Ý nào dưới đây nêu lên lí do về sự cần thiêt phải ban hành Luật An ninh mạng:

Câu hỏi này kiểm tra kiến thức về mối quan hệ giữa nguy cơ và rủi ro trong an toàn hệ thống thông tin.

* Phương án 1: "Tất cả các rủi ro đều có ít nhất một nguy cơ đi kèm với nó." Đây là phát biểu đúng. Rủi ro là khả năng xảy ra một sự kiện tiêu cực gây tổn hại cho hệ thống, và nguy cơ là yếu tố có thể gây ra sự kiện tiêu cực đó. Do đó, rủi ro luôn gắn liền với ít nhất một nguy cơ.

* Phương án 2: "Có thể ngăn chặn rủi ro bằng cách ngăn chặn các nguy cơ tương ứng." Đây là phát biểu đúng. Một trong những phương pháp quản lý rủi ro là loại bỏ hoặc giảm thiểu các nguy cơ. Nếu nguy cơ được loại bỏ, rủi ro liên quan cũng sẽ được ngăn chặn.

* Phương án 3: "Mục tiêu của an toàn hệ thống là ngăn chặn tất cả các rủi ro xảy ra trên hệ thống." Đây là một mục tiêu lý tưởng, nhưng trong thực tế, việc ngăn chặn *tất cả* các rủi ro là rất khó khăn hoặc không thể thực hiện được. An toàn hệ thống hướng đến việc giảm thiểu rủi ro đến mức chấp nhận được, chứ không phải loại bỏ hoàn toàn.

Vì ba phương án trên đều đúng hoặc gần đúng nên phương án "Tất cả các câu trên" là đáp án chính xác nhất.

Câu hỏi này kiểm tra kiến thức về nguyên tắc xây dựng một hệ thống bảo mật.

Phương án 1 chỉ đề cập đến việc áp dụng cơ chế an toàn, nhưng không đề cập đến chính sách.
Phương án 2 chỉ đề cập đến việc xây dựng chính sách, nhưng không đề cập đến triển khai cơ chế.
Phương án 3 bao gồm cả việc xây dựng chính sách và triển khai cơ chế để đảm bảo chính sách đó được thực thi. Đây là một nguyên tắc quan trọng trong xây dựng hệ thống bảo mật.
Phương án 4 bao gồm tất cả các phương án trên, và do phương án 3 đã bao hàm ý của các phương án 1 và 2 một cách đầy đủ và chính xác nhất, nên phương án 4 là đáp án đúng.

Do đó, đáp án đúng là "Tất cả đều đúng."

Câu hỏi yêu cầu chọn câu đúng về các mô hình điều khiển truy xuất (access control).

* MAC (Mandatory Access Control) là cơ chế điều khiển truy cập bắt buộc, được áp dụng cho toàn hệ thống. Người dùng không thể tùy ý thay đổi các chính sách này. Do đó, phương án 1 đúng.
* RBAC (Role-Based Access Control) là mô hình điều khiển truy cập dựa trên vai trò. Việc quản lý theo nhóm trên Windows 2000 có thể được xem là một dạng thực thi tương đương với RBAC, vì các quyền truy cập được gán cho nhóm, sau đó người dùng được thêm vào nhóm để thừa hưởng các quyền này. Do đó, phương án 2 đúng.
* DAC (Discretionary Access Control) là mô hình điều khiển truy cập tùy ý, trong đó chủ sở hữu tài nguyên có quyền quyết định ai có thể truy cập tài nguyên của mình. Đa số các hệ điều hành (như Windows, Linux) đều có thực hiện mô hình DAC. Do đó, phương án 3 đúng.

Vì cả ba phương án đều đúng, nên phương án "Tất cả đều đúng" là đáp án chính xác nhất.

Cơ chế xác thực thông dụng nhất trong các hệ thống thông tin hiện nay là sử dụng username/password. Các phương án khác không trực tiếp liên quan đến xác thực người dùng. Quản lý truy xuất tập tin là cơ chế kiểm soát quyền truy cập sau khi đã xác thực. Phân quyền người dùng là một phần của quản lý truy cập, không phải là cơ chế xác thực trực tiếp.

Cơ chế kiểm tra (auditing) trong hệ thống có chức năng chính là theo dõi và ghi nhận lại các sự kiện và hành vi diễn ra trên hệ thống. Thông tin này được sử dụng cho nhiều mục đích khác nhau, bao gồm: phát hiện xâm nhập, điều tra sự cố bảo mật, tuân thủ quy định và đánh giá hiệu suất hệ thống. Các phương án khác chỉ mô tả một phần chức năng của cơ chế kiểm tra, phương án 2 bao hàm đầy đủ nhất chức năng của auditing.