Đ_C3

Thuật ngữ “nguy cơ nội bộ” bao gồm tất cả những điều sau đây, ngoại trừ điều nào?

• Người dùng cuối đang làm đúng nhưng mắc lỗi

• Nhân viên có ác cảm với chủ của họ

• Người dùng cuối thiếu hiểu biết và đưa ra quyết định thiếu khôn ngoan

• Khách hàng cố gắng đột nhập vào hệ thống khi đang làm việc tại chỗ

Người dùng cuối trong một tổ chức đã mở tệp đính kèm trong e-mail, dẫn đến phần mềm tống tiền chạy trên máy trạm của người dùng cuối. Đây là một ví dụ về những gì?

• Sự cố

• Mối đe dọa

• Lỗ hổng bảo mật

• Mối đe dọa từ bên trong

Phương pháp nào tốt nhất để ưu tiên rủi ro và xử lý rủi ro?

• Sự kết hợp giữa xác suất sự kiện đe dọa, giá trị tài sản và phán đoán chuyên môn

• Phán đoán chuyên môn

• Xác suất sự kiện đe dọa nhân với giá trị tài sản, từ cao nhất đến thấp nhất

• Xác suất sự kiện đe dọa, tiếp theo là giá trị tài sản

Tổ chức có một quy trình theo đó các mối nguy hiểm liên quan đến an ninh được xác định, tiếp theo là phân tích và đưa ra quyết định về những việc cần làm đối với các mối nguy hiểm này. Đây là loại quy trình kinh doanh gì?

• Đánh giá rủi ro

• Xử lý rủi ro

• Quản lý lỗ hổng

• Quản lý rủi ro

Một tổ chức được yêu cầu, thông qua một thỏa thuận pháp lý, để thực hiện đánh giá hoạt động tài khoản. Điều nào sau đây xác định đúng nhất việc xem xét hoạt động tài khoản?

• Đánh giá để xem tần suất người dùng đăng nhập vào tài khoản của họ

• Đánh giá để xem liệu người dùng có đăng nhập vào tài khoản của họ trong một khoảng thời gian cụ thể hay không

• Đánh giá để xem có bao nhiêu thay đổi đối với tài khoản của người dùng được thực hiện trong một khoảng thời gian

• Đánh giá để xem mức độ bận rộn của người dùng khi họ đăng nhập vào tài khoản của họ

Đánh giá để xem mức độ bận rộn của người dùng khi họ đăng nhập vào tài khoản của họ

• Đây là chuyển giao rủi ro, vì tổ chức đã ngầm chuyển giao rủi ro này cho bảo hiểm.

• Đây không phải là xử lý rủi ro, mà là tránh hoàn toàn việc quản lý rủi ro

• Đây là sự chấp nhận rủi ro, vì tổ chức đang chấp nhận rủi ro như vốn có

• Đây là tránh rủi ro, trong đó tổ chức chọn tránh rủi ro hoàn toàn.

Một CISO của một công ty sản xuất, đã xác định được một rủi ro mới liên quan đến an ninh mạng đối với doanh nghiệp và đang thảo luận riêng với giám đốc rủi ro (CRO). CRO đã yêu cầu anh ấy không đưa rủi ro này vào sổ đăng ký rủi ro. Điều này thể hiện hình thức xử lý rủi ro nào?

• Đây là chuyển giao rủi ro, vì tổ chức đã ngầm chuyển giao rủi ro này cho bảo hiểm.

• Đây không phải là xử lý rủi ro, mà là tránh hoàn toàn việc quản lý rủi ro

• Đây là sự chấp nhận rủi ro, vì tổ chức đang chấp nhận rủi ro như vốn có

• Đây là tránh rủi ro, trong đó tổ chức chọn tránh rủi ro hoàn toàn.

Cách tiếp cận tốt nhất trong hầu hết các tổ chức để đảm bảo rằng nhân viên an ninh mạng luôn cập nhật kiến thức và kỹ năng của họ là gì?

• Cung cấp ít nhất một tuần đào tạo chính thức mỗi năm

• Cung cấp ít nhất một tháng đào tạo chính thức mỗi năm

• Xây dựng một thư viện sách về các chủ đề bảo mật khác nhau mà nhân viên an ninh có thể xem và đọc

• Nhân viên bảo vệ có thể tự học và không cần hỗ trợ từ tổ chức

Ưu điểm chính của điều khiển tự động so với điều khiển thủ công bao gồm tất cả những điều sau ngoại trừ điều nào?

• Kiểm soát tự động thường đáng tin cậy hơn kiểm soát thủ công.

• Kiểm soát tự động ít tốn kém hơn kiểm soát thủ công.

• Kiểm soát tự động thường nhất quán hơn kiểm soát thủ công

• Kiểm soát tự động thường hoạt động tốt hơn trong kiểm toán so với kiểm soát thủ công

Phát biểu nào sau đây về tuân thủ PCI-DSS là đúng?

• Chỉ những tổ chức lưu trữ, chuyển nhượng hoặc xử lý hơn 6 triệu số thẻ tín dụng mới phải thực hiện kiểm tra PCI hàng năm

• Các nhà cung cấp dịch vụ không bắt buộc phải nộp chứng nhận tuân thủ (AOC) hàng năm.

• Người bán xử lý ít hơn 15.000 giao dịch thẻ tín dụng không bắt buộc phải gửi chứng nhận tuân thủ (AOC)

• Tất cả các tổ chức lưu trữ, chuyển nhượng hoặc xử lý dữ liệu thẻ tín dụng đều phải gửi chứng nhận tuân thủ (AOC) hàng năm