ISC2 Certified Cloud Security Professional

ISC2 CCSP – Certified Cloud Security Professional – TÀI LIỆU ÔN TẬP

Đề cương vừa đổi. Bản đang áp dụng hiệu lực từ 01/08/2026 — chỉ khoảng hai tháng trước thời điểm soạn tài liệu này. Tỉ lệ domain đã khác bản trước đó, và CCSP nay dùng định dạng CAT trên toàn cầu.

Nếu bạn đang học bằng sách hoặc khoá học xuất bản trước giữa 2026 thì tỉ lệ domain trong đó đã lỗi thời — kiến thức vẫn dùng được, nhưng đừng phân bổ thời gian theo bảng cũ. (Đối chiếu ngày 03/10/2026.)

1. TỔNG QUAN KỲ THI

• Định dạng: CAT (Computerized Adaptive Testing), áp dụng toàn cầu
• Số câu: 100–150 câu (không cố định)
• Thời gian: 3 giờ
• Điểm đậu: 700 trên thang 0–1000
• Lệ phí tham khảo: 599 USD
• Điều kiện: 5 năm kinh nghiệm IT, trong đó 3 năm về an toàn thông tin và 1 năm trong một hoặc nhiều domain của CCSP. Có CISSP thì thay thế được toàn bộ yêu cầu kinh nghiệm; có CCSK của CSA thì thay thế được 1 năm trong domain CCSP.

CCSP là chứng chỉ bảo mật cloud không phụ thuộc nhà cung cấp — không hỏi về dịch vụ cụ thể của AWS hay Azure, mà hỏi nguyên lý áp dụng cho mọi nền tảng. Đó là điểm khác căn bản so với AWS Security Specialty hay AZ-500.

2. NỘI DUNG ÔN TẬP THEO 6 DOMAIN

Phân bổ rất đều, nặng nhất là Cloud Data Security 20% — bảo vệ dữ liệu là trọng tâm của CCSP, khác với các chứng chỉ cloud khác thường nặng về hạ tầng.

Domain 1: Cloud Concepts, Architecture and Design (17%)

• Khái niệm cloud: vai trò (cloud service customer, provider, partner, broker), đặc tính chính (on-demand self-service, broad network access, resource pooling, rapid elasticity, measured service), công nghệ nền (virtualization, storage, networking, databases, orchestration).
• Kiến trúc tham chiếu: mô hình dịch vụ (IaaS, PaaS, SaaS), mô hình triển khai (public, private, hybrid, community, multi-cloud), shared responsibility theo từng mô hình, impact của công nghệ mới (AI, blockchain, IoT, DevSecOps, confidential computing, quantum).
• Nguyên tắc thiết kế an toàn: phân tích kinh tế rủi ro (TCO, ROI), thiết kế theo khả năng kiểm toán và trách nhiệm giải trình, thiết kế BCDR, thiết kế zero trust, SASE.
• Đánh giá nhà cung cấp: xác minh theo chuẩn (ISO/IEC 27017, 27018, SOC 2, CSA STAR), yêu cầu hệ thống và an toàn.

Domain 2: Cloud Data Security (20%) — domain nặng nhất

• Vòng đời dữ liệu cloud: create → store → use → share → archive → destroy. Phải thuộc đúng thứ tự và biết biện pháp bảo vệ ở từng giai đoạn.
• Thiết kế kiến trúc lưu trữ: loại lưu trữ (long-term, ephemeral, raw storage), mối đe doạ theo loại.
• Công nghệ và chiến lược bảo mật dữ liệu: mã hoá và quản lý khoá, hashing, tokenization, data loss prevention, data de-identification (masking, anonymization, obfuscation), bảo mật theo nhà cung cấp.
• Phát hiện và phân loại dữ liệu: data discovery, phân loại, labeling, mapping, data flow.
• Quản trị thông tin: chính sách, quyền sở hữu, phân loại, lưu giữ, xoá, lưu trữ lâu dài, nghĩa vụ pháp lý.
• Lưu giữ, xoá và lưu trữ dài hạn: chính sách lưu giữ, thủ tục xoá, chính sách archive, legal hold.
• Khả năng kiểm toán và trách nhiệm giải trình: ghi log sự kiện dữ liệu, chuỗi giữ bằng chứng, non-repudiation, SIEM.

Domain 3: Cloud Platform & Infrastructure Security (17%)

• Thành phần hạ tầng cloud: lớp vật lý và môi trường, lớp mạng và truyền thông, lớp compute, lớp virtualization, lớp lưu trữ, lớp quản lý.
• Thiết kế trung tâm dữ liệu an toàn: thiết kế logic (tenant partitioning, access control), thiết kế vật lý và môi trường, thiết kế khả năng chịu lỗi.
• Phân tích rủi ro liên quan tới hạ tầng cloud: đánh giá rủi ro, rủi ro của nhà cung cấp cloud và của khách hàng, biện pháp đối phó, cân nhắc về thiết kế đa vùng.
• Kế hoạch biện pháp kiểm soát bảo mật: bảo vệ lớp vật lý và môi trường, bảo vệ hệ thống và truyền thông, bảo vệ hạ tầng virtualization, kiểm soát truy cập và xác thực, kiểm toán.
• Kế hoạch BCDR: chiến lược, yêu cầu kinh doanh (RTO, RPO, RSL), kiểm thử kế hoạch.

Domain 4: Cloud Application Security (16%)

• Đào tạo và nhận thức về bảo mật ứng dụng cloud: lỗ hổng phổ biến (OWASP Top 10, OWASP API Security Top 10), pitfall của cloud-native, hiểu biết chung về cloud.
• Vòng đời phát triển phần mềm an toàn: quy trình kinh doanh, quản lý cấu hình và thay đổi, phương pháp SDLC, mô hình hoá mối đe doạ (STRIDE, DREAD), hướng dẫn mã hoá an toàn, quản lý phụ thuộc và thư viện bên thứ ba.
• Áp dụng bảo đảm chất lượng và xác minh: kiểm thử bảo mật chức năng và không chức năng, SAST, DAST, IAST, SCA, interactive application security testing, kiểm thử xâm nhập, phân tích rủi ro chuỗi cung ứng.
• Quản lý danh tính và truy cập cho ứng dụng: federated identity, identity provider, SSO, MFA, CASB, secret management.
• Dùng công nghệ ứng dụng cloud được xác minh: supply chain management, third-party software management, validated open-source software.
• Kiến trúc ứng dụng cloud an toàn: cryptography, sandboxing, application virtualization và orchestration, API gateway, WAF, DAM, XML firewall.

Domain 5: Cloud Security Operations (17%)

• Dựng và cấu hình hạ tầng vật lý và logic: cấu hình thiết bị phần cứng, cài và cấu hình công cụ quản lý virtualization, cấu hình hệ điều hành chủ và khách, cấu hình quản lý secret.
• Vận hành và bảo trì hạ tầng vật lý và logic: truy cập từ xa, hardening theo baseline, patch management, quản lý hiệu năng và dung lượng, tính sẵn sàng của hạ tầng, quản lý cấu hình (baseline, drift, deviation), quản lý tính sẵn sàng của chức năng mạng, quản lý tài nguyên.
• Triển khai biện pháp kiểm soát vận hành và chuẩn: ITIL / ISO 20000-1 — change management, continuity management, information security management, continual service improvement, incident management, problem management, release management, deployment management, configuration management, service level management, availability management, capacity management.
• Hỗ trợ pháp y số: thu thập và lấy mẫu bằng chứng, bảo toàn và giữ bằng chứng, quản lý bằng chứng.
• Giao tiếp với các bên liên quan: khách hàng, nhà cung cấp, đối tác, cơ quan quản lý, bên liên quan khác.
• Quản lý vận hành bảo mật: SOC, giám sát biện pháp kiểm soát bảo mật, ghi log và thu thập log, quản lý sự cố, vulnerability assessment.

Domain 6: Legal, Risk and Compliance (13%)

• Yêu cầu pháp lý và rủi ro riêng biệt của cloud: xung đột luật quốc tế, đánh giá rủi ro pháp lý riêng của cloud computing, khung pháp lý và hướng dẫn, eDiscovery, pháp y trên cloud.
• Vấn đề quyền riêng tư: khác biệt giữa dữ liệu được quản lý và dữ liệu riêng tư, luật theo quốc gia (GDPR, CCPA, và tương đương), khác biệt giữa quyền riêng tư của khách hàng và của nhà cung cấp, chuẩn (ISO/IEC 27018, GAPP, GDPR).
• Quy trình audit: audit control, bảo đảm và báo cáo (SOC 1, SOC 2, SOC 3), audit nội bộ và bên ngoài, giới hạn phạm vi audit, gap analysis, kế hoạch audit, chuẩn tuân thủ nội bộ và bên ngoài, các bên liên quan, điều khoản audit đặc thù cho cloud.
• Tác động của cloud tới quản trị rủi ro doanh nghiệp: đánh giá chương trình quản lý rủi ro của nhà cung cấp, khác biệt giữa người thuê và người cung cấp, khung quản lý rủi ro, chỉ số đánh giá rủi ro, đánh giá môi trường và yêu cầu kiểm soát, xử lý rủi ro.
• Thiết kế và quản lý hợp đồng thuê ngoài: thoả thuận mức dịch vụ (SLA), đánh giá nhà cung cấp, quản lý nhà cung cấp, quản lý rủi ro chuỗi cung ứng (ISO/IEC 27036).

3. HAI CHỖ ĐỀ HAY HỎI

Vòng đời dữ liệu 6 bước (create → store → use → share → archive → destroy) là nền của cả domain nặng nhất. Đề cho một tình huống rồi hỏi "đang ở giai đoạn nào" hoặc "biện pháp nào phù hợp ở giai đoạn này" — thuộc thứ tự là ăn điểm chắc.

CCSP không phụ thuộc nhà cung cấp. Nếu một đáp án nhắc tên dịch vụ cụ thể của một hãng (ví dụ "dùng AWS KMS") thì nó thường không phải đáp án đúng — CCSP muốn nguyên lý (ví dụ "dùng hệ thống quản lý khoá do khách hàng kiểm soát"), vì nguyên lý mới áp dụng được cho mọi nền tảng.

Về định dạng CAT: đề tự điều chỉnh độ khó theo câu trả lời. Hệ quả: không quay lại sửa câu đã làm được, số câu không cố định, và chiến thuật "làm nhanh rồi rà lại" không dùng được — phải cân nhắc đủ ngay lần đầu.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• Exam Outline CCSP: https://www.isc2.org/certifications/ccsp/ccsp-certification-exam-outline
• Thông báo làm mới đề cương CCSP: https://www.isc2.org/insights/2026/06/isc2-ccsp-exam-outline-revised
• Trang chứng chỉ: https://www.isc2.org/Certifications/CCSP
• CSA Cloud Controls Matrix: https://cloudsecurityalliance.org/research/cloud-controls-matrix/

Lưu ý: Tỉ lệ domain lấy từ Exam Outline chính thức của ISC2, bản hiệu lực 01/08/2026, tra ngày 03/10/2026. ISC2 làm mới đề cương theo chu kỳ Job Task Analysis — đối chiếu lại trang Exam Outline trước khi đặt lịch thi.