QLATTT

1.     CISO của một công ty phần mềm đang chuẩn bị báo cáo cho ban giám đốc trước cuộc họp hội đồng quản trị sắp tới. Phương pháp tốt nhất để anh ấy gửi báo cáo này cho các thành viên hội đồng quản trị là gì?

• A.               Gửi báo cáo một cách an toàn cho các thành viên hội đồng quản trị trước cuộc họp hội đồng quản trị, sau đó xem xét và thảo luận về báo cáo tại cuộc họp hội đồng quản trị

• A.               Báo cáo trực tiếp cho các thành viên hội đồng quản trị trong cuộc họp hội đồng quản trị

• A.               Gửi báo cáo qua email cho các thành viên hội đồng quản tr

• A.               Gửi báo cáo qua email cho các thành viên hội đồng quản trị

2.         Chứng chỉ nào được công nhận về kiến thức và kinh nghiệm kiểm định hệ thống thông tin và bảo vệ hệ thống thông tin?

• CISSP

• CISSP

• CISSP

• CISSP

3.         Tất cả những điều sau đây là lợi thế khi thuê ngoài chức năng kiểm toán an toàn thông tin, ngoại trừ điều nào?

• Tránh tuyển dụng và giữ chân nhân tài

• Tiết kiệm chi phí của nhà thầu so với nhân viên toàn thời gian

• Tiết kiệm chi phí đào tạo và phát triển chuyên môn

• Tiết kiệm chi phí đào tạo và phát triển chuyên môn

4.         Một tổ chức trải qua thử nghiệm lừa đảo hàng quý để xem mức độ thành thạo của lực lượng lao động trong việc phát hiện thư lừa đảo. Cách tiếp cận tốt nhất để thực hiện đối với những cá nhân không phát hiện được thư lừa đảo thử nghiệm và nhấp vào nội dung của chúng là gì?

• Yêu cầu họ trải qua đào tạo tăng cường

• Đăng tên của họ lên “bức tường xấu hổ” như một cách để đảm bảo rằng nhân viên sẽ làm việc chăm chỉ hơn để phát hiện chính xác các thư lừa đảo

• Yêu cầu họ viết một bài luận ngắn về nguy cơ của tin nhắn lừa đảo

• Xóa quyền truy cập của họ trong một thời gian ngắn

5.         Phát biểu nào sau đây về tuân thủ PCI-DSS là đúng?

• Người bán xử lý ít hơn 15.000 giao dịch thẻ tín dụng không bắt buộc phải gửi chứng nhận tuân thủ (AOC)

• Các nhà cung cấp dịch vụ không bắt buộc phải nộp chứng nhận tuân thủ (AOC) hằng năm.

• Chỉ những tổ chức lưu trữ, chuyển nhượng hoặc xử lý hơn 6 triệu số thẻ tín dụng mới phải thực hiện kiểm tra PCI hằng năm.

• Tất cả các tổ chức lưu trữ, chuyển nhượng hoặc xử lý dữ liệu thẻ tín dụng đều phải gửi chứng nhận tuân thủ (AOC) hằng năm.

6.         Một trong những mục tiêu trong chiến lược dài hạn cho chương trình bảo mật thông tin của tổ chức, nêu rõ ràng nỗ lực phối hợp nhằm cải thiện việc phát triển phần mềm sẽ được cải thiện. Cách tiếp cận nào sau đây sẽ kém hiệu quả nhất trong việc đạt được mục tiêu này?

• Triển khai tường lửa ứng dụng web (WAF) và hệ thống ngăn chặn xâm nhập (IPS) để bảo vệ ứng dụng khỏi bị tấn công

• Ban hành chính sách quy định rằng các gói phát hành phần mềm mới không thể được phát hành cho đến khi các lỗ hổng nghiêm trọng và cấp cao được khắc phục

• Ban hành các ưu đãi bồi thường tài chính cho các nhà phát triển dựa trên việc giảm các lỗi bảo mật

• Cung cấp đào tạo phát triển an toàn bắt buộc cho tất cả các nhà phát triển phần mềm

7.         X là CISO mới trong một tổ chức chăm sóc sức khỏe. Trong quá trình phát triển chiến lược, X nhận thấy các quản trị viên hệ thống CNTT áp dụng các bản vá bảo mật khi nhóm bảo mật gửi cho họ báo cáo quét lỗ hổng hằng quý. Thay đổi hiệu quả nhất có thể được thực hiện trong quá trình quản lý lỗ hổng để làm cho nó trở nên chủ động hơn thay vì chỉ phản ứng là gì?

• Chạy báo cáo quét lỗ hổng hằng tháng thay vì hằng quý.

• Không cần thay đổi vì quá trình này đã hoạt động bình thường

• Yêu cầu quản trị viên hệ thống CNTT chạy quét lỗ hổng bảo mật trên hệ thống của chính họ

• Sửa đổi quy trình vá lỗi để đảm bảo các bản vá được áp dụng theo lịch trình quy trình xác định dựa trên rủi ro của lỗ hổng. Tận dụng quy trình quét hàng quý dưới dạng đảm bảo chất lượng.

8.         Kết quả có thể xảy ra của một rủi ro đã được xác định và phân tích trong quy trình quản lý rủi ro là gì?

• Chấp nhận, tránh né, giảm thiểu, chuyển giao

• Chấp nhận, tránh né, giảm nhẹ, chuyển nhượng, dư thừa

• Chấp nhận, loại bỏ, giảm thiểu, chuyển giao

• Chấp nhận, tránh né, loại bỏ, giảm thiểu, chuyển giao

9.         Tất cả các hoạt động sau đây là đầu vào điển hình cho quy trình quản lý rủi ro, ngoại trừ hoạt động nào?

• Đánh giá mối đe dọa

• Kiểm toán nội bộ

• Đánh giá mã

• Đánh giá rủi ro

10.       Một tổ chức gần đây đã gặp sự cố bảo mật trong đó một nhân viên đã làm rò rỉ thông tin quan trọng thông qua nhà cung cấp dịch vụ lưu trữ dựa trên đám mây không được phê duyệt. Nhân viên nói rằng cô ấy “không biết” rằng việc lưu trữ dữ liệu của công ty trong các dịch vụ dựa trên đám mây chưa được phê duyệt là vi phạm chính sách. Kiểm soát hành chính tốt nhất để ngăn chặn loại sự kiện này trong tương lai là gì?

• Triển khai GPO để chặn việc sử dụng thiết bị lưu trữ dung lượng lớn USB

• Triển khai hệ thống giám sát và bảo vệ các tài nguyên được lưu trên các dịch vụ đám mây (CASB)

• Triển khai hệ thống ngăn chặn dữ liệu rò rỉ (DLP) dựa trên điểm cuối

• Yêu cầu nhân viên xác nhận việc tuân thủ chính sách bảo mật hàng năm bằng văn bản