Feedback 01: Card data on cloud

Challenge: ../challenges/01-card-data-on-cloud.md · Người hỏi: Kevin Tran (CISO)

1. Intention: khách thực sự muốn biết gì?

CISO muốn biết bạn giảm phạm vi rủi ro thế nào, không phải bạn biết tên tiêu chuẩn.

2. Điều nên tránh

• Nói 'AWS đã đạt chuẩn nên chúng ta cũng đạt'.
• Liệt kê thuật ngữ bảo mật dài.
• Hứa chứng nhận thay khách.

3. Cách trả lời

CCA (Control – Compliance – Audit)

Khung nói ngắn gọn:

1. Biện pháp kiểm soát
2. Tuân thủ: xác nhận cùng pháp chế/khách, không đoán
3. Bằng chứng kiểm toán (log, báo cáo)
4. Hỏi đầu mối hoặc chính sách hiện có

4. Câu trả lời mẫu (ngắn gọn)

The best approach is to keep card data out of our system. The payment gateway handles card details and we only store tokens, which shrinks the scope a lot. For what remains, we use AWS services that support the standard, encryption everywhere, and strict access controls. Your assessor still certifies the result, and we'll give them the evidence they need. Who is your current assessor?

Khoảng 65 từ, nói trong khoảng 30 giây.

Cách giữ ngắn gọn mà vẫn đạt mục tiêu: mở bằng kết luận, mỗi ý một câu, không giải thích kỹ thuật trừ khi được hỏi, và dừng lại bằng câu hỏi để khách dẫn tiếp.

5. Vì sao câu trả lời này hiệu quả

Giảm phạm vi là chiến lược đúng; phân rõ trách nhiệm chứng nhận thuộc về khách và assessor.