Chief Information Offlicer (CIO)

Phần lớn sự cố cloud đến từ cấu hình sai và quản lý danh tính lỏng lẻo, không phải lỗ hổng của nhà cung cấp.

Lỗi nguy hiểm hay gặp:

• Bucket/storage để public, database mở ra Internet.
• Access key dài hạn bị lộ, quyền quá rộng.
• Tắt hoặc không bật log audit.

Biện pháp:

• IAM least privilege, ưu tiên role và credential ngắn hạn; MFA cho mọi người.
• Guardrail cấp tổ chức chặn cấu hình nguy hiểm.
• Bật log audit, đưa vào SIEM; dùng công cụ CSPM để phát hiện cấu hình sai liên tục.
• Mã hoá mặc định, quản lý khoá tập trung.
• Hạ tầng qua IaC có quét và review.

Người phỏng vấn muốn nghe: nắm mô hình trách nhiệm chung giữa bạn và nhà cung cấp.

Ưu tiên theo rủi ro: chặn những con đường tấn công phổ biến nhất với chi phí thấp nhất trước.

Thứ tự hợp lý:

1. Kiểm kê tài sản và dữ liệu quan trọng: không biết có gì thì không bảo vệ được.
2. MFA cho email, VPN, tài khoản quản trị, cloud.
3. Quản lý bản vá, nhất là hệ thống lộ ra Internet.
4. Backup tách rời, có diễn tập khôi phục.
5. EDR trên máy trạm và server, log tập trung.
6. Đào tạo nhận diện phishing, quy trình báo cáo dễ dàng.

Đo lường: tỷ lệ tài khoản có MFA, thời gian vá lỗ hổng nghiêm trọng, thời gian phát hiện và xử lý sự cố, kết quả diễn tập.

Người phỏng vấn muốn nghe: nói được ngôn ngữ rủi ro kinh doanh với ban lãnh đạo.

CIA là ba mục tiêu cốt lõi: Confidentiality (bí mật), Integrity (toàn vẹn), Availability (sẵn sàng). Mọi biện pháp bảo mật đều nhằm bảo vệ ít nhất một trong ba.

• Confidentiality: mã hoá dữ liệu khi lưu và truyền, phân quyền theo least privilege, MFA.
• Integrity: hash và chữ ký số, kiểm soát thay đổi, log audit không sửa được.
• Availability: dự phòng, backup, chống DDoS, vá lỗi kịp thời.

Người phỏng vấn muốn nghe: các yếu tố đôi khi xung đột, ví dụ khoá tài khoản sau nhiều lần sai mật khẩu tăng bí mật nhưng có thể bị lạm dụng để làm người dùng thật không đăng nhập được.

Không chỉ "đúng hạn, đúng ngân sách", mà còn giá trị mang lại và sức khoẻ của team.

• Dự án: tiến độ theo mốc, chi phí so với ngân sách, phạm vi bàn giao, chất lượng (bug sau release, số lần hotfix), mức hài lòng của khách hàng.
• Sản phẩm: chỉ số gắn với mục tiêu như người dùng hoạt động, tỷ lệ chuyển đổi, tỷ lệ giữ chân, doanh thu, chi phí vận hành giảm.
• Team: tốc độ ổn định, ít OT kéo dài, tỷ lệ nghỉ việc thấp, retrospective có cải tiến thật.

Ví dụ: "Dự án trước bàn giao trễ hai tuần so với kế hoạch ban đầu nhưng khách đã đồng ý từ sớm vì đổi phạm vi; sau go-live ít lỗi nghiêm trọng và khách ký tiếp giai đoạn 2. Em coi đó là thành công."

Hay sai: chỉ nói về output (số tính năng) mà không nói outcome.

Scrum là framework làm việc theo sprint ngắn (thường 1–4 tuần), mỗi sprint tạo ra phần sản phẩm dùng được.

• Vai trò: Product Owner (giá trị sản phẩm, ưu tiên backlog), Scrum Master (giúp team làm Scrum hiệu quả, gỡ vướng mắc), Developers (cả dev, tester, designer cùng tạo ra increment).
• Sự kiện: Sprint Planning, Daily Scrum, Sprint Review (demo cho stakeholder), Sprint Retrospective (cải tiến cách làm). Refinement là hoạt động thường xuyên.
• Artifact: Product Backlog, Sprint Backlog, Increment; kèm cam kết là Product Goal, Sprint Goal, Definition of Done.

Hay sai: coi Daily là buổi báo cáo cho PM, hoặc nói Scrum Master là "sếp" của team. Nếu dự án bạn làm "Scrum kiểu riêng", cứ nói thật và giải thích vì sao.

Đối xứng dùng một khoá cho cả mã hoá và giải mã (AES), nhanh; bất đối xứng dùng cặp khoá công khai/bí mật (RSA, ECC), dùng cho trao đổi khoá và chữ ký số; hash là hàm một chiều, không giải mã được.

• HTTPS kết hợp cả hai: bất đối xứng để thoả thuận khoá, đối xứng để mã hoá dữ liệu.
• Mật khẩu: lưu bằng hàm hash chậm có salt như Argon2id, bcrypt hoặc scrypt.

Hay sai:

• Lưu mật khẩu bằng MD5/SHA-256 thuần: quá nhanh, dễ bị dò hàng loạt.
• Gọi base64 là "mã hoá".
• Mã hoá mật khẩu (giải ngược được) thay vì hash.

SQL injection xảy ra khi dữ liệu người dùng được ghép thẳng vào câu SQL, khiến dữ liệu bị hiểu thành lệnh. Cách phòng chính là tách dữ liệu khỏi câu lệnh.

// Sai: ghép chuỗi
db.query("SELECT * FROM users WHERE email = '" + email + "'");
// Đúng: tham số hoá
db.query("SELECT * FROM users WHERE email = $1", [email]);

• Dùng prepared statement hoặc ORM đúng cách; cẩn thận với các hàm cho viết raw SQL.
• Tên cột/bảng động thì kiểm tra theo danh sách cho phép.
• Tài khoản DB của ứng dụng chỉ có quyền tối thiểu.
• WAF và SAST là lớp bổ sung, không thay cho code đúng.

XSS là khi script lạ chạy trong trang của bạn trên trình duyệt người dùng; CSRF là khi trang khác lợi dụng phiên đăng nhập của người dùng để gửi request thay họ.

Phòng XSS:

• Escape đầu ra theo ngữ cảnh (framework hiện đại làm mặc định); cẩn thận với dangerouslySetInnerHTML, innerHTML.
• Sanitize HTML do người dùng nhập bằng thư viện uy tín.
• Content-Security-Policy, cookie phiên đặt HttpOnly.

Phòng CSRF:

• Cookie SameSite=Lax hoặc Strict.
• CSRF token cho request thay đổi dữ liệu; kiểm tra header Origin.
• Không dùng GET để thay đổi trạng thái.

Hay sai: nghĩ HTTPS chống được XSS hay CSRF.

Scrum làm theo nhịp sprint cố định với cam kết đầu sprint; Kanban là luồng liên tục, giới hạn số việc đang làm (WIP limit) và tối ưu thời gian hoàn thành.

• Scrum hợp với phát triển sản phẩm có lộ trình, cần nhịp demo và lập kế hoạch đều đặn.
• Kanban hợp với việc đến liên tục và khó dự đoán: vận hành, hỗ trợ, bảo trì, xử lý ticket khách hàng.
• Chỉ số: Scrum thường nhìn velocity, burndown; Kanban nhìn lead time, cycle time, throughput.
• Nhiều team kết hợp: sprint cho tính năng, một làn Kanban cho bug gấp.

Người phỏng vấn muốn nghe: bạn chọn theo bản chất công việc, không theo sở thích. Ví dụ: "Team maintain hệ thống cho khách, yêu cầu đến mỗi ngày, em chuyển sang Kanban với WIP limit và cam kết thời gian phản hồi theo mức ưu tiên."

Chọn điểm yếu thật, không chí mạng với vị trí, và cho thấy bạn đang cải thiện.

Cấu trúc: điểm yếu, ảnh hưởng đã gặp, việc bạn đang làm để khắc phục, tiến bộ đến nay.

Câu mẫu: "Trước đây em hay ngại hỏi khi bị kẹt, tự loay hoay quá lâu, có lần làm trễ task. Giờ em tự đặt giới hạn: kẹt quá một hai giờ mà không có hướng thì em hỏi đồng đội, kèm những gì đã thử. Từ khi làm vậy em xong việc đúng hạn hơn và học được nhanh hơn từ người khác."

Ví dụ khác có thể dùng: chưa quen nói trước đám đông, tiếng Anh nói chưa trôi chảy, hay ôm việc.

Hay sai: "Điểm yếu của em là quá cầu toàn" (nghe như né câu hỏi), hoặc nêu điểm yếu là kỹ năng cốt lõi của vị trí.