NEW
Font size
WorksheetsBài kiểm tra nhận thức về tiêu chuẩn ISO/IEC 27001:2022
Total questions: 20
Worksheet time: 10mins
Tổ chức ISO là viết tắt của tên gọi nào?
International Standard Organization
International Security Organization
Internal Standard Office
Information Service Organization
Ba yếu tố cốt lõi của an toàn thông tin (CIA Triad) là gì?
Kiểm soát, Tích hợp, Đánh giá
Bí mật, Toàn vẹn, Sẵn sàng
Chính xác, Kịp thời, Đầy đủ
Con người, Quy trình, Công nghệ
Chu trình PDCA (Plan-Do-Check-Act) tương ứng với các điều khoản nào trong ISO 27001?
Điều 1 đến 3
Điều 4 đến 10
Chỉ Phụ lục A
Không áp dụng PDCA
"Sự không phù hợp" (Non-conformity) trong ISO 27001 là gì?
Sự đáp ứng vượt mong đợi
Việc không đáp ứng một yêu cầu
Một loại phần mềm độc hại
Một quy trình đánh giá rủi ro
Điều khoản 4 của ISO 27001 yêu cầu tổ chức xác định gì?
Các biện pháp kiểm soát kỹ thuật
Bối cảnh của tổ chức, bên quan tâm và phạm vi ISMS
Kế hoạch đánh giá nội bộ
Chính sách an toàn thông tin
Khi xác định 'Phạm vi của ISMS' (Điều khoản 4.3), nếu một tổ chức muốn loại trừ một yêu cầu nào đó của tiêu chuẩn ra khỏi phạm vi áp dụng, điều kiện nào phải được thỏa mãn?
Chỉ được loại trừ các yêu cầu liên quan đến phát triển phần mềm nếu công ty không làm phần mềm
Tổ chức chỉ được phép loại trừ các biện pháp kiểm soát trong Phụ lục A, không được phép loại trừ các yêu cầu trong các điều khoản từ 4 đến 10.
Được phép loại trừ nếu có sự phê duyệt bằng văn bản của Lãnh đạo cao nhất.
Tổ chức có thể loại trừ bất kỳ điều khoản nào từ 4 đến 10 nếu thấy không phù hợp với mô hình kinh doanh
Điều khoản 5 nhấn mạnh vai trò của đối tượng nào trong ISMS?
Nhân viên IT
Trưởng phòng QA, QC
Lãnh đạo cao nhất
Nhà cung cấp
Điều khoản 5.3 về 'Vai trò, trách nhiệm và quyền hạn trong tổ chức' yêu cầu Lãnh đạo cao nhất phải làm gì đối với các vai trò liên quan đến an toàn thông tin?
Yêu cầu tất cả nhân viên ký vào bản cam kết bảo mật NDA hàng năm.
Phải thành lập một bộ phận An toàn thông tin chuyên biệt tách rời khỏi bộ phận IT.
Tự mình đảm nhận vai trò CISO (Giám đốc An toàn thông tin) để thể hiện cam kết.
Đảm bảo rằng các trách nhiệm và quyền hạn được phân công và truyền đạt trong tổ chức.
Bốn chiến lược xử lý rủi ro bao gồm những gì?
Tìm kiếm, Phát hiện, Tiêu diệt, Khôi phục
Tránh, Chuyển giao, Giảm nhẹ, Chấp nhận
Họp, Kế hoạch, Báo cáo, Lưu trữ
Mua, Bán, Cho thuê, Tặng
Công thức nào được sử dụng để tính mức độ rủi ro?
Mức độ rủi ro = Tài sản + Đe dọa
Mức độ rủi ro = Mức độ ảnh hưởng x Khả năng xảy ra
Mức độ rủi ro = Chi phí / Lợi nhuận
Mức độ rủi ro = Tài sản x Mức độ ảnh hưởng x Điểm yếu
Trong Điều khoản 7.2 'Năng lực', tổ chức phải thực hiện hành động nào đối với nhân sự ảnh hưởng đến hiệu quả an toàn thông tin?
A. Chỉ cần đào tạo những nhân viên mới tuyển dụng trong thời gian thử việc.
B. Tổ chức các buổi hội thảo nhận thức hàng năm là đủ để đáp ứng yêu cầu về năng lực.
C. Đảm bảo tất cả nhân viên đều có chứng chỉ ISO 27001 Lead Auditor.
D. Xác định năng lực cần thiết, đảm bảo nhân sự có năng lực đó và lưu giữ thông tin dạng văn bản làm bằng chứng.
Điều khoản 7.5.3 về 'Kiểm soát thông tin dạng văn bản' yêu cầu kiểm soát việc 'kiểm soát thay đổi' (control of changes). Điều này có nghĩa là gì?
A. Chỉ áp dụng cho các tài liệu nguồn gốc bên ngoài, tài liệu nội bộ không cần kiểm soát phiên bản.
B. Mọi thay đổi trong tài liệu phải được phê duyệt lại, và phải nhận biết được trạng thái sửa đổi.
C. Chỉ cần lưu giữ phiên bản mới nhất, các phiên bản cũ phải được hủy bỏ ngay lập tức để tiết kiệm dung lượng.
D. Cấm tuyệt đối việc chỉnh sửa các tài liệu đã ban hành trừ khi có sự đồng ý của tổ chức chứng nhận.
Trong Điều khoản 8.3 'Xử lý rủi ro ATTT', mối quan hệ giữa 'Kế hoạch xử lý rủi ro' và 'Tuyên bố áp dụng' (SoA) thường gây nhầm lẫn. Trình tự logic nào đúng nhất?
A. Xác định các biện pháp kiểm soát cần thiết để xử lý rủi ro, sau đó so sánh với Phụ lục A và tạo ra SoA.
B. Chỉ cần làm SoA là đủ, Kế hoạch xử lý rủi ro chỉ là phụ lục không bắt buộc.
C. Soạn SoA trước để chọn các biện pháp kiểm soát, sau đó mới lên Kế hoạch xử lý rủi ro để thực hiện các biện pháp đó.
D. Kế hoạch xử lý rủi ro và SoA là hai tài liệu độc lập, không liên quan đến nhau.
Mục đích của Đánh giá nội bộ (Điều 9.2) là gì?
A. Đánh giá năng lực của từng nhân viên để tính điểm thi đua
B. Đánh giá sự tuân thủ và hiệu quả của ISMS
C. Để so sánh năng lực giữa các nhân viên
D. Để quảng cáo thương hiệu
Bằng chứng đánh giá có thể bao gồm những yếu tố nào?
A. Chỉ bao gồm các tài liệu dạng văn bản giấy có dấu đỏ của công ty
B. Mọi thông tin được cung cấp bởi người được phỏng vấn trong quá trình đánh giá.
C. Hồ sơ, tài liệu, quan sát thực tế và lời khai trong phỏng vấn được kiểm chứng
D. Chỉ bao gồm các dữ liệu trên hệ thống máy tính
Đầu vào của cuộc họp "Xem xét của lãnh đạo" (Điều 9.3) KHÔNG bao gồm yếu tố nào sau đây?
A. Tình trạng của các hành động từ các cuộc xem xét trước
B. Phản hồi từ các bên quan tâm và kết quả đánh giá sự tuân thủ
C. Kết quả đánh giá rủi ro và trạng thái xử lý rủi ro
D. Các quyết định về cơ hội cải tiến và nhu cầu thay đổi hệ thống
Điều khoản 10.1 yêu cầu: 'Nếu cần thiết, hãy thực hiện những thay đổi đối với hệ thống quản lý ATTT'. Điều này ngụ ý mối quan hệ ngược (feedback loop) quan trọng nào đối với Điều khoản 6 (Hoạch định)?
Thay đổi phạm vi chứng nhận ngay lập tức.
Yêu cầu Lãnh đạo cao nhất viết lại Chính sách ATTT.
Cập nhật lại các rủi ro và cơ hội đã được xác định trong quá trình hoạch định nếu cần.
Hủy bỏ mục tiêu an toàn thông tin của năm đó.
Việc "Cải tiến liên tục" (Điều 10.2) trong ISMS được thể hiện qua hành động nào?
Giữ nguyên mọi quy trình trong 10 năm
Thực hiện hành động khắc phục để loại bỏ nguyên nhân sự không phù hợp và tránh tái diễn
Chỉ thay đổi khi có sự cố lớn xảy ra
Tăng ngân sách marketing
SoA (Statement of Applicability) là tài liệu gì?
Bảng tuyên bố áp dụng các biện pháp kiểm soát
Hợp đồng lao động
Quy trình đánh giá rủi ro
Danh sách nhân viên
Phụ lục A của ISO 27001:2022 chia các biện pháp kiểm soát thành 4 nhóm nào?
Phần cứng, Phần mềm, Mạng, Dữ liệu
Tổ chức, Con người, Vật lý, Công nghệ
Kế hoạch, Thực hiện, Kiểm tra, Hành động
Cao, Trung bình, Thấp, Rất thấp
