ISACA Certified in Risk and Information Systems Control

ISACA CRISC – Certified in Risk and Information Systems Control – TÀI LIỆU ÔN TẬP

1. TỔNG QUAN KỲ THI

• Mã: CRISC
• Số câu: 150 câu trắc nghiệm
• Thời gian: 4 giờ (240 phút) — khoảng 1,6 phút mỗi câu
• Cách chấm: quy về thang 200–800, đạt từ 450. Đây là điểm đã chuẩn hoá, không phải tỉ lệ phần trăm trả lời đúng — nên không suy ra được "cần đúng bao nhiêu câu".
• Hiệu lực chứng chỉ: phải duy trì bằng CPE hằng năm và trả phí thành viên
• Điều kiện cấp chứng chỉ: thi đậu là một việc, nhưng để được cấp chứng chỉ còn phải chứng minh kinh nghiệm làm việc và được ISACA xác nhận. Thi được trước, nộp hồ sơ kinh nghiệm sau (trong 5 năm).
• Lệ phí tham khảo: 575 USD (thành viên) / 760 USD (không phải thành viên)
• Kinh nghiệm yêu cầu để được cấp: 3 năm làm quản lý rủi ro IT và kiểm soát hệ thống thông tin, trên ít nhất 2 trong 4 domain, trong đó phải có Domain 1 hoặc Domain 2. Không có đường miễn giảm bằng bằng cấp.

CRISC là chứng chỉ chuyên về rủi ro IT — hẹp hơn CISM (quản lý cả chương trình bảo mật) và khác CISA (kiểm toán). Đề hỏi ở góc nhìn người nhận diện, đánh giá và theo dõi rủi ro, rồi tư vấn cho người ra quyết định.

2. NỘI DUNG ÔN TẬP THEO 4 DOMAIN

Domain 3 nặng nhất (32%) — gần một phần ba đề nằm ở phần xử lý và báo cáo rủi ro, không phải ở phần đánh giá. Nhiều người ôn dồn vào Domain 2 (đánh giá rủi ro) vì nó nghe trọng tâm, nhưng nó chỉ 22%.

Domain 1: Governance (26%)

• Quản trị tổ chức: chiến lược, mục tiêu và văn hoá tổ chức; cơ cấu, vai trò và trách nhiệm; chính sách và chuẩn; quy trình kinh doanh; tài sản của tổ chức.
• Quản trị rủi ro: khung quản trị rủi ro doanh nghiệp (ERM); khẩu vị và mức chấp nhận rủi ro (risk appetite và risk tolerance); luật, quy định và chuẩn liên quan; ba lớp phòng vệ (three lines of defense); chuyên môn hoá quản lý rủi ro.
• Khái niệm, chuẩn và khung quản lý rủi ro; vòng đời quản lý rủi ro.
• Quản trị dữ liệu và thông tin; khung kiểm soát (COBIT, COSO, ISO 31000).

Domain 2: Risk Assessment (22%)

• Nhận diện rủi ro IT: sự kiện rủi ro, mối đe doạ, lỗ hổng; nguồn thông tin; kỹ thuật nhận diện (workshop, phỏng vấn, kịch bản).
• Phân tích và đánh giá rủi ro: định tính và định lượng; phương pháp (SLE / ARO / ALE, Monte Carlo, FAIR ở mức khái niệm); rủi ro cố hữu (inherent) và rủi ro còn lại (residual); xếp hạng và ưu tiên.
• Phân tích tác động kinh doanh (BIA); phân tích nguyên nhân gốc.
• Đánh giá rủi ro của hệ thống mới, của thay đổi, của bên thứ ba và chuỗi cung ứng.
• Kịch bản rủi ro (risk scenario) — cách xây và cách dùng.

Domain 3: Risk Response and Reporting (32%) — nặng nhất

• Xử lý rủi ro: bốn chiến lược (mitigate, transfer, avoid, accept); chọn biện pháp kiểm soát; phân tích chi phí–lợi ích; chủ sở hữu rủi ro (risk owner) và chủ sở hữu biện pháp kiểm soát; chấp nhận rủi ro chính thức.
• Thiết kế và triển khai biện pháp kiểm soát: loại (preventive, detective, corrective, compensating), kiểm soát tự động và thủ công, kiểm soát chung và kiểm soát ứng dụng.
• Kiểm thử và đánh giá biện pháp kiểm soát: hiệu quả thiết kế so với hiệu quả vận hành; khoảng trống kiểm soát (control gap); khắc phục.
• Giám sát rủi ro: risk register (cách xây và cách duy trì), KRI (key risk indicator) và ngưỡng, KPI của biện pháp kiểm soát, giám sát liên tục.
• Báo cáo rủi ro: đối tượng và nội dung tương ứng (hội đồng quản trị cần gì, ban điều hành cần gì, chủ sở hữu quy trình cần gì); trực quan hoá (heat map); báo cáo ngoại lệ; thay đổi hồ sơ rủi ro theo thời gian.

Domain 4: Technology and Security (20%)

• Nguyên lý kiến trúc doanh nghiệp và hạ tầng IT: nền tảng, mạng, lưu trữ, hệ điều hành, cơ sở dữ liệu, ảo hoá, cloud, container.
• Vòng đời phát triển và quản lý dự án; quản lý thay đổi và cấu hình; quản lý phát hành.
• Khả năng chống chịu và liên tục: dự phòng, sao lưu, DRP, RTO và RPO.
• Nguyên lý bảo mật: mã hoá, quản lý danh tính và truy cập, phân đoạn mạng, bảo vệ dữ liệu, quản lý lỗ hổng, ứng cứu sự cố.
• Công nghệ mới và rủi ro kèm theo: AI và machine learning, IoT, blockchain, tự động hoá, thiết bị di động.
• Quản lý dữ liệu và quyền riêng tư; vòng đời dữ liệu.

3. HAI ĐIỀU ĐÁNG CHÚ Ý

Phân biệt rủi ro cố hữu và rủi ro còn lại là nền của cả kỳ thi. Rủi ro cố hữu (inherent) là mức rủi ro trước khi có biện pháp kiểm soát; rủi ro còn lại (residual) là mức sau khi biện pháp đã vận hành. Đề liên tục cho tình huống rồi hỏi mức nào đang được nhắc tới, hoặc biện pháp mới làm giảm mức nào.

Ai sở hữu rủi ro? Chủ sở hữu rủi ro là người quản lý nghiệp vụ chịu tác động — không phải người làm IT, không phải người quản lý rủi ro, và chắc chắn không phải CRISC holder. Người làm rủi ro chỉ tư vấn và theo dõi; quyền chấp nhận rủi ro thuộc về chủ sở hữu rủi ro hoặc cấp lãnh đạo có thẩm quyền. Đây là câu hỏi lặp lại rất nhiều.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• Exam Content Outline CRISC: https://www.isaca.org/credentialing/crisc/crisc-exam-content-outline
• Trang chứng chỉ: https://www.isaca.org/credentialing/crisc
• Thông báo cập nhật CRISC và CDPSE (2025): https://www.isaca.org/about-us/newsroom/press-releases/2025/isaca-updates-cdpse-and-crisc-exams-to-reflect-latest-risk-and-privacy-priorities

Lưu ý: Tỉ lệ 4 domain lấy từ Exam Content Outline chính thức trên isaca.org, tra ngày 03/10/2026. Trang này không ghi ngày hiệu lực, và ISACA có thông báo cập nhật CRISC trong năm 2025 — nên đối chiếu lại trang gốc trước khi đặt lịch thi, vì không có cách nào xác nhận bản đang đọc là bản mới nhất từ chính trang đó.