Ngày 19: Compliance · Lộ trình 30 ngày chinh phục Microsoft Azure Fundamentals

Bài giảng hôm nay

Học hiểu, rồi mới thực hành

Đọc compliance như một chuỗi evidence và responsibility: Azure Compliance Manager, Trust Center, certification scope và customer controls.

Bắt đầu đọc bài giảng

Nhiệm vụ bài học hôm nay

Tìm hiểu Azure Compliance Manager, Trust Center
Đọc qua các chứng chỉ tuân thủ phổ biến

Instructor walkthrough

Bài giảng chi tiết: từ bài toán đến bằng chứng

Scenario xuyên suốt

Một khách hàng yêu cầu “Azure compliant” nhưng chưa nói framework, workload, region, data type hay control evidence. Team có chứng chỉ của provider nhưng thiếu bằng chứng cấu hình customer, nên không thể kết luận compliance.

01Đọc bài toán

Xác định actor, workload, constraint và trạng thái cuối cần đạt.

02Vẽ luồng / boundary

Chỉ ra request, dependency, identity và failure domain trước khi chọn công cụ.

03Chọn và thực hành

Thay đổi nhỏ nhất trong lab cô lập; command nào cũng phải nói rõ nó kiểm tra điều gì.

04Kiểm chứng / recovery

Đối chiếu trạng thái thực tế, tạo một failure variant và ghi cách hoàn tác.

Cách nối lý thuyết với thực tế

Compliance certification của provider có scope/service/region/time; không phải blanket approval cho mọi workload.
Trust Center cung cấp thông tin về privacy, security, compliance và practices; cần đọc nguồn chính thức/hiện hành.
Compliance Manager/assessment giúp map improvement actions/evidence nhưng không tự certify organization.
Customer phải xác định framework, data classification, control owner, evidence, retention và exception.

Compliance là claim có scope

Bắt đầu bằng framework, geography, service, data classification và control objective. Sau đó hỏi: ai sở hữu control, evidence ở đâu, thu thập bao lâu một lần và auditor cần gì?

Provider evidence và customer evidence

Trust Center/Compliance Manager có thể cung cấp information, assessment hoặc mapping; certification của Azure có phạm vi nhất định. Customer vẫn phải cấu hình identity, encryption, logging, retention, access review, incident response và vendor/process controls.

Đừng viết “Azure compliant” mà không ghi framework/version/region/service/date. Một evidence cũ hoặc sai scope không đủ để đóng finding.

Bài tập

Tạo compliance brief và gap register cho storage chứa PII. Map access review, encryption và audit logging; ghi provider/customer responsibility, evidence, owner, frequency, retention và remediation.

Checkpoint

Bạn đạt bài khi biến một yêu cầu mơ hồ thành control/evidence có scope và có thể audit.

Terminal reference

Command list và cách dùng

Chạy từng lệnh theo đúng thứ tự. Trước các lệnh có thể tạo hoặc thay đổi tài nguyên, hãy kiểm tra profile, account và region.

Commands · read-only checkpoints

az account show --output table
az account list --output table
az group list --output table

Hands-on lab

Thực hành theo scenario

Tạo compliance brief: framework, scope, region, data, assets, control owner, evidence source, frequency và acceptance criteria.
Chọn ba controls (access review, encryption, logging) và map provider responsibility/customer implementation/evidence.
Dùng Compliance Manager/Trust Center documentation ở mức review; không ghi claim certification nếu chưa kiểm tra scope/version/date.
Viết gap register với finding, risk, owner, due date, compensating control và auditor evidence.

Evidence checkpoint

Kiểm chứng kết quả

Không coi lệnh chạy thành công là đủ. Hãy đối chiếu output với trạng thái mong đợi:

Nêu được framework/scope trước khi nói compliant.
Phân biệt provider attestation với customer evidence.
Control mapping có owner/frequency/evidence.
Claim có source/date/scope và không overstate.
Gap register có remediation và review trail.

Transfer to exam / production

Bẫy thường gặp và trade-off

Compliance question thường kiểm tra shared responsibility và scope của certification. “Azure có chứng chỉ X” không có nghĩa workload của bạn tự động compliant X.

Checkpoint · 3 phút

Kiểm tra nhanh

Câu hỏi: Tuyên bố nào chính xác nhất về một Azure compliance certification?

Kết thúc bài

Checklist trước khi sang Ngày 2

Xác định framework/scope/data/region.
Phân biệt provider/customer evidence.
Map control owner/frequency/evidence.
Không overclaim certification.
Có gap register/remediation.