Mô hình sai nhiều bạn mang vào CSE2SIA: report về bảo mật là liệt kê các kiểu tấn công (phishing, ransomware, SQL injection), mỗi cái một định nghĩa, rồi kết bằng "companies should use firewalls and strong passwords". Kiểu bài đó đọc giống trang giáo trình. Môn này chấm việc bạn nối được từng mối đe doạ với một tài sản cụ thể, một lỗ hổng cụ thể, và một biện pháp kiểm soát có lý do vì sao nó hiệu quả.
Bài này đi qua hai bài viết của CSE2SIA, mỗi bài một kỹ thuật, kèm công thức câu tiếng Anh, rồi gợi ý cách ôn cho phần kiểm tra.
Lưu ý, cập nhật 30/09/2026: cấu trúc dưới đây lấy từ La Trobe Handbook 2026, offering Melbourne (Bundoora) Semester 2 Face to Face. Môn cũng mở Online, ở Sydney và Singapore (PSB); Handbook 2026 không liệt kê lớp tại Việt Nam. Handbook không ghi tuần nộp của hai bài viết; kiểm tra LMS lớp bạn.
Tổng quan các bài
| Bài | Hình thức | Trọng số | Độ dài (tương đương) | Khi nào |
|---|---|---|---|---|
| Written report | Cá nhân: security threats and controls | 20% | 1.000 từ | Theo LMS |
| Timed quiz | Cá nhân, làm trong buổi lab có giám sát | 10% | Tương đương 500 từ | Tuần 4 |
| Group case study | Bài viết nhóm về một case an ninh thông tin | 20% | 1.000 từ | Theo LMS |
| Final exam | Thi cuối kỳ 2 giờ | 50% | Tương đương 2.000 từ | Kỳ thi cuối kỳ |
Hai bài viết cộng lại chỉ 40%, nhưng đây là phần bạn kiểm soát được nhiều nhất. Viết tốt hai bài này cũng chính là cách ôn tốt nhất cho phần thi.
1. Written report: chuỗi tài sản, lỗ hổng, đe doạ, kiểm soát
Learning outcome thứ tư của môn yêu cầu nhận diện và phân tích đe doạ, lỗ hổng và rủi ro. Learning outcome thứ nhất yêu cầu áp dụng biện pháp kỹ thuật và bảo mật phù hợp. Vậy mỗi phần phân tích trong report nên đi theo một chuỗi cố định:
- Tài sản: thông tin hoặc hệ thống nào cần bảo vệ (dữ liệu khách hàng, hệ thống email, máy chủ thanh toán).
- Lỗ hổng: điểm yếu cụ thể (không bật xác thực đa yếu tố, phần mềm chưa vá, phân quyền quá rộng).
- Đe doạ: ai hoặc cái gì khai thác lỗ hổng đó.
- Rủi ro: khả năng xảy ra nhân với mức ảnh hưởng, gắn với một thành phần của tam giác CIA (confidentiality, integrity, availability).
- Kiểm soát: biện pháp phòng ngừa, phát hiện hoặc khắc phục, kèm lý do nó giảm được khả năng hay ảnh hưởng.
Công thức: "[Threat] exploits [vulnerability] in [asset], threatening its [confidentiality, integrity or availability]; we rate the risk as [level] (likelihood [L], impact [I]) and recommend [control], a [preventive, detective or corrective] control that reduces [likelihood or impact] because [mechanism]."
Ví dụ: "Credential phishing exploits the absence of multi-factor authentication on staff email accounts, threatening the confidentiality of client records; we rate the risk as high (likelihood 4, impact 4) and recommend enforcing MFA, a preventive control that reduces likelihood because a stolen password alone no longer grants access."
Một bảng tóm tắt rủi ro (risk register) ở cuối report giúp người chấm thấy toàn bộ chuỗi trong một nhìn. Nếu bạn cần ví dụ về bố cục report quản trị rủi ro thông tin, bài hướng dẫn digital risk management và information security có bố cục tương tự.
Tiêu chí được chấm: phân tích rủi ro và áp dụng biện pháp kiểm soát phù hợp để bảo vệ hệ thống thông tin của tổ chức.
Hướng dẫn cùng ngành Information Technology:
2. Group case study: tìm nguyên nhân gốc, không dừng ở nguyên nhân bề mặt
Bài nhóm thường phân tích một sự cố an ninh thông tin (thật hoặc giả định). Nhóm yếu kể lại diễn biến. Nhóm tốt trả lời ba câu: sự cố thành công vì đâu (kỹ thuật, quy trình, con người), biện pháp nào lẽ ra đã chặn hoặc phát hiện nó ở giai đoạn nào, và chính sách của tổ chức cần đổi gì.
Công thức: "The incident succeeded because [root cause], not merely because of [surface cause]; [control], consistent with [framework], would have [prevented or detected] it at the [stage] stage."
Ví dụ: "The incident succeeded because a former contractor's account was never disabled, not merely because the attacker used a strong password list; a quarterly access review, consistent with the Essential Eight guidance on restricting administrative privileges, would have removed the account months before the intrusion."
Learning outcome thứ hai nói về chính sách bảo mật, thực hành đạo đức và tuân thủ. Một đoạn về nghĩa vụ thông báo sự cố và quyền riêng tư của người bị ảnh hưởng sẽ làm bài nhóm đầy đặn hơn nhiều so với chỉ bàn kỹ thuật. Khi chia việc, để một người giữ mạch lập luận của cả bài; bài làm việc nhóm hiệu quả có vài cách phân vai dùng được.
Tiêu chí được chấm: đánh giá chính sách, thực hành đạo đức và cách duy trì dữ liệu để bảo đảm tuân thủ và tam giác CIA.
3. Quiz và final exam: ôn theo bảng so sánh
Hai phần này là bài kiểm tra nên mình chỉ gợi ý cách ôn. Nội dung môn trên Handbook gồm integrity models, message authentication, access control, cryptography và firewall. Các cặp khái niệm dễ nhầm nên ôn bằng bảng so sánh: mã hoá đối xứng và bất đối xứng, hash và MAC và chữ ký số, DAC và MAC và RBAC, mô hình Biba và Clark-Wilson, firewall lọc gói và firewall theo trạng thái. Với mỗi cặp, tự viết một tình huống mà một bên phù hợp hơn bên kia.
Trước và sau
Trước: "Ransomware is a type of malware that encrypts files and demands payment. Companies should have backups and antivirus to protect themselves."
Sau: "Ransomware delivered through unpatched remote-access software threatens the availability of the clinic's booking system; because backups are stored on the same network share, a single infection could destroy both, so we recommend offline, tested backups as a corrective control and timely patching as the preventive one."
Lỗi hay gặp
- Định nghĩa từng loại tấn công mà không gắn với tài sản và lỗ hổng cụ thể.
- Khuyến nghị kiểm soát không giải thích vì sao nó giảm rủi ro.
- Chỉ bàn kỹ thuật, bỏ qua chính sách, con người và tuân thủ.
- Case study kể lại diễn biến mà không có phân tích nguyên nhân gốc.
- Trích dẫn nguồn blog không rõ tác giả thay vì chuẩn, framework hoặc báo cáo sự cố chính thức. Công cụ quản lý nguồn giúp đỡ nhiều, xem làm reference nhanh bằng Word, Zotero, Mendeley.
Checklist
- Mỗi rủi ro có đủ tài sản, lỗ hổng, đe doạ, mức rủi ro, kiểm soát.
- Mỗi rủi ro chỉ rõ ảnh hưởng tới C, I hay A.
- Mỗi kiểm soát được phân loại (phòng ngừa, phát hiện, khắc phục) và có lý do.
- Bài nhóm có nguyên nhân gốc và ít nhất một khuyến nghị về chính sách.
- Có bảng risk register tóm tắt.
- Đã kiểm tra quy định về công cụ tạo sinh trên LMS.
Lời thật lòng kiểu chị khóa trên: môn bảo mật thưởng cho người viết cụ thể, nên cứ mỗi lần định viết "the company" hãy hỏi mình đó là hệ thống nào, dữ liệu nào.
Đừng hỏi "có những loại tấn công nào". Hãy hỏi "với tổ chức này, lỗ hổng nào đáng sửa trước nhất, và biện pháp nào sửa được nó với chi phí hợp lý".
Cần hỗ trợ assignment / luận văn? Nhắn Facebook của 7
Cần hỗ trợ 1-1 cho môn này? Xem bảng giá và quy trình nhận hỗ trợ của 7 Writing Service.