Certificate of Cloud Security Knowledge

CSA CCSK – Certificate of Cloud Security Knowledge – TÀI LIỆU ÔN TẬP

1. TỔNG QUAN KỲ THI

• Phiên bản hiện hành: CCSK v5
• Số câu: 60 câu trắc nghiệm, rút ngẫu nhiên từ một bộ câu hỏi lớn
• Thời gian: 120 phút
• Điểm đạt: 80% — tức phải đúng 48 trên 60 câu. Đây là ngưỡng cao nhất trong toàn bộ danh mục chứng chỉ này.
• Hình thức: mở sách (open-book), thi trực tuyến
• Lệ phí tham khảo: khoảng 395 USD cho một token (gồm 2 lần thi)
• Hiệu lực: không hết hạn, không cần CPE, không cần phí duy trì — khác hầu hết chứng chỉ khác trong danh mục này.
• Điều kiện: không yêu cầu kinh nghiệm

Mở sách không có nghĩa là dễ. Ngưỡng 80% cộng với 120 phút cho 60 câu nghĩa là bạn chỉ có 2 phút mỗi câu — không đủ để tra cứu từ đầu. Mở sách chỉ giúp xác nhận lại điều mình đã biết. Ai vào thi với ý định "tra lúc làm" thì gần như chắc chắn hết giờ.

2. NỘI DUNG ÔN TẬP THEO 12 DOMAIN

CCSK là kỳ thi duy nhất trong danh mục này mà tỉ lệ quy ra được số câu chính xác, vì đề luôn đúng 60 câu:

Tổng đúng 60 câu. Nặng nhất là Cloud Workload Security (7 câu); nhẹ nhất là Related Technologies (3 câu).

Vì phải đúng 48/60 nên chỉ được sai 12 câu cho cả 12 domain — bỏ hẳn một domain nhẹ là đã tiêu mất một phần tư hạn mức sai.

Domain 1: Khái niệm và kiến trúc cloud (5 câu)

• Định nghĩa cloud computing theo NIST; năm đặc tính chính; ba mô hình dịch vụ (IaaS, PaaS, SaaS) và bốn mô hình triển khai.
• Mô hình trách nhiệm chia sẻ (shared responsibility) và cách nó dịch chuyển theo mô hình dịch vụ.
• Kiến trúc tham chiếu bảo mật cloud; mô hình logic của CSA (infrastructure, metastructure, infostructure, applistructure).
• Khái niệm mặt phẳng điều khiển (control plane) so với mặt phẳng dữ liệu (data plane) — và vì sao control plane là mục tiêu tấn công giá trị nhất trên cloud.

Domain 2: Quản trị cloud (5 câu)

• Khung quản trị cloud; chiến lược và chính sách cloud.
• Vai trò và trách nhiệm; quyền sở hữu rủi ro giữa khách hàng và nhà cung cấp.
• Hợp đồng và SLA; điều khoản thoát (exit clause) và khả năng mang dữ liệu đi (portability).
• Quản trị trong môi trường nhiều nhà cung cấp.

Domain 3: Rủi ro, kiểm toán và tuân thủ (5 câu)

• Quản lý rủi ro trên cloud; đánh giá nhà cung cấp.
• CSA CCM (Cloud Controls Matrix), CAIQ, và chương trình STAR (self-assessment, third-party audit, continuous).
• Chuẩn và chứng nhận: ISO/IEC 27001, 27017, 27018, SOC 2, PCI DSS, FedRAMP.
• Kiểm toán trên cloud: giới hạn quyền kiểm toán, dựa vào báo cáo của nhà cung cấp, bằng chứng tuân thủ.
• Chủ quyền dữ liệu và yêu cầu pháp lý theo khu vực.

Domain 4: Quản lý tổ chức (5 câu)

• Quản lý nhiều tài khoản và nhiều tenant; phân cấp tổ chức (organization, folder, account, project, subscription).
• Thiết lập ranh giới (blast radius) và cách ly môi trường.
• Quản lý tập trung chính sách và guardrail.
• Quản lý chi phí như một vấn đề quản trị.

Domain 5: Quản lý danh tính và truy cập (4 câu)

• Federation và SSO trên cloud; identity provider; SAML, OIDC, OAuth.
• Least privilege trên cloud và vấn đề quyền quá rộng; entitlement management (CIEM).
• MFA và bảo vệ tài khoản đặc quyền; tài khoản gốc (root) của nhà cung cấp.
• Danh tính cho workload và máy; vòng đời credential; tránh credential tĩnh dài hạn.

Domain 6: Giám sát bảo mật (4 câu)

• Nguồn log trên cloud: log của control plane, log dịch vụ, log mạng, log ứng dụng.
• Thu thập và tập trung log; lưu giữ và bảo toàn.
• Giám sát liên tục; phát hiện bất thường; CSPM (cloud security posture management).
• Giới hạn khả năng quan sát (visibility) trên cloud và cách bù.

Domain 7: Hạ tầng và mạng (6 câu)

• Ảo hoá mạng; phân đoạn và micro-segmentation; software-defined networking trên cloud.
• Security group và network ACL; thiết kế mạng nhiều tầng; kết nối riêng tư tới dịch vụ.
• Kết nối lai: VPN, dedicated interconnect; thiết kế nhiều vùng.
• Bảo mật hạ tầng dưới dạng mã (IaC); drift và cách phát hiện.

Domain 8: Bảo mật workload cloud (7 câu) — nặng nhất

• Loại workload: máy ảo, container, serverless, AI/ML workload — và khác biệt về bề mặt tấn công của từng loại.
• Hardening máy ảo; golden image; quản lý bản vá trên cloud; immutable infrastructure.
• Bảo mật container: image scanning, registry, runtime security, orchestration (Kubernetes) và cấu hình an toàn của nó.
• Bảo mật serverless: quyền của function, phụ thuộc, thời gian thực thi, bề mặt tấn công qua event source.
• CWPP (cloud workload protection platform); bảo vệ runtime.

Domain 9: Bảo mật dữ liệu (5 câu)

• Vòng đời dữ liệu trên cloud; phân loại và phát hiện dữ liệu.
• Mã hoá: khi lưu và khi truyền; quản lý khoá (nhà cung cấp quản lý, khách hàng quản lý — CMEK, khách hàng cung cấp, BYOK, HYOK); HSM và external key manager.
• Tokenization, masking, de-identification.
• Lưu trữ đối tượng và rủi ro cấu hình sai (bucket công khai) — vẫn là nguyên nhân rò rỉ dữ liệu phổ biến nhất trên cloud.
• DSPM (data security posture management); ngăn rò rỉ dữ liệu.

Domain 10: Bảo mật ứng dụng (6 câu)

• Vòng đời phát triển an toàn trên cloud; DevSecOps và shift-left.
• Bảo mật pipeline CI/CD; bảo mật chuỗi cung ứng phần mềm; SBOM; SAST, DAST, SCA.
• Quản lý secret trong ứng dụng; không nhét secret vào mã nguồn hay IaC.
• Bảo mật API và API gateway; WAF.
• Kiến trúc ứng dụng cloud-native: microservice, service mesh, zero trust giữa các dịch vụ.

Domain 11: Ứng cứu sự cố và khả năng chống chịu (5 câu)

• Ứng cứu sự cố trên cloud: khác gì so với on-premises (quyền truy cập bằng chứng, tốc độ dựng và xoá tài nguyên, vai trò của nhà cung cấp).
• Chuẩn bị: playbook cho cloud, quyền cần có sẵn, phối hợp với nhà cung cấp.
• Phát hiện, cô lập (snapshot trước khi xoá), diệt, phục hồi; pháp y trên cloud.
• Khả năng chống chịu: nhiều vùng, nhiều nhà cung cấp, sao lưu và kiểm chứng phục hồi, RTO và RPO trên cloud.

Domain 12: Công nghệ và chiến lược liên quan (3 câu)

• Zero trust trên cloud; SASE và Security Service Edge.
• AI và machine learning: rủi ro riêng và cách quản lý.
• Công nghệ mới: confidential computing, blockchain ở mức khái niệm.
• Chiến lược chuyển đổi và lộ trình áp dụng cloud an toàn.

3. BA ĐIỀU ĐÁNG NHỚ VỀ KỲ THI NÀY

Ngưỡng 80% là cao nhất trong danh mục. Chỉ được sai 12 trong 60 câu. Nếu bỏ hẳn một domain nhẹ (3–5 câu) thì đã mất một phần ba tới một nửa hạn mức sai trước khi bắt đầu.

Mở sách nhưng chỉ có 2 phút mỗi câu. Tra từ đầu là hết giờ. Chuẩn bị đúng cách là đọc trước CSA Security Guidance v5 và Cloud Controls Matrix, rồi dùng chúng để xác nhận chứ không phải để học trong phòng thi.

Ba tài liệu nguồn của đề — CCSK rút câu hỏi trực tiếp từ chúng, nên đọc đúng ba thứ này hiệu quả hơn mọi khoá học bên thứ ba:

1. CSA Security Guidance for Cloud Computing v5 — tài liệu chính;
2. CSA Cloud Controls Matrix (CCM);
3. ENISA Cloud Computing Risk Assessment (ở các bản trước là nguồn chính thức; kiểm lại curriculum v5 xem còn trong phạm vi không).

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• Trang chứng chỉ CCSK: https://cloudsecurityalliance.org/education/ccsk/
• Curriculum CCSK v5: https://cloudsecurityalliance.org/artifacts/ccsk-v5-curriculum
• CSA Security Guidance v5 (tài liệu nguồn chính): https://cloudsecurityalliance.org/artifacts/security-guidance-v5
• Cloud Controls Matrix: https://cloudsecurityalliance.org/research/cloud-controls-matrix/
• FAQ của nền tảng thi: https://exams.cloudsecurityalliance.org/en/faq

Lưu ý: Số liệu lấy từ trang chứng chỉ chính thức của Cloud Security Alliance và curriculum CCSK v5, tra ngày 03/10/2026. Tỉ lệ 12 domain quy ra số câu đã được kiểm cộng lại đúng 60 câu.

Một điểm cần sửa trong danh mục của chúng ta: thời lượng CCSK đã được cập nhật từ 90 phút lên 120 phút theo trang CSA — con số 90 phút là của CCSK v4.