Thử thách: phân loại tám phát hiện thật

Đây là một challenge: chỉ có mục tiêu. Không có bước nào dắt tay, và đó là chủ ý — bài này là chỗ bạn chứng minh mình tự làm được những gì ba bài trước đã dạy.

Tình huống. Bạn là developer backend duy nhất của một sản phẩm SaaS B2B nhỏ: khách hàng là các công ty, mỗi công ty có nhiều người dùng, dữ liệu là hoá đơn và hợp đồng. Một đợt pentest vừa trả về tám phát hiện. Bạn có một tuần, không có ai hỗ trợ, và tech lead sẽ hỏi "vì sao cái này trước cái kia".

Việc phải làm. Với mỗi phát hiện, trả lời bốn câu:

1. Hạng mục nào trong Top 10:2025?
2. Tầng nào — code ứng dụng, cấu hình/hạ tầng, quy trình, hay một quyết định nghiệp vụ?
3. Ai vá?
4. Thứ tự thứ mấy, và vì sao?

Câu thứ tư là câu duy nhất được tính. Ba câu đầu là phân loại; câu thứ tư là phán đoán, và phán đoán là thứ không tra được ở đâu.