ISO/IEC 27005 Risk Manager

ISO/IEC 27005 Risk Manager (PECB) – TÀI LIỆU ÔN TẬP

⚠ BA ĐIỀU PHẢI BIẾT TRƯỚC KHI ÔN

1. ISO không tổ chức thi. Chứng chỉ do các đơn vị cấp khác nhau phát hành. "ISO/IEC 27005 Risk Manager" là tên sản phẩm riêng của PECB — các đơn vị khác đặt tên và chia đề khác. Nội dung dưới đây theo cấu trúc của PECB, và số liệu trong danh mục khớp PECB chính xác (60 câu / 120 phút).

2. ISO/IEC 27005 là HƯỚNG DẪN, không phải tiêu chuẩn chứng nhận. Khác 27001 — tổ chức được chứng nhận theo 27001, nhưng 27005 chỉ hướng dẫn cách quản lý rủi ro an toàn thông tin. Bản hiện hành là ISO/IEC 27005:2022.

3. Đề là TỰ LUẬN và MỞ SÁCH. 60 câu tự luận trong 2 giờ. Bộ đề trắc nghiệm ở đây dùng để kiểm tra kiến thức, nhưng không mô phỏng được định dạng thi thật. (Đối chiếu ngày 03/10/2026.)

1. TỔNG QUAN KỲ THI

Thông số của PECB:

• Dạng đề: tự luận (essay-type)
• Số câu: 60 câu
• Thời gian: 2 giờ (120 phút) — chỉ 2 phút mỗi câu
• Điểm đạt: 70%
• Hình thức: mở sách
• Thêm giờ: PECB cho thêm 20 phút với kỳ thi cấp Manager nếu thi bằng ngôn ngữ không phải tiếng mẹ đẻ — xin vào ngày thi.
• Điều kiện cấp chứng chỉ: thi đậu cộng kinh nghiệm làm việc theo bảng của PECB.

Số liệu trong danh mục (120 phút / 60 câu) khớp chính xác với PECB — đây là mục duy nhất trong nhóm ISO không cần sửa gì.

Lưu ý về nhịp làm bài: 60 câu tự luận trong 120 phút là 2 phút mỗi câu. Mở sách nhưng không có thời gian tra — tài liệu chỉ để xác nhận lại điều đã biết. Và PECB còn có bản Lead Risk Manager riêng (dài hơn, nhiều điểm hơn) — đừng lẫn hai cái.

2. NỘI DUNG ÔN TẬP THEO 4 DOMAIN — VÀ MỘT DOMAIN CHIẾM HƠN NỬA ĐỀ

Domain 3 chiếm 51,67% — hơn một nửa đề. Đây là mức tập trung cao nhất vào một domain trong toàn bộ danh mục chứng chỉ này. Nếu bạn chỉ có thời gian cho một phần, chọn domain 3 và không cần cân nhắc.

Theo mức nhận thức:

Hơn một nửa đề ở mức tổng hợp và đánh giá — đề cho tình huống rồi hỏi phương án nào phù hợp hơn và vì sao.

Domain 1: Nguyên lý và khái niệm nền tảng (13 câu — 21,67%)

• Khái niệm rủi ro trong an toàn thông tin: quan hệ tài sản – mối đe doạ – lỗ hổng – hệ quả – khả năng xảy ra.
• Phân biệt rủi ro (risk), sự kiện rủi ro (risk event), tác động (impact), và mức rủi ro (level of risk).
• Khẩu vị rủi ro (risk appetite) và mức chấp nhận rủi ro (risk tolerance / risk acceptance criteria).
• Quan hệ giữa ISO/IEC 27005 và ISO/IEC 27001 (điều khoản 6.1.2 và 6.1.3 về đánh giá và xử lý rủi ro), ISO 31000 (khung quản lý rủi ro chung), ISO/IEC 27002 (bộ control).
• Vai trò và trách nhiệm trong quản lý rủi ro: chủ sở hữu rủi ro (risk owner), chủ sở hữu tài sản, người ra quyết định.

Domain 2: Triển khai chương trình quản lý rủi ro (7 câu — 11,67%)

• Thiết lập bối cảnh: phạm vi, ranh giới, tiêu chí.
• Xây dựng chính sách và phương pháp luận quản lý rủi ro cho tổ chức.
• Tổ chức nguồn lực, phân vai, lập kế hoạch.
• Tích hợp quản lý rủi ro vào quy trình kinh doanh và vào ISMS.
• Truyền thông và tham vấn với các bên liên quan.

Domain 3: Khung và quy trình theo ISO/IEC 27005 (31 câu — 51,67%) — hơn nửa đề

Đây là quy trình trung tâm của cả kỳ thi. Các bước theo ISO/IEC 27005:2022:

• Thiết lập bối cảnh (context establishment): tiêu chí đánh giá rủi ro, tiêu chí tác động, tiêu chí chấp nhận rủi ro; phạm vi và ranh giới.
• Nhận diện rủi ro (risk identification) — hai cách tiếp cận của bản 2022:
  • Hướng tiếp cận dựa trên sự kiện (event-based): bắt đầu từ các sự kiện rủi ro và kịch bản ở mức chiến lược;
  • Hướng tiếp cận dựa trên tài sản (asset-based): bắt đầu từ tài sản, mối đe doạ và lỗ hổng. Phân biệt hai hướng này là điểm mới đáng chú ý của bản 2022.
• Phân tích rủi ro (risk analysis): đánh giá hệ quả và khả năng xảy ra; phương pháp định tính, định lượng, bán định lượng; xác định mức rủi ro.
• Đánh giá rủi ro (risk evaluation): so sánh với tiêu chí; xếp thứ tự ưu tiên xử lý.
• Xử lý rủi ro (risk treatment): bốn phương án — tránh (avoid), giảm/điều chỉnh (modify), chia sẻ (share), chấp nhận (retain/accept); chọn biện pháp kiểm soát; lập Risk Treatment Plan; rủi ro còn lại (residual risk) và việc chấp nhận chính thức bởi chủ sở hữu rủi ro.
• Theo dõi và soát xét rủi ro; cập nhật khi bối cảnh đổi.
• Ghi nhận và báo cáo: hồ sơ rủi ro (risk register), báo cáo cho lãnh đạo.

Domain 4: Các phương pháp đánh giá rủi ro khác (9 câu — 15%)

ISO/IEC 27005 không bắt buộc một phương pháp cụ thể, nên đề kiểm cả các phương pháp phổ biến khác:

• OCTAVE (và OCTAVE Allegro) — hướng tổ chức tự đánh giá.
• MEHARI — phương pháp của Pháp, PECB có khoá riêng kết hợp 27005 với MEHARI.
• EBIOS — phương pháp của Pháp, hướng kịch bản.
• FAIR — định lượng rủi ro theo giá trị tiền.
• NIST SP 800-30 — hướng dẫn đánh giá rủi ro của Mỹ.
• CRAMM, ISAMM và các phương pháp khác ở mức nhận biết.
• So sánh: khi nào chọn định tính, khi nào cần định lượng; ưu và nhược của từng phương pháp.

3. BA ĐIỀU QUYẾT ĐỊNH

Dồn vào Domain 3 — hơn nửa đề. 31 trong 60 câu nằm ở quy trình quản lý rủi ro theo 27005. Phải thuộc trình tự các bước và biết mỗi bước cho ra đầu ra gì: thiết lập bối cảnh → nhận diện → phân tích → đánh giá → xử lý → theo dõi và soát xét, với truyền thông và tham vấn chạy song song suốt quá trình.

Phân biệt hai hướng nhận diện rủi ro của bản 2022. Đây là điểm mới: event-based đi từ kịch bản và sự kiện ở mức chiến lược; asset-based đi từ tài sản – mối đe doạ – lỗ hổng theo cách truyền thống. Bản 2018 chỉ nhấn hướng asset-based. Đề hay cho một tình huống rồi hỏi hướng nào phù hợp hơn.

Ai chấp nhận rủi ro còn lại? Câu lặp lại nhiều nhất. Không phải người làm quản lý rủi ro, không phải bộ phận IT — mà là chủ sở hữu rủi ro (risk owner), tức người quản lý nghiệp vụ chịu tác động, hoặc cấp lãnh đạo có thẩm quyền. Người làm quản lý rủi ro chỉ đề xuất và ghi nhận.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• PECB ISO/IEC 27005 Risk Manager — khoá và chứng chỉ: https://pecb.com/pdf/brochures/iso-iec-27005-risk-manager-en.pdf
• Candidate Handbook (PDF): https://pecb.com/pdf/candidate-handbooks/pecb-candidate-handbook-iso-27005-risk-manager-fr.pdf
• Certification Scheme ISO/IEC 27005:2022 của PECB: https://pecb.com/pdf/brochures/05071-PO3-isoiec-27005-2022-certification-scheme_v5.0.pdf
• ISO/IEC 27005 trên trang ISO: https://www.iso.org/standard/80585.html
• ISO 31000 (quản lý rủi ro — khung chung): https://www.iso.org/standard/65694.html

Lưu ý: Bảng số câu từng domain và bảng theo mức nhận thức trích trực tiếp từ PECB Candidate Handbook phiên bản 5.3 của ISO/IEC 27005 Risk Manager, tra ngày 03/10/2026. Đã cộng chéo: tổng số câu ra đúng 60, tổng tỉ lệ ra 100%, và tổng theo mức nhận thức (29 + 31) cũng ra 60.

Số liệu trong danh mục (120 phút / 60 câu) khớp chính xác với PECB — mục này không cần sửa gì.

Bảng này chỉ đúng cho kỳ thi của PECB. Thi với đơn vị khác thì cấu trúc sẽ khác.