ISO/IEC 27001 Lead Implementer

ISO/IEC 27001 Lead Implementer (PECB) – TÀI LIỆU ÔN TẬP

⚠ HAI ĐIỀU PHẢI BIẾT TRƯỚC KHI ÔN

1. ISO không tổ chức thi. ISO chỉ ban hành tiêu chuẩn. Chứng chỉ "Lead Implementer", "Lead Auditor", "Risk Manager" do các đơn vị cấp khác nhau phát hành — PECB, BSI, TÜV, Mastermind và nhiều nơi khác — và mỗi nơi một cấu trúc đề, một số câu, một cách chấm. Không có "kỳ thi ISO 27001" duy nhất.

Nội dung dưới đây dựa trên cấu trúc của PECB, vì tên các mục trong danh mục này khớp đúng cách đặt tên sản phẩm của PECB và thời lượng cũng khớp cả ba. Nếu bạn thi với đơn vị khác, hãy lấy cấu trúc đề từ chính đơn vị đó — bảng tỉ lệ ở đây sẽ không đúng.

2. Bản 2013 đã chết. ISO/IEC 27001:2013 bị thu hồi ngày 25/10/2022, và hạn chuyển đổi kết thúc 31/10/2025 — đã qua. Mọi chứng nhận theo bản 2013 đã hết hiệu lực hoặc bị thu hồi. Bản duy nhất còn hiệu lực là ISO/IEC 27001:2022.

Khác biệt lớn nhất: Annex A của bản 2022 có 93 control trong 4 nhóm (Organizational, People, Physical, Technological), thay cho 114 control trong 14 nhóm của bản 2013. Nếu tài liệu bạn đang đọc nói "114 control" hoặc "14 domain" thì đó là tài liệu của một tiêu chuẩn đã bị thu hồi. (Đối chiếu ngày 03/10/2026.)

1. TỔNG QUAN KỲ THI

Thông số dưới đây là của PECB — đơn vị cấp mà danh mục này bám theo.

• Dạng đề: trắc nghiệm (PECB cũng có bản tự luận cho chứng chỉ này; con số dưới đây là của bản trắc nghiệm)
• Số câu: 80 câu
• Thời gian: 3 giờ (180 phút)
• Điểm đạt: 70%
• Thêm giờ: PECB cho thêm 30 phút với kỳ thi cấp Lead nếu bạn thi bằng ngôn ngữ không phải tiếng mẹ đẻ — phải xin vào ngày thi.
• Điều kiện cấp chứng chỉ: thi đậu là một việc; để được cấp danh hiệu PECB Certified ISO/IEC 27001 Lead Implementer còn phải chứng minh kinh nghiệm làm việc và kinh nghiệm dự án ISMS theo bảng của PECB.

Lưu ý về số liệu trong danh mục: trước đây ghi 100 câu; PECB công bố 80 câu cho bản trắc nghiệm. Đã sửa.

Lead Implementer là chứng chỉ cho người xây dựng và vận hành hệ thống quản lý an toàn thông tin (ISMS) — khác Lead Auditor (người đánh giá hệ thống đó).

2. NỘI DUNG ÔN TẬP THEO 7 DOMAIN — PECB CÔNG BỐ SỐ CÂU CHÍNH XÁC

Theo mức nhận thức — PECB cũng công bố phần này, và nó quan trọng không kém tỉ lệ domain:

Gần một nửa đề là câu ở mức đánh giá — tức cho một tình huống rồi hỏi cách làm nào tốt hơn và vì sao, không phải hỏi định nghĩa. Học thuộc tiêu chuẩn không đủ.

Bốn domain đầu chiếm 73,75% — gần ba phần tư đề nằm ở phần nguyên lý, yêu cầu, lập kế hoạch và triển khai. Domain 6 và 7 cộng lại chỉ 13,75%.

Domain 1: Nguyên lý và khái niệm nền tảng của ISMS (15 câu — 18,75%)

• Khái niệm an toàn thông tin: CIA (confidentiality, integrity, availability).
• Phân biệt thông tin và tài sản; phân biệt tài liệu (document), đặc tả (specification) và bản ghi (record).
• Quan hệ giữa lỗ hổng (vulnerability) – mối đe doạ (threat) – rủi ro (risk) và tác động.
• Phân loại biện pháp kiểm soát theo loại (kỹ thuật, pháp lý, hành chính, quản lý) và theo chức năng (phòng ngừa, phát hiện, khắc phục).
• Quy trình quản lý rủi ro an toàn thông tin: đánh giá và xử lý rủi ro.
• Luật, quy định, tiêu chuẩn quốc tế và ngành, hợp đồng, chính sách nội bộ mà tổ chức phải tuân thủ.

Domain 2: Yêu cầu của hệ thống quản lý an toàn thông tin (12 câu — 15%)

• Các điều khoản 4–10 của ISO/IEC 27001: bối cảnh tổ chức, lãnh đạo, hoạch định, hỗ trợ, thực hiện, đánh giá hiệu quả, cải tiến.
• Chọn, thiết kế và mô tả biện pháp kiểm soát an toàn thông tin.
• Định nghĩa kiến trúc an toàn của tổ chức.
• Đọc và phân tích Annex A của ISO/IEC 27001 (bản 2022: 93 control trong 4 nhóm).
• Tài liệu hoá việc triển khai các biện pháp đã chọn.

Domain 3: Lập kế hoạch triển khai ISMS (18 câu — 22,5%) — nặng nhất

• Xác định bối cảnh của tổ chức, các bên quan tâm và yêu cầu của họ.
• Xác định phạm vi (scope) của ISMS — một trong những quyết định dễ sai nhất trong thực tế.
• Chính sách an toàn thông tin; vai trò, trách nhiệm và quyền hạn.
• Đánh giá rủi ro: phương pháp luận, tiêu chí chấp nhận rủi ro, nhận diện, phân tích, định lượng.
• Xử lý rủi ro và lập Statement of Applicability (SoA) — tài liệu bắt buộc, giải thích control nào áp dụng, control nào loại trừ và vì sao.
• Mục tiêu an toàn thông tin và kế hoạch đạt mục tiêu.
• Lập kế hoạch dự án triển khai: nguồn lực, mốc thời gian, quản lý thay đổi.

Domain 4: Triển khai ISMS (14 câu — 17,5%)

• Thiết lập và triển khai quy trình, thủ tục, hướng dẫn.
• Triển khai các biện pháp kiểm soát của Annex A trong thực tế.
• Quản lý tài liệu và bản ghi: kiểm soát phiên bản, phê duyệt, phân phối, lưu giữ.
• Nhận thức và đào tạo nhân sự; quản lý năng lực.
• Quản lý sự cố an toàn thông tin; quản lý tính liên tục kinh doanh trong ISMS.
• Quản lý nhà cung cấp và quan hệ bên thứ ba.
• Quản lý vận hành: kiểm soát thay đổi, quản lý cấu hình.

Domain 5: Theo dõi và đo lường ISMS (10 câu — 12,5%)

• Thiết kế chỉ số (metric) và chỉ tiêu hiệu quả; phân biệt monitoring và measurement.
• Đánh giá nội bộ (internal audit): lập chương trình, thực hiện, báo cáo.
• Soát xét của lãnh đạo (management review): đầu vào và đầu ra bắt buộc.
• Xử lý sự không phù hợp (nonconformity).

Domain 6: Cải tiến liên tục ISMS (6 câu — 7,5%)

• Hành động khắc phục (corrective action) và phân tích nguyên nhân gốc.
• Cải tiến liên tục của ISMS; cập nhật đánh giá rủi ro và SoA theo thay đổi.
• Quản lý bài học và tri thức.

Domain 7: Chuẩn bị cho đánh giá chứng nhận (5 câu — 6,25%)

• Quy trình chứng nhận: đánh giá giai đoạn 1 và giai đoạn 2, đánh giá giám sát (surveillance), đánh giá tái chứng nhận.
• Chuẩn bị tài liệu và bằng chứng; chuẩn bị nhân sự.
• Xử lý phát hiện của đoàn đánh giá; phân biệt major và minor nonconformity.

3. HAI CHỖ QUYẾT ĐỊNH

Statement of Applicability (SoA) là tài liệu bị hỏi nhiều nhất. Nó phải nêu: control nào áp dụng và vì sao, control nào loại trừ và vì sao, và trạng thái triển khai của từng control. Khác với Risk Treatment Plan (kế hoạch làm gì, ai làm, khi nào) — hai tài liệu khác nhau, đề hay cho một mô tả rồi hỏi thuộc tài liệu nào.

Gần một nửa đề là câu ở mức đánh giá. PECB công bố rõ: 37 trong 80 câu đo khả năng evaluation. Nghĩa là đề cho một tình huống có nhiều cách làm hợp lý rồi hỏi cách nào phù hợp nhất với yêu cầu của ISO/IEC 27001 — không phải cách nào nghe hay nhất về mặt kỹ thuật. Luyện bằng tình huống, đừng luyện bằng thẻ ghi nhớ định nghĩa.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• PECB ISO/IEC 27001 Lead Implementer: https://pecb.com/en/education-and-certification-for-individuals/iso-iec-27001/iso-iec-27001-lead-implementer
• Candidate Handbook (bản trắc nghiệm, PDF): https://pecb.com/pdf/candidate-handbooks/pecb-candidate-handbook-iso-27001-lead-implementer-mc.pdf
• ISO/IEC 27001:2022 trên trang ISO: https://www.iso.org/standard/27001
• Tài liệu PECB về chuyển đổi sang bản 2022: https://pecb.com/en/whitepaper/iso-iec-270012022-transition
• Yêu cầu chuyển đổi của IAF (IAF MD 26): https://iaf.nu/iaf_system/uploads/documents/IAF_MD26_Issue_2_15012023.pdf

Lưu ý: Bảng số câu từng domain và bảng theo mức nhận thức trích trực tiếp từ PECB Candidate Handbook (bản trắc nghiệm) phiên bản 1.5, tra ngày 03/10/2026. Đã cộng chéo hai lần: tổng số câu ra đúng 80, tổng tỉ lệ ra đúng 100%, và tổng theo mức nhận thức (43 + 37) cũng ra 80.

Số liệu trong danh mục trước đây ghi 100 câu — PECB công bố 80. Đã sửa trong database/data/cert-catalog.json và trong cơ sở dữ liệu.

Bảng này chỉ đúng cho kỳ thi của PECB. Nếu bạn thi với BSI, TÜV hay đơn vị khác, cấu trúc đề sẽ khác — lấy từ chính đơn vị đó.