ISC2 Information Systems Security Architecture Professional

ISC2 ISSAP – Information Systems Security Architecture Professional – TÀI LIỆU ÔN TẬP

Cấu trúc domain đã đổi hẳn. Bản hiện hành hiệu lực 01/08/2025 gộp từ 6 domain xuống còn 4 domain, sau một đợt Job Task Analysis của ISC2.

Chứng chỉ không bị khai tử — vẫn được tổ chức bình thường. Nhưng nếu bạn học bằng sách hoặc khoá học theo cấu trúc 6 domain cũ thì bản đồ nội dung không còn khớp, và tỉ lệ thì hoàn toàn khác. (Đối chiếu ngày 03/10/2026.)

1. TỔNG QUAN KỲ THI

• Định dạng: tuyến tính (không phải CAT)
• Số câu: 125 câu (cố định)
• Thời gian: 3 giờ
• Điểm đậu: 700 trên thang 0–1000
• Lệ phí tham khảo: 599 USD
• Điều kiện — có hai đường:
  • đang giữ CISSP hợp lệ, cộng 2 năm kinh nghiệm trong một hoặc nhiều domain của ISSAP; hoặc
  • 7 năm kinh nghiệm tích luỹ trên 2 domain trở lên (có thể được miễn 1 năm nhờ bằng cấp liên quan hoặc một chứng chỉ ISC2 phê duyệt)

ISSAP là chứng chỉ chuyên sâu về kiến trúc bảo mật — tầng trên của CISSP về mặt kỹ thuật thiết kế. Đề hỏi thiết kế thế nào, không hỏi quản lý thế nào (đó là CISSP) và cũng không hỏi cấu hình thế nào.

Đáng chú ý: đường thứ hai cho phép thi không cần có CISSP trước — khác với hiểu biết phổ biến rằng ISSAP bắt buộc phải có CISSP.

2. NỘI DUNG ÔN TẬP THEO 4 DOMAIN

Domain 3 chiếm gần một phần ba đề — nặng nhất rõ rệt. Phân bổ này cho thấy ISSAP coi trọng kiến trúc hạ tầng và hệ thống hơn cả phần mô hình hoá.

Domain 1: Governance, Risk, and Compliance (21%)

• Xác định yêu cầu bảo mật từ mục tiêu kinh doanh và từ các bên liên quan.
• Khung quản trị và kiến trúc doanh nghiệp: SABSA, TOGAF, Zachman; liên kết kiến trúc bảo mật với kiến trúc doanh nghiệp.
• Yêu cầu pháp lý, quy định và tuân thủ ảnh hưởng tới thiết kế; chủ quyền dữ liệu và luồng dữ liệu xuyên biên giới; quyền riêng tư theo thiết kế (privacy by design).
• Quản lý rủi ro trong thiết kế: đánh giá rủi ro kiến trúc, phân tích đánh đổi (chi phí, hiệu năng, khả năng dùng, bảo mật), rủi ro còn lại và chấp nhận rủi ro.
• Mô hình hoá mối đe doạ ở cấp kiến trúc: STRIDE, PASTA, attack tree, attack surface analysis.
• Kiến trúc cho tính liên tục và khôi phục: BIA, RTO và RPO, chiến lược dự phòng, thiết kế đa vùng.
• Rủi ro chuỗi cung ứng và bên thứ ba trong thiết kế.

Domain 2: Security Architecture Modeling (22%)

• Phương pháp và khung mô hình hoá kiến trúc bảo mật; tài liệu kiến trúc (view, viewpoint, reference architecture, pattern).
• Nguyên tắc thiết kế an toàn: defense in depth, least privilege, separation of duties, fail securely, secure defaults, complete mediation, open design, economy of mechanism.
• Zero Trust Architecture (NIST SP 800-207): policy engine, policy administrator, policy enforcement point, micro-segmentation; SASE và Security Service Edge.
• Mô hình bảo mật hình thức: Bell-LaPadula, Biba, Clark-Wilson, Brewer-Nash, Lattice; khi nào dùng mô hình nào.
• Xác minh và kiểm chứng thiết kế: design review, architecture risk analysis, tiêu chí đánh giá (Common Criteria, EAL).
• Kiến trúc cho môi trường mới: cloud (nhiều nhà cung cấp), container và microservice, serverless, AI/ML, IoT và OT.

Domain 3: Infrastructure and System Security (32%) — domain nặng nhất

• Kiến trúc mạng an toàn: phân đoạn và micro-segmentation, screened subnet, kiến trúc nhiều tầng, SDN và SD-WAN, thiết kế biên (edge), thiết kế cho lưu lượng đông-tây và bắc-nam.
• Thiết bị và biện pháp kiểm soát: firewall (next-gen), IDS/IPS, proxy, WAF, NAC, DDoS protection, sensor và tap.
• Kiến trúc mật mã: chọn thuật toán và độ dài khoá, PKI (phân cấp CA, chứng chỉ, CRL và OCSP), quản lý khoá và vòng đời khoá, HSM và KMS, mã hoá khi lưu và khi truyền, quản lý secret, cân nhắc về mật mã hậu lượng tử.
• Kiến trúc bảo vệ dữ liệu: phân loại dữ liệu, tokenization, masking, DLP, DRM, bảo vệ dữ liệu trong môi trường chia sẻ nhiều tenant.
• Kiến trúc endpoint và máy chủ: hardening baseline, secure boot, TPM, mã hoá toàn ổ, EDR, quản lý bản vá ở quy mô lớn.
• Kiến trúc ảo hoá và cloud: hypervisor, cách ly tenant, landing zone, thiết kế mạng cloud, shared responsibility theo mô hình dịch vụ.
• Kiến trúc an toàn vật lý và môi trường: thiết kế trung tâm dữ liệu, chu vi phòng vệ, điện và HVAC, chống cháy.
• Kiến trúc cho OT và ICS/SCADA: phân vùng theo mô hình Purdue, DMZ công nghiệp, giới hạn vá lỗi.

Domain 4: Identity and Access Management Architecture (25%)

• Thiết kế kiến trúc danh tính: nguồn danh tính có thẩm quyền, identity store, hybrid và multi-cloud identity, vòng đời danh tính (joiner-mover-leaver).
• Kiến trúc xác thực: MFA và chọn yếu tố, passwordless và FIDO2/passkey, chứng chỉ số, xác thực liên tục (continuous authentication), risk-based authentication.
• Kiến trúc federation và SSO: SAML, OAuth 2.0, OpenID Connect, SCIM cho provisioning, trust relationship, cân nhắc khi federation giữa nhiều tổ chức.
• Thiết kế phân quyền: RBAC, ABAC, PBAC, policy decision point và policy enforcement point, entitlement management, access review và certification.
• Kiến trúc truy cập đặc quyền (PAM): tách tài khoản admin, just-in-time access, credential vaulting, session recording, workstation riêng cho quản trị.
• Danh tính cho workload và phi con người: service account, managed identity, workload identity federation, danh tính cho agent và dịch vụ tự động.
• Kiến trúc danh tính cho khách hàng (CIAM) và cho đối tác bên ngoài (B2B).

3. HAI ĐIỀU ĐÁNG LƯU Ý

Trả lời ở góc nhìn kiến trúc, không phải vận hành. Khi đề cho một tình huống, đáp án đúng thường là quyết định thiết kế (chọn mô hình, đặt ranh giới tin cậy, chọn pattern), không phải một hành động vận hành (chạy quét, cấu hình luật firewall). Đây là chỗ người làm vận hành lâu năm hay chọn sai.

SABSA đáng đọc riêng. Đây là khung kiến trúc bảo mật được ISSAP bám vào nhiều nhất, và nó khác hẳn cách nghĩ của CISSP: SABSA đi từ yêu cầu kinh doanh xuống tới thành phần kỹ thuật qua sáu lớp, và đề hay hỏi một quyết định thuộc lớp nào.

Đề TUYẾN TÍNH, không phải CAT. Khác với CISSP, CCSP, SSCP và CC, kỳ thi này dùng định dạng cố định: 125 câu, 3 giờ, và quay lại sửa câu đã làm được. Nghĩa là chiến thuật "đánh dấu câu khó để làm sau, rà lại cuối giờ" dùng được bình thường ở đây — khoảng 1,4 phút mỗi câu nếu chia đều.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• Exam Outline ISSAP: https://www.isc2.org/certifications/issap/issap-certification-exam-outline
• Trang chứng chỉ: https://www.isc2.org/certifications/issap
• Thông báo làm mới đề cương các chứng chỉ nâng cao (ISSAP, ISSEP, ISSMP): https://www.isc2.org/Insights/2025/08/ISC2-Updates-Advanced-Certifications
• NIST SP 800-207 (Zero Trust Architecture): https://csrc.nist.gov/pubs/sp/800/207/final

Lưu ý: Tỉ lệ domain lấy từ Exam Outline chính thức của ISC2, bản hiệu lực 01/08/2025, tra ngày 03/10/2026. ISC2 làm mới đề cương theo chu kỳ Job Task Analysis — đối chiếu lại trang Exam Outline trước khi đặt lịch thi.