ISC2 Certified Information Systems Security Professional

ISC2 CISSP – Certified Information Systems Security Professional – TÀI LIỆU ÔN TẬP

1. TỔNG QUAN KỲ THI

• Định dạng: CAT (Computerized Adaptive Testing)
• Số câu: 100–150 câu (không cố định)
• Thời gian: 3 giờ
• Điểm đậu: 700 trên thang 0–1000
• Cách chấm: bù trừ (compensatory) — làm tốt ở domain nặng có thể bù cho domain nhẹ, không cần đạt ngưỡng ở từng domain
• Lệ phí tham khảo: 749 USD
• Điều kiện: 5 năm kinh nghiệm làm việc có trả lương, tích luỹ trên ít nhất 2 trong 8 domain. Có thể miễn 1 năm nhờ bằng đại học liên quan hoặc một chứng chỉ trong danh sách ISC2 phê duyệt. Thiếu kinh nghiệm thì vẫn thi được và trở thành Associate of ISC2, có 6 năm để tích luỹ đủ.

CISSP là chứng chỉ bảo mật được công nhận rộng nhất ở cấp quản lý. Đề không hỏi cách cấu hình mà hỏi nên quyết định thế nào — phải trả lời ở góc nhìn người quản lý rủi ro, không phải góc nhìn người kỹ thuật.

2. NỘI DUNG ÔN TẬP THEO 8 DOMAIN

Phân bổ khá đều — không có domain nào vượt 16%. Nghĩa là không thể bỏ domain nào; chiến thuật "học chắc ba domain nặng" không dùng được với CISSP.

Domain 1: Security and Risk Management (16%)

• Khái niệm bảo mật: CIA triad, authenticity, non-repudiation; quản trị an toàn thông tin.
• Nguyên tắc đạo đức nghề nghiệp — ISC2 Code of Ethics (đề hỏi trực tiếp).
• Tuân thủ và yêu cầu pháp lý: luật về tội phạm mạng, yêu cầu về giấy phép và sở hữu trí tuệ, luật nhập khẩu/xuất khẩu, luồng dữ liệu xuyên biên giới, quyền riêng tư (GDPR và tương tự).
• Chính sách, chuẩn, quy trình, hướng dẫn (policy / standard / procedure / guideline — phân biệt rõ bốn thứ này).
• Yêu cầu về tính liên tục kinh doanh: BIA, RTO, RPO, MTD, chiến lược phục hồi.
• Chính sách an toàn nhân sự: tuyển dụng, thoả thuận, onboarding và offboarding, nhà cung cấp và nhà thầu, kiểm soát truy cập đặc quyền.
• Khái niệm quản lý rủi ro: xác định tài sản, đánh giá rủi ro (định tính và định lượng, SLE / ARO / ALE), xử lý rủi ro (giảm, chuyển, chấp nhận, tránh), chọn biện pháp kiểm soát, giám sát liên tục.
• Mô hình hoá mối đe doạ (threat modeling); rủi ro chuỗi cung ứng; đào tạo nhận thức bảo mật.

Domain 2: Asset Security (10%)

• Xác định và phân loại thông tin và tài sản.
• Thiết lập yêu cầu xử lý thông tin: chủ sở hữu, chủ dữ liệu (data owner / controller / processor / custodian / steward — phân vai rất hay bị hỏi).
• Quản lý vòng đời dữ liệu: thu thập, lưu trữ, dùng, lưu giữ, tiêu huỷ.
• Bảo đảm lưu giữ phù hợp; xác định biện pháp bảo vệ dữ liệu (DRM, DLP, CASB).

Domain 3: Security Architecture and Engineering (13%)

• Nguyên tắc thiết kế an toàn: secure defaults, fail securely, least privilege, defense in depth, separation of duties, zero trust, privacy by design, shared responsibility.
• Mô hình bảo mật: Bell-LaPadula, Biba, Clark-Wilson, Brewer-Nash.
• Tiêu chí đánh giá: Common Criteria, EAL.
• Lỗ hổng theo loại hệ thống: client, server, database, cryptographic system, ICS, IoT, embedded, cloud, virtualization, container, serverless, HPC, microservice.
• Mật mã học: đối xứng và bất đối xứng, PKI, quản lý khoá, chữ ký số, hàm băm, chữ ký số và non-repudiation, các dạng tấn công mật mã (brute force, known plaintext, side-channel, birthday, man-in-the-middle, Kerckhoffs).
• An toàn vật lý: chu vi, kiểm soát vào ra, điện và HVAC, chống cháy.

Domain 4: Communication and Network Security (13%)

• Nguyên tắc thiết kế mạng an toàn: mô hình OSI và TCP/IP, IPv4 và IPv6, giao thức an toàn, tác động của multilayer protocol, phân đoạn mạng (micro-segmentation, VLAN, screened subnet), SDN, SD-WAN, mạng không dây (Li-Fi, Zigbee, satellite), CDN.
• Thành phần mạng an toàn: thiết bị, phương tiện truyền, kiểm soát truy cập endpoint.
• Kênh truyền an toàn: voice, hội nghị từ xa, truy cập từ xa, truyền dữ liệu, mạng ảo hoá, thiết bị bên thứ ba.

Domain 5: Identity and Access Management (13%)

• Kiểm soát truy cập vật lý và logic.
• Quản lý danh tính: triển khai IdP, SSO, federation, just-in-time provisioning.
• Dịch vụ xác thực: OIDC/OAuth, SAML, Kerberos, RADIUS/TACACS+.
• Quản lý vòng đời danh tính và cấp quyền.
• Mô hình kiểm soát truy cập: DAC, MAC, RBAC, ABAC, rule-based, risk-based — và chọn đúng mô hình cho một tình huống.

Domain 6: Security Assessment and Testing (12%)

• Thiết kế chiến lược đánh giá và kiểm thử: nội bộ, bên ngoài, bên thứ ba.
• Kiểm thử kiểm soát bảo mật: đánh giá lỗ hổng, kiểm thử xâm nhập, soát log, tổng hợp giao dịch, soát và kiểm thử mã, kiểm thử giao diện, misuse case, phân tích độ phủ kiểm thử, interface testing, breach attack simulation, compliance check.
• Thu thập dữ liệu quy trình bảo mật: quản lý tài khoản, soát của ban lãnh đạo, chỉ số và KPI, kiểm chứng sao lưu, đào tạo, BCP và DRP.
• Phân tích và báo cáo kết quả; thực hiện hoặc hỗ trợ audit.

Domain 7: Security Operations (13%)

• Điều tra: thu thập và xử lý bằng chứng, báo cáo, quy trình điều tra, kỹ thuật pháp y số, artifact; loại điều tra (hành chính, hình sự, dân sự, quy định).
• Ghi log và giám sát: IDS/IPS, SIEM, phân tích hành vi người dùng, threat intelligence, egress monitoring.
• Quản lý cấu hình, khái niệm vận hành nền tảng (least privilege, separation of duties, job rotation, need-to-know, SLA).
• Áp dụng bảo vệ tài nguyên: media management, media protection.
• Ứng cứu sự cố: detection, response, mitigation, reporting, recovery, remediation, lessons learned.
• Kiểm soát phòng ngừa: firewall, IDS/IPS, whitelist/blacklist, honeypot, sandbox, anti-malware, AI-based tool.
• Quản lý bản vá và lỗ hổng; quy trình quản lý thay đổi.
• Chiến lược phục hồi: backup, recovery site, multiple processing site, khả năng chịu lỗi hệ thống.
• DRP: response, personnel, communication, assessment, restoration, training; kiểm thử DRP (read-through, tabletop, walkthrough, simulation, parallel, full interruption).
• Tham gia kế hoạch liên tục kinh doanh; an toàn vật lý; quan tâm tới an toàn nhân sự (duress, travel, monitoring).

Domain 8: Software Development Security (10%)

• Bảo mật trong vòng đời phát triển: phương pháp (Agile, Waterfall, DevOps, DevSecOps), mô hình trưởng thành (CMM, SAMM), vận hành và bảo trì, quản lý thay đổi, IPT.
• Kiểm soát trong hệ sinh thái phát triển: môi trường lập trình, quản lý mã nguồn, CI/CD, quản lý cấu hình, bảo mật kho mã, phân tích thành phần phần mềm (SCA).
• Đánh giá hiệu quả bảo mật phần mềm: audit và log thay đổi, phân tích và giảm thiểu rủi ro.
• Đánh giá tác động bảo mật của phần mềm mua về: COTS, open source, third-party, managed service.
• Áp dụng hướng dẫn mã hoá an toàn: điểm yếu mã nguồn (OWASP Top 10), rủi ro thư viện và API, kiểm thử tĩnh và động, secure coding practice, bảo mật ứng dụng do người dùng tự xây.

3. HAI ĐIỀU QUYẾT ĐỊNH ĐẬU HAY TRƯỢT

Trả lời ở góc nhìn người quản lý, không phải người kỹ thuật. Đây là nguyên nhân trượt phổ biến nhất của người làm kỹ thuật lâu năm. Khi đề cho một tình huống và bốn đáp án đều "đúng về kỹ thuật", đáp án CISSP muốn thường là cái giải quyết gốc rễ và đúng quy trình: bảo vệ tính mạng con người trước, rồi tới chính sách và quản trị, rồi mới tới biện pháp kỹ thuật. Thứ tự ưu tiên bất di bất dịch: an toàn con người > bảo vệ tài sản > khôi phục dịch vụ.

Về định dạng CAT (Computerized Adaptive Testing): đề tự điều chỉnh độ khó theo câu trả lời của bạn. Hệ quả thực tế:

• Không quay lại được câu đã làm. Trả lời là chốt, không sửa, không đánh dấu để làm sau.
• Số câu không cố định — đề dừng ngay khi hệ thống đủ cơ sở kết luận bạn trên hay dưới ngưỡng.
• Thấy câu càng khó thường là dấu hiệu tốt, không phải dấu hiệu xấu.
• Vì không quay lại được, chiến thuật "làm nhanh rồi rà lại" không dùng được — phải cân nhắc đủ ngay lần đầu.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• Exam Outline CISSP: https://www.isc2.org/certifications/cissp/cissp-certification-exam-outline
• Trang chứng chỉ: https://www.isc2.org/Certifications/CISSP
• Giải thích định dạng CAT: https://www.isc2.org/certifications/computerized-adaptive-testing
• Cách chấm điểm của ISC2: https://www.isc2.org/Register-for-Exam/Exam-Scoring-FAQs

Lưu ý: Tỉ lệ domain lấy từ Exam Outline chính thức của ISC2, bản hiệu lực 15/04/2024, tra ngày 03/10/2026. ISC2 làm mới đề cương theo chu kỳ Job Task Analysis — đối chiếu lại trang Exam Outline trước khi đặt lịch thi.