ISO/IEC 27001 Lead Auditor

ISO/IEC 27001 Lead Auditor (PECB) – TÀI LIỆU ÔN TẬP

⚠ HAI ĐIỀU PHẢI BIẾT TRƯỚC KHI ÔN

1. ISO không tổ chức thi. Chứng chỉ do các đơn vị cấp khác nhau phát hành — PECB, BSI, TÜV, Mastermind và nhiều nơi khác — mỗi nơi một cấu trúc đề và một cách chấm. Nội dung dưới đây dựa trên cấu trúc của PECB (tên các mục trong danh mục này khớp cách đặt tên của PECB, và thời lượng cũng khớp). Thi với đơn vị khác thì phải lấy cấu trúc từ chính đơn vị đó.

2. Bản 2013 đã chết. ISO/IEC 27001:2013 bị thu hồi 25/10/2022, hạn chuyển đổi kết thúc 31/10/2025 — đã qua. Bản duy nhất còn hiệu lực là ISO/IEC 27001:2022, với Annex A gồm 93 control trong 4 nhóm thay cho 114 control trong 14 nhóm. Tài liệu nào còn nói "114 control" là tài liệu của một tiêu chuẩn đã bị thu hồi.

3. Và một điều về chính kỳ thi này: đề Lead Auditor của PECB là TỰ LUẬN 12 câu, không phải trắc nghiệm. Bộ đề trắc nghiệm trong mục này dùng để kiểm tra kiến thức, nhưng không mô phỏng được định dạng của kỳ thi thật. Xem mục 2 để biết chi tiết. (Đối chiếu ngày 03/10/2026.)

1. TỔNG QUAN KỲ THI

Thông số của PECB:

• Dạng đề: TỰ LUẬN (essay-type) — không phải trắc nghiệm
• Số câu: 12 câu, tổng 75 điểm
• Thời gian: 3 giờ (180 phút) — khoảng 15 phút mỗi câu
• Điểm đạt: 70% số điểm
• Hình thức: mở sách
• Thêm giờ: PECB cho thêm 30 phút với kỳ thi cấp Lead nếu thi bằng ngôn ngữ không phải tiếng mẹ đẻ — xin vào ngày thi.
• Điều kiện cấp chứng chỉ: ngoài việc thi đậu, phải chứng minh kinh nghiệm làm việc và số ngày đánh giá (audit days) theo bảng của PECB.

Điều này nghĩa là gì với bạn. Đề tự luận 12 câu, mở sách, 15 phút mỗi câu — bạn phải viết ra lập luận của một lead auditor, không phải chọn A/B/C/D. Bộ đề trắc nghiệm trong mục này vẫn hữu ích để kiểm xem bạn biết gì, nhưng để luyện định dạng thì phải tập viết: nêu phát hiện, dẫn điều khoản, phân loại mức độ, đề xuất hành động.

Lead Auditor là chứng chỉ cho người đánh giá ISMS của tổ chức khác — khác Lead Implementer (người xây dựng ISMS).

2. NỘI DUNG ÔN TẬP THEO 7 DOMAIN — VÀ TỈ LỆ ĐIỂM KHÁC TỈ LỆ CÂU

PECB công bố cả hai cách tính, và chúng không giống nhau. Đây là chỗ quan trọng: điểm mới là thứ quyết định đậu hay trượt.

Domain 6 "Closing an audit" là 25% số câu nhưng 33,33% số điểm — một phần ba điểm của cả kỳ thi nằm ở ba câu. Đây là phần phải viết tốt nhất: phân loại phát hiện, viết báo cáo đánh giá, kết luận và khuyến nghị chứng nhận.

Ngược lại, ba domain 3, 4, 5 cộng lại chỉ 20% điểm dù chúng là phần "làm đánh giá" mà người học thường dồn thời gian nhất.

Theo mức nhận thức:

Domain 1: Nguyên lý và khái niệm nền tảng của ISMS (2 câu — 20% điểm)

• CIA; quan hệ lỗ hổng – mối đe doạ – rủi ro – tác động.
• Phân loại biện pháp kiểm soát theo loại và theo chức năng.
• Quy trình quản lý rủi ro an toàn thông tin.
• Luật, quy định và tiêu chuẩn liên quan.

Domain này nhẹ về số câu nhưng nặng nhất về điểm mỗi câu (15 điểm cho 2 câu) — nên đừng coi là phần "lý thuyết cho qua".

Domain 2: Hệ thống quản lý an toàn thông tin (2 câu — 13,33% điểm)

• Điều khoản 4–10 của ISO/IEC 27001 và yêu cầu của từng điều khoản.
• Annex A bản 2022: 93 control trong 4 nhóm.
• Statement of Applicability, Risk Treatment Plan, và các tài liệu bắt buộc khác — auditor phải biết tài liệu nào bắt buộc có.

Domain 3: Khái niệm và nguyên lý đánh giá nền tảng (1 câu — 6,67% điểm)

• ISO 19011 — hướng dẫn đánh giá hệ thống quản lý; đây là tiêu chuẩn thứ hai mà Lead Auditor phải biết, ngoài 27001.
• Bảy nguyên lý đánh giá: tính chính trực, trình bày công bằng, cẩn trọng nghề nghiệp, bảo mật, độc lập, cách tiếp cận dựa trên bằng chứng, cách tiếp cận dựa trên rủi ro.
• Loại đánh giá: nội bộ (bên thứ nhất), bên thứ hai, chứng nhận (bên thứ ba).
• Vai trò: audit team leader, auditor, technical expert, observer, guide, auditee, client.

Domain 4: Chuẩn bị đánh giá (1 câu — 6,67% điểm)

• Xác định mục tiêu, phạm vi và tiêu chí đánh giá.
• Xem xét tài liệu trước khi đánh giá tại chỗ.
• Lập kế hoạch đánh giá (audit plan) và chương trình làm việc; phân công đội.
• Chuẩn bị danh mục kiểm tra (checklist) và mẫu lấy mẫu.
• Đánh giá giai đoạn 1 và giai đoạn 2 — khác nhau ở đâu và mỗi giai đoạn nhằm gì.

Domain 5: Thực hiện đánh giá (1 câu — 6,67% điểm)

• Họp khai mạc (opening meeting); giao tiếp trong quá trình đánh giá.
• Thu thập và kiểm chứng bằng chứng: phỏng vấn, quan sát, xem tài liệu, lấy mẫu.
• Ghi nhận phát hiện (audit finding); kiểm chứng trước khi kết luận.
• Xử lý tình huống khó: auditee không hợp tác, bằng chứng không đủ, phát hiện ngoài phạm vi.
• Đạo đức nghề nghiệp: xử lý xung đột lợi ích (ví dụ từng tham gia đánh giá nội bộ cho chính tổ chức đó), xử lý thông tin ngoài phạm vi.

Domain 6: Kết thúc đánh giá (3 câu — 33,33% điểm) — nặng nhất về điểm

• Phân loại phát hiện: major nonconformity, minor nonconformity, opportunity for improvement, observation — và tiêu chí phân biệt. Đây là chỗ hỏi nhiều nhất.
• Họp bế mạc (closing meeting): trình bày phát hiện, xử lý phản hồi của auditee.
• Viết báo cáo đánh giá: cấu trúc, nội dung bắt buộc, cách diễn đạt phát hiện (nêu bằng chứng, dẫn điều khoản, nêu sự không phù hợp).
• Kết luận và khuyến nghị chứng nhận: cấp, không cấp, hoặc cấp sau khi khắc phục.
• Theo dõi hành động khắc phục; xác minh hiệu quả; đánh giá bổ sung nếu cần.

Domain 7: Quản lý chương trình đánh giá (2 câu — 13,34% điểm)

• Thiết lập và quản lý chương trình đánh giá (audit programme) — khác với một cuộc đánh giá đơn lẻ.
• Xác định mục tiêu, nguồn lực, rủi ro của chương trình.
• Chọn và đánh giá năng lực của auditor; duy trì và phát triển năng lực.
• Theo dõi, soát xét và cải tiến chương trình đánh giá.

3. BA ĐIỀU QUYẾT ĐỊNH

Dồn sức vào Domain 6. Một phần ba điểm của cả kỳ thi nằm ở ba câu về kết thúc đánh giá. Phải viết được: phân loại một phát hiện là major hay minor và giải thích tiêu chí, diễn đạt một nonconformity đúng cách (bằng chứng + điều khoản bị vi phạm + mô tả sự không phù hợp), và đưa ra khuyến nghị chứng nhận có cơ sở.

Major so với minor nonconformity là ranh giới bị hỏi nhiều nhất. Nguyên tắc: major là khi sự không phù hợp làm ISMS không đạt được kết quả dự kiến — ví dụ thiếu hẳn một quy trình bắt buộc, hoặc nhiều minor cùng loại cho thấy hệ thống hỏng. Minor là sai lệch đơn lẻ không phá vỡ khả năng của hệ thống.

Auditor không tư vấn. Đây là bẫy đạo đức xuất hiện trong hầu hết các đề: khi auditee hỏi "nên làm thế nào", lead auditor không được đưa ra giải pháp — làm vậy là phá vỡ tính độc lập và tạo xung đột lợi ích ở lần đánh giá sau. Lựa chọn đúng luôn là nêu sự không phù hợp và để tổ chức tự tìm cách khắc phục.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• PECB ISO/IEC 27001 Lead Auditor: https://pecb.com/en/education-and-certification-for-individuals/iso-iec-27001/iso-iec-27001-lead-auditor
• Candidate Handbook (PDF): https://pecb.com/pdf/candidate-handbooks/pecb-candidate-handbook-iso-27001-lead-auditor.pdf
• ISO/IEC 27001:2022 trên trang ISO: https://www.iso.org/standard/27001
• ISO 19011 (hướng dẫn đánh giá hệ thống quản lý): https://www.iso.org/standard/70017.html
• Yêu cầu chuyển đổi của IAF (IAF MD 26): https://iaf.nu/iaf_system/uploads/documents/IAF_MD26_Issue_2_15012023.pdf

Lưu ý: Bảng số câu, số điểm và tỉ lệ từng domain trích trực tiếp từ PECB Candidate Handbook của ISO/IEC 27001 Lead Auditor, tra ngày 03/10/2026. Đã cộng chéo: tổng số câu ra 12, tổng điểm ra 75, cả hai cột tỉ lệ ra 100%, và tổng theo mức nhận thức (7 + 5) cũng ra 12.

Về số câu trong danh mục: mục này ghi 80 câu — đó là số câu của các đề luyện trắc nghiệm ở đây, không phải số câu của kỳ thi PECB thật (12 câu tự luận). Hai thứ khác nhau về bản chất nên tài liệu này không sửa con số đó mà nói rõ sự khác biệt, để người học không tưởng mình đang luyện đúng định dạng.

Bảng này chỉ đúng cho kỳ thi của PECB. Thi với đơn vị khác thì cấu trúc sẽ khác.