Lộ trình Security Essentials qua 17 mục tiêu: rủi ro, mật mã, thiết bị, mạng và danh tính; bổ sung thực hành hiện hành, bài tập và tiêu chí kiểm chứng.
Một nhân viên nhận thư yêu cầu đổi mật khẩu, laptop có bản cập nhật chờ cài và thư mục làm việc chưa từng được thử phục hồi. Ba việc có vẻ cùng là “bảo mật”, nhưng mỗi việc liên quan một tài sản, cơ chế và quyết định khác nhau. Security Essentials giúp bạn phân biệt chúng trước khi chọn công cụ hoặc thao tác.
Lộ trình này dành cho người mới học CNTT, người dùng có trách nhiệm với thiết bị của mình và IT Help Desk. Mục tiêu là giải thích rủi ro, thực hiện biện pháp phòng vệ phù hợp và đưa ra bằng chứng có giới hạn rõ ràng. Bạn không cần bắt đầu bằng lập trình hay một bộ công cụ kiểm thử xâm nhập.
Sau nhánh học, bạn nên lập được sơ đồ tài sản đơn giản, phân biệt mã hóa với xác thực, kiểm tra cách bảo vệ thiết bị và tài khoản, rồi mô tả bước xử lý hoặc chuyển cấp khi thấy sự cố. Đây là kết quả học tập của chuỗi bài; hoàn thành bài đọc chưa chứng minh hệ thống của tổ chức đã an toàn.
Khung tham chiếu là PDF tiếng Việt LPI-Learning-Material-020-100-vi, bản ghi ngày 15/04/2026. Tại mốc kiểm tra 23/10/2026, LPI công bố mục tiêu Security Essentials 020-100 phiên bản 1.0, phần thông tin phiên bản ghi 1.0.0. Nhánh này ánh xạ 17 mục tiêu, từ 021.1 đến 025.3, theo năm chủ đề.
Các bài được viết độc lập với ví dụ, câu hỏi và hình mới. PDF cung cấp khung tham chiếu, không được đăng lại dưới dạng sửa đổi. Mỗi bài cần phân biệt nội dung nền tảng, điểm cải biên kỹ thuật và phần mở rộng thực tế. Sự trùng mã thi không có nghĩa mọi hướng dẫn thực hành trong giáo trình luôn phù hợp với mọi phiên bản phần mềm.
Một ví dụ cập nhật là NIST SP 800-63B-4, ban hành tháng 7/2025. Chuỗi dùng nguồn này để đối chiếu xác thực và vòng đời authenticator, đồng thời phân biệt hướng dẫn NIST với yêu cầu cụ thể của từng tổ chức. Không lấy tên một tiêu chuẩn làm bằng chứng sản phẩm hay tài khoản của bạn đã tuân thủ tiêu chuẩn đó.
Bạn cần biết mở cài đặt thiết bị, quản lý tệp, phân biệt trình duyệt với dịch vụ web và đọc thông báo lỗi. Kiến thức Linux trước đó hữu ích cho những lab dùng dòng lệnh, nhưng không phải điều kiện cho mọi bài nhận diện rủi ro hoặc quyền riêng tư. Khi một bài cần công cụ riêng, điều kiện được ghi ở đầu bài.
Chuẩn bị tài khoản thử nghiệm, tệp giả lập và nơi ghi chú không chứa bí mật. Không dùng mật khẩu thật, private key, bản sao dữ liệu khách hàng hoặc log có thông tin cá nhân để luyện.
Mỗi lab phải ghi hệ điều hành, phiên bản công cụ, phạm vi kết nối và tiêu chí đạt. Với bài không có lệnh, bài tập tình huống và sản phẩm bàn giao là bằng chứng học tập tương ứng. Roadmap này không nhận là đã chạy các lab tương lai hoặc đã thay đổi cấu hình bảo mật trên tài khoản thật.
Ba bài đầu giúp bạn nói rõ điều gì cần bảo vệ, điều gì có thể xảy ra và ai được phép quyết định. Một thiết bị ngừng hoạt động, dữ liệu bị đọc ngoài ý muốn và báo cáo bị sửa sai tạo ảnh hưởng khác nhau. Cần tách mục tiêu bảo vệ thay vì gắn một nhãn chung cho mọi cảnh báo.
Đầu ra nên là một phiếu ngắn gồm tài sản, người chịu trách nhiệm, tình huống đe dọa, tác động và điều chưa biết. Đánh giá rủi ro cần bối cảnh; một điểm số công khai không tự quyết định thứ tự sửa của mọi tổ chức. Bài đạo đức đặt giới hạn quyền hành động và cách xử lý dữ liệu trong lúc hỗ trợ.
Bạn đạt chặng này khi giải thích được vì sao một hành động được đề xuất và ai cần chấp thuận nó. Chưa có bằng chứng về nguyên nhân thì ghi giả thuyết. Không gán sự cố cho một cá nhân hay nhóm chỉ từ dấu hiệu kỹ thuật đơn lẻ.
Bốn bài tiếp theo đi qua nền tảng mật mã, web, email và lưu trữ. Câu hỏi xuyên suốt là dữ liệu được bảo vệ khi nào, khỏi ai và bằng khóa nào. Mã hóa khi truyền khác mã hóa khi lưu; dữ liệu có thể được giải mã tại một điểm trung gian tùy kiến trúc dịch vụ.
Người học cần đọc được ý nghĩa của chứng chỉ và thông báo lỗi ở mức nhập môn. Một kết nối HTTPS không tự chứng minh nội dung trang đáng tin, còn một tệp được mã hóa vẫn cần quản lý khóa và cách khôi phục. Đừng bỏ qua lỗi xác minh để làm lab báo thành công.
Sản phẩm học tập là sơ đồ dữ liệu đi qua các điểm cùng cách bảo vệ và người giữ khóa. Khi thử công cụ, dùng fixture và kiểm tra giải mã/phục hồi có chủ đích. Không thiết kế thuật toán mật mã riêng hoặc đưa ví dụ nhập môn thành chính sách triển khai cho hệ thống thật.
Bốn bài về thiết bị tập trung vào trạng thái phần cứng, ứng dụng, phần mềm độc hại và dữ liệu còn dùng được. Cập nhật, giới hạn quyền và nguồn phần mềm là những phần của một quy trình, không phải các nút bấm đảm bảo hết mọi nguy cơ.
Khi xử lý dấu hiệu bất thường, phân biệt điều đang quan sát với chẩn đoán đã được xác nhận. Một máy chậm có thể có nhiều nguyên nhân; nhãn “malware” cần bằng chứng phù hợp. Nếu phải cô lập hoặc làm gián đoạn công việc, bài sẽ giải thích tác động ngay ở bước đó và điều kiện chuyển cho IT phụ trách.
Đầu ra về backup phải gồm một lần thử phục hồi fixture và điều chưa kiểm tra. Có file archive không chứng minh phục hồi được dịch vụ, danh tính hay toàn bộ metadata. Tính khả dụng cần xem cả phương án khôi phục khi thiết bị hoặc tài khoản chính không còn dùng được.
Ba bài mạng nối kiến thức giao tiếp với firewall, phân đoạn, VPN và giới hạn ẩn danh. Bạn học đặt câu hỏi ở đúng nơi: lỗi phân giải tên, tuyến đường, kết nối dịch vụ hay hành vi ứng dụng. Kết quả kiểm tra một lớp không đại diện cho mọi lớp còn lại.
VPN tạo một ranh giới kết nối theo cách triển khai, không làm mọi website hoặc thiết bị đầu cuối tự đáng tin. Tương tự, một công cụ hỗ trợ riêng tư có phạm vi và điều kiện sử dụng. Các bài chỉ bổ sung mức nhập môn cần để hiểu luồng dữ liệu, không biến chuỗi thành khóa cấu hình mạng nâng cao.
Tiêu chí đạt là mô tả được đường đi dự kiến, dữ kiện đã thu và nơi cần chuyển cấp. Những phép thử kết nối phải giới hạn tới tài sản lab hoặc đích được cho phép. Không dùng một lab thành công để khẳng định mạng văn phòng đã được đánh giá toàn diện.
Ba bài cuối xem tài khoản trong cả vòng đời: đăng ký, xác thực, khôi phục và thu hồi. Hướng dẫn xác thực hiện hành của NIST phân biệt các mức bảo đảm và cơ chế chống phishing. Vì vậy, không gọi mọi dạng MFA là tương đương về khả năng chống phishing.
Passkeys và các cơ chế khóa công khai được bổ sung theo vai trò thực tế; cách đồng bộ, khôi phục và policy vẫn cần được hiểu. Người học cũng cần kiểm tra người nhận, quyền chia sẻ và dấu vết dữ liệu trước khi giao tiếp. Một kênh mã hóa chưa giải quyết việc gửi đúng người hay giới hạn dữ liệu đúng mục đích.
Đầu ra của chặng là kế hoạch bảo vệ và khôi phục danh tính cho một tình huống giả, không chứa recovery code thật. Phần quyền riêng tư yêu cầu xem dữ liệu được thu, chia sẻ, lưu giữ và xóa theo bối cảnh. Bài học kỹ thuật không thay cho đánh giá pháp lý áp dụng cho một tổ chức cụ thể.
Các bài chưa hoàn thiện được ghi rõ đang biên soạn; chỉ liên kết khi có bài đã đóng gói để đọc. Roadmap giữ thứ tự mục tiêu để bạn quay lại nguồn tham chiếu khi cần.
Có thể đọc phần danh tính sớm nếu công việc cần, rồi dùng danh sách để kiểm tra các khoảng trống còn lại.
Giả định nhóm có một cổng hỗ trợ, một laptop của nhân viên và bản sao dữ liệu công việc. Không truy cập hệ thống thật. Viết một phiếu tình huống với các phần sau:
Ví dụ tự biên soạn: với nguy cơ không đăng nhập được cổng hỗ trợ, “bật MFA” chưa mô tả đường phục hồi khi mất thiết bị. Phiếu tốt cần câu hỏi về authenticator dự phòng, người phê duyệt khôi phục và cách tránh cấp lại quyền cho sai người. Không ghi mã dự phòng thật vào phiếu.
Đây là bài tập trên giấy, không phải thử nghiệm tấn công hay audit dịch vụ.
Một ghi chú học tập nên đủ để người khác hiểu bạn đã làm gì: phiên bản, dữ liệu giả sử dụng, thao tác, kết quả mong đợi, kết quả quan sát và điều chưa kiểm chứng. Nếu chỉ đọc tài liệu, ghi là đối chiếu tài liệu; nếu đã chạy lab, giữ phạm vi và output liên quan. Không gọi một hình minh họa là ảnh chụp kiểm thử.
NIST Cybersecurity Framework 2.0 là nguồn mở rộng để nhìn quản lý rủi ro ở cấp tổ chức. Chuỗi Essentials chỉ dùng góc nhìn đó để nhắc rằng bảo vệ, phát hiện và phục hồi cần được gắn với trách nhiệm; không nhận roadmap này là một chương trình triển khai hoặc chứng nhận CSF.
Bạn sẵn sàng vào bài đầu khi giải thích được tài sản muốn bảo vệ, nêu giới hạn quyền hành động và chọn được một bằng chứng để kiểm tra giả thuyết. Học xong một chặng, quay lại phiếu ban đầu và sửa lập luận theo điều mới biết. Bắt đầu với 021.1: mục tiêu, vai trò và tác nhân; các lab chi tiết sẽ được kiểm chứng và ghi môi trường ở từng bài.
Học bảo vệ quyền riêng tư qua cookie, fingerprinting, hồ sơ và quyền dữ liệu; thực hành quan sát cookie trong lab riêng, phân biệt xóa cục bộ và log server.
Học giao tiếp an toàn qua phishing, tệp đính kèm, phân loại thông tin và quyền cloud; thực hành xác minh người nhận, giảm dữ liệu và xử lý chia sẻ nhầm.
Hiểu danh tính và xác thực với mật khẩu, MFA, passkeys và SSO; đối chiếu NIST 800-63B-4, thực hành salt và băm, lập đường khôi phục tài khoản phù hợp.
Phân biệt mã hóa mạng và ẩn danh với VPN, proxy, Tor và E2EE; đọc ranh giới bảo vệ, hiểu bút danh blockchain qua bốn tình huống thực hành giả định.