Khoá của tôi
Các bài trong khoáBài 29/38

38 bài

Bảng tóm tắt

Domain 1: Solution Design & Architecture

  1. 1.1Từ bài toán kinh doanh đến giải pháp dùng Claude
  2. 1.2Thiết kế kiến trúc đầu cuối
  3. 1.3Chọn augmented LLM, workflow hay agent
  4. 1.4Thiết kế hệ nhiều agent và cách điều phối
  5. 1.5Chia nhỏ bài toán phức tạp
  6. 1.6Gắn giải pháp với các trụ cột giá trị kinh doanh

Domain 2: Claude Models, Prompting & Context Engineering

  1. 2.1Chọn model Claude theo đánh đổi
  2. 2.2Thiết kế system prompt, template và guardrail
  3. 2.3Zero-shot, few-shot và chain-of-thought
  4. 2.4Tối ưu context window và quản lý token
  5. 2.5Dùng lại prompt bằng caching, module và Skills

Domain 3: Integration

  1. 3.1Đánh giá cấu hình tool bị thừa năng lực
  2. 3.2Phân tích xác thực và phân quyền để tìm lỗ hổng
  3. 3.3Đánh đổi độ chính xác và độ trễ
  4. 3.4Quan sát hệ thống agent ở quy mô lớn
  5. 3.5Thiết kế pipeline RAG, chia chunk và đánh chỉ mục
  6. 3.6Chọn chiến lược truy xuất theo dữ liệu và kiểu câu hỏi
  7. 3.7Chọn cơ chế tích hợp MCP, API/CLI hay agent-to-agent
  8. 3.8Nạp dần hay nạp hết context

Domain 4: Evaluation, Testing & Optimization

  1. 4.1Định nghĩa chỉ số đánh giá
  2. 4.2Thiết kế bộ dữ liệu đánh giá và khung kiểm thử
  3. 4.3A/B test và cải tiến lặp
  4. 4.4Chẩn đoán sự cố của hệ thống dùng Claude
  5. 4.5Tối ưu token, độ trễ và chi phí so với hiệu năng
  6. 4.6Giám sát hiệu năng bằng log và công cụ quan sát

Domain 5: Governance, Safety & Risk Management

  1. 5.1Triển khai guardrail và kiểm soát an toàn
  2. 5.2Nhận diện rủi ro, giới hạn và kiểu hỏng của hệ thống LLM
  3. 5.3Áp dụng người duyệt trong vòng lặp
  4. 5.4Bảo đảm tuân thủ quy định như GDPR, HIPAA, FedRAMP
    1. Ví dụ xuyên suốt: công ty phần mềm y tế
    2. Xác định trước khi đối chiếu
    3. Ai xử lý dữ liệu, giữ bao lâu
    4. HIPAA
    5. GDPR và FedRAMP
    6. Kiểm soát nào phải nằm ở ứng dụng
  5. 5.5Đạo đức AI, gồm thiên lệch, công bằng và minh bạch

Domain 6: Stakeholder Communication & Lifecycle Management

  1. 6.1Khảo sát có cấu trúc và thu thập yêu cầu
  2. 6.2Trình bày quyết định kiến trúc và các đánh đổi
  3. 6.3Vòng phản hồi, kỳ vọng của các bên và SLA
  4. 6.4Viết tài liệu kiến trúc và hướng dẫn triển khai
  5. 6.5Đồng hành qua các giai đoạn của vòng đời giải pháp

Domain 7: Developer Productivity & Operational Enablement

  1. 7.1Cấu hình Claude Code cho cả đội
  2. 7.2Cải thiện quy trình lập trình bằng công cụ AI
  3. 7.3Gỡ lỗi và xử lý sự cố vận hành Claude Code

Domain 5: Governance, Safety & Risk Management·Task 5.4

Bảo đảm tuân thủ quy định như GDPR, HIPAA, FedRAMP

Xác định quy định áp dụng, ai xử lý dữ liệu, dữ liệu giữ bao lâu, ZDR khác HIPAA readiness ra sao, DPA cho GDPR, và kiểm soát nào phải nằm ở ứng dụng.

  • 8 phút đọc
  • Đối chiếu docs 02/11/2026
  • 7 nguồn

Đọc xong bạn nắm được

  • Xác định quy định áp dụng và kiểm kê công cụ tuân thủ có sẵn trước khi so điều khoản
  • Biết ai là bên xử lý dữ liệu tuỳ cách triển khai Claude
  • Phân biệt chính sách lưu dữ liệu mặc định, Zero Data Retention và HIPAA readiness
  • Nêu các thành phần của một tư thế GDPR đầy đủ, và cách tra FedRAMP
  • Nhận ra kiểm soát tuân thủ nào phải nằm ở tầng ứng dụng

Tuân thủ không phải là một công tắc bật trong cấu hình. Nó là chuỗi câu hỏi: quy định nào áp dụng cho dữ liệu này, ai đang xử lý nó, nó được giữ ở đâu và bao lâu, hợp đồng nào ràng buộc các bên, và những kiểm soát nào ứng dụng của bạn phải tự làm.

Bài này giúp bạn trả lời: đưa Claude vào một hệ thống chịu quy định như GDPR, HIPAA hay FedRAMP thì phải kiểm gì?

Ví dụ xuyên suốt: công ty phần mềm y tế

Một công ty phần mềm làm trợ lý ghi chép khám bệnh, tóm tắt cuộc khám thành hồ sơ. Khách hàng gồm phòng khám ở Mỹ (dữ liệu sức khoẻ, chịu HIPAA), phòng khám ở châu Âu (dữ liệu cá nhân, chịu GDPR), và công ty đang chuẩn bị dự thầu cho một cơ quan liên bang Mỹ (thường đòi FedRAMP).

Xác định trước khi đối chiếu

  1. Quy định nào thật sự áp dụng, xét theo loại dữ liệu, khu vực pháp lý và đối tượng người dùng?Xác định phạm vi áp dụng
  2. Nhà cung cấp đang có những công cụ và cam kết tuân thủ nào, và cái nào đã bật?Kiểm kê công cụ tuân thủ của nhà cung cấp
  3. Kiểm soát hiện có so với yêu cầu thiếu ở đâu?So kiểm soát với điều khoản, tìm khoảng trống
  4. Còn lạiLên kế hoạch khắc phục theo mức ưu tiên, ghi lại khoảng trống và rủi ro còn lại

Ai xử lý dữ liệu, giữ bao lâu

Câu hỏi đầu tiên với mọi quy định bảo vệ dữ liệu: ai xử lý prompt và câu trả lời? Docs của Anthropic về lưu dữ liệu nói khi dùng Claude qua Amazon Bedrock hay Google Cloud (bản do Google quản lý), nhà cung cấp cloud là bên xử lý dữ liệu, và bạn tra chính sách, chứng nhận của họ. Khi dùng Claude API trực tiếp (hay các bản do Anthropic vận hành trên AWS, Google Cloud), chính sách của Anthropic áp dụng.

Dữ liệu được giữ bao lâu

Chế độNghĩa là
Mặc định của APIAnthropic xoá đầu vào và đầu ra trong vòng 30 ngày, trừ dịch vụ bạn chọn lưu lâu hơn (như Files API), thoả thuận khác, hay khi bị gắn cờ vi phạm chính sách (giữ tới 2 năm). Dữ liệu từ sản phẩm thương mại mặc định không dùng để huấn luyện model
Zero Data Retention (ZDR)Anthropic không lưu prompt và câu trả lời sau khi trả kết quả. Phải xin qua đội sales, bật cho từng organization
HIPAA readinessMột organization đã ký thoả thuận BAA và bật cấu hình HIPAA, được dùng các tính năng đủ điều kiện để xử lý dữ liệu sức khoẻ (PHI)

Những điểm hay nhầm về ZDR, theo docs:

  • ZDR không chặn tính năng không đủ điều kiện; nó chỉ không áp cho chúng. Những thứ như Console, Batch (giữ 29 ngày), Files API, MCP connector, code execution, Claude Managed Agents đều nằm ngoài ZDR.
  • Một số model (docs gọi là Covered Models, như Fable 5.1) cần lưu dữ liệu 30 ngày; tổ chức có ZDR muốn dùng thì bật lưu 30 ngày cho riêng một workspace.

HIPAA

Theo docs, HIPAA readiness gồm:

  • Ký BAA (Business Associate Agreement) và bật cấu hình HIPAA cho organization. Với Claude API, bật ở trang Data retention trong Console; khi đã bật thì vĩnh viễn, quản trị viên không tắt được. Với Claude Enterprise, chủ sở hữu chính của tổ chức phải tự bật; gói Enterprise tiêu chuẩn không tự có BAA.
  • BAA chỉ phủ đúng organization đã ký. Nên tách organization cho việc có PHI và việc không có PHI.
  • Khác ZDR, HIPAA readiness chặn tính năng không đủ điều kiện: gọi tới sẽ bị lỗi 400. Theo trang BAA, các thứ như Batch API, Files API, code execution, web fetch không được phủ.
  • Không đưa PHI vào định nghĩa JSON schema; không dùng Console để xử lý PHI; Claude Platform on AWS chưa có HIPAA readiness.

Docs nói bản BAA đã ký là nguồn chính thức về tính năng nào được phủ.

GDPR và FedRAMP

Các thành phần chính theo tài liệu của Anthropic:

  • DPA (Data Processing Addendum): là một phần của điều khoản thương mại; khách hàng là bên kiểm soát (controller), Anthropic là bên xử lý (processor). Có điều khoản hợp đồng mẫu (SCC) cho việc chuyển dữ liệu ra khỏi EU, cam kết báo sự cố an ninh trong 48 giờ, và xoá dữ liệu trong 30 ngày sau khi chấm dứt.
  • Nơi xử lý và lưu dữ liệu: theo trang hỏi đáp về máy chủ, mặc định lưu lượng có thể được định tuyến tới Mỹ, châu Âu, châu Á, Úc, còn dữ liệu được lưu ở Mỹ. Docs về data residency có tham số inference_geo để chỉ chạy suy luận ở Mỹ (us, giá 1,1 lần) hoặc toàn cầu (global).
  • Tối thiểu hoá dữ liệu trong ứng dụng: che dữ liệu cá nhân không cần cho việc trước khi gửi, đặt chính sách lưu giữ, và có quy trình xử lý quyền của chủ thể dữ liệu (truy cập, xoá).

FedRAMP

FedRAMP là chương trình cấp phép an ninh cho dịch vụ cloud dùng trong cơ quan liên bang Mỹ. Trang chứng nhận của Anthropic (kiểm ngày 02/11/2026) liệt kê cấu hình sẵn sàng HIPAA (có BAA), ISO 27001:2022, ISO/IEC 42001:2023 và SOC 2 Type I, Type II; không liệt kê FedRAMP. Với dự thầu cơ quan liên bang, kiểm mức FedRAMP của chính môi trường cloud nơi bạn chạy Claude, vì ở Bedrock hay Google Cloud, nhà cung cấp cloud là bên xử lý dữ liệu.

Kiểm soát nào phải nằm ở ứng dụng

Nhà cung cấp lo phần của họ; nhiều kiểm soát vẫn là việc của ứng dụng: ai được dùng tính năng nào, ghi audit log, kiểm quyền truy cập dữ liệu.

Nguồn

  1. Exam Guide CCAR-P v1.0, Domain 5(mở tab mới)
  2. API and data retention (Claude Docs)(mở tab mới)
  3. How long do you store my organization's data? (Anthropic Privacy Center)(mở tab mới)
  4. Business Associate Agreements for commercial customers (Anthropic Privacy Center)(mở tab mới)
  5. What certifications has Anthropic obtained? (Anthropic Privacy Center)(mở tab mới)
  6. Data Processing Addendum (Anthropic)(mở tab mới)
  7. Data residency (Claude Docs)(mở tab mới)

Nắm rồi thì thử sức với đề

Xem khoá luyện thi
Bảo đảm tuân thủ quy định như GDPR, HIPAA, FedRAMP · Anthropic Exam Pro