائے، اس لیے یہ فائر وال کا متبادل نہیں۔ اس میں انکرپشن کا فنکشن بھی نہیں، اس لیے یہ VPN کا بھی متبادل نہیں۔ پرائیویٹ IP ایڈریس کے باوجود آلہ ای میل یا ویب براؤزنگ کے ذریعے متاثر ہو سکتا ہے، اور یہ کسی متاثرہ آلے کو باہر کے کمانڈ اینڈ کنٹرول سرور (指令サーバ) سے رابطہ کرنے سے نہیں روکتا۔
سوال 4 | VPN کی حدود
دور سے کام کرنے والا ایک ملازم گھر سے کمپنی کے سسٹم سے VPN کے ذریعے جڑتا ہے۔ VPN کی سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
VPN رابطے کے راستے کو انکرپٹ کر کے محفوظ رکھتا ہے، لیکن یہ ضمانت نہیں دیتا کہ جڑنے والا آلہ خود محفوظ ہے، اس لیے آلے کی طرف بھی اقدامات ضروری ہیں
VPN استعمال کرنے سے جڑنے والے آلے میں محفوظ فائلیں خودکار طور پر انکرپٹ ہو جاتی ہیں
جب تک رابطے کا راستہ VPN سے انکرپٹ ہے، جڑنے والے آلے کا انفیکشن کمپنی کے اندرونی سسٹمز کو متاثر نہیں کر سکتا
VPN ایک طبعی مخصوص لائن ہے جو انٹرنیٹ استعمال نہیں کرتی اور ٹیلی کمیونیکیشن کمپنی کی تنصیبات سے نہیں گزرتی
درست جوابA. VPN رابطے کے راستے کو انکرپٹ کر کے محفوظ رکھتا ہے، لیکن یہ ضمانت نہیں دیتا کہ جڑنے والا آلہ خود محفوظ ہے، اس لیے آلے کی طرف بھی اقدامات ضروری ہیں
VPN ایک ٹیکنالوجی ہے جو عوامی نیٹ ورک کے اوپر ایک انکرپٹ شدہ ورچوئل مخصوص لائن بناتی ہے، اور یہ رابطے کے راستے کی رازداری (秘密性) اور سالمیت (完全性) کی حفاظت کرتی ہے۔ اگر کوئی متاثرہ آلہ VPN کے ذریعے جڑے تو میل ویئر انکرپٹ شدہ راستے سے کمپنی کے اندر آ سکتا ہے، اس لیے آلے کی طرف پیچ لگانا (パッチ適用)، میل ویئر کے خلاف اقدامات اور ملٹی فیکٹر تصدیق (多要素認証) پھر بھی الگ سے ضروری ہیں۔ یہ طبعی مخصوص لائن کے بجائے انٹرنیٹ جیسا عوامی نیٹ ورک استعمال کرتا ہے، اور اس میں آلے میں محفوظ فائلوں کو انکرپٹ کرنے کا کوئی فنکشن نہیں۔
سوال 5 | Wi-Fi
دفتر کے Wi-Fi کے سیکیورٹی اقدامات کے بارے میں درج ذیل میں سے سب سے موزوں کون سا ہے؟
انکرپشن اور تصدیق کے لیے WPA2 یا WPA3 استعمال کریں، اور SSID اسٹیلتھ اور MAC ایڈریس فلٹرنگ کو صرف معاون اقدامات سمجھیں
جب تک MAC ایڈریس فلٹرنگ ترتیب دی گئی ہو، انکرپشن سمیت کسی اور اقدام کی ضرورت نہیں
مہمانوں کے Wi-Fi اور کمپنی کے کاروباری Wi-Fi کو ایک ہی نیٹ ورک سے جوڑیں، اور ایکسیس پوائنٹ کے آلات اور ترتیبات کا مرکزی طور پر ایک ساتھ انتظام کریں
SSID اسٹیلتھ فعال کر کے SSID کو باہر والوں سے چھپا دینا اتنا کافی ہے کہ انکرپشن کے طریقے کے طور پر WEP کافی محفوظ ہو جائے
درست جوابA. انکرپشن اور تصدیق کے لیے WPA2 یا WPA3 استعمال کریں، اور SSID اسٹیلتھ اور MAC ایڈریس فلٹرنگ کو صرف معاون اقدامات سمجھیں
Wi-Fi (無線LAN) کی سیکیورٹی کا مرکز انکرپشن اور تصدیق ہے، جس کے لیے WPA2 یا WPA3 استعمال کیا جاتا ہے۔ WEP استعمال نہیں کرنا چاہیے کیونکہ اسے بہت جلد توڑا جا سکتا ہے۔ SSID اسٹیلتھ (ステルス機能) اور MAC ایڈریس فلٹرنگ (MACアドレスフィルタリング) دونوں کو ناکام بنایا جا سکتا ہے کیونکہ ٹریفک کا مشاہدہ کرنے سے SSID یا MAC ایڈریس ظاہر ہو جاتا ہے، اس لیے ان میں سے کسی پر بھی اکیلے اقدام کے طور پر بھروسا نہیں کیا جا سکتا۔ اصول یہ ہے کہ مہمانوں کے Wi-Fi کو کاروباری نیٹ ورک سے الگ رکھا جائے؛ دونوں کو ایک ہی نیٹ ورک سے جوڑنے سے یہ خطرہ ہے کہ کسی مہمان کا آلہ کمپنی کے اندر تک پہنچ جائے۔
سوال 6 | بھیجنے والے ڈومین کی تصدیق
کمپنی کے اپنے ڈومین کا روپ دھارنے والی جعلی (spoofed) ای میل سے نقصان کم کرنے کے لیے بھیجنے والے ڈومین کی تصدیق متعارف کرائی جا رہی ہے۔ SPF، DKIM اور DMARC کی سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
DMARC ایک نظام ہے جو ای میل کے متن کو انکرپٹ کرتا ہے تاکہ راستے میں کوئی تیسرا فریق اس کا مواد نہ پڑھ سکے۔
SPF الیکٹرانک دستخط کی تصدیق کا نظام ہے، DKIM ایک نظام ہے جو مجاز بھیجنے والے سرورز کے IP ایڈریس DNS میں شائع کرتا ہے تاکہ ان سے موازنہ کیا جا سکے، اور DMARC ایک نظام ہے جس میں بھیجنے والا فریق یہ پالیسی شائع کرتا ہے کہ تصدیق میں ناکام ای میل کے ساتھ کیا کیا جائے۔
SPF ایک نظام ہے جو مجاز بھیجنے والے سرورز کے IP ایڈریس DNS میں شائع کرتا ہے تاکہ ان سے موازنہ کیا جا سکے، DKIM الیکٹرانک دستخط کی تصدیق کا نظام ہے، اور DMARC ایک نظام ہے جو یہ پالیسی شائع کرتا ہے کہ تصدیق میں ناکام ای میل کے ساتھ کیا کیا جائے۔
تینوں کو صرف وصول کرنے والے میل سرور پر ترتیب دینا کافی ہے؛ بھیجنے والے ڈومین پر کچھ بھی ترتیب دینے کی ضرورت نہیں۔
درست جوابC. SPF ایک نظام ہے جو مجاز بھیجنے والے سرورز کے IP ایڈریس DNS میں شائع کرتا ہے تاکہ ان سے موازنہ کیا جا سکے، DKIM الیکٹرانک دستخط کی تصدیق کا نظام ہے، اور DMARC ایک نظام ہے جو یہ پالیسی شائع کرتا ہے کہ تصدیق میں ناکام ای میل کے ساتھ کیا کیا جائے۔
SPF کسی ڈومین کی طرف سے ای میل بھیجنے کے مجاز سرورز کے IP ایڈریس DNS میں شائع کرتا ہے، اور وصول کرنے والا فریق اس سے موازنہ کرتا ہے۔ DKIM میں بھیجنے والا فریق الیکٹرانک دستخط (電子署名) لگاتا ہے، جس کی تصدیق وصول کرنے والا فریق DNS میں شائع شدہ کی کے ذریعے کرتا ہے۔ DMARC، SPF اور DKIM کے نتائج کو مدِنظر رکھتا ہے اور بھیجنے والے ڈومین سے یہ پالیسی شائع کرواتا ہے کہ تصدیق میں ناکام ای میل کو «کچھ نہ کرنا، قرنطینہ یا مسترد» میں سے کس طرح نمٹایا جائے، اور ساتھ ہی نتائج کی رپورٹیں بھی وصول کرتا ہے۔ SPF اور DKIM کو آپس میں بدل دینے والی وضاحت، اور DMARC کو متن کی انکرپشن بتانے والی وضاحت، دونوں غلط ہیں۔ یہ سب بھیجنے والے ڈومین کی طرف کی ترتیب، جیسے DNS ریکارڈز، پر منحصر ہیں۔
سوال 7 | وقت کی ہم آہنگی
کمپنی کے اندرونی سرورز اور نیٹ ورک آلات کو NTP سرور سے ہم آہنگ کیا گیا ہے تاکہ ان کی گھڑیاں ایک جیسی رہیں۔ انفارمیشن سیکیورٹی کے لحاظ سے یہ کیوں اہم ہے، اس کی سب سے موزوں وجہ درج ذیل میں سے کون سی ہے؟
کیونکہ اس سے متعدد آلات کے لاگز کا وقت کی ترتیب سے باہمی موازنہ ممکن ہوتا ہے، انسیڈنٹ کے واقعات کا درست سراغ لگایا جا سکتا ہے اور آڈٹ ٹریل کے طور پر ان کی قدر برقرار رہتی ہے
کیونکہ گھڑیاں ایک جیسی ہونے سے رابطہ خودکار طور پر انکرپٹ ہو جاتا ہے اور اسے چھپ کر سنا نہیں جا سکتا
کیونکہ گھڑیاں ایک جیسی ہونے سے پہلے سے اندازہ لگایا جا سکتا ہے کہ میل ویئر کس وقت کام شروع کرے گا، اس لیے اس وقت کے رابطے کو پیشگی روکا جا سکتا ہے
کیونکہ گھڑیاں ایک جیسی ہونے سے ہر آلے کی لاگ فائلوں کا سائز چھوٹا ہو جاتا ہے، اور اسی آلے پر لاگز محفوظ رکھنے کی مدت بڑھ جاتی ہے
درست جوابA. کیونکہ اس سے متعدد آلات کے لاگز کا وقت کی ترتیب سے باہمی موازنہ ممکن ہوتا ہے، انسیڈنٹ کے واقعات کا درست سراغ لگایا جا سکتا ہے اور آڈٹ ٹریل کے طور پر ان کی قدر برقرار رہتی ہے
اگر ہر آلے کی گھڑی میں فرق ہو تو متعدد لاگز کو ساتھ رکھنے پر بھی واقعات کی ترتیب واضح نہیں ہوتی، جس سے یہ سراغ لگانا ناممکن ہو جاتا ہے کہ کب کیا ہوا، اور ثبوت کے طور پر ان کی معتبریت بھی متاثر ہوتی ہے۔ اسی لیے ایک مشترکہ NTP سرور کے ذریعے وقت کو یکساں کرنا انسیڈنٹ کی تحقیقات اور آڈٹ ٹریل (監査証跡) کے طور پر ان کی قدر کی بنیادی شرط ہے۔ وقت کی ہم آہنگی (時刻同期) کا لاگ کے حجم سے کوئی تعلق نہیں، اس میں رابطے کی انکرپشن کا کوئی فنکشن نہیں، اور اس سے یہ اندازہ لگانا بھی ممکن نہیں ہوتا کہ میل ویئر کب کام کرے گا۔
سوال 8 | IaaS کی ذمہ داری
ایک کمپنی نے IaaS استعمال کر کے اپنا کاروباری سرور بنایا۔ مشترکہ ذمہ داری کے ماڈل کی روشنی میں، درج ذیل میں سے کون سا کام صارف کو کرنا چاہیے؟
جو گیسٹ OS اور مڈل ویئر انہوں نے خود نصب کیے ہیں، ان پر پیچ لگانے کا کام صارف کی اپنی ذمہ داری کے طور پر منصوبہ بندی سے انجام دینا
ورچوئلائزیشن پلیٹ فارم (ہائپر وائزر) کی اپنی کمزوریوں کے خلاف اقدامات اور اس پر پیچ لگانے کا کام صارف کی اپنی ذمہ داری کے طور پر منصوبہ بندی سے انجام دینا
ڈیٹا سینٹر میں داخلے اور اخراج کا کنٹرول اور طبعی حفاظت خود موقع پر جا کر انجام دینا، اور اس کا ریکارڈ رکھنا بھی
طبعی سرور کے ہارڈ ویئر میں خرابی ہونے پر خود ڈیٹا سینٹر جا کر پرزے تبدیل کرنا
درست جوابA. جو گیسٹ OS اور مڈل ویئر انہوں نے خود نصب کیے ہیں، ان پر پیچ لگانے کا کام صارف کی اپنی ذمہ داری کے طور پر منصوبہ بندی سے انجام دینا
IaaS میں فراہم کنندہ تنصیبات، ہارڈ ویئر، نیٹ ورک اور ورچوئلائزیشن پلیٹ فارم تک کی ذمہ داری لیتا ہے، جبکہ صارف کے نصب کردہ گیسٹ OS سے اوپر کی ہر چیز — OS، مڈل ویئر، ایپلیکیشنز، ڈیٹا اور اکاؤنٹس — صارف کے دائرۂ ذمہ داری میں آتی ہے۔ اس لیے گیسٹ OS (ゲストOS) پر پیچ لگانا صارف کا کام ہے۔ ڈیٹا سینٹر میں داخلے اور اخراج کا کنٹرول، طبعی ہارڈ ویئر کی تبدیلی اور ورچوئلائزیشن پلیٹ فارم (仮想化基盤) کی حفاظت سب فراہم کنندہ کے دائرۂ ذمہ داری میں ہیں، اور صارف انہیں انجام نہیں دے سکتا۔
سوال 9 | SaaS کی ذمہ داری
کاروبار کے لیے استعمال ہونے والی SaaS فائل شیئرنگ سروس میں ایک عملے کے رکن نے شیئرنگ کا دائرہ «لنک رکھنے والا ہر شخص» پر سیٹ کر دیا، جس سے ایک خفیہ فائل کمپنی کے باہر سے دیکھی جا سکتی تھی۔ مشترکہ ذمہ داری کے ماڈل کی روشنی میں سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
SaaS میں سروس فراہم کنندہ کو ہر چیز کی حفاظت کرنی ہوتی ہے، اس لیے یہ واقعہ بھی فراہم کنندہ کی ذمہ داری ہے
SaaS استعمال کرتے وقت شیئرنگ کے دائرے کی ترتیب کو سروس فراہم کنندہ خودکار طور پر بہترین بنا دیتا ہے، اس لیے نہ صارف پر ذمہ داری ہے نہ فراہم کنندہ پر
رسائی کے حقوق اور شیئرنگ کا دائرہ طے کرنا، اور وہاں رکھے گئے ڈیٹا کا انتظام، صارف کے دائرۂ ذمہ داری میں آتے ہیں، اس لیے یہ صارف کی ذمہ داری ہے
چونکہ SaaS صارف کو شیئرنگ کی ترتیبات کا کوئی اختیار نہیں دیتا، اس لیے ایسی صورتِ حال پیدا ہی نہیں ہو سکتی
درست جوابC. رسائی کے حقوق اور شیئرنگ کا دائرہ طے کرنا، اور وہاں رکھے گئے ڈیٹا کا انتظام، صارف کے دائرۂ ذمہ داری میں آتے ہیں، اس لیے یہ صارف کی ذمہ داری ہے
SaaS میں ایپلیکیشن کو چلانا اور اس کی کمزوریوں کے خلاف اقدامات فراہم کنندہ کی ذمہ داری ہیں، لیکن ڈیٹا بذاتِ خود، صارف اکاؤنٹس، اور رسائی کے حقوق (アクセス権) اور شیئرنگ کا دائرہ (共有範囲) طے کرنا صارف کے دائرۂ ذمہ داری میں رہتے ہیں۔ کلاؤڈ استعمال کرنے سے ذمہ داری کا یہ حصہ فراہم کنندہ کو منتقل نہیں ہوتا۔ فراہم کنندہ ترتیبات کو خودکار طور پر بہترین نہیں بناتا، اور چونکہ شیئرنگ کی ترتیبات کا اختیار صارف کے پاس ہوتا ہے، اسی لیے ایسی غلط ترتیب (設定誤り) سے معلومات کا افشا عملی طور پر اکثر ہوتا ہے۔
سوال 10 | PaaS کی ذمہ داری
ایک کمپنی PaaS کے اوپر اپنی تیار کردہ کاروباری ایپلیکیشن چلاتی ہے۔ اگر اس ایپلیکیشن میں SQL انجیکشن کی کمزوری پائی جائے تو سب سے موزوں ردعمل درج ذیل میں سے کون سا ہے؟
چونکہ یہ خود OS کی کمزوری ہے، اس لیے صارف گیسٹ OS پر پیچ لگا کر اسے حل کرے
چونکہ کمپنی کی اپنی تیار کردہ ایپلیکیشن صارف کے دائرۂ ذمہ داری میں آتی ہے، اس لیے پروگرام کو کمپنی خود درست کرے
چونکہ PaaS صارف کو ایپلیکیشن تیار کرنے کی اجازت نہیں دیتا، اس لیے یہ کمزوری پیدا ہی نہیں ہو سکتی
چونکہ یہ PaaS فراہم کنندہ کے مہیا کردہ رن ٹائم ماحول کا مسئلہ ہے، اس لیے بس فراہم کنندہ کی طرف سے حل کا انتظار کیا جائے
درست جوابB. چونکہ کمپنی کی اپنی تیار کردہ ایپلیکیشن صارف کے دائرۂ ذمہ داری میں آتی ہے، اس لیے پروگرام کو کمپنی خود درست کرے
PaaS میں فراہم کنندہ OS، مڈل ویئر اور رن ٹائم ماحول (実行環境) تک کا انتظام کرتا ہے، جبکہ اس کے اوپر صارف کی تیار اور نصب کردہ ایپلیکیشن اور ڈیٹا، نیز اکاؤنٹس کا انتظام، صارف کے دائرۂ ذمہ داری میں آتے ہیں۔ SQL انجیکشن (SQLインジェクション) ایسی کمزوری ہے جو کمپنی کی اپنی ایپلیکیشن کی بناوٹ سے پیدا ہوتی ہے، اس لیے کمپنی پروگرام کو خود درست کرتی ہے۔ یہ نہ تو ایسی چیز ہے جس کے لیے فراہم کنندہ کا انتظار کیا جائے، اور نہ ہی OS کے پیچ سے ٹھیک ہونے والا مسئلہ۔ PaaS تو بنیادی طور پر وہ پلیٹ فارم ہے جس پر صارف ایپلیکیشنز تیار کرتا اور چلاتا ہے، اس لیے یہ دعویٰ بھی غلط ہے کہ اس پر تیاری ممکن نہیں۔
سوال 11 | دستیابی کی شرح (سلسلہ وار)
0.95 دستیابی کی شرح والا آلہ A اور 0.90 دستیابی کی شرح والا آلہ B سلسلہ وار جوڑے گئے ہیں، تاکہ پورا سسٹم صرف اسی وقت کام کرے جب A اور B دونوں کام کر رہے ہوں۔ پورے سسٹم کی دستیابی کی شرح کتنی ہے؟ فرض کریں کہ A اور B کی خرابیاں ایک دوسرے سے آزاد ہیں۔
0.990
0.855
0.900
0.925
درست جوابB. 0.855
سلسلہ وار ترتیب میں ہر آلے کا ایک ہی وقت میں کام کرنا ضروری ہے، اس لیے مجموعی دستیابی کی شرح (稼働率) ہر آلے کی دستیابی کی شرح کا حاصلِ ضرب ہوتی ہے: 0.95 × 0.90 = 0.855۔ 0.925 دونوں شرحوں کی سادہ اوسط ((0.95 + 0.90) ÷ 2) ہے، اور 0.900 صرف آلہ B کی شرح ہے؛ ان میں سے کوئی بھی سلسلہ وار ترتیب (直列) کی قیمت نہیں۔ 0.990 بھی بے بنیاد قیمت ہے؛ حوالے کے لیے، متوازی ترتیب (並列) میں جہاں دونوں میں سے صرف ایک کا کام کرنا کافی ہو، نتیجہ 1 − (1 − 0.95) × (1 − 0.90) = 0.995 ہوتا۔ چونکہ سلسلہ وار جتنے زیادہ آلات شامل کیے جائیں مجموعی دستیابی کی شرح اتنی ہی گرتی ہے، اس لیے جن حصوں کو دستیابی درکار ہو ان میں متبادل آلات شامل کر کے فالتو پن (redundancy، 冗長化) پیدا کرنا چاہیے۔
سوال 12 | دستیابی کی شرح (متوازی)
0.90 دستیابی کی شرح والے دو آلات کو فالتو (redundant) ترتیب میں لگایا گیا ہے، جس میں جب تک دونوں میں سے کوئی ایک کام کر رہا ہو پورا سسٹم کام کرتا ہے۔ پورے سسٹم کی دستیابی کی شرح کتنی ہے؟ فرض کریں کہ دونوں آلات کی خرابیاں ایک دوسرے سے آزاد ہیں۔
0.90
0.95
0.81
0.99
درست جوابD. 0.99
متوازی (فالتو) ترتیب کی دستیابی کی شرح 1 میں سے اس امکان کو منہا کر کے نکالی جاتی ہے کہ تمام آلات ایک ہی وقت میں بند ہو جائیں: 1 − (1 − 0.90) × (1 − 0.90) = 1 − 0.10 × 0.10 = 1 − 0.01 = 0.99۔ 0.81 اس سلسلہ وار ترتیب کی قیمت ہے جس میں دونوں کا کام کرنا ضروری ہو (0.90 × 0.90)، اور 0.90 ایک آلے کی قیمت ہے۔ 0.95 بے بنیاد قیمت ہے جو ان میں سے کسی حساب سے نہیں نکلتی؛ ان میں سے کوئی بھی فالتو ترتیب (冗長構成) کا نتیجہ نہیں۔ اعداد سے تصدیق ہوتی ہے کہ فالتو بنانے سے مجموعی دستیابی کی شرح بڑھتی ہے اور کاروباری تسلسل میں مدد ملتی ہے۔
سوال 13 | RAID اور الگ جگہ نقول
ایک فائل سرور کی ڈسکیں RAID 1 (مررنگ) کے طور پر ترتیب دی گئی ہیں۔ رینسم ویئر کے خلاف اقدام کے طور پر اس کا سب سے موزوں جائزہ درج ذیل میں سے کون سا ہے؟
RAID 1 ڈسک کی خرابی کے خلاف مؤثر ہے، لیکن چونکہ انکرپشن دونوں ڈسکوں پر منعکس ہو جاتی ہے، اس لیے نسل وار (generational) بیک اپس آف لائن یا کسی دور دراز مقام پر بھی رکھنا ضروری ہے
RAID 1 کو پانچ ڈسکوں کی ترتیب تک بڑھانے سے رینسم ویئر کا نقصان روکا جا سکتا ہے
RAID 1 ایک نظام ہے جو ڈسک پر لکھنے کو ہمیشہ ممنوع رکھتا ہے، اس لیے اگر رینسم ویئر کسی فائل کو انکرپٹ کرنے کی کوشش کرے تو بھی اسے دوبارہ نہیں لکھ سکتا اور کوئی نقصان نہیں ہوتا
RAID 1 میں انکرپٹ ہو جانے والی فائل کو بھی دوسری ڈسک کے مواد سے خودکار طور پر بحال کیا جا سکتا ہے، اس لیے بیک اپ لینے جیسے کسی اضافی اقدام کی خاص ضرورت نہیں
درست جوابA. RAID 1 ڈسک کی خرابی کے خلاف مؤثر ہے، لیکن چونکہ انکرپشن دونوں ڈسکوں پر منعکس ہو جاتی ہے، اس لیے نسل وار (generational) بیک اپس آف لائن یا کسی دور دراز مقام پر بھی رکھنا ضروری ہے
RAID جس چیز سے بچاتا ہے وہ ڈسک کی طبعی خرابی ہے؛ جائز تحریر کے طور پر ہونے والی انکرپشن یا غلطی سے حذف ہر ڈسک پر بالکل اسی طرح منعکس ہو جاتا ہے۔ اس لیے RAID بیک اپ کا متبادل نہیں۔ بیک اپس کی متعدد نسلیں (世代管理) لینا ضروری ہے، جن میں سے کم از کم ایک نیٹ ورک سے منقطع جگہ یا کسی دور دراز مقام پر رکھی جائے، اور وقتاً فوقتاً جانچنا ضروری ہے کہ ان سے بحالی ممکن ہے۔ RAID میں لکھنے کو ممنوع کرنے کا کوئی فنکشن نہیں، اور مزید ڈسکیں شامل کرنے سے انکرپشن کے منعکس ہونے کا طریقہ نہیں بدلتا۔
سوال 14 | ویو (view) کا استعمال
ایک HR ڈیٹا بیس کے ملازمین کے جدول میں ملازم نمبر، نام، شعبہ، عہدہ، تنخواہ اور انفرادی نمبر (個人番号) کے کالم ہیں۔ عام ملازمین کو ملازمین کی ڈائریکٹری کے طور پر صرف نام، شعبہ اور عہدہ دیکھنے کے قابل ہونا چاہیے۔ سب سے موزوں طریقہ درج ذیل میں سے کون سا ہے؟
ایک ویو بنائیں جو صرف نام، شعبہ اور عہدے کے کالم نکالے، اور عام ملازمین کو صرف اسی ویو کو دیکھنے کی اجازت دیں
تمام ملازمین کو ملازمین کے جدول کو بذاتِ خود دیکھنے کی اجازت دیں، اور کمپنی کے اندر سب کو بتا دیں کہ تنخواہ اور انفرادی نمبر کے کالم نہ دیکھیں
ملازمین کے جدول کو اس طرح بدلیں کہ تمام ملازمین اسے اپ ڈیٹ کر سکیں، اور تنخواہ اور انفرادی نمبر کے کالم مستقل طور پر خالی چھوڑ کر اسے چلائیں
ملازمین کے جدول کا بیک اپ ایک مشترکہ فولڈر میں رکھیں تاکہ ہر کوئی وہاں سے اپنی ضرورت کی معلومات تلاش کر کے استعمال کرے
درست جوابA. ایک ویو بنائیں جو صرف نام، شعبہ اور عہدے کے کالم نکالے، اور عام ملازمین کو صرف اسی ویو کو دیکھنے کی اجازت دیں
ویو (ビュー) ایک ورچوئل جدول ہے جو اصل جدول سے صرف ضروری کالم یا قطاریں نکالتا ہے، اور صرف ویو کو دیکھنے کی اجازت دینے سے تنخواہ اور انفرادی نمبر کے کالم محفوظ رہتے ہیں۔ یہ کم سے کم اختیار کے اصول (最小権限の原則) کے مطابق ہے، یعنی صرف کم سے کم ضروری رسائی دینا۔ لوگوں کو نہ دیکھنے کا کہنے پر بھروسا کرنے سے کوئی تکنیکی پابندی نہیں لگتی اور افشا روکا نہیں جا سکتا۔ کالم خالی چھوڑنا خود ڈیٹا کو ضائع کرنا ہے، اور تمام ملازمین کو اپ ڈیٹ کی اجازت دینا تو خارج از بحث ہے۔ بیک اپ کو مشترکہ فولڈر میں رکھنے سے ایک غیر منظم نقل بنتی ہے اور افشا کا راستہ وسیع ہو جاتا ہے۔
سوال 15 | ڈیٹا بیس کی بحالی
ایک ڈیٹا بیس سرور کی ڈسک خراب ہو کر ناقابلِ استعمال ہو گئی، اور اسے دوسری ڈسک سے بدل دیا گیا۔ پچھلی رات کا بیک اپ اور اس کے بعد سے لیا گیا اپ ڈیٹ کے بعد کا لاگ دونوں دستیاب ہیں۔ کون سا طریقہ سسٹم کو خرابی سے عین پہلے کی حالت میں بحال کرتا ہے؟
صرف بیک اپ بحال کریں، اور پچھلی رات کی حالت سے کام دوبارہ شروع کریں
بیک اپ بحال کریں اور پھر رول فارورڈ کریں جو اپ ڈیٹ کے بعد کا لاگ لاگو کرتا ہے
صرف رول بیک کر کے بحالی کریں جو درمیان میں رک جانے والی ٹرانزیکشن کو منسوخ کرتا ہے
صرف اپ ڈیٹ سے پہلے کا لاگ استعمال کر کے اس حالت تک واپس جائیں جو بیک اپ لیے جانے سے بھی پہلے کی تھی
درست جوابB. بیک اپ بحال کریں اور پھر رول فارورڈ کریں جو اپ ڈیٹ کے بعد کا لاگ لاگو کرتا ہے
میڈیا کی خرابی (媒体障害) سے بحالی اس طرح کی جاتی ہے کہ بیک اپ بحال کیا جائے اور پھر رول فارورڈ (ロールフォワード) کیا جائے جو بعد کا اپ ڈیٹ کے بعد کا لاگ (更新後ログ) ترتیب سے لاگو کرتا ہے، اور یوں سسٹم خرابی سے عین پہلے کی حالت تک پہنچ جاتا ہے۔ صرف بیک اپ بحال کرنے سے اس کے بعد کی گئی تمام اپ ڈیٹس ضائع ہو جاتی ہیں۔ رول بیک (ロールバック) درمیان میں رک جانے والی ٹرانزیکشن کو اس کے شروع ہونے سے پہلے کی حالت میں واپس لاتا ہے اور بیک اپ کے بعد کی اپ ڈیٹس واپس نہیں لاتا۔ اپ ڈیٹ سے پہلے کا لاگ استعمال کر کے بیک اپ سے بھی پہلے کے وقت پر واپس جانا بحالی ہے ہی نہیں۔ دونوں قسم کی بحالی اس بات پر منحصر ہے کہ لاگز محفوظ رکھے گئے ہوں۔
سوال 16 | ضروریات کی تعریف
ایک نئے کاروباری سسٹم کی تیاری میں کون سا طریقۂ کار سیکیورٹی بائی ڈیزائن کے تصور کے مطابق ہے؟
صرف اس وقت ڈیزائن کے مرحلے پر واپس جائیں جب ٹیسٹنگ کے دوران کوئی کمزوری ملے، اور اسی وقت جو سیکیورٹی اقدام ضروری ہو اس پر غور کر کے شامل کریں
چونکہ سیکیورٹی آپریشنز کے عملے کا کام ہے، اس لیے تیاری کے مرحلے میں نہ ضرورت کے طور پر اور نہ ڈیزائن میں اس پر کوئی غور کریں
منصوبہ بندی اور ضروریات کی تعریف کے مرحلے میں سیکیورٹی کی ضروریات طے کریں، جیسے رسائی کے حقوق کی تقسیم کا طریقہ، کن لاگز کو محفوظ کرنا ہے اس کا دائرہ، انکرپشن اور تصدیق کا طریقہ
پہلے فنکشنز کی تیاری کو ترجیح دے کر کام آگے بڑھائیں، اور سسٹم کے چالو ہونے کے بعد ضروری سیکیورٹی فنکشنز ایک ایک کر کے شامل کریں
درست جوابC. منصوبہ بندی اور ضروریات کی تعریف کے مرحلے میں سیکیورٹی کی ضروریات طے کریں، جیسے رسائی کے حقوق کی تقسیم کا طریقہ، کن لاگز کو محفوظ کرنا ہے اس کا دائرہ، انکرپشن اور تصدیق کا طریقہ
سیکیورٹی بائی ڈیزائن (セキュリティバイデザイン) کا تصور یہ ہے کہ منصوبہ بندی اور ضروریات کی تعریف (要件定義) کے مرحلے سے ہی سیکیورٹی کو ڈیزائن میں شامل کیا جائے۔ اسے بعد کے مرحلے میں شامل کرنے کی کوشش سے ڈیزائن میں تبدیلیوں والا بڑا دوبارہ کام (手戻り) کرنا پڑتا ہے، جس سے لاگت اور وقت دونوں بڑھتے ہیں، اور اکثر کام شروع ہونے تک چیزیں پوری طرح ٹھیک نہیں ہو پاتیں۔ سسٹم چالو ہونے کے بعد شامل کرنا، کمزوری ملنے پر ہی غور کرنا، یا تیاری کے دوران کوئی غور نہ کرنا — یہ سب اسی قسم کے دوبارہ کام اور ناکافی جوابی اقدامات کا سبب بنتے ہیں۔
سوال 17 | پینیٹریشن ٹیسٹنگ
کسی ویب سسٹم کو شائع کرنے سے پہلے کی جانے والی پینیٹریشن ٹیسٹنگ کی سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
ایسا ٹیسٹ جو پروگرام کی اندرونی ساخت کا جائزہ لے کر تصدیق کرتا ہے کہ اس کی منطق کی ہر شاخ کم از کم ایک بار چلائی گئی ہے، اور کوریج کی حد سے معیار کی پیمائش کرتا ہے
ایسا ٹیسٹ جو حملہ آور کے نقطۂ نظر سے حقیقت میں دراندازی کی کوشش کرتا ہے تاکہ جانچا جائے کہ کیا دفاع توڑا جا سکتا ہے، اور جسے کرنے کے لیے متعلقہ سسٹم کے منتظم کی پیشگی رضامندی ضروری ہے
ایسا ٹیسٹ جو پروگرام کی اندرونی ساخت دیکھے بغیر باہر سے جانچتا ہے کہ کسی دیے گئے ان پٹ کے لیے آؤٹ پٹ تفصیلات کے مطابق ہے یا نہیں، اور اشاعت سے پہلے آخری جانچ کے طور پر دراندازی کے امکان کا جائزہ بھی ساتھ ہی ہو جاتا ہے
ایسا ٹیسٹ جس میں حقیقی صارفین سسٹم چلاتے ہیں تاکہ جانچا جائے کہ اسکرینیں کتنی واضح اور استعمال میں آسان ہیں
درست جوابB. ایسا ٹیسٹ جو حملہ آور کے نقطۂ نظر سے حقیقت میں دراندازی کی کوشش کرتا ہے تاکہ جانچا جائے کہ کیا دفاع توڑا جا سکتا ہے، اور جسے کرنے کے لیے متعلقہ سسٹم کے منتظم کی پیشگی رضامندی ضروری ہے
پینیٹریشن ٹیسٹنگ (ペネトレーションテスト) حملہ آور کے نقطۂ نظر سے دراندازی کے امکان کی جانچ کرتی ہے، جس کا مقصد اس ٹیسٹ سے مختلف ہے جو جانچتا ہے کہ فنکشنز تفصیلات کے مطابق کام کرتے ہیں یا نہیں۔ ہر فنکشنل ٹیسٹ کامیاب ہونے کے باوجود بعض اوقات دراندازی پھر بھی ممکن ہوتی ہے۔ اندرونی ساخت کا جائزہ لے کر شاخوں کی کوریج کی تصدیق وائٹ باکس ٹیسٹنگ (ホワイトボックステスト) ہے، اندرونی ساخت دیکھے بغیر ان پٹ اور آؤٹ پٹ کی جانچ بلیک باکس ٹیسٹنگ (ブラックボックステスト) ہے، اور استعمال میں آسانی کا جائزہ یوزیبلٹی ٹیسٹنگ ہے؛ ان میں سے ہر ایک الگ چیز ہے۔ یہ بھی یاد رہے کہ اجازت کے بغیر کسی اور کے سسٹم میں دراندازی کی کوشش غیر مجاز کمپیوٹر رسائی کی ممانعت کے ایکٹ (不正アクセス禁止法) کی خلاف ورزی کا خطرہ رکھتی ہے، اسی لیے پیشگی رضامندی ناگزیر ہے۔
سوال 18 | پرابلم مینجمنٹ
سروس مینجمنٹ میں انسیڈنٹ مینجمنٹ اور پرابلم مینجمنٹ کے فرق کی سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
انسیڈنٹ مینجمنٹ کا مقصد بنیادی وجہ معلوم کرنا اور دوبارہ وقوع کو روکنا ہے، جبکہ پرابلم مینجمنٹ کا مقصد سروس کو جلد از جلد معمول کی حالت میں واپس لانا ہے
انسیڈنٹ مینجمنٹ کا مقصد سروس کو جلد از جلد معمول کی حالت میں واپس لانا ہے، جبکہ پرابلم مینجمنٹ کا مقصد بنیادی وجہ معلوم کرنا اور دوبارہ وقوع کو روکنا ہے
انسیڈنٹ مینجمنٹ صرف انفارمیشن سیکیورٹی سے متعلق واقعات سے نمٹتی ہے، اور پرابلم مینجمنٹ باقی ہر قسم کی خرابی یا واقعے سے — یہ دائرۂ کار کی بنیاد پر فرق ہے
انسیڈنٹ مینجمنٹ اور پرابلم مینجمنٹ بالکل ایک ہی سرگرمی کے نام ہیں، جن کا موضوع، مقصد اور طریقۂ کار ایک ہے، اور فرق صرف یہ ہے کہ رپورٹ میں انہیں کیا کہا جاتا ہے
درست جوابB. انسیڈنٹ مینجمنٹ کا مقصد سروس کو جلد از جلد معمول کی حالت میں واپس لانا ہے، جبکہ پرابلم مینجمنٹ کا مقصد بنیادی وجہ معلوم کرنا اور دوبارہ وقوع کو روکنا ہے
انسیڈنٹ مینجمنٹ (インシデント管理) کا مقصد سروس کی فوری بحالی ہے، اور بنیادی وجہ معلوم نہ ہونے پر بھی عارضی متبادل طریقے (回避策) سے کام بحال کرنا درست ہے۔ پرابلم مینجمنٹ (問題管理) کا مقصد بنیادی وجہ معلوم کرنا اور مستقل حل کے ذریعے دوبارہ وقوع کو روکنا ہے۔ چونکہ ان کے مقاصد مختلف ہیں، اس لیے انہیں الگ الگ عمل (process) کے طور پر چلایا جاتا ہے۔ دونوں مقاصد کو آپس میں بدل دینے والی وضاحت، اور دونوں کو ایک ہی سرگرمی قرار دینے والی وضاحت، دونوں غلط ہیں، اور یہ فرق اس بنیاد پر بھی نہیں کہ واقعہ سیکیورٹی سے متعلق ہے یا نہیں۔
سوال 19 | SLA
کسی کاروباری سسٹم کے آپریشن کو بیرونی ادارے کے سپرد کرتے وقت SLA طے کیا جاتا ہے۔ SLA کی سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
SLA ایک دستاویز ہے جس میں فراہم کنندہ اور صارف عددی طور پر سروس کے معیار کی سطحوں پر متفق ہوتے ہیں، اور اس میں نہ صرف اپ ٹائم (دستیابی کی شرح) اور بحالی کا ہدف وقت بلکہ سیکیورٹی کے امور بھی طے کیے جاتے ہیں، جیسے انسیڈنٹ کی صورت میں رپورٹ کرنے کی آخری مدت اور لاگ محفوظ رکھنے کی مدت
SLA سروس فراہم کنندہ کا اندرونی ضابطہ ہے اور اسے صارف پر ظاہر نہیں کیا جاتا
SLA میں صرف دستیابی سے متعلق اہداف، جیسے اپ ٹائم اور بحالی کا ہدف وقت، درج ہونے چاہییں، اور سیکیورٹی سے متعلق امور، جیسے انسیڈنٹ کی صورت میں رپورٹ کرنے کی آخری مدت یا لاگ محفوظ رکھنے کی مدت، کبھی درج نہیں ہونے چاہییں
ایک بار متفق ہو جانے کے بعد SLA پر کبھی نظرِ ثانی نہیں کی جا سکتی، اور معاہدے کی مدت کے دوران اس کے حصول کی پیمائش بھی نہیں کی جاتی
درست جوابA. SLA ایک دستاویز ہے جس میں فراہم کنندہ اور صارف عددی طور پر سروس کے معیار کی سطحوں پر متفق ہوتے ہیں، اور اس میں نہ صرف اپ ٹائم (دستیابی کی شرح) اور بحالی کا ہدف وقت بلکہ سیکیورٹی کے امور بھی طے کیے جاتے ہیں، جیسے انسیڈنٹ کی صورت میں رپورٹ کرنے کی آخری مدت اور لاگ محفوظ رکھنے کی مدت
SLA ایک دستاویز ہے جس پر فراہم کنندہ اور صارف متفق ہوتے ہیں، اور اس میں اپ ٹائم (稼働率)، خرابی کی صورت میں بحالی کا ہدف وقت (復旧目標時間) اور جواب دینے کا وقت جیسے عددی اہداف طے کیے جاتے ہیں۔ سیکیورٹی سے متعلق امور بھی — انسیڈنٹ کی صورت میں رپورٹ کرنے کی آخری مدت، لاگ محفوظ رکھنے کی مدت، کمزوری پر ردعمل کا وقت وغیرہ — طے کر دینے سے واضح ہو جاتا ہے کہ انسیڈنٹ ہونے پر صارف کے لیے کیا کیا جائے گا۔ یہ صرف فراہم کنندہ کا اندرونی ضابطہ نہیں؛ طے شدہ سطح کی مسلسل پیمائش، جائزہ اور بہتری کی جاتی ہے (SLM)، اور ضرورت کے مطابق اس پر نظرِ ثانی کی جاتی ہے۔
سوال 20 | تبدیلی اور کنفیگریشن
سروس مینجمنٹ میں چینج مینجمنٹ اور کنفیگریشن مینجمنٹ کی سب سے موزوں وضاحت کرنے والا مجموعہ درج ذیل میں سے کون سا ہے؟
چینج مینجمنٹ وہ سرگرمی ہے جو صارفین کی پوچھ گچھ اور خرابی کی اطلاعات وصول کرنے والے واحد رابطہ مرکز کا کام کرتی ہے، اور کنفیگریشن مینجمنٹ وہ سرگرمی ہے جس کا مقصد پیش آنے والی خرابی سے سروس کو جلد از جلد بحال کرنا ہے
چینج مینجمنٹ کسی خرابی کی بنیادی وجہ معلوم کرنے کی سرگرمی ہے، اور کنفیگریشن مینجمنٹ کاروبار کے لیے درکار پروسیسنگ کی صلاحیت یقینی بنانے کی سرگرمی ہے
چینج مینجمنٹ وہ سرگرمی ہے جس میں سسٹم میں کسی تبدیلی کے اثر کا جائزہ لیا جاتا ہے، منظوری حاصل کی جاتی ہے، اور پھر تبدیلی کر کے اس کا ریکارڈ رکھا جاتا ہے؛ کنفیگریشن مینجمنٹ وہ سرگرمی ہے جس میں آلات، سافٹ ویئر اور ترتیبات جیسے کنفیگریشن آئٹمز اور ان کے باہمی تعلقات پر مسلسل اور درست طور پر نظر رکھی جاتی ہے
چینج مینجمنٹ وہ سرگرمی ہے جس میں آڈیٹر آڈٹ شدہ شعبے کو بہتری کی ہدایت دیتا ہے، اور کنفیگریشن مینجمنٹ وہ سرگرمی ہے جس میں انتظامیہ فیصلہ کرتی ہے کہ سرمایہ کاری کی جائے یا نہیں
درست جوابC. چینج مینجمنٹ وہ سرگرمی ہے جس میں سسٹم میں کسی تبدیلی کے اثر کا جائزہ لیا جاتا ہے، منظوری حاصل کی جاتی ہے، اور پھر تبدیلی کر کے اس کا ریکارڈ رکھا جاتا ہے؛ کنفیگریشن مینجمنٹ وہ سرگرمی ہے جس میں آلات، سافٹ ویئر اور ترتیبات جیسے کنفیگریشن آئٹمز اور ان کے باہمی تعلقات پر مسلسل اور درست طور پر نظر رکھی جاتی ہے
چینج مینجمنٹ (変更管理) ایک نظام ہے جو بے ترتیب تبدیلیوں کو روکتا ہے، اس طرح کہ ان کے اثر کا جائزہ لیا جائے، عمل درآمد سے پہلے منظوری لی جائے اور ریکارڈ رکھا جائے — غیر منظور شدہ تبدیلی کو روکنا بذاتِ خود ایک سیکیورٹی اقدام ہے۔ کنفیگریشن مینجمنٹ (構成管理) وہ سرگرمی ہے جس میں آلات اور سافٹ ویئر کے ورژنز، ترتیبات اور ان کے باہمی تعلق پر مسلسل اور درست طور پر نظر رکھی جاتی ہے، تاکہ جب کسی کمزوری کا اعلان ہو تو متاثرہ اثاثوں کی فوراً نشاندہی ہو سکے۔ پوچھ گچھ کے لیے واحد رابطہ مرکز سروس ڈیسک ہے، فوری بحالی انسیڈنٹ مینجمنٹ ہے، بنیادی وجہ معلوم کرنا پرابلم مینجمنٹ ہے، اور پروسیسنگ کی صلاحیت یقینی بنانا کیپیسٹی مینجمنٹ (容量・能力管理) ہے؛ ان میں سے ہر ایک الگ عمل ہے۔
سوال 21 | آڈٹ کی آزادی
ایک کمپنی نے اندرونی طور پر سسٹم آڈٹ کرنے کا فیصلہ کیا ہے۔ سسٹم آڈیٹر کی آزادی کے نقطۂ نظر سے درج ذیل میں سے سب سے موزوں کون سا ہے؟
اندرونی آڈٹ کے شعبے کا کوئی رکن جو آڈٹ شدہ شعبے سے تنظیمی طور پر آزاد ہو، یا کوئی بیرونی آڈیٹر، آڈٹ کرے
آڈٹ کیے جانے والے شعبے کا سربراہ اپنے ہی شعبے کے کام کا آڈٹ کرے اور آڈٹ رپورٹ تیار کر کے جمع کرائے
انفارمیشن سسٹمز کے شعبے کا آپریشنز کا کوئی رکن اسی کاروباری سسٹم کا آڈٹ کرے جسے وہ روزانہ چلاتا ہے
آڈٹ شدہ سسٹم کی تیاری کا ذمہ دار پروجیکٹ لیڈر خود اس سسٹم کا آڈٹ کرے
درست جوابA. اندرونی آڈٹ کے شعبے کا کوئی رکن جو آڈٹ شدہ شعبے سے تنظیمی طور پر آزاد ہو، یا کوئی بیرونی آڈیٹر، آڈٹ کرے
سسٹم آڈیٹر (システム監査人) کے لیے ضروری ہے کہ وہ آڈٹ شدہ شعبے سے تنظیمی طور پر آزاد ہو (ظاہری آزادی، 外観上の独立性) اور منصفانہ اور معروضی طور پر فیصلہ کر سکے (ذہنی آزادی، 精神上の独立性)۔ کسی ایسی چیز کا آڈٹ کرنا جسے خود بنایا یا چلایا ہو، ناخوشگوار حقائق کو نظرانداز کرنے، یا ان کو نظرانداز کرنے کے شبہے، کا خطرہ رکھتا ہے، اور یہ آزادی کی شرط پوری نہیں کرتا۔ آپریشنز کا رکن، تیاری کا پروجیکٹ لیڈر اور آڈٹ شدہ شعبے کا سربراہ، ہر ایک اپنے ہی کام کا آڈٹ کر رہا ہوگا، اس لیے سب نامناسب ہیں؛ آڈٹ کسی آزاد اندرونی آڈٹ کے شعبے یا بیرونی آڈیٹر کو کرنا چاہیے۔
سوال 22 | آڈٹ ٹریل
سسٹم آڈٹ میں آڈٹ ٹریل اور فالو اپ کے بارے میں ان کی سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
آڈٹ ٹریل بذاتِ خود آڈیٹر کی تیار کردہ آڈٹ رپورٹ ہے، جو آزادی برقرار رکھنے کے لیے آڈٹ شدہ شعبے پر ظاہر نہیں کی جاتی، اور فالو اپ میں آڈٹ شدہ شعبہ خود اپنی بہتری کی صورتِ حال کا جائزہ لے کر معاملہ بند کر دیتا ہے
آڈٹ ٹریل ایسا نظام یا ریکارڈز کا مجموعہ ہے جس سے بعد میں پروسیسنگ کا سراغ لگایا جا سکے، یعنی یہ کہ کب، کس نے اور کیسے کی گئی؛ فالو اپ میں آڈیٹر اٹھائے گئے نکات پر بہتری کی صورتِ حال کی تصدیق کرتا ہے
آڈٹ ٹریل صرف آڈٹ کی مدت کے دوران محفوظ کیا جاتا ہے اور معمول کے آپریشن میں اسے چھوڑا جا سکتا ہے
فالو اپ میں آڈیٹر خود بہتری کے اقدامات تیار کر کے ان پر عمل کرتا ہے اور مسئلہ حل کرتا ہے
درست جوابB. آڈٹ ٹریل ایسا نظام یا ریکارڈز کا مجموعہ ہے جس سے بعد میں پروسیسنگ کا سراغ لگایا جا سکے، یعنی یہ کہ کب، کس نے اور کیسے کی گئی؛ فالو اپ میں آڈیٹر اٹھائے گئے نکات پر بہتری کی صورتِ حال کی تصدیق کرتا ہے
آڈٹ ٹریل (監査証跡) سے مراد ایسا نظام یا ریکارڈ ہے، جیسے رسائی کے لاگز، کارروائیوں کی تاریخ یا منظوری کے ریکارڈ، جس سے بعد میں پروسیسنگ کے مراحل کا سراغ لگایا جا سکے، اور چونکہ اسے عام حالات میں بھی مسلسل محفوظ کیا اور رکھا جاتا ہے، اسی لیے بعد میں تصدیق ممکن ہوتی ہے۔ فالو اپ (フォローアップ) وہ سرگرمی ہے جس میں آڈیٹر تصدیق کرتا ہے کہ آڈٹ رپورٹ میں اٹھائے گئے نکات پر واقعی بہتری کی گئی ہے یا نہیں۔ بہتری پر خود عمل کرنا آڈٹ شدہ شعبے کا کام ہے؛ اگر آڈیٹر خود اس پر عمل کرے تو اگلے آڈٹ میں اسے اپنے ہی کام کا آڈٹ کرنا پڑے گا، جس سے آزادی متاثر ہوتی ہے۔ آڈٹ ٹریل آڈٹ رپورٹ سے الگ چیز ہے۔
سوال 23 | CISO
کسی کمپنی میں CISO کے کردار کی سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
کمپنی کی اپنی مصنوعات کی فروخت اور قیمتوں کی حکمتِ عملی تیار کرنا، اور فروخت کے اہداف حاصل کرنے کا ذمہ دار ہونا
مالیاتی گوشوارے تیار کرنا، اور شیئر ہولڈرز کے اجلاس میں حسابات سے متعلق امور کی وضاحت کا ذمہ دار ہونا
انفارمیشن سیکیورٹی پالیسی تیار کرنے، رسک سے نمٹنے کی پالیسی طے کرنے، انسیڈنٹ پر ردعمل کی قیادت کرنے اور انتظامیہ کو رپورٹ کرنے کا ذمہ دار ہونا
کمپنی کے اندرونی PCs اور نیٹ ورک آلات کی تنصیب اور وائرنگ خود کرنا، اور روزمرہ کی دیکھ بھال اور خرابیوں پر ردعمل سنبھالنا
درست جوابC. انفارمیشن سیکیورٹی پالیسی تیار کرنے، رسک سے نمٹنے کی پالیسی طے کرنے، انسیڈنٹ پر ردعمل کی قیادت کرنے اور انتظامیہ کو رپورٹ کرنے کا ذمہ دار ہونا
CISO (chief information security officer، 最高情報セキュリティ責任者) انفارمیشن سیکیورٹی کا انتظامی سطح پر اعلیٰ ترین ذمہ دار شخص ہے، جو پالیسی کی تیاری، رسک سے نمٹنے کی پالیسی کا تعین، کسی بڑے انسیڈنٹ پر ردعمل کی قیادت، اور انتظامیہ اور بیرونی فریقوں کو رپورٹ کرنے کا کام سنبھالتا ہے۔ فروخت کی حکمتِ عملی سیلز کے شعبے کا کام ہے، مالیاتی گوشوارے تیار کرنا اور ان کی وضاحت CFO یا مالیات کے شعبے کا کام ہے، اور آلات کی تنصیب یا روزمرہ کی دیکھ بھال انفارمیشن سسٹمز کے شعبے کا عملی کام ہے؛ ان میں سے کوئی بھی CISO کا کردار نہیں۔ سیکیورٹی کو انفرادی عملے پر چھوڑنے کے بجائے انتظامی سطح پر ایک ذمہ دار شخص مقرر کرنا بذاتِ خود اہمیت رکھتا ہے۔
سوال 24 | فرائض کی تقسیم
اندرونی کنٹرول کے نقطۂ نظر سے، درج ذیل میں سے کون سا طریقۂ کار فرائض کی تقسیم کے تصور کے مطابق ہے؟
خریداری کا آرڈر دینے والے عملے کے رکن کو موصول شدہ مال کا معائنہ کرنے والے رکن سے الگ رکھنا
کارکردگی کو ترجیح دیتے ہوئے سسٹم ڈیولپمنٹ کے عملے کو پروڈکشن ماحول میں تبدیلی کا اختیار بھی دینا
ہر ملازم کو ایڈمنسٹریٹر کے اختیارات دینا تاکہ کوئی بھی ضرورت کا کوئی بھی کام کر سکے
ذمہ داری واضح کرنے کے لیے ایک ہی رکن سے درخواست سے لے کر منظوری، عمل درآمد اور ریکارڈ تک سب کچھ مسلسل کروانا
درست جوابA. خریداری کا آرڈر دینے والے عملے کے رکن کو موصول شدہ مال کا معائنہ کرنے والے رکن سے الگ رکھنا
فرائض کی تقسیم (職務分掌) اندرونی کنٹرول (内部統制) کا ایک بنیادی اصول ہے جو درخواست، منظوری، عمل درآمد اور ریکارڈ جیسے کرداروں کو متعدد افراد میں تقسیم کرتا ہے، اور ایسا ڈھانچہ بناتا ہے جس میں باہمی نگرانی سے دھوکا دہی یا غلطیوں کا امکان کم ہو جاتا ہے۔ آرڈر دینے والے شخص کو مال کا معائنہ کرنے والے شخص سے الگ رکھنا اس کی ایک عام مثال ہے۔ ایسی صورتِ حال جس میں ایک شخص پروسیسنگ کا پورا سلسلہ اکیلے مکمل کر سکے، دھوکا دہی کا پتا لگانا مشکل بناتی ہے اور فرائض کی تقسیم کے خلاف ہے۔ ڈیولپمنٹ کے عملے کو پروڈکشن ماحول میں تبدیلی کا اختیار دینے سے بھی گریز کرنا چاہیے، کیونکہ اس سے منظوری کے بغیر تبدیلی ممکن ہو جاتی ہے۔ سب کو ایڈمنسٹریٹر کے اختیارات دینا کم سے کم اختیار کے اصول کے بھی خلاف ہے۔
سوال 25 | RFI اور RFP
کسی بیرونی وینڈر سے کاروباری سسٹم کا آرڈر دیتے وقت خریداری کے مراحل کی سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟
معلومات کی درخواست (RFI) ← تجویز کی درخواست (RFP) ← تجاویز کی وصولی اور جائزہ ← معاہدہ
معاہدہ ← تجویز کی درخواست (RFP) ← تجاویز کی وصولی اور جائزہ ← معلومات کی درخواست (RFI)
تجویز کی درخواست (RFP) ← معلومات کی درخواست (RFI) ← معاہدہ ← تجاویز کی وصولی اور جائزہ
تجاویز کی وصولی اور جائزہ ← معلومات کی درخواست (RFI) ← معاہدہ ← تجویز کی درخواست (RFP)
درست جوابA. معلومات کی درخواست (RFI) ← تجویز کی درخواست (RFP) ← تجاویز کی وصولی اور جائزہ ← معاہدہ
پہلے RFI (معلومات کی درخواست، 情報提供依頼書) کے ذریعے وینڈرز سے یہ معلومات جمع کی جاتی ہیں کہ مارکیٹ میں کون سی مصنوعات، خدمات اور ٹیکنالوجیز موجود ہیں۔ ان معلومات کی بنیاد پر ضروریات کو ترتیب دے کر RFP (تجویز کی درخواست، 提案依頼書) تیار کی جاتی ہے، اور متعدد وینڈرز سے ٹھوس تجاویز مانگی جاتی ہیں۔ جمع شدہ تجاویز اور تخمینوں کا پہلے سے طے شدہ معیارات کے مطابق جائزہ لے کر وینڈر منتخب کیا جاتا ہے اور معاہدہ کیا جاتا ہے۔ معلومات جمع کرنے کا مرحلہ پہلے اور تجاویز مانگنے کا مرحلہ بعد میں آتا ہے؛ باقی انتخاب اس ترتیب کو الٹ دیتے ہیں اور غلط ہیں۔ RFP میں سیکیورٹی کی ضروریات واضح طور پر درج کرنا ضروری ہے۔
سوال 26 | ٹھیکیدار کا انتخاب
ایک کمپنی گاہکوں کے ذاتی ڈیٹا سے متعلق کام بیرونی ادارے کے سپرد کر رہی ہے۔ ٹھیکیدار کے انتخاب اور انتظام کے بارے میں درج ذیل میں سے سب سے موزوں کون سا ہے؟
اگر ٹھیکیدار آگے کسی اور کاروباری ادارے کو ذیلی ٹھیکہ دے تب بھی کام سپرد کرنے والے فریق کو مطلع کرنے کی ضرورت نہیں
بہترین قیمت اور ترسیل کے وقت والے وینڈر کو منتخب کرنا کافی ہے؛ سرٹیفیکیشن کی صورتِ حال، سیکیورٹی کے امور اور انسیڈنٹ کی صورت کے انتظامات پر معاہدے پر دستخط کے بعد بات کی جا سکتی ہے
کام سپرد کرتے ہی ذاتی ڈیٹا کے انتظام کی ذمہ داری مکمل طور پر ٹھیکیدار کو منتقل ہو جاتی ہے، اور سپرد کرنے والا فریق انتخاب کے بعد اس کے انتظام یا نگرانی سے مکمل طور پر الگ ہو جاتا ہے
انتخاب کے معیارات اور معاہدے میں سرٹیفیکیشن کی صورتِ حال، ذیلی ٹھیکے کا طریقہ، انسیڈنٹ کی رپورٹ کرنے کی ذمہ داری، آڈٹ قبول کرنا اور کام ختم ہونے پر ڈیٹا مٹانا جیسی باتیں واضح طور پر درج کریں، اور کام سپرد کرنے کے بعد بھی باقاعدہ رپورٹیں وصول کر کے نگرانی جاری رکھیں
درست جوابD. انتخاب کے معیارات اور معاہدے میں سرٹیفیکیشن کی صورتِ حال، ذیلی ٹھیکے کا طریقہ، انسیڈنٹ کی رپورٹ کرنے کی ذمہ داری، آڈٹ قبول کرنا اور کام ختم ہونے پر ڈیٹا مٹانا جیسی باتیں واضح طور پر درج کریں، اور کام سپرد کرنے کے بعد بھی باقاعدہ رپورٹیں وصول کر کے نگرانی جاری رکھیں
ٹھیکیدار (委託先) کا انتخاب کرتے وقت قیمت اور ترسیل کے وقت کے ساتھ سیکیورٹی کو بھی جائزے کے نکات میں شامل کرنا چاہیے۔ ISMS یا پرائیویسی مارک (プライバシーマーク) سرٹیفیکیشن کی صورتِ حال، ذیلی ٹھیکے (再委託) کی اجازت ہے یا نہیں اور ذیلی ٹھیکیدار کا انتظام کیسے ہوگا، انسیڈنٹ کی رپورٹ کرنے کی ذمہ داری اور آخری مدت، آڈٹ قبول کرنے کی شق، اور معاہدے کے اختتام پر ڈیٹا واپس کرنے یا مٹانے کا طریقہ — یہ سب انتخاب کے معیارات اور معاہدے میں واضح طور پر درج ہونے چاہییں۔ ذاتی ڈیٹا سے متعلق کام سپرد کرنے کے بعد بھی سپرد کرنے والے فریق پر ٹھیکیدار کی ضروری اور مناسب نگرانی (監督) کی ذمہ داری برقرار رہتی ہے، اور ذمہ داری منتقل نہیں ہوتی۔ سپرد کرنے والے فریق کو بتائے بغیر ٹھیکیدار کو ذیلی ٹھیکہ دینے دینا بھی نامناسب ہے۔
سوال 27 | جنریٹو AI اور رازداری
ایک ملازم نے کام کے لیے جنریٹو AI سروس استعمال کرنے کی درخواست کی ہے۔ معلومات کے افشا کو روکنے کے نقطۂ نظر سے ادارے کو کون سا قاعدہ بنانا چاہیے؟
چونکہ درج کیا گیا مواد فراہم کنندہ کی طرف سے ہمیشہ حذف کر دیا جاتا ہے، اس لیے خفیہ معلومات بھی آزادی سے درج کرنے دیں
چونکہ جنریٹو AI خطرناک ہے، اس لیے کمپنی کے اندرونی آلات پر اس کے استعمال پر یکساں پابندی لگائیں، لیکن ذاتی آلے یا ذاتی اکاؤنٹ کے ذریعے استعمال کو ہر فرد کی اپنی صوابدید پر چھوڑ دیں
ہر ملازم کو اپنی پسند کی کوئی بھی جنریٹو AI سروس آزادی سے چننے دیں، اور اس میں کام کا کوئی بھی ڈیٹا بغیر پابندی کے آزادی سے درج کرنے دیں
قابلِ استعمال خدمات کو ادارے کی منظور شدہ خدمات تک محدود کریں، اور قواعد میں واضح طور پر لکھیں کہ گاہکوں کی ذاتی معلومات اور غیر شائع شدہ انتظامی معلومات درج نہیں کی جا سکتیں
درست جوابD. قابلِ استعمال خدمات کو ادارے کی منظور شدہ خدمات تک محدود کریں، اور قواعد میں واضح طور پر لکھیں کہ گاہکوں کی ذاتی معلومات اور غیر شائع شدہ انتظامی معلومات درج نہیں کی جا سکتیں
جنریٹو AI (生成AI) میں درج کیا گیا مواد فراہم کنندہ کے پاس محفوظ ہو سکتا ہے یا تربیت کے لیے استعمال ہو سکتا ہے، اس لیے خفیہ معلومات درج کرنے سے یہ خطرہ ہے کہ وہ وہاں سے باہر افشا ہو جائیں۔ اس لیے ادارے کو قابلِ استعمال خدمات کو اپنی منظور شدہ خدمات تک محدود کرنا چاہیے، اور قواعد میں واضح طور پر لکھنا چاہیے کہ کون سی معلومات درج کی جا سکتی ہیں اور کون سی نہیں۔ اس بات کی کوئی ضمانت نہیں کہ درج کیا گیا مواد ہمیشہ حذف کر دیا جاتا ہے۔ ملازمین کو آزادی سے چننے دینا، یا اندرونی طور پر پابندی لگا کر ذاتی آلات پر استعمال کو انفرادی صوابدید پر چھوڑ دینا، دونوں ادارے کے کنٹرول سے باہر شیڈو IT (シャドーIT) پیدا کرتے ہیں اور الٹا افشا کا خطرہ بڑھا دیتے ہیں۔
سوال 28 | AI کا آؤٹ پٹ
کمپنی سے باہر جاری کرنے کے لیے ایک وضاحتی دستاویز کا مسودہ جنریٹو AI سے تیار کروایا گیا۔ اس مسودے سے نمٹنے کا سب سے موزوں طریقہ درج ذیل میں سے کون سا ہے؟
چونکہ جنریٹو AI ایسا مواد پیش کر سکتا ہے جو بظاہر درست لگے مگر حقیقت پر مبنی نہ ہو، اور اس کا آؤٹ پٹ کسی موجودہ کاپی رائٹ شدہ تخلیق سے ملتا جلتا ہو سکتا ہے، اس لیے شائع کرنے سے پہلے کسی انسان سے حقائق کی تصدیق اور حقوق کی صورتِ حال کی جانچ کروائیں
جب تک ماخذ کا حوالہ دیا جائے، مواد کے حقائق کی جانچ کیے بغیر اسے جوں کا توں شائع کیا جا سکتا ہے
چونکہ جنریٹو AI کا آؤٹ پٹ تربیتی ڈیٹا کی بہت بڑی مقدار پر مبنی ہوتا ہے، اس لیے اس کا مواد ہمیشہ درست ہوتا ہے اور کبھی کسی موجودہ کاپی رائٹ شدہ تخلیق سے نہیں ملتا، لہٰذا اسے جانچے بغیر جوں کا توں شائع کیا جا سکتا ہے
چونکہ جنریٹو AI کا لکھا ہوا متن کبھی کاپی رائٹ کا مسئلہ پیدا نہیں کر سکتا، اس لیے حقوق کی صورتِ حال کی جانچ غیر ضروری ہے
درست جوابA. چونکہ جنریٹو AI ایسا مواد پیش کر سکتا ہے جو بظاہر درست لگے مگر حقیقت پر مبنی نہ ہو، اور اس کا آؤٹ پٹ کسی موجودہ کاپی رائٹ شدہ تخلیق سے ملتا جلتا ہو سکتا ہے، اس لیے شائع کرنے سے پہلے کسی انسان سے حقائق کی تصدیق اور حقوق کی صورتِ حال کی جانچ کروائیں
جنریٹو AI ہیلوسینیشن (ハルシネーション) پیدا کر سکتا ہے، یعنی ایسے جملے جو بظاہر درست لگیں مگر حقیقت پر مبنی نہ ہوں، اس لیے اس کے آؤٹ پٹ کو کبھی جوں کا توں درست نہیں سمجھنا چاہیے۔ یہ بھی ہو سکتا ہے کہ آؤٹ پٹ کسی موجودہ کاپی رائٹ شدہ تخلیق (著作物) سے ملتا جلتا ہو، اور اسے جوں کا توں شائع کرنے یا فروخت کرنے سے حقوق کی خلاف ورزی کا خطرہ ہے۔ اس لیے شائع کرنے سے پہلے کسی انسان کو حقائق کی تصدیق اور حقوق اور استعمال کی شرائط کی جانچ کرنی چاہیے۔ تربیتی ڈیٹا پر مبنی ہونا اسے درست نہیں بناتا، اور ماخذ کا حوالہ دینا حقائق کی جانچ کا متبادل نہیں۔
سوال 29 | سرمایہ کاری کا فیصلہ
ایک خاص معلوماتی اثاثے کے لیے انسیڈنٹ سے ہونے والا نقصان فی وقوعہ 20 ملین ین، اور سالانہ امکان 10% لگایا گیا ہے۔ اس انسیڈنٹ کو روکنے کے جوابی اقدام کی لاگت کے بارے میں انتظامی نقطۂ نظر سے سب سے موزوں سوچ درج ذیل میں سے کون سی ہے؟
متوقع سالانہ نقصان 2 ملین ین بنتا ہے، اس لیے سرمایہ کاری کے مناسب ہونے کا فیصلہ کرنے کے لیے اس کا موازنہ جوابی اقدام کی سالانہ لاگت سے کیا جائے — سوائے اس کے کہ انسانی جان یا قانون کی پابندی سے متعلق کسی بھی چیز کا فیصلہ صرف لاگت کی تاثیر کی بنیاد پر نہ کیا جائے
متوقع سالانہ نقصان 2 ملین ین بنتا ہے، لیکن رقم کچھ بھی ہو، جوابی اقدام کی لاگت ہمیشہ پوری 20 ملین ین رکھی جائے، جو فی وقوعہ نقصان کے برابر ہے، اور لاگت کی تاثیر پر غور نہ کیا جائے
جب تک وقوع کا امکان 100% نہ ہو، انسیڈنٹ کو نہ ہونے والا سمجھا جا سکتا ہے، اس لیے کسی جوابی اقدام کی ضرورت نہیں
چونکہ سیکیورٹی کے اقدامات ایسی لاگت ہیں جو کوئی آمدنی پیدا نہیں کرتی، اس لیے ان پر کوئی خرچ نہیں کرنا چاہیے
درست جوابA. متوقع سالانہ نقصان 2 ملین ین بنتا ہے، اس لیے سرمایہ کاری کے مناسب ہونے کا فیصلہ کرنے کے لیے اس کا موازنہ جوابی اقدام کی سالانہ لاگت سے کیا جائے — سوائے اس کے کہ انسانی جان یا قانون کی پابندی سے متعلق کسی بھی چیز کا فیصلہ صرف لاگت کی تاثیر کی بنیاد پر نہ کیا جائے
متوقع سالانہ نقصان (想定損失額) کا اندازہ فی وقوعہ نقصان کو وقوع کے سالانہ امکان سے ضرب دے کر لگایا جا سکتا ہے: 20,000,000 × 10% = 2,000,000 ین۔ بنیادی طریقہ یہ ہے کہ جوابی اقدام سے یہ متوقع نقصان کتنا کم ہوگا، اس کا موازنہ اس اقدام کی سالانہ لاگت سے کر کے فیصلہ کیا جائے کہ سرمایہ کاری مناسب ہے یا نہیں۔ ہمیشہ نقصان کی پوری رقم خرچ کرنا، یا کچھ بھی خرچ نہ کرنا، دونوں میں سے کوئی بھی معقول نہیں، اور صرف اس لیے اسے غیر ضروری قرار دینا کہ امکان 100% نہیں، بھی غلط ہے۔ البتہ انسانی جان یا قانون کی پابندی سے متعلق جوابی اقدام کا فیصلہ صرف لاگت کی تاثیر (費用対効果) کی بنیاد پر نہیں کیا جانا چاہیے۔
سوال 30 | KGI اور KPI
انفارمیشن سیکیورٹی کی کوششوں کی صورتِ حال انتظامیہ کو عددی شکل میں رپورٹ کرنے کے لیے KGI، CSF اور KPI مقرر کیے جاتے ہیں۔ کون سا مجموعہ سب سے موزوں ہے؟
KPI ایک خفیہ اشاریہ ہے جو صرف انتظامیہ کو معلوم ہوتا ہے اور متعلقہ شعبے کو نہیں دکھایا جاتا
KGI کو «صفر بڑے انسیڈنٹس»، CSF کو «تمام ملازمین میں سیکیورٹی کے شعور میں اضافہ»، اور KPI کو «مشق میں ای میل کھولنے کی شرح» یا «کسی کمزوری کو ٹھیک کرنے کے دنوں کی اوسط تعداد» جیسی چیزیں مقرر کریں
KGI، CSF اور KPI سب حتمی نتیجے کے اشاریے ہیں، اس لیے انہیں ظاہر کرنے کے لیے ایک ہی مواد تین بار لکھا جاتا ہے
KGI کو «ٹارگٹڈ حملے والی ای میل کی مشق میں کھولنے کی شرح 5% یا اس سے کم»، CSF کو «ہر سال مشق دہرانا»، اور KPI کو «بڑے انسیڈنٹس کی تعداد صفر تک لانا» مقرر کریں
درست جوابB. KGI کو «صفر بڑے انسیڈنٹس»، CSF کو «تمام ملازمین میں سیکیورٹی کے شعور میں اضافہ»، اور KPI کو «مشق میں ای میل کھولنے کی شرح» یا «کسی کمزوری کو ٹھیک کرنے کے دنوں کی اوسط تعداد» جیسی چیزیں مقرر کریں
KGI وہ حتمی نتیجے کا اشاریہ ہے جسے حاصل کرنا ہے، CSF وہ اہم کامیابی کا عنصر (重要成功要因) ہے جو اس کے حصول کے لیے فیصلہ کن ہے، اور KPI ایک درمیانی اشاریہ ہے جو پیش رفت کی پیمائش کرتا ہے۔ اس لیے حتمی نتیجے کے طور پر «صفر بڑے انسیڈنٹس» کو KGI، کامیابی کے عنصر کے طور پر شعور میں اضافے کو CSF، اور اس پیش رفت کی پیمائش کرنے والی مشق میں کھولنے کی شرح یا کسی کمزوری کو ٹھیک کرنے کے دنوں کی اوسط تعداد کو KPIs کے طور پر رکھا جاتا ہے۔ KGI اور KPI کو آپس میں بدل دینے والا مجموعہ غلط ہے۔ تینوں الگ الگ کردار والے الگ اشاریے ہیں، اور KPI ایسی چیز ہے جو متعلقہ شعبے کے ساتھ شیئر کی جانی چاہیے تاکہ وہ اپنی روزمرہ سرگرمیوں کو بہتر بنا سکے۔
مشق: اس صفحے کے سوالات حل کریں
یہ بے ترتیب سوالات والا مشق کا ٹول ہے (JavaScript فعال ہونے پر کام کرتا ہے)۔ اوپر دیے گئے تمام سوالات اور وضاحتیں اس کے بغیر بھی پڑھی جا سکتی ہیں۔
※ وضاحتیں مطالعے کے مقصد کے لیے معلومات ہیں۔ امتحان کا نصاب اور نظام سال بہ سال بدل سکتا ہے، اس لیے امتحان منعقد کرنے والے ادارے کے سرکاری اعلانات ضرور دیکھیں۔
یہ صفحہ جاپانی اصل متن کا ترجمہ ہے۔ اگر ترجمے اور اصل متن میں فرق ہو تو جاپانی ورژن کو ترجیح دی جائے گی۔ یہ ترجمہ AI کی مدد سے کیا گیا ہے اور اس میں غلطیاں ہو سکتی ہیں۔ترجمے کی غلطی کی اطلاع دیںجاپانی اصل متن دیکھیں