Feedback 04: Security testing

Challenge: ../challenges/04-security-testing.md · Người hỏi: Phuong Cao (Data Protection Officer)

1. Intention: khách thực sự muốn biết gì?

DPO cần bằng chứng độc lập.

2. Điều nên tránh

• Nói 'chúng tôi code an toàn'.
• Tự kiểm tra rồi kết luận.
• Không có kế hoạch sửa lỗi.

3. Cách trả lời

CCA (Control – Compliance – Audit)

Khung nói ngắn gọn:

1. Biện pháp kiểm soát
2. Tuân thủ: xác nhận cùng pháp chế/khách, không đoán
3. Bằng chứng kiểm toán (log, báo cáo)
4. Hỏi đầu mối hoặc chính sách hiện có

4. Câu trả lời mẫu (ngắn gọn)

Security checks run automatically on every code change. Before launch, an independent firm runs a penetration test, and we fix all high-risk findings before go-live. You'll get the report. We repeat the test every year. Do you have a preferred testing firm?

Khoảng 42 từ, nói trong khoảng 20 giây.

Cách giữ ngắn gọn mà vẫn đạt mục tiêu: mở bằng kết luận, mỗi ý một câu, không giải thích kỹ thuật trừ khi được hỏi, và dừng lại bằng câu hỏi để khách dẫn tiếp.

5. Vì sao câu trả lời này hiệu quả

Kiểm tra liên tục + kiểm thử độc lập + báo cáo cho khách.