ISACA Certified Information Security Manager

ISACA CISM – Certified Information Security Manager – TÀI LIỆU ÔN TẬP

Đề cương đổi ngày 03/11/2026. ISACA đã công bố bản mới, hiệu lực từ 03/11/2026 — khoảng một tháng nữa tính từ 03/10/2026.

Tỉ lệ đổi nhẹ (Governance 17%→18%, Incident Management 30%→29%), nhưng bản mới thêm hai nội dung hẳn: enterprise architecture và information security architecture. Bảng bên dưới có cả hai bản.

Nếu bạn thi trước 03/11/2026 thì ôn theo cột hiện hành; thi sau thì theo cột mới và phải bổ sung hai phần kiến trúc. (Đối chiếu ngày 03/10/2026.)

1. TỔNG QUAN KỲ THI

• Mã: CISM
• Số câu: 150 câu trắc nghiệm
• Thời gian: 4 giờ (240 phút) — khoảng 1,6 phút mỗi câu
• Cách chấm: quy về thang 200–800, đạt từ 450. Đây là điểm đã chuẩn hoá, không phải tỉ lệ phần trăm trả lời đúng — nên không suy ra được "cần đúng bao nhiêu câu".
• Hiệu lực chứng chỉ: phải duy trì bằng CPE hằng năm và trả phí thành viên
• Điều kiện cấp chứng chỉ: thi đậu là một việc, nhưng để được cấp chứng chỉ còn phải chứng minh kinh nghiệm làm việc và được ISACA xác nhận. Thi được trước, nộp hồ sơ kinh nghiệm sau (trong 5 năm).
• Lệ phí tham khảo: 575 USD (thành viên) / 760 USD (không phải thành viên)
• Kinh nghiệm yêu cầu để được cấp: 5 năm làm an toàn thông tin, trong đó 3 năm ở vai trò quản lý trên ít nhất 3 trong 4 domain. Có đường miễn giảm tối đa 2 năm.

CISM là chứng chỉ quản lý an toàn thông tin — không phải chứng chỉ kỹ thuật. Đề hỏi ở góc nhìn người chịu trách nhiệm về chương trình bảo mật: ưu tiên việc gì, báo cáo cho ai, biện minh ngân sách thế nào, gắn bảo mật với mục tiêu kinh doanh ra sao.

2. NỘI DUNG ÔN TẬP THEO 4 DOMAIN — SO SÁNH HAI BẢN

Domain 3 và 4 cộng lại là 62–63% — gần hai phần ba đề. Đây là điểm khác lớn nhất so với CISSP (phân bổ đều): CISM dồn hẳn vào xây dựng chương trình và quản lý sự cố.

Bản mới thêm hai nội dung vào đề cương: enterprise architecture và information security architecture.

Domain 1: Information Security Governance (17% → 18%)

• Quản trị doanh nghiệp: văn hoá tổ chức, yêu cầu pháp lý và quy định, cơ cấu quản trị, vai trò và trách nhiệm (hội đồng quản trị, ban điều hành, CISO, chủ sở hữu dữ liệu).
• Chiến lược an toàn thông tin: gắn với chiến lược kinh doanh, khung và chuẩn (ISO/IEC 27001, NIST CSF, COBIT), xây dựng business case và biện minh ngân sách, chỉ số quản trị.
• Chính sách, chuẩn, thủ tục và hướng dẫn — phân biệt bốn thứ này.
• Enterprise architecture và information security architecture (nội dung mới từ 03/11/2026).

Domain 2: Information Security Risk Management (20%)

• Đánh giá rủi ro: xác định tài sản, mối đe doạ, lỗ hổng; phân tích định tính và định lượng; BIA; đánh giá rủi ro bên thứ ba và chuỗi cung ứng.
• Xử lý rủi ro: bốn chiến lược (mitigate, transfer, avoid, accept); chọn biện pháp kiểm soát; phân tích chi phí–lợi ích; rủi ro còn lại và chấp nhận chính thức.
• Giám sát và báo cáo rủi ro: risk register, KRI (key risk indicator), ngưỡng rủi ro, báo cáo cho lãnh đạo.
• Quản lý rủi ro trong thay đổi: thẩm định an ninh khi mua sắm, khi tích hợp, khi sáp nhập.

Domain 3: Information Security Program (33%) — nặng nhất

• Xây dựng và quản lý chương trình: nguồn lực (người, quy trình, công nghệ), ngân sách, lộ trình, mô hình trưởng thành, cơ cấu đội ngũ và kỹ năng.
• Biện pháp kiểm soát và công nghệ bảo mật: chọn, triển khai, tích hợp vào quy trình kinh doanh; kiến trúc bảo mật.
• Chỉ số và báo cáo chương trình: KPI, hiệu quả của biện pháp kiểm soát, báo cáo cho các bên liên quan khác nhau (hội đồng quản trị cần gì, kỹ thuật cần gì).
• Quản lý nhà cung cấp và bên thứ ba: thẩm định, điều khoản hợp đồng, quyền kiểm toán, giám sát liên tục.
• Đào tạo nhận thức bảo mật và văn hoá an toàn; truyền thông nội bộ.
• Tích hợp bảo mật vào quản lý thay đổi, quản lý dự án, vòng đời phát triển.
• Quản lý tuân thủ và chuẩn bị cho audit.

Domain 4: Incident Management (30% → 29%)

• Chuẩn bị ứng cứu sự cố: kế hoạch, đội ngũ và vai trò, phân loại và mức độ sự cố, kế hoạch truyền thông (nội bộ, khách hàng, cơ quan quản lý, báo chí), playbook, đào tạo và diễn tập.
• Phát hiện và phân loại: nguồn phát hiện, triage, leo thang, tiêu chí tuyên bố sự cố.
• Xử lý: cô lập (containment) → diệt (eradication) → phục hồi (recovery); quyết định khi nào ngắt dịch vụ; phối hợp với bên ngoài.
• Pháp y số và bằng chứng: chuỗi giữ bằng chứng, bảo toàn bằng chứng, yêu cầu pháp lý, nghĩa vụ thông báo vi phạm dữ liệu.
• Sau sự cố: phân tích nguyên nhân gốc, bài học, cập nhật kế hoạch và biện pháp kiểm soát, báo cáo.
• Liên tục kinh doanh và khôi phục thảm hoạ: RTO, RPO, MTD, chiến lược khôi phục, kiểm thử kế hoạch.

3. HAI ĐIỀU QUYẾT ĐỊNH

Trả lời ở góc nhìn người quản lý chương trình bảo mật, không phải người kỹ thuật. Khi đề cho một tình huống và các đáp án đều hợp lý, CISM thường muốn việc gắn với mục tiêu kinh doanh và trách nhiệm quản trị: cập nhật đánh giá rủi ro, báo cáo cho lãnh đạo, sửa chính sách — chứ không phải triển khai một công cụ.

Câu hỏi "việc ĐẦU TIÊN nên làm là gì" xuất hiện rất nhiều. Thứ tự CISM gần như luôn muốn: hiểu yêu cầu kinh doanh trước → đánh giá rủi ro → rồi mới chọn biện pháp kiểm soát. Nhảy thẳng vào biện pháp kỹ thuật là đáp án sai, dù nó đúng về kỹ thuật.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• Exam Content Outline CISM: https://www.isaca.org/credentialing/cism/cism-exam-content-outline
• Thông báo cập nhật đề cương CISM 2026: https://www.isaca.org/about-us/newsroom/press-releases/2026/isaca-updates-cism-exam-content-outline-factoring-in-todays-technologies-security-responsibilities
• Trang chứng chỉ: https://www.isaca.org/credentialing/cism

Lưu ý: Tỉ lệ domain lấy từ Exam Content Outline chính thức trên isaca.org, tra ngày 03/10/2026. ISACA cập nhật job practice theo chu kỳ vài năm — đối chiếu lại trang Exam Content Outline trước khi đặt lịch thi.