Ứng phó sự cố và tổ chức

Trên máy tính công việc, phần mềm diệt virus hiển thị cảnh báo "đã phát hiện mã độc" và hoạt động của máy cũng trở nên bất ổn. Người dùng cần làm gì đầu tiên?

1. Xóa toàn bộ lịch sử phát hiện và nhật ký cảnh báo của phần mềm diệt virus, để không còn hiển thị cảnh báo nữa
2. Rút cáp LAN, tắt Wi-Fi v.v. để tách máy tính khỏi mạng
3. Nhấn giữ nút nguồn của máy tính để tắt máy ngay lập tức
4. Tự mình tìm kiếm trên Internet để tìm công cụ diệt mã độc, tải về và chạy để tự xử lý

Lý do nào để quy định rằng đối với thiết bị bị nghi nhiễm mã độc thì phải tách khỏi mạng mà không tắt nguồn, là thích hợp nhất?

1. Để giữ lại thông tin dễ mất như dữ liệu trong bộ nhớ hay trạng thái truyền thông — những thứ sẽ biến mất nếu tắt nguồn — phục vụ cho việc điều tra nguyên nhân
2. Vì nếu tắt nguồn, toàn bộ tệp trên ổ cứng sẽ bị mã hóa
3. Vì nếu tắt nguồn, tệp định nghĩa của phần mềm diệt virus sẽ bị đặt lại về mặc định
4. Vì nếu tắt nguồn, hành động đó sẽ trở thành tín hiệu khiến mã độc tự động lan ra mạng nội bộ công ty

Mô tả nào về mối quan hệ giữa sự kiện an toàn thông tin và sự cố an toàn thông tin theo JIS Q 27000 là thích hợp nhất?

1. Sự cố là việc nhỏ nhặt xảy ra hàng ngày, còn trong số đó, chỉ những việc có thiệt hại lớn cần báo cáo lên ban lãnh đạo mới được gọi riêng là sự kiện
2. Sự kiện chỉ riêng những việc xảy ra do tấn công từ bên ngoài tổ chức, còn sự cố chỉ riêng những việc xảy ra do vi phạm quy định của người trong nội bộ
3. Sự kiện và sự cố là từ đồng nghĩa, chỉ khác nhau về cách gọi khi viết vào báo cáo
4. Sự kiện thể hiện sự phát sinh của một việc liên quan đến an toàn, còn trong số đó, việc có khả năng cao đe dọa vận hành kinh doanh và an toàn thông tin thì gọi là sự cố

Trình tự ứng phó sự cố nào theo thứ tự thông thường là đúng?

1. Phân tích, điều tra → Phát hiện, tiếp nhận → Báo cáo → Ứng phó ban đầu (triage) → Phòng ngừa tái diễn → Ngăn chặn, khôi phục
2. Phát hiện, tiếp nhận → Phân tích, điều tra → Phòng ngừa tái diễn → Ứng phó ban đầu (triage) → Ngăn chặn, khôi phục → Báo cáo
3. Phát hiện, tiếp nhận → Ứng phó ban đầu (triage) → Phân tích, điều tra → Ngăn chặn, khôi phục → Báo cáo → Phòng ngừa tái diễn
4. Ứng phó ban đầu (triage) → Phát hiện, tiếp nhận → Ngăn chặn, khôi phục → Phòng ngừa tái diễn → Phân tích, điều tra → Báo cáo

Đã lỡ mở tệp đính kèm trong email giả danh đối tác, ngay sau khi mở không có gì xảy ra nhưng cảm thấy bất an. Nhân viên này cần làm gì đầu tiên?

1. Để xác minh xem email có thực sự đáng ngờ hay không, gửi email hỏi lại địa chỉ người gửi và chờ phản hồi
2. Để chắc chắn, mở lại tệp đính kèm đó một lần nữa và tự mình kiểm tra kỹ từ đầu đến cuối xem nội dung có bất thường không
3. Tách thiết bị khỏi mạng, đồng thời báo cáo ngay cho cấp trên và bộ phận phụ trách an toàn thông tin (CSIRT)
4. Vì sau khi mở tệp đính kèm không có gì đặc biệt xảy ra, nên theo dõi thêm một thời gian và chỉ báo cáo cho đầu mối khi có bất thường xuất hiện

Mô tả nào về triage trong ứng phó sự cố là thích hợp nhất?

1. Ước lượng nhanh phạm vi ảnh hưởng và mức độ khẩn cấp của sự việc đã tiếp nhận, để quyết định thứ tự ưu tiên xử lý và người phụ trách
2. Dành thời gian để xác định nguyên nhân gốc rễ của sự cố, quyết định và triển khai biện pháp phòng ngừa tái diễn lâu dài
3. Sau khi khôi phục, nhờ nhân viên phụ trách của bộ phận sử dụng xác nhận từng mục một rằng nghiệp vụ đã trở lại trạng thái bình thường
4. Dùng giá trị băm để xác nhận rằng chứng cứ đã thu thập không bị giả mạo giữa chừng, rồi ghi lại

Nhận ra rằng đã gửi nhầm email đính kèm danh sách khách hàng đến một công ty khác bên ngoài do chọn sai địa chỉ người nhận. Cần làm gì đầu tiên?

1. Tự mình gọi điện giải thích tình huống cho bên nhận, nếu họ hứa xóa thì không cần báo cáo việc này trong công ty nữa
2. Ghi lại sự việc (địa chỉ người nhận, thời điểm gửi, nội dung đính kèm), đồng thời báo cáo ngay cho cấp trên và người phụ trách an toàn thông tin
3. Xóa email đó khỏi hộp thư đã gửi của bản thân, khiến không còn lưu lại bất kỳ dấu vết nào trong công ty về việc đã gửi
4. Vì sợ gây phiền phức cho khách hàng, nên trước khi báo cho cấp trên, gọi điện xin lỗi tất cả khách hàng trước

Mô tả nào về sự khác biệt giữa quản lý sự cố và quản lý vấn đề là thích hợp nhất?

1. Quản lý sự cố nhằm mục đích tìm ra nguyên nhân gốc rễ và phòng ngừa tái diễn, còn quản lý vấn đề nhằm mục đích áp dụng biện pháp né tránh tạm thời
2. Quản lý sự cố nhằm mục đích khôi phục dịch vụ sớm, còn quản lý vấn đề nhằm mục đích tìm ra nguyên nhân gốc rễ và phòng ngừa tái diễn
3. Sự khác biệt là ở người phụ trách: quản lý sự cố do ban lãnh đạo thực hiện, còn quản lý vấn đề do bộ phận sử dụng thực hiện
4. Sự khác biệt là quản lý sự cố chỉ xử lý các vụ việc liên quan đến an toàn thông tin, còn quản lý vấn đề chỉ xử lý sự cố hỏng hóc hệ thống

Nhận ra rằng đã làm mất laptop công ty cho mượn có lưu thông tin khách hàng khi đi công tác bên ngoài. Nhân viên này cần làm gì đầu tiên?

1. Vì có khả năng tìm thấy nên tự mình tìm trong ngày, nếu đến sáng hôm sau vẫn không thấy thì mới báo cáo
2. Ghi lại thời điểm nhận ra bị mất và tình huống lúc đó, liên hệ ngay với cấp trên và bộ phận phụ trách an toàn thông tin
3. Trước tiên trình báo mất đồ với cảnh sát gần nhất, chỉ báo cáo trong công ty nếu cuối cùng không tìm thấy
4. Theo phán đoán cá nhân, liên hệ trước với khách hàng để báo rằng thông tin có khả năng bị rò rỉ

Nhân viên phụ trách kiểm tra nhật ký máy chủ phát hiện ghi chép cho thấy tài khoản quản trị bị thử đăng nhập nhiều lần vào ban đêm, và có một lần thành công. Cần làm gì đầu tiên?

1. Tạm thời khôi phục máy chủ về trạng thái ban đầu, phục hồi từ bản sao lưu rồi tiếp tục nghiệp vụ như bình thường
2. Bảo toàn (lưu giữ để không bị ghi đè) nhật ký liên quan, đồng thời báo cáo cho CSIRT và cấp trên
3. Vì dễ gây nhầm lẫn nên xóa các dòng nhật ký liên quan để sắp xếp cho dễ nhìn
4. Tự mình kết nối đến địa chỉ IP bị nghi là nguồn tấn công, điều tra hệ thống của đối phương để chuẩn bị phản công

Cách tiến hành bảo toàn chứng cứ nào trong pháp chứng số (digital forensics) là thích hợp nhất?

1. Xóa trước các tệp không cần thiết gây cản trở phân tích, thu hẹp đối tượng rồi mới tạo bản sao
2. Trực tiếp thao tác trên bản gốc của đĩa đối tượng để phân tích, chỉ lấy ra và lưu những tệp cần thiết
3. Vì điều tra tốn thời gian nên các nhân viên phụ trách thay phiên nhau làm việc mà không lưu lại hồ sơ
4. Tạo bản sao của đĩa đối tượng, dùng giá trị băm để chứng minh tính đồng nhất, rồi tiến hành phân tích trên bản sao đó

Vai trò nào của CSIRT được thiết lập trong công ty là thích hợp nhất?

1. Tiếp nhận báo cáo sự cố qua một đầu mối duy nhất, thực hiện triage, quyết định phương châm ứng phó, và liên lạc - điều phối với trong và ngoài công ty
2. Kiểm toán hệ thống thông tin của công ty, đứng ở vị trí độc lập để trình báo cáo kiểm toán lên ban lãnh đạo và đề xuất cải tiến
3. Nhận thầu phát triển hệ thống thông tin, phụ trách nhất quán từ thiết kế, triển khai tính năng bảo mật cho đến bảo trì sau khi đưa vào sử dụng
4. Giám sát thường xuyên tình hình làm việc của nhân viên, kỷ luật những người vi phạm nội quy lao động

Mô tả nào về sự khác biệt vai trò giữa CSIRT và SOC là thích hợp nhất?

1. SOC chỉ phụ trách công việc khôi phục sau khi sự cố xảy ra, còn CSIRT chỉ phụ trách giám sát thường xuyên nhật ký và cảnh báo lúc bình thường, không tham gia điều phối ứng phó
2. SOC đảm nhận báo cáo lên ban lãnh đạo và đối ứng truyền thông, còn CSIRT chỉ đảm nhận thay đổi cài đặt thiết bị
3. SOC phát hiện - phân tích dấu hiệu tấn công qua việc giám sát thường xuyên nhật ký và cảnh báo, còn CSIRT quyết định phương châm ứng phó cho sự việc đã phát hiện và điều phối trong - ngoài công ty
4. SOC đối phó với lỗ hổng của sản phẩm do công ty cung cấp, còn CSIRT chỉ đảm nhận đầu mối tiếp nhận câu hỏi từ bên ngoài

Mô tả nào về PSIRT là thích hợp nhất?

1. Đội giám sát liên tục 24/24 mạng nội bộ và máy chủ của công ty, phát hiện sớm bất thường trong truyền thông
2. Tổ chức mà các doanh nghiệp thành viên theo từng ngành mang thông tin về mối đe dọa đến, phân tích rồi chia sẻ rộng rãi kết quả giữa các doanh nghiệp thành viên
3. Đội tiếp nhận thông tin lỗ hổng của sản phẩm hay dịch vụ do công ty cung cấp, cung cấp bản sửa lỗi và thông báo cho khách hàng
4. Tổ chức hoạch định chiến lược an toàn không gian mạng của toàn chính phủ, quy định và công bố tiêu chuẩn thống nhất mà các bộ ngành cần tuân thủ

Tổ chức trong nước nào tiếp nhận báo cáo sự cố, điều phối giữa các bên liên quan, hợp tác với CSIRT nước ngoài, và phát đi cảnh báo?

1. ISMS-AC
2. NISC
3. Ủy ban Bảo vệ Thông tin Cá nhân
4. JPCERT/CC

Mô tả nào về hoạt động của J-CRAT là thích hợp nhất?

1. Tổng hợp thông tin biện pháp đối phó lỗ hổng, công bố trên trang cổng thông tin dành cho người dùng
2. Tiếp nhận tư vấn từ tổ chức bị nghi là nạn nhân của tấn công có chủ đích, hỗ trợ ngăn thiệt hại lan rộng và xử lý sớm
3. Công nhận tổ chức chứng nhận hệ thống quản lý an toàn thông tin
4. Ẩn danh hóa thông tin về tấn công có chủ đích do các tổ chức tham gia mang đến rồi chia sẻ, giúp các tổ chức khác nhận biết sớm

Đã phát hiện một lỗ hổng chưa công bố trong sản phẩm phần mềm mà công ty đang sử dụng. Cách xử lý nào dựa trên khuôn khổ Hợp tác Cảnh báo sớm An toàn Thông tin là thích hợp nhất?

1. Để kiểm tra xem có thực sự khai thác được hay không, thử trên máy chủ của cùng sản phẩm đó do công ty khác công khai
2. Báo cáo thông tin liên quan đến lỗ hổng cho IPA, chờ JPCERT/CC điều phối với nhà phát triển và công bố
3. Nếu không ảnh hưởng đến công ty mình thì không báo cho ai, chỉ tự khắc phục trong nội bộ rồi kết thúc
4. Để cảnh báo nguy hiểm cho người dùng, công khai ngay chi tiết lỗ hổng và các bước tái hiện trên mạng xã hội

Mô tả nào về SIEM là thích hợp nhất?

1. Là cơ chế tập trung nhật ký của các thiết bị và phần mềm khác nhau về một mối, dùng phân tích tương quan để phát hiện dấu hiệu tấn công mà chỉ một nhật ký riêng lẻ không thể nhận ra
2. Là cơ chế mã hóa nội dung truyền thông, để dù bị nghe trộm trên đường truyền cũng không đọc được nội dung
3. Là cơ chế sao chép sẵn dữ liệu quan trọng đến địa điểm ở xa, để có thể khôi phục và tiếp tục nghiệp vụ trong thời gian ngắn ngay cả khi xảy ra thảm họa
4. Là cơ chế bắt buộc áp dụng cho người dùng thiết bị việc đổi mật khẩu định kỳ và cấm dùng chung mật khẩu với dịch vụ khác

Mô tả nào về diễn tập trên giấy (tabletop exercise) để chuẩn bị cho sự cố an toàn thông tin là thích hợp nhất?

1. Là diễn tập thực sự dừng hệ thống, thực hiện công việc khôi phục đúng theo quy trình trên môi trường thực tế, đo và ghi lại thời gian cần thiết
2. Là hình thức diễn tập gửi đồng loạt email diễn tập cho người dùng, đếm và tổng hợp số người đã mở và số người đã báo cáo cho đầu mối
3. Là diễn tập trình bày trên giấy tình huống thiệt hại giả định, các bên liên quan tụ họp để theo dõi luồng phán đoán và liên lạc, tìm ra những chỗ thiếu sót trong quy trình
4. Là hình thức kiểm tra mà chuyên gia bên ngoài thực sự tiến hành tấn công, thử xem có thể xâm nhập vào hệ thống hay không, rồi báo cáo kết quả

Nhân viên phụ trách của bộ phận kinh doanh nhận ra một sự việc có khả năng tệp chứa dữ liệu cá nhân của khách hàng đã bị rò rỉ ra ngoài. Người này cần làm gì đầu tiên?

1. Tuân theo tuyến báo cáo được quy định trong nội bộ công ty, báo cáo ngay cho người quản lý bảo vệ thông tin cá nhân hoặc người phụ trách an toàn thông tin
2. Chỉ tự bộ phận mình tiến hành điều tra, chỉ báo cáo trong công ty khi đã chắc chắn xác định được là rò rỉ
3. Vì chưa xác định được có rò rỉ hay không, nên liên hệ riêng từng khách hàng có khả năng bị ảnh hưởng để xác nhận
4. Tự mình gọi điện trực tiếp cho Ủy ban Bảo vệ Thông tin Cá nhân bằng tên cá nhân để trình bày sự việc, rồi mới báo cáo cấp trên trong công ty sau khi nhận chỉ thị

Mô tả nào về việc báo cáo cho Ủy ban Bảo vệ Thông tin Cá nhân liên quan đến rò rỉ dữ liệu cá nhân v.v. là thích hợp nhất?

1. Báo cáo sơ bộ được thực hiện nhanh chóng sau khi biết được sự việc, còn báo cáo chính thức về nguyên tắc được thực hiện trong vòng 30 ngày (trường hợp có nguy cơ do mục đích bất chính thì trong vòng 60 ngày)
2. Không cần thực hiện cả báo cáo sơ bộ lẫn báo cáo chính thức cho đến khi điều tra kết thúc và xác định được nguyên nhân cùng phạm vi ảnh hưởng, mà chỉ báo cáo gộp một lần sau khi đã xác định xong
3. Báo cáo chỉ được tiếp nhận bằng văn bản, và phải nộp cho Ủy ban Bảo vệ Thông tin Cá nhân trong vòng 3 tháng kể từ ngày biết được sự việc
4. Không có sự phân biệt giữa báo cáo sơ bộ và báo cáo chính thức, chỉ báo cáo gộp một lần trong vòng 1 năm kể từ ngày biết được sự việc

Trong số các sự việc rò rỉ dữ liệu cá nhân v.v., sự việc nào không thuộc diện bắt buộc phải báo cáo cho Ủy ban Bảo vệ Thông tin Cá nhân?

1. Sự việc dữ liệu cá nhân có chứa số thẻ tín dụng bị rò rỉ, có nguy cơ gây thiệt hại tài sản do bị lợi dụng trái phép
2. Sự việc có nguy cơ dữ liệu cá nhân đang nắm giữ bị mang ra ngoài do truy cập trái phép từ bên ngoài
3. Sự việc dữ liệu cá nhân có chứa thông tin cần quan tâm đặc biệt như tiền sử bệnh của nhân viên bị rò rỉ ra bên ngoài
4. Sự việc lỡ gửi tài liệu phát triển sản phẩm chỉ lưu hành nội bộ ra bên ngoài, nhưng không có dữ liệu cá nhân nào trong đó

Mô tả nào về việc thông báo cho đương sự khi xảy ra rò rỉ dữ liệu cá nhân v.v. là thích hợp nhất?

1. Thông báo cho đương sự chỉ là mục tiêu nỗ lực, nếu quy định nội bộ đã định trước là không thông báo thì có thể không làm gì cả, kể cả việc công bố hay lập đầu mối tiếp nhận câu hỏi
2. Thông báo nhanh chóng tùy theo tình trạng sự việc, nhưng nếu việc thông báo gặp khó khăn như không biết địa chỉ liên lạc, có thể áp dụng biện pháp thay thế như công bố hoặc lập đầu mối tiếp nhận câu hỏi
3. Chỉ được thông báo cho đương sự sau khi đã nộp báo cáo chính thức cho Ủy ban Bảo vệ Thông tin Cá nhân và được xác nhận nội dung
4. Nếu đã báo cáo cho Ủy ban Bảo vệ Thông tin Cá nhân trong thời hạn thì không cần thông báo cho đương sự trong mọi trường hợp

Mô tả nào về tính độc lập của kiểm toán viên hệ thống là thích hợp nhất?

1. Kiểm toán viên phải tự mình thực hiện công việc cải thiện đối với những điểm đã chỉ ra, và tự mình xác nhận kết quả
2. Kiểm toán viên không được kiểm toán hệ thống thông tin mà chính mình đã tham gia thiết kế, phát triển hoặc vận hành
3. Kiểm toán viên có thể vừa là thành viên của bộ phận được kiểm toán, đảm nhận nghiệp vụ hàng ngày, vừa kiểm toán chính bộ phận đó
4. Kiểm toán viên phải độc lập với ban lãnh đạo, và không được nộp báo cáo kiểm toán cho ban lãnh đạo

Mô tả nào về cách tiến hành kiểm toán hệ thống là thích hợp nhất?

1. Vì coi trọng ấn tượng chủ quan của kiểm toán viên nên bỏ qua công việc thu thập chứng cứ khách quan như dấu vết kiểm toán
2. Tiến hành điều tra chính thức trước để thu thập sự việc, sau đó mới soạn kế hoạch kiểm toán và thủ tục kiểm toán cho phù hợp với nội dung đó
3. Kiểm toán hoàn tất ngay khi nộp báo cáo kiểm toán cho ban lãnh đạo, nên bỏ qua việc theo dõi sau kiểm toán để xác nhận sau này xem những điểm đã chỉ ra có được cải thiện hay không
4. Xây dựng kế hoạch kiểm toán, nắm bắt tổng quan qua điều tra sơ bộ rồi tiến hành điều tra chính thức, qua đánh giá và kết luận để nộp báo cáo, sau đó xác nhận tình trạng cải thiện qua theo dõi sau kiểm toán