Feedback 03: Developer access to production

Challenge: ../challenges/03-developer-access-to-production.md · Người hỏi: Kevin Tran (CISO)

1. Intention: khách thực sự muốn biết gì?

CISO muốn nghe nguyên tắc least privilege và cách xử lý dữ liệu thật trong test.

2. Điều nên tránh

• Nói 'có, để debug cho nhanh'.
• Nói 'không bao giờ' (không thực tế khi hỗ trợ sự cố).
• Không nhắc tới log/kiểm toán.

3. Cách trả lời

CCA (Control – Compliance – Audit)

Khung nói ngắn gọn:

1. Biện pháp kiểm soát
2. Tuân thủ: xác nhận cùng pháp chế/khách, không đoán
3. Bằng chứng kiểm toán (log, báo cáo)
4. Hỏi đầu mối hoặc chính sách hiện có

4. Câu trả lời mẫu (ngắn gọn)

Not by default. Developers work with masked test data. For production incidents, a small named group gets temporary access, approved by your team, logged and removed automatically afterward. You'll see every access in an audit report. Does that match your access policy?

Khoảng 42 từ, nói trong khoảng 20 giây.

Cách giữ ngắn gọn mà vẫn đạt mục tiêu: mở bằng kết luận, mỗi ý một câu, không giải thích kỹ thuật trừ khi được hỏi, và dừng lại bằng câu hỏi để khách dẫn tiếp.

5. Vì sao câu trả lời này hiệu quả

Mặc định không có quyền, có ngoại lệ được kiểm soát và kiểm toán: thực tế và an toàn.