Knowledge

CIA (機密性・完全性・可用性)

• 機密性 (Confidentiality): chỉ người được phép mới truy cập được thông tin
• 完全性 (Integrity): thông tin chính xác, đầy đủ, không bị sửa đổi trái phép
• 可用性 (Availability): truy cập/sử dụng được khi cần
• Bẫy hay gặp: đề thi cho tình huống rồi hỏi "vi phạm tính chất nào trong CIA" — cần phân biệt kỹ 改ざん (sửa đổi dữ liệu) → 完全性, còn ngừng dịch vụ do DDoS → 可用性, rò rỉ dữ liệu → 機密性

Các thuộc tính mở rộng (CIA+)

• 真正性 (Authenticity): chủ thể/thông tin đúng là cái nó tuyên bố, không bị giả mạo
• 責任追跡性 (Accountability): truy vết được ai đã làm gì, khi nào (thường thực hiện qua ログ・監査証跡)
• 否認防止 (Non-Repudiation): người thực hiện hành động không thể chối bỏ sau này (VD: デジタル署名 đảm bảo tính chất này)
• 信頼性 (Reliability): hệ thống vận hành đúng như thiết kế, ổn định, ít lỗi
• Bẫy: 真正性 vs 否認防止 dễ nhầm — 真正性 là xác nhận "đúng là ai/cái gì" tại thời điểm hiện tại, còn 否認防止 là ngăn việc chối bỏ đã làm trong QUÁ KHỨ

Nguyên lý thiết kế

• 多層防御 (Defense in Depth): nhiều lớp phòng thủ chồng lên nhau, 1 lớp bị xuyên thủng thì lớp khác vẫn chặn được
• セキュリティ/セキュアバイデザイン (Security by Design): tích hợp bảo mật ngay từ khâu thiết kế, không phải thêm vào sau
• プライバシーバイデザイン (Privacy by Design): tích hợp bảo vệ quyền riêng tư ngay từ khâu thiết kế

Tầm quan trọng của Information Security

• Đầu tư bảo mật là chiến lược kinh doanh, không chỉ là chi phí (liên hệ ISO/IEC 27001, được hội đồng quản trị/ban điều hành quan tâm)
• BCP (事業継続計画): kế hoạch giúp DN tiếp tục hoạt động (hoặc phục hồi nhanh) khi gặp sự cố — sẽ học sâu ở phần リスクマネジメント
• Chuỗi khái niệm cần nhớ: 情報資産 (tài sản thông tin) bị đe dọa bởi 脅威 (threat) thông qua khai thác 脆弱性 (vulnerability) → dẫn đến サイバー攻撃/インシデント xảy ra
• Công thức đánh giá rủi ro cơ bản (định tính): リスク値 = 情報資産の重要度 × 脅威の評価値 × 脆弱性の評価値, trong đó 情報資産の重要度 = MAX(機密性評価値, 完全性評価値, 可用性評価値)

脅威 (Threat) — 3 nhóm

• 環境的脅威: thiên tai, sự cố, hỏng hóc (yếu tố tự nhiên/môi trường, không do con người)
• 偶発的脅威: lỗi vô ý — thao tác sai, mất mát, hỏng dữ liệu, cấu hình quyền sai
• 意図的脅威: cố ý — trộm cắp, xâm nhập, truy cập trái phép, giả mạo, phá hoại, nội gián
• Bẫy: đề hay cho ví dụ cụ thể (VD: nhân viên vô tình gửi nhầm email chứa file mật) rồi hỏi thuộc nhóm nào → đây là 偶発的 (vô ý), không phải 意図的, dù hậu quả giống nhau

Các dạng đe dọa cụ thể hay ra thi

• ソーシャルエンジニアリング: khai thác yếu tố con người (giả danh qua điện thoại, nhìn trộm màn hình — ショルダーハッキング, lục thùng rác — スキャベンジング/トラッシング)
• ビジネスメール詐欺 (BEC): giả mạo email đối tác/cấp trên để lừa chuyển tiền — khác phishing thông thường ở chỗ nhắm mục tiêu cụ thể, thường không gắn link/file độc hại nên khó bị lọc bởi công cụ bảo mật
• 踏み台 (Stepping Stone): máy đã bị chiếm quyền, dùng làm bàn đạp tấn công máy khác — kẻ tấn công thực ẩn mình phía sau
• SNS 悪用: lợi dụng mạng xã hội để thu thập thông tin trinh sát (偵察) hoặc phát tán tin giả/mã độc
• AI に対する脅威 (thuật ngữ mới, hay ra gần đây):
  • プロンプトインジェクション: chèn lệnh độc hại vào prompt để AI thực hiện hành vi ngoài ý muốn
  • 敵対的サンプル/摂動 (Adversarial Examples): dữ liệu đầu vào bị thay đổi nhỏ khiến AI nhận diện sai
  • データ汚染 (Data Poisoning): đầu độc dữ liệu huấn luyện để AI học sai lệch có chủ đích

Malware — phân biệt theo cách lây lan

• コンピュータウイルス: cần file chủ (host) để lây lan, không tự hoạt động độc lập
• マクロウイルス: virus núp trong macro của Word/Excel
• ワーム (Worm): tự nhân bản, tự lây lan qua mạng, KHÔNG cần file chủ (khác Virus ở điểm này — bẫy hay ra thi)
• トロイの木馬 (Trojan): giả dạng phần mềm hữu ích, không tự nhân bản/lây lan như Worm

Malware — phân biệt theo mục đích

• スパイウェア: âm thầm thu thập thông tin cá nhân
• キーロガー: ghi lại thao tác bàn phím (một dạng chuyên biệt của Spyware)
• ランサムウェア: mã hóa dữ liệu/hệ thống, đòi tiền chuộc

Malware — phân biệt theo vai trò sau khi xâm nhập thành công

• バックドア: cửa hậu bí mật cài lại để lần sau xâm nhập dễ dàng, không cần khai thác lại lỗ hổng
• ルートキット (Rootkit): bộ công cụ giúp chiếm quyền admin, cài backdoor, và XÓA DẤU VẾT xâm nhập — đây là điểm đặc trưng để phân biệt với Backdoor đơn thuần
• ファイルレスマルウェア: không tạo file trên đĩa, chạy trực tiếp trên bộ nhớ (memory), lợi dụng công cụ có sẵn của OS (PowerShell/WMI) → antivirus truyền thống (quét file) khó phát hiện
• 💡 Ghi nhớ: Virus/Worm/Trojan phân biệt theo CÁCH LÂY LAN; Ransomware/Spyware/Keylogger phân biệt theo MỤC ĐÍCH; Rootkit/Backdoor phân biệt theo VAI TRÒ sau khi đã xâm nhập.

Bot / Botnet

• ボット (Bot): mã độc điều khiển máy nạn nhân từ xa theo lệnh kẻ tấn công
• ボットネット (Botnet): mạng lưới nhiều máy đã bị chiếm quyền, hoạt động đồng loạt theo lệnh — thường dùng cho DDoS quy mô lớn
• C&C サーバ (Command & Control): máy chủ gửi lệnh điều khiển cho các máy đã nhiễm, hoặc thu thập dữ liệu đánh cắp
• RAT (Remote Access Trojan): Trojan cho phép kẻ tấn công điều khiển từ xa máy nạn nhân
• Luồng quan hệ cần nhớ (hay ra thi dạng sơ đồ điền chỗ trống): kẻ tấn công → gửi lệnh qua C&C サーバ → điều khiển ボットネット (tập hợp máy nhiễm bot/RAT) → thực hiện tấn công (DDoS, spam, đào tiền ảo)
• 二重脅迫 (Double Extortion): ransomware hiện đại không chỉ mã hóa dữ liệu (đe dọa mất 可用性) mà còn đánh cắp dữ liệu để đe dọa công khai nếu không trả tiền (đe dọa mất 機密性) — thuật ngữ hay ra thi gần đây, chú ý phân biệt với ransomware đơn thuần

脆弱性 (Vulnerability) — 4 loại

• 脆弱性 vs セキュリティホール: 脆弱性 chỉ điểm yếu nói chung của toàn hệ thống/tổ chức (phạm vi rộng), セキュリティホール chỉ khiếm khuyết cụ thể do lỗi chương trình (phạm vi hẹp hơn)
• バグ (Bug): lỗi code khiến chương trình hoạt động sai thiết kế
• 人的脆弱性: điểm yếu do con người — thiếu nhận thức, dễ bị lừa, thao tác sai
• 内部統制の不備: thiếu sót trong cơ chế kiểm soát nội bộ tổ chức (VD: không phân quyền rõ ràng, thiếu quy trình phê duyệt)
• シャドー IT: nhân viên tự ý dùng thiết bị/dịch vụ cloud không được tổ chức cho phép chính thức — rủi ro vì nằm ngoài tầm kiểm soát/giám sát của bộ phận IT

不正のトライアングル (Fraud Triangle)

• Gian lận xảy ra khi hội tụ đủ 3 yếu tố:
• 機会 (Cơ hội): không ai giám sát, hệ thống có lỗ hổng, phân quyền không rõ ràng
• 動機 (Động cơ): áp lực chỉ tiêu, khó khăn tài chính cá nhân
• 正当化 (Chính đáng hóa): tự biện minh cho hành vi của mình ("chỉ mượn tạm", "đãi ngộ thấp hơn năng lực nên xứng đáng bù đắp")
• Biện pháp phòng chống hiệu quả nhất là loại bỏ ÍT NHẤT 1 trong 3 yếu tố — thực tế DN thường tập trung loại bỏ 機会 vì dễ kiểm soát bằng công nghệ/quy trình nhất (log, phân quyền, camera). Đây là điểm hay bị hỏi dưới dạng "biện pháp nào hiệu quả nhất"

状況的犯罪予防 (Situational Crime Prevention) — 5 nguyên tắc

• 1. 犯行を難しくする: tăng cường kiểm soát kỹ thuật, làm hành vi gian lận khó thực hiện hơn
• 2. 捕まるリスクを高める: tăng cường giám sát, quản lý log để tăng nguy cơ bị phát hiện
• 3. 犯罪の見返りを減らす: giảm lợi ích thu được từ hành vi gian lận
• 4. 犯行の誘発を減らす: giảm yếu tố kích thích/khiêu khích
• 5. 犯罪の言い訳をさせない: không để kẻ gian lận có cớ biện minh

割れ窓理論 (Broken Windows Theory) & CPTED

• 割れ窓理論: nếu để tồn tại hành vi gian lận/vi phạm nhỏ mà không xử lý, sẽ tạo ấn tượng khu vực thiếu quản lý → dẫn đến hành vi vi phạm lớn hơn
• 防犯環境設計 (CPTED — セプテッド): thiết kế môi trường vật lý khiến kẻ phạm tội tự từ bỏ ý định — VD: bố trí khu server dễ quan sát (自然監視性), lắp camera + kiểm soát ra vào (接近の制御), gắn biển khu vực cấm rõ ràng (領域性)

攻撃者の種類 (Loại kẻ tấn công)

• スクリプトキディ (Script Kiddie): không có kỹ thuật chuyên môn, chỉ dùng công cụ tấn công có sẵn do người khác phát triển
• ボットハーダー (Bot Herder): kẻ điều khiển botnet để thực hiện tội phạm mạng
• 内部犯 (Nội gián): người trong tổ chức (nhân viên, cựu nhân viên, đối tác) thực hiện hành vi gian lận
• 愉快犯: phạm tội vì vui đùa, thỏa mãn cảm giác thích thú, gây chú ý
• 詐欺犯: phạm tội nhằm lừa đảo, chiếm đoạt tài sản/tiền bạc
• 故意犯: phạm tội có ý thức chủ động, biết rõ vi phạm nhưng vẫn cố ý thực hiện

攻撃の動機 (Động cơ tấn công)

• 金銭奪取: phổ biến nhất — chiếm đoạt tiền, bán dữ liệu, hoặc đòi tiền chuộc
• ハクティビズム (Hacktivism): hack vì mục đích khẳng định quan điểm xã hội/chính trị — ghép từ "Hacking" + "Activism"
• サイバーテロリズム (Cyber Terrorism): tấn công nhằm khủng bố — gây hoảng loạn, phá hoại hạ tầng trọng yếu (điện, nước, giao thông, tài chính) vì động cơ chính trị/tư tưởng cực đoan

サイバーキルチェーン (Cyber Kill Chain — Lockheed Martin đề xuất) — 7 bước

• 1. 偵察 (Reconnaissance): thu thập thông tin mục tiêu qua social engineering, thông tin công khai (website, SNS, cơ cấu tổ chức)
• 2. 武器化 (Weaponization): tạo mã độc/công cụ tấn công
• 3. デリバリ (Delivery): gửi payload độc hại đến hệ thống mục tiêu
• 4. エクスプロイト (Exploitation): khai thác lỗ hổng (脆弱性) để kích hoạt payload
• 5. インストール (Installation): cài đặt chương trình độc hại, thiết lập đường xâm nhập lâu dài (VD: backdoor)
• 6. C&C (Command & Control): điều khiển từ xa chương trình đã cài, mở rộng hoạt động tấn công tiếp theo
• 7. 目的の実行 (Actions on Objectives): thực hiện mục tiêu cuối cùng — đánh cắp dữ liệu, phá hoại dịch vụ, đòi tiền chuộc
• 💡 Nguyên tắc quan trọng hay ra thi: chỉ cần chặn được kẻ tấn công ở BẤT KỲ 1 trong 7 giai đoạn là toàn bộ chuỗi tấn công bị phá vỡ, KHÔNG cần chặn hoàn hảo ở mọi lớp — đây chính là cơ sở lý luận của 多層防御 (Defense in Depth)

サイバー攻撃手法 (1) — Tấn công mật khẩu (パスワードクラック系)

• 総当たり攻撃 (Brute Force): thử TẤT CẢ tổ hợp ký tự có thể có, lần lượt từng cái cho đến khi đúng
• 辞書攻撃 (Dictionary Attack): suy đoán mật khẩu dựa trên các từ có trong từ điển, tên riêng phổ biến
• リバースブルートフォース攻撃 (Reverse Brute Force): cố định 1 mật khẩu (thường dễ đoán), rồi thử với NHIỀU ID/tài khoản khác nhau — ngược hướng với Brute Force thông thường (cố định ID, thử nhiều mật khẩu)
• パスワードリスト攻撃 / クレデンシャルスタッフィング (Credential Stuffing): lợi dụng việc người dùng dùng chung 1 mật khẩu cho nhiều tài khoản — dùng danh sách thông tin đăng nhập đã rò rỉ từ vụ khác để thử đăng nhập hàng loạt — khác Password List Attack thông thường ở chỗ khối lượng lớn, tự động hóa
• Bẫy hay ra thi: phân biệt rõ chiều cố định — Brute Force/Dictionary cố định ID thử nhiều PW; Reverse Brute Force cố định PW thử nhiều ID

サイバー攻撃手法 (2) — Tấn công Web / Injection

• クロスサイトスクリプティング (XSS): chèn script độc hại vào trang web, script chạy trên trình duyệt của NẠN NHÂN KHÁC khi họ truy cập
• クロスサイトリクエストフォージェリ (CSRF): lừa nạn nhân (đang đăng nhập sẵn) vô tình gửi request trái phép đến trang web khác — khác XSS ở chỗ không chèn script vào trang, mà lợi dụng session đã xác thực của nạn nhân
• クリックジャッキング (Clickjacking): che giấu nút/link thật bằng lớp giao diện giả (iframe trong suốt), khiến người dùng click nhầm
• ドライブバイダウンロード: chỉ cần truy cập trang web độc hại là mã độc tự động tải về máy, KHÔNG cần người dùng click gì thêm
• SQL インジェクション: chèn câu lệnh SQL độc hại vào ô nhập liệu để thao túng trực tiếp DB
• OS コマンドインジェクション: chèn lệnh hệ điều hành độc hại thông qua input của ứng dụng web
• ディレクトリトラバーサル: dùng ký tự đặc biệt (VD: ../) để truy cập file/thư mục ngoài phạm vi cho phép trên server
• バッファオーバーフロー (Buffer Overflow): gửi dữ liệu vượt quá kích thước buffer đã cấp phát, ghi đè lên vùng nhớ khác để chạy mã độc

サイバー攻撃手法 (3) — Tấn công đường truyền / Phishing

• 中間者攻撃 (MITM — Man-in-the-Middle): kẻ tấn công chen vào giữa đường truyền của 2 bên, nghe lén hoặc chỉnh sửa nội dung trao đổi TRÊN MẠNG
• MITB 攻撃 (Man-in-the-Browser): lây mã độc vào thiết bị nạn nhân, nghe lén/chỉnh sửa giao tiếp giữa trình duyệt và web server từ BÊN TRONG thiết bị — khác MITM ở chỗ không cần chen vào đường truyền mạng, nên vẫn qua mặt được cả SSL/TLS
• 第三者中継 (オープンリレー): mail server cấu hình sai cho phép bên thứ ba không liên quan gửi email qua server đó — thường bị lợi dụng để gửi spam, đổ trách nhiệm lên chủ server
• IP スプーフィング: giả mạo địa chỉ IP nguồn trong gói tin để che giấu danh tính thật hoặc vượt qua kiểm soát truy cập dựa trên IP
• DNS キャッシュポイズニング: đầu độc bộ nhớ đệm DNS, khiến tên miền bị phân giải sai sang IP giả do kẻ tấn công kiểm soát → dẫn dụ nạn nhân đến trang giả
• フィッシング (Phishing) / スミッシング (Smishing): giả mạo tổ chức uy tín (ngân hàng, dịch vụ...) qua email/SMS để lừa nạn nhân cung cấp thông tin nhạy cảm — Smishing là phishing qua SMS
• セッションハイジャック (Session Hijacking): đánh cắp/đoán Session ID để chiếm quyền phiên làm việc, giả danh người dùng hợp lệ mà KHÔNG cần biết ID/mật khẩu
• リプレイ攻撃 (Replay Attack): ghi lại gói tin hợp lệ đã gửi trước đó rồi gửi lại để lừa hệ thống chấp nhận như giao dịch mới — biện pháp phòng chống tiêu biểu là gắn timestamp/nonce vào mỗi request
• Bẫy hay ra thi: MITM vs MITB dễ nhầm — MITM chen đường truyền (ngoài thiết bị), MITB nằm SẴN trong thiết bị nạn nhân nên HTTPS cũng không chặn được

サイバー攻撃手法 (4) — DoS / DDoS

• DoS 攻撃 (Denial of Service): làm cạn kiệt tài nguyên hệ thống (băng thông, CPU, kết nối) khiến dịch vụ ngừng hoạt động — thực hiện từ 1 NGUỒN DUY NHẤT
• DDoS 攻撃 (Distributed DoS): tương tự DoS nhưng thực hiện đồng loạt từ NHIỀU máy phân tán (thường là botnet) → khó chặn hơn vì nguồn tấn công ở khắp nơi, không thể chỉ block 1 IP
• Liên hệ: đây chính là loại tấn công nhắm vào 可用性 (Availability) trong CIA — đề hay cho tình huống rồi hỏi đây là vi phạm tính chất nào

サイバー攻撃手法 (5) — Tấn công có chủ đích (標的型攻撃 / APT)

• 標的型攻撃: tấn công nhắm vào 1 tổ chức/cá nhân CỤ THỂ (khác tấn công diện rộng ngẫu nhiên), thường kết hợp nhiều kỹ thuật (social engineering + malware tùy chỉnh)
• APT (Advanced Persistent Threats): tấn công có chủ đích KÉO DÀI, KIÊN TRÌ — kẻ tấn công ẩn náu lâu dài trong hệ thống để thu thập thông tin dần dần, thay vì tấn công 1 lần rồi rút — liên hệ trực tiếp với ラテラルムーブメント (di chuyển ngang trong mạng nội bộ) sẽ học ở phần sau
• 水飲み場型攻撃 (Watering Hole Attack): kẻ tấn công cài mã độc vào website mà nhóm mục tiêu THƯỜNG XUYÊN truy cập (thay vì tấn công trực tiếp), chờ nạn nhân tự "đến uống nước" và bị nhiễm
• SEO ポイズニング: thao túng kết quả tìm kiếm để đẩy trang web độc hại lên top kết quả, dụ người dùng click vào

サイバー攻撃手法 (6) — Zero-day & Lợi dụng chức năng hợp pháp

• ゼロデイ攻撃 (Zero-day Attack): khai thác lỗ hổng CHƯA được công bố/CHƯA có bản vá — nhà phát triển có "0 ngày" để chuẩn bị đối phó trước khi bị khai thác
• サービス及びソフトウェアの機能の悪用: lợi dụng chính các chức năng HỢP PHÁP, có sẵn của phần mềm/dịch vụ (KHÔNG phải lỗ hổng) để thực hiện hành vi độc hại — VD: lợi dụng PowerShell, Macro Excel/Word (liên hệ ファイルレスマルウェア đã học)
• Bẫy hay ra thi: phân biệt Zero-day (khai thác LỖ HỔNG chưa biết) với lợi dụng chức năng hợp pháp (KHÔNG có lỗ hổng nào cả, chỉ là dùng sai mục đích tính năng có sẵn)

サイバー攻撃手法 (7) — Tấn công lợi dụng AI

• AI を悪用した攻撃: AI viết email lừa đảo tự nhiên như người thật, giả giọng nói; tự động sinh biến thể mã độc mới (亜種) để né tránh antivirus; tăng tốc độ dò tìm lỗ hổng hệ thống
• ディープフェイク (Deepfake): giả mạo hình ảnh/giọng nói bằng AI để lừa đảo (VD: giả giọng CEO yêu cầu chuyển tiền)
• 敵対的サンプル (Adversarial Examples): dữ liệu đầu vào bị chỉnh sửa tinh vi (mắt thường khó nhận ra) nhằm đánh lừa mô hình AI nhận diện sai — VD: dán 1 sticker nhỏ khiến AI nhận diện biển báo giao thông sai
• プロンプトインジェクション (Prompt Injection): chèn lệnh độc hại vào input/prompt của AI (đặc biệt LLM) khiến AI bỏ qua chỉ dẫn ban đầu, thực hiện hành vi ngoài ý muốn của người vận hành
• Bẫy hay ra thi: Adversarial Examples tấn công vào DỮ LIỆU ĐẦU VÀO của mô hình nhận diện (image/audio); Prompt Injection tấn công vào LỆNH CHỈ DẪN của LLM — 2 khái niệm khác đối tượng tấn công

サイバー攻撃手法 (8) — Chuẩn bị tấn công / Hạ tầng tội phạm mạng

• フットプリンティング (Footprinting): giai đoạn thu thập thông tin ban đầu về mục tiêu (tên miền, cấu trúc mạng, nhân sự) — THU THẬP THỤ ĐỘNG, chưa chạm trực tiếp vào hệ thống
• ポートスキャン (Port Scan): quét các cổng (port) đang mở trên hệ thống mục tiêu để xác định dịch vụ nào đang chạy — CHỦ ĐỘNG thăm dò trực tiếp hệ thống (khác Footprinting ở tính chủ động/thụ động)
• RaaS (Ransomware as a Service): mô hình kinh doanh tội phạm mạng, bên phát triển ransomware cung cấp trọn gói công cụ tấn công dưới dạng dịch vụ, giúp cả kẻ không có kỹ thuật cũng dễ dàng tấn công — lợi nhuận chia phần trăm giữa nhà phát triển và người thực hiện (アフィリエイター)
• ラテラルムーブメント (Lateral Movement): sau khi đã xâm nhập được 1 điểm trong mạng nội bộ, kẻ tấn công di chuyển NGANG sang các máy khác trong cùng mạng để mở rộng phạm vi kiểm soát, tìm dữ liệu giá trị hoặc leo thang đặc quyền
• 💡 Sơ đồ tổng thể 8 nhóm サイバー攻撃手法 cần nhớ theo MỤC TIÊU tấn công: (1)パスワード → nhắm vào 認証情報; (2)Web/Injection → nhắm vào ứng dụng web/DB; (3)中間者/Phishing → nhắm vào đường truyền/người dùng; (4)DoS/DDoS → nhắm vào 可用性; (5)標的型/APT → tấn công có chủ đích kéo dài; (6)ゼロデイ/機能悪用 → khai thác lỗ hổng chưa biết hoặc tính năng hợp pháp; (7)AI悪用 → công nghệ mới tăng hiệu quả tấn công; (8)Chuẩn bị/Hạ tầng → giai đoạn trinh sát + hỗ trợ tội phạm

暗号技術 — CRYPTREC & Phương thức mã hóa

• CRYPTREC 暗号リスト: tổ chức Nhật Bản nghiên cứu & đánh giá kỹ thuật mã hóa (do Bộ Nội vụ & Truyền thông + Bộ Kinh tế Thương mại Công nghiệp chủ trì) — danh sách thuật toán mã hóa được xác nhận an toàn, khuyến nghị dùng cho hệ thống chính phủ Nhật
• 共通鍵暗号方式 (mã hóa khóa đối xứng): 1 khóa duy nhất dùng chung để mã hóa và giải mã — XỬ LÝ NHANH, nhưng số lượng khóa cần quản lý tăng theo n(n-1)/2 khi số người tham gia tăng — AES (Advanced Encryption Standard) là thuật toán tiêu biểu, độ dài khóa chọn 128/192/256 bit (càng dài càng khó brute-force nhưng xử lý càng chậm)
• 公開鍵暗号方式 (mã hóa khóa công khai): 2 khóa khác nhau (公開鍵 để mã hóa, 秘密鍵 để giải mã), mỗi người chỉ cần 1 cặp khóa nên KHÔNG bị bùng nổ số lượng như khóa chung, nhưng XỬ LÝ CHẬM hơn nhiều — RSA là thuật toán tiêu biểu, dựa trên độ khó của bài toán phân tích thừa số nguyên tố của số rất lớn
• Bẫy hay ra thi: HTTPS thực tế dùng KẾT HỢP cả 2 — dùng 公開鍵暗号方式 để trao đổi AN TOÀN 1 khóa chung (session key), sau đó dùng 共通鍵暗号方式 để mã hóa dữ liệu thực tế (vì nhanh hơn) — tận dụng ưu điểm của cả 2 phương thức

ハッシュ関数 (Hash Function)

• Hàm biến đổi dữ liệu đầu vào (độ dài bất kỳ) thành 1 chuỗi giá trị đầu ra độ dài CỐ ĐỊNH (hash value/message digest) — SHA-256 là thuật toán phổ biến hiện nay
• KHÔNG thể đảo ngược (không suy ra được dữ liệu gốc từ hash) — khác hoàn toàn với mã hóa (暗号化 có thể 復号 được, còn hash thì không)
• Cùng input → luôn ra cùng output, nhưng chỉ cần input thay đổi 1 chút → output thay đổi hoàn toàn
• Bẫy hay ra thi: mục đích chính của hash là kiểm tra tính toàn vẹn (完全性), KHÔNG phải để giữ bí mật (機密性) — đề hay đánh tráo 2 mục đích này

危殆化 (Kitaika) & Quản lý thực tế

• 危殆化: hiện tượng 1 thuật toán mã hóa từng được coi là an toàn dần trở nên không đủ an toàn theo thời gian — do máy tính ngày càng mạnh (dễ brute-force hơn) hoặc phát hiện lỗ hổng trong chính thuật toán → là lý do cần định kỳ cập nhật CRYPTREC 暗号リスト, KHÔNG có thuật toán nào an toàn vĩnh viễn
• 鍵管理 (Key Management): quản lý vòng đời khóa mã hóa (tạo, phân phối, lưu trữ, thay đổi định kỳ, thu hồi) — đây là điểm yếu thực tế LỚN NHẤT trong triển khai mã hóa (thuật toán mạnh nhưng quản lý khóa kém thì vẫn mất an toàn)
• ストレージ暗号化 vs ファイル暗号化: Storage encryption mã hóa TOÀN BỘ ổ đĩa (bảo vệ khi thiết bị bị mất/đánh cắp), còn File encryption chỉ mã hóa TỪNG FILE CỤ THỂ — linh hoạt hơn, phù hợp khi chỉ cần bảo vệ 1 số file nhạy cảm (VD: gửi đính kèm qua email)

認証技術 — デジタル署名 (Digital Signature)

• Định nghĩa: kỹ thuật mã hóa khóa công khai mô phỏng tính chất của chữ ký tay trên giấy, nhằm chứng thực tính xác thực của thông điệp
• Chiều sử dụng khóa NGƯỢC với mã hóa thường — BẪY HAY RA THI:
  • Mã hóa thường (bảo mật nội dung): dùng 公開鍵 của NGƯỜI NHẬN để mã hóa → 秘密鍵 của người nhận để giải mã
  • Chữ ký số (chứng thực người gửi): dùng 秘密鍵 (署名鍵) của NGƯỜI GỬI để ký → 公開鍵 (検証鍵) của người gửi để kiểm chứng
• Mục đích: đảm bảo CẢ 完全性 (văn bản không bị chỉnh sửa trên đường truyền) VÀ 否認防止 (người gửi không thể chối bỏ vì chỉ họ có 秘密鍵)

タイムスタンプ (Timestamp / 時刻認証)

• Kỹ thuật chứng minh dữ liệu đã tồn tại tại 1 thời điểm cụ thể
• Chữ ký số chỉ chứng minh AI đã ký và nội dung không đổi, nhưng KHÔNG chứng minh được THỜI ĐIỂM ký → KẾT HỢP デジタル署名 + タイムスタンプ = chứng minh đầy đủ "ai, cái gì, khi nào" — quan trọng trong hợp đồng/hóa đơn điện tử

メッセージダイジェスト (Message Digest) & MAC

• メッセージダイジェスト: giá trị hash được tạo ra từ văn bản gốc qua hàm hash
• MAC (Message Authentication Code): mã xác thực thông điệp — tương tự hash value nhưng dùng đặc biệt cho xác thực thông điệp, dùng 共通鍵 (khóa đối xứng) được chia sẻ trước giữa 2 bên
• Bẫy hay ra thi (so sánh MAC với Chữ ký số): MAC chỉ chứng minh được 完全性, KHÔNG chứng minh được 否認防止 (vì cả 2 bên đều biết khóa chung, không phân biệt được ai tạo ra MAC); デジタル署名 dùng khóa bất đối xứng nên chứng minh được CẢ 完全性 VÀ 否認防止

チャレンジレスポンス認証 (Challenge-Response Authentication)

• Phương thức xác thực: bên xác thực gửi 1 chuỗi ngẫu nhiên (challenge) cho bên được xác thực, bên được xác thực kết hợp chuỗi đó với mật khẩu rồi gửi phản hồi lại
• Điểm mấu chốt: KHÔNG trao đổi trực tiếp mật khẩu gốc qua đường truyền
• Ưu điểm: chống được リプレイ攻撃 (Replay Attack) đã học ở bài trước — vì mỗi lần xác thực challenge đều khác nhau (ngẫu nhiên), nên dù kẻ tấn công ghi lại được gói tin cũ cũng không dùng lại được

リスクベース認証 (Risk-Based Authentication)

• Phương thức xác thực bổ sung thêm câu hỏi phụ tùy theo đặc điểm truy cập của người dùng (vị trí, thiết bị lạ...), ngoài ID/PW thông thường — liên hệ trực tiếp với EMV 3-D セキュア sẽ học ở phần sau.
• Bẫy hay ra thi: KHÔNG phải lúc nào cũng yêu cầu thêm bước xác thực — chỉ kích hoạt khi phát hiện truy cập BẤT THƯỜNG (địa điểm/thiết bị/thời gian lạ so với thói quen), truy cập bình thường vẫn chỉ cần ID/PW → mục đích là cân bằng giữa bảo mật và trải nghiệm người dùng (không làm phiền người dùng hợp lệ).

利用者認証 — 3 yếu tố xác thực (認証の 3 要素)

• 記憶 (Something you know): thông tin ghi nhớ — password, mã PIN
• 所有 (Something you have): vật sở hữu — thẻ IC, security token, điện thoại nhận OTP
• 生体 (Something you are): đặc điểm sinh trắc học — vân tay, khuôn mặt

多要素認証 vs 多段階認証 — bẫy hay ra thi

• 多要素認証 (MFA — Multi-Factor): kết hợp từ 2 yếu tố KHÁC LOẠI trở lên (記憶/所有/生体) — VD: password (記憶) + vân tay (生体)
• 多段階認証 (Multi-Step): xác thực qua nhiều bước liên tiếp, nhưng có thể CÙNG 1 LOẠI yếu tố — VD: password (bước 1) + câu hỏi bí mật (bước 2), cả 2 đều thuộc 記憶
• Điểm phân biệt mấu chốt: MFA nhìn vào LOẠI yếu tố (phải khác loại), còn 多段階 chỉ nhìn vào SỐ BƯỚC — 1 xác thực có thể vừa là 多段階 VỪA là 多要素, nhưng không phải mọi 多段階 đều là 多要素

パスワードレス認証 (Passwordless) / FIDO

• Phương thức xác thực không dùng/không phụ thuộc vào mật khẩu — dùng xác thực thiết bị, sinh trắc học, chứng chỉ số, FIDO2, passkey
• FIDO (Fast IDentity Online): chuẩn do liên minh quốc tế "FIDO Alliance" xây dựng, hướng tới nền tảng xác thực an toàn, dễ dùng, chủ yếu dựa trên sinh trắc học
• Cơ chế FIDO2: người dùng xác thực bằng sinh trắc học/PIN NGAY TRÊN thiết bị → thiết bị tạo chữ ký số bằng khóa bí mật lưu CỤC BỘ trên thiết bị → gửi dữ liệu đã ký lên server để xác minh
• Điểm mấu chốt: mật khẩu (hoặc dữ liệu sinh trắc học gốc) KHÔNG BAO GIỜ rời khỏi thiết bị → giảm hẳn rủi ro bị đánh cắp qua phishing hay rò rỉ database

EMV 3-D セキュア (3D セキュア 2.0)

• Dịch vụ xác thực danh tính khi thanh toán thẻ tín dụng, theo chuẩn EMV do các tổ chức thẻ quốc tế (VISA, Mastercard) xây dựng — công ty phát hành thẻ xác nhận người mua qua リスクベース認証 đã học ở trên
• Khác biệt với bản 3D Secure cũ (1.0): bản cũ yêu cầu nhập password ở MọI giao dịch (gây tỷ lệ bỏ giỏ hàng cao); bản EMV 3-D Secure mới CHỈ yêu cầu xác thực bổ sung khi hệ thống đánh giá giao dịch có rủi ro cao

Thuật ngữ liên quan đến 利用者認証

• セキュリティトークン: thiết bị vật lý (hoặc phần mềm) tạo mã xác thực để chứng minh quyền sở hữu (yếu tố 所有)
• シングルサインオン (SSO): chỉ cần đăng nhập 1 lần là truy cập được nhiều hệ thống liên kết — tiện lợi nhưng RỦI RO: nếu tài khoản SSO bị chiếm thì TOÀN BỘ hệ thống liên kết đều bị lộ
• CAPTCHA: kỹ thuật phân biệt người dùng thật với bot tự động — bảo vệ khỏi tấn công tự động hàng loạt
• パスワードリマインダ: chức năng nhắc/khôi phục mật khẩu khi quên — cần thiết kế cẩn thận vì cũng là điểm yếu bị lợi dụng qua Social Engineering
• eKYC (electronic Know Your Customer): xác minh danh tính khách hàng bằng điện tử (chụp ảnh giấy tờ + selfie xác thực khuôn mặt) thay vì gặp trực tiếp — phổ biến trong mở tài khoản ngân hàng/ví điện tử online

生体認証 (Xác thực sinh trắc học)

• 身体的特徴 (Đặc điểm cơ thể): đặc điểm vật lý cố định — 静脈パターン認証 (vân tĩnh mạch), 虹彩認証 (mống mắt), 顔認証 (khuôn mặt), 網膜認証 (võng mạc)
  • 静脈パターン認証: quét mẫu tĩnh mạch dưới da (lòng bàn tay) — KHÓ GIẢ MẠO NHẤT vì nằm bên trong cơ thể, không để lại dấu vết bên ngoài (khác vân tay có thể để dấu trên vật thể)
  • 虹彩認証 vs 網膜認証: 虹彩 (mống mắt, phần có màu bao quanh đồng tử, dễ quét hơn) khác 網膜 (võng mạc, nằm sâu trong mắt, cần thiết bị chuyên dụng, độ chính xác cao hơn nhưng ít phổ biến)
• 行動的特徴 (Đặc điểm hành vi): thói quen/cách thức hành động đặc trưng — 声紋認証 (dấu vân giọng nói), 署名認証 (chữ ký tay — không phải nét chữ tĩnh mà là cách viết: tốc độ, lực nhấn, nhịp điệu)

FRR & FAR

• 本人拒否率 (FRR — False Rejection Rate): tỷ lệ CHÍNH CHỦ cố xác thực nhưng hệ thống không nhận ra, từ chối như người lạ
• 他人受入率 (FAR — False Acceptance Rate): tỷ lệ người KHÔNG PHẢI chủ nhưng hệ thống nhận nhầm là chính chủ
• Quan hệ đánh đổi: FRR cao → bất tiện cho chính chủ (bị từ chối oan); FAR cao → rủi ro bảo mật (người lạ lọt vào) — 2 chỉ số này thường đánh đổi ngược chiều nhau khi điều chỉnh độ nhạy của hệ thống

PKI (Public Key Infrastructure) — Chuỗi tin cậy

• Vấn đề cốt lõi PKI giải quyết: hệ thống hạ tầng đảm bảo liên kết đáng tin cậy giữa 1 khóa công khai với danh tính thực sự của chủ sở hữu, thông qua cơ chế phát hành/xác minh/quản lý デジタル証明書 (chứng chỉ số)
• ルート証明書 (Root Certificate): chứng chỉ cấp cao nhất, đóng vai trò điểm gốc của lòng tin (trust anchor) — thường là chứng chỉ TỰ KÝ (issuer và subject trùng nhau)
• 中間CA証明書 (Intermediate CA): được Root CA ký, đảm nhận phát hành chứng chỉ hàng ngày — nhờ đó khóa bí mật cực kỳ quan trọng của Root CA có thể cất giữ OFFLINE, không cần dùng thường xuyên
• サーバ証明書 (Server Certificate): gắn với 1 domain/server cụ thể, dùng trong HTTPS để xác minh "server này đúng là ai"
• クライアント証明書 (Client Certificate): gắn với 1 người dùng/thiết bị cụ thể, dùng để server xác minh "client này đúng là ai"
• デジタル証明書 (公開鍵証明書): chứng chỉ điện tử, chứa khóa công khai của chủ thể + thông tin danh tính, được CA (Certificate Authority) ký số để đảm bảo tính xác thực
• CRL (Certificate Revocation List): danh sách các chứng chỉ đã bị thu hồi trước thời hạn (VD: do khóa bí mật bị lộ, chứng chỉ cấp sai) mà CA công bố định kỳ
• OCSP (Online Certificate Status Protocol): cho phép kiểm tra trạng thái chứng chỉ theo THỜI GIAN THỰC — khác CRL ở chỗ không cần tải toàn bộ danh sách về rồi tra cứu, mà hỏi trực tiếp từng chứng chỉ mỗi khi cần

ダークウェブ (Dark Web) & リークサイト (Leak Site)

• Surface Web: web thông thường, được Google index
• Deep Web: web không được index (VD: trang cần đăng nhập, hệ thống nội bộ)
• Dark Web: một phần của Deep Web, cần công cụ đặc biệt (VD: Tor) để truy cập, thường bị lợi dụng để mua bán dữ liệu đánh cắp, công cụ tấn công, dịch vụ tội phạm mạng (RaaS — Ransomware as a Service)
• リークサイト (Leak Site): trang web (thường trên Dark Web) nơi nhóm tấn công (đặc biệt nhóm ransomware) công khai đăng dữ liệu đã đánh cắp để gây áp lực — chính là công cụ thực thi của thủ đoạn 二重脅迫 (Double Extortion) đã học ở phần Bot

情報セキュリティポリシー & リスクマネジメント (JIS Q 31000)

• 情報セキュリティポリシー: chính sách bảo mật do ban lãnh đạo phê duyệt, là "kim chỉ nam" cho mọi quy định/quy trình cụ thể hơn trong tổ chức
• リスクマネジメント (JIS Q 31000, dựa trên ISO 31000): khung quản lý rủi ro tổng quát, vận hành theo PDCA
• Bẫy hay ra thi: theo JIS Q 31000, リスク (rủi ro) được định nghĩa là "ảnh hưởng của sự không chắc chắn đối với mục tiêu" — KHÔNG chỉ là điều xấu, có thể mang ảnh hưởng tốt hoặc xấu; mục tiêu quản lý rủi ro là kiểm soát ở mức hợp lý, không phải loại bỏ hoàn toàn

監視 → 情報セキュリティ事象 → インシデント

• 監視 (Monitoring): giám sát liên tục qua log/SIEM/camera... để phát hiện sớm dấu hiệu bất thường
• 情報セキュリティ事象 (Event): hiện tượng bất thường được ghi nhận, chưa xác nhận có gây hại hay không (VD: 1 lần đăng nhập thất bại lúc nửa đêm)
• 情報セキュリティインシデント (Incident): đã xác nhận là sự cố gây/có nguy cơ gây thiệt hại thực sự
• Bẫy hay ra thi: KHÔNG phải mọi 事象 đều leo thang thành インシデント (đa số sau điều tra là vô hại), nhưng mọi インシデント đều bắt nguồn từ ít nhất 1 事象

アカウント管理・利用者アクセス権管理 (Need-to-know)

• アカウント管理: quản lý vòng đời tài khoản — tạo mới, cấp quyền, thay đổi khi chuyển vị trí, thu hồi ngay khi nghỉ việc
• 利用者アクセス権の管理: quản lý quyền truy cập cụ thể của từng tài khoản đối với từng tài nguyên
• Need-to-know (最小権限の原則): chỉ cấp quyền ở mức tối thiểu cần thiết, không cấp dư thừa "phòng khi cần" — đây chính là biện pháp giảm 機会 (cơ hội) trong 不正のトライアングル đã học
• Bẫy hay ra thi tình huống: tài khoản cựu nhân viên không bị khóa kịp thời khi nghỉ việc → lỗ hổng bị lợi dụng, là kịch bản xuất hiện thường xuyên trong đề thi

クラウド責任共有モデル & 外部委託時のセキュリティ

• クラウドの責任共有モデル (Shared Responsibility Model): phân chia rõ trách nhiệm bảo mật giữa nhà cung cấp cloud (CSP) và khách hàng — KHÔNG phải "dùng cloud là CSP lo hết"; phạm vi trách nhiệm của khách hàng tăng dần theo thứ tự SaaS < PaaS < IaaS
• 外部委託時のセキュリティ: khi thuê ngoài/dùng dịch vụ bên thứ 3 vẫn phải đánh giá năng lực đối tác trước khi ký hợp đồng, quy định rõ trách nhiệm trong SLA
• Bẫy hay ra thi: tổ chức KHÔNG THỂ chuyển giao hoàn toàn trách nhiệm cuối cùng cho nhà cung cấp/bên nhận thầu — vẫn chịu trách nhiệm pháp lý/uy tín trước khách hàng dù sự cố xảy ra ở phía đối tác

サイバーハイジーン (Cyber Hygiene)

• Định nghĩa: thói quen/biện pháp bảo mật cơ bản cần duy trì liên tục để hệ thống luôn "khỏe mạnh" — giống vệ sinh cá nhân hàng ngày để phòng bệnh, khác với xử lý インシデント (chỉ hành động khi đã có sự cố)
• Ví dụ: cập nhật patch định kỳ, quản lý mật khẩu tốt, kiểm kê tài sản CNTT, xóa tài khoản không dùng, đào tạo nhận thức định kỳ

情報資産の調査・分類 & 情報資産台帳

• 情報資産の調査: bước đầu tiên bắt buộc — liệt kê toàn bộ tài sản thông tin ("情報" + "情報システム") trong tổ chức; lần đầu lập danh sách nên liệt kê TOÀN BỘ trước, vì thêm/xóa sau dễ hơn bỏ sót từ đầu
• 重要度 (mức độ quan trọng của tài sản) = MAX(機密性, 完全性, 可用性) — lấy giá trị CAO NHẤT trong 3 yếu tố CIA, không phải trung bình cộng
• 情報資産台帳: sổ ghi toàn bộ kết quả khảo sát/phân loại (tên tài sản, vị trí lưu trữ, 管理責任者, giá trị CIA + 重要度, thời hạn lưu trữ...)
• Bẫy hay ra thi: phân loại tài sản KHÔNG PHẢI việc làm 1 lần rồi xong — câu hỏi "bước tiếp theo quan trọng nhất sau khi phân loại xong" thường có đáp án là định kỳ rà soát/cập nhật (棚卸し)
• Ví dụ: tài sản có 機密性=3, 完全性=2, 可用性=1 (thang 1-3) → 重要度 = MAX(3,2,1) = 3

リスクの種類

• 純粋リスク (Pure Risk — chỉ gây tổn thất, không sinh lợi), gồm 4 loại: 財産損失 (tài sản, VD: server bị ransomware mã hóa), 責任損失 (bị kiện đòi bồi thường), 純収益の喪失 (mất lợi nhuận do gián đoạn kinh doanh), 人的損失 (thiệt hại nhân sự)
• 投機的リスク (Speculative Risk): vừa có thể lỗ vừa có thể lãi — phân biệt với 純粋リスク ở khả năng sinh lợi
• Các loại đặc thù trong bối cảnh CNTT hiện đại: オペレーショナルリスク (lỗi vận hành nội bộ), サプライチェーンリスク (từ đối tác/nhà cung cấp), 外部サービス利用のリスク (cloud/SaaS/outsourcing), SNS による情報発信のリスク, 地政学的リスク, モラルハザード (có bảo hiểm/cơ chế bảo vệ → lơ là phòng ngừa vì ỷ lại "đã có người lo")

リスクアセスメント: 特定 → 分析 → 評価

• ① リスク特定 (Risk Identification): phát hiện, nhận biết, mô tả rủi ro
• ② リスク分析 (Risk Analysis): hiểu bản chất rủi ro, xác định リスクレベル
• ③ リスク評価 (Risk Evaluation): so sánh kết quả phân tích với リスク基準 để quyết định rủi ro có chấp nhận được hay không
• Bẫy hay ra thi: リスク対応 (xử lý rủi ro) là bước SAU リスクアセスメント, KHÔNG nằm trong アセスメント
• Thuật ngữ: リスク源 (yếu tố tiềm tàng sinh rủi ro) / リスク所有者 (người chịu trách nhiệm quản lý 1 rủi ro cụ thể) / リスクレベル = Mức độ nghiêm trọng × Khả năng xảy ra
• リスク基準 (tiêu chí đánh giá mức độ nghiêm trọng, do tổ chức tự xây dựng, không có chuẩn chung) vs リスク受容基準 (ngưỡng cụ thể "chấp nhận được hay không", là 1 phần con của リスク基準, dùng ở bước ③)
• リスクマトリックス: bảng 2 chiều (発生可能性 × 影響度) để xếp hạng trực quan mức độ rủi ro
• リスク選好 (Risk Appetite — mức rủi ro sẵn sàng chấp nhận để theo đuổi mục tiêu) vs リスク忌避 (Risk Aversion — xu hướng né tránh rủi ro, ưu tiên an toàn)

ALE (định lượng) & 得点法 (định tính)

• ALE (Annualized Loss Expectancy — 年間予想損失額): phương pháp định lượng được NIST khuyến nghị, tính tổn thất dự kiến trong 1 năm, dùng làm căn cứ ngân sách bảo mật
  • SLE (単一損失予測) = AV (資産価値) × EF (資産損失確率)
  • ALE = SLE × ARO (年間発生率)
• 得点法 (Scoring Method): phương pháp định tính — gán điểm số (VD: thang 1-5) cho mức nghiêm trọng/khả năng xảy ra rồi tổng hợp, dùng khi thiếu dữ liệu lịch sử đáng tin cậy
• Ví dụ số: tài sản trị giá AV=10 triệu yên, EF=50% (mất nửa giá trị nếu bị tấn công) → SLE = 5 triệu yên; nếu ARO=0.2 lần/năm → ALE = 5 triệu × 0.2 = 1 triệu yên/năm

リスク対応: 4 phương án xử lý (JIS Q 27001)

• リスク回避 (Avoidance): loại bỏ hoàn toàn nguyên nhân, đưa rủi ro về 0
• リスク低減 (Reduction): áp dụng biện pháp bảo mật để giảm khả năng 脅威 khai thác 脆弱性
• リスク移転 (Transfer): chuyển giao trách nhiệm cho bên khác (VD: mua bảo hiểm)
• リスク保有 (Retention): không xử lý đặc biệt, tự chấp nhận khi rủi ro không quá lớn
• リスク分散 (Diversification, thuộc nhóm 移転/共有): phân tán rủi ro ra nhiều nơi (VD: đặt server dự phòng ở nhiều DC khác nhau) — KHÁC với リスク集約 (gom nhiều rủi ro nhỏ để quản lý tập trung)
• Cấu trúc tổng quát: リスクコントロール (回避/低減/移転-共有, nhằm ngăn rủi ro xảy ra hoặc giảm ảnh hưởng) vs リスクファイナンシング (移転/保有, chuẩn bị tài chính để bù đắp khi rủi ro đã xảy ra) — リスク移転 (VD: mua bảo hiểm) thuộc CẢ 2 nhóm cùng lúc, đây là điểm hay bị hỏi
• 残留リスク (Residual Risk): phần rủi ro còn sót lại sau khi đã đối phó — không có biện pháp nào loại bỏ 100%; nếu vẫn vượt リスク受容基準 thì phải xử lý tiếp, nếu đã trong ngưỡng thì chuyển sang リスク保有 phần còn lại
• Công cụ vận hành: リスク対応計画 (rủi ro nào, phương án gì, ai chịu trách nhiệm, thời hạn) / リスク登録簿 (sổ tổng hợp toàn bộ rủi ro, tương tự vai trò 情報資産台帳 nhưng ở cấp rủi ro) / リスクコミュニケーション (trao đổi thông tin rủi ro xuyên suốt quá trình giữa các bên liên quan)

情報セキュリティ継続 (BCP ⊃ DR ⊃ 障害復旧)

• 緊急事態の区分: phân loại mức độ nghiêm trọng tình huống khẩn cấp trước khi lập kế hoạch ứng phó (sự cố nhỏ → nghiêm trọng → thảm họa quy mô lớn)
• コンティンジェンシー計画 (緊急時対応計画): kế hoạch "nếu-thì" chuẩn bị sẵn phương án cho từng tình huống bất ngờ cụ thể
• BCP (Business Continuity Plan): kế hoạch TOÀN DOANH NGHIỆP (nhân sự, địa điểm thay thế, chuỗi cung ứng, khách hàng...) khi có sự cố
• 災害復旧 (DR): kế hoạch phục hồi CHUYÊN BIỆT cho hệ thống CNTT/dữ liệu khi có THIÊN TAI quy mô lớn — là 1 phần con nằm TRONG BCP, không phải khái niệm ngang hàng
• 障害復旧: phục hồi sự cố kỹ thuật thông thường (hỏng ổ cứng, mất điện cục bộ), giới hạn ở 1 thiết bị, có thể xử lý tại chỗ — phạm vi hẹp hơn 災害復旧 rất nhiều
• Bẫy hay ra thi: quan hệ bao hàm đúng thứ tự là BCP ⊃ 災害復旧(DR) ⊃ 障害復旧, dễ nhầm DR và BCP là 2 khái niệm thay thế nhau
• RTO (Recovery Time Objective — mục tiêu THỜI GIAN phục hồi tối đa cho phép) vs RPO (Recovery Point Objective — mục tiêu ĐIỂM phục hồi dữ liệu, tức lượng dữ liệu tối đa chấp nhận mất) — RTO trả lời "bao lâu thì phục hồi xong", RPO trả lời "mất dữ liệu tối đa bao lâu"

バックアップ chiến lược (3-2-1)

• フルバックアップ: sao lưu TOÀN BỘ dữ liệu mỗi lần — phục hồi nhanh nhất nhưng tốn dung lượng/thời gian sao lưu nhất
• 差分バックアップ (Differential): sao lưu phần thay đổi so với lần Full GẦN NHẤT
• 増分バックアップ (Incremental): sao lưu phần thay đổi so với lần backup gần nhất (bất kể loại nào) — dung lượng nhỏ nhất nhưng khi phục hồi phải áp lại nhiều bản increment theo thứ tự, rủi ro cao hơn nếu thiếu 1 bản giữa chừng
• Quy tắc 3-2-1: giữ 3 bản sao dữ liệu, trên 2 loại phương tiện lưu trữ khác nhau, 1 bản đặt off-site (địa điểm khác)
• WORM (Write Once Read Many): cơ chế/thiết bị lưu trữ chỉ GHI ĐƯỢC 1 LẦN, sau đó không thể sửa/xóa — biện pháp đặc biệt quan trọng để chống RANSOMWARE, vì ransomware không thể mã hóa/phá hủy được bản backup đã lưu theo cơ chế này

情報セキュリティ諸規程 (3 tầng)

• Cấu trúc 3 tầng: ① 情報セキュリティ方針 (基本方針, đỉnh cao nhất, ban lãnh đạo xây dựng, CÓ công khai) → ② 情報セキュリティ対策基準 (trả lời "phải làm GÌ", bộ phận phụ trách làm, KHÔNG công khai) → ③ 実施手順 (trả lời "làm NHƯ THẾ NÀO", hướng dẫn thao tác cụ thể, KHÔNG công khai)
• Bẫy hay ra thi: プライバシーポリシー (個人情報保護方針) là NGOẠI LỆ — dù thuộc tầng dưới nhưng vẫn CÔNG KHAI như 基本方針 vì liên quan trực tiếp quyền lợi khách hàng
• 情報セキュリティ目的: mục tiêu cụ thể, ĐO LƯỜNG ĐƯỢC để hiện thực hóa 方針 — khác với 方針 (mang tính tuyên bố định hướng chung chung)
• Các quy định (規程) cụ thể hay gặp: 情報管理規程 (phân loại thông tin theo mức độ quan trọng), 秘密情報管理規程, 文書管理規程 (vòng đời tài liệu), インシデント対応規程, 教育の規程, 罰則の規程, 例外の規程 (điều kiện được phép không tuân thủ + quy trình phê duyệt), 規則更新の規程 (rà soát định kỳ), ソーシャルメディアガイドライン

ISMS (情報セキュリティマネジメントシステム) — chu trình PDCA

• Phân biệt: JIS Q 27001 = văn bản quy định YÊU CẦU; ISMS = hệ thống quản lý THỰC TẾ xây dựng dựa trên yêu cầu đó
• Trình tự: ISMS 適用範囲 (Scope, xác định TRƯỚC TIÊN) → リーダーシップ (cam kết トップマネジメント + xây dựng 方針) → 計画/Plan (xác định rủi ro & cơ hội, đặt 目的) → 運用/Do (triển khai リスク対応) → パフォーマンス評価/Check (内部監査 + マネジメントレビュー) → 改善/Act (不適合及び是正処置 + 継続的改善) → quay lại vòng lặp
• 内部監査 (Internal Audit — tổ chức TỰ kiểm tra định kỳ) vs マネジメントレビュー (Management Review — ban lãnh đạo CẤP CAO rà soát tổng thể dựa trên kết quả nội bộ đó để quyết định cải tiến chiến lược) — dễ nhầm ai làm việc gì
• 不適合及び是正処置 (khắc phục vấn đề ĐÃ xảy ra, mang tính phản ứng) vs 継続的改善 (cải tiến chủ động, liên tục, không cần có vấn đề mới làm)

管理策 (Controls) — 4 nhóm × 3 loại & NIST CSF

• JIS Q 27002 (ISO/IEC 27002) — 4 nhóm quản lý điều khiển: 組織的管理策 / 人的管理策 / 物理的管理策 / 技術的管理策
• 管理策タイプ theo THỜI ĐIỂM: 予防 (Preventive, ngăn TRƯỚC) / 検知 (Detective, phát hiện KHI xảy ra) / 是正 (Corrective, khắc phục SAU khi xảy ra)
• NIST CSF (khung quốc tế): 識別(Identify) → 防御(Protect) → 検知(Detect) → 対応(Respond) → 復旧(Recover) — liên hệ trực tiếp: 識別≈情報資産台帳/リスクアセスメント, 防御≈予防タイプ管理策, 復旧≈RTO/RPO đã học
• ISMS 適合性評価制度 (chế độ đánh giá tổ chức chứng nhận độc lập kiểm tra ISMS có phù hợp JIS Q 27001 không) → nếu đạt thì được cấp ISMS 認証 (dùng chứng minh năng lực bảo mật với đối tác/khách hàng)
• 情報セキュリティガバナンス (JIS Q 27014, cấp QUẢN TRỊ chiến lược — "làm ĐÚNG việc"/Doing the right things, do hội đồng quản trị định hướng) vs ISMS (JIS Q 27001, cấp QUẢN LÝ vận hành — "làm việc ĐÚNG cách"/Doing things right, thực thi hàng ngày) — bẫy hay ra thi vì tên gọi rất giống nhau nhưng khác tầng

インシデント管理: 検知 → トリアージ → レスポンス → 報告

• Quy trình chuẩn 4 bước theo JPCERT/CC: ① 検知／連絡受付 (phát hiện qua hệ thống giám sát hoặc tiếp nhận báo cáo) → ② トリアージ (CSIRT phân tích sơ bộ, xếp ưu tiên — mục đích quan trọng nhất là xác định đây có THỰC SỰ là インシデント hay không, không chỉ đơn thuần xếp thứ tự) → ③ インシデントレスポンス (phân tích chi tiết, lập kế hoạch đối phó, thực hiện) → ④ 報告／情報公開 (báo cáo nội bộ + công bố ra ngoài khi cần)
• テイクダウン (Takedown): yêu cầu gỡ bỏ hạ tầng độc hại (site lừa đảo, C&C server, リークサイト) thông qua phối hợp nhà cung cấp hosting/registrar hoặc cơ quan thực thi pháp luật — chặn tận GỐC thay vì chỉ phòng thủ phía nạn nhân

組織・機関: CSIRT / PSIRT / SOC & Cơ quan quốc gia

• CSIRT: xử lý SAU KHI sự cố đã xảy ra (nội bộ tổ chức) | SOC: GIÁM SÁT LIÊN TỤC để phát hiện sớm bất thường — 2 đội phối hợp chặt (SOC phát hiện → chuyển CSIRT xử lý) | PSIRT: khác 2 đội trên ở đối tượng bảo vệ là SẢN PHẨM công ty bán ra, không phải hạ tầng nội bộ
• エシカルハッカー (Ethical Hacker/White Hacker): được ủy quyền hợp pháp tìm lỗ hổng để tổ chức khắc phục TRƯỚC KHI kẻ xấu lợi dụng
• Cơ quan quốc gia (phân biệt vai trò — bẫy hay ra thi): NISC = hoạch định CHÍNH SÁCH cấp quốc gia (đầu não chiến lược) | IPA セキュリティセンター = hỗ trợ/phổ cập kiến thức, nghiên cứu (cho cả DN lẫn người dân) | JPCERT/CC = kỹ thuật, điều phối xử lý sự cố xuyên tổ chức | CSIRT nội bộ = thực thi trực tiếp cho 1 tổ chức cụ thể
• J-CSIP: khuôn khổ chia sẻ thông tin tấn công mạng giữa các tổ chức tham gia, IPA đóng vai trò hub kết nối
• JVN (Japan Vulnerability Notes): cổng thông tin lỗ hổng, do IPA và JPCERT/CC ĐỒNG VẬN HÀNH, công bố lỗ hổng đã xác nhận kèm biện pháp khắc phục
• ISAC (Information Sharing and Analysis Center): tổ chức chia sẻ thông tin về mối đe dọa/sự cố mạng theo TỪNG NGÀNH (tài chính, y tế...), khác J-CSIP ở chỗ J-CSIP là khuôn khổ chung do IPA làm hub còn ISAC tổ chức theo ngành riêng biệt

届出制度 (3 loại) & 早期警戒パートナーシップ

• 3 loại 届出 do IPA tiếp nhận (dựa trên các quy chuẩn của Bộ Kinh tế, Thương mại và Công nghiệp - METI): ① コンピュータウイルス届出 ② コンピュータ不正アクセス届出 ③ 脆弱性関連情報の届出 — mục đích nắm bắt thực trạng thiệt hại, phòng ngừa tái diễn/lan rộng
• 情報セキュリティ早期警戒パートナーシップ: khuôn khổ lưu thông thông tin lỗ hổng phần mềm hợp lý trong nước, với IPA là 受付機関 (nơi TIẾP NHẬN thông tin lỗ hổng từ người phát hiện) và JPCERT/CC là 調整機関 (nơi ĐIỀU PHỐI với nhà sản xuất sản phẩm về thời điểm/cách công bố) — phối hợp để nhà sản xuất kịp làm bản vá trước khi công bố rộng rãi, giảm rủi ro bị khai thác

ISMAP & SECURITY ACTION

• ISMAP (Information system Security Management and Assessment Program — 政府情報システムのためのセキュリティ評価制度): chế độ đánh giá/đăng ký TRƯỚC các dịch vụ cloud đáp ứng yêu cầu bảo mật của chính phủ, giúp cơ quan chính phủ mua sắm cloud thuận lợi hơn; vận hành từ 2020 bởi NISC/Digital 庁/Bộ Nội vụ Truyền thông/METI, IPA hỗ trợ kỹ thuật — LƯU Ý: đây là chế độ "đăng ký" (登録制度), không phải "chứng nhận" (認証)
• SECURITY ACTION: chế độ TỰ TUYÊN BỐ (自己宣言) của IPA dành cho DN vừa và nhỏ, gồm 2 mức: 一つ星 (tuyên bố thực hiện "情報セキュリティ5か条") và 二つ星 (tự kiểm tra + xây dựng và CÔNG KHAI 基本方針) — khác ISMS/ISMS 認証 ở chỗ đây KHÔNG có bên thứ 3 thẩm định, hoàn toàn tự nguyện tự khai

Các bộ tiêu chuẩn/hướng dẫn bảo mật — chọn theo bối cảnh

• Doanh nghiệp lớn, ban lãnh đạo cần chỉ đạo chiến lược → サイバーセキュリティ経営ガイドライン
• Doanh nghiệp nhỏ và vừa, mới bắt đầu → 中小企業の情報セキュリティ対策ガイドライン (kết hợp SECURITY ACTION)
• Có thiết bị IoT → IoT セキュリティガイドライン
• Nhà máy thông minh, chuỗi cung ứng số hóa, kết hợp không gian mạng-vật lý → CPSF (Cyber/Physical Security Framework)
• Ngân hàng/tổ chức tài chính → FISC (金融機関等コンピュータシステムの安全対策基準)
• Có xử lý dữ liệu thẻ tín dụng (bất kỳ ngành nào) → PCI DSS
• Cần khung quản lý rủi ro tổng quát mang tính quốc tế → NIST CSF
• Cần chứng nhận quốc tế được công nhận rộng rãi → ISMS/JIS Q 27001

CVSS (Common Vulnerability Scoring System — 共通脆弱性評価システム)

• Định nghĩa: chỉ số quốc tế, độc lập nhà cung cấp, định lượng mức độ nghiêm trọng của 1 lỗ hổng bằng thang điểm thống nhất 0.0–10.0 (càng cao càng nguy hiểm) — dùng làm căn cứ khách quan để xác định thứ tự ưu tiên xử lý khi có nhiều lỗ hổng cùng lúc
• 3 nhóm tiêu chí đánh giá:
  • 基本評価基準 (Base Metrics): đặc tính kỹ thuật CỐ HỮU của lỗ hổng (mức ảnh hưởng CIA, độ khó khai thác) — do bên công bố lỗ hổng đánh giá, KHÔNG đổi theo thời gian/môi trường
  • 現状評価基準 (Temporal Metrics): mức nghiêm trọng HIỆN TẠI (đã có exploit code chưa, đã có patch chưa) — THAY ĐỔI theo thời gian; điểm luôn ≤ điểm 基本評価基準
  • 環境評価基準 (Environmental Metrics): mức nghiêm trọng trong bối cảnh MÔI TRƯỜNG THỰC TẾ của từng tổ chức — do chính tổ chức tự đánh giá, là bước DUY NHẤT phản ánh 資産価値 thực tế (liên hệ 重要度 = MAX(CIA) đã học)
• Bẫy hay ra thi: 3 tiêu chí có quan hệ tầng bậc rõ ràng — 基本 (cố định) → 現状 (giảm dần theo thời gian, ≤ 基本) → 環境 (điều chỉnh riêng theo từng tổ chức); dễ nhầm thứ tự hoặc nhầm bên nào thực hiện đánh giá bước nào

脆弱性診断 vs ペネトレーションテスト

• 脆弱性診断 (Vulnerability Assessment): kiểm tra TOÀN DIỆN, có hệ thống xem hệ thống/ứng dụng có tồn tại lỗ hổng ĐÃ BIẾT hay không, dựa theo danh sách hạng mục kiểm tra định sẵn (checklist)
• ペネトレーションテスト (Penetration Test/Pentest, còn gọi 侵入テスト): ĐÓNG VAI kẻ tấn công thực sự, chủ động thử xâm nhập bằng kỹ thuật tấn công thực tế, nhằm xác nhận lỗ hổng CÓ THỰC SỰ khai thác được hay không và mức thiệt hại nếu bị khai thác thành công
• Bẫy hay ra thi: 脆弱性診断 = kiểm tra RỘNG theo checklist có sẵn (có lỗ hổng nào không); ペネトレーションテスト = kiểm tra SÂU 1 kịch bản tấn công cụ thể (lỗ hổng đó có khai thác được thật không) — không thể thay thế nhau, thường làm 脆弱性診断 trước rồi mới chọn lọc pentest sâu hơn
• Liên hệ: cả 2 khác với レッドチーム演習 (diễn tập đội đỏ, đã học ở phần 対策) ở phạm vi — pentest/脆弱性診断 chỉ đánh giá lỗ hổng KỸ THUẬT (phạm vi hẹp), red team đánh giá khả năng PHÁT HIỆN & ỨNG PHÓ của cả tổ chức gồm cả con người/vật lý (phạm vi rộng)

人的セキュリティ対策 — 内部不正防止ガイドライン

• 組織における内部不正防止ガイドライン: do IPA ban hành (hiện hành 第5版, 2022/4), mục đích phòng chống hành vi gian lận/rò rỉ do chính người trong tổ chức (内部不正) gây ra — khác với các đối sách kỹ thuật vốn nhắm vào kẻ tấn công bên ngoài
• Cấu trúc: 10 quan điểm đối sách (視点) triển khai thành khoảng 33 hạng mục checklist cụ thể, xoay quanh 3 trục 抑止 (răn đe) – 予防 (phòng ngừa) – 検知 (phát hiện)
• Trách nhiệm thực thi thuộc về ban lãnh đạo (経営者): phải công bố và phổ biến 基本方針 (chính sách cơ bản) trong toàn tổ chức, không phó mặc cho bộ phận CNTT
• Bẫy hay ra thi: đáp án kiểu 'tập trung toàn bộ quyền quản trị vào 1 quản trị viên duy nhất để dễ kiểm soát' là SAI — đó chính là rủi ro nội gián (thiếu 職務分掌/牽制), không phải đối sách phòng chống
• Khi nhân viên nghỉ việc/kết thúc hợp đồng: phải xóa ID ngay, thu hồi thẻ ra vào và thiết bị, xác nhận đã xóa dữ liệu mang theo — chậm trễ ở khâu này là lỗ hổng nội gián kinh điển hay ra đề

情報セキュリティ啓発 vs 情報セキュリティ訓練

• 啓発 (Kōhatsu — nâng cao nhận thức): mang tính THỤ ĐỘNG, mục đích truyền đạt kiến thức/ý thức chung — thực hiện bằng 教育 (đào tạo), 資料配付 (phát tài liệu), hoặc dùng poster/bản tin nội bộ
• 訓練 (Kunren — huấn luyện): mang tính CHỦ ĐỘNG, cho nhân viên thực hành xử lý tình huống thật và ĐO ĐƯỢC kết quả (ai bị lừa, ai phản ứng đúng)
  • 標的型メール訓練: gửi mail giả dạng tấn công có chủ đích để kiểm tra phản xạ của TỪNG CÁ NHÂN (mở file đính kèm/click link hay không)
  • レッドチーム演習 (diễn tập đội đỏ): mô phỏng một cuộc tấn công toàn diện, thực tế nhằm đánh giá năng lực PHÁT HIỆN và ỨNG PHÓ của CẢ TỔ CHỨC (SOC/CSIRT), phạm vi rộng hơn hẳn 1 bài test cá nhân
• Bẫy hay ra thi: đề hay cho tình huống rồi hỏi đây là 啓発 hay 訓練 — chỉ cần hỏi 'có đo lường kết quả phản ứng của người/tổ chức không?' → có = 訓練, chỉ truyền đạt thông tin một chiều = 啓発
• Liên hệ: レッドチーム演習 khác ペネトレーションテスト (đã học ở mục 3) ở phạm vi — pentest chỉ kiểm tra lỗ hổng KỸ THUẬT (phạm vi hẹp), red team đánh giá cả con người + quy trình + vật lý (phạm vi rộng)

認証情報の割当て及び管理 (Cấp phát và quản lý thông tin xác thực)

• Định nghĩa: quản lý toàn bộ VÒNG ĐỜI của ID/mật khẩu cấp cho từng người dùng — cấp phát khi vào tổ chức → thay đổi quyền khi chuyển bộ phận → thu hồi ngay khi nghỉ việc
• Đây là hoạt động quản lý HÀNH CHÍNH/NHÂN SỰ (ai được cấp gì, khi nào), khác với kỹ thuật xác thực (đa yếu tố, sinh trắc học...) đã học ở mục 1 — dễ nhầm lẫn 2 khái niệm này khi đề hỏi 'đây thuộc biện pháp nào'
• Bẫy hay ra thi: không xóa/thu hồi ID kịp thời sau khi nhân viên nghỉ việc là nguyên nhân hàng đầu dẫn đến sự cố nội gián — liên hệ trực tiếp với nội dung ở phần 内部不正防止ガイドライン phía trên

セキュリティクリアランス (Chứng nhận an ninh / đánh giá độ tin cậy)

• Định nghĩa: quy trình 適性評価 (đánh giá độ tin cậy) đối với người cần tiếp cận thông tin mật quan trọng, do nhà nước/tổ chức được nhà nước công nhận thực hiện
• Trước đây: chỉ áp dụng cho công chức xử lý bí mật đặc định, theo 特定秘密保護法 (Luật bảo vệ bí mật đặc định)
• Mở rộng gần đây: từ 16/5/2025, luật 「重要経済安保情報の保護及び活用に関する法律」(Luật bảo vệ và sử dụng thông tin an ninh kinh tế quan trọng, ban hành 2024) chính thức có hiệu lực, mở rộng chế độ セキュリティクリアランス sang cả DOANH NGHIỆP TƯ NHÂN được công nhận là 適合事業者 (nguồn: businesslawyers.jp, PwC Japan, cập nhật 2025)
• Bẫy hay ra thi: phân biệt với NDA/誓約書 — セキュリティクリアランス là sàng lọc con người TRƯỚC KHI cấp quyền tiếp cận (đánh giá độ tin cậy), còn NDA/誓約書 là ràng buộc pháp lý SAU KHI đã cấp quyền (cam kết không tiết lộ)

秘密保持契約・誓約書 (NDA và Bản cam kết)

• 秘密保持契約 (NDA, Non-Disclosure Agreement): hợp đồng SONG VỤ, cả 2 bên cùng có nghĩa vụ bảo mật lẫn nhau — thường ký giữa 2 TỔ CHỨC (ví dụ: công ty và nhà thầu phụ)
• 誓約書 (bản cam kết): cam kết ĐƠN PHƯƠNG, chỉ bên ký (thường là nhân viên) có nghĩa vụ — thường ký lúc TUYỂN DỤNG hoặc lúc NGHỈ VIỆC
• Bẫy hay ra thi: đề dễ đánh tráo hợp đồng 2 chiều và cam kết 1 chiều — chú ý từ khóa 相互 (lẫn nhau, song vụ) vs 一方的 (đơn phương) trong đề bài để xác định đúng loại văn bản
• Nội dung bắt buộc thường thấy khi nghỉ việc: hoàn trả tài sản thông tin, xác nhận xóa dữ liệu đã sao chép, thu hồi quyền truy cập/thẻ ra vào — liên hệ trực tiếp với 内部不正防止ガイドライン và 認証情報管理 đã nêu ở trên

マルウェア対策 — đặt nền tảng

• マルウェア対策ソフトの導入: cài đặt phần mềm diệt virus/chống mã độc trên TOÀN BỘ thiết bị đầu cuối (endpoint), không chỉ máy chủ
• マルウェア定義ファイルの更新: cập nhật thường xuyên file định nghĩa mã độc (パターンファイル) — nếu không cập nhật, phần mềm diệt virus sẽ KHÔNG nhận diện được mã độc mới xuất hiện
• Bẫy hay ra thi: cài phần mềm diệt virus xong rồi để yên là KHÔNG đủ — đề hay kiểm tra có nhớ đi kèm bước cập nhật định kỳ/tự động file định nghĩa hay không

マルウェア検出手法 — 3 phương pháp phát hiện

• パターンマッチング法 (Pattern Matching): đối chiếu đối tượng kiểm tra với chuỗi đặc trưng (シグネチャ) của mã độc ĐÃ BIẾT, lưu trong file định nghĩa — chính xác cao, tốc độ nhanh, nhưng HOÀN TOÀN VÔ HIỆU với mã độc chưa từng biết đến (未知マルウェア)
• ヒューリスティック法 (Heuristic — phân tích TĨNH): kiểm tra CẤU TRÚC CODE của chương trình mà KHÔNG chạy thử, tìm đặc điểm/mẫu hành vi khả nghi TƯƠNG TỰ mã độc đã biết để suy đoán mức độ nguy hiểm — có thể xem là bản nâng cấp của Pattern Matching (không cần khớp tuyệt đối, chỉ cần tương tự)
• ビヘイビア法 / 振る舞い検知 (Behavior-based — phân tích ĐỘNG): CHO CHẠY thử chương trình nghi ngờ (thường trong môi trường cách ly/sandbox), rồi giám sát HÀNH VI THỰC TẾ khi hoạt động — phát hiện được cả mã độc HOÀN TOÀN CHƯA TỪNG BIẾT vì không dựa vào so khớp mẫu có sẵn; nhược điểm là có thể xảy ra nhận diện sai (誤検知)
• Bẫy hay ra thi: đề hay mô tả 1 cách thức cụ thể rồi hỏi thuộc phương pháp nào — chìa khóa phân biệt: có CHẠY thử chương trình không? Có = ビヘイビア法 (động); không chạy mà chỉ đọc code = ヒューリスティック法 (tĩnh, mẫu tương tự); đối chiếu chính xác tuyệt đối với CSDL có sẵn = パターンマッチング法
• Xu hướng hiện nay: các sản phẩm EDR (sẽ học ở phần Sản phẩm bảo mật) thường kết hợp CẢ 3 phương pháp trên, đặc biệt tăng cường ビヘイビア法 bằng AI để đối phó mã độc chưa từng biết (liên hệ 未知マルウェア và AI for Security)

匿名化 (Anonymization) — Nhóm kỹ thuật XÓA trực tiếp

• 項目削除 (xóa cột/trường dữ liệu): loại bỏ HOÀN TOÀN 1 loại thông tin định danh khỏi toàn bộ dữ liệu — VD: xóa hẳn cột 'Họ tên' khỏi bảng dữ liệu
• レコード削除 (xóa dòng/bản ghi): loại bỏ toàn bộ 1 bản ghi cụ thể — áp dụng khi 1 cá nhân có đặc điểm quá đặc thù, dễ bị nhận diện dù đã xử lý các trường khác
• セル削除 (xóa ô/giá trị cụ thể): chỉ xóa 1 giá trị tại giao điểm của 1 dòng và 1 cột, thay vì xóa cả dòng/cột — mức độ can thiệp nhỏ nhất (ít nhất trong 3 kỹ thuật), giữ lại được nhiều thông tin nhất
• Bẫy hay ra thi: đề hay yêu cầu xếp thứ tự mức độ mất mát thông tin — mức mất dữ liệu: 項目削除 (mất nhiều nhất, mất cả cột) > レコード削除 (mất cả 1 dòng) > セル削除 (mất ít nhất, chỉ 1 ô)

匿名化 — Nhóm kỹ thuật TỔNG QUÁT HÓA (làm mờ, không xóa)

• トップコーディング (Top-coding): đặt ngưỡng giới hạn TRÊN cho biến số định lượng, mọi giá trị vượt ngưỡng đều gộp chung thành 1 nhóm — VD: thu nhập trên 20 triệu yên đều ghi chung là 'trên 20 triệu yên', tránh cá nhân thu nhập cực cao bị nổi bật/dễ nhận diện
• ボトムコーディング (Bottom-coding): tương tự nhưng áp dụng cho ngưỡng giới hạn DƯỚI — gộp mọi giá trị dưới 1 mức nhất định thành 1 nhóm chung
• k-匿名化 (k-anonymity): xử lý dữ liệu sao cho MỖI bản ghi KHÔNG THỂ phân biệt được với ít nhất k-1 bản ghi khác có cùng giá trị thuộc tính — thực hiện bằng tổng quát hóa (VD: '32 tuổi' → '30-34 tuổi') hoặc xóa bớt
  • Ví dụ số: k=5 nghĩa là bất kỳ ai nhìn vào 1 bản ghi cũng KHÔNG THỂ phân biệt đó là ai trong ít nhất 5 người có cùng đặc điểm (VD: cùng nhóm tuổi + cùng khu vực sinh sống)
  • k càng lớn → an toàn hơn (機密性 cao hơn) nhưng giá trị phân tích dữ liệu càng THẤP — luôn phải cân bằng giữa bảo mật và tính hữu dụng của dữ liệu
• Bẫy hay ra thi: k-匿名化 KHÔNG phải xóa dữ liệu mà là GOM NHÓM để nhiều người trông giống nhau — dễ nhầm với các kỹ thuật xóa trực tiếp ở trên

データマスキング (Data Masking) & 暗号化消去 (CE)

• データマスキング: kỹ thuật che giấu dữ liệu nhạy cảm bằng cách thay thế bằng dữ liệu GIẢ nhưng vẫn giữ ĐÚNG ĐỊNH DẠNG gốc — mục đích chính là phục vụ môi trường TEST/phát triển phần mềm mà không làm lộ dữ liệu thật
• 暗号化消去 (CE, Cryptographic Erase): kỹ thuật xóa dữ liệu bằng cách xóa KHÓA MÃ HÓA đã dùng để mã hóa dữ liệu đó, thay vì xóa/ghi đè lên chính dữ liệu — khi khóa đã bị xóa, dữ liệu đã mã hóa trở nên KHÔNG THỂ đọc được vĩnh viễn dù dữ liệu vật lý vẫn còn tồn tại trên thiết bị
• Điều kiện bắt buộc: dữ liệu phải đã được MÃ HÓA TỪ TRƯỚC (ngay từ lúc ghi vào thiết bị) thì mới áp dụng được — nếu dữ liệu gốc chưa từng mã hóa thì KHÔNG thể dùng CE
• Ứng dụng quan trọng nhất: dịch vụ CLOUD và ổ đĩa tự mã hóa (SED - Self-Encrypting Drive) — vì trong môi trường cloud KHÔNG THỂ phá hủy vật lý ổ đĩa (do dùng chung hạ tầng với khách hàng khác), nên CE là phương pháp gần như DUY NHẤT khả thi để đảm bảo dữ liệu bị xóa triệt để khi khách hàng ngừng dịch vụ
• Bẫy hay ra thi: phân biệt 3 tầng đảm bảo dữ liệu KHÔNG ĐỌC ĐƯỢC — 暗号化 (mã hóa lúc dùng, giải mã bình thường) khác 暗号化消去 (xóa khóa để KHÔNG BAO GIỜ giải mã lại được) khác 匿名化/データマスキング (biến đổi chính nội dung dữ liệu, không liên quan đến khóa mã hóa)
• Liên hệ: 匿名化 phục vụ mục đích CHIA SẺ/PHÂN TÍCH dữ liệu (đảm bảo pháp lý, phức tạp hơn); データマスキング phục vụ mục đích TEST (đơn giản hơn, giữ format); 暗号化消去 phục vụ mục đích XÓA VĨNH VIỄN — 3 kỹ thuật khác mục đích nên không thể thay thế nhau, đề hay cho tình huống rồi hỏi chọn kỹ thuật nào phù hợp

アクセス制御 (Access Control) & 特権的アクセス権の管理 (PAM)

• アクセス制御: cơ chế kiểm soát ai được phép làm GÌ với tài nguyên nào trong hệ thống — diễn ra SAU khi đã xác thực (認証, đã học ở mục 1), hệ thống quyết định quyền hạn cụ thể gọi là 認可 (Authorization)
• Bẫy hay ra thi: dễ nhầm 認証 (xác nhận ANH LÀ AI) với 認可/アクセス制御 (ANH ĐƯỢC LÀM GÌ) — 2 bước tách biệt, luôn xảy ra theo đúng thứ tự 認証 trước → 認可 sau
• 特権的アクセス権の管理 (PAM - Privileged Access Management): quản lý riêng biệt, CHẶT CHẼ HƠN đối với các tài khoản có quyền hạn đặc biệt (quản trị viên, root...)
• Biện pháp cụ thể của PAM: bắt buộc xác thực đa yếu tố cho tài khoản đặc quyền; cấp quyền đặc biệt CHỈ TRONG THỜI GIAN CẦN THIẾT (just-in-time access) thay vì cấp vĩnh viễn; ghi log chi tiết MỌI thao tác của tài khoản đặc quyền; định kỳ rà soát lại danh sách ai đang có quyền đặc biệt
• Liên hệ: PAM chính là cách cụ thể hóa nguyên tắc need-to-know/最小権限 (đã học ở mục 情報セキュリティ管理) áp dụng riêng cho nhóm tài khoản rủi ro cao nhất trong tổ chức

ログ管理 (Log Management)

• Định nghĩa: thu thập, lưu trữ, phân tích một cách CÓ TỔ CHỨC nhật ký hoạt động (log) của hệ thống/ứng dụng/thiết bị mạng
• Vai trò: log là nguồn dữ liệu chính cho hoạt động 監視 (đã học ở mục 2), là bằng chứng cho 責任追跡性 (đã học ở mục 1), và là nguồn dữ liệu quan trọng nhất khi thực hiện デジタルフォレンジックス hoặc điều tra sự cố sau này
• Bẫy hay ra thi: log PHẢI được bảo vệ khỏi bị CHỈNH SỬA/XÓA — đặc biệt chính bởi kẻ tấn công đã xâm nhập (kẻ tấn công thường xóa log để phi tang) — đề hay hỏi biện pháp bảo vệ log (VD: gửi log ra máy chủ log tập trung riêng biệt, real-time, không cho server bị tấn công tự quản lý log của chính nó)

脆弱性管理 (Vulnerability Management) & SBOM

• 脆弱性管理: biện pháp cơ bản nhất là cập nhật OS/phần mềm thường xuyên (OSアップデート) để vá các lỗ hổng đã công bố (脆弱性修正プログラム/セキュリティパッチ)
• Bẫy hay ra thi: có patch mới ra KHÔNG đồng nghĩa với áp dụng NGAY LẬP TỨC — tổ chức phải tuân theo パッチ適用基準 (chuẩn áp dụng patch riêng do tổ chức quy định, thường cần test trước trên môi trường thử nghiệm để tránh patch gây lỗi hệ thống đang chạy) — đề hay đưa ra tình huống "vừa có patch là áp ngay" để test có biết quy trình chuẩn hay không
• SBOM (Software Bill of Materials): danh sách liệt kê chi tiết TOÀN BỘ thành phần/thư viện (kể cả thư viện mã nguồn mở bên thứ ba) cấu thành nên 1 phần mềm — giống "bảng thành phần nguyên liệu" trên bao bì thực phẩm nhưng áp dụng cho phần mềm
• Vì sao cần SBOM: phần mềm hiện đại dùng RẤT NHIỀU thư viện mã nguồn mở/bên thứ ba — khi 1 lỗ hổng mới được công bố ở 1 thư viện cụ thể (ví dụ điển hình: sự kiện lỗ hổng Log4j), tổ chức cần biết NGAY sản phẩm của mình có dùng thư viện đó không và dùng ở đâu — không có SBOM thì việc rà soát thủ công gần như bất khả thi với hệ thống lớn

DMZ (非武装地帯) & 検疫ネットワーク (Quarantine Network)

• DMZ (Demilitarized Zone): 1 vùng mạng TRUNG GIAN, tách biệt cả với mạng nội bộ (tin cậy) LẪN Internet bên ngoài (không tin cậy) — dùng để đặt các server cần công khai truy cập từ bên ngoài (web server, mail server)
• Cấu trúc điển hình: Internet ⟷ Firewall ⟷ DMZ (web/mail server) ⟷ Firewall ⟷ Mạng nội bộ (dữ liệu quan trọng) — 2 lớp firewall bao quanh DMZ
• Ý nghĩa: DMZ đóng vai trò "vùng đệm" — ngay cả khi server trong DMZ bị chiếm, kẻ tấn công vẫn phải vượt thêm 1 lớp firewall nữa mới vào được mạng nội bộ thật sự chứa dữ liệu quan trọng
• 検疫ネットワーク: mạng CÁCH LY riêng biệt mà các thiết bị MỚI kết nối (laptop nhân viên mới, thiết bị khách) phải đi qua TRƯỚC KHI được vào mạng nội bộ chính thức
• Cơ chế hoạt động: thiết bị mới bị đưa vào vùng 検疫 để kiểm tra tự động (đã đủ bản vá bảo mật chưa, phần mềm diệt virus có chạy/cập nhật không, có tuân thủ chính sách bảo mật không) — ĐẠT mới chuyển sang mạng chính thức, KHÔNG ĐẠT thì bị giữ lại/cách ly hoặc chỉ cấp quyền truy cập hạn chế
• Bẫy hay ra thi: phân biệt mục đích 2 khái niệm — DMZ bảo vệ server CÔNG KHAI khỏi Internet (hướng ra ngoài); 検疫ネットワーク kiểm soát THIẾT BỊ MỚI trước khi vào mạng nội bộ (hướng vào trong) — không thể thay thế nhau

URL フィルタリング vs コンテンツフィルタリング

• URL フィルタリング (Web フィルタリング): chặn truy cập dựa trên DANH SÁCH URL đã được phân loại sẵn (blacklist site lừa đảo/mã độc, hoặc site không liên quan công việc) — cơ chế đơn giản, tra cứu theo địa chỉ
• コンテンツフィルタリング: lọc dựa trên NỘI DUNG thực tế của trang/email tại thời điểm truy cập (từ khóa, loại file đính kèm...) thay vì chỉ dựa vào URL cố định
• Bẫy hay ra thi: URL フィルタリング KHÔNG bắt được site MỚI xuất hiện (chưa kịp đưa vào danh sách), trong khi コンテンツフィルタリング có thể phát hiện dựa trên nội dung dù URL chưa từng biết đến trước đó — đề hay hỏi "biện pháp nào hiệu quả với site vừa mới tạo"
• Liên hệ: cả 2 đều thuộc nhóm bảo vệ theo KÊNH giao tiếp (email/Web), khác với MDM/PAM là bảo vệ theo THIẾT BỊ hay TÀI KHOẢN

携帯端末のセキュリティ (携帯電話・スマートフォン・タブレット端末)

• Vấn đề đặc thù: dễ bị mất/đánh cắp hơn thiết bị cố định trong văn phòng, thường dùng chung cho cá nhân lẫn công việc (BYOD - Bring Your Own Device), khó kiểm soát tập trung như PC để bàn
• Biện pháp chính: quản lý tập trung bằng MDM (Mobile Device Management — cấu hình chính sách bảo mật từ xa, cài/gỡ ứng dụng từ xa, XÓA DỮ LIỆU TỪ XA khi mất/bị đánh cắp), mã hóa dữ liệu trên thiết bị, bắt buộc khóa màn hình bằng sinh trắc học/PIN
• Bẫy hay ra thi: MDM quản lý được cả thiết bị công ty cấp LẪN thiết bị cá nhân trong mô hình BYOD — điểm khác với PAM (chỉ quản lý TÀI KHOẢN đặc quyền, không phải THIẾT BỊ vật lý)

クラウドサービスのセキュリティ & IoT のセキュリティ

• クラウドサービスのセキュリティ: rủi ro lớn nhất trong thực tế là LỖI CẤU HÌNH (thiết lập sai khiến dữ liệu/storage bị công khai ngoài ý muốn) chứ không hẳn do lỗ hổng kỹ thuật — biện pháp: quản lý cấu hình đúng chuẩn, mã hóa dữ liệu cả lúc lưu trữ (at rest) lẫn khi truyền (in transit), áp dụng 暗号化消去 khi cần xóa dữ liệu triệt để trên hạ tầng dùng chung
• Liên hệ: đây chính là phần trách nhiệm của KHÁCH HÀNG trong クラウド責任共有モデル (đã học ở mục 情報セキュリティ管理) — nhà cung cấp không chịu trách nhiệm nếu khách hàng tự cấu hình sai
• IoT のセキュリティ: thiết bị IoT thường có tài nguyên tính toán hạn chế (khó cài phần mềm bảo mật mạnh), vòng đời sử dụng dài nhưng ít được vá lỗi, và nhiều thiết bị vẫn dùng ID/mật khẩu MẶC ĐỊNH của nhà sản xuất — đây chính là nguyên nhân khiến IoT dễ bị biến thành ボットネット quy mô lớn (đã học ở mục Malware/Bot)
• Bẫy hay ra thi: đề hay liên hệ IoT với dự án NOTICE của NICT/tổng vụ (rà quét thiết bị IoT dùng mật khẩu yếu/mặc định tại Nhật, đã học ở mục 組織・機関) — nhớ NOTICE nhắm vào chính vấn đề "mật khẩu mặc định" này

電子透かし (Digital Watermark) vs ステガノグラフィ (Steganography) — bẫy phân biệt kinh điển

• 電子透かし: kỹ thuật nhúng thông tin (tác quyền, thông tin thanh toán, số lần được phép sao chép...) vào bên trong nội dung số (ảnh/video/âm thanh) — thông tin nhúng vào CÓ LIÊN QUAN đến nội dung gốc, mục đích chính là bảo vệ bản quyền/chứng minh nguồn gốc
• ステガノグラフィ: thông tin nhúng vào và nội dung gốc KHÔNG LIÊN QUAN gì đến nhau (VD: giấu 1 đoạn văn bản bí mật bên trong 1 bức ảnh bất kỳ) — mục đích là GIẤU SỰ TỒN TẠI của thông điệp bí mật, không ai biết có thông tin ẩn bên trong
• Bẫy hay ra thi: cả 2 đều là kỹ thuật NHÚNG thông tin vào file, dễ nhầm lẫn — điểm phân biệt cốt lõi nằm ở MỤC ĐÍCH: 電子透かし = công khai chứng minh quyền sở hữu (ai cũng biết có watermark, chỉ khó gỡ/khó giả mạo); ステガノグラフィ = giấu kín sự tồn tại của thông điệp (không ai biết có tin nhắn ẩn)
• Ghi nhớ nhanh: 電子透かし = "đóng dấu bản quyền"; ステガノグラフィ = "thư mật giấu trong bức tranh"

デジタルフォレンジックス (Digital Forensics)

• Định nghĩa: hoạt động thu thập, bảo toàn, phân tích dữ liệu số làm bằng chứng cho việc điều tra nguyên nhân sự cố bảo mật/tội phạm mạng, đảm bảo dữ liệu có giá trị pháp lý (có thể dùng làm chứng cứ tại tòa án)
• 証拠保全 (Bảo toàn bằng chứng) — nguyên tắc quan trọng nhất: dữ liệu thu thập phải giữ NGUYÊN VẸN, không bị thay đổi trong suốt quá trình điều tra — thực hiện bằng cách tạo bản sao bit-by-bit (không làm việc trực tiếp trên dữ liệu gốc) và ghi lại đầy đủ chuỗi lưu chuyển bằng chứng (chain of custody: ai tiếp xúc bằng chứng, khi nào, làm gì) để chứng minh bằng chứng không bị can thiệp
• Bẫy hay ra thi: đề hay đưa tình huống nhân viên tự ý ĐIỀU TRA/THAO TÁC TRỰC TIẾP trên máy bị nghi nhiễm mã độc ngay khi phát hiện — đúng quy trình là phải BẢO TOÀN hiện trạng trước (không tắt máy tùy tiện, không tự cài phần mềm quét), báo cáo và giao cho bộ phận chuyên trách/CNTT xử lý để không làm hỏng chứng cứ
• Liên hệ: nguồn dữ liệu quan trọng nhất phục vụ フォレンジックス chính là ログ管理 (đã học ở mục 4) — đây cũng là bước cuối trong quy trình インシデント管理 5 bước ở Phần B (証拠収集)

AI for Security vs Security for AI

• AI for Security: dùng AI như 1 CÔNG CỤ để tăng cường khả năng phòng thủ — VD: machine learning giúp phát hiện bất thường trong log nhanh hơn con người, tự động phân loại mức độ ưu tiên インシデント, tăng độ chính xác của ビヘイビア法 khi phát hiện mã độc chưa biết
• Security for AI: bảo vệ CHÍNH BẢN THÂN hệ thống AI khỏi bị tấn công/lạm dụng — đối tượng cần bảo vệ ở đây là AI, không phải dùng AI để bảo vệ thứ khác (liên hệ trực tiếp nhóm 攻撃手法 "AI 悪用" đã học ở mục 1 — kẻ tấn công có thể tấn công ngược lại chính mô hình AI, VD: đầu độc dữ liệu huấn luyện, prompt injection)
• Bẫy hay ra thi: đề hay cho 1 tình huống rồi hỏi "đây là AI for Security hay Security for AI" — chỉ cần xác định ĐỐI TƯỢNG ĐƯỢC BẢO VỆ là hệ thống AI hay là 1 thứ khác (mạng, dữ liệu, thiết bị) ngoài AI

マルウェア対策ソフト (Antivirus) vs EDR (Endpoint Detection and Response)

• マルウェア対策ソフト: tập trung NGĂN CHẶN/phát hiện mã độc XÂM NHẬP VÀO thiết bị — hoạt động chủ yếu dựa trên パターンマッチング法 (so khớp mẫu đã biết), càng ngày càng bổ sung ヒューリスティック法/ビヘイビア法
• EDR: không chỉ NGĂN CHẶN mà còn liên tục GIÁM SÁT hành vi trên thiết bị đầu cuối, GHI LẠI toàn bộ hoạt động, và hỗ trợ ĐIỀU TRA/ỨNG PHÓ khi có sự cố xảy ra — toàn diện hơn antivirus truyền thống
• Bẫy hay ra thi: antivirus truyền thống chỉ thuộc loại biện pháp 予防タイプ (đã học ở phần ISMS), còn EDR bao trùm cả 3 giai đoạn: 予防 + 検知 + 是正 — đặc biệt mạnh ở khả năng phát hiện mã độc CHƯA BIẾT (liên hệ trực tiếp ビヘイビア法) và hỗ trợ インシデントハンドリング khi sự cố đã xảy ra

DLP (Data Loss Prevention)

• Định nghĩa: hệ thống giám sát và ngăn chặn dữ liệu QUAN TRỌNG/NHẠY CẢM bị đưa ra ngoài tổ chức trái phép — dù qua email, USB, upload lên cloud cá nhân, hay in ấn
• Cơ chế nhận diện: dựa trên NỘI DUNG (VD: số thẻ tín dụng, mã số bảo hiểm xã hội theo định dạng cụ thể) hoặc dựa trên NHÃN phân loại đã gán sẵn
• Liên hệ: DLP chính là công cụ kỹ thuật để THỰC THI các quy định 情報資産の分類 và 情報管理規程 đã học ở mục 2 (phân loại tài sản thông tin chỉ có ý nghĩa nếu có công cụ thực thi đi kèm)

SIEM (Security Information and Event Management)

• Định nghĩa: hệ thống TỔNG HỢP VÀ PHÂN TÍCH log/sự kiện bảo mật từ NHIỀU nguồn khác nhau trong toàn tổ chức (firewall, IDS/IPS, antivirus, server, ứng dụng...) vào 1 nơi duy nhất
• Giá trị cốt lõi: 1 cuộc tấn công thực sự thường để lại DẤU VẾT RẢI RÁC ở nhiều hệ thống khác nhau (VD: 1 lần đăng nhập thất bại ở VPN + 1 kết nối lạ ở firewall + 1 file lạ được tạo ở endpoint) — riêng lẻ thì mỗi dấu hiệu có vẻ vô hại, nhưng SIEM có khả năng LIÊN KẾT các sự kiện rời rạc đó lại để phát hiện ra 1 cuộc tấn công thực sự
• Bẫy hay ra thi: phân biệt SIEM (TỔNG HỢP log từ nhiều nguồn, mang tính PHÂN TÍCH/phát hiện) với ログ管理 đơn thuần (đã học ở mục 4 — chỉ thu thập/lưu trữ, chưa có khả năng liên kết phân tích thông minh như SIEM)

Firewall (ファイアウォール) vs WAF (Web Application Firewall) — bẫy kinh điển

• Firewall thông thường: kiểm soát lưu lượng dựa trên địa chỉ IP và số cổng (port) — hoạt động ở tầng mạng/vận chuyển, KHÔNG nhìn vào nội dung chi tiết bên trong gói tin
• WAF: chuyên bảo vệ ỨNG DỤNG WEB, phân tích SÂU vào nội dung yêu cầu HTTP/HTTPS (dù đi qua cổng hợp lệ 80/443) để phát hiện các mẫu tấn công đặc thù nhắm vào web
• Bẫy hay ra thi: firewall thông thường "để lọt" các cuộc tấn công web vì chúng đi qua đúng cổng hợp lệ (80/443) trông như lưu lượng bình thường — WAF chuyên đối phó với SQL インジェクション, XSS, OS コマンドインジェクション (đã học ở mục 1 — nhóm tấn công Web/Injection)

IDS (Intrusion Detection System) vs IPS (Intrusion Prevention System)

• IDS: giám sát BẢN SAO của lưu lượng mạng (không nằm trực tiếp trên đường truyền), khi phát hiện bất thường thì CHỈ CẢNH BÁO (アラート), KHÔNG tự động chặn — không ảnh hưởng đến tốc độ lưu thông mạng thật
• IPS: đặt TRỰC TIẾP trên đường truyền mạng (インライン配置), khi phát hiện gói tin nguy hiểm thì LẬP TỨC CHẶN ĐỨNG, ngăn ngay thiệt hại tức thời
• Rủi ro đi kèm của IPS (điểm hay bị hỏi thêm): vì có khả năng TỰ ĐỘNG CHẶN, nếu xảy ra nhận diện sai (フォールスポジティブ — sẽ học chi tiết ngay dưới), IPS có thể LÀM GIÁN ĐOẠN cả lưu lượng HỢP LỆ — đây là lý do 1 số tổ chức thận trọng chọn IDS thay vì IPS ở giai đoạn đầu triển khai

UTM (Unified Threat Management)

• Định nghĩa: 1 thiết bị/hệ thống TÍCH HỢP nhiều chức năng bảo mật vào chung 1 nơi — thường gồm firewall + IDS/IPS + antivirus + URL フィルタリング + VPN... trong 1 sản phẩm duy nhất
• Ưu điểm: dễ quản lý tập trung, chi phí đầu tư ban đầu thấp hơn mua từng sản phẩm riêng lẻ — phù hợp doanh nghiệp vừa và nhỏ
• Bẫy hay ra thi: UTM TÍCH HỢP nhiều thiết bị thành 1, ngược với hướng đi triển khai TỪNG thiết bị chuyên dụng riêng lẻ (firewall riêng, IDS/IPS riêng...) — đánh đổi giữa TIỆN LỢI/CHI PHÍ thấp với rủi ro điểm lỗi đơn lẻ (single point of failure) khi 1 thiết bị gặp sự cố thì mất toàn bộ chức năng bảo mật cùng lúc

許可リスト (Allow list) vs 拒否リスト (Deny list)

• 許可リスト (Pass List/Whitelist): CHỈ cho phép những gì đã được liệt kê rõ ràng, MẶC ĐỊNH CHẶN mọi thứ khác — an toàn cao hơn nhưng cứng nhắc hơn (dễ chặn nhầm cái mới hợp lệ chưa kịp thêm vào danh sách)
• 拒否リスト (Block List/Blacklist): CHỈ chặn những gì đã được liệt kê rõ là nguy hiểm, MẶC ĐỊNH CHO PHÉP mọi thứ khác — linh hoạt hơn nhưng an toàn thấp hơn (không chặn được mối đe dọa MỚI chưa kịp đưa vào danh sách)
• Liên hệ: đây chính là nguyên lý nền của cả URL/コンテンツフィルタリング (đã học ở mục 4) — URL フィルタリング có thể áp dụng theo cả 2 chiều (chỉ cho vào site đã duyệt, hoặc chỉ chặn site đã biết xấu)

フォールスポジティブ (False Positive) vs フォールスネガティブ (False Negative)

• フォールスポジティブ (dương tính giả): thực chất BÌNH THƯỜNG/AN TOÀN nhưng hệ thống lại NHẬN NHẦM là nguy hiểm rồi chặn/cảnh báo — gây phiền toái, làm gián đoạn hoạt động hợp lệ (VD: WAF chặn nhầm 1 yêu cầu chứa ký tự "<" hợp lệ vì tưởng là tấn công XSS)
• フォールスネガティブ (âm tính giả): thực chất NGUY HIỂM nhưng hệ thống lại BỎ SÓT, cho qua như bình thường — hậu quả NGHIÊM TRỌNG hơn vì để lọt tấn công thật
• Bẫy hay ra thi: cấu trúc tương tự FRR/FAR (đã học ở mục sinh trắc học) — luôn có đánh đổi giữa 2 loại sai số này (chỉnh hệ thống nhạy hơn để giảm False Negative thường làm tăng False Positive và ngược lại), đề hay cho tình huống cụ thể rồi hỏi đây là loại nào

SSL/TLS アクセラレーター & Web アイソレーション (Web Isolation)

• SSL/TLS アクセラレーター: thiết bị/phần cứng CHUYÊN DỤNG để xử lý mã hóa/giải mã SSL/TLS với tốc độ cao, giúp GIẢM TẢI cho web server chính (vì mã hóa/giải mã tốn nhiều tài nguyên tính toán)
• Web アイソレーション: kỹ thuật CÁCH LY hoạt động duyệt web ra khỏi thiết bị thật của người dùng — nội dung web được xử lý/render trên 1 môi trường riêng biệt (server từ xa/container cô lập), chỉ hình ảnh kết quả cuối cùng được gửi về cho người dùng xem
• Bẫy hay ra thi: dù trang web có chứa mã độc (VD: ドライブバイダウンロード), mã độc đó chỉ chạy trong MÔI TRƯỜNG CÁCH LY, không bao giờ chạm đến thiết bị thật — khác với URL フィルタリング (đã học ở mục 4, cố chặn TỪNG trang cụ thể), Web アイソレーション giả định MỌI trang web đều có thể nguy hiểm thay vì cố lọc từng trang

MDM (Mobile Device Management) — nhìn lại dưới góc độ "sản phẩm bảo mật"

• Đã giới thiệu ở mục 携帯端末のセキュリティ (Phần 4) — ở đây nhấn mạnh MDM là 1 loại SẢN PHẨM/CHỨC NĂNG cụ thể (giống EDR/DLP/SIEM ở trên) chứ không phải khái niệm trừu tượng — cho phép cấu hình chính sách bảo mật từ xa, cài/gỡ ứng dụng từ xa, xóa dữ liệu từ xa
• Bẫy hay ra thi: đề có thể hỏi so sánh MDM với PAM — nhớ lại: MDM quản lý THIẾT BỊ di động, PAM quản lý TÀI KHOẢN đặc quyền, 2 phạm trù khác nhau hoàn toàn

RASIS — khung khái niệm nền của bảo mật vật lý, BẮT BUỘC nhớ đúng 5 chữ cái

• Reliability (信頼性): mức độ khó xảy ra hỏng hóc — chỉ số đo lường thường dùng là MTBF (thời gian trung bình giữa các lần hỏng)
• Availability (可用性): mức độ hệ thống sẵn sàng sử dụng khi cần — chỉ số đo lường là 稼働率 (tỷ lệ thời gian hoạt động) — liên hệ trực tiếp với khái niệm 可用性 (Availability) trong CIA đã học ở mục 1
• Serviceability (保守性): mức độ dễ dàng bảo trì/sửa chữa khi có sự cố — thời gian khắc phục càng ngắn thì tính bảo trì càng cao
• Integrity (完全性): tính toàn vẹn dữ liệu — liên hệ trực tiếp với 完全性 trong CIA
• Security (セキュリティ): khả năng chống lại truy cập/tấn công trái phép — liên hệ trực tiếp với 機密性 trong CIA
• Bẫy hay ra thi: 3 chữ A/I/S trong RASIS TRÙNG tên với 3 thuộc tính CIA đã học, nhưng RASIS là khung đánh giá ĐỘ TIN CẬY CỦA HỆ THỐNG (thiên về hạ tầng/thiết bị vật lý), còn CIA là 3 thuộc tính cần bảo vệ của THÔNG TIN — không được dùng lẫn 2 khái niệm

Nhóm biện pháp nâng cao 可用性/信頼性 (đáp ứng chữ R-A trong RASIS)

• UPS (Uninterruptible Power Supply — bộ lưu điện): cung cấp điện dự phòng tức thời khi mất điện đột ngột, đủ thời gian để hệ thống tắt an toàn hoặc chuyển sang nguồn điện dự phòng khác — ngăn mất dữ liệu do tắt máy đột ngột
• 耐震耐火設備 (thiết bị chống động đất/chống cháy): bảo vệ hạ tầng vật lý khỏi thiên tai — liên hệ trực tiếp 災害復旧/DR đã học ở mục 2 (đây là biện pháp PHÒNG NGỪA trước khi thảm họa xảy ra, bổ trợ cho kế hoạch phục hồi sau đó)
• 多重化技術 (kỹ thuật nhân đôi/dự phòng): thiết kế hệ thống có nhiều thành phần dự phòng song song, nếu 1 thành phần hỏng thì thành phần dự phòng tự động thay thế ngay — không có điểm hỏng duy nhất (Single Point of Failure)
• ストレージのミラーリング (Mirroring — nhân bản ổ đĩa): ghi đồng thời cùng 1 dữ liệu vào 2 ổ đĩa vật lý riêng biệt theo thời gian thực — nếu 1 ổ hỏng thì ổ còn lại vẫn giữ nguyên dữ liệu đầy đủ, hệ thống không gián đoạn — liên hệ trực tiếp RAID 1 (sẽ/đã học ở phần A3 ストレージ)

Nhóm biện pháp kiểm soát khu vực vật lý (đáp ứng chữ S trong RASIS)

• セキュリティゾーニング (Security Zoning): chia khu vực vật lý của tổ chức thành nhiều vùng với mức độ bảo mật khác nhau tùy theo tầm quan trọng — VD: khu tiếp khách (mức thấp) → khu văn phòng (mức trung) → phòng server/data center (mức cao nhất)
• 入退室管理 (Quản lý ra vào): ghi nhận CHI TIẾT ai vào/ra khu vực nào, khi nào — kết hợp với 施錠管理 (khóa vật lý/điện tử) và 監視カメラ
• アンチパスバック (Anti-passback): cơ chế KHÔNG cho phép 1 thẻ từ dùng để vào 2 lần liên tiếp mà không có lượt ra ở giữa — ngăn 1 người cho người khác mượn thẻ để lách vào trong khi bản thân vẫn đứng ở ngoài (record vẫn hiển thị "đã vào")
• インターロック (Interlock): cơ chế khóa liên động giữa 2 cửa — không cho phép cả 2 cửa cùng mở 1 lúc (VD: cửa phòng đệm trước data center)

Nhóm biện pháp thói quen làm việc hàng ngày

• クリアデスク (Clear Desk): không để tài liệu/thiết bị chứa thông tin quan trọng bừa bãi trên bàn khi rời chỗ hoặc hết giờ làm
• クリアスクリーン (Clear Screen): màn hình tự động khóa (chuyển sang screensaver có mật khẩu) sau 1 khoảng thời gian không thao tác, hoặc người dùng chủ động khóa khi rời chỗ dù chỉ tạm thời

記憶媒体の管理 (Quản lý phương tiện lưu trữ)

• Quy định về sử dụng, mang ra vào, và theo dõi USB/ổ cứng di động/thẻ nhớ — liên hệ trực tiếp kỹ thuật セキュリティケーブル (dây cáp khóa vật lý gắn thiết bị vào bàn cố định)
• 装置のセキュリティを保った処分又は再利用 (Xử lý/tái sử dụng thiết bị an toàn): khi thiết bị lưu trữ hết vòng đời/cần thanh lý, phải đảm bảo dữ liệu trên đó KHÔNG THỂ KHÔI PHỤC được — liên hệ trực tiếp 暗号化消去 (CE) đã học ở mục 4 (phương pháp phổ biến hơn xoá vật lý với ổ SSD/cloud dùng chung)

セキュアプロトコル — bản đồ tổng quát theo tầng OSI (học thuộc bản đồ này trước, chi tiết từng giao thức ở dưới)

• L1 物理層: 施錠管理/セキュリティケーブル/セキュリティゾーニング (đã học ở 物理的セキュリティ)
• L2 データリンク層: WPA2/WPA3 (mã hóa Wi-Fi), MAC アドレスフィルタリング
• L3-4 ネットワーク/トランスポート層: IPsec, パケットフィルタリング, Firewall (đã học), VPN
• L5-6 (trên L4): TLS/SSL — đóng vai trò "lớp áo giáp" dùng CHUNG cho rất nhiều giao thức ở L7 phía trên (không phải giao thức độc lập cho 1 ứng dụng cụ thể)
• L7 ứng dụng: SSH, HTTPS (=HTTP+TLS), PGP, S/MIME, SPF/DKIM/DMARC (sẽ học chi tiết ở mục sau)
• Bẫy hay ra thi: đề hay cho 4 đáp án gồm IPsec/TLS(SSL)/HTTPS/S-MIME rồi yêu cầu chọn đúng giao thức theo mô tả — chìa khóa là nhớ TẦNG hoạt động: IPsec = tầng MẠNG (bảo vệ TOÀN BỘ gói IP, không phụ thuộc ứng dụng bên trên); TLS/SSL = tầng giữa (nền cho nhiều ứng dụng); HTTPS/SSH/S-MIME = tầng ỨNG DỤNG (riêng cho từng loại dịch vụ cụ thể)

IPsec (IP Security Architecture)

• Định nghĩa: bộ giao thức mã hóa/xác thực hoạt động ở TẦNG MẠNG (tầng 3 OSI/IP) — khác với TLS/HTTPS hoạt động ở tầng trên, IPsec mã hóa TOÀN BỘ gói tin IP mà KHÔNG cần ứng dụng phía trên biết/hỗ trợ gì cả (trong suốt với ứng dụng)
• Ứng dụng thực tế quan trọng nhất: nền tảng chính để xây dựng VPN (sẽ học chi tiết ở mục ネットワークセキュリティ)
• Thành phần cấu thành (biết tên là đủ, không cần sâu): ESP (mã hóa nội dung), AH (xác thực/toàn vẹn, KHÔNG mã hóa nội dung), IKE (trao đổi khóa tự động)

SSL/TLS (Secure Sockets Layer / Transport Layer Security)

• Quan hệ SSL vs TLS: TLS là phiên bản KẾ THỪA và thay thế hoàn toàn cho SSL (SSL đã bị coi là KHÔNG AN TOÀN và ngừng sử dụng từ lâu) — nhưng do thói quen, người ta vẫn hay gọi chung là "SSL/TLS" hay thậm chí chỉ gọi tắt là "SSL" dù thực chất đang dùng TLS
• Vai trò: cung cấp mã hóa + xác thực server (qua デジタル証明書 đã học ở PKI) + đảm bảo toàn vẹn dữ liệu cho kết nối ở tầng TRÊN tầng vận chuyển (nên được gọi là "lớp áo giáp" cho nhiều giao thức ứng dụng khác nhau: HTTP→HTTPS, SMTP→SMTPS...)
• Biểu hiện thực tế quen thuộc nhất: HTTPS chính là HTTP chạy trên nền TLS — khi trình duyệt hiển thị biểu tượng ổ khóa, nghĩa là phiên kết nối đã được TLS bảo vệ

SSH (Secure Shell)

• Định nghĩa: giao thức tầng ỨNG DỤNG cho phép đăng nhập/điều khiển server từ xa 1 cách AN TOÀN (mã hóa toàn bộ phiên làm việc) — thay thế cho Telnet/FTP đời cũ vốn truyền dữ liệu DẠNG VĂN BẢN (không mã hóa, dễ bị nghe lén)
• Bẫy hay ra thi: SSH thường gắn với quản trị server từ xa (remote login), khác với HTTPS dùng cho duyệt web — dễ nhầm khi đề hỏi "giao thức nào thay thế Telnet"

HTTPS (HTTP over TLS)

• Định nghĩa: giao thức HTTP thông thường được chạy BÊN TRONG 1 phiên kết nối TLS đã được mã hóa — bản thân HTTPS KHÔNG tự mã hóa, mà DỰA HOÀN TOÀN vào TLS bên dưới
• Liên hệ: khi kiểm tra chứng chỉ số của HTTPS, trình duyệt sẽ đối chiếu tên domain đang truy cập với FQDN ghi trong サーバ証明書 (đã học ở PKI) — nếu không khớp thì cảnh báo lỗi chứng chỉ

WPA2 vs WPA3 (Wi-Fi Protected Access) — bẫy rất hay ra thi

• Cả 2 đều là chuẩn MÃ HÓA cho mạng Wi-Fi không dây (tầng L2), là hậu duệ của WEP đã lỗi thời/yếu (WEP dễ bị bẻ khóa)
• WPA2: dùng thuật toán mã hóa CCMP (nền AES) — tồn tại lỗ hổng nổi tiếng KRACK (tấn công vào quá trình bắt tay 4 bước "4-way handshake")
• WPA3: ra đời 2018 để khắc phục KRACK — thay cơ chế trao đổi khóa bằng SAE (Simultaneous Authentication of Equals, dựa trên mã hóa đường cong elliptic) giúp chống tấn công dò từ điển/dò vét cạn; bắt buộc PMF (mã hóa cả khung quản lý, không chỉ dữ liệu); có thêm chế độ doanh nghiệp mã hóa 192-bit mạnh hơn
• Bẫy hay ra thi: đề hay đưa 4 lựa chọn (WPA3/TLS/HTTPS/IPsec) và mô tả đặc điểm SAE/PMF — chỉ cần nhớ chính SAE+PMF là dấu hiệu nhận diện DUY NHẤT của WPA3, không xuất hiện ở WPA2

送信ドメイン認証 — SPF / DKIM / DMARC (bộ 3 cốt lõi chống giả mạo email, RẤT hay ra thi)

• SPF (Sender Policy Framework): chủ domain đăng ký sẵn 1 bản ghi DNS (TXT record) liệt kê CHÍNH XÁC những server nào được phép gửi email nhân danh domain đó — server nhận sẽ tra cứu bản ghi này, kiểm tra địa chỉ IP server gửi thực tế có nằm trong danh sách hay không → kiểm tra "AI GỮI" (dựa trên IP)
• DKIM (DomainKeys Identified Mail): dùng chữ ký số (đã học ở mục 1 — デジタル署名) để ký vào email: server gửi dùng 秘密鍵 để ký, server nhận dùng 公開鍵 (công bố qua DNS) để xác minh → kiểm tra "NỘI DUNG CÓ BỊ ĐỔI KHÔNG" trên đường truyền, chỉ xác nhận email được ký bởi ĐÚNG DOMAIN, KHÔNG đảm bảo đúng địa chỉ người gửi cụ thể
• DMARC (Domain-based Message Authentication, Reporting & Conformance): giao thức CHÍNH SÁCH xây dựng DỰA TRÊN kết quả của CẢ SPF và DKIM — quyết định server nhận nên làm gì (chấp nhận/cách ly vào spam/từ chối) khi email KHÔNG vượt qua được SPF hoặc DKIM; KHÔNG phải 1 kỹ thuật xác thực MỚI, mà là lớp điều phối NẰM TRÊN SPF/DKIM, kèm cơ chế báo cáo cho chủ domain biết ai đang giả mạo
• Bẫy hay ra thi (RẤT quan trọng): SPF kiểm tra "ai gửi" (IP), DKIM kiểm tra "nội dung có bị đổi không" (chữ ký số), DMARC quyết định "làm gì khi 1 trong 2 cái trên thất bại" — đề hay cho tình huống "email đến từ đúng server hợp lệ nhưng nội dung đã bị chỉnh sửa giữa đường" và hỏi cơ chế nào phát hiện được → đáp án là DKIM (vì SPF chỉ nhìn IP, không nhìn nội dung)

Chống lạm dụng SMTP để phát tán spam — SMTP-AUTH & OP25B

• SMTP-AUTH: yêu cầu XÁC THỰC (username/password) bắt buộc trước khi 1 người dùng được phép gửi email qua server SMTP — ngăn kẻ lạ lợi dụng server SMTP mở tự do để phát tán spam hàng loạt
• OP25B (Outbound Port 25 Blocking): nhà mạng/ISP chủ động CHẶN lưu lượng gửi đi qua cổng 25 (cổng mặc định SMTP) từ thiết bị người dùng thông thường — buộc phải gửi qua đúng server SMTP chính thức (thường qua cổng khác, có SMTP-AUTH) thay vì gửi trực tiếp

ベイジアンフィルタリング (Bayesian Filtering)

• Kỹ thuật lọc spam dựa trên XÁC SUẤT THỐNG KÊ (định lý Bayes) — hệ thống "học" từ các email đã được đánh dấu spam/không spam trước đó, tính xác suất 1 email MỚI có khả năng là spam dựa trên các từ ngữ/đặc điểm xuất hiện trong đó
• Bẫy hay ra thi: khác với SPF/DKIM/DMARC (xác thực NGUỒN GỐC domain gửi), ベイジアンフィルタリング phân loại dựa trên NỘI DUNG thực tế của email — 2 cơ chế hoạt động độc lập, thường dùng KẾT HỢP với nhau trong thực tế

PGP (Pretty Good Privacy) vs S/MIME — mã hóa NỘI DUNG email

• Điểm chung: cả 2 đều dùng ハイブリッド暗号 (đã học ở mục 1 — 暗号技術) — kết hợp 共通鍵暗号方式 để mã hóa nội dung thực tế (nhanh) và 公開鍵暗号方式 để mã hóa chính khóa chung đó (an toàn khi trao đổi)
• Khác biệt CỐT LÕI nằm ở cách QUẢN LÝ KHÓA CÔNG KHAI:
  • PGP: KHÔNG dùng CA (đã học ở PKI) để xác thực khóa công khai, mà dựa trên mô hình "Web of Trust" — người dùng tự trao đổi/xác nhận khóa lẫn nhau, hoặc qua mạng lưới người quen tin cậy giới thiệu
  • S/MIME: dựa trên PKI CHÍNH THỐNG với CA làm bên thứ ba tin cậy cấp デジタル証明書 (đã học ở 公開鍵基盤) — mỗi người dùng cần chứng chỉ số được CA xác nhận, giống hệt logic サーバ証明書/クライアント証明書 đã học
• Bẫy hay ra thi: đề hay hỏi "giao thức nào KHÔNG cần CA/bên thứ ba" → đáp án là PGP (Web of Trust phi tập trung); còn "giao thức dựa trên hạ tầng PKI chính thống giống HTTPS" → đáp án là S/MIME

パケットフィルタリング (Packet Filtering) — Tầng 3-4

• Định nghĩa: kỹ thuật lọc gói tin dựa trên thông tin ở HEADER (địa chỉ IP nguồn/đích, số cổng, giao thức) — đây chính là nguyên lý hoạt động CƠ BẢN của Firewall thông thường (đã học ở mục セキュリティ製品)
• Liên hệ: Firewall dạng パケットフィルタリング型 chỉ nhìn header, KHÔNG kiểm tra nội dung tầng ứng dụng — đây là lý do vì sao cần thêm WAF để bảo vệ ở tầng 7 (đã học ở mục Firewall vs WAF)

MAC アドレスフィルタリング — Tầng 2

• Định nghĩa: kiểm soát thiết bị nào được phép kết nối vào mạng dựa trên địa chỉ MAC (địa chỉ vật lý gắn với card mạng của từng thiết bị) — chỉ thiết bị có MAC nằm trong danh sách cho phép mới được kết nối
• Cùng nằm ở Tầng 2 với WPA2/WPA3 (đã học ở セキュアプロトコル) — thường dùng KẾT HỢP để bảo vệ mạng không dây (vừa mã hóa bằng WPA, vừa lọc thêm theo MAC)
• Bẫy hay ra thi: MAC address CÓ THỂ bị giả mạo (MAC spoofing) khá dễ dàng bằng phần mềm → chỉ nên coi là 1 LỚP BẢO VỆ BỔ SUNG (đúng tinh thần 多層防御), KHÔNG phải biện pháp đủ mạnh để dùng độc lập một mình

認証サーバ (Authentication Server) & 認証 VLAN

• 認証サーバ: máy chủ trung tâm chuyên xử lý xác thực người dùng/thiết bị trước khi cho phép truy cập mạng — ví dụ tiêu biểu là RADIUS server, thường phối hợp với chuẩn IEEE 802.1X để xác thực trước khi thiết bị được cấp quyền vào LAN/Wi-Fi
• 認証 VLAN: kỹ thuật kết hợp xác thực với việc tự động PHÂN VÙNG MẠNG (VLAN) — thiết bị sau khi xác thực thành công được tự động đưa vào đúng VLAN tương ứng với quyền hạn của nó (VD: nhân viên → VLAN nội bộ, khách → VLAN riêng chỉ có Internet)

VPN (Virtual Private Network — Mạng riêng ảo)

• Định nghĩa: tạo ra 1 "đường hầm" (tunnel) được mã hóa xuyên qua mạng công cộng (Internet), giúp 2 điểm kết nối AN TOÀN như đang ở chung 1 mạng nội bộ riêng, dù thực tế đi qua hạ tầng công cộng không tin cậy
• Liên hệ: VPN thường được xây dựng trên nền IPsec (đã học ở セキュアプロトコル, hoạt động Tầng 3) — đây chính là ứng dụng THỰC TẾ quan trọng nhất của IPsec
• Phân loại theo hạ tầng sử dụng (hay ra thi dạng so sánh):
  • IP-VPN: dùng hạ tầng mạng RIÊNG của nhà mạng viễn thông, KHÔNG đi qua Internet công cộng — ổn định/an toàn hơn nhưng chi phí cao
  • インターネット VPN: dùng đường Internet công cộng + mã hóa (IPsec/TLS) — chi phí thấp hơn, phổ biến hơn với doanh nghiệp vừa/nhỏ

ハニーポット (Honeypot)

• Định nghĩa: hệ thống MỒI NHỬ được cố tình dựng lên, giả trông giống hệ thống thật có lỗ hổng dễ khai thác, nhằm THU HÚT kẻ tấn công tấn công vào đó thay vì hệ thống thật
• Mục đích kép: (1) làm kẻ tấn công tốn thời gian/công sức vào mục tiêu giả, bảo vệ hệ thống thật; (2) quan sát và GHI LẠI toàn bộ kỹ thuật/công cụ kẻ tấn công dùng, giúp tổ chức hiểu rõ phương thức tấn công mới để cải thiện phòng thủ
• Liên hệ: dữ liệu thu thập từ honeypot là nguồn thông tin quý cho hoạt động 情報セキュリティに関する啓発活動 và 再発防止のための提言 (đã học ở phần tổ chức) — nhiều cơ quan như JPCERT/CC dùng honeypot để nắm xu hướng tấn công mới trên diện rộng

プロキシサーバ vs リバースプロキシサーバ — bẫy hay bị hỏi ngược

• プロキシサーバ (Forward Proxy): đứng ở PHÍA CLIENT, đại diện cho client (bên trong mạng nội bộ) gửi yêu cầu RA NGOÀI Internet — dùng để kiểm soát/lọc truy cập của nhân viên ra ngoài (liên hệ URL フィルタリング đã học), che giấu IP thật của client
• リバースプロキシ (Reverse Proxy): đứng ở PHÍA SERVER, đại diện cho server nhận yêu cầu TỪ NGOÀI VÀO — người dùng bên ngoài chỉ nhìn thấy reverse proxy, không bao giờ tiếp xúc trực tiếp với server thật bên trong; thường kiêm thêm vai trò cân bằng tải (load balancing) và che giấu cấu trúc hạ tầng thật
• Bẫy hay ra thi: đề mô tả 1 trong 2 chiều ("đại diện cho client ra ngoài" hay "đại diện cho server nhận từ ngoài vào") rồi hỏi tên đúng — chìa khóa nhớ là PROXY THƯỜNG (forward) đứng về phía CLIENT, còn REVERSE PROXY đứng về phía SERVER (ngược hướng bảo vệ với proxy thường)

データベース暗号化 (DB Encryption)

• Định nghĩa: mã hóa dữ liệu lưu trữ trong database để dù bên thứ ba (kẻ tấn công, người đánh cắp thiết bị/bản backup) đọc được file dữ liệu thô, cũng KHÔNG thể giải mã và đọc được nội dung
• Liên hệ: cùng nhóm nguyên lý với ストレージ/ファイル暗号化 đã học ở mục 4 — chỉ khác ở PHẠM VI áp dụng (toàn bộ ổ đĩa/file vs riêng dữ liệu trong DB)

データベースアクセス制御 (DB Access Control)

• Định nghĩa: giới hạn quyền truy cập vào dữ liệu trong DB theo nguyên tắc đặc quyền tối thiểu (đã học ở アクセス制御/PAM) — không phải mọi user có quyền truy cập DB đều cần thấy TOÀN BỘ bảng/cột, mà chỉ những gì cần thiết cho công việc.
• Đơn vị kiểm soát cụ thể: theo bảng (テーブル), theo cột (カラム — VD: ẩn cột lương), theo hàng/dòng dữ liệu (レコード — VD: nhân viên chi nhánh A chỉ xem được dữ liệu chi nhánh A), thường thiết lập qua GRANT/REVOKE quyền SELECT/INSERT/UPDATE/DELETE cho từng user/role.

データベースのバックアップ (DB Backup)

• Backup phải chống được đồng thời NHIỀU loại rủi ro — vừa lỗi logic (dữ liệu bị hỏng/bị mã hóa bởi ransomware) vừa hỏng VẬT LÝ (băng từ/thiết bị lưu backup bị hư)
• Bẫy hay ra thi: đề hay cho tình huống chỉ lưu backup trên băng từ đặt CẠNH máy chủ — đây là SAI vì nếu xảy ra thảm họa vật lý (cháy, ngập) tại địa điểm đó thì mất luôn CẢ dữ liệu gốc LẬN backup → đáp án đúng thường là lưu thêm 1 bản ở ĐỊA ĐIỂM KHÁC (liên hệ trực tiếp nguyên tắc backup 3-2-1 đã học ở phần quản lý rủi ro)
• Backup cũng phải được BẢO VỆ tương đương dữ liệu gốc (mã hóa backup, kiểm soát ai được truy cập) — nếu không, chính backup lại trở thành 1 lỗ hổng rò rỉ dữ liệu mới

ログの取得 (Thu thập nhật ký DB)

• Ghi lại AI đã làm GÌ, KHI NÀO, với dữ liệu/thao tác nào trên hệ thống database
• Bẫy hay ra thi: chỉ thu thập log thôi là CHƯA ĐỦ — phải có cơ chế GIÁM SÁT/RÀ SOÁT ĐỊNH KỲ log đó (áp dụng nguyên tắc đã học ở ログ管理), nếu không thì log chỉ tồn tại mà không ai phát hiện bất thường — đề hay đánh vào việc tổ chức CÓ ghi log nhưng KHÔNG AI xem
• Log cần được bảo vệ khỏi bị SỪA ĐỔI/XÓA, kể cả bởi chính người có quyền quản trị cao (để chống nội gian có quyền cao tự xóa dấu vết)

セキュアプログラミング (Lập trình an toàn) — nguyên tắc nền

• Định nghĩa: nguyên tắc/kỹ thuật viết mã nguồn sao cho hạn chế tối đa lỗ hổng ngay từ giai đoạn PHÁT TRIỂN, thay vì chỉ vá lỗi sau khi bị tấn công — cùng tinh thần với セキュアバイデザイン đã học ở mục 1
• Nguyên tắc cốt lõi (áp dụng cho CẢ 3 loại tấn công bên dưới): mọi INPUT từ người dùng đều phải được coi là KHÔNG đáng tin cậy — không kiểm tra đầu vào chính là NGUỒN GỐC của hầu hết lỗ hổng web (buffer overflow, XSS, SQL injection đều xuất phát từ việc không kiểm tra/xử lý đúng dữ liệu đầu vào)

バッファオーバーフロー (Buffer Overflow) & 対策

• Định nghĩa tấn công: kẻ tấn công gửi vào chương trình 1 lượng dữ liệu LỚN HƠN kích thước vùng nhớ đệm (buffer) đã cấp phát, khiến phần dư tràn ra và GHI ĐÈ lên vùng nhớ liền kề (có thể là địa chỉ trả về của hàm) — từ đó kẻ tấn công có thể chèn và thực thi mã độc, chiếm quyền điều khiển hệ thống
• Biện pháp đối phó: 境界チェック (bounds checking) — kiểm tra độ dài dữ liệu đầu vào TRƯỚC khi ghi vào buffer, không cho ghi vượt quá kích thước đã cấp; hoặc dùng ngôn ngữ có cơ chế tự kiểm tra biên mảng (Java/.NET) thay vì C/C++ (vốn không tự kiểm tra, dễ dính lỗi này)
• Bẫy hay ra thi: đây là lỗ hổng ở tầng bộ nhớ (memory), khác với XSS/SQL Injection là lỗ hổng ở tầng ứng dụng/database — đề hay gắn Buffer Overflow với ngôn ngữ C/C++ cụ thể

クロスサイトスクリプティング (XSS) & 対策

• Định nghĩa: kẻ tấn công chèn 1 đoạn SCRIPT độc hại vào trang Web (qua ô nhập liệu, tham số URL...) mà không bị lọc — khi nạn nhân KHÁC truy cập trang đó, đoạn script tự động chạy trên trình duyệt của họ — mục tiêu thường là đánh cắp cookie/session (session hijacking), giả mạo giao diện, hoặc chuyển hướng đến trang lừa đảo
• Biện pháp đối phó: サニタイジング/エスケープ処理 — chuyển đổi ký tự đặc biệt của HTML (<, >, ") thành dạng KHÔNG thể thực thi được, trước khi hiển thị dữ liệu input của người dùng lên trang
• Liên hệ: đây chính là 1 trong những kiểu tấn công WAF (đã học ở mục 4) chuyên chặn ở tầng ứng dụng (tầng 7) mà Firewall thường KHÔNG phát hiện được

SQL インジェクション (SQL Injection) & 対策

• Định nghĩa: kẻ tấn công chèn ký tự/câu lệnh SQL đặc biệt vào ô nhập liệu (ô đăng nhập, ô tìm kiếm...), khiến ứng dụng vô tình ghép chuỗi input đó vào câu truy vấn SQL gốc và thực thi 1 câu lệnh KHÁC ý định ban đầu của lập trình viên — mục tiêu là đọc/sửa/xóa trái phép dữ liệu DB, hoặc bỏ qua xác thực đăng nhập
• Biện pháp đối phó: vô hiệu hóa ý nghĩa đặc biệt của ký tự dùng trong câu lệnh SQL (như dấu nháy đơn ') trước khi đưa vào truy vấn, hoặc dùng cách xây dựng câu lệnh (準備された文/prepared statement) sao cho input người dùng KHÔNG thể làm thay đổi cấu trúc câu lệnh gốc
• Bẫy hay ra thi (bẫy quan trọng nhất của A1.5): đề hay cho 3 mô tả tương tự nhau ("chèn dữ liệu vào ô nhập liệu") rồi hỏi phân biệt 3 loại tấn công — chìa khóa: XSS nhắm đến trình duyệt người dùng KHÁC (nạn nhân là người truy cập sau), SQL Injection nhắm đến DATABASE (nạn nhân là dữ liệu lưu trữ), Buffer Overflow nhắm đến bộ nhớ chương trình (nạn nhân là chính tiến trình đang chạy)

著作権法 (Luật Bản quyền) — đối tượng bảo hộ

• Nguyên tắc xuyên suốt cần nhớ TRƯỚC: luật bản quyền chỉ bảo hộ HÌNH THỨC THỂ HIỆN cụ thể, KHÔNG bảo hộ Ý TƯỞNG mang tính trỪu tượng đằng sau nó
• KHÔNG thuộc đối tượng bảo hộ (3 thứ): プログラム言語 (bản thân ngôn ngữ lập trình như Python/Java) / 規約 (quy ước, giao thức, interface) / 解法 (giải pháp/thuật toán — アルゴリズム)
• ĐƯỢC bảo hộ: mã nguồn chương trình cụ thể (ソースプログラム), tài liệu đặc tả/hướng dẫn sử dụng (仕様書, マニュアル), cơ sở dữ liệu
• Bẫy hay ra thi: thuật toán (ý tưởng) thì KHÔNG được bảo hộ, nhưng VĂN BẢN/TÀI LIỆU MÔ TẢ thuật toán đó lại ĐƯỢC bảo hộ (vì bản thân tài liệu là 1 tác phẩm viết) — đề hay đánh đúng vào điểm tinh vi này

コピープロテクト外し (Vô hiệu hóa biện pháp chống sao chép)

• Định nghĩa: hành vi vô hiệu hóa 技術的保護手段 (biện pháp bảo hộ kỹ thuật — tín hiệu, mã hóa...) mà chủ sở hữu quyền dùng để ngăn sao chép trái phép (VD: copy-guard trên CD/DVD, DRM)
• Điểm quan trọng nhất (bẫy hay ra thi): dù việc sao chép là "cho mục đích sử dụng cá nhân" (私的使用 — vốn thường được luật cho phép) nhưng nếu thực hiện bằng cách gỡ bỏ/vô hiệu hóa biện pháp bảo hộ kỹ thuật thì VẪN BỊ coi là VI PHẠM PHÁP LUẬT
• Không chỉ người trực tiếp gỡ bỏ mới vi phạm — bán/cho thuê/sản xuất/nhập khẩu thiết bị/phần mềm có chức năng gỡ copy-guard, hay kinh doanh dịch vụ gỡ theo yêu cầu khách hàng, cũng đều bị xử phạt

不正競争防止法 (Luật Chống Cạnh tranh Không lành mạnh)

• 営業秘密 (Bí mật kinh doanh) — cần ĐỦ 3 tính chất mới được công nhận là 営業秘密 theo luật (học thuộc 3 chữ — hay ra thi dạng điền khuyết):
  • 秘密管理性 (tính quản lý bí mật): doanh nghiệp phải THỰC SỰ quản lý thông tin đó như 1 bí mật (giới hạn người tiếp cận, đánh dấu rõ ràng) — không đơn thuần là thông tin chưa ai biết
  • 有用性 (tính hữu ích): thông tin phải có giá trị cho hoạt động kinh doanh
  • 非公知性 (tính không công khai): thông tin không được biết đến rộng rãi ra bên ngoài
  • Hành vi trộm/tiết lộ/sử dụng trái phép 営業秘密 có thể bị xử lý HÌNH SỰ (phạt tiền, phạt tù), không chỉ dừng ở trách nhiệm dân sự (bồi thường)
• ドメイン名の不正取得 (Chiếm đoạt tên miền trái phép): đăng ký/sử dụng tên miền giống/tương tự thương hiệu/nhãn hiệu nổi tiếng của người khác, với mục đích trục lợi bất chính hoặc gây thiệt hại (図利加害目的)
• Bẫy hay ra thi: dễ nhầm với 商標法 (Luật Nhãn hiệu) — điểm khác biệt cốt lõi: 不正競争防止法 xử lý hành vi cạnh tranh không lành mạnh NÓI CHUNG (KHÔNG cần đăng ký bảo hộ trước), còn 商標法 chỉ bảo hộ nhãn hiệu ĐÃ ĐĂNG KÝ chính thức

サイバーセキュリティ基本法 → 戦略 → 協議会 — chuỗi quan hệ cấp bậc

• サイバーセキュリティ基本法 (Luật Cơ bản về An ninh mạng): xác định triết lý cơ bản & trách nhiệm của Nhà nước + chính quyền địa phương (地方公共団体) trong việc thúc đẩy chính sách an ninh mạng — KHÔNG phải chỉ riêng Nhà nước hay chỉ riêng doanh nghiệp viễn thông
• Định nghĩa hay ra thi: luật định nghĩa "thông tin" được bảo vệ là thông tin được ghi/phát/truyền/nhận bằng phương thức ĐIỆN TỬ, và "an ninh mạng" là việc đảm bảo tính an toàn/tin cậy của những thông tin đó
• Bẫy hay ra thi: trách nhiệm LẬP KẾ HOẠCH và THỰC THI chính sách thuộc về NHÀ NƯỚC (Điều 4), KHÔNG phải chính quyền địa phương; chính quyền địa phương cũng KHÔNG được xếp vào nhóm 重要社会基盤事業者 (nhà khai thác hạ tầng xã hội trọng yếu — chỉ gồm đường bộ/đường sắt/cấp thoát nước/lưới điện/cảng/đập/viễn thông)
• Luật cũng quy định nghĩa vụ của NGƯỜI DÂN (国民): phải nâng cao nhận thức về tầm quan trọng của an ninh mạng — điểm hay bị bỏ qua vì mọi người thường chỉ nghĩ luật này chỉ liên quan Nhà nước/doanh nghiệp
• サイバーセキュリティ戦略 (Chiến lược An ninh mạng): văn kiện chiến lược quốc gia xây dựng DỰA TRÊN căn cứ pháp lý của サイバーセキュリティ基本法, do Nội các Nhật Bản quyết định, đề ra phương hướng chính sách tổng thể trong 1 giai đoạn nhất định
• サイバーセキュリティ協議会 (Hội đồng An ninh mạng): thành lập theo bản sửa đổi luật 2018 (hiệu lực 2019) — tổ chức để CÁC BÊN LIÊN QUAN (cơ quan hành chính, chính quyền địa phương, nhà khai thác hạ tầng trọng yếu, doanh nghiệp, cơ quan nghiên cứu, chuyên gia...) chia sẻ thông tin & cùng bàn biện pháp đối phó — thành viên gồm cả KHU VỰC CÔNG lẫn KHU VỰC TƯ, có nghĩa vụ bảo mật thông tin & hợp tác cung cấp thông tin cho hội đồng
• Chuỗi quan hệ cần nhớ (hay ra thi dạng điền thứ tự): サイバーセキュリティ基本法 (luật nền, quy định trách nhiệm) → サイバーセキュリティ戦略 (cụ thể hóa luật thành chiến lược, do Nội các quyết định) → サイバーセキュリティ協議会 (cơ chế/tổ chức để các bên phối hợp thực thi)

不正アクセス禁止法 (Luật Cấm truy cập trái phép)

• Định nghĩa tổng quát: cấm hành vi truy cập trái phép vào máy tính qua mạng, cùng các hành vi liên quan như lấy trộm/lưu trữ trái phép thông tin xác thực, và hành vi tiếp tay/thúc đẩy cho việc truy cập trái phép đó

アクセス制御機能 (Chức năng kiểm soát truy cập)

• Định nghĩa: cơ chế do quản trị viên hệ thống (アクセス管理者) thiết lập để giới hạn người dùng được phép sử dụng 1 số chức năng nhất định của máy tính — thông thường qua việc yêu cầu nhập 識別符号 (mã định danh, VD: ID/mật khẩu) — đây chính là "đối tượng bị nhắm tới" mà toàn bộ luật này xoay quanh bảo vệ

不正アクセス行為 (Hành vi truy cập trái phép) — 3 điều kiện & 5 nhóm hành vi bị cấm

• 3 điều kiện cấu thành hành vi truy cập trái phép (học thuộc để đối chiếu tình huống đề thi): (1) truy cập vào máy tính thông qua MẠNG, (2) nhập thông tin xác thực của NGƯỜI KHÁC mà KHÔNG được sự đồng ý, và (3) qua đó khiến chức năng bị giới hạn bởi アクセス制御機能 trở nên sử dụng được
• 5 nhóm hành vi bị cấm cụ thể (bẫy hay ra thi: dễ nhầm lẫn giữa các điều khoản):
  • Bản thân hành vi truy cập trái phép (dùng ID/PW người khác để vào hệ thống)
  • Lấy trộm thông tin xác thực của người khác (Điều 4)
  • Lưu trữ trái phép thông tin xác thực của người khác (Điều 6)
  • Cung cấp thông tin xác thực cho bên thứ ba (Điều 5) — đây chính là 助長する行為 ở mục dưới
  • Yêu cầu người dùng nhập thông tin xác thực 1 cách trái phép, VD lập trang giả mạo phishing để lừa nhập ID/PW (Điều 7)

不正アクセス行為を助長する行為 (Hành vi tiếp tay/thúc đẩy truy cập trái phép)

• Định nghĩa: hành vi cung cấp mã định danh (ID/mật khẩu) của người khác cho bên thứ ba KHÔNG phải là quản trị viên hệ thống hay chính chủ tài khoản đó
• Bẫy hay ra thi: CHỈ CẦN cung cấp/tiết lộ ID-mật khẩu của người khác (nói miệng, gửi email, đăng lên diễn đàn) — dù bản thân người cung cấp KHÔNG tự mình truy cập trái phép — vẫn đã vi phạm luật ở điều khoản RIÊNG (助長行為), tách biệt với hành vi 不正アクセス行為 chính
• Ngoại lệ: nếu cung cấp vì lý do công việc chính đáng (業務その他正当な理由) thì KHÔNG bị coi là vi phạm — đề hay cho tình huống quản trị viên chia sẻ thông tin đăng nhập cho đúng người có thẩm quyền để kiểm tra bạn phân biệt trường hợp hợp pháp

個人情報保護法 (Luật Bảo vệ Thông tin Cá nhân) — nền tảng

• Mục đích: quy định việc thu thập/sử dụng/quản lý/cung cấp thông tin cá nhân ĐÚNG ĐẮN, vừa bảo vệ quyền lợi cá nhân vừa tạo điều kiện cho việc sử dụng hữu ích dữ liệu trong hoạt động kinh tế-xã hội (LUẬT NÀY KHÔNG CẤM hoàn toàn việc dùng dữ liệu cá nhân — chỉ yêu cầu dùng đúng cách)
• 個人情報 (thông tin cá nhân) được định nghĩa gồm 2 loại: (1) thông tin về 1 cá nhân CÒN SỐNG mà qua tên/ngày sinh/mô tả khác có thể XÁC ĐỊNH được cá nhân cụ thể, hoặc (2) thông tin có chứa MÃ ĐỊNH DANH CÁ NHÂN (VD: My Number, số hộ chiếu)

個人情報取扱事業者 (Doanh nghiệp xử lý thông tin cá nhân)

• Phạm vi áp dụng: MỌI doanh nghiệp xử lý dữ liệu cá nhân đều là đối tượng áp dụng, KỂ CẢ doanh nghiệp rất nhỏ (bẫy: không có ngưỡng miễn trừ theo quy mô như một số luật khác)
• Nghĩa vụ chính: thu thập HỢP PHÁP (không dùng thủ đoạn gian dối), thông báo/công bố MỤC ĐÍCH sử dụng, và triển khai 安全管理措置

安全管理措置 (Biện pháp quản lý an toàn) — 4 loại (học thuộc để điền khuyết)

• 組織的安全管理措置 (biện pháp TỔ CHỨC): quy định rõ trách nhiệm, quy trình xử lý dữ liệu theo từng giai đoạn (thu thập → sử dụng → lưu trữ → cung cấp → xóa/hủy)
• 人的安全管理措置 (biện pháp con người): đào tạo, cam kết bảo mật với nhân viên
• 物理的安全管理措置 (biện pháp VẬT LÝ): kiểm soát ra vào khu vực xử lý dữ liệu, khóa/mã hóa thiết bị lưu trữ để chống mất/trộm
• 技術的安全管理措置 (biện pháp KỸ THUẬT): chống truy cập trái phép, chống phần mềm độc hại từ bên ngoài
• Bẫy hay ra thi: đề hay cho 1 tình huống cụ thể (VD: khóa cửa phòng server, hay huấn luyện nhân viên) rồi hỏi thuộc loại nào trong 4 loại — cần phân biệt rõ TỔ CHỨC (quy định/quy trình) với KỸ THUẬT (công cụ/hệ thống thực tế)

個人情報保護委員会 (Ủy ban Bảo vệ Thông tin Cá nhân — PPC)

• Định nghĩa: cơ quan hành chính ĐỘC LẬP của Nhật Bản (thành lập năm 2016), có thẩm quyền GIÁM SÁT việc thực thi luật, ban hành hướng dẫn (ガイドライン), điều tra, chỉ đạo/khuyến cáo và XỬ PHẠT doanh nghiệp vi phạm
• 個人情報保護に関するガイドライン (Hướng dẫn thực thi luật): văn bản do PPC ban hành, giải thích CỤ THỂ cách áp dụng điều khoản luật vào thực tế (VD: 通則編 — hướng dẫn chung) — giúp doanh nghiệp hiểu và tuân thủ đúng luật

要配慮個人情報 (Thông tin cá nhân cần lưu ý đặc biệt)

• Định nghĩa: nhóm thông tin cá nhân NHẠY CẢM, dễ dẫn đến phân biệt đối xử/định kiến nếu bị rò rỉ — gồm chủng tộc, tín ngưỡng, tiền sử bệnh, tiền án tiền sự và thông tin nhạy cảm khác về cá nhân
• Bẫy hay ra thi: khi thu thập loại thông tin này, BẮT BUỘC phải có sự đồng ý TRƯỚC (事前同意) của chính chủ — khác với quy tắc オプトアウト áp dụng cho thông tin cá nhân THÔNG THƯỜNG (xem mục dưới)

第三者提供 (Cung cấp cho bên thứ ba) & オプトイン vs オプトアウト

• 第三者提供: việc 個人情報取扱事業者 chuyển giao dữ liệu cá nhân cho 1 tổ chức/cá nhân khác ngoài phạm vi nội bộ doanh nghiệp — nguyên tắc BẮT BUỘC phải có sự đồng ý trước của chính chủ (本人の同意)
• オプトイン (Opt-in): nguyên tắc mặc định của luật — doanh nghiệp chỉ được cung cấp thông tin cho bên thứ ba SAU KHI nhận được sự đồng ý rõ ràng, TRƯỚC từ chính chủ
• オプトアウト (Opt-out): cơ chế NGOẠI LỆ cho phép doanh nghiệp cung cấp thông tin mà KHÔNG cần xin đồng ý trước, miễn là đã THÔNG BÁO trước và tạo điều kiện để chủ thể có thể YÊU CẦU DỪNG bất cứ lúc nào — nếu không phản đối thì coi như đồng ý ngầm
• Bẫy hay ra thi: オプトアウト là NGOẠI LỆ, KHÔNG áp dụng cho 要配慮個人情報 (những thông tin nhạy cảm luôn cần opt-in bắt buộc, không được dùng opt-out)

匿名加工情報 vs 仮名加工情報 — bẫy phân biệt kinh điển

• 匿名加工情報 (Thông tin ẩn danh hóa): đã xử lý sao cho KHÔNG thể xác định được cá nhân VÀ KHÔNG thể khôi phục lại thông tin gốc — mang tính KHÔNG THỂ ĐẢO NGƯỢC (非可逆的)
  • ĐƯỢC PHÉP cung cấp cho bên thứ ba mà KHÔNG cần đồng ý của chủ thể (vì không còn được coi là "thông tin cá nhân" nữa) — chỉ cần công khai trước danh mục dữ liệu và cách thức cung cấp
• 仮名加工情報 (Thông tin giả danh hóa): đã xử lý sao cho KHÔNG thể xác định cá nhân NẾU CHỈ DÙNG RIÊNG thông tin đó, nhưng nếu đối chiếu với thông tin khác thì VẪN có thể khôi phục/xác định được — mang tính CÓ THỂ ĐẢO NGƯỢC (可逆的)
  • NGUYÊN TẮC KHÔNG ĐƯỢC PHÉP cung cấp cho bên thứ ba — KỂ CẢ khi đã xin được sự đồng ý của chủ thể cũng KHÔNG thay đổi được nguyên tắc cấm này
• Bẫy hay ra thi (quan trọng nhất): 匿名加工情報 hướng tới CÔNG BỐ/CHIA Sẻ ra ngoài (VD: cung cấp cho nghiên cứu, đối tác); 仮名加工情報 hướng tới PHÂN TÍCH NỘI BỘ trong chính doanh nghiệp, giảm rủi ro nếu bị rò rỉ nhưng vẫn giữ độ chi tiết hữu ích cho phân tích

マイナンバー法 (Luật Số định danh cá nhân) & 特定個人情報

• マイナンバー: số định danh cá nhân gồm 12 chữ số, cấp cho mọi công dân/cư dân Nhật Bản
• 特定個人情報 (Thông tin cá nhân đặc định): thuật ngữ pháp lý chỉ thông tin cá nhân có CHỨA マイナンバー
• Bẫy hay ra thi: マイナンバー法 KHÔNG THAY THẾ 個人情報保護法, mà là quy định đặc lệ (特例) áp dụng RIÊNG cho 特定個人情報 — doanh nghiệp KHÔNG được tự ý sử dụng mã số này cho mục đích khác ngoài phạm vi luật cho phép, DÙ có được sự đồng ý của chủ thể đi nữa
• 特定個人情報保護評価 (PIA cho マイナンバー): quy trình mà cơ quan hành chính nhà nước/địa phương (KHÔNG áp dụng cho doanh nghiệp tư nhân thông thường) phải thực hiện TRƯỚC khi nắm giữ hồ sơ chứa 特定個人情報: dự đoán tác động → phân tích rủi ro → cam kết biện pháp giảm thiểu → công khai — tương đương khái niệm quốc tế PIA (Privacy Impact Assessment)

JIS Q 15001 & プライバシーマーク

• JIS Q 15001: tiêu chuẩn công nghiệp Nhật Bản (dựa trên khung PDCA giống ISO 9001/14001/27001) quy định yêu cầu về hệ thống quản lý bảo vệ thông tin cá nhân (個人情報保護マネジメントシステム, PMS) mà 1 tổ chức cần xây dựng
• Quan hệ giữa 2 khái niệm (bẫy hay ra thi): JIS Q 15001 là TIÊU CHUẦN (bộ yêu cầu), còn プライバシーマーク là CHỨNG NHẬN (kết quả đạt được khi thỏa mãn tiêu chuẩn đó) — không được lẫn lộn 2 vai trò này
• điểm phân biệt quan trọng nhất với luật: 個人情報保護法 là luật BẮT BUỘC (cưỡng chế) áp dụng cho mọi doanh nghiệp xử lý dữ liệu cá nhân, còn JIS Q 15001/Pマーク là chế độ TỰ NGUYỆN, dành cho doanh nghiệp muốn chứng minh mức độ bảo vệ cao hơn yêu cầu tối thiểu của luật

OECD プライバシーガイドライン — 8 nguyên tắc (8 原則) gốc tư tưởng

• Định nghĩa: 8 nguyên tắc cơ bản về bảo vệ thông tin cá nhân trong luồng dữ liệu quốc tế — được coi là NỀN TẢNG LỊCH SỬ/TƯ TƯỞNG GỐC cho hầu hết luật bảo vệ dữ liệu cá nhân hiện đại trên thế giới, bao gồm cả 個人情報保護法 của Nhật Bản và GDPR của châu Âu sau này
• Lưu ý: đây là văn kiện mang tính HƯỚNG DẪN/khuyến nghị, KHÔNG phải luật có tính cưỡng chế pháp lý

プライバシーフレームワーク (Khung Bảo vệ Riêng tư)

• Tiêu chuẩn quốc tế ISO/IEC 29100 (tương đương JIS X 9250 tại Nhật) — khung khái niệm/thuật ngữ chung mang tính quốc tế, KHÔNG quy định biện pháp kỹ thuật cụ thể

PIA (Privacy Impact Assessment — Đánh giá Tác động Riêng tư)

• Định nghĩa: quy trình đánh giá TRƯỚC mức độ ảnh hưởng đến quyền riêng tư của chủ thể thông tin, thực hiện khi lên kế hoạch/xây dựng/sửa đổi 1 hệ thống thông tin có thu thập dữ liệu cá nhân
• Bẫy hay ra thi: PIA là đánh giá CHỦ ĐỘNG, TRƯỚC KHI xảy ra vấn đề (phòng ngừa) — khác với việc xử lý sự cố rò rỉ dữ liệu SAU KHI đã xảy ra

GDPR (General Data Protection Regulation — Quy định Bảo vệ Dữ liệu chung EU)

• Định nghĩa: quy định bảo vệ dữ liệu cá nhân của Liên minh châu Âu (EU), hiệu lực từ 2018 — được coi là một trong những luật bảo vệ dữ liệu nghiêm ngặt nhất thế giới hiện nay
• Bẫy hay ra thi (đặc điểm quan trọng nhất): GDPR có hiệu lực ÁP DỤNG NGOÀI LÃNH THỔ (域外適用) — tức là NGAY CẢ doanh nghiệp Nhật Bản KHÔNG đặt trụ sở tại EU, nếu xử lý dữ liệu cá nhân của người trong EU (VD: bán hàng online cho khách EU) vẫn PHẢI TUÂN THỦ GDPR

不正指令電磁的記録に関する罪 ("Tội tạo virus" — ウイルス作成罪)

• Định nghĩa: tội tạo ra, cung cấp, cho thực thi, lấy được hoặc lưu trữ chương trình/bản ghi điện từ khiến máy tính hoạt động trái ý định người dùng, mà KHÔNG CÓ lý do chính đáng (正当な理由がない) — bổ sung vào Hình pháp năm 2011.
• Bẫy hay ra thi: nhà nghiên cứu bảo mật phân tích mã độc trong phạm vi công việc hợp pháp KHÔNG cấu thành tội này, vì có "lý do chính đáng" — đề hay cho tình huống để thí sinh phân biệt ý đồ (ác ý vs nghiên cứu).

電子計算機使用詐欺罪 (Tội lừa đảo dùng máy tính)

• Định nghĩa: đưa thông tin giả/lệnh bất chính vào máy tính xử lý nghiệp vụ, tạo ra bản ghi điện từ sai sự thật liên quan đến được/mất quyền tài sản (VD: tự ý tăng số dư tài khoản), từ đó trục lợi bất hợp pháp.
• Bẫy hay ra thi: khác 詐欺罪 (tội lừa đảo thông thường) ở chỗ đối tượng bị lừa là MÁY TÍNH/HỆ THỐNG, không phải CON NGƯỜI trực tiếp ra quyết định giao tài sản — đề hay cho tình huống gian lận ATM/chuyển khoản online để test phân biệt 2 tội.

電子計算機損壊等業務妨害罪 (Tội cản trở nghiệp vụ bằng phá hoại máy tính)

• Định nghĩa: phá hoại máy tính/bản ghi điện từ, hoặc đưa thông tin giả/lệnh bất chính khiến máy tính hoạt động trái mục đích, từ đó cản trở nghiệp vụ của người khác.
• Bẫy hay ra thi: đây là tội danh chuẩn áp cho tấn công DoS/DDoS, xóa/phá dữ liệu hệ thống, chỉnh sửa trái phép website công ty gây gián đoạn dịch vụ — đề hay hỏi "hành vi này cấu thành tội gì?" với tình huống kiểu này.

電磁的記録不正作出及び供用罪 (Tội tạo lập & sử dụng trái phép bản ghi điện từ)

• Định nghĩa: tạo trái phép bản ghi điện từ liên quan quyền/nghĩa vụ hoặc sự thật có ý nghĩa chứng minh (VD: giả mạo hồ sơ điện tử), và/hoặc dùng bản ghi giả đó trong xử lý nghiệp vụ của người khác.

支払用カード電磁的記録不正作出等罪 (Tội tạo lập trái phép bản ghi điện từ thẻ thanh toán)

• Định nghĩa: tạo trái phép bản ghi điện từ cấu thành thẻ tín dụng/thẻ ATM/thẻ thanh toán khác (VD: làm thẻ giả, sao chép dữ liệu thẻ).
• Bẫy hay ra thi: đây là tội RIÊNG, tách khỏi 電磁的記録不正作出罪 tổng quát ở trên vì mức độ phổ biến & nghiêm trọng của tội phạm thẻ thanh toán — hình phạt nặng hơn hẳn (tối đa 10 năm tù). Đề hay hỏi "vì sao có 2 điều luật riêng cho cùng bản chất hành vi?"

電子署名法 (電子署名及び認証業務等に関する法律)

• Định nghĩa: văn bản điện tử có chữ ký điện tử hợp lệ được công nhận giá trị pháp lý tương đương văn bản có con dấu/chữ ký tay.
• Bẫy hay ra thi — 3 cấp độ nghiệp vụ chứng thực (từ thấp đến cao, đề hay cho bẫy đảo thứ tự hoặc lẫn lộn tên gọi):
  • 認証業務: nghiệp vụ chứng thực nói chung, không yêu cầu tiêu chuẩn đặc biệt
  • 特定認証業務: đáp ứng tiêu chuẩn kỹ thuật an toàn nhất định (thường dùng mã hóa khóa công khai)
  • 認定認証業務: được Nhà nước chính thức công nhận (認定) — mức tin cậy cao nhất

特定電子メール法 (Luật Email quảng cáo đặc định)

• Định nghĩa: luật quy định việc gửi email quảng cáo/khuyến mại hàng loạt (đặc定電子メール), nhằm chống spam.
• Bẫy hay ra thi: áp dụng nguyên tắc オプトイン (cùng khái niệm đã học ở 個人情報保護法) — về nguyên tắc CẤM gửi email quảng cáo cho người CHƯA đồng ý trước; đừng nhầm với オプトアウト.

情報流通プラットフォーム対処法 (Luật Xử lý Nền tảng Lưu thông Thông tin)

• Định nghĩa: luật đối phó thông tin bất hợp pháp/có hại lưu hành trên Internet (tin giả, phỉ báng...), buộc nhà cung cấp nền tảng (プラットフォーム事業者, VD: SNS, diễn đàn) có trách nhiệm xóa nội dung vi phạm, ngăn chặn lan truyền, phản hồi yêu cầu tiết lộ thông tin người vi phạm khi hợp lệ.
• Bẫy hay ra thi: đối tượng chịu trách nhiệm PHÁP LÝ chính là NHÀ CUNG CẤP NỀN TẢNG (bên vận hành dịch vụ), KHÔNG phải người dùng cá nhân đăng nội dung — đề hay hỏi "ai có nghĩa vụ theo luật này?"

就業規則 (Nội quy lao động) — theo 労働基準法

• Định nghĩa: văn bản do doanh nghiệp lập quy định điều kiện lao động (giờ làm, lương, kỷ luật...), bắt buộc với doanh nghiệp đơn vị thường xuyên sử dụng "常時 10 人以上" lao động.
• Bẫy hay ra thi:
  • "常時 10 人以上" tính theo TRẠNG THÁI THÔNG THƯờNG, không phải số lượng tại 1 thời điểm — bình thường dưới 10 người, chỉ tăng lên mùa cao điểm thì KHÔNG bắt buộc; ngược lại bình thường ≥10 người, có lúc tạm giảm dưới 10 vẫn THUỘC diện bắt buộc.
  • Tính cả nhân viên chính thức lẫn bán thời gian, nhưng KHÔNG tính lao động phái cử (họ được tính vào phía công ty phái cử, không phải nơi đang làm việc thực tế).
  • Khi sửa đổi/bổ sung quy định vào 就業規則, phải lắng nghe ý kiến công đoàn/đại diện đa số người lao động — tự ý bổ sung quy định kỷ luật mà không hỏi ý kiến là vi phạm luật.
  • Thỏa thuận riêng với từng cá nhân (VD: cam kết bảo mật) KHÔNG được đặt điều kiện bất lợi hơn so với 就業規則 chung — nếu có, thỏa thuận đó vô hiệu.

労働者派遣法 (Luật Phái cử Lao động) — phân biệt 3 hình thức sử dụng lao động ngoài

• Chìa khóa phân biệt: 雇用関係 (ai trả lương/là chủ sử dụng lao động chính thức) vs 指揮命令関係 (ai TRỰC TIẾP ra lệnh công việc hàng ngày).
• 派遣契約 (hợp đồng phái cử): 雇用関係 ở 派遣元 (công ty phái cử) — 指揮命令関係 ở 派遣先 (công ty tiếp nhận) → 2 quan hệ TÁCH BIỆT.
• 請負契約 (hợp đồng khoán việc): CẢ 雇用関係 lẫn 指揮命令関係 đều thuộc về công ty nhận khoán — công ty đặt hàng KHÔNG được trực tiếp ra lệnh cho lao động bên nhận khoán.
• 出向 (biệt phái): người lao động ký hợp đồng MỚI với công ty nơi biệt phái đến — cả 雇用関係 lẫn 指揮命令関係 đều nằm ở công ty tiếp nhận (khác 派遣 ở chỗ 2 quan hệ gộp chung, không tách).
• 偽装請負 (Khoán việc trá hình) — Bẫy kinh điển nhất: hợp đồng giấy tờ ghi là 請負契約, nhưng THỰC TẾ bên đặt hàng lại trực tiếp chỉ huy lao động bên nhận khoán — vi phạm pháp luật dù tên hợp đồng là gì.
• Quy tắc bổ sung: 派遣先 KHÔNG được tự ý phỏng vấn trước/chọn hồ sơ/chỉ định đích danh lao động phái cử muốn nhận; thời hạn làm việc của 1 lao động phái cử tại CÙNG 1 đơn vị tổ chức của 派遣先 bị GIỚI HẠN TỐI ĐA 3 NĂM.

準委任契約 vs 請負契約 — so sánh trọng tâm (rất hay ra thi)

• 請負契約: mục đích là HOÀN THÀNH 1 sản phẩm/công việc cụ thể (成果物) — bên nhận phải giao nộp đúng sản phẩm hoàn chỉnh, chịu trách nhiệm nếu sản phẩm có lỗi (契約不適合責任).
• 準委任契約: mục đích là THỰC HIỆN công việc (bản thân QUÁ TRÌNH làm việc), không cam kết phải cho ra sản phẩm hoàn chỉnh cụ thể — bên nhận chỉ cần thực hiện với sự cẩn trọng hợp lý (善管注意義務), không chịu trách nhiệm về "kết quả".
• Bẫy hay ra thi: đề hay cho tình huống dự án IT (VD: hợp đồng viết phần mềm trọn gói = 請負; hợp đồng cử kỹ sư hỗ trợ vận hành/bảo trì theo tháng = 準委任) để test xác định loại hợp đồng.

守秘契約 (Hợp đồng bảo mật — NDA)

• Định nghĩa: hợp đồng cam kết giữ bí mật thông tin trao đổi giữa các bên trong hợp tác kinh doanh, không tiết lộ cho bên thứ ba hay dùng ngoài mục đích đã thỏa thuận.
• Phân biệt bối cảnh với 秘密保持契約・誓約書 đã học ở A1 mục 4 (人的対策): ở đó là NDA/誓約書 giữa TỔ CHỨC và CÁ NHÂN (nhân viên, đối tác) trong nội bộ quản lý an ninh thông tin; ở đây 守秘契約 thường được nhắc trong bối cảnh GIAO DỊCH KINH DOANH giữa 2 DOANH NGHIỆP (VD: trước khi đàm phán hợp tác/thầu phụ) — bản chất kỹ thuật giống nhau, khác nhau ở bên ký kết và thời điểm sử dụng.

ソフトウェア使用許諾契約 (Hợp đồng cấp phép sử dụng phần mềm)

• ボリュームライセンス契約 (cấp phép theo số lượng): Bẫy hay ra thi — đây KHÔNG phải "được cài không giới hạn trong 1 khu vực" (dễ nhầm với cấp phép theo địa điểm), mà là cấp phép theo SỐ LƯỢNG máy tính đã thỏa thuận trước, dùng chung 1 bản cài gốc.
• コピーレフト (Copyleft): nguyên tắc cấp phép mã nguồn mở — nếu sửa đổi/phát triển tiếp từ phần mềm Copyleft (VD: GPL), sản phẩm phái sinh BẮT BUỘC phải công bố dưới cùng điều kiện mở, KHÔNG được biến thành phần mềm độc quyền đóng.
• Bẫy hay ra thi (Copyleft): KHÔNG phải "từ bỏ bản quyền" — ngược lại, DÙNG chính cơ chế bản quyền để BẮT BUỘC duy trì tính mở qua các thế hệ phái sinh.

ソフトウェア開発契約 (Hợp đồng phát triển phần mềm)

• ソフトウェア開発委託モデル契約 & 情報システム・モデル取引・契約書: các mẫu hợp đồng chuẩn do cơ quan nhà nước (IPA/Bộ Kinh tế Công nghiệp) xây dựng & công bố, nhằm minh bạch hóa cấu trúc giao dịch giữa doanh nghiệp người dùng và nhà phát triển.

デジタル社会形成基本法 (Luật Cơ bản về Hình thành Xã hội Số)

• Định nghĩa: nền tảng pháp lý cho chuyển đổi số quốc gia tại Nhật — xác định khái niệm "xã hội số", quy định trách nhiệm Nhà nước/địa phương/doanh nghiệp, là căn cứ pháp lý để thành lập デジタル庁 (Cục Kỹ thuật số).

官民データ活用推進基本法 (Luật Cơ bản Thúc đẩy Sử dụng Dữ liệu Công-Tư)

• Định nghĩa: ban hành 2016 (TRƯỚC デジタル社会形成基本法), thúc đẩy sử dụng hiệu quả dữ liệu (cả nhà nước lẫn tư nhân, gọi chung 官民データ) để giải quyết vấn đề xã hội.
• Bẫy hay ra thi: trọng tâm luật này là DỮ LIỆU (データ活用), trong khi デジタル社会形成基本法 mang tính TỔNG THỂ hơn và ra đời SAU — đề hay hỏi luật nào có trước.

e-文書法 vs 電子帳簿保存法 — cặp dễ nhầm

• e-文書法: cho phép văn bản pháp định của doanh nghiệp tư nhân (theo Luật Công ty, Luật Thuế TNDN, Luật Thương mại...) được lưu trữ DẠNG ĐIỆN TỬ thay vì bắt buộc giữ bản giấy — mang tính TỔNG QUÁT.
• 電子帳簿保存法: luật CHUYÊN BIỆT cho lưu trữ điện tử sổ sách/chứng từ liên quan THUẾ quốc gia (do Bộ Tài chính/Cục Thuế quản lý).
• Bẫy hay ra thi: đề hay cho tình huống "lưu hóa đơn điện tử để khai thuế" → phải áp 電子帳簿保存法 (luật chuyên biệt) chứ không phải e-文書法 (luật chung).

コンプライアンス (Tuân thủ pháp luật/đạo đức kinh doanh)

• Định nghĩa: doanh nghiệp tuân thủ pháp luật, quy định, quy tắc đạo đức xã hội trong toàn bộ hoạt động kinh doanh.
• Bẫy hay ra thi: コンプライアンス KHÔNG đồng nghĩa hoàn toàn với "tuân thủ pháp luật (法令遵守)" — phạm vi RỘNG HƠN, gồm cả quy tắc nội bộ, đạo đức nghề nghiệp, kỳ vọng xã hội — dù KHÔNG có luật cụ thể cấm, hành vi vẫn có thể bị coi là vi phạm コンプライアンス nếu đi ngược chuẩn mực đạo đức chung.

フェイクニュース (Fake News) — phân loại theo 2 trục ĐÚNG/SAI và Ý ĐỊNH (rất hay ra thi)

• ミスインフォメーション (Misinformation): thông tin SAI sự thật, người lan truyền KHÔNG có ác ý (VD: chia sẻ nhầm tin đồn vì tưởng thật) → SAI + không ác ý.
• ディスインフォメーション (Disinformation): thông tin SAI sự thật, người phát tán CÓ ác ý, cố tình tạo/lan truyền để đánh lừa (VD: tin giả thao túng dư luận/bầu cử) → SAI + có ác ý.
• マルインフォメーション (Malinformation) — ĐIỂM DỄ NHẦM NHẤT: thông tin ĐÚNG sự thật (KHÔNG phải tin giả), nhưng được công bố với Ý ĐỊNH XẤU để gây hại (VD: cố tình tiết lộ đời tư có thật vào thời điểm gây tổn hại nhất) → ĐÚNG + có ác ý.

デジタルタトゥー (Digital Tattoo)

• Định nghĩa: ẩn dụ chỉ việc thông tin đăng tải lên Internet rất khó/không thể xóa bỏ hoàn toàn — dù xóa bài gốc, nội dung có thể đã được lưu/chia sẻ lại/chụp màn hình, tồn tại gần như vĩnh viễn giống hình xăm trên cơ thể.

ファクトチェック (Fact-check)

• Định nghĩa: quá trình xác minh tính chính xác của thông tin/tuyên bố đang lan truyền, thường do tổ chức/cơ quan báo chí chuyên trách thực hiện, nhằm phân biệt đúng-sai TRƯỚC khi công chúng tiếp nhận/lan truyền tiếp.

有害サイトアクセス制限 — フィルタリング vs ペアレンタルコントロール

• フィルタリング (Filtering): đánh giá/phân loại trang web theo tiêu chí định sẵn, chặn có chọn lọc truy cập trang bị coi không phù hợp (khiêu dâm, bạo lực, tự tử, ma túy...) — triển khai ở cấp ISP/router gia đình/phần mềm thiết bị, chủ yếu bảo vệ trẻ vị thành niên.
• ペアレンタルコントロール (Parental Control): Bẫy hay ra thi — khái niệm RỘNG HƠN フィルタリング, gồm toàn bộ biện pháp phụ huynh quản lý/giám sát con em (không chỉ chặn web mà còn giới hạn thời gian sử dụng, giới hạn cài ứng dụng, giám sát モニタリング, loại trừ cả phương tiện không qua Internet như DVD/game).

JIS / IS / ISO — thuật ngữ nền tảng

• JIS (日本産業規格): tiêu chuẩn công nghiệp QUỐC GIA của Nhật Bản. Bẫy hay ra thi: trước đây gọi "日本工業規格", đổi tên thành "日本産業規格" từ năm 2019 khi mở rộng phạm vi sang cả dữ liệu và dịch vụ (không chỉ công nghiệp nữa).
• IS (国際規格): tiêu chuẩn QUỐC TẾ, điển hình do ISO ban hành.
• ISO (国際標準化機構): tổ chức tiêu chuẩn hóa quốc tế, ban hành chuẩn áp dụng toàn cầu (VD: ISO 9001 — quản lý chất lượng, ISO/IEC 27001 — quản lý an toàn thông tin).

IEEE, IEC, ITU, IETF, ANSI — phân biệt vai trò từng tổ chức

• IEEE: hiệp hội kỹ sư điện-điện tử (Mỹ), nổi tiếng nhất với IEEE 802.11 (chuẩn Wi-Fi).
• IEC: tổ chức tiêu chuẩn hóa quốc tế chuyên về điện-điện tử — nhiều chuẩn CNTT ban hành chung dưới tên ISO/IEC (VD: ISO/IEC 27001).
• ITU: tổ chức quốc tế chuyên về viễn thông.
• IETF: tổ chức mang tính TỰ NGUYỆN (không chính thức như ISO), chuyên định nghĩa chuẩn giao thức Internet, công bố dưới dạng văn kiện RFC.
• ANSI: tổ chức tiêu chuẩn hóa QUỐC GIA của Mỹ (tương đương JIS của Nhật) — quy định chuẩn như mã ký tự ASCII.
• Bẫy hay ra thi: phân cấp JIS/ANSI (QUỐC GIA) < ISO/IEC/ITU (QUỐC TẾ) — đề hay hỏi xếp thứ tự/phân cấp đúng.

デジュレスタンダード (De jure) vs デファクトスタンダード (De facto)

• デジュレスタンダード: chuẩn được CHÍNH THỨC công nhận bởi cơ quan nhà nước/tổ chức tiêu chuẩn hóa (ISO, JIS, IEC, ANSI...), qua thủ tục thẩm định/xét duyệt chính thức.
• デファクトスタンダード: chuẩn "trên thực tế" — KHÔNG qua thủ tục công nhận chính thức nào, mà hình thành do thị trường/người dùng chấp nhận rộng rãi trong cạnh tranh thực tế.
• Bẫy hay ra thi: đề hay cho ví dụ như định dạng file phổ biến/giao thức thịnh hành (chưa qua ISO chính thức) để test xác định đây là デファクト hay デジュレ.

A3. 大分類 3 コンピュータシステム › 中分類 3 システム構成要素

• > Phần này bạn đã nắm kỹ thuật nền — chỉ ghi điểm đặc thù kỳ thi: thuật ngữ tiếng Nhật, bẫy phân biệt, công thức tính.

処理形態 — 4 cặp thuật ngữ dễ gặp bẫy

• 集中処理 vs 分散処理: tập trung dễ quản lý/bảo mật nhưng có Single Point of Failure; phân tán tăng scalability & giảm rủi ro 1 điểm chết nhưng quản lý/bảo mật phức tạp hơn.
• 対話型処理 (Interactive): nhập lệnh – nhận phản hồi ngay, tương tác liên tục.
• バッチ処理 vs リアルタイム処理: bẫy hay ra thi — tiêu chí phân biệt DUY NHẤT là có cần phản hồi NGAY LẬP TỨC hay không (VD: tính lương cuối tháng = バッチ; đặt vé máy bay = リアルタイム), không phải tiêu chí khối lượng dữ liệu.

システム構成 — các cặp dễ nhầm

• 機能配分 (phân bổ chức năng client/server) quyết định mô hình シンクライアント (dồn xử lý về server, dễ quản lý bảo mật tập trung, không lưu dữ liệu ở máy trạm) hay mô hình client xử lý nhiều.
• 負荷分散 (Load Balancing) vs 冗長構成/デュアルシステム/デュプレックスシステム — Bẫy hay ra thi: 負荷分散 nhắm mục đích CHIA TẢI để tăng hiệu năng đồng thời (performance); còn 冗長構成/デュアル/デュプレックス nhắm mục đích DỰ PHÒNG khi có lỗi (reliability) — tuy 1 hệ thống thực tế có thể áp dụng cả 2. Liên hệ trực tiếp biện pháp phòng ngừa DoS/DDoS.
• デュアルシステム (2 hệ chạy SONG SONG, đối chiếu kết quả lẫn nhau) vs デュプレックスシステム (1 chạy chính 主系 + 1 chờ standby 従系, hot/cold standby) — đề hay hỏi đảo ngược tên gọi.
• クラスタ (Cluster): nhiều server hoạt động cùng nhau như 1 hệ thống duy nhất, tăng hiệu năng và/hoặc độ tin cậy.
• VM vs VDI: VM là máy ảo nói chung; VDI là ảo hóa riêng cho MÁY TRẠM (desktop ảo truy cập từ xa) — cùng tinh thần シンクライアント nhưng linh hoạt hơn.
• ピアツーピア (P2P): các máy giao tiếp TRỰC TIẾP ngang hàng, không qua server trung tâm.
• クラウド (SaaS/PaaS/IaaS) — bẫy hay ra thi: phân biệt theo LỚP mà KHÁCH HÀNG (không phải nhà cung cấp) phải tự quản lý:
  • IaaS: khách quản lý từ OS trở lên (hạ tầng ảo — máy chủ/mạng/lưu trữ do NCC lo)
  • PaaS: khách chỉ quản lý ứng dụng/dữ liệu (OS, middleware, runtime do NCC lo)
  • SaaS: khách chỉ dùng ứng dụng qua trình duyệt, không quản lý gì về hạ tầng/phát triển
  • Liên hệ: đây chính là cơ sở của クラウド責任共有モデル đã học ở phần セキュリティ管理.
• エッジコンピューティング: xử lý dữ liệu NGÀY GẦN NGUỒN phát sinh (IoT/cảm biến) thay vì gửi hết về cloud trung tâm — giảm độ trễ, giảm tải băng thông.

ストレージ — RAID / NAS / SAN

• RAID 0: chia dữ liệu ra nhiều ổ để tăng TỐC ĐỘ, KHÔNG có dự phòng — 1 ổ hỏng là mất hết dữ liệu.
• RAID 1: mirroring, ghi giống hệt vào 2 ổ — an toàn cao nhưng tốn dung lượng gấp đôi.
• RAID 5: dữ liệu + parity trên nhiều ổ — cân bằng tốc độ/dung lượng/chịu lỗi (chịu được 1 ổ hỏng).
• Bẫy hay ra thi: RAID 0 tăng tốc nhưng LÀM GIẢM độ tin cậy — không phải RAID nào cũng an toàn hơn.
• NAS: gắn LAN, cấp quyền ở cấp độ FILE, dễ triển khai/rẻ. SAN: mạng lưu trữ chuyên dụng, cấp quyền ở cấp độ BLOCK, nhanh hơn nhưng đắt hơn — đề hay hỏi phân biệt FILE vs BLOCK level.

信頼性設計 — フォールトトレラント/フェールセーフ/フールプルーフ (rất hay ra dạng "chọn định nghĩa đúng")

• フォールトトレラント (Fault Tolerant): hệ thống VẪN TIẾP TỤC HOẠT ĐỘNG dù có lỗi xảy ra (nhờ dự phòng phần cứng/song song).
• フェールセーフ (Fail Safe): khi có lỗi, hệ thống CHUYỂN VỀ TRẠNG THÁI AN TOÀN (VD: đèn giao thông lỗi → chuyển thành nhấp nháy đỏ thay vì tắt hẳn).
• フールプルーフ (Fool Proof): thiết kế CHỐNG THAO TÁC SAI ngay từ đầu (VD: ổ cắm chỉ lắp được 1 chiều).
• Bẫy hay ra thi: 3 từ này KHÔNG đồng nghĩa — đề hay cho 1 tình huống cụ thể (VD: "máy bị lỗi thì dừng hẳn để tránh nguy hiểm") và hỏi đây là nguyên lý nào — cẩn thận: "dừng hẳn để an toàn" là フェールセーフ, không phải フォールトトレラント (vì không "tiếp tục hoạt động").
• UPS (Uninterruptible Power Supply): nguồn điện dự phòng chống mất điện đột ngột — thường để đủ thời gian tắt máy an toàn, không phải nguồn điện dài hạn.

性能指標 — レスポンスタイム vs スループット (KHÔNG tỷ lệ thuận — rất hay ra thi)

• レスポンスタイム: thời gian từ lúc gửi yêu cầu đến lúc hệ thống bắt đầu trả kết quả — đo trải nghiệm "cảm giác chờ" của 1 người dùng.
• スループット: số công việc/giao dịch hệ thống xử lý XONG được trong 1 đơn vị thời gian — đo NĂNG LỰC Xử LÝ TỔNG THỂ.
• Bẫy kinh điển: 1 hệ thống バッチ処理 có thể スループット RẤT CAO (xử lý khối lượng khổng lồ ban đêm) nhưng レスポンスタイム RẤT TỆ nếu cần kết quả ngay — 2 chỉ số này KHÔNG luôn tỷ lệ thuận với nhau. Đây cũng là 2 tiêu chí thường xuất hiện trong SLA.

信頼性 — MTBF / MTTR / 稼働率 (công thức BẮT BUỘC thuộc lòng)

• MTBF (Mean Time Between Failures): thời gian trung bình giữa 2 lần hỏng — càng LỚN càng đáng tin cậy.
• MTTR (Mean Time To Repair): thời gian trung bình để sửa xong 1 lần hỏng — càng NHỎ càng tốt.
• Công thức: 稼働率 (tỷ lệ hoạt động) = MTBF ÷ (MTBF + MTTR)
• Hệ NỐI TIẾP (song song về logic nhưng phải CẢ 2 cùng chạy mới được việc): 稼働率 = A × B
• Hệ SONG SONG (chỉ cần 1 trong 2 chạy là được việc): 稼働率 = 1 − (1−A)(1−B)
• Ví dụ số: A=0.9, B=0.8 → nối tiếp = 0.9×0.8 = 0.72 (72%); song song = 1−(0.1×0.2) = 1−0.02 = 0.98 (98%).
• Bẫy hay ra thi: nhầm chiều nhân — NỐI TIẾP thiết bị hỏng 1 cái là DỪNG (nên 稼働率 LUÔN ≤ từng thành phần); SONG SONG phải CẢ 2 cùng hỏng mới dừng (nên 稼働率 LUÔN ≥ từng thành phần) — kiểm tra ngược lại nếu ra kết quả trái trực giác này.

経済性 — イニシャルコスト vs ランニングコスト

• イニシャルコスト: chi phí phát sinh 1 LẦN khi triển khai (mua phần cứng/phần mềm, cài đặt, đào tạo ban đầu).
• ランニングコスト: chi phí LẶP LẠI định kỳ trong suốt vận hành (điện, bảo trì, license gia hạn, nhân sự, phí cloud theo tháng).
• Bẫy hay ra thi: so sánh mua đứt on-premise (イニシャル cao, ランニング thấp hơn về sau) với thuê cloud/SaaS (イニシャル gần bằng 0, ランニング trải đều theo thời gian) — dạng bài so tổng chi phí (TCO) hay gặp.

A4. 大分類 4 技術要素 › 中分類 4 データベース

• > Phần này bạn đã rất vững (7 năm dev) — chỉ ghi thuật ngữ tiếng Nhật & bẫy riêng của kỳ thi SG, bỏ qua kiến thức SQL/quan hệ cơ bản.

DBMS 保全機能 vs 機密保護機能 — cách IPA phân nhóm 2 chức năng cốt lõi của DBMS

• 保全機能 (đảm bảo toàn vẹn): nhóm chức năng giữ dữ liệu ĐÚNG & KHÔNG MẤT — gồm 排他制御 (khóa khi đồng thời) và 障害回復 (backup/restore).
• 機密保護機能 (bảo vệ bí mật): nhóm chức năng ngăn TRUY CẬP TRÁI PHÉP — gồm phân quyền truy cập DB, mã hóa DB (đã học ở phần セキュリティ実装技術).
• Bẫy hay ra thi: đề hay cho 1 chức năng cụ thể (VD: "phục hồi dữ liệu sau sự cố điện") và hỏi thuộc nhóm nào → 保全機能 (không phải 機密保護) vì không liên quan ngăn truy cập trái phép.

排他制御 (Exclusive Control) — khóa dữ liệu khi đồng thời

• Định nghĩa: cơ chế KHÓA (lock) tạm thời khi 1 transaction đang đọc/ghi 1 phần dữ liệu, ngăn transaction KHÁC truy cập/sửa CÙNG dữ liệu đó CÙNG LÚC — tránh xung đột gây sai lệch dữ liệu (VD kinh điển: 2 giao dịch rút tiền cùng lúc từ 1 tài khoản).
• Bẫy hay ra thi: đừng nhầm với 障害回復 (khôi phục SAU khi lỗi đã xảy ra) hay 世代管理 (quản lý các phiên bản backup theo thời gian, không liên quan xử lý đồng thời) — 3 khái niệm hay bị gộp nhầm vào chung 1 câu hỏi trắc nghiệm.

障害回復 — phân loại backup (rất hay ra thi dạng so sánh)

• フルバックアップ (Full): sao lưu TOÀN BỘ dữ liệu mỗi lần — restore NHANH NHẤT (chỉ cần 1 file) nhưng thời gian/dung lượng backup mỗi lần LỚN NHẤT.
• 差分バックアップ (Differential): sao lưu phần thay đổi SO VỚI LẦN FULL GẦN NHẤT — restore cần 2 file (full + differential mới nhất).
• 増分バックアップ (Incremental): sao lưu phần thay đổi SO VỚI LẦN BACKUP GẦN NHẤT (bất kể loại nào) — backup NHANH/NHẸ NHẤT mỗi lần, nhưng restore CHẬM NHẤT (cần full + TẤT CẢ các bản incremental theo thứ tự).
• Bẫy hay ra thi: đề hay đảo ngược — tốc độ BACKUP và tốc độ RESTORE là 2 chiều NGƯỢC NHAU giữa 差分 và 増分: 増分 backup nhanh nhất nhưng restore chậm nhất; 差分 ở giữa.

データ重複の排除 (Loại bỏ trùng lặp dữ liệu) — nền của 正規化 (Normalization)

• Định nghĩa: nguyên tắc thiết kế DB sao cho mỗi thông tin chỉ lưu ở ĐÚNG 1 NƠI DUY NHẤT — tránh dữ liệu KHÔNG NHẤT QUÁN giữa các bản sao khi cập nhật.
• Liên hệ: đây chính là biểu hiện của 完全性 (Integrity) ở cấp độ thiết kế DB — dữ liệu trùng lặp không nhất quán là 1 dạng vi phạm tính toàn vẹn.

メタデータ vs データディクショナリ — cặp dễ nhầm

• メタデータ (Metadata): "dữ liệu về dữ liệu" — thông tin MÔ TẢ cấu trúc/đặc tính dữ liệu gốc (tên cột, kiểu dữ liệu...), KHÔNG phải bản thân nội dung dữ liệu.
• データディクショナリ (Data Dictionary): tài liệu/kho lưu TỔNG HỢP TOÀN BỘ メタデータ của 1 hệ thống DB — "bản đồ tổng thể" cấu trúc dữ liệu.
• Bẫy hay ra thi: メタデータ là "nguyên liệu" (khái niệm), データディクショナリ là "cuốn sổ tổng hợp nguyên liệu đó" (công cụ/tài liệu) — đề hay hỏi đâu là khái niệm, đâu là tài liệu tổng hợp.

Ứng dụng — データウェアハウス / ビッグデータ / 分散ファイルシステム

• データウェアハウス: kho dữ liệu TỔNG HỢP từ nhiều nguồn, phục vụ PHÂN TÍCH/RA QUYẾT ĐỊNH (khác DB vận hành nghiệp vụ hàng ngày).
• ビッグデータ: tập dữ liệu vượt khả năng xử lý của công cụ DB truyền thống (khối lượng/tốc độ/đa dạng).
• 分散ファイルシステム: hệ thống file lưu phân tán trên nhiều máy chủ, quản lý như 1 hệ thống thống nhất.

A5. 大分類 4 技術要素 › 中分類 5 ネットワーク

• > プロキシ vs リバースプロキシ, 認証サーバ/VLAN, VPN, ハニーポット, パケットフィルタリング/MACフィルタリング đã học đầy đủ ở A1 mục 5 (セキュア実装技術) — không nhắc lại, chỉ bổ sung phần thuần mạng (không thiên bảo mật) còn thiếu.

RADIUS & IEEE 802.1X

• RADIUS server: máy chủ trung tâm chuyên xác thực người dùng/thiết bị TRƯỚC khi cho phép vào mạng — thường phối hợp chuẩn IEEE 802.1X để xác thực trước khi thiết bị được cấp quyền vào LAN/Wi-Fi.
• IEEE 802.1X: chuẩn xác thực dựa trên CỔNG kết nối (port-based authentication) — thiết bị cắm vào cổng switch/kết nối Wi-Fi vẫn bị CHẶN cho tới khi xác thực thành công qua RADIUS; đây là cơ chế nền cho 認証 VLAN sẽ học ở phần ネットワークセキュリティ.
• Bẫy hay ra thi: RADIUS chỉ làm nhiệm vụ XÁC THỰC (ai được vào), KHÔNG tự nó mã hóa dữ liệu truyền đi — dễ bị nhầm là một giao thức bảo mật đường truyền như VPN/TLS.

L2/L3 スイッチ, ブリッジ, ゲートウェイ — phân biệt theo TẦNG OSI (rất hay ra thi)

• L2 スイッチ: chuyển mạch dựa địa chỉ MAC (tầng Data Link) — cùng tầng với ブリッジ (kết nối 2 phân đoạn LAN).
• L3 スイッチ: có khả năng định tuyến theo địa chỉ IP (tầng Network) — kết hợp chức năng switch + router.
• ゲートウェイ: kết nối 2 mạng dùng GIAO THỨC KHÁC NHAU, chuyển đổi giao thức giữa 2 bên — đề hay hỏi phân biệt với ブリッジ/router (chỉ chuyển tiếp, không đổi giao thức).

パケット交換 vs 専用線

• パケット交換 (Packet Switching): dữ liệu chia thành gói nhỏ, chia sẻ chung đường truyền với nhiều người dùng khác — chi phí thấp, là nền của Internet.
• 専用線 (Leased Line): đường truyền DÙNG RIÊNG cho 1 khách hàng, không chia sẻ — ổn định/bảo mật cao hơn nhưng chi phí cao hơn nhiều.

障害管理 — quy trình 3 bước BẮT BUỘC thuộc thứ tự

• 切り分け (Cắt lớp/khoanh vùng): xác định SỰ CỐ NẰM Ở ĐÂU trong hệ thống (mạng/server/ứng dụng...) → 特定 (Xác định nguyên nhân cụ thể) → 復旧 (Khôi phục dịch vụ).
• Bẫy hay ra thi: đề hay cho tình huống "dịch vụ bị chậm/ngừng" và hỏi BƯỚC ĐẦU TIÊN nên làm gì → luôn là 切り分け (khoanh vùng phạm vi trước), KHÔNG nhảy thẳng vào sửa ngay khi chưa biết nguyên nhân.

IP-VPN vs インターネットVPN

• IP-VPN: dùng hạ tầng mạng RIÊNG của nhà mạng viễn thông (KHÔNG đi qua Internet công cộng) — ổn định/an toàn hơn nhưng chi phí cao.
• インターネットVPN: dùng đường Internet công cộng + mã hóa — chi phí thấp hơn nhưng phụ thuộc chất lượng Internet chung.

テザリング & ベストエフォート型サービス

• テザリング (Tethering): chia sẻ kết nối Internet di động của điện thoại cho thiết bị khác dùng.
• ベストエフォート型サービス: dịch vụ mạng KHÔNG cam kết băng thông/tốc độ tối thiểu cụ thể — nỗ lực tối đa nhưng không đảm bảo (đa số dịch vụ Internet gia đình là loại này).

PMBOK — 10 lĩnh vực quản lý dự án (知識エリア)

• 統合 (Integration) / スコープ (Scope) / 時間 (Schedule) / コスト (Cost) / 品質 (Quality) / 資源 (Resource) / コミュニケーション (Communication) / リスク (Risk) / 調達 (Procurement) / ステークホルダ (Stakeholder).
• Bẫy hay ra thi: đề mô tả 1 tình huống cụ thể (VD: "lập danh sách các bên liên quan và quản lý kỳ vọng của họ") rồi hỏi thuộc lĩnh vực nào → ステークホルダ管理, KHÔNG phải コミュニケーション管理 (dễ nhầm vì cả hai đều liên quan đến "người").

統合管理 (Integration Management) — プロジェクト憲章 & ベースライン

• プロジェクト憲章 (Project Charter): văn bản chính thức hóa sự tồn tại dự án, do cấp có thẩm quyền ban hành ở giai đoạn KHỞI ĐẦU — TRƯỚC KHI có WBS/lịch trình chi tiết, trao quyền cho PM sử dụng nguồn lực tổ chức.
• ベースライン (Baseline): mốc chuẩn (tiến độ/chi phí/phạm vi) được thiết lập SAU khi lập kế hoạch chi tiết, dùng để so sánh với thực tế trong quá trình thực hiện.
• Bẫy hay ra thi: đề hỏi văn bản/mốc nào lập TRƯỚC — thứ tự đúng là プロジェクト憲章 (khởi đầu) → lập kế hoạch chi tiết (WBS, PERT...) → ベースライン (mốc so sánh). Dễ bị gài nhầm プロジェクト憲章 với 要件定義書 (lập SAU, khi đã phân tích yêu cầu chi tiết).

スコープ管理 — WBS → PERT 図 (Critical Path)

• WBS (Work Breakdown Structure): phân rã công việc dự án thành các hạng mục nhỏ dần, quản lý phạm vi để tránh "phình phạm vi" (scope creep) ngoài kiểm soát.
• Trình tự chuẩn: WBS (phân rã) → 活動の定義 (định nghĩa hoạt động) → 活動の順序付け (sắp xếp trình tự) → PERT 図 (vẽ sơ đồ mạng, tính đường găng) → スケジュール作成.
• PERT 図 / クリティカルパス (đường găng): đường đi có TỔNG THỜI GIAN DÀI NHẤT từ điểm bắt đầu đến kết thúc dự án — quyết định thời gian tối thiểu hoàn thành toàn dự án; trễ bất kỳ công việc nào trên đường găng → toàn dự án trễ.
• Ví dụ số ngắn: dự án có 2 đường song song A→B→D (3+4+2=9 ngày) và A→C→D (3+2+2=7 ngày) → đường găng là A→B→D (9 ngày), vì đó là đường dài nhất; công việc C có "thời gian dư" (余裕時間/フロート) = 9−7 = 2 ngày, có thể trễ tối đa 2 ngày mà không ảnh hưởng tổng tiến độ.

コミュニケーション管理 — プッシュ型 vs プル型

• プッシュ型 (Push): người gửi CHỦ ĐỘNG đẩy thông tin đến người nhận — VD: gửi email báo cáo, gửi thông báo hàng loạt.
• プル型 (Pull): người nhận CHỦ ĐỘNG lấy thông tin khi cần — VD: xem tài liệu trên hệ thống chia sẻ chung (intranet, wiki dự án).
• Bẫy hay ra thi: đề mô tả tình huống (VD: "đăng tài liệu lên cổng thông tin dự án để ai cần thì tự vào xem") rồi hỏi loại nào → プル型, dễ nhầm vì vẫn có hành động "đăng" (tưởng là push) nhưng bản chất người NHẬN mới là bên chủ động lấy.

SLA & サービスカタログ管理

• SLA (Service Level Agreement): cam kết mức dịch vụ giữa nhà cung cấp và khách hàng, thường định lượng (VD: uptime 99.9%, thời gian phản hồi sự cố < 1h).
• サービスカタログ管理: quản lý danh mục các dịch vụ CNTT đang cung cấp, giúp người dùng biết dịch vụ nào khả dụng và cách yêu cầu.

資産管理・構成管理 — CI (構成品目)

• 資産管理: quản lý tài sản CNTT (phần cứng/phần mềm/license) — trọng tâm là GIÁ TRỊ TÀI SẢN.
• 構成管理: quản lý các CI (Configuration Item — 構成品目) — từng thành phần cấu thành hệ thống (server, phần mềm, tài liệu...) và MỐI QUAN HỆ giữa chúng, thường lưu trong CMDB.
• Bẫy hay ra thi: 資産管理 chỉ quan tâm "có gì, giá trị bao nhiêu", còn 構成管理 quan tâm "cái này liên kết/ảnh hưởng đến cái gì khác" — quan trọng khi phân tích tác động của 1 thay đổi (変更管理).

事業関係管理 (BRM) vs 供給者管理 — bẫy đảo chiều kinh điển

• 事業関係管理 (Business Relationship Management): nhìn từ góc độ "nhà cung cấp dịch vụ CNTT chăm sóc KHÁCH HÀNG của mình" — hướng RA NGOÀI/XUỐNG DƯỚI trong chuỗi cung ứng dịch vụ, khảo sát mức hài lòng của người dùng nội bộ.
• 供給者管理 (Supplier Management): nhìn từ góc độ "tổ chức quản lý CHÍNH NHÀ CUNG CẤP mà mình đang thuê" (VD: nhà cung cấp cloud, đường truyền) — hướng LÊN TRÊN/RA NGOÀI, gồm quản lý hợp đồng, đánh giá hiệu quả nhà cung cấp có đáp ứng SLA không.
• Bẫy hay ra thi: đề mô tả 1 tình huống cụ thể rồi hỏi đâu là BRM đâu là 供給者管理 — VD "đánh giá định kỳ công ty cloud có đáp ứng đúng SLA không" → 供給者管理; "khảo sát mức hài lòng của phòng kinh doanh với dịch vụ IT nội bộ" → 事業関係管理. Liên hệ trực tiếp: 供給者管理 gắn chặt với quy trình 外部委託 (khảo sát trước → giám sát trong → xử lý khi kết thúc hợp đồng) đã học ở phần Kỹ năng.

需要管理・キャパシティ管理 — 閾値

• 需要管理 (Demand Management): dự đoán và quản lý nhu cầu sử dụng dịch vụ trong tương lai, làm cơ sở lập kế hoạch cho キャパシティ管理.
• キャパシティ管理 (Capacity Management): theo dõi mức sử dụng CPU/memory/disk/network hiện tại, thiết lập 閾値 (ngưỡng cảnh báo) để phát hiện sớm nguy cơ thiếu tài nguyên trước khi ảnh hưởng dịch vụ.

変更管理・リリース管理

• 変更管理 (Change Management): quyết định CÓ NÊN áp dụng 1 thay đổi lên hệ thống production hay không — đánh giá rủi ro/tác động trước khi phê duyệt.
• リリース管理 (Release Management): lo việc TRIỂN KHAI thay đổi đã được duyệt ra môi trường thực tế, bao gồm 移行リハーサル (diễn tập/rehearsal trước khi go-live để phát hiện vấn đề) và 評価 sau khi triển khai xong.
• Bẫy hay ra thi: 変更管理 trả lời câu hỏi "có được làm không", リリース管理 trả lời câu hỏi "làm như thế nào/khi nào" — 2 quy trình nối tiếp nhau, không được gộp làm một.

インシデント管理 vs 問題管理 — bẫy kinh điển

• インシデント管理 (Incident Management): mục tiêu KHÔI PHỤC DỊCH VỤ NHANH NHẤT có thể, KHÔNG cần biết nguyên nhân gốc ngay lập tức.
• 問題管理 (Problem Management): mục tiêu tìm 根本原因 (root cause), quản lý 既知の誤り (known error) để phòng tránh sự cố tái diễn — chạy song song/sau インシデント管理.
• ヒヤリハット (Near-miss): tình huống SUÝT xảy ra sự cố nhưng may mắn chưa gây hậu quả thực tế (VD: suýt gửi nhầm email chứa dữ liệu mật nhưng phát hiện kịp) — vẫn NÊN ghi nhận/báo cáo như tín hiệu cảnh báo sớm, giúp phòng ngừa trước khi trở thành インシデント thật sự.
• Bẫy hay ra thi: đề luôn kiểm tra xem thí sinh có nhầm "xử lý tạm thời cho user dùng lại được ngay" (インシデント管理) với "điều tra sâu để sự cố không lặp lại" (問題管理) hay không — gần như luôn xuất hiện.

サービス可用性・継続管理 — RTO/RPO/RLO & Standby

• RTO (Recovery Time Objective): mục tiêu THỜI GIAN tối đa để khôi phục dịch vụ sau sự cố.
• RPO (Recovery Point Objective): mục tiêu ĐIỂM DỮ LIỆU tối đa được phép mất (khôi phục về thời điểm nào).
• RLO (Recovery Level Objective): mục tiêu MỨC ĐỘ khôi phục (khôi phục toàn bộ hay chỉ chức năng tối thiểu).
• ホットスタンバイ vs コールドスタンバイ: hệ dự phòng luôn ở trạng thái sẵn sàng chuyển đổi ngay (hot) vs hệ dự phòng cần thời gian khởi động lại mới dùng được (cold) — hot standby đáp ứng RTO ngắn hơn nhưng chi phí cao hơn.

パフォーマンス評価・改善 — 不適合及び是正処置, 継続的改善

• 不適合及び是正処置: khi phát hiện dịch vụ không đáp ứng SLA/tiêu chuẩn nội bộ → thực hiện biện pháp khắc phục cho vấn đề đã xảy ra (phản ứng).
• 継続的改善: cải tiến mang tính chủ động, liên tục, không chỉ phản ứng khi có vấn đề — cùng tinh thần PDCA đã học ở ISMS, áp dụng cho toàn bộ vòng đời dịch vụ.

サービスの運用 — サービスデスク

• サービスデスク (Service Desk): đầu mối liên hệ DUY NHẤT (Single Point of Contact) giữa người dùng và bộ phận CNTT, tiếp nhận yêu cầu/báo cáo sự cố ban đầu rồi phân loại chuyển tiếp (khác インシデント管理 — サービスデスク chỉ là CỬA NGÕ tiếp nhận, インシデント管理 là QUY TRÌNH xử lý phía sau).

ファシリティマネジメント

• Quản lý cơ sở vật chất/hạ tầng hỗ trợ vận hành hệ thống — điện, điều hòa, UPS, phòng máy chủ... liên hệ trực tiếp với nhóm biện pháp bảo mật vật lý (RASIS) đã học ở A1 mục 4.

監査目的・手順 — Nguyên tắc & quy trình 4 bước

• Nguyên tắc bắt buộc của người kiểm toán: phải có 独立性・客観性 (độc lập, khách quan) — không được kiểm toán bộ phận mình đang làm việc hoặc có liên quan lợi ích.
• Quy trình chuẩn (thứ tự hay ra thi): 計画 (lập kế hoạch) → 実施 (監査証拠の入手と評価: thu thập & đánh giá bằng chứng kiểm toán) → 報告 (báo cáo kết quả) → フォローアップ (theo dõi xem đối sách khắc phục có được thực hiện không).

情報セキュリティ監査基準 vs 情報セキュリティ管理基準 — bẫy phân biệt

• 情報セキュリティ監査基準 (do 経済産業省 ban hành): quy định hành vi, quy trình của người kiểm toán khi thực hiện kiểm toán (gồm 一般基準・実施基準・報告基準) — trả lời câu hỏi "kiểm toán viên phải làm việc như thế nào".
• 情報セキュリティ管理基準: là "THƯỚC ĐO" nội dung — tập hợp các yêu cầu quản lý/管理策 (dựa trên JIS Q 27001/27002) dùng làm CHUẨN ĐỐI CHIẾU khi đánh giá tổ chức được kiểm toán — trả lời câu hỏi "tổ chức cần đạt được những gì".
• Bẫy hay ra thi: 2 tên rất giống nhau (監査基準 vs 管理基準) nhưng vai trò khác hẳn — 監査基準 nói về NGƯỜI KIỂM TOÁN, 管理基準 nói về NỘI DUNG được kiểm toán (thước đo áp dụng lên tổ chức bị kiểm toán).

内部統制 (Internal Control) — 4 mục tiêu & 職務分掌

• 4 mục tiêu của nội bộ kiểm soát: 業務の有効性・効率性 (hiệu quả/hiệu suất nghiệp vụ) / 財務報告の信頼性 (độ tin cậy báo cáo tài chính) / 法令遵守 (tuân thủ pháp luật) / 資産保全 (bảo toàn tài sản).
• 職務分掌 (Separation of Duties): nguyên tắc người THỰC HIỆN công việc và người PHÊ DUYỆT/KIỂM TRA phải là 2 người khác nhau — biện pháp nền tảng chống gian lận nội bộ, hay được hỏi dưới dạng tình huống "1 người vừa nhập liệu vừa duyệt là vi phạm nguyên tắc gì".

IT 全般統制 vs IT 業務処理統制

• IT 全般統制 (IT General Control): kiểm soát ở tầm CHUNG, áp dụng cho toàn bộ hệ thống — VD: quản lý quyền truy cập, quản lý thay đổi hệ thống, quản lý vận hành.
• IT 業務処理統制 (IT Application Control): kiểm soát CỤ THỂ trong từng nghiệp vụ/ứng dụng riêng lẻ — VD: kiểm tra tính hợp lệ của dữ liệu nhập vào 1 hệ thống kế toán cụ thể.
• Bẫy hay ra thi: đề cho 1 ví dụ kiểm soát cụ thể rồi hỏi thuộc loại nào — nếu kiểm soát đó áp dụng CHUNG cho nhiều hệ thống/nghiệp vụ → 全般統制; nếu chỉ áp dụng RIÊNG cho 1 nghiệp vụ/màn hình cụ thể → 業務処理統制.

CSA (Control Self Assessment) vs 内部監査

• CSA: chính bộ phận/tổ chức TỰ đánh giá mức độ tuân thủ kiểm soát nội bộ của mình.
• 内部監査 (Internal Audit): do đội kiểm toán ĐỘC LẬP trong tổ chức thực hiện, không phải tự đánh giá — đảm bảo tính khách quan cao hơn CSA.
• Bẫy hay ra thi: CSA nhanh/rẻ nhưng thiếu khách quan (người tự đánh giá dễ bỏ sót lỗi của chính mình); 内部監査 tốn thời gian hơn nhưng đáng tin cậy hơn nhờ 独立性・客観性 đã học ở trên.

業務プロセス — BPR vs RPA

• BPR (Business Process Reengineering): tái thiết kế lại TOÀN BỘ quy trình nghiệp vụ từ đầu (từ gốc) nhằm đạt cải thiện hiệu quả VƯỢT BẬC, khác với cải tiến nhỏ lẻ từng bước (kaizen).
• RPA (Robotic Process Automation): dùng phần mềm "robot ảo" để tự động hóa các thao tác nghiệp vụ lặp đi lặp lại trên máy tính (VD: nhập liệu, copy-paste giữa các hệ thống) — KHÔNG phải robot vật lý.
• Bẫy hay ra thi: BPR là tư duy THIẾT KẾ LẠI quy trình (phạm vi rộng, mang tính chiến lược), còn RPA là công cụ TỰ ĐỘNG HÓA thao tác đã có sẵn (phạm vi hẹp, mang tính chiến thuật/thực thi) — đề hay cho tình huống rồi hỏi "đây là BPR hay RPA".

ASP (Application Service Provider) & ソブリンクラウド (Sovereign Cloud)

• ASP: mô hình kinh doanh cho khách hàng SỬ DỤNG phần mềm qua mạng mà không cần tự cài đặt/quản lý hạ tầng — là mô hình TIỀN THÂN lịch sử của SaaS ngày nay.
• ソブリンクラウド: dịch vụ cloud được thiết kế/vận hành sao cho dữ liệu và hạ tầng xử lý PHẢI nằm trong lãnh thổ/quyền tài phán của 1 quốc gia cụ thể, tuân thủ luật về chủ quyền dữ liệu (data sovereignty) — thường dùng cho cơ quan chính phủ hoặc ngành dữ liệu nhạy cảm cao.
• Bẫy hay ra thi:
  • "Tiền thân của SaaS là gì?" → đáp án ASP (khác biệt chính giữa 2 khái niệm nằm ở bối cảnh công nghệ: ASP hạ tầng riêng lẻ theo từng khách hàng, SaaS dùng chung hạ tầng đa khách hàng — multi-tenant).
  • ソブリンクラウド dễ nhầm với ISMAP (đã học ở A1-2) — ISMAP là CHẾ ĐỘ ĐÁNH GIÁ/ĐĂNG KÝ dịch vụ cloud đạt chuẩn để chính phủ Nhật được phép sử dụng; ソブリンクラウド là MÔ HÌNH KỸ THUẬT/PHÁP LÝ đảm bảo vị trí lưu trữ dữ liệu — 2 khái niệm có thể song hành nhưng không đồng nhất.
• Liên hệ: cả 2 đều quy về クラウド責任共有モデル (đã học ở A1-2) — dù dùng mô hình nào, tổ chức khách hàng vẫn phải tự đánh giá năng lực bảo mật của nhà cung cấp trước khi ký hợp đồng.

BYOD (Bring Your Own Device)

• Định nghĩa: cho phép nhân viên dùng thiết bị cá nhân (điện thoại, laptop) cho công việc, thay vì công ty cấp phát thiết bị riêng.
• Góc độ chiến lược kinh doanh: là biện pháp tiết kiệm chi phí đầu tư thiết bị và tăng sự linh hoạt cho nhân viên.
• Góc độ bảo mật (đã học ở A1-4, 携帯端末のセキュリティ): thiết bị BYOD khó kiểm soát tập trung hơn, dễ trộn lẫn dữ liệu công việc/cá nhân — cần MDM để quản lý.
• Bẫy hay ra thi: đề hay đặt BYOD ở 2 ngữ cảnh khác nhau (lợi ích kinh doanh vs rủi ro bảo mật) — cần đọc kỹ câu hỏi đang hỏi về khía cạnh nào.

情報システム戦略委員会 (Ủy ban chiến lược hệ thống thông tin)

• Định nghĩa: tổ chức quyết sách cấp cao (có sự tham gia của ban lãnh đạo, CIO...) chịu trách nhiệm hoạch định 情報システム戦略 (chiến lược hệ thống thông tin) sao cho khớp với chiến lược kinh doanh tổng thể, đồng thời xây dựng thể chế tổ chức (組織体制) để triển khai chiến lược đó.
• Điểm cần nhớ: chiến lược hệ thống thông tin phải xuất phát và PHỤC VỤ chiến lược kinh doanh — không phải công nghệ dẫn dắt kinh doanh mà ngược lại.
• Bẫy hay ra thi: đề hay hỏi "ai chịu trách nhiệm phê duyệt/hoạch định chiến lược CNTT tổng thể của công ty" → đáp án hướng về 情報システム戦略委員会 (không phải riêng phòng CNTT tự quyết định).

デジタルリテラシー (Digital Literacy) & Thúc đẩy hoạt dụng hệ thống thông tin

• Định nghĩa: năng lực hiểu và sử dụng hiệu quả công nghệ số (máy tính, phần mềm ứng dụng...) để thực hiện hoạt động kinh doanh/nghiệp vụ — đây là năng lực CỦA CON NGƯỜI trong tổ chức.
• Nội dung liên quan trong syllabus: hoạt dụng công nghệ số hiệu quả (IoT, Big Data, AI bao gồm AI tạo sinh), BYOD, chatbot, hoạt động phổ biến/khai sáng (普及啓発) để nâng cao デジタルリテラシー trong tổ chức.
• Bẫy hay ra thi: デジタルリテラシー là năng lực/kỹ năng CỦA CÁ NHÂN, khác với DX (Digital Transformation, đã học ở A9) là quá trình CHUYỂN ĐỔI của cả DOANH NGHIỆP dựa trên dữ liệu và công nghệ số — đề hay lẫn 2 khái niệm ở cấp độ cá nhân vs tổ chức.
• Liên hệ: デジタルリテラシー là điều kiện NỀN TẢNG để BYOD, chatbot, AI... được sử dụng an toàn và hiệu quả trong tổ chức.

システムライフサイクル & 情報システム廃棄 (データの消去, 情報機器の廃棄)

• システムライフサイクル (System Life Cycle): toàn bộ vòng đời của 1 hệ thống thông tin, từ 企画 (hoạch định) → 開発 (phát triển) → 運用 (vận hành) → 保守 (bảo trì) → 廃棄 (loại bỏ) — khi hệ thống cũ (レガシーシステム) giảm an toàn/hiệu suất theo thời gian, cần đánh giá và quyết định 廃棄・刷新 (loại bỏ/thay mới) đúng thời điểm trong vòng đời.
• データの消去 & 情報機器の廃棄: khi loại bỏ hệ thống/thiết bị lưu trữ, phải đảm bảo dữ liệu KHÔNG THỂ khôi phục — chỉ format thông thường hoặc xóa file (論理的な削除) là KHÔNG ĐỦ vì dữ liệu vẫn có thể phục hồi bằng công cụ chuyên dụng; cần dùng biện pháp như ghi đè nhiều lần (上書き消去), phá hủy vật lý ổ đĩa (物理破壊), hoặc 暗号化消去 (Cryptographic Erase — đã học ở A1-4: xóa khóa mã hóa khiến dữ liệu đã mã hóa trở nên vô nghĩa, không cần xóa từng bit dữ liệu gốc).
• Bẫy hay ra thi: đề hay đưa tình huống "công ty chỉ format ổ cứng trước khi thanh lý máy tính cũ, sau đó dữ liệu bị rò rỉ" → vấn đề nằm ở chỗ format thông thường KHÔNG xóa dữ liệu thực sự, cần biện pháp xóa chuyên dụng hoặc phá hủy vật lý.
• Liên hệ: 暗号化消去 (CE) đã học ở phần 技術的セキュリティ対策 (A1-4) — đây chính là 1 trong các phương pháp データの消去 hợp lệ khi loại bỏ thiết bị.

情報システム導入リスク分析 (Phân tích rủi ro khi triển khai hệ thống mới)

• Định nghĩa: bước đánh giá rủi ro PHẢI thực hiện trong giai đoạn システム化計画 (lập kế hoạch hệ thống hóa), TRƯỚC khi triển khai 1 hệ thống mới — xác định đối tượng rủi ro, tần suất/phạm vi/mức ảnh hưởng, loại thiệt hại tương ứng và phương án đối ứng.
• 4 loại thiệt hại hay ra thi (dễ nhầm lẫn): 財産損失 (mất tài sản vật chất/dữ liệu) / 責任損失 (trách nhiệm pháp lý, bồi thường) / 純収益損失 (mất doanh thu do gián đoạn kinh doanh) / 人的損失 (thiệt hại về nhân sự).
• Phương án đối ứng rủi ro: 回避 (tránh) / 損失予防 (phòng ngừa tổn thất) / 損失軽減 (giảm nhẹ tổn thất) / 移転 (chuyển giao) / 保有 (chấp nhận rủi ro) — về bản chất cùng nhóm logic với 4 phương án リスク対応 đã học ở A1-2 (回避/低減/移転/保有), chỉ khác ở bối cảnh áp dụng (đây là rủi ro riêng cho việc đưa hệ thống MỚI vào sử dụng, không phải rủi ro bảo mật tổng quát của tổ chức).
• Bẫy hay ra thi: đề hay cho 1 tình huống thiệt hại cụ thể rồi hỏi thuộc loại 財産/責任/純収益/人的 loại nào — cần phân biệt "mất tiền trực tiếp" (財産) vs "phải bồi thường cho bên thứ ba" (責任) vs "không bán được hàng do hệ thống ngừng hoạt động" (純収益).

要件定義 — 要求分析 → 要件定義 (4 loại yêu cầu)

• 要求分析 (Phân tích yêu cầu): bước ĐẦU TIÊN, liệt kê hạng mục yêu cầu (要求項目の洗い出し) → phân tích hạng mục (要求項目の分析) → khảo sát nhu cầu người dùng (ユーザーニーズ調査) → phân tích hiện trạng (現状分析) → định nghĩa vấn đề (課題定義) → lập tài liệu 要求仕様書.
• 要件定義 (Định nghĩa yêu cầu): bước SAU 要求分析, cụ thể hóa thành 4 loại yêu cầu chuẩn:
  • 業務要件定義: yêu cầu về QUY TRÌNH NGHIỆP VỤ (業務処理手順) mà hệ thống phải hỗ trợ.
  • 機能要件定義: chức năng CỤ THỂ hệ thống phải có (input/output, xử lý nghiệp vụ...).
  • 非機能要件定義: yêu cầu KHÔNG PHẢI chức năng — hiệu năng, độ tin cậy, khả năng mở rộng, vận hành/bảo trì... (liên hệ trực tiếp レスポンスタイム/MTBF đã học ở A3).
  • セキュリティ要件: yêu cầu bảo mật cụ thể của hệ thống.
  • (bổ sung) 情報・データ要件: yêu cầu về dữ liệu/thông tin hệ thống xử lý.
• Bẫy hay ra thi: 要求分析 (phân tích NHU CẦU, thường do phía người dùng/nghiệp vụ chủ trì) LUÔN ĐI TRƯỚC 要件定義 (cụ thể hóa thành tài liệu kỹ thuật) — đề hay đảo thứ tự 2 bước này hoặc hỏi giai đoạn nào thuộc về ai. Cũng dễ nhầm 機能要件 (làm được GÌ) với 非機能要件 (làm TỐT ĐẾN MỨC NÀO) — VD "hệ thống phải xử lý được đơn hàng" là 機能要件, "hệ thống phải phản hồi trong 3 giây" là 非機能要件.

調達 — RFI → RFP → RFQ → 契約締結 (đúng thứ tự!)

• RFI (Request For Information — yêu cầu cung cấp thông tin): gửi cho nhiều nhà cung cấp tiềm năng để nắm SƠ BỘ giải pháp/công nghệ hiện có trên thị trường, dùng làm cơ sở chọn ứng viên cho bước tiếp theo.
• RFP (Request For Proposal — yêu cầu đề xuất): gửi cho các nhà cung cấp đã qua sàng lọc, yêu cầu đề xuất GIẢI PHÁP CỤ THỂ (phạm vi, mô hình hệ thống, yêu cầu dịch vụ, lịch trình mục tiêu, điều kiện hợp đồng, năng lực/thành tích của vendor...).
• RFQ (Request For Quotation — yêu cầu báo giá): yêu cầu báo giá CHÍNH XÁC dựa trên giải pháp đã chọn.
• → 契約締結 (ký hợp đồng): dựa trên tiêu chí đánh giá đề xuất (提案評価基準), mức độ đáp ứng yêu cầu, phân chia hạng mục chi phí, lịch trình theo công đoạn, thời hạn giao hàng cuối cùng, và phân chia vai trò giữa bên đặt hàng và vendor.
• Bẫy hay ra thi kinh điển: đề cho tình huống cụ thể rồi hỏi đang ở bước nào — "muốn biết sơ bộ thị trường có giải pháp gì" → RFI; "đã chọn vài vendor tiềm năng, cần họ đề xuất giải pháp cụ thể" → RFP; "đã chọn giải pháp, cần báo giá chính xác" → RFQ. Thứ tự KHÔNG được đảo.

経営組織 — CEO / CIO / CISO / CDO / CPO

• CEO (Chief Executive Officer): người chịu trách nhiệm cao nhất về TOÀN BỘ hoạt động kinh doanh của doanh nghiệp.
• CIO (Chief Information Officer): phụ trách chiến lược HỆ THỐNG THÔNG TIN — đảm bảo CNTT phục vụ đúng mục tiêu kinh doanh (liên hệ trực tiếp 情報システム戦略委員会 đã học ở A8).
• CISO (Chief Information Security Officer): phụ trách chiến lược BẢO MẬT THÔNG TIN — chịu trách nhiệm cao nhất về ISMS, quản lý rủi ro bảo mật của tổ chức.
• CDO (Chief Digital Officer): phụ trách CHUYỂN ĐỔI SỐ (DX) của doanh nghiệp.
• CPO (Chief Privacy Officer): phụ trách BẢO VỆ THÔNG TIN CÁ NHÂN/RIÊNG TƯ.
• Bẫy hay ra thi: đề hay mô tả 1 tình huống cụ thể rồi hỏi đúng chức danh chịu trách nhiệm — cần phân biệt rõ CISO (bảo mật KỸ THUẬT/HỆ THỐNG) khác CPO (quyền RIÊNG TƯ dữ liệu cá nhân, thường gắn với khía cạnh PHÁP LÝ).

リスクマネジメント — BCP vs BCM vs BIA

• BCP (Business Continuity Plan — Kế hoạch duy trì kinh doanh): đã học chi tiết ở A1-2 (情報セキュリティ継続) — là kế hoạch CỤ THỂ để duy trì/khôi phục hoạt động kinh doanh khi có sự cố.
• BCM (Business Continuity Management — Quản lý duy trì kinh doanh): là hoạt động QUẢN LÝ BAO TRÙM cả chu trình PDCA xung quanh BCP — không chỉ LẬP kế hoạch (BCP) mà còn bao gồm duy trì, diễn tập, rà soát, cải tiến kế hoạch đó theo thời gian.
• BIA (Business Impact Analysis — Phân tích tác động kinh doanh): bước phân tích để xác định hệ thống/nghiệp vụ nào là CRITICAL và mức độ ảnh hưởng nếu bị gián đoạn — làm cơ sở ĐẦU VÀO để xây dựng BCP hợp lý (VD: xác định RTO/RPO cho từng hệ thống dựa trên BIA).
• Bẫy hay ra thi: quan hệ bao hàm BCM ⊃ BCP, và BIA là bước PHÂN TÍCH làm NỀN cho việc lập BCP — đề hay hỏi thứ tự: phải làm BIA để biết hệ thống nào quan trọng, TRƯỚC KHI lập BCP cụ thể cho hệ thống đó.

Society5.0, データ駆動型社会, DX

• Society5.0: tầm nhìn xã hội của Nhật Bản kết hợp không gian vật lý (physical) và không gian mạng (cyber) ở mức độ cao để giải quyết vấn đề xã hội, do chính phủ Nhật đề xuất — là khái niệm mang tính ĐỊNH HƯỚNG CHÍNH SÁCH QUỐC GIA.
• データ駆動型社会 (Data-driven Society): xã hội mà các quyết định được đưa ra dựa trên PHÂN TÍCH Dữ liệu thay vì kinh nghiệm/trực giác — là 1 đặc trưng/điều kiện nền của Society5.0.
• DX (Digital Transformation — Chuyển đổi số): dùng công nghệ số để THAY ĐỔI MÔ HÌNH kinh doanh/tổ chức ở cấp độ DOANH NGHIỆP, không chỉ đơn thuần số hóa quy trình cũ.
• Bẫy hay ra thi: DX hoạt động ở CẤP ĐỘ DOANH NGHIỆP CỤ THỂ, khác với Society5.0 là tầm nhìn ở CẤP ĐỘ QUỐC GIA/XÃ HỘI — đề hay lẫn 2 khái niệm về QUY MÔ áp dụng.
• Liên hệ: デジタルリテラシー (đã học ở A8) là năng lực CÁ NHÂN cần có để DX ở cấp doanh nghiệp thành công.

業務分析 — Công cụ hỗ trợ phân tích/ra quyết định

• QC 七つ道具 / 新QC七つ道具: bộ công cụ phân tích chất lượng (biểu đồ pareto, biểu đồ nhân quả...) — chỉ cần nhớ TÊN và MỤC ĐÍCH chung (hỗ trợ phân tích vấn đề chất lượng/nghiệp vụ bằng dữ liệu), không cần đi sâu cách dùng từng công cụ.
• ブレーンストーミング (Brainstorming): kỹ thuật thu thập ý tưởng tự do trong nhóm, không phê phán ý tưởng ngay khi đưa ra.
• デルファイ法 (Delphi Method): lấy ý kiến CHUYÊN GIA qua NHIỀU VÒNG khảo sát (ẩn danh) để dần đạt được sự đồng thuận — khác brainstorming ở chỗ mang tính CHUYÊN MÔN CAO và LẶP VÒNG có kiểm soát.
• デシジョンツリー (Decision Tree — Cây quyết định): công cụ trực quan hóa các lựa chọn và hệ quả tương ứng dưới dạng cây phân nhánh, hỗ trợ ra quyết định.
• Bẫy hay ra thi: デルファイ法 hay bị nhầm với brainstorming thông thường — điểm khác biệt mấu chốt là デルファイ法 dùng CHUYÊN GIA + nhiều VÒNG lặp có tổng hợp phản hồi giữa các vòng.

データ利活用 — Thu thập & bias trong phân tích dữ liệu

• Web クローリング (Crawling): tự động DUYỆT và thu thập dữ liệu từ NHIỀU trang web theo đường link liên kết.
• スクレイピング (Scraping): trích xuất dữ liệu CỤ THỂ (VD: giá sản phẩm, tin tức) từ 1 trang web đã xác định — khác クローリング ở chỗ tập trung VÀO nội dung cụ thể hơn là duyệt rộng.
• 統計的バイアス (Statistical Bias): sai lệch phát sinh do PHƯƠNG PHÁP THỐNG KÊ/lấy mẫu không đại diện.
• 認知バイアス (Cognitive Bias): sai lệch do NHẬN THỨC CHỦ QUAN của con người khi diễn giải dữ liệu (VD: thiên vị xác nhận — chỉ tin vào dữ liệu ủng hộ quan điểm sẵn có).
• Bẫy hay ra thi: phân biệt nguồn gốc sai lệch — 統計的バイアス xuất phát từ CÁCH THU THẬP/PHƯƠNG PHÁP dữ liệu, còn 認知バイアス xuất phát từ NGƯỜI DIỄN GIẢI dữ liệu.

会計 — Chuỗi Doanh thu → Lợi nhuận

• 売上高 (Doanh thu): tổng tiền thu được từ bán hàng/dịch vụ, CHƯA trừ bất kỳ chi phí nào.
• 原価 (Giá vốn hàng bán): chi phí TRỰC TIẾP tạo ra sản phẩm/dịch vụ đã bán — KHÔNG bao gồm chi phí quản lý/bán hàng.
• 粗利益 (Lợi nhuận gộp) = 売上高 − 原価.
• 営業利益 (Lợi nhuận từ hoạt động kinh doanh) = 粗利益 − (chi phí bán hàng + chi phí quản lý chung) — phản ánh lợi nhuận từ HOẠT ĐỘNG KINH DOANH CHÍNH, chưa trừ lãi vay/thuế.
• Bẫy hay ra thi: đề hay cho sẵn 売上高, 原価, chi phí bán hàng/quản lý rồi hỏi tính 粗利益 hay 営業利益 → cần xác định ĐÃ trừ đến khoản chi phí nào. Thứ tự: 売上高 → (− 原価) → 粗利益 → (− chi phí bán hàng/quản lý) → 営業利益.
• Ví dụ số: DN có 売上高 = 10 triệu yên, 原価 = 6 triệu yên → 粗利益 = 4 triệu yên; nếu chi phí bán hàng/quản lý = 1,5 triệu yên → 営業利益 = 2,5 triệu yên.

損益分岐点 (Điểm hòa vốn) — công thức BẮT BUỘC thuộc lòng

• 固定費 (Chi phí cố định): không đổi dù bán được bao nhiêu (VD: tiền thuê mặt bằng, lương cố định).
• 変動費 (Chi phí biến đổi): thay đổi theo sản lượng/doanh số (VD: nguyên vật liệu).
• 変動費率 = 変動費 ÷ 売上高.
• 損益分岐点 (điểm hòa vốn, tính theo doanh thu) = 固定費 ÷ (1 − 変動費率) — mức doanh thu mà tại đó lợi nhuận = 0.
• Ví dụ số: 固定費 = 3 triệu yên, 変動費率 = 0,4 → 損益分岐点 = 3.000.000 ÷ (1 − 0,4) = 5.000.000 yên — nghĩa là DN cần đạt doanh thu 5 triệu yên để hòa vốn.
• Liên hệ: 固定費/変動費 chính là cách TÁCH sâu hơn của phần chi phí nằm giữa 売上高 và 営業利益 (nguyên giá vốn và chi phí quản lý/bán hàng đều có thể phân thành 固定費 + 変動費).

減価償却 (Khấu hao)

• Định nghĩa: kỹ thuật kế toán phân bổ dần giá trị của tài sản CỐ ĐỊNH có giá trị lớn, dùng lâu dài (server, thiết bị văn phòng...) thành chi phí trải qua NHIỀU NĂM sử dụng, thay vì ghi nhận toàn bộ chi phí ngay năm mua.
• Ví dụ số: mua 1 server giá 1.200.000 yên, thời gian sử dụng dự kiến 4 năm → theo phương pháp đường thẳng (定額法), mỗi năm ghi nhận chi phí khấu hao 1.200.000 ÷ 4 = 300.000 yên.
• Bẫy hay ra thi: dù đã trả tiền hết ngay từ đầu, KHÔNG được tính hết chi phí vào 1 năm mua — phải phân bổ qua nhiều năm theo thời gian sử dụng hữu ích (耐用年数) của tài sản.

リース (Leasing) vs レンタル (Renting)

• リース: hợp đồng thuê DÀI HẠN, thường theo yêu cầu/thông số kỹ thuật RIÊNG của bên thuê (bên cho thuê MUA thiết bị đúng yêu cầu rồi cho thuê lại) — thời hạn cố định, khó hủy giữa chừng (gần bản chất "mua trả góp qua hình thức thuê", đặc biệt ファイナンスリース).
• レンタル: hợp đồng thuê NGẮN HẠN, dùng thiết bị CÓ SẴN của bên cho thuê (không đặt hàng riêng), có thể hủy linh hoạt hơn — phù hợp nhu cầu tạm thời.
• Bẫy hay ra thi: phân biệt theo 3 tiêu chí — (1) thời hạn: リース dài vs レンタル ngắn; (2) tính tùy biến thiết bị: リース theo yêu cầu riêng vs レンタル dùng đồ có sẵn; (3) khả năng hủy: リース khó hủy vs レンタル linh hoạt.
• Liên hệ: đây là 2 lựa chọn thay thế cho MUA ĐỨT tài sản (kèm 減価償却) — liên hệ trực tiếp bài toán イニシャルコスト vs ランニングコスト đã học ở A3.

財務諸表 — 貸借対照表 & 流動比率

• 貸借対照表 (Balance Sheet — Bảng cân đối kế toán): 1 trong 2 báo cáo tài chính cơ bản (cùng với キャッシュフロー計算書 — báo cáo lưu chuyển tiền tệ). Tài sản chia thành 流動資産 (tài sản ngắn hạn, dễ chuyển thành tiền trong 1 năm) và 固定資産 (tài sản dài hạn); nợ chia thành 流動負債 (nợ ngắn hạn) và 固定負債 (nợ dài hạn).
• 流動比率 (Current Ratio) = 流動資産 ÷ 流動負債 × 100% — chỉ số đo khả năng thanh toán NGẮN HẠN, càng cao càng an toàn (ngưỡng tham khảo an toàn thường trên 100%, lý tưởng 150-200%).
• Ví dụ số: 流動資産 = 8.000 triệu yên, 流動負債 = 5.000 triệu yên → 流動比率 = 8.000 ÷ 5.000 × 100 = 160% → khả năng thanh toán ngắn hạn tương đối an toàn.
• Bẫy hay ra thi: đề hay cho 2 con số 流動資産/流動負債 (đôi khi lồng trong bảng 貸借対照表) rồi yêu cầu tính % — cần nhớ ĐÚNG chiều phép chia (tài sản ở TỬ SỐ, nợ ở MẪU SỐ), đề có thể đánh tráo vị trí để bẫy.

Bối cảnh xuyên suốt Phần B — đọc trước khi làm bất kỳ mục nào

• Vai của bạn trong hầu hết câu hỏi 科目 B: nhân viên/quản lý của 1 phòng ban nghiệp vụ KHÔNG PHẢI phòng CNTT (kinh doanh, nhân sự...), phụ trách bảo mật thông tin cho phòng ban mình.
• Bạn KHÔNG tự cấu hình firewall, viết code, vá lỗi hệ thống — đó là việc của 情報システム部門. Vai trò của bạn: nhận diện rủi ro, đề xuất yêu cầu, PHỐI HỢP đúng bên (情報システム部門, 契約担当者, 上位者), đảm bảo quy trình được tuân thủ.
• Bẫy lớn nhất xuyên suốt Phần B: đáp án nghe "quyết đoán" kiểu tự xử lý ngay không báo cáo ai → thường SAI. Thứ tự ưu tiên đúng gần như luôn là: báo cáo/xin chỉ thị cấp trên trước → phối hợp đúng bộ phận chuyên trách → hành động theo quy trình đã định sẵn (không tự sáng tạo quy trình mới).