ISACA Certified Information Systems Auditor

ISACA CISA – Certified Information Systems Auditor – TÀI LIỆU ÔN TẬP

1. TỔNG QUAN KỲ THI

• Mã: CISA
• Số câu: 150 câu trắc nghiệm
• Thời gian: 4 giờ (240 phút) — khoảng 1,6 phút mỗi câu
• Cách chấm: quy về thang 200–800, đạt từ 450. Đây là điểm đã chuẩn hoá, không phải tỉ lệ phần trăm trả lời đúng — nên không suy ra được "cần đúng bao nhiêu câu".
• Hiệu lực chứng chỉ: phải duy trì bằng CPE hằng năm và trả phí thành viên
• Điều kiện cấp chứng chỉ: thi đậu là một việc, nhưng để được cấp chứng chỉ còn phải chứng minh kinh nghiệm làm việc và được ISACA xác nhận. Thi được trước, nộp hồ sơ kinh nghiệm sau (trong 5 năm).
• Lệ phí tham khảo: 575 USD (thành viên ISACA) / 760 USD (không phải thành viên)
• Kinh nghiệm yêu cầu để được cấp: 5 năm làm kiểm toán, kiểm soát hoặc bảo mật hệ thống thông tin. Có đường miễn giảm tối đa 3 năm nhờ bằng cấp hoặc kinh nghiệm liên quan.

CISA là chứng chỉ kiểm toán hệ thống thông tin được công nhận rộng nhất. Điểm khác căn bản so với CISSP: CISA hỏi ở góc nhìn người kiểm toán — đánh giá xem biện pháp kiểm soát có tồn tại, có vận hành, có hiệu quả hay không; chứ không phải người thiết kế hay người vận hành biện pháp đó.

2. NỘI DUNG ÔN TẬP THEO 5 DOMAIN

Domain 4 và 5 cộng lại là 52% — hơn một nửa đề. Domain 3 nhẹ nhất (12%). Nhiều người dồn thời gian vào Domain 1 vì nó là "quy trình kiểm toán" nghe trọng tâm, nhưng nó chỉ 18%.

Domain 1: Quy trình kiểm toán hệ thống thông tin (18%)

• Chuẩn, hướng dẫn và quy tắc đạo đức kiểm toán IS — ISACA Code of Professional Ethics (đề hỏi trực tiếp).
• Quản lý dự án kiểm toán: mục tiêu, phạm vi, lập kế hoạch dựa trên rủi ro, phân bổ nguồn lực.
• Phương pháp kiểm thử và lấy mẫu: lấy mẫu thống kê và không thống kê, attribute sampling và variable sampling, cỡ mẫu, kiểm thử tuân thủ (compliance test) so với kiểm thử thực chứng (substantive test).
• Thu thập bằng chứng: phỏng vấn, quan sát, soát tài liệu, kiểm thử lại; độ tin cậy của từng loại bằng chứng (bằng chứng do kiểm toán viên tự thu được tin hơn bằng chứng do đơn vị cung cấp).
• Phân tích dữ liệu kiểm toán (audit data analytics), CAAT — công cụ kiểm toán có trợ giúp máy tính.
• Báo cáo và truyền đạt: cấu trúc báo cáo, phát hiện và khuyến nghị, theo dõi khắc phục (follow-up).
• Bảo đảm chất lượng quy trình kiểm toán; kiểm soát nội bộ và loại biện pháp kiểm soát (preventive, detective, corrective).

Domain 2: Quản trị và quản lý IT (18%)

• Luật, quy định và chuẩn ngành ảnh hưởng tới tổ chức.
• Cơ cấu tổ chức và quản trị IT: vai trò hội đồng quản trị, ban điều hành, IT steering committee; COBIT.
• Chính sách, chuẩn, thủ tục của IT; enterprise architecture.
• Quản lý rủi ro doanh nghiệp: xác định, đánh giá, xử lý, giám sát; khẩu vị rủi ro.
• Chương trình quyền riêng tư và quản trị dữ liệu (data governance).
• Quản lý nguồn lực IT, quản lý nhà cung cấp và hợp đồng thuê ngoài, quản lý hiệu năng (KPI, balanced scorecard).
• Quản lý tính liên tục kinh doanh ở cấp quản trị.

Domain 3: Mua sắm, phát triển và triển khai hệ thống (12%)

• Đánh giá tính khả thi và phân tích lợi ích chi phí; quản lý dự án IT.
• Phương pháp phát triển: waterfall, Agile, DevOps, prototyping; kiểm soát trong từng phương pháp.
• Kiểm soát ứng dụng: input, processing, output control; separation of duties trong phát triển.
• Kiểm thử: unit, integration, system, UAT, regression; kiểm soát môi trường (dev / test / prod).
• Chuyển đổi hệ thống và di chuyển dữ liệu; kiểm thử chuyển đổi; kế hoạch quay lui.
• Soát hậu triển khai (post-implementation review).

Domain 4: Vận hành hệ thống và khả năng chống chịu (26%) — nặng nhất

• Quản lý tài sản IT, quản lý cấu hình, quản lý vòng đời tài sản.
• Quản lý thay đổi, phát hành và bản vá — và kiểm soát emergency change (chỗ đề hay hỏi).
• Quản lý cơ sở dữ liệu; lập lịch công việc và tự động hoá; quản lý sự cố và vấn đề (incident và problem management).
• Giám sát hiệu năng và dung lượng; quản lý mức dịch vụ (SLA).
• Phân tích tác động kinh doanh (BIA); khả năng chống chịu hệ thống (clustering, redundancy, failover).
• Sao lưu và khôi phục dữ liệu: loại sao lưu, chu kỳ, kiểm chứng phục hồi, lưu ngoài địa điểm.
• Kế hoạch liên tục kinh doanh (BCP) và kế hoạch khôi phục thảm hoạ (DRP): RTO, RPO, loại site dự phòng (hot, warm, cold, mobile, reciprocal), kiểm thử kế hoạch (checklist, walkthrough, simulation, parallel, full interruption).

Domain 5: Bảo vệ tài sản thông tin (26%) — nặng nhất

• Khung và chuẩn bảo mật thông tin; phân loại tài sản và dữ liệu.
• An toàn vật lý và môi trường: kiểm soát vào ra, giám sát, điện và HVAC, chống cháy.
• Quản lý danh tính và truy cập: nguyên tắc least privilege và need-to-know, mô hình kiểm soát truy cập, xác thực và MFA, quản lý tài khoản đặc quyền, soát truy cập định kỳ.
• An toàn mạng và endpoint: phân đoạn, firewall, IDS/IPS, mạng không dây, truy cập từ xa, bảo vệ thiết bị đầu cuối.
• Mã hoá dữ liệu: đối xứng và bất đối xứng, PKI, quản lý khoá, mã hoá khi lưu và khi truyền.
• Bảo mật dữ liệu: DLP, masking, tokenization, tiêu huỷ dữ liệu an toàn.
• Quản lý sự kiện bảo mật: ghi log, SIEM, giám sát, ứng cứu sự cố, pháp y số và chuỗi giữ bằng chứng.
• Chương trình nhận thức bảo mật; quản lý lỗ hổng và kiểm thử xâm nhập.

3. HAI ĐIỀU QUYẾT ĐỊNH ĐẬU HAY TRƯỢT

Trả lời ở góc nhìn kiểm toán viên. Khi đề hỏi "kiểm toán viên nên làm gì", đáp án đúng gần như luôn là thu thập thêm bằng chứng, báo cáo cho cấp có thẩm quyền, hoặc đánh giá mức rủi ro — không phải tự đi sửa vấn đề. Kiểm toán viên không triển khai biện pháp kiểm soát; làm vậy là phá vỡ tính độc lập. Đây là bẫy phổ biến nhất với người làm kỹ thuật chuyển sang thi CISA.

Thứ tự ưu tiên khi phát hiện vấn đề: đánh giá tác động → thu thập bằng chứng đầy đủ → báo cáo cho quản lý cấp phù hợp → theo dõi khắc phục. Và nếu phát hiện gian lận thì không điều tra tiếp một mình mà báo cho cấp có thẩm quyền và bộ phận pháp chế.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• Exam Content Outline CISA: https://www.isaca.org/credentialing/cisa/cisa-exam-content-outline
• Trang chứng chỉ: https://www.isaca.org/credentialing/cisa
• Cách chấm điểm của ISACA: https://support.isaca.org/s/article/Exams-How-is-my-Certification-exam-scored-brief-version
• COBIT: https://www.isaca.org/resources/cobit

Lưu ý: Tỉ lệ domain lấy từ Exam Content Outline chính thức trên isaca.org, tra ngày 03/10/2026. ISACA cập nhật job practice theo chu kỳ vài năm — đối chiếu lại trang Exam Content Outline trước khi đặt lịch thi.