Feedback 05: Who is accountable for a breach

Challenge: ../challenges/05-who-is-accountable-for-a-breach.md · Người hỏi: Kevin Tran (CISO)

1. Intention: khách thực sự muốn biết gì?

CISO muốn phân định trách nhiệm rõ ràng trước khi ký.

2. Điều nên tránh

• Đổ hết cho AWS hoặc cho khách.
• Hứa nhận toàn bộ trách nhiệm.
• Trả lời mơ hồ.

3. Cách trả lời

CCA (Control – Compliance – Audit)

Khung nói ngắn gọn:

1. Biện pháp kiểm soát
2. Tuân thủ: xác nhận cùng pháp chế/khách, không đoán
3. Bằng chứng kiểm toán (log, báo cáo)
4. Hỏi đầu mối hoặc chính sách hiện có

4. Câu trả lời mẫu (ngắn gọn)

It's shared, and we'll write it down clearly. AWS secures the underlying infrastructure. We're responsible for building and configuring the system securely. Your team owns user access and data policies. We'll put a responsibility matrix and an incident response plan in the contract, and run a breach drill before go-live. Shall we draft that matrix together?

Khoảng 56 từ, nói trong khoảng 25 giây.

Cách giữ ngắn gọn mà vẫn đạt mục tiêu: mở bằng kết luận, mỗi ý một câu, không giải thích kỹ thuật trừ khi được hỏi, và dừng lại bằng câu hỏi để khách dẫn tiếp.

5. Vì sao câu trả lời này hiệu quả

Giải thích mô hình trách nhiệm chia sẻ đơn giản; biến câu hỏi thành tài liệu và diễn tập cụ thể.