ATTT ESG

Nguyên tắc thiết kế kiến trúc hệ thống/dịch vụ của MB là gì?

• Đảm bảo mô hình kiếm trúc 2 lớp
• - Có phương án triển khai DR - Triển khai môi trường DEV/TEST dịch vụ độc lập hoàn toàn với môi trường LIVE
• Không cần tuân thủ
• -Đảm bảo tối thiêu 3 lớp: Lớp hiện diện, Lớp Logic nghiệp vụ, Lớp truy xuất dữ liệu - Khuyến khích thiết kế có phương án triển khai môi trường Staging - Có phương án triển khai DR - Triển khai môi trường DEV/TEST dịch vụ độc lập hoàn toàn với môi trường MB. - Có Cơ chế HA; - Phân chia vùng Quản trị và Người dùng thông thường;

Các "Yêu cầu phát triển" bắt buộc phải thực hiện đánh giá an ninh trước khi golive là gì?

• Các hệ thống / dịch vụ / chức năng sẽ PUBLIC INTERNET
• - Các hệ thống / dịch vụ / chức năng sẽ hoặc INTERNAL nhưng những thay đổi sẽ tác động hoặc có hiệu lực cho các hệ thống / dịch vụ / chức năng vùng INTERNET
• '- Các hệ thống MỚI (chưa từng pentest) triển khai ở INTERNAL - Các hệ thống / dịch vụ / chức năng sẽ triển khai trên môi trường CLOUD
• Cả 3 đáp án trên

CBQL thống kê kiểm soát tiến độ và kết quả đánh giá ATTT sản phẩm của đơn vị mình như thế nào?

• Truy cập CSD (CYBER SECURITY DASHBOARD): https://csd.mbbank.com.vn/#/login
• Không có công cụ kiểm soát; thống kê
• Chỉ có 1 cách thức duy nhất là trao đổi trực tiếp với từng nhân viên
• Không kiểm soát

Đối với các giao dịch tài chính cần phải đảm bảo một số nguyên tắc lập trình an toàn nào sau đây:

• Thiết kế như luồng bình thường không cần lưu ý gì
• - Đảm bảo kiểm tra số dư đủ để thực hiện. - Đảm bảo trạng thái hợp lệ (trạng thái tài khỏan/thẻ). - Đảm bảo các điều kiện cần thực hiện (tính đến điều kiện của khách hàng đang có có khả năng thực hiện giao dịch hay không ví dụ như check CIC khi giải ngân khoản vay). - Đối với các dữ liệu quan trọng đặc biệt liên quan đến tài chính, dữ liệu thẻ của khách hàng, kiểm soát chặt thông tin nhạy cảm (Số thẻ, số CVV, ngày hết hạn, ...) cần có xác thực mạnh (VD: DOTP; Biomatric;....)
• Khuyến khích nhân viên chủ động lập tình theo hướng cá nhân hóa, không cần thuân thủ theo bất kỳ quy trình, nguyên tắc, hướng dẫn đã được ban hành
• Cả 3 đáp án trên

Có nên thêm thẻ visa thanh toán online vào các trang mua sắm trực tuyến không?

• Thêm thoải mái thẻ visa, vì thanh toán nhanh. Dễ dàng sử dụng
• Các trang thanh toán lớn, an toàn nhiều người sử dụng. Nên tin tưởng khi dùng
• Không thêm thẻ thanh toán và các trang trực tuyến. Nên thanh toán qua QR để thay thế
• Thêm thẻ vào xong xóa đi, sẽ không ảnh hưởng gì cả

Bạn đã nhận được một email bên dưới; Hãy cho chúng tôi biết đây có phải là mail phishing (tấn công giả mạo) hay không? Link đính kèm: http://websitembbankk.com

• Chưa xác định được
• SAI: Đây là một email hợp lệ, không phải email phishing
• ĐÚNG. Đây là email phishing

Có nên thiết kế kiến trúc hệ thống/dịch vụ tách biệt giữa người dùng quản trị và người dùng thường.

• Xây dựng được, vì đã phân quyền rõ ràng đảm bảo ATTT
• Nên phân chia vùng Quản trị và Người dùng thông thường;
• Không ảnh hưởng đảm bảo ATTT nên xây dựng bình thường
• Không cần thiết, xây dựng nhiều hệ thống dẫn tới tồn tài nguyên của MB

Điều kiện để CAB ATTT phê duyệt 1 change golive cơ bản của các yêu cầu phát triển là gì?

• Đảm bảo phạm vi đã được đánh giá ATTT tương đồng với phạm vi golive;
• Đảm bảo bổ sung đầy đủ các thông tin theo BM06 và quy định kiểm duyệt đã được ban hành;
• Biên bản đánh giá ATTT không quá hạn 6 tháng và không có sự thay đổi về Kiến trúc; logic nghiệp vụ; sourcecode,… sau khi đã hoàn thành pentest
• Cả 3 đáp án trên

Change coor lưu ý gì khi đính kèm tài liệu liên quan đến đánh giá ATTT?

• Không đính kèm biên bản đánh giá chi tiết (BM02) các lỗi hổng an ninh do trong biên bản có POC chi tiết step by step cách thức khai thác và chứa nhiều thông tin nhạy cảm của hệ thống.
• Với 01 change thực hiện pentest trên nhiều tính năng, Change coor lưu ý khi đính kèm BB Pentest (BM04) lên SDP, cần bổ sung vào trong mô tả (Descriptione) của change ghi rõ tên file kết quả tương ứng từng tính năng/chức năng Pentest
• Không cần lưu ý
• Đảm bảo phạm vi golive tương đồng với phạm vi đã được đánh giá ATTT

Các change thuộc yêu cầu phát triển nào sẽ cần phải sử dụng BM06 và có sự tham gia review của nhân sự phòng Đảm bảo ATTT

• YCPT Loại 1,2,3,4
• YCPT loại 2,3,4
• YCPT loại 1
• Tất cả các change