Bài 95. Xử lý rủi ro: accept, avoid, transfer, mitigate và phân tích tác động kinh doanh (BIA)

Khóa học CompTIA Security+ SY0-801 · Phần 5: Quản trị, rủi ro và tuân thủ · Bài 95 · 🎯 Objective 5.2 · ⏱️ Đọc khoảng 18 phút · 🧪 Không cần lab · 📝 5 câu bài tập cuối bài

🎯 Mục tiêu bài học

• Phân biệt bốn cách xử lý rủi ro: accept, avoid, transfer, mitigate, và chọn đúng theo tình huống.
• Hiểu ngoại lệ (exception) và miễn trừ (exemption) trong quản trị rủi ro.
• Thực hiện và giải thích phân tích tác động kinh doanh (BIA): chức năng quan trọng, RTO, RPO, MTTR, MTBF, điểm lỗi đơn (SPOF).
• Nhận ra mối liên hệ giữa BIA, kế hoạch liên tục kinh doanh và khôi phục sau thảm họa.

📎 Vị trí trong đề thi: Objective 5.2. Bài này tiếp nối Bài 93 (nhận diện, đánh giá) và Bài 94 (tính toán, sổ đăng ký rủi ro). RTO, RPO, MTTR, MTBF đã giới thiệu ở Bài 55, bài này đặt chúng vào bối cảnh BIA. Bài sau, Bài 96, nói về rủi ro bên thứ ba.

💡 Liên hệ thực tế: bốn rủi ro, bốn quyết định

Sổ đăng ký rủi ro của Nam có bốn dòng nổi bật. Chị Lan phải quyết định từng cái:

1. Ransomware làm dừng hệ thống bán hàng: đầu tư EDR và sao lưu bất biến (giảm thiểu).
2. Hệ thống kế toán cũ chạy trên phần mềm hết hỗ trợ, thay mới tốn 400 triệu đồng và chưa có ngân sách: ghi ngoại lệ có thời hạn và biện pháp bù (chấp nhận có điều kiện).
3. Dịch vụ chia sẻ ảnh khách hàng ít người dùng nhưng chứa dữ liệu nhạy cảm và khó bảo vệ: ngừng dịch vụ (tránh).
4. Thiệt hại tài chính từ vi phạm dữ liệu: mua bảo hiểm an ninh mạng (chuyển giao một phần).

Cùng một sổ đăng ký, bốn rủi ro nhận bốn cách xử lý khác nhau. Đây là tình huống minh họa, không phải vụ việc có thật.

🎯 Hình 95a. Chấp nhận, tránh, chuyển giao, giảm thiểu.

📘 Kiến thức cốt lõi

🧰 Bốn cách xử lý rủi ro

Nhớ nhanh: accept: chịu; avoid: bỏ; transfer: chia cho người khác; mitigate: giảm bằng biện pháp.

Lưu ý quan trọng

• Chuyển giao không xóa trách nhiệm. Bảo hiểm bồi thường thiệt hại tài chính nhưng không khôi phục uy tín, không thay thế trách nhiệm pháp lý với khách hàng và cơ quan quản lý. Thuê ngoài chuyển giao việc vận hành, nhưng trách nhiệm giải trình vẫn ở tổ chức (Bài 96, 97).
• Chấp nhận phải có ghi nhận. "Bỏ qua" khác với "chấp nhận": chấp nhận là quyết định có ý thức, có người duyệt, lý do, hạn xem lại, ghi vào risk register.
• Rủi ro còn lại luôn tồn tại sau xử lý (Bài 93). Phải so với ngưỡng chịu đựng; nếu vượt thì xử lý thêm.
• Có khi kết hợp nhiều cách: giảm thiểu bằng EDR và mua bảo hiểm cho phần còn lại.

📑 Ngoại lệ, miễn trừ và biện pháp bù

Ngoại lệ không có hạn sẽ biến thành tình trạng vĩnh viễn không ai nhớ. Hãy rà soát định kỳ các ngoại lệ (Bài 91).

📉 Phân tích tác động kinh doanh (BIA)

BIA (Business Impact Analysis) xác định chức năng kinh doanh nào quan trọng nhất, gián đoạn gây thiệt hại thế nào theo thời gian, và cần phục hồi nhanh đến đâu. BIA là nền tảng của kế hoạch liên tục kinh doanh (BCP) và khôi phục sau thảm họa (DRP).

📉 Hình 95b. Chức năng, tác động, RTO và RPO, phụ thuộc.

Các bước của BIA

1. Xác định chức năng và quy trình kinh doanh (bán hàng, thanh toán, chăm sóc khách hàng, kế toán).
2. Đánh giá tác động của gián đoạn theo thời gian (1 giờ, 4 giờ, 1 ngày, 1 tuần): tài chính, vận hành, uy tín, pháp lý và hợp đồng, an toàn.
3. Xác định tài nguyên và phụ thuộc: hệ thống, dữ liệu, con người, nhà cung cấp, cơ sở vật chất.
4. Đặt mục tiêu phục hồi: RTO, RPO; xếp thứ tự ưu tiên phục hồi.
5. Xác định điểm lỗi đơn (SPOF) và rủi ro.

Các chỉ số thường gặp

Quan hệ cần nhớ:

• RTO nhỏ (phục hồi nhanh) đòi hỏi đầu tư cao hơn: dự phòng nóng, nhân bản liên tục.
• RPO nhỏ (mất ít dữ liệu) đòi hỏi sao lưu hoặc nhân bản thường xuyên hơn.
• MTBF cao là thành phần bền; MTTR thấp là sửa nhanh.
• Dự phòng loại bỏ SPOF (Bài 53): hai đường Internet, cụm máy chủ, nguồn điện dự phòng.

Ví dụ BIA đơn giản

Nhờ BIA, Nam biết dồn tiền vào đâu (thanh toán và chăm sóc khách hàng) và không cần đắt đỏ cho hệ thống thử nghiệm.

🔗 BIA, BCP và DRP

BIA đi trước; BCP và DRP dựa trên kết quả BIA; sau đó kiểm thử và cập nhật.

🧭 Áp vào câu chuyện của Nam

🎯 Mẹo làm bài

"Mua bảo hiểm, thuê ngoài, bồi thường hợp đồng" → transfer. "Ngừng hoạt động gây ra rủi ro" → avoid. "Biết rủi ro, quyết định chịu" → accept. "Triển khai biện pháp kiểm soát" → mitigate. "Tạm thời không tuân thủ, có hạn và biện pháp bù" → exception. "Thời gian tối đa để khôi phục" → RTO. "Dữ liệu tối đa chấp nhận mất theo thời gian" → RPO. "Thời gian trung bình sửa" → MTTR. "Thời gian trung bình giữa hai lần hỏng" → MTBF. "Một thành phần hỏng làm cả hệ thống dừng" → SPOF. "Xác định chức năng quan trọng nhất" → BIA. "Chuyển giao có xóa trách nhiệm không?" → Không, trách nhiệm giải trình vẫn ở tổ chức.

📖 Thuật ngữ cần nhớ

📌 Tóm tắt nhanh

• Bốn cách xử lý: accept, avoid, transfer, mitigate; thường kết hợp.
• Chuyển giao thiệt hại tài chính không chuyển trách nhiệm giải trình.
• Chấp nhận phải là quyết định có ghi nhận, có người duyệt và hạn xem lại.
• BIA xác định chức năng quan trọng, tác động theo thời gian, RTO, RPO và phụ thuộc; là nền cho BCP và DRP.
• RTO và RPO nhỏ đòi hỏi đầu tư nhiều hơn; cần loại bỏ SPOF cho chức năng quan trọng.

📝 Bài tập đánh giá

Tự chọn đáp án cho từng câu, rồi đối chiếu với phần đáp án ở cuối bài.

Câu 1. Công ty mua bảo hiểm an ninh mạng để bù đắp thiệt hại tài chính nếu bị vi phạm dữ liệu. Đây là cách xử lý rủi ro nào?

• A. Accept
• B. Avoid
• C. Transfer
• D. Ignore

Câu 2. Công ty ngừng cung cấp một dịch vụ rủi ro cao nhưng ít mang lại doanh thu. Đây là cách xử lý rủi ro nào?

• A. Avoid
• B. Mitigate
• C. Transfer
• D. Accept

Câu 3. Một rủi ro thấp, chi phí giảm thiểu lớn hơn tổn thất kỳ vọng. Lãnh đạo ký quyết định giữ nguyên, ghi vào sổ đăng ký và hẹn xem lại sau 12 tháng. Đây là gì?

• A. Mitigate
• B. Avoid
• C. Transfer
• D. Accept có ghi nhận

Câu 4. Mục đích chính của BIA là gì?

• A. Quét lỗ hổng của máy chủ
• B. Xác định chức năng kinh doanh quan trọng và tác động của gián đoạn theo thời gian để đặt mục tiêu phục hồi
• C. Chọn nhà cung cấp rẻ nhất
• D. Huấn luyện nhân viên nhận biết phishing

Câu 5. Hệ thống có RPO là 1 giờ. Điều này có nghĩa là gì?

• A. Phải khôi phục hệ thống trong vòng 1 giờ
• B. Hệ thống hỏng trung bình mỗi 1 giờ
• C. Có thể chấp nhận mất tối đa dữ liệu của 1 giờ gần nhất
• D. Mỗi lần sửa chữa mất 1 giờ

👉 Đáp án

Câu 1: C — Bảo hiểm chuyển giao một phần thiệt hại tài chính sang bên khác (transfer).

Câu 2: A — Ngừng hoạt động gây rủi ro là avoid.

Câu 3: D — Chấp nhận có ý thức, có người duyệt, ghi nhận và hạn xem lại là accept đúng quy trình.

Câu 4: B — BIA xác định chức năng quan trọng, tác động theo thời gian và mục tiêu phục hồi.

Câu 5: C — RPO là lượng dữ liệu tối đa chấp nhận mất, tính theo thời gian; thời gian khôi phục là RTO.

📚 Bài viết thuộc khóa học CompTIA Security+ của VNExperts

🧭 Điều hướng