ISC2 Systems Security Certified Practitioner

ISC2 SSCP – Systems Security Certified Practitioner – TÀI LIỆU ÔN TẬP

1. TỔNG QUAN KỲ THI

• Định dạng: CAT (Computerized Adaptive Testing)
• Số câu: 100–125 câu (không cố định)
• Thời gian: 2 giờ
• Điểm đậu: 700 trên thang 0–1000
• Lệ phí tham khảo: 249 USD
• Điều kiện: 1 năm kinh nghiệm làm việc có trả lương trong một hoặc nhiều domain của SSCP. Bằng đại học hoặc cao đẳng liên quan tới an toàn thông tin có thể thay thế năm kinh nghiệm đó. Chưa đủ thì vẫn thi được và trở thành Associate of ISC2, có 2 năm để tích luỹ.
• Ngôn ngữ: tiếng Anh, Nhật, Tây Ban Nha

SSCP nằm giữa CC và CISSP: đã thiên về thực hành vận hành chứ không chỉ khái niệm như CC, nhưng chưa ở tầm quyết định quản lý như CISSP. Phù hợp với người đang làm quản trị hệ thống, mạng hoặc vận hành bảo mật.

2. NỘI DUNG ÔN TẬP THEO 7 DOMAIN

Sáu trong bảy domain nằm trong khoảng 14–16% — gần như đều nhau. Chỉ Cryptography nhẹ hơn rõ (9%). Nghĩa là không có domain nào bỏ được, và nếu phải cắt bớt thời gian thì cắt ở Cryptography.

Domain 1: Security Concepts and Practices (16%)

• Khái niệm bảo mật nền tảng: CIA triad, privacy, non-repudiation, least privilege, separation of duties, defense in depth.
• Khái niệm quản trị: chính sách, chuẩn, thủ tục, hướng dẫn; tuân thủ pháp lý và quy định.
• Nguyên tắc đạo đức nghề nghiệp: ISC2 Code of Ethics.
• Quản lý rủi ro: xác định, đánh giá, xử lý; phân loại và quyền sở hữu tài sản.
• Quản lý thay đổi và quản lý cấu hình; security awareness và training.
• An toàn vật lý: kiểm soát vào ra, giám sát, bảo vệ thiết bị và môi trường.

Domain 2: Access Controls (15%)

• Triển khai xác thực: single-factor và MFA, SSO, device authentication, federated access.
• Quản lý vòng đời danh tính: provisioning, maintenance, deprovisioning, review định kỳ.
• Mô hình kiểm soát truy cập: DAC, MAC, RBAC, ABAC, rule-based.
• Quản lý tài khoản đặc quyền: tách tài khoản admin, just-in-time, password vaulting.
• Kiến trúc tin cậy: trust relationship, one-way và two-way, transitive trust; zero trust.
• Kiểm soát truy cập từ xa và không dây.

Domain 3: Risk Identification, Monitoring and Analysis (15%)

• Quy trình quản lý rủi ro: xác định mối đe doạ và lỗ hổng, đánh giá rủi ro (định tính và định lượng), xử lý rủi ro, khung quản lý rủi ro.
• Quản lý lỗ hổng: quét lỗ hổng, kiểm thử xâm nhập, báo cáo và theo dõi khắc phục, quản lý bản vá.
• Giám sát an ninh: ghi log, tổng hợp log, SIEM, phân tích hành vi, giám sát liên tục, event correlation.
• Phân tích dữ liệu giám sát: nhận diện bất thường, xác định mức độ ưu tiên, báo cáo.
• Chỉ số và báo cáo: KPI, KRI, trình bày cho các bên liên quan.

Domain 4: Incident Response and Recovery (14%)

• Hỗ trợ vòng đời ứng cứu sự cố: preparation → detection, analysis and escalation → containment → eradication → recovery → lessons learned.
• Hiểu và hỗ trợ pháp y số (forensic): chuỗi giữ bằng chứng, xử lý và bảo toàn bằng chứng, báo cáo, luật và quy định liên quan.
• Khôi phục thảm hoạ: BIA, chiến lược khôi phục, RTO và RPO, loại site dự phòng (hot, warm, cold), sao lưu và kiểm chứng phục hồi, kiểm thử kế hoạch (tabletop, walkthrough, simulation, parallel, full interruption).
• Hỗ trợ tính liên tục kinh doanh: vai trò, kế hoạch truyền thông, khôi phục dần theo thứ tự ưu tiên.

Domain 5: Cryptography (9%)

• Khái niệm: mã hoá đối xứng và bất đối xứng, hàm băm, chữ ký số, non-repudiation, salting, key stretching.
• Yêu cầu bảo mật và tuân thủ liên quan tới mã hoá; luật xuất nhập khẩu thuật toán.
• Quản lý khoá: tạo, phân phối, lưu trữ, luân chuyển (rotation), thu hồi, tiêu huỷ, escrow; HSM.
• PKI: certificate authority, registration authority, chứng chỉ số, CRL và OCSP, chuỗi tin cậy, web of trust.
• Mã hoá khi truyền: TLS, IPSec, SSH, VPN; mã hoá khi lưu: full-disk, file-level, database.
• Tấn công mật mã: brute force, dictionary, rainbow table, birthday, side-channel, downgrade, replay.

Domain 6: Network and Communications Security (16%)

• Nền tảng mạng: mô hình OSI và TCP/IP, IPv4 và IPv6, port và giao thức, phân giải tên (DNS), DHCP, NAT.
• Tấn công mạng và biện pháp: DoS và DDoS, on-path, spoofing (ARP, DNS, IP), session hijacking, sniffing, scanning, rogue device, evil twin.
• Quản lý truy cập mạng: firewall (stateful và stateless, next-gen), IDS/IPS, proxy, NAC, 802.1X, VPN, remote access.
• Quản lý thiết bị mạng: hardening, segmentation, VLAN, DMZ/screened subnet, micro-segmentation, SDN.
• Bảo mật không dây: chuẩn 802.11, WPA2 và WPA3, EAP, rogue AP, site survey; Bluetooth, NFC, RFID.
• Bảo mật thiết bị di động và viễn thông: VoIP bảo mật, cellular, satellite.

Domain 7: Systems and Application Security (15%)

• Nhận diện và phân tích mã độc: virus, worm, trojan, rootkit, ransomware, spyware, logic bomb, botnet; biện pháp đối phó (antivirus, EDR, whitelist, sandbox).
• Hoạt động độc hại và biện pháp: insider threat, data theft, social engineering, phishing, APT.
• Bảo mật endpoint: HIDS/HIPS, host firewall, mã hoá toàn ổ, application whitelisting, secure boot, TPM, patch và cấu hình baseline, EDR.
• Bảo mật cloud: mô hình dịch vụ và triển khai, shared responsibility, lưu trữ dữ liệu và chủ quyền dữ liệu, kiểm soát truy cập, mã hoá, CASB, legal và quy định.
• Bảo mật ảo hoá: hypervisor, VM escape, VM sprawl, snapshot, container, microservice, serverless.
• Bảo mật thiết bị nhúng và IoT: ICS/SCADA, thiết bị y tế, thiết bị thông minh, giới hạn vá lỗi, phân đoạn mạng cho chúng.

3. HAI CHỖ ĐỀ HAY HỎI

Thứ tự ứng cứu sự cố là câu hỏi lặp lại nhiều nhất: containment đến TRƯỚC eradication. Cô lập để ngăn lan trước, rồi mới diệt. Nhiều người chọn "diệt ngay" vì nghe gấp hơn — đó là bẫy.

Phân biệt mã hoá đối xứng và bất đối xứng theo mục đích, không chỉ theo định nghĩa: đối xứng nhanh nên dùng mã hoá khối lượng dữ liệu lớn; bất đối xứng chậm nên dùng để trao đổi khoá và chữ ký số. TLS dùng cả hai: bất đối xứng để thống nhất khoá phiên, rồi đối xứng để mã hoá dữ liệu.

Về định dạng CAT: đề tự điều chỉnh độ khó theo câu trả lời. Hệ quả: không quay lại sửa câu đã làm được, số câu không cố định, và chiến thuật "làm nhanh rồi rà lại" không dùng được.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• Exam Outline SSCP: https://www.isc2.org/certifications/sscp/sscp-certification-exam-outline
• FAQ về việc đổi domain của SSCP: https://www.isc2.org/certifications/sscp/sscp-domain-change-faq
• Trang chứng chỉ: https://www.isc2.org/certifications/sscp

Lưu ý: Tỉ lệ domain lấy từ Exam Outline chính thức của ISC2, bản hiệu lực bản hiện hành, tra ngày 03/10/2026. ISC2 làm mới đề cương theo chu kỳ Job Task Analysis — đối chiếu lại trang Exam Outline trước khi đặt lịch thi.