Lĩnh vực liên quan (kỹ thuật, quản lý, chiến lược)

Muốn chỉ cho phép truyền thông kết nối từ nội bộ công ty đến trang Web bên ngoài bằng HTTPS qua tường lửa. Số cổng đích nào cần được cho phép?

1. 80
2. 443
3. 23
4. 25

Đã quyết định phân chia mạng nội bộ công ty thành các mạng con theo từng bộ phận, và kiểm soát truyền thông giữa các mạng con bằng router. Mục đích chính của biện pháp này là gì?

1. Mã hóa toàn bộ nội dung truyền thông vượt qua mạng con, để dù bị nghe trộm trên đường truyền cũng không đọc được nội dung
2. Giảm đáng kể công sức quản lý địa chỉ bằng cách gán cùng một địa chỉ IP cho tất cả thiết bị trong công ty
3. Chặn toàn bộ truy cập trái phép từ Internet bên ngoài tại ranh giới, để không thiết bị nào trong công ty bị xâm nhập
4. Ngay cả khi một thiết bị bị nhiễm mã độc, vẫn giữ được sự lan rộng của thiệt hại trong phạm vi khu vực, và có thể chặn truyền thông tại ranh giới

Gán địa chỉ IP riêng cho thiết bị nội bộ, chuyển đổi thành địa chỉ IP công cộng bằng NAPT để kết nối Internet. Mô tả nào về cấu hình này là thích hợp nhất?

1. Mục đích chính của NAPT là tiết kiệm địa chỉ IP công cộng, và việc kiểm soát truyền thông từ bên ngoài cần được thực hiện riêng bằng tường lửa
2. Nếu dùng NAPT thì nội dung truyền thông sẽ tự động được mã hóa, nên không cần VPN nữa
3. Vì NAPT là cơ chế ẩn địa chỉ nguồn gửi, nên mọi truyền thông trái phép từ nội bộ ra bên ngoài cũng sẽ tự động bị chặn
4. Nếu thiết bị nội bộ dùng địa chỉ IP riêng thì vì bên ngoài không thể truy cập trực tiếp nên thiết bị sẽ không bị nhiễm mã độc

Người làm việc tại nhà kết nối từ nhà đến hệ thống nội bộ công ty bằng VPN. Mô tả nào về VPN là thích hợp nhất?

1. VPN mã hóa và bảo vệ đường truyền, nhưng không bảo đảm rằng thiết bị đang kết nối là an toàn, nên cũng cần biện pháp phía thiết bị
2. Khi dùng VPN, các tệp lưu trên thiết bị kết nối sẽ tự động được mã hóa
3. Nếu mã hóa đường truyền và kết nối bằng VPN thì dù thiết bị kết nối bị nhiễm mã độc cũng không ảnh hưởng đến hệ thống nội bộ công ty
4. VPN là đường truyền chuyên dụng vật lý không dùng Internet, không đi qua thiết bị của nhà mạng

Biện pháp an toàn nào cho LAN không dây của cơ sở kinh doanh là thích hợp nhất?

1. Dùng WPA2 hoặc WPA3 cho mã hóa và xác thực, và coi ẩn SSID hay lọc địa chỉ MAC là biện pháp bổ trợ
2. Nếu đã cài đặt lọc địa chỉ MAC thì không cần các biện pháp khác kể cả mã hóa
3. Kết nối LAN không dây dành cho khách và LAN không dây dùng cho công việc nội bộ vào cùng một mạng, quản lý tập trung thiết bị và cài đặt điểm truy cập
4. Nếu bật tính năng ẩn SSID để bên ngoài không nhìn thấy SSID, thì có thể nói giữ nguyên phương thức mã hóa WEP vẫn đủ an toàn

Để giảm thiệt hại do email giả mạo miền của công ty mình, triển khai xác thực miền gửi. Mô tả nào về SPF, DKIM, DMARC là thích hợp nhất?

1. DMARC là cơ chế mã hóa nội dung thư, để bên thứ ba không đọc được nội dung trên đường truyền
2. SPF là cơ chế xác minh chữ ký điện tử, DKIM là cơ chế công bố địa chỉ IP của máy chủ được phép gửi trên DNS để đối chiếu, DMARC là cơ chế bên gửi công bố phương châm xử lý đối với thư xác thực thất bại
3. SPF là cơ chế công bố địa chỉ IP của máy chủ được phép gửi trên DNS để đối chiếu, DKIM là cơ chế xác minh chữ ký điện tử, DMARC là cơ chế công bố phương châm xử lý đối với thư xác thực thất bại
4. Cả 3 chỉ cần cài đặt ở máy chủ thư bên nhận là đủ, miền bên gửi không cần cài đặt gì cả

Máy chủ và thiết bị mạng trong công ty được đồng bộ thời gian với máy chủ NTP. Lý do nào khiến điều này quan trọng về mặt an toàn thông tin, là thích hợp nhất?

1. Vì có thể đối chiếu nhật ký của nhiều thiết bị theo trình tự thời gian, truy vết chính xác diễn biến của sự cố, và giữ được giá trị làm dấu vết kiểm toán
2. Vì khi thời gian khớp nhau, truyền thông sẽ tự động được mã hóa và không bị nghe trộm nữa
3. Vì khi thời gian khớp nhau, có thể dự đoán trước thời điểm mã độc bắt đầu hoạt động, và chặn trước truyền thông vào thời điểm đó
4. Vì khi thời gian khớp nhau, dung lượng tệp nhật ký xuất ra từ mỗi thiết bị sẽ nhỏ hơn, cho phép kéo dài thời gian lưu nhật ký ngay cả với cùng một thiết bị

Đã xây dựng máy chủ nghiệp vụ của công ty bằng cách sử dụng IaaS. Theo cách suy nghĩ của mô hình trách nhiệm chia sẻ, việc nào người dùng cần làm là thích hợp nhất?

1. Thực hiện có kế hoạch việc áp dụng bản vá cho hệ điều hành khách (guest OS) và middleware mà mình đã cài đặt, với tư cách là trách nhiệm của người dùng
2. Thực hiện có kế hoạch biện pháp đối phó lỗ hổng và áp dụng bản vá cho bản thân nền tảng ảo hóa (hypervisor), với tư cách là trách nhiệm của người dùng
3. Người dùng tự mình đến tận nơi để trực tiếp thực hiện quản lý ra vào và bảo vệ cơ sở của trung tâm dữ liệu, đồng thời lưu giữ hồ sơ đó
4. Khi phần cứng của máy chủ vật lý bị hỏng, người dùng tự mình đến trung tâm dữ liệu để thực hiện việc thay linh kiện

Khi đang sử dụng dịch vụ chia sẻ tệp SaaS trong công việc, nhân viên phụ trách đã đặt phạm vi chia sẻ thành "tất cả những ai biết liên kết", khiến tệp mật có thể xem được từ bên ngoài công ty. Mô tả nào theo cách suy nghĩ của mô hình trách nhiệm chia sẻ là thích hợp nhất?

1. Trong SaaS, nhà cung cấp dịch vụ chịu trách nhiệm bảo vệ tất cả, nên sự việc này cũng là trách nhiệm của nhà cung cấp
2. Việc cài đặt phạm vi chia sẻ trong khi sử dụng SaaS được nhà cung cấp dịch vụ tự động tối ưu hóa cho, nên cả người dùng lẫn nhà cung cấp đều không có trách nhiệm
3. Việc cài đặt quyền truy cập, phạm vi chia sẻ, và quản lý dữ liệu đặt ở đó thuộc phạm vi trách nhiệm của người dùng, là trách nhiệm phía người dùng
4. Trong SaaS, người dùng không có quyền cài đặt chia sẻ nên tình trạng như thế này không thể xảy ra

Đang vận hành ứng dụng nghiệp vụ tự phát triển trên nền PaaS. Nếu phát hiện lỗ hổng SQL injection trong ứng dụng này, cách ứng phó nào là thích hợp nhất?

1. Vì đây là lỗ hổng của bản thân hệ điều hành, nên người dùng đối phó bằng cách áp dụng bản vá cho hệ điều hành khách
2. Vì ứng dụng tự phát triển thuộc phạm vi trách nhiệm của người dùng, nên tự công ty mình sửa chương trình
3. Trong PaaS, người dùng không thể phát triển ứng dụng, nên lỗ hổng này không thể xảy ra
4. Vì đây là vấn đề phía môi trường thực thi do nhà cung cấp PaaS cung cấp, nên cứ chờ nhà cung cấp đưa ra bản sửa lỗi

Nối tiếp thiết bị A có tỷ lệ hoạt động 0,95 với thiết bị B có tỷ lệ hoạt động 0,90, tạo thành cấu hình mà toàn hệ thống chỉ hoạt động khi cả A và B đều hoạt động. Tỷ lệ hoạt động của toàn hệ thống là bao nhiêu? Giả sử sự cố của A và B độc lập với nhau.

1. 0,990
2. 0,855
3. 0,900
4. 0,925

Chuẩn bị 2 thiết bị có tỷ lệ hoạt động 0,90, tạo thành cấu hình dự phòng mà chỉ cần một trong hai thiết bị hoạt động là toàn hệ thống hoạt động. Tỷ lệ hoạt động của toàn hệ thống là bao nhiêu? Giả sử sự cố của 2 thiết bị độc lập với nhau.

1. 0,90
2. 0,95
3. 0,81
4. 0,99

Ổ đĩa của máy chủ tệp được cấu hình theo RAID1 (mirroring). Đánh giá nào là phù hợp nhất về hiệu quả của cấu hình này như một biện pháp đối phó ransomware?

1. RAID1 có hiệu quả với sự cố hỏng ổ đĩa nhưng việc mã hóa sẽ được phản ánh sang cả hai ổ đĩa, nên vẫn cần lưu trữ các bản sao lưu theo nhiều thế hệ ở nơi offline hoặc ở địa điểm xa
2. Chỉ cần tăng số ổ đĩa RAID1 lên thành cấu hình 5 ổ là có thể ngăn chặn được thiệt hại do ransomware
3. RAID1 là cơ chế luôn cấm ghi vào ổ đĩa, nên cho dù ransomware có cố mã hóa tệp cũng không thể ghi đè được, do đó được coi là không gây thiệt hại
4. Nếu đã dùng RAID1 thì kể cả tệp bị mã hóa cũng có thể tự động khôi phục từ nội dung của ổ đĩa còn lại, nên không cần thêm biện pháp nào khác như sao lưu

Bảng nhân viên trong cơ sở dữ liệu nhân sự có các cột mã nhân viên, họ tên, đơn vị, chức vụ, lương, số định danh cá nhân. Muốn để nhân viên thường có thể xem danh sách nhân viên chỉ với họ tên, đơn vị, chức vụ. Phương pháp nào là phù hợp nhất?

1. Định nghĩa một view chỉ lấy ra các cột họ tên, đơn vị, chức vụ, và chỉ cấp quyền tham chiếu view đó cho nhân viên thường
2. Cấp quyền tham chiếu đến chính bảng nhân viên cho toàn thể nhân viên, đồng thời phổ biến trong nội bộ rằng không được xem cột lương và số định danh cá nhân
3. Đổi bảng nhân viên sang quyền mà toàn thể nhân viên có thể cập nhật, đồng thời vận hành với giá trị của cột lương và số định danh cá nhân luôn để trống
4. Đặt bản sao lưu của bảng nhân viên vào thư mục dùng chung, để mỗi người tự tìm thông tin cần thiết từ đó mà dùng

Ổ đĩa của máy chủ cơ sở dữ liệu bị sự cố không dùng được, đã thay bằng ổ đĩa khác. Còn lại bản sao lưu lấy vào đêm hôm trước và nhật ký sau cập nhật (update-after log) được lấy sau đó. Phương pháp nào khôi phục được đến trạng thái ngay trước khi xảy ra sự cố?

1. Chỉ khôi phục bản sao lưu, tiếp tục vận hành ở trạng thái tại thời điểm lấy sao lưu đêm hôm trước
2. Khôi phục bản sao lưu, sau đó thực hiện roll-forward để phản ánh nhật ký sau cập nhật
3. Chỉ thực hiện rollback để hủy giao dịch bị gián đoạn giữa chừng khi xử lý, coi đó là khôi phục
4. Chỉ dùng nhật ký trước cập nhật (update-before log) để đưa về trạng thái trước cả thời điểm lấy sao lưu

Trong phát triển một hệ thống nghiệp vụ mới, cách tiến hành nào phù hợp với tư duy Security by Design?

1. Chỉ khi phát hiện lỗ hổng ở công đoạn kiểm thử mới quay lại công đoạn thiết kế, xem xét và bổ sung biện pháp bảo mật cần thiết vào lúc đó
2. Vì bảo mật là công việc của bộ phận vận hành nên trong công đoạn phát triển không cần xem xét dù ở yêu cầu hay thiết kế, cứ thế mà phát triển
3. Xác định các yêu cầu bảo mật như cách phân chia quyền truy cập, phạm vi lấy log, mã hóa, phương thức xác thực ngay từ giai đoạn lập kế hoạch, xác định yêu cầu
4. Ưu tiên triển khai chức năng trước và tiến hành phát triển, sau khi hệ thống đã đưa vào vận hành chính thức mới lần lượt bổ sung các chức năng bảo mật cần thiết

Giải thích nào là phù hợp nhất về penetration test (kiểm thử xâm nhập) được thực hiện trước khi công khai hệ thống Web?

1. Là kiểm thử tìm hiểu cấu trúc bên trong của chương trình rồi xác nhận rằng mọi nhánh điều kiện đều được thực thi ít nhất một lần, đo chất lượng bằng mức độ bao phủ
2. Là kiểm thử đứng ở vị trí của kẻ tấn công, thực sự thử xâm nhập để xác nhận xem có thể vượt qua hàng rào phòng thủ hay không, việc thực hiện cần có sự chấp thuận trước của người quản lý hệ thống đối tượng
3. Là kiểm thử xác nhận từ bên ngoài, không xem cấu trúc bên trong chương trình, xem đầu ra có đúng như thông số kỹ thuật ứng với đầu vào hay không, đồng thời kiêm luôn việc đánh giá khả năng bị xâm nhập như một xác nhận cuối cùng trước khi công khai
4. Là kiểm thử để người dùng thực tế thao tác, đánh giá mức độ dễ hiểu và dễ sử dụng của màn hình

Giải thích nào là phù hợp nhất về sự khác biệt giữa quản lý sự cố (incident management) và quản lý vấn đề (problem management) trong quản lý dịch vụ?

1. Quản lý sự cố nhằm mục đích tìm ra nguyên nhân gốc rễ để ngăn tái diễn, còn quản lý vấn đề nhằm mục đích đưa dịch vụ trở lại trạng thái bình thường càng sớm càng tốt
2. Quản lý sự cố nhằm mục đích đưa dịch vụ trở lại trạng thái bình thường càng sớm càng tốt, còn quản lý vấn đề nhằm mục đích tìm ra nguyên nhân gốc rễ để ngăn tái diễn
3. Quản lý sự cố chỉ xử lý các sự cố liên quan đến an toàn thông tin, còn quản lý vấn đề xử lý tất cả các sự cố và trục trặc khác, đây là cách phân biệt theo phạm vi đối tượng
4. Quản lý sự cố và quản lý vấn đề là thuật ngữ chỉ cùng một hoạt động, đối tượng, mục đích và trình tự đều giống nhau, chỉ khác nhau ở cách gọi khi viết vào báo cáo

Khi ủy thác vận hành hệ thống nghiệp vụ cho bên ngoài, có ký kết SLA. Mô tả nào là phù hợp nhất về SLA?

1. SLA là văn bản mà bên cung cấp và bên sử dụng thống nhất bằng con số về mức chất lượng dịch vụ; ngoài tỷ lệ hoạt động, thời gian mục tiêu khôi phục, cũng cần quy định cả các mục về bảo mật như thời hạn báo cáo khi xảy ra sự cố, thời gian lưu giữ log
2. SLA là quy định nội bộ của phía bên cung cấp dịch vụ, không công khai cho bên sử dụng
3. SLA chỉ nên ghi các mục tiêu liên quan đến tính sẵn sàng như tỷ lệ hoạt động, thời gian mục tiêu khôi phục, và tuyệt đối không được ghi các nội dung liên quan đến bảo mật như thời hạn báo cáo khi xảy ra sự cố, thời gian lưu giữ log
4. SLA một khi đã thống nhất thì không được xem xét lại, và trong suốt thời hạn hợp đồng cũng không đo lường mức độ đạt được

Tổ hợp nào là phù hợp nhất khi giải thích về quản lý thay đổi và quản lý cấu hình trong quản lý dịch vụ?

1. Quản lý thay đổi là hoạt động làm đầu mối duy nhất tiếp nhận thắc mắc hay báo cáo sự cố từ người dùng, còn quản lý cấu hình là hoạt động nhằm khôi phục dịch vụ càng sớm càng tốt sau khi xảy ra sự cố
2. Quản lý thay đổi là hoạt động tìm ra nguyên nhân gốc rễ của sự cố, còn quản lý cấu hình là hoạt động đảm bảo năng lực xử lý cần thiết cho nghiệp vụ
3. Quản lý thay đổi là hoạt động đánh giá ảnh hưởng của thay đổi đối với hệ thống, xin phê duyệt rồi mới thực hiện và ghi lại; quản lý cấu hình là hoạt động nắm bắt chính xác và liên tục các thành phần cấu hình như thiết bị, phần mềm, cài đặt cùng mối quan hệ giữa chúng
4. Quản lý thay đổi là hoạt động của kiểm toán viên chỉ thị cải thiện cho bộ phận được kiểm toán, còn quản lý cấu hình là hoạt động của ban lãnh đạo quyết định có nên đầu tư hay không

Công ty quyết định thực hiện kiểm toán hệ thống trong nội bộ. Đứng từ góc độ tính độc lập của người kiểm toán hệ thống, phương án nào là phù hợp nhất?

1. Người phụ trách của bộ phận kiểm toán nội bộ độc lập về mặt tổ chức với bộ phận được kiểm toán, hoặc người kiểm toán bên ngoài, thực hiện kiểm toán
2. Trưởng bộ phận là đối tượng kiểm toán tự kiểm toán nghiệp vụ của bộ phận mình và lập, nộp báo cáo kiểm toán
3. Người phụ trách vận hành của bộ phận hệ thống thông tin tự kiểm toán chính hệ thống nghiệp vụ mà mình vẫn vận hành hằng ngày
4. Trưởng dự án phụ trách phát triển hệ thống đối tượng kiểm toán tự kiểm toán chính hệ thống đó

Giải thích nào là phù hợp nhất về dấu vết kiểm toán (audit trail) và hoạt động theo dõi sau kiểm toán (follow-up) trong kiểm toán hệ thống?

1. Dấu vết kiểm toán chính là bản thân báo cáo kiểm toán do người kiểm toán lập ra, để giữ tính độc lập thì không công khai cho bộ phận được kiểm toán, còn ở bước theo dõi sau kiểm toán thì bộ phận được kiểm toán tự đánh giá tình trạng cải thiện và coi như hoàn tất
2. Dấu vết kiểm toán là cơ chế hay bản ghi cho phép truy ngược lại xem xử lý đã được thực hiện khi nào, do ai, như thế nào; ở bước theo dõi sau kiểm toán, người kiểm toán xác nhận tình trạng cải thiện đối với các điểm đã chỉ ra
3. Dấu vết kiểm toán chỉ được lấy trong thời gian kiểm toán, có thể bỏ qua việc lấy trong vận hành thông thường
4. Ở bước theo dõi sau kiểm toán, người kiểm toán tự lập ra và thực hiện biện pháp cải thiện để giải quyết vấn đề

Giải thích nào là phù hợp nhất về vai trò của CISO trong doanh nghiệp?

1. Lập chiến lược bán hàng và chiến lược giá cho sản phẩm của công ty, chịu trách nhiệm đạt mục tiêu doanh số
2. Lập báo cáo tài chính và giải trình về kế toán tại đại hội cổ đông
3. Chịu trách nhiệm xây dựng chính sách an toàn thông tin, quyết định phương châm ứng phó rủi ro, chỉ huy khi xảy ra sự cố, và báo cáo lên ban lãnh đạo
4. Tự mình thực hiện công việc lắp đặt, đấu nối PC và thiết bị mạng trong công ty, đồng thời phụ trách bảo trì hằng ngày và xử lý khi có sự cố với thiết bị

Đứng từ góc độ kiểm soát nội bộ, cách vận hành nào phù hợp với tư duy phân chia nhiệm vụ (segregation of duties)?

1. Phân người phụ trách đặt hàng mua và người phụ trách kiểm tra hàng nhận về cho hai người khác nhau
2. Ưu tiên hiệu quả công việc, cấp cả quyền thay đổi môi trường chính thức cho người phụ trách phát triển hệ thống
3. Cấp quyền quản trị cho toàn thể nhân viên để ai cũng có thể thực hiện công việc cần thiết
4. Một người phụ trách thực hiện nhất quán từ đăng ký, phê duyệt, thực hiện đến ghi chép, làm rõ trách nhiệm thuộc về ai

Trình tự mua sắm nào là phù hợp nhất khi đặt hàng phát triển hệ thống nghiệp vụ cho bên ngoài?

1. Yêu cầu cung cấp thông tin (RFI) → Đề xuất thầu (RFP) → Nhận và đánh giá đề xuất → Ký hợp đồng
2. Ký hợp đồng → Đề xuất thầu (RFP) → Nhận và đánh giá đề xuất → Yêu cầu cung cấp thông tin (RFI)
3. Đề xuất thầu (RFP) → Yêu cầu cung cấp thông tin (RFI) → Ký hợp đồng → Nhận và đánh giá đề xuất
4. Nhận và đánh giá đề xuất → Yêu cầu cung cấp thông tin (RFI) → Ký hợp đồng → Đề xuất thầu (RFP)

Ủy thác cho bên ngoài thực hiện nghiệp vụ xử lý dữ liệu cá nhân của khách hàng. Mô tả nào là phù hợp nhất về việc lựa chọn và quản lý nhà thầu?

1. Kể cả khi bên nhận ủy thác tái ủy thác cho một nhà cung cấp khác, cũng không cần thông báo cho bên ủy thác
2. Chỉ cần chọn nhà cung cấp có giá cả và thời hạn giao hàng có lợi nhất, còn tình trạng lấy chứng nhận, các mục về bảo mật, thỏa thuận khi xảy ra sự cố thì bàn sau khi đã ký hợp đồng
3. Một khi đã ủy thác thì toàn bộ trách nhiệm quản lý dữ liệu cá nhân chuyển hết sang bên nhận ủy thác, bên ủy thác hoàn toàn rút tay khỏi việc quản lý, giám sát sau khi lựa chọn
4. Ghi rõ trong tiêu chí lựa chọn và hợp đồng các nội dung như tình trạng lấy chứng nhận, cách xử lý việc tái ủy thác, nghĩa vụ báo cáo khi xảy ra sự cố, chấp nhận kiểm toán, xóa dữ liệu khi kết thúc hợp đồng, và sau khi ủy thác vẫn định kỳ nhận báo cáo để giám sát

Nhân viên đề nghị được sử dụng dịch vụ AI tạo sinh (generative AI) trong công việc. Đứng từ góc độ rò rỉ thông tin, quy tắc nào là phù hợp nhất để tổ chức đặt ra?

1. Vì nội dung đã nhập chắc chắn sẽ được phía nhà cung cấp xóa đi, nên cho phép nhập tự do kể cả thông tin bí mật
2. Cấm sử dụng AI tạo sinh trên thiết bị trong công ty một cách đồng loạt vì cho rằng nguy hiểm, còn việc sử dụng bằng thiết bị cá nhân hay tài khoản cá nhân thì phó mặc cho phán đoán của từng người
3. Để mỗi nhân viên tự do lựa chọn dịch vụ AI tạo sinh theo phán đoán cá nhân, và cũng cho phép nhập tự do không giới hạn cả dữ liệu dùng trong công việc
4. Giới hạn chỉ được dùng những dịch vụ mà tổ chức đã phê duyệt, và quy định rõ ràng trong quy tắc rằng không được nhập thông tin cá nhân của khách hàng hay thông tin kinh doanh chưa công bố

Đã cho AI tạo sinh soạn bản thảo tài liệu giải thích dùng cho bên ngoài công ty. Cách xử lý nào là phù hợp nhất đối với bản thảo này?

1. AI tạo sinh đôi khi đưa ra nội dung không đúng sự thật một cách có vẻ hợp lý, và sản phẩm tạo ra cũng có khả năng giống với tác phẩm có sẵn, nên cần có người xác nhận sự thật và quan hệ quyền tác giả trước khi công bố
2. Chỉ cần ghi kèm nguồn trích dẫn là có thể công bố ngay mà không cần xác nhận sự thật của nội dung
3. Đầu ra của AI tạo sinh được tạo dựa trên lượng lớn dữ liệu huấn luyện nên nội dung luôn chính xác, cũng không thể giống với tác phẩm có sẵn, nên có thể công bố ngay mà không cần xác nhận nội dung
4. Văn bản do AI tạo sinh tạo ra không bao giờ phát sinh vấn đề về quyền tác giả, nên không cần xác nhận quan hệ quyền lợi

Đối với một tài sản thông tin, ước tính thiệt hại mỗi lần xảy ra sự cố là 20.000.000 yên, xác suất xảy ra là 10%/năm. Tư duy nào là phù hợp nhất trên góc độ quyết định của ban lãnh đạo về chi phí cho biện pháp phòng ngừa sự cố này?

1. Thiệt hại dự kiến ước tính là 2.000.000 yên/năm, nên so sánh con số này với chi phí hằng năm của biện pháp phòng ngừa để phán đoán tính hợp lý của khoản đầu tư. Tuy nhiên, những gì liên quan đến tính mạng con người hay tuân thủ pháp luật thì không chỉ phán đoán bằng hiệu quả chi phí
2. Thiệt hại dự kiến ước tính là 2.000.000 yên/năm, nhưng bất kể số tiền là bao nhiêu, luôn nên chi cho biện pháp phòng ngừa bằng đúng toàn bộ số tiền thiệt hại mỗi lần là 20.000.000 yên, không cần xét đến hiệu quả chi phí
3. Chừng nào xác suất xảy ra chưa đạt 100%, thì coi như sự cố sẽ không xảy ra và phán đoán rằng không cần biện pháp phòng ngừa
4. Biện pháp bảo mật là chi phí không sinh ra doanh thu, nên không cần chi bất kỳ khoản nào cả

Để báo cáo bằng con số cho ban lãnh đạo về tình hình triển khai an toàn thông tin, đặt ra KGI, CSF, KPI. Tổ hợp nào là phù hợp nhất?

1. KPI là chỉ số bí mật chỉ ban lãnh đạo nắm được, không cho bộ phận phụ trách biết
2. Đặt KGI là "số vụ sự cố nghiêm trọng bằng 0", CSF là "nâng cao nhận thức bảo mật của toàn thể nhân viên", KPI là "tỷ lệ mở email diễn tập" hay "số ngày trung bình để khắc phục lỗ hổng"
3. KGI, CSF, KPI đều là chỉ số thành quả cuối cùng, viết cùng một nội dung 3 lần để thể hiện
4. Đặt KGI là "tỷ lệ mở email diễn tập tấn công có chủ đích từ 5% trở xuống", CSF là "thực hiện lặp lại diễn tập hằng năm", KPI là "đưa số vụ sự cố nghiêm trọng về 0"