ISC2 Governance, Risk and Compliance

ISC2 CGRC – Certified in Governance, Risk and Compliance – TÀI LIỆU ÔN TẬP

Chứng chỉ này trước đây tên là CAP. ISC2 đổi tên từ Certified Authorization Professional (CAP) thành Certified in Governance, Risk and Compliance (CGRC) hiệu lực 15/02/2023. Chỉ đổi tên — nội dung thi, điều kiện dự thi đều giữ nguyên, và người đang có CAP được tự động chuyển sang CGRC.

Thực tế quan trọng khi tìm tài liệu: phần lớn sách và khoá học vẫn mang tên CAP. Tìm theo cả hai tên sẽ ra nhiều nguồn hơn hẳn. (Đối chiếu ngày 03/10/2026.)

1. TỔNG QUAN KỲ THI

• Định dạng: tuyến tính (không phải CAT)
• Số câu: 125 câu (cố định)
• Thời gian: 3 giờ
• Điểm đậu: 700 trên thang 0–1000
• Lệ phí tham khảo: 599 USD
• Điều kiện: 2 năm kinh nghiệm làm việc có trả lương trong một hoặc nhiều domain của CGRC. Chưa đủ thì vẫn thi được và trở thành Associate of ISC2, có 3 năm để tích luỹ.

CGRC là chứng chỉ về cấp phép và tuân thủ hệ thống — xuất phát từ Risk Management Framework (RMF) của NIST, nên ai làm với cơ quan nhà nước Mỹ hoặc theo chuẩn NIST sẽ thấy quen. ISC2 đã mở rộng phạm vi cho cả khu vực tư nhân và các khung khác, nhưng gốc RMF vẫn là trục chính của đề.

2. NỘI DUNG ÔN TẬP THEO 7 DOMAIN

Bảy domain này đi theo đúng trình tự vòng đời cấp phép hệ thống — không phải bảy chủ đề rời rạc. Hiểu được dòng chảy từ domain 1 tới domain 7 thì phần lớn câu hỏi tự sáng, vì đề hay hỏi "bước tiếp theo là gì".

Domain 1: Chương trình quản trị, rủi ro và tuân thủ (16%)

• Thiết lập chương trình GRC về bảo mật và quyền riêng tư; vai trò và trách nhiệm.
• Khung và chuẩn: NIST RMF (SP 800-37), NIST SP 800-53, NIST Cybersecurity Framework, ISO/IEC 27001, COBIT, FedRAMP; yêu cầu pháp lý và quy định (FISMA, GDPR, HIPAA, PCI DSS).
• Chiến lược quản lý rủi ro ở cấp tổ chức; khả năng chấp nhận rủi ro (risk tolerance và appetite).
• Yêu cầu về quyền riêng tư; đánh giá tác động quyền riêng tư (PIA).
• Vai trò các bên: Authorizing Official (AO), System Owner, Information System Security Officer (ISSO), Security Control Assessor (SCA), Common Control Provider.

Domain 2: Xác định phạm vi hệ thống (10%)

• Xác định ranh giới hệ thống (system boundary) — việc khó nhất và hay sai nhất trong RMF.
• Xác định và mô tả hệ thống: kiến trúc, thành phần, luồng dữ liệu, kết nối ngoài.
• Phân loại hệ thống (categorize) theo mức tác động: dùng FIPS 199 và NIST SP 800-60, xác định mức low / moderate / high cho từng yếu tố CIA và lấy mức cao nhất (high-water mark).
• Đăng ký hệ thống; xác định dữ liệu và loại thông tin trong hệ thống.

Domain 3: Chọn và phê duyệt khung và biện pháp kiểm soát (14%)

• Chọn biện pháp kiểm soát (select): baseline theo mức phân loại, điều chỉnh (tailoring), bổ sung (overlay), biện pháp kiểm soát chung (common control) và biện pháp kế thừa (inherited control), biện pháp bù trừ (compensating control).
• Phê duyệt bộ biện pháp kiểm soát và lập kế hoạch bảo mật hệ thống (SSP).
• Lập kế hoạch giám sát liên tục ngay từ giai đoạn này.

Domain 4: Triển khai biện pháp kiểm soát (17%) — domain nặng nhất

• Triển khai (implement) biện pháp kiểm soát theo SSP.
• Ghi lại cách triển khai từng biện pháp; lập hồ sơ bằng chứng.
• Xác minh biện pháp đã triển khai đúng như mô tả.
• Phối hợp với các bên: vận hành, phát triển, nhà cung cấp.
• Cập nhật SSP theo thực tế triển khai.

Domain 5: Đánh giá và kiểm toán biện pháp kiểm soát (16%)

• Lập kế hoạch đánh giá (Security Assessment Plan): phạm vi, phương pháp (examine, interview, test theo NIST SP 800-53A), lịch trình, nguồn lực.
• Thực hiện đánh giá; thu thập và phân tích bằng chứng.
• Lập Báo cáo đánh giá (Security Assessment Report – SAR): điểm yếu, mức rủi ro, khuyến nghị.
• Xây POA&M (Plan of Action and Milestones) cho những điểm yếu chưa khắc phục được ngay.
• Khắc phục và đánh giá lại.

Domain 6: Tuân thủ hệ thống (14%)

• Tổng hợp gói cấp phép (authorization package): SSP + SAR + POA&M.
• Xác định rủi ro còn lại (residual risk) và trình bày cho AO.
• Quyết định cấp phép (authorize): Authorization to Operate (ATO), ATO có điều kiện, Interim ATO, Denial of ATO; thời hạn hiệu lực.
• Truyền đạt quyết định và điều kiện kèm theo tới các bên liên quan.

Domain 7: Duy trì tuân thủ (13%)

• Giám sát liên tục (monitor): chiến lược, tần suất, biện pháp nào giám sát thế nào, công cụ tự động hoá.
• Quản lý thay đổi và đánh giá tác động bảo mật của thay đổi.
• Cập nhật tài liệu: SSP, SAR, POA&M theo thay đổi thực tế.
• Báo cáo tình trạng bảo mật định kỳ cho AO và các bên.
• Ngừng vận hành hệ thống (decommission): xoá dữ liệu, thu hồi quyền, lưu trữ hồ sơ, cập nhật inventory.

3. HAI ĐIỀU QUYẾT ĐỊNH

Thuộc sáu bước RMF theo đúng thứ tự: Prepare → Categorize → Select → Implement → Assess → Authorize → Monitor. Bảy domain của CGRC map gần như một-một vào các bước này. Đề liên tục hỏi "bước tiếp theo là gì" hoặc "ai là người quyết định ở bước này" — nắm dòng chảy thì không cần học thuộc từng câu.

Ba tài liệu là trục của gói cấp phép: SSP (kế hoạch bảo mật — mô tả hệ thống và biện pháp), SAR (báo cáo đánh giá — kết quả kiểm chứng), POA&M (kế hoạch khắc phục — điểm yếu còn lại kèm mốc thời gian). Đề hỏi tài liệu nào chứa thông tin gì, và ai tạo ra nó.

Đề TUYẾN TÍNH, không phải CAT. Khác với CISSP, CCSP, SSCP và CC, kỳ thi này dùng định dạng cố định: 125 câu, 3 giờ, và quay lại sửa câu đã làm được. Nghĩa là chiến thuật "đánh dấu câu khó để làm sau, rà lại cuối giờ" dùng được bình thường ở đây — khoảng 1,4 phút mỗi câu nếu chia đều.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• Exam Outline CGRC: https://www.isc2.org/certifications/cgrc/cgrc-certification-exam-outline
• Trang chứng chỉ: https://www.isc2.org/Certifications/CGRC
• Thông báo đổi tên từ CAP sang CGRC: https://www.isc2.org/Insights/2023/02/CAP-is-Now-Certified-in-Governance-Risk-and-Compliance
• NIST SP 800-37 (Risk Management Framework): https://csrc.nist.gov/pubs/sp/800/37/r2/final
• NIST SP 800-53 (Security and Privacy Controls): https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final

Lưu ý: Tỉ lệ domain lấy từ Exam Outline chính thức của ISC2, bản hiệu lực 15/06/2024, tra ngày 03/10/2026. ISC2 làm mới đề cương theo chu kỳ Job Task Analysis — đối chiếu lại trang Exam Outline trước khi đặt lịch thi.