Quản lý an toàn thông tin

Mô tả nào về tài sản thông tin trong an toàn thông tin là thích hợp nhất?

1. Chỉ các thiết bị thông tin như máy chủ, máy tính và dữ liệu điện tử lưu trong đó, không bao gồm tài liệu giấy được in và lưu trữ.
2. Chỉ dữ liệu đã được điện tử hóa, loại trừ tài liệu giấy hay quy trình - bí quyết mà chỉ người phụ trách biết.
3. Bao gồm rộng rãi dữ liệu, tài liệu, thiết bị, phần mềm, cùng với tri thức con người sở hữu hay uy tín của doanh nghiệp — những thứ có giá trị đối với tổ chức.
4. Chỉ coi là tài sản thông tin những gì có thể ước tính giá trị bằng tiền, loại những thứ như uy tín hay thương hiệu không quy đổi được ra tiền khỏi đối tượng quản lý.

Mục nào không phù hợp để ghi trong sổ tài sản thông tin?

1. Tên tài sản và họ tên người chịu trách nhiệm quản lý (chủ sở hữu) tài sản đó
2. Bản thân mật khẩu của người dùng để truy cập tài sản đó
3. Nơi lưu trữ và loại phương tiện đang ghi lại
4. Mức độ mật của thông tin và phân loại mức độ quan trọng trong nghiệp vụ

Mục đích chính của việc phân loại thông tin thành mật, nội bộ, công khai v.v. và gắn nhãn là gì?

1. Để người xử lý có thể tự phán đoán thông tin đó cần được bảo vệ đến mức nào.
2. Để giảm dung lượng đĩa cần thiết cho việc lưu trữ thông tin, tiết kiệm chi phí lưu trữ.
3. Để mã hóa toàn bộ thông tin, khiến bản thân việc phân loại và gắn nhãn trở nên không cần thiết.
4. Để không cần thu thập và lưu trữ nhật ký truy cập.

Vai trò của người chịu trách nhiệm quản lý tài sản thông tin (chủ sở hữu tài sản), thích hợp nhất là gì?

1. Đứng ở lập trường bên thứ ba để thẩm tra ISMS của tổ chức, phán định và báo cáo có nên cấp chứng nhận hay không.
2. Trực tiếp thao tác tài sản đó hàng ngày, đảm nhận việc nhập liệu, cập nhật dữ liệu như công việc thường ngày.
3. Quyết định phân loại tài sản đó, phê duyệt việc cho phép ai truy cập đến mức nào, và định kỳ rà soát lại.
4. Trực tiếp thực hiện công việc thay đổi cài đặt của thiết bị mạng hay máy chủ.

Ủy thác cho đơn vị bên ngoài xử lý ổ cứng gắn trong máy tính đã dùng trong công ty. Đứng từ góc độ phòng ngừa rò rỉ thông tin, cách xử lý nào là thích hợp nhất?

1. Cho tệp đối tượng vào thùng rác rồi làm rỗng thùng rác, xác nhận trên màn hình là đã xóa rồi mới giao cho đơn vị.
2. Thực hiện quick format, xác nhận trên màn hình là tệp đã biến mất rồi giao thẳng cho đơn vị.
3. Chỉ chọn xóa những tệp quan trọng, còn lại giữ nguyên rồi giao.
4. Thực hiện xóa bằng ghi đè bằng phần mềm xóa dữ liệu hoặc phá hủy vật lý, xác nhận bằng việc có mặt giám sát hoặc nhận giấy chứng nhận đã xóa.

Đối với việc tiêu hủy tài liệu giấy được phân loại ở mức nội bộ, phương pháp nào là thích hợp nhất?

1. Xé đôi tài liệu rồi gom lại vứt bỏ chung với rác tái chế.
2. Trộn lẫn với rác thông thường rồi vứt bỏ, để bên ngoài khó phát hiện.
3. Chỉ tô đen phần tiêu đề rồi vứt bỏ nguyên trạng.
4. Cắt vụn bằng máy hủy tài liệu, hoặc thuê ngoài xử lý hòa tan.

Lý do nào để thực hiện kiểm kê định kỳ tài sản thông tin là thích hợp nhất?

1. Để đàm phán hạ giá mua tài sản thông tin, nhằm giảm chi phí mua sắm và thay mới thiết bị.
2. Để loại bỏ sai lệch giữa nội dung ghi trong sổ quản lý tài sản và tài sản thực tế, nhằm bảo đảm biện pháp quản lý được áp dụng đầy đủ không sót.
3. Để mỗi năm nhất định giảm tổng số tài sản thông tin mà tổ chức nắm giữ, nhằm giảm bớt công sức quản lý.
4. Để nắm bắt tình hình làm việc của nhân viên, nhằm xem xét lại việc bố trí nhân sự.

Khi coi vòng đời của thông tin là "tạo lập → sử dụng → lưu trữ → vận chuyển → tiêu hủy", biện pháp quản lý nào cho từng giai đoạn là thích hợp nhất?

1. Nếu vận chuyển bằng chuyển phát nội bộ công ty thì có thể bỏ qua việc ghi chép giao nhận.
2. Vì thông tin trong khi lưu trữ được đặt trong nội bộ công ty nên an toàn, do đó không cần đặc biệt thiết lập quyền truy cập.
3. Không quyết định phân loại ở giai đoạn tạo lập, mà chờ đến khi tiêu hủy mới quyết định gộp cả phân loại lẫn cách xử lý.
4. Ở giai đoạn lưu trữ thì khóa hoặc mã hóa, ở giai đoạn vận chuyển thì niêm phong và ghi chép giao nhận, ở giai đoạn tiêu hủy thì xóa dữ liệu hoặc phá hủy vật lý.

Cách suy nghĩ nào khi quyết định mức phân loại thông tin là thích hợp nhất?

1. Quyết định chỉ dựa vào phương tiện lưu trữ, chẳng hạn tệp điện tử thì luôn là mật, còn tài liệu giấy thì luôn là nội bộ.
2. Thông tin do bộ phận có càng nhiều người tạo ra thì càng xếp vào mức phân loại cao.
3. Quyết định dựa trên cả ảnh hưởng khi bị rò rỉ, lẫn ảnh hưởng khi bị giả mạo hoặc khi không thể sử dụng được.
4. Một khi đã quyết định phân loại thông tin thì dù sau đó nội dung hay tình huống thay đổi cũng không xem xét lại mà cứ giữ nguyên.

Ba hoạt động cấu thành đánh giá rủi ro, sắp xếp theo đúng thứ tự thực hiện là phương án nào?

1. Định giá rủi ro → Phân tích rủi ro → Nhận diện rủi ro
2. Nhận diện rủi ro → Định giá rủi ro → Phân tích rủi ro
3. Nhận diện rủi ro → Phân tích rủi ro → Định giá rủi ro
4. Phân tích rủi ro → Nhận diện rủi ro → Định giá rủi ro

Đã liệt kê và ghi ra danh sách sự việc "phòng máy chủ nằm ở tầng 1, nếu mưa lớn gây ngập nước thì máy chủ có nguy cơ ngừng hoạt động". Công việc này tương ứng với hoạt động nào trong đánh giá rủi ro?

1. Xử lý rủi ro
2. Chấp nhận rủi ro
3. Nhận diện rủi ro
4. Định giá rủi ro

Mô tả nào về định giá rủi ro trong đánh giá rủi ro là thích hợp nhất?

1. So sánh độ lớn rủi ro thu được từ phân tích với tiêu chí rủi ro, để quyết định có cần xử lý hay không và thứ tự ưu tiên.
2. Từ tổ hợp tài sản thông tin, mối đe dọa và tính dễ bị tổn thương, liệt kê và mô tả đầy đủ không sót các rủi ro tồn tại trong tổ chức.
3. Thực tế đưa biện pháp quản lý đã chọn vào áp dụng, bắt đầu vận hành và duy trì ổn định.
4. Ước lượng riêng khả năng xảy ra và mức độ ảnh hưởng của rủi ro, để tính ra độ lớn của rủi ro.

Đã tham gia bảo hiểm mạng để phòng khi phải bồi thường thiệt hại hay chi phí điều tra nếu xảy ra rò rỉ thông tin. Cách xử lý rủi ro này thuộc phân loại nào?

1. Né tránh rủi ro
2. Giảm thiểu rủi ro (giảm nhẹ)
3. Chấp nhận rủi ro (giữ lại)
4. Chuyển giao rủi ro (chia sẻ)

Một sự cố mỗi lần xảy ra gây thiệt hại 6.000.000 yên, và được dự tính xảy ra với tần suất 1 lần trong 2 năm. Thiệt hại dự kiến hàng năm (ALE) của sự cố này là bao nhiêu?

1. 1.500.000 yên
2. 3.000.000 yên
3. 6.000.000 yên
4. 12.000.000 yên

Có một thảm họa mà mỗi lần xảy ra gây thiệt hại 40.000.000 yên, và xác suất xảy ra được ước tính là 5% mỗi năm. Thiệt hại dự kiến hàng năm (ALE) của thảm họa này là bao nhiêu?

1. 8.000.000 yên
2. 2.000.000 yên
3. 40.000.000 yên
4. 4.000.000 yên

Có một rủi ro mà mỗi lần xảy ra gây thiệt hại 10.000.000 yên, tỷ lệ xảy ra hàng năm được ước tính là 0,4. Nếu áp dụng biện pháp tốn 2.200.000 yên mỗi năm thì tỷ lệ xảy ra hàng năm giảm xuống 0,1. Đánh giá nào về mặt tài chính là thích hợp nhất?

1. Nhờ biện pháp, thiệt hại dự kiến hàng năm giảm từ 10.000.000 yên xuống 1.000.000 yên, số tiền giảm được là 9.000.000 yên, vượt xa chi phí nên đáng để làm.
2. Nhờ biện pháp, thiệt hại dự kiến hàng năm giảm từ 4.000.000 yên xuống 1.000.000 yên, số tiền giảm được là 2.000.000 yên, thấp hơn chi phí 2.200.000 yên nên không đáng để làm.
3. Nhờ biện pháp, thiệt hại dự kiến hàng năm giảm từ 4.000.000 yên xuống 1.000.000 yên, số tiền giảm được là 3.000.000 yên, cao hơn chi phí 2.200.000 yên nên đáng để làm.
4. Vì tỷ lệ xảy ra hàng năm chưa về 0 nên không thể đánh giá hiệu quả của biện pháp bằng tiền.

Đối với mảng kinh doanh bán hàng qua mạng dù xử lý lượng lớn thông tin cá nhân nhưng không thấy triển vọng có lãi, đã đánh giá rằng ảnh hưởng khi bị rò rỉ là quá lớn nên rút lui hoàn toàn khỏi mảng kinh doanh đó. Cách xử lý rủi ro này thuộc phân loại nào?

1. Né tránh rủi ro
2. Chuyển giao rủi ro (chia sẻ)
3. Chấp nhận rủi ro (giữ lại)
4. Giảm thiểu rủi ro (giảm nhẹ)

Để đối phó với nguy cơ nhiễm mã độc, đã triển khai phần mềm diệt virus, triệt để cập nhật hệ điều hành và đào tạo nhân viên, nhờ đó giảm được xác suất nhiễm. Cách xử lý rủi ro này thuộc phân loại nào?

1. Chấp nhận rủi ro (giữ lại)
2. Giảm thiểu rủi ro (giảm nhẹ)
3. Né tránh rủi ro
4. Chuyển giao rủi ro (chia sẻ)

Đối với việc tạm ngừng bảng thông báo nội bộ công ty, đã xác nhận ảnh hưởng đến công việc là nhỏ, thiệt hại dự tính cũng nằm trong phạm vi tiêu chí chấp nhận rủi ro, và sau khi được người phụ trách phê duyệt thì quyết định không thực hiện thêm biện pháp nào nữa. Cách xử lý rủi ro này thuộc phân loại nào?

1. Chuyển giao rủi ro (chia sẻ)
2. Né tránh rủi ro
3. Giảm thiểu rủi ro (giảm nhẹ)
4. Chấp nhận rủi ro (giữ lại)

Tổ hợp giữa phân loại xử lý rủi ro và ví dụ cụ thể của nó, tổ hợp nào không thích hợp?

1. Chấp nhận rủi ro — Nếu xảy ra sẽ gây thiệt hại lớn đến mức không thể tiếp tục kinh doanh, nhưng vì áp dụng biện pháp phiền phức nên không làm gì cả.
2. Né tránh rủi ro — Ngừng cung cấp dịch vụ trực tuyến bị đánh giá là có mức nguy hiểm cao, rút lui khỏi mảng kinh doanh đó.
3. Chuyển giao rủi ro — Tham gia bảo hiểm để phòng khi rò rỉ thông tin, để công ty bảo hiểm gánh một phần thiệt hại.
4. Giảm thiểu rủi ro — Mã hóa dữ liệu quan trọng, định kỳ sao lưu và lưu trữ ở nơi khác.

Cách xử lý nào đối với rủi ro còn lại (rủi ro tồn dư) là thích hợp nhất?

1. Chừng nào còn sót lại dù chỉ một chút rủi ro còn lại thì xử lý rủi ro coi như thất bại, và phải làm lại cho đến khi không còn sót lại chút nào.
2. Đối với rủi ro còn lại, để nhân viên phụ trách tại hiện trường tự phán đoán xử lý từng lần một, và cố tình không ghi lại nội dung phán đoán đó.
3. Vì nếu thực hiện xử lý rủi ro thì rủi ro còn lại chắc chắn sẽ về 0, nên sau khi xử lý xong không cần xác nhận lại nội dung và phê duyệt.
4. Đây là rủi ro còn lại sau khi đã thực hiện xử lý rủi ro, và người có trách nhiệm như ban lãnh đạo sẽ phán đoán và phê duyệt việc có chấp nhận hay không.

Mô tả nào về mối quan hệ giữa JIS Q 27001 và JIS Q 27002 là thích hợp nhất?

1. Cả hai đều là tiêu chuẩn chỉ quy định định nghĩa thuật ngữ, không đề cập đến yêu cầu.
2. 27001 là quy phạm để thực hành các biện pháp quản lý, còn 27002 là tiêu chuẩn quy định yêu cầu của ISMS.
3. Cả hai đều là tiêu chuẩn quy định yêu cầu của ISMS, và có nội dung giống hệt nhau.
4. 27001 là tiêu chuẩn chứng nhận quy định yêu cầu của ISMS, còn 27002 là quy phạm để thực hành các biện pháp quản lý.

Một doanh nghiệp công bố rằng "công ty chúng tôi đã đạt chứng nhận JIS Q 27002". Vấn đề của cách diễn đạt này, thích hợp nhất là gì?

1. 27002 là quy phạm để thực hành các biện pháp quản lý chứ không phải tiêu chuẩn chứng nhận, việc chứng nhận ISMS được thực hiện đối với JIS Q 27001.
2. 27002 là tiêu chuẩn nêu định nghĩa thuật ngữ và tổng quan, không đề cập đến biện pháp quản lý cụ thể.
3. 27002 là tiêu chuẩn chỉ quy định về bảo vệ thông tin cá nhân, nên không thể dùng để chứng nhận cho doanh nghiệp thông thường xử lý an toàn thông tin nói chung.
4. 27002 là tiêu chuẩn có thể chứng nhận, nhưng chỉ giới hạn cho cơ quan nhà nước và pháp nhân hành chính độc lập được lấy chứng nhận, doanh nghiệp tư nhân không thuộc đối tượng.

Nội dung nào ghi trong bản tuyên bố áp dụng (SoA) của ISMS là thích hợp nhất?

1. Biện pháp quản lý đã chọn và lý do chọn, tình trạng thực hiện, cùng lý do loại trừ đối với các biện pháp quản lý không được áp dụng
2. Danh sách sự cố xảy ra trong 1 năm qua, cùng bảng ghi chép tổng hợp thời gian cần để khôi phục từng sự cố
3. Bản thảo thư xin lỗi gửi khách hàng khi xảy ra sự cố, cùng danh sách người phụ trách nhận thư đó
4. Kết quả đánh giá nhân sự của từng nhân viên, cùng danh sách mục tiêu công việc mà bản thân đặt ra cho năm tiếp theo

Trong chu trình PDCA của ISMS, kiểm toán nội bộ và xem xét của lãnh đạo được xếp vào giai đoạn nào?

1. Do (Thực hiện)
2. Check (Kiểm tra)
3. Plan (Lập kế hoạch)
4. Act (Xử lý, cải tiến)

Điểm cần lưu ý nào khi thực hiện kiểm toán nội bộ của ISMS là thích hợp nhất?

1. Coi kiểm toán nội bộ là việc do tổ chức chứng nhận bên ngoài thực hiện, còn bản thân tổ chức thì không tự thực hiện.
2. Nếu phát hiện điểm không phù hợp trong kiểm toán nội bộ, chỉ nhắc nhở bằng lời mà không ghi lại thành hồ sơ.
3. Chọn kiểm toán viên sao cho không kiểm toán chính công việc mình phụ trách, để giữ được tính khách quan và công bằng.
4. Để giữ tính khách quan của kiểm toán, kiểm toán viên tự mình kiểm toán và đánh giá chính công việc mà mình phụ trách.

Tiêu chuẩn nào được thẩm định về mức độ phù hợp khi cấp Dấu Privacy Mark (Pマーク)?

1. ISO/IEC 27017
2. JIS Q 27001
3. JIS Q 15001
4. JIS Q 27002

Tổ hợp mô tả nào về ISO/IEC 27017 và ISO/IEC 27701 là thích hợp nhất?

1. 27017 là quy phạm về biện pháp quản lý an toàn thông tin cho dịch vụ đám mây, còn 27701 là tiêu chuẩn về hệ thống quản lý thông tin riêng tư.
2. 27017 là tiêu chuẩn về an toàn vệ sinh lao động, còn 27701 là tiêu chuẩn về yêu cầu quản lý liên tục kinh doanh.
3. 27017 là tiêu chuẩn về an toàn cho hệ thống điều khiển dùng trong nhà máy v.v., còn 27701 là tiêu chuẩn quy định thuật toán mã hóa chuẩn và độ dài khóa.
4. 27017 là tiêu chuẩn về hệ thống quản lý chất lượng, 27701 là tiêu chuẩn về hệ thống quản lý môi trường, cả hai đều không liên quan đến an toàn thông tin.

Mô tả nào về chế độ đánh giá phù hợp ISMS là thích hợp nhất?

1. Là chế độ mà tổ chức tự kiểm tra ISMS của mình, tự tuyên bố là phù hợp với yêu cầu và được coi như đã được chứng nhận.
2. Là chế độ mà tổ chức chứng nhận bên thứ ba thẩm định xem ISMS của tổ chức có phù hợp với yêu cầu của JIS Q 27001 hay không, rồi cấp chứng nhận.
3. Là chế độ mà cơ quan công quyền kiểm tra tổng hợp lỗ hổng của hệ thống thông tin mà tổ chức đang sử dụng, và bảo đảm công khai về an toàn nếu không có vấn đề gì.
4. Là chế độ mà một khi đã lấy được chứng nhận thì hiệu lực tiếp tục mãi mà không cần trải qua thẩm định nào nữa.

Khi cấu thành chính sách an toàn thông tin theo 3 tầng, trình tự từ trên xuống dưới nào là thích hợp nhất?

1. Tiêu chuẩn biện pháp → Phương châm cơ bản → Quy trình thực hiện
2. Quy trình thực hiện → Tiêu chuẩn biện pháp → Phương châm cơ bản
3. Phương châm cơ bản → Quy trình thực hiện → Tiêu chuẩn biện pháp
4. Phương châm cơ bản → Tiêu chuẩn biện pháp → Quy trình thực hiện

Nội dung nào ghi trong phương châm cơ bản của chính sách an toàn thông tin là thích hợp nhất?

1. Số hiệu tài sản của máy tính mà từng bộ phận đang sử dụng, cùng danh sách nơi đặt máy và người sử dụng
2. Tên sản phẩm phần mềm diệt virus, cùng thao tác cụ thể trên màn hình để cập nhật tệp định nghĩa của phần mềm đó
3. Quy tắc truyền thông của tường lửa được thiết lập cho từng máy chủ, cùng danh sách số cổng (port) được cho phép
4. Mục đích thực hiện an toàn thông tin, phạm vi áp dụng, trách nhiệm của ban lãnh đạo và nghĩa vụ tuân thủ

Quy định "mật khẩu dùng trong công việc phải có từ 12 ký tự trở lên, bao gồm chữ hoa, chữ thường, số và ký tự đặc biệt" được xếp vào tầng nào trong 3 tầng của chính sách an toàn thông tin?

1. Quy trình thực hiện
2. Tiêu chuẩn biện pháp
3. Phương châm cơ bản
4. Bản tuyên bố áp dụng

Đặc điểm nào của quy trình thực hiện trong chính sách an toàn thông tin là thích hợp nhất?

1. Vì là tài liệu thể hiện lập trường của tổ chức nên được soạn ngắn gọn với tiền đề công bố ra bên ngoài, và bỏ qua việc ghi các giá trị cài đặt cụ thể.
2. Là tài liệu mà một khi đã quy định thì dù thay đổi hệ thống cũng không được phép thay đổi nội dung.
3. Là tài liệu chỉ ban lãnh đạo tham khảo, không phân phát cho nhân viên phụ trách tại hiện trường, và vận hành trong khi giữ kín nội dung.
4. Trình bày cách thao tác cụ thể, giá trị cài đặt, người phụ trách và cách lưu hồ sơ, và được sửa đổi thường xuyên theo sự thay đổi của hệ thống.

Vai trò nào của CISO là thích hợp nhất?

1. Làm đầu mối tiếp nhận câu hỏi từ khách hàng, hướng dẫn cách sử dụng và cách cài đặt sản phẩm của công ty.
2. Phụ trách các công việc như lắp đặt máy tính hay đi dây mạng cho từng bộ phận.
3. Thống lĩnh chiến lược và biện pháp an toàn thông tin của toàn tổ chức, báo cáo lên ban lãnh đạo.
4. Đứng ở vị trí bên thứ ba để thẩm định ISMS của tổ chức, phán đoán khách quan việc có cấp chứng nhận hay không.

Theo chỉ định của đối tác, phát sinh nhu cầu phải dùng dịch vụ chia sẻ tệp mà quy định nội bộ công ty đang cấm sử dụng. Cách ứng phó nào của nhân viên phụ trách là thích hợp nhất?

1. Trình bày lý do sử dụng, dữ liệu đối tượng, thời hạn và biện pháp quản lý thay thế để xin phê duyệt ngoại lệ, và chỉ sử dụng sau khi được người phụ trách phê duyệt và ghi vào hồ sơ.
2. Không thông báo gì với đối tác, mà dùng tài khoản đám mây cá nhân nằm ngoài sự quản lý của công ty để trao đổi dữ liệu công việc.
3. Diễn giải rằng đây là tình huống quy định nội bộ chưa đề cập đến, và bắt đầu sử dụng ngay theo phán đoán cá nhân của nhân viên phụ trách, ưu tiên tiến độ công việc trước.
4. Cho rằng chỉ thị của đối tác được ưu tiên hơn quy định nội bộ, bắt đầu sử dụng mà không có sự phê duyệt của người phụ trách lẫn ghi hồ sơ, rồi sau đó chỉ báo cáo miệng qua loa.

Mô tả nào về Hướng dẫn quản lý an toàn không gian mạng là thích hợp nhất?

1. Là tài liệu kỹ thuật dành cho kỹ sư hệ thống thông tin, quy định chi tiết giá trị cài đặt cụ thể của tường lửa, máy chủ và quy trình thao tác.
2. Là chỉ dẫn dành cho ban lãnh đạo, trình bày 3 nguyên tắc mà người quản lý cần nhận thức, cùng 10 hạng mục quan trọng mà người quản lý cần chỉ thị cho CISO v.v.
3. Là văn bản pháp luật quy định nội dung nghĩa vụ phải tuân thủ đối với doanh nghiệp xử lý thông tin cá nhân, cùng hình phạt pháp lý nếu vi phạm.
4. Là tiêu chuẩn quốc tế quy định yêu cầu mà tổ chức muốn lấy chứng nhận ISMS phải đáp ứng, dùng làm tiêu chuẩn thẩm định của bên thứ ba.

Cách vận hành nào về việc phổ biến và xem xét lại quy định liên quan đến an toàn thông tin là thích hợp nhất?

1. Phổ biến phù hợp với từng đối tượng qua đào tạo lúc nhập công ty và tập huấn định kỳ, và xem xét lại khi có sửa đổi luật, áp dụng công nghệ mới, thay đổi tổ chức, sự cố, hay chỉ ra từ kiểm toán v.v.
2. Khi xảy ra vi phạm, dù là quy định chưa được phổ biến cũng đồng loạt xử lý là trách nhiệm của bản thân nhân viên, bỏ qua việc xem xét lại quy định.
3. Một khi đã ban hành quy định thì dù có sửa đổi luật hay thay đổi tổ chức cũng giữ nguyên không sửa đổi.
4. Chỉ cần đặt quy định trên máy chủ nội bộ để ai cũng xem được là đủ, không cần đặc biệt phổ biến lại qua đào tạo lúc nhập công ty hay tập huấn.

Mô tả nào về mối quan hệ giữa BCP và BCM là thích hợp nhất?

1. BCP là tài liệu soạn để ban lãnh đạo đọc, BCM là tài liệu soạn để nhân viên hiện trường đọc — chỉ là sự phân biệt loại tài liệu theo đối tượng đọc khác nhau.
2. BCP và BCM là thuật ngữ mang cùng một ý nghĩa, hai từ này đồng nghĩa với nhau.
3. BCP chính là bản kế hoạch quy định phương pháp duy trì và khôi phục các nghiệp vụ quan trọng, còn BCM là toàn bộ hoạt động quản lý gồm xây dựng kế hoạch đó và tiếp tục đào tạo, huấn luyện, kiểm tra, xem xét lại.
4. BCP chỉ toàn bộ cơ chế vận hành an toàn thông tin hàng ngày, còn BCM là thuật ngữ chỉ riêng các biện pháp kỹ thuật như cài đặt hay giám sát thiết bị trong số đó.

Tổ hợp mô tả nào về RTO và RPO là thích hợp nhất?

1. RTO là mục tiêu về việc khôi phục dữ liệu về đến thời điểm nào, còn RPO là mục tiêu về thời gian được phép từ lúc xảy ra sự cố đến khi khôi phục xong.
2. Cả RTO lẫn RPO đều là mục tiêu thể hiện mức độ khôi phục nghiệp vụ sau khi phục hồi, và được coi là không có sự khác biệt giữa hai chỉ số này.
3. RTO là chỉ số thể hiện số thế hệ lưu trữ của bản sao lưu, còn RPO là chỉ số thể hiện loại phương tiện lưu trữ dùng để sao lưu.
4. RTO là mục tiêu về thời gian được phép từ lúc xảy ra sự cố đến khi khôi phục xong, còn RPO là mục tiêu về việc khôi phục dữ liệu về đến thời điểm nào.

Một hệ thống đặt RPO là 4 giờ. Cách vận hành nào cần thiết để đáp ứng mục tiêu này là thích hợp nhất?

1. Chuẩn bị sẵn thể chế và quy trình để có thể khôi phục hệ thống trong vòng 4 giờ kể từ khi xảy ra sự cố, đồng thời định kỳ thực hiện diễn tập khôi phục.
2. Sao lưu ít nhất mỗi 4 giờ một lần, để khi xảy ra sự cố không mất dữ liệu của thời điểm trước 4 giờ gần nhất.
3. Chuẩn bị thể chế với mục tiêu khôi phục năng lực xử lý của hệ thống sau khi phục hồi lên đến mức 1/4 so với bình thường.
4. Chuẩn bị 4 loại phương tiện sao lưu, rồi chuyển sang vận hành lưu trữ phân tán mỗi loại ở một nơi khác nhau.

Trong kế hoạch liên tục kinh doanh, đã quy định "sau khi xảy ra thảm họa, trước tiên chỉ khôi phục nghiệp vụ nhận đơn hàng với năng lực xử lý bằng 50% so với bình thường". Chỉ số nào thể hiện mục tiêu này?

1. BIA (phân tích tác động kinh doanh)
2. RPO (điểm mục tiêu khôi phục)
3. RLO (mức mục tiêu khôi phục)
4. RTO (thời gian mục tiêu khôi phục)

Mục đích của phân tích tác động kinh doanh (BIA) là gì, thích hợp nhất?

1. Đo lường khối lượng công việc và thời gian làm việc của từng nhân viên, nhằm tối ưu hóa việc bố trí nhân sự theo từng bộ phận.
2. Kiểm tra toàn diện các lỗ hổng tồn tại trong hệ thống thông tin, làm rõ những chỗ cần sửa và thứ tự ưu tiên xử lý, rồi lập trước kế hoạch sửa chữa.
3. Phân tích độ lớn ảnh hưởng và mức độ lan rộng theo thời gian khi nghiệp vụ ngừng hoạt động, làm rõ nghiệp vụ quan trọng cần ưu tiên khôi phục cùng nguồn lực mà nó phụ thuộc vào.
4. So sánh đơn giá phương tiện sao lưu, chọn phương tiện rẻ nhất để giảm chi phí.

Đã lấy bản sao lưu đầy đủ vào Chủ nhật, và từ thứ Hai đến thứ Bảy mỗi ngày đều lấy bản sao lưu tăng dần. Nếu sự cố xảy ra vào tối thứ Năm, tổ hợp bản sao lưu nào cần thiết để khôi phục?

1. Chỉ 2 bản: bản sao lưu đầy đủ lấy vào Chủ nhật, và bản sao lưu tăng dần lấy vào thứ Năm
2. Dùng tất cả bản sao lưu tăng dần từ thứ Hai đến thứ Năm, loại trừ bản sao lưu đầy đủ của Chủ nhật
3. Bản sao lưu đầy đủ của Chủ nhật, cùng tất cả bản sao lưu tăng dần của thứ Hai, thứ Ba, thứ Tư, thứ Năm
4. Chỉ dùng bản sao lưu tăng dần lấy vào thứ Năm, ngay trước khi xảy ra sự cố, không dùng các bản trước đó

Đã lấy bản sao lưu đầy đủ vào Chủ nhật, và từ thứ Hai đến thứ Bảy mỗi ngày đều lấy bản sao lưu chênh lệch. Nếu sự cố xảy ra vào tối thứ Năm, tổ hợp bản sao lưu nào cần thiết để khôi phục?

1. Chỉ bản sao lưu chênh lệch của thứ Năm
2. Tất cả bản sao lưu chênh lệch từ thứ Hai đến thứ Năm
3. Bản sao lưu đầy đủ của Chủ nhật, cùng bản sao lưu chênh lệch của thứ Năm
4. Bản sao lưu đầy đủ của Chủ nhật, cùng tất cả bản sao lưu chênh lệch của thứ Hai, thứ Ba, thứ Tư, thứ Năm

Mô tả nào về quy tắc 3-2-1 trong sao lưu và cách lưu trữ như một biện pháp đối phó ransomware là thích hợp nhất?

1. Là chỉ dẫn thủ tục về việc 3 nhân viên phụ trách kiểm tra hai lần, rồi 1 người phụ trách phê duyệt trước khi lấy sao lưu.
2. Là chỉ dẫn vận hành về số lần lấy và thời hạn lưu trữ, tức là lấy sao lưu 3 lần một ngày, lưu giữ trong 2 tuần, rồi hủy bỏ những bản đã qua 1 năm.
3. Giữ 3 bản dữ liệu bao gồm cả bản gốc, lưu trên 2 loại phương tiện, trong đó 1 bản được cất giữ ở nơi khác. Đồng thời, sau khi lấy xong thì ngắt kết nối và lưu trữ ở chế độ ngoại tuyến.
4. Là phương thức lưu trữ mã hóa hai lớp bằng 3 loại thuật toán mã hóa, và quản lý tập trung khóa đó tại 1 nơi.