NEW
Font size
WorksheetsC5 ATTT
Total questions: 80
Worksheet time: 40mins
Quản lý an toàn thông tin (ATTT) là gì?
Chỉ là việc cài đặt phần mềm diệt virus.
Chỉ là việc thiết lập tường lửa.
Là quá trình xác định, đánh giá và kiểm soát các rủi ro đối với tài sản thông tin của tổ chức.
Chỉ là việc sao lưu dữ liệu định kỳ.
Mục tiêu chính của quản lý ATTT là gì?
Tăng tốc độ xử lý của hệ thống.
Đảm bảo tính bí mật, toàn vẹn và sẵn sàng (CIA) của thông tin và hệ thống.
Giảm chi phí đầu tư cho công nghệ thông tin.
Theo dõi hoạt động của nhân viên.
Ba yếu tố cốt lõi của an toàn thông tin (CIA Triad) là gì?
Chi phí, Hiệu quả, An ninh.
Phần cứng, Phần mềm, Mạng.
Tính bí mật (Confidentiality), Tính toàn vẹn (Integrity), Tính sẵn sàng (Availability).
Xác thực, Trao quyền, Quản trị.
Đánh giá rủi ro ATTT là quá trình gì?
Cài đặt các bản vá lỗi bảo mật.
Xác định các mối đe dọa, lỗ hổng và tác động tiềm ẩn đối với tài sản thông tin.
Mua bảo hiểm cho hệ thống thông tin.
Đào tạo nhận thức về an toàn thông tin cho nhân viên.
Tài sản thông tin (Information Asset) bao gồm những gì?
Chỉ bao gồm phần cứng máy tính.
Chỉ bao gồm phần mềm ứng dụng.
Chỉ bao gồm dữ liệu khách hàng.
Bao gồm dữ liệu, phần cứng, phần mềm, dịch vụ, tài liệu, con người và uy tín của tổ chức.
Mối đe dọa (Threat) trong ATTT là gì?
Một điểm yếu trong hệ thống.
Bất kỳ tác nhân hoặc sự kiện nào có khả năng gây hại cho tài sản thông tin.
Một biện pháp kiểm soát an ninh.
Giá trị của tài sản thông tin.
Lỗ hổng (Vulnerability) trong ATTT là gì?
Một điểm yếu trong thiết kế, triển khai, vận hành hoặc quản lý hệ thống có thể bị khai thác bởi mối đe dọa.
Một cuộc tấn công thành công.
Một chính sách an toàn thông tin.
Một phần mềm độc hại.
Phương pháp đánh giá rủi ro "đường cơ sở" (Baseline Approach) dựa trên việc gì?
Phân tích chi tiết từng mối đe dọa và lỗ hổng.
Áp dụng các biện pháp kiểm soát an ninh được công nhận rộng rãi hoặc theo các tiêu chuẩn ngành.
Phỏng vấn các chuyên gia bảo mật.
Tính toán xác suất xảy ra tấn công.
Tại sao việc xác định giá trị tài sản thông tin lại quan trọng trong đánh giá rủi ro?
Để biết cần mua bao nhiêu phần cứng.
Để ưu tiên các nỗ lực bảo vệ và xác định mức độ tác động nếu tài sản bị tổn hại.
Để tính toán chi phí cài đặt phần mềm.
Để xác định số lượng nhân viên IT cần thiết.
Rủi ro (Risk) trong ATTT được định nghĩa như thế nào?
Chỉ là khả năng xảy ra một mối đe dọa.
Chỉ là sự tồn tại của một lỗ hổng.
Là khả năng một mối đe dọa khai thác một lỗ hổng gây tổn hại cho tài sản, thường được xem xét cùng với tác động tiềm ẩn.
Là chi phí để khắc phục sự cố.
Phương pháp đánh giá rủi ro "không chính thức" (Informal Approach) thường dựa vào yếu tố nào?
Các công thức toán học phức tạp.
Các tiêu chuẩn quốc tế nghiêm ngặt.
Kinh nghiệm và trực giác của các chuyên gia hoặc nhóm đánh giá, thường thông qua thảo luận và phỏng vấn.
Quét lỗ hổng tự động.
Phương pháp "phân tích chi tiết rủi ro" (Detailed Risk Analysis) khác với phương pháp đường cơ sở như thế nào?
Phân tích chi tiết chỉ áp dụng cho các hệ thống nhỏ.
Phân tích chi tiết đi sâu vào việc xác định tài sản cụ thể, mối đe dọa, lỗ hổng, xác suất xảy ra và tác động, thay vì chỉ áp dụng các kiểm soát chung.
Phân tích chi tiết không cần xác định tài sản.
Phân tích chi tiết ít tốn kém và nhanh hơn.
"Kiểm soát ATTT" (Security Control) là gì?
Một lỗ hổng bảo mật.
Một mối đe dọa tiềm ẩn.
Các biện pháp, chính sách, quy trình hoặc cơ chế được sử dụng để giảm thiểu hoặc quản lý rủi ro.
Một cuộc tấn công mạng.
Tại sao cần phải thực hiện đánh giá rủi ro định kỳ?
Vì luật pháp yêu cầu mỗi ngày.
Để kiểm tra xem nhân viên có tuân thủ quy định không.
Vì môi trường mối đe dọa, lỗ hổng, giá trị tài sản và hoạt động kinh doanh liên tục thay đổi.
Để có lý do mua thiết bị mới.
Phương pháp đánh giá rủi ro "kết hợp" (Combined Approach) là gì?
Chỉ sử dụng phương pháp đường cơ sở.
Chỉ sử dụng phương pháp phân tích chi tiết.
Kết hợp các yếu tố của phương pháp đường cơ sở, không chính thức và phân tích chi tiết để tận dụng ưu điểm của từng phương pháp.
Sử dụng một phương pháp hoàn toàn mới không liên quan.
Việc "chấp nhận rủi ro" (Risk Acceptance) có nghĩa là gì trong quản lý rủi ro ATTT?
Loại bỏ hoàn toàn rủi ro.
Chuyển giao rủi ro cho bên thứ ba.
Tổ chức quyết định không thực hiện hành động nào để giảm thiểu rủi ro (thường áp dụng cho rủi ro có tác động thấp hoặc chi phí xử lý quá cao).
Giảm thiểu khả năng xảy ra rủi ro.
Sự khác biệt cơ bản giữa đánh giá rủi ro định tính (Qualitative) và định lượng (Quantitative) là gì?
Định tính sử dụng số liệu chính xác, định lượng sử dụng mô tả.
Định tính sử dụng các thang đo mô tả (cao, trung bình, thấp) cho xác suất và tác động, trong khi định lượng cố gắng gán giá trị tiền tệ hoặc số liệu cụ thể cho rủi ro và tác động.
Định tính chỉ áp dụng cho tài sản vật lý, định lượng cho tài sản phi vật lý.
Định lượng luôn dễ thực hiện hơn định tính.
Trong phân tích chi tiết rủi ro, công thức cơ bản để ước tính rủi ro thường liên quan đến các yếu tố nào?
Chỉ có giá trị tài sản.
Chỉ có xác suất mối đe dọa.
Giá trị tài sản (AV), Mức độ phơi bày (EF - Exposure Factor), và Tỷ lệ xảy ra hàng năm (ARO - Annualized Rate of Occurrence) hoặc Xác suất mối đe dọa.
Giá trị tài sản (AV), Mức độ phơi bày (EF - Exposure Factor), và Tỷ lệ xảy ra hàng năm (ARO - Annualized Rate of Occurrence) hoặc Xác suất mối đe dọa.
Tại sao việc lựa chọn phương pháp đánh giá rủi ro (đường cơ sở, không chính thức, chi tiết, kết hợp) lại phụ thuộc vào bối cảnh của tổ chức?
Vì mỗi phương pháp chỉ dùng được cho một ngành công nghiệp nhất định.
Vì các yếu tố như quy mô tổ chức, nguồn lực sẵn có, yêu cầu pháp lý, văn hóa doanh nghiệp và mức độ trưởng thành về ATTT sẽ ảnh hưởng đến tính khả thi và hiệu quả của từng phương pháp.
Vì các chuyên gia bảo mật chỉ biết một phương pháp duy nhất.
Vì phần mềm đánh giá rủi ro chỉ hỗ trợ một phương pháp.
"Rủi ro tồn dư" (Residual Risk) là gì?
Rủi ro trước khi áp dụng bất kỳ biện pháp kiểm soát nào.
Rủi ro đã được chuyển giao cho bên thứ ba.
Mức độ rủi ro còn lại sau khi đã áp dụng các biện pháp kiểm soát ATTT.
Rủi ro không thể xác định được.
Bộ tiêu chuẩn ISO/IEC 27000 series liên quan đến lĩnh vực nào?
Quản lý chất lượng.
Quản lý an toàn thông tin.
Quản lý môi trường.
Quản lý dự án.
ISO/IEC 27001 là tiêu chuẩn về cái gì?
Hướng dẫn đánh giá rủi ro ATTT.
Các yêu cầu đối với Hệ thống quản lý an toàn thông tin (ISMS).
Các biện pháp kiểm soát ATTT chi tiết.
Quản lý sự cố ATTT.
ISMS là viết tắt của thuật ngữ nào?
Information Security Management Standard
Internet Security Management System
Information Security Management System
Internal Security Management Standard
Chu trình PDCA là viết tắt của các từ nào?
Prepare, Develop, Control, Assess
Plan, Do, Check, Act
Protect, Detect, Correct, Amend
Policy, Design, Configure, Audit
Giai đoạn "Plan" (Lập kế hoạch) trong chu trình PDCA của ISMS bao gồm việc gì?
Thực hiện các biện pháp kiểm soát.
Giám sát và đo lường hiệu quả.
Thiết lập chính sách, mục tiêu, quy trình và thủ tục ISMS liên quan đến quản lý rủi ro.
Thực hiện các hành động khắc phục.
Giai đoạn "Do" (Thực hiện) trong chu trình PDCA của ISMS bao gồm việc gì?
Đánh giá lại chính sách ATTT.
Xem xét kết quả giám sát.
Thực thi và vận hành chính sách, các biện pháp kiểm soát, quy trình và thủ tục ISMS đã lập kế hoạch.
Cập nhật kế hoạch quản lý rủi ro.
Giai đoạn "Check" (Kiểm tra) trong chu trình PDCA của ISMS bao gồm việc gì?
Đào tạo nhận thức cho nhân viên.
Triển khai các biện pháp kiểm soát mới.
Giám sát, xem xét, đo lường hiệu quả của quy trình so với chính sách, mục tiêu và báo cáo kết quả cho quản lý.
Xác định các tài sản thông tin.
Giai đoạn "Act" (Hành động) trong chu trình PDCA của ISMS bao gồm việc gì?
Lập kế hoạch ban đầu cho ISMS.
Thực hiện các quy trình đã định.
Chỉ báo cáo kết quả kiểm tra.
Thực hiện các hành động khắc phục và phòng ngừa dựa trên kết quả kiểm tra và xem xét của quản lý để cải tiến liên tục ISMS.
Tại sao chu trình PDCA lại quan trọng đối với ISMS theo ISO 27001?
Vì nó là yêu cầu bắt buộc của pháp luật.
Vì nó cung cấp một khuôn khổ cho việc thiết lập, triển khai, vận hành, giám sát, xem xét, duy trì và cải tiến liên tục ISMS.
Vì nó giúp giảm chi phí phần cứng.
Vì nó chỉ tập trung vào việc vá lỗi phần mềm.
ISO/IEC 27002 cung cấp cái gì?
Các yêu cầu để được chứng nhận ISMS.
Quy trình đánh giá rủi ro chi tiết.
Hướng dẫn thực hiện và các biện pháp kiểm soát ATTT tốt nhất (best practices) để hỗ trợ cho ISO 27001.
Các quy định về mã hóa dữ liệu.
"Tuyên bố về tính áp dụng" (Statement of Applicability - SoA) trong ISO 27001 là gì?
Một bản danh sách tất cả nhân viên được phép truy cập hệ thống.
Một tài liệu mô tả chi tiết về phần cứng và phần mềm.
Một tài liệu liệt kê các biện pháp kiểm soát được chọn từ Phụ lục A của ISO 27001 (hoặc nguồn khác), lý do lựa chọn và tình trạng triển khai của chúng.
Một báo cáo về các sự cố an ninh đã xảy ra.
Lợi ích của việc áp dụng ISMS theo ISO 27001 là gì?
Chỉ để có chứng chỉ treo tường.
Làm tăng số lượng sự cố an ninh.
Giúp tổ chức quản lý rủi ro ATTT một cách có hệ thống, tăng cường lòng tin của khách hàng/đối tác, tuân thủ pháp luật và cải tiến liên tục.
Giảm hiệu suất làm việc của nhân viên.
Phụ lục A của ISO 27001 chứa nội dung gì?
Các định nghĩa thuật ngữ.
Yêu cầu chi tiết về chính sách ATTT.
Một danh mục tham khảo các mục tiêu kiểm soát và biện pháp kiểm soát ATTT.
Hướng dẫn về quản lý sự cố.
Việc "cải tiến liên tục" (Continual Improvement) trong ISMS có nghĩa là gì?
Thay đổi toàn bộ hệ thống mỗi năm.
Quá trình định kỳ xem xét, đánh giá và thực hiện các thay đổi để nâng cao hiệu quả và sự phù hợp của ISMS.
Chỉ sửa lỗi khi có sự cố xảy ra.
Mua công nghệ mới nhất.
Ai chịu trách nhiệm cao nhất đối với ISMS trong một tổ chức?
Chỉ bộ phận IT.
Chỉ nhân viên bảo vệ.
Ban lãnh đạo cao nhất của tổ chức.
Khách hàng của tổ chức.
Mối quan hệ giữa ISO 27001 và ISO 27002 là gì?
ISO 27002 là phiên bản cũ của ISO 27001.
Chúng không liên quan đến nhau.
ISO 27001 đặt ra các yêu cầu cho ISMS, còn ISO 27002 cung cấp hướng dẫn và các biện pháp kiểm soát chi tiết để thực hiện các yêu cầu đó.
ISO 27001 dành cho doanh nghiệp lớn, ISO 27002 cho doanh nghiệp nhỏ.
Tại sao việc xác định "bối cảnh của tổ chức" (Context of the Organization) lại là một yêu cầu quan trọng trong ISO 27001:2013/2022?
Để liệt kê danh sách đối thủ cạnh tranh.
Để hiểu các yếu tố bên trong và bên ngoài, các bên quan tâm và yêu cầu của họ có thể ảnh hưởng đến khả năng ISMS đạt được kết quả dự kiến.
Để xác định màu sắc logo của công ty.
Để chọn nhà cung cấp phần cứng.
Sự khác biệt chính giữa "hành động khắc phục" (Corrective Action) và "hành động phòng ngừa" (Preventive Action) trong ISMS là gì?
Khắc phục là sửa lỗi, phòng ngừa là sao lưu dữ liệu.
Khắc phục áp dụng cho sự cố lớn, phòng ngừa cho sự cố nhỏ.
Hành động khắc phục nhằm loại bỏ nguyên nhân của sự không phù hợp đã xảy ra để ngăn tái diễn, trong khi hành động phòng ngừa (ít được nhấn mạnh trong phiên bản mới, tích hợp vào quản lý rủi ro) nhằm loại bỏ nguyên nhân của sự không phù hợp tiềm ẩn để ngăn chặn nó xảy ra.
Hành động phòng ngừa luôn tốn kém hơn hành động khắc phục.
Vai trò của "đánh giá nội bộ" (Internal Audit) trong ISMS theo ISO 27001 là gì?
Để kiểm tra xem nhân viên có đi làm đúng giờ không.
Để xác minh một cách độc lập xem các hoạt động và kết quả liên quan đến ISMS có tuân thủ các sắp xếp đã hoạch định (chính sách, quy trình, tiêu chuẩn) và có được thực hiện hiệu quả hay không.
Để đánh giá hiệu quả marketing.
Để cấp chứng chỉ ISO 27001.
Tại sao việc "xem xét của lãnh đạo" (Management Review) lại cần thiết cho sự thành công của ISMS?
Để lãnh đạo ký duyệt các hóa đơn.
Để kiểm tra email của nhân viên.
Để đảm bảo ISMS tiếp tục phù hợp, đầy đủ và hiệu quả; đưa ra các quyết định về cơ hội cải tiến và nhu cầu thay đổi ISMS, bao gồm chính sách và mục tiêu.
Để tổ chức tiệc ăn mừng.
Pháp luật về an toàn thông tin (ATTT) nhằm mục đích gì?
Chỉ để phạt các công ty công nghệ.
Quy định các hành vi được phép và không được phép liên quan đến thông tin và hệ thống thông tin, bảo vệ quyền lợi của cá nhân và tổ chức.
Khuyến khích việc chia sẻ thông tin cá nhân.
Giảm bớt các quy định về bảo mật.
Chính sách ATTT của một tổ chức là gì?
Một văn bản mô tả cấu trúc mạng.
Danh sách các phần mềm được phép cài đặt.
Các quy định, nguyên tắc và hướng dẫn cấp cao do ban lãnh đạo ban hành để định hướng việc bảo vệ tài sản thông tin.
Kế hoạch sao lưu dữ liệu hàng ngày.
Tại sao các tổ chức cần có chính sách ATTT?
Để làm phức tạp thêm công việc của nhân viên.
Để thiết lập các kỳ vọng rõ ràng về hành vi, trách nhiệm và cung cấp cơ sở cho việc thực thi các biện pháp kiểm soát ATTT.
Để tăng chi phí hoạt động.
Để lưu trữ mật khẩu của người dùng.
Luật An toàn thông tin mạng của Việt Nam được Quốc hội thông qua vào năm nào?
2005
2009
2015
2019
Hành vi nào sau đây thường bị cấm bởi pháp luật về ATTT?
Sử dụng mạng xã hội.
Gửi email cho đồng nghiệp.
Truy cập trái phép vào hệ thống máy tính của người khác.
Đọc tin tức trực tuyến.
Quyền riêng tư (Privacy) liên quan đến ATTT như thế nào?
Không liên quan gì đến ATTT.
ATTT là một phần quan trọng để bảo vệ quyền riêng tư, đảm bảo thông tin cá nhân không bị truy cập, sử dụng hoặc tiết lộ trái phép.
Quyền riêng tư chỉ áp dụng cho thông tin trên giấy.
ATTT làm giảm quyền riêng tư.
Luật pháp quốc tế về ATTT thường giải quyết các vấn đề nào?
Chỉ quy định về tốc độ Internet.
Chỉ quy định về tên miền.
Tội phạm mạng xuyên biên giới, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ và hợp tác quốc tế trong điều tra.
Chỉ quy định về kích thước màn hình máy tính.
"Sở hữu trí tuệ" (Intellectual Property) trong bối cảnh ATTT bao gồm những gì?
Chỉ bao gồm phần cứng máy tính.
Các sản phẩm do trí tuệ con người tạo ra như phần mềm, mã nguồn, tác phẩm văn học nghệ thuật, bí mật kinh doanh được lưu trữ hoặc xử lý bằng hệ thống thông tin.
Chỉ bao gồm tên miền website.
Chỉ bao gồm mật khẩu người dùng.
Sự khác biệt giữa Luật (Law) và Chính sách (Policy) là gì?
Chính sách có tính bắt buộc cao hơn Luật.
Luật do cơ quan lập pháp ban hành, áp dụng rộng rãi và có chế tài pháp lý; Chính sách do tổ chức ban hành, áp dụng trong phạm vi tổ chức và có chế tài nội bộ.
Luật chỉ áp dụng cho cá nhân, Chính sách chỉ cho tổ chức.
Không có sự khác biệt nào.
Luật An ninh mạng của Việt Nam (2018) tập trung vào những khía cạnh nào khác biệt so với Luật ATTT mạng (2015)?
Chỉ tập trung vào mã hóa.
Nhấn mạnh hơn vào bảo vệ an ninh quốc gia trên không gian mạng, phòng chống khủng bố mạng, xử lý thông tin xấu độc và yêu cầu lưu trữ dữ liệu tại Việt Nam đối với một số nhà cung cấp dịch vụ.
Chỉ quy định về chữ ký số.
Bãi bỏ hoàn toàn Luật ATTT mạng 2015.
Tại sao việc tuân thủ pháp luật và quy định (Compliance) lại quan trọng đối với các tổ chức?
Chỉ để tránh bị phạt tiền.
Để tránh các chế tài pháp lý (phạt tiền, truy tố hình sự), bảo vệ uy tín, duy trì lòng tin của khách hàng và đảm bảo hoạt động kinh doanh bền vững.
Để được giảm thuế.
Để được quảng cáo miễn phí.
Một số luật của Mỹ có ảnh hưởng quốc tế đến ATTT bao gồm những luật nào?
Chỉ có luật về giao thông đường bộ.
Chỉ có luật về bầu cử tổng thống.
Ví dụ như DMCA (Digital Millennium Copyright Act) liên quan đến bản quyền số, HIPAA (Health Insurance Portability and Accountability Act) liên quan đến thông tin y tế.
Chỉ có luật về sở hữu súng.
Điều gì xảy ra nếu một tổ chức không tuân thủ các quy định về bảo vệ dữ liệu cá nhân (ví dụ: GDPR của EU)?
Không có gì xảy ra.
Chỉ bị cảnh cáo bằng lời nói.
Có thể đối mặt với các khoản phạt tài chính rất lớn, kiện tụng và tổn hại nghiêm trọng về uy tín.
Được chính phủ khen thưởng.
Vai trò của "Chính sách sử dụng chấp nhận được" (Acceptable Use Policy - AUP) là gì?
Quy định về trang phục công sở.
Xác định các hành vi được và không được phép khi sử dụng tài nguyên công nghệ thông tin của tổ chức (mạng, máy tính, email, internet).
Hướng dẫn cách cài đặt phần mềm.
Mô tả quy trình báo cáo sự cố.
Tại sao cần có sự hợp tác quốc tế trong việc chống tội phạm mạng?
Vì tội phạm mạng chỉ xảy ra ở một quốc gia.
Vì tội phạm mạng thường có tính chất xuyên biên giới, đòi hỏi sự phối hợp giữa các quốc gia trong việc chia sẻ thông tin, điều tra và truy bắt tội phạm.
Để các quốc gia cạnh tranh với nhau.
Vì luật pháp các nước giống hệt nhau.
Luật Giao dịch điện tử của Việt Nam quy định về vấn đề gì liên quan đến ATTT?
Chỉ quy định về tốc độ mạng.
Công nhận giá trị pháp lý của thông điệp dữ liệu, chữ ký điện tử, hợp đồng điện tử và các yêu cầu đảm bảo an toàn trong giao dịch điện tử.
Chỉ quy định về quảng cáo trực tuyến.
Quy định về việc sử dụng mạng xã hội.
ính trong việc thực thi pháp luật đối với tội phạm mạng xuyên biên giới là gì?
Thiếu máy tính để điều tra.
Sự khác biệt về hệ thống pháp luật giữa các quốc gia, khó khăn trong việc thu thập bằng chứng điện tử ở nước ngoài và vấn đề về quyền tài phán.
Tội phạm mạng không sử dụng internet.
Ngôn ngữ lập trình quá phức tạp.
Tại sao việc cân bằng giữa an ninh quốc gia và quyền riêng tư của công dân lại là một vấn đề phức tạp trong pháp luật về ATTT/An ninh mạng?
Vì hai khái niệm này hoàn toàn giống nhau.
Vì các biện pháp tăng cường an ninh (như giám sát) có thể xâm phạm quyền riêng tư, đòi hỏi phải có cơ chế pháp lý rõ ràng, minh bạch và kiểm soát chặt chẽ để tránh lạm dụng.
Vì quyền riêng tư không quan trọng bằng an ninh quốc gia.
Vì công nghệ không đủ khả năng để thực hiện cả hai.
"Safe Harbor" hoặc "Privacy Shield" (nay đã bị vô hiệu hóa) là các cơ chế nhằm giải quyết vấn đề gì giữa EU và Mỹ?
Vấn đề về thuế quan thương mại.
Đảm bảo các công ty Mỹ tuân thủ các tiêu chuẩn bảo vệ dữ liệu cá nhân tương đương với EU khi truyền dữ liệu từ EU sang Mỹ.
Vấn đề về bản quyền phần mềm.
Vấn đề về tiêu chuẩn khí thải.
Luật pháp thường phải đối mặt với thách thức nào khi cố gắng bắt kịp với sự phát triển nhanh chóng của công nghệ và các hình thức tấn công mạng mới?
Luật pháp luôn đi trước công nghệ.
Công nghệ không thay đổi nên luật pháp không cần cập nhật.
Tốc độ phát triển công nghệ và các kỹ thuật tấn công mới thường nhanh hơn quá trình xây dựng và sửa đổi luật, khiến luật có thể trở nên lạc hậu hoặc không bao quát hết các tình huống mới.
Các nhà lập pháp không sử dụng máy tính.
Thông tin đề cập đến điều gì?
Chỉ các quy định pháp luật.
Các nguyên tắc và chuẩn mực hành vi đúng đắn liên quan đến việc sử dụng và bảo vệ thông tin, hệ thống thông tin.
Chỉ các tiêu chuẩn kỹ thuật.
Chỉ hiệu suất của hệ thống.
Tại sao vấn đề đạo đức lại quan trọng trong lĩnh vực ATTT?
Vì nó giúp tăng lợi nhuận.
Vì nó làm cho hệ thống chạy nhanh hơn.
Vì các quyết định và hành động liên quan đến ATTT có thể ảnh hưởng lớn đến cá nhân, tổ chức và xã hội.
Vì nó là yêu cầu để được cấp chứng chỉ.
Hành vi nào sau đây được coi là phi đạo đức trong ATTT?
Sử dụng mật khẩu mạnh.
Cập nhật phần mềm thường xuyên.
Theo dõi email cá nhân của đồng nghiệp mà không được phép.
Báo cáo một lỗ hổng bảo mật cho quản trị viên.
Một trong những nguyên tắc đạo đức cơ bản trong ATTT là gì?
Chia sẻ thông tin cá nhân của người khác càng nhiều càng tốt.
Tôn trọng quyền riêng tư và bảo mật thông tin của người khác.
Khai thác mọi lỗ hổng tìm thấy để trục lợi cá nhân.
Sao chép phần mềm có bản quyền mà không trả tiền.
(ISC)² Code of Ethics là bộ quy tắc đạo đức dành cho đối tượng nào?
Chỉ dành cho luật sư.
Chỉ dành cho bác sĩ.
Các chuyên gia an toàn thông tin được chứng nhận bởi (ISC)².
Chỉ dành cho kế toán viên.
Một điều khoản trong bộ quy tắc đạo đức của (ISC)² yêu cầu các chuyên gia phải làm gì?
Luôn đặt lợi ích cá nhân lên trên hết.
Hành động một cách trung thực, công bằng, có trách nhiệm và hợp pháp.
Chia sẻ thông tin bí mật của khách hàng với đối thủ cạnh tranh.
Bẻ khóa hệ thống của người khác để kiểm tra kỹ năng.
ACM Code of Ethics and Professional Conduct là bộ quy tắc đạo đức của tổ chức nào?
Tổ chức Y tế Thế giới (WHO).
Liên Hợp Quốc (UN).
Association for Computing Machinery (Hiệp hội Máy tính).
Tổ chức Thương mại Thế giới (WTO).
Tại sao việc sử dụng tài sản công nghệ thông tin của công ty cho mục đích cá nhân lại có thể bị coi là vấn đề đạo đức?
Vì nó làm máy tính chạy chậm.
Vì đó có thể là sự lạm dụng tài nguyên của tổ chức, vi phạm chính sách và có thể gây ra rủi ro bảo mật.
Vì công ty không thích nhân viên giải trí.
Vì nó tốn điện.
Tình huống khó xử về đạo đức (Ethical Dilemma) trong ATTT là gì?
Lựa chọn giữa hai phần mềm diệt virus tốt.
Tình huống mà một chuyên gia phải lựa chọn giữa hai hoặc nhiều hành động, trong đó mỗi hành động đều có thể vi phạm một nguyên tắc đạo đức nào đó.
Quyết định nên sử dụng mật khẩu dài bao nhiêu ký tự.
Lựa chọn giữa việc sao lưu dữ liệu hàng ngày hay hàng tuần.
Ví dụ về một tình huống khó xử về đạo đức trong ATTT?
Có nên cài đặt bản vá bảo mật hay không.
Phát hiện một lỗ hổng nghiêm trọng trong sản phẩm của công ty, nhưng việc công bố có thể gây thiệt hại lớn về tài chính và uy tín, trong khi việc che giấu có thể khiến khách hàng gặp rủi ro.
Nên sử dụng mạng Wi-Fi công cộng hay mạng di động.
Có nên xóa các file tạm thời hay không.
Tại sao việc phân biệt giữa hành vi phi đạo đức và hành vi bất hợp pháp lại quan trọng?
Vì chúng luôn luôn giống nhau.
Vì một hành vi có thể phi đạo đức nhưng không bất hợp pháp (hoặc ngược lại), và việc hiểu rõ sự khác biệt giúp xác định cách xử lý phù hợp.
Vì hành vi phi đạo đức không bao giờ bị xử lý.
Vì hành vi bất hợp pháp luôn được chấp nhận về mặt đạo đức.
Trách nhiệm đạo đức của một chuyên gia ATTT khi phát hiện hoạt động bất hợp pháp hoặc phi đạo đức trong tổ chức của mình là gì?
Hoàn toàn phớt lờ nó.
Tham gia vào hoạt động đó.
Cân nhắc các nghĩa vụ đối với tổ chức, công chúng và nghề nghiệp, có thể bao gồm việc báo cáo thông qua các kênh thích hợp theo chính sách và pháp.
Đăng thông tin lên mạng xã hội ngay lập tức
Computer Ethics Institute đã đưa ra 10 điều răn về đạo đức máy tính. Một trong số đó là gì?
Bạn nên sử dụng máy tính để làm hại người khác.
Bạn không nên sử dụng tài nguyên máy tính của người khác mà không được phép hoặc không bồi thường thích đáng.
Bạn nên xem trộm các tập tin của người khác.
Bạn nên sao chép phần mềm có bản quyền bất cứ khi nào có thể.
Vấn đề đạo đức liên quan đến việc thu thập và sử dụng dữ liệu người dùng (ví dụ: bởi các công ty công nghệ lớn) là gì?
Việc thu thập dữ liệu giúp máy tính chạy nhanh hơn.
Mối lo ngại về quyền riêng tư, sự minh bạch trong việc thu thập, mục đích sử dụng dữ liệu và khả năng lạm dụng thông tin cá nhân.
Dữ liệu người dùng không có giá trị.
Việc thu thập dữ liệu luôn luôn hợp pháp.
Tại sao việc đào tạo nhận thức về đạo đức ATTT cho nhân viên lại cần thiết?
Để nhân viên biết cách hack hệ thống.
Để giúp nhân viên hiểu các nguyên tắc hành xử đúng đắn, nhận diện các tình huống rủi ro về đạo đức và biết cách hành động phù hợp.
Để tăng thời gian làm việc của nhân viên.
Để thay thế cho các biện pháp kiểm soát kỹ thuật.
Mối quan hệ giữa văn hóa tổ chức và đạo đức ATTT là gì?
Không có mối quan hệ nào.
Một văn hóa tổ chức coi trọng sự trung thực, trách nhiệm và minh bạch sẽ thúc đẩy hành vi đạo đức trong ATTT và ngược lại.
Văn hóa tổ chức chỉ liên quan đến trang phục.
Đạo đức ATTT quyết định văn hóa tổ chức.
y tắc đạo đức ATTT mang tính toàn cầu vào các nền văn hóa khác nhau là gì?
Các bộ quy tắc này chỉ viết bằng tiếng Anh.
Các chuẩn mực và giá trị đạo đức có thể khác biệt giữa các nền văn hóa, dẫn đến sự diễn giải và ưu tiên khác nhau đối với các nguyên tắc đạo đức chung.
Công nghệ ở các nước khác nhau là hoàn toàn khác biệt.
Không có thách thức nào cả.
Khi một công nghệ mới (ví dụ: AI, IoT) phát triển, những vấn đề đạo đức mới nào có thể nảy sinh trong lĩnh vực ATTT?
Công nghệ mới luôn giải quyết mọi vấn đề đạo đức cũ.
Các vấn đề liên quan đến thiên bias thuật toán (algorithmic bias), quyền riêng tư trong môi trường kết nối liên tục, trách nhiệm giải trình của hệ thống tự động, và khả năng lạm dụng công nghệ cho mục đích xấu.
Công nghệ mới làm cho ATTT trở nên đơn giản hơn về mặt đạo đức.
Không có vấn đề đạo đức mới nào nảy sinh.
Tại sao việc cân nhắc "lợi ích công cộng" (Public Good) lại quan trọng trong các quyết định về đạo đức ATTT?
Vì lợi ích công cộng không liên quan đến ATTT.
Vì các quyết định về ATTT (ví dụ: tiết lộ lỗ hổng, chia sẻ thông tin về mối đe dọa) có thể ảnh hưởng đến sự an toàn và phúc lợi của cả cộng đồng, không chỉ riêng cá nhân hay tổ chức.
Vì chỉ có chính phủ mới quan tâm đến lợi ích công cộng.
Vì lợi ích công cộng luôn đối lập với lợi ích của tổ chức.
Vai trò của các tổ chức nghề nghiệp (như (ISC)², ACM, ISACA) trong việc thúc đẩy đạo đức ATTT là gì?
Chỉ để thu phí thành viên.
Chỉ để tổ chức các cuộc thi hack.
Xây dựng và duy trì các bộ quy tắc đạo đức, cung cấp đào tạo, chứng nhận và tạo diễn đàn thảo luận, góp phần nâng cao chuẩn mực hành vi và trách nhiệm nghề nghiệp trong cộng đồng ATTT.
Chỉ để bán sách giáo trình.
