12.5 Tài liệu tham khảo
Phần này hợp nhất bộ máy tham chiếu của cẩm nang: một bảng đối chiếu với bộ tri thức SWEBOK, một chỉ mục các tiêu chuẩn và khung được trích dẫn xuyên suốt, và một thư mục được tuyển chọn về sách nên đọc. Nguồn theo từng chương cũng xuất hiện trong mục Tài liệu tham khảo và đọc thêm ở cuối mỗi chương.
Bảng đối chiếu SWEBOK
Cẩm nang này được căn chỉnh với SWEBOK V4.0 (Bộ tri thức Kỹ thuật Phần mềm) của IEEE Computer Society. Cả 18 lĩnh vực tri thức đều được bao quát; bảng ánh xạ mỗi lĩnh vực tới các chương xử lý nó, và cẩm nang rồi đi xa hơn nhiều so với SWEBOK vào AI, dữ liệu, UX, DevOps, bền vững, dòng chảy và công nghệ vì lợi ích công.
| Lĩnh vực tri thức SWEBOK V4.0 | Chương chính |
|---|
| 1. Yêu cầu phần mềm | 2.8, 11.1, 5.1 |
| 2. Kiến trúc phần mềm | 3.1, 3.2, 3.3 |
| 3. Thiết kế phần mềm | 2.2, 3.1 |
| 4. Xây dựng phần mềm | 2.9, 2.1 |
| 5. Kiểm thử phần mềm | 2.4, 8.5 |
| 6. Vận hành kỹ thuật phần mềm | 9.1, 9.2, 9.3, 8.1 |
| 7. Bảo trì phần mềm | 3.7, 3.6, 10.4 |
| 8. Quản lý cấu hình phần mềm | 2.10, 2.6, 8.2 |
| 9. Quản lý kỹ thuật phần mềm | 10.1, 10.6, 10.2 |
| 10. Quy trình kỹ thuật phần mềm | 1.4, 10.7, 10.8 |
| 11. Mô hình và phương pháp kỹ thuật phần mềm | 2.12, 3.1, 2.2 |
| 12. Chất lượng phần mềm | 2.11, 2.4, 3.1 |
| 13. Bảo mật phần mềm | 4.1, 4.2, 4.3, 4.4 |
| 14. Thực hành nghề nghiệp kỹ thuật phần mềm | 10.5, 1.1, 1.3 |
| 15. Kinh tế học kỹ thuật phần mềm | 10.10, 10.1, 9.4 |
| 16. Nền tảng tính toán | 2.13, 3.3, 3.4 |
| 17. Nền tảng toán học | 2.13, 11.3 |
| 18. Nền tảng kỹ thuật | 2.13, 3.1 |
Tiêu chuẩn và khung
Phụ lục này là chỉ mục có tổ chức của các tiêu chuẩn, khung và quy định thật được tham chiếu xuyên suốt cẩm nang. Đó là công cụ điều hướng, không phải sổ tay tuân thủ: hãy luôn tham khảo nguồn có thẩm quyền và, nơi liên quan, cố vấn pháp lý hay kiểm toán có năng lực về văn bản hiện hành và khả năng áp dụng vào ngữ cảnh của bạn.
Các mục được nhóm theo lĩnh vực. Mỗi mục nêu tên tiêu chuẩn hay khung, cơ quan ban hành, phạm vi một dòng, và các chương hay lĩnh vực nơi nó liên quan nhất. Nơi một tên thường được viết tắt, chữ viết tắt được hiển thị. Số tài liệu và tiêu đề chỉ được nêu nơi chúng đã được thiết lập tốt; không bao gồm URL.
Cách dùng phụ lục này
- Quy định (ví dụ GDPR, HIPAA) có hiệu lực ràng buộc về pháp lý trong thẩm quyền và lĩnh vực của chúng. Chúng đặt nghĩa vụ, không chỉ thực hành tốt.
- Tiêu chuẩn (ví dụ ISO/IEC 27001, WCAG) là các đặc tả chính thức, thường chứng nhận được. Một số tự nguyện; một số bị bắt buộc bởi luật hay hợp đồng.
- Khung (ví dụ NIST CSF, NIST AI RMF) là hướng dẫn có cấu trúc, thường tự nguyện mà bạn điều chỉnh theo hồ sơ rủi ro của mình.
- Khả năng áp dụng phụ thuộc vào thẩm quyền, lĩnh vực, loại dữ liệu và điều khoản hợp đồng. Nhiều tổ chức phải đồng thời thỏa mãn một số trong chúng.
Bảo mật và riêng tư
| Tiêu chuẩn / khung | Cơ quan ban hành | Phạm vi (một dòng) | Chương / lĩnh vực chính |
|---|
| ISO/IEC 27001 | ISO / IEC | Yêu cầu cho Hệ thống Quản lý An toàn Thông tin (ISMS). | 4.1–4.6 Bảo mật và tuân thủ |
| ISO/IEC 27002 | ISO / IEC | Hướng dẫn và tập kiểm soát hỗ trợ ISO/IEC 27001. | 4.1–4.4 Bảo mật |
| ISO/IEC 27017 / 27018 | ISO / IEC | Kiểm soát bảo mật riêng cho đám mây (27017) và bảo vệ PII trên đám mây (27018). | 4.3 Bảo mật hạ tầng và đám mây; 4.5 Riêng tư |
| NIST Cybersecurity Framework (CSF) | National Institute of Standards and Technology | Khung tự nguyện tổ chức quanh Quản trị, Xác định, Bảo vệ, Phát hiện, Ứng phó, Khôi phục. | 4.1, 4.4 Nền tảng và vận hành bảo mật |
| NIST SP 800-53 | National Institute of Standards and Technology | Danh mục kiểm soát bảo mật và riêng tư cho hệ thống thông tin. | 4.3, 4.6 Bảo mật đám mây và tuân thủ |
| NIST SP 800-63 | National Institute of Standards and Technology | Hướng dẫn đảm bảo danh tính số và xác thực. | 4.2, 4.3 Bảo mật ứng dụng và hạ tầng |
| OWASP Top Ten | Open Worldwide Application Security Project | Các rủi ro bảo mật ứng dụng web quan trọng nhất, cập nhật định kỳ. | 4.2 Bảo mật ứng dụng |
| OWASP ASVS | Open Worldwide Application Security Project | Yêu cầu và kiểm thử có bậc để xác minh bảo mật ứng dụng. | 2.4, 4.2 Kiểm thử và bảo mật ứng dụng |
| OWASP SAMM | Open Worldwide Application Security Project | Mô hình trưởng thành để xây và đánh giá chương trình bảo mật phần mềm. | 4.1 Nền tảng và văn hóa bảo mật |
| STRIDE | Khởi nguồn tại Microsoft | Phân loại mô hình hóa mối đe dọa để phân loại mối đe dọa. | 4.2 Bảo mật ứng dụng |
| MITRE ATT&CK | MITRE | Cơ sở tri thức về chiến thuật và kỹ thuật đối thủ để phát hiện và phòng thủ. | 4.4 Vận hành bảo mật |
| SLSA | Open Source Security Foundation (OpenSSF) | Khung có bậc cho tính toàn vẹn và nguồn gốc chuỗi cung ứng phần mềm. | 4.2, 8.1, 10.3 Chuỗi cung ứng và phân phối |
| SBOM (SPDX / CycloneDX) | Linux Foundation (SPDX); OWASP (CycloneDX) | Định dạng chuẩn cho danh mục vật liệu phần mềm. | 4.2, 10.3 Bảo mật ứng dụng và cấp phép |
| PCI DSS | PCI Security Standards Council | Yêu cầu bảo mật để xử lý dữ liệu thẻ thanh toán. | 4.2, 4.5, 4.6 Bảo mật, riêng tư, tuân thủ |
Tuân thủ và chính phủ
Hoa Kỳ
| Quy định / khung | Cơ quan ban hành | Phạm vi (một dòng) | Chương / lĩnh vực chính |
|---|
| HIPAA | US Dept. of Health and Human Services | Biện pháp bảo vệ thông tin sức khỏe được bảo vệ (PHI). | 4.5, 4.6 Riêng tư và tuân thủ |
| SOX (Sarbanes-Oxley Act) | US Congress / SEC | Yêu cầu báo cáo tài chính và kiểm soát nội bộ cho công ty đại chúng. | 4.6, 10.2 Tuân thủ và kiểm toán |
| FISMA | US Congress | Yêu cầu chương trình an toàn thông tin cho cơ quan liên bang. | 4.3, 4.6 Bảo mật đám mây và tuân thủ |
| FedRAMP | US General Services Administration / FedRAMP PMO | Ủy quyền bảo mật chuẩn hóa cho dịch vụ đám mây mà cơ quan liên bang dùng. | 4.3, 4.6 Bảo mật đám mây và tuân thủ |
| NIST SP 800-171 | National Institute of Standards and Technology | Bảo vệ thông tin không mật được kiểm soát (CUI) trong hệ thống phi liên bang. | 4.6 Tuân thủ (chuỗi cung ứng quốc phòng) |
| CMMC | US Department of Defence | Chứng nhận mức trưởng thành an ninh mạng của nhà thầu quốc phòng. | 4.6 Tuân thủ (quốc phòng) |
| FIPS 140-3 | National Institute of Standards and Technology | Yêu cầu bảo mật cho mô-đun mật mã. | 4.3 Bảo mật hạ tầng và đám mây |
| CCPA / CPRA | State of California | Quyền riêng tư người tiêu dùng và nghĩa vụ doanh nghiệp tại California. | 4.5 Riêng tư và bảo vệ dữ liệu |
Liên minh châu Âu và Vương quốc Anh
| Quy định / tiêu chuẩn | Cơ quan ban hành | Phạm vi (một dòng) | Chương / lĩnh vực chính |
|---|
| GDPR | European Union | Quy định toàn diện về xử lý dữ liệu cá nhân. | 4.5, 4.6 Riêng tư và tuân thủ |
| UK GDPR / Data Protection Act 2018 | United Kingdom | Chế độ bảo vệ dữ liệu sau Brexit của Vương quốc Anh. | 4.5, 4.6 Riêng tư và tuân thủ |
| eIDAS | European Union | Khung cho nhận dạng điện tử và dịch vụ tin cậy. | 4.2, 4.3 Bảo mật |
| NIS2 Directive | European Union | Nghĩa vụ an ninh mạng cho các thực thể thiết yếu và quan trọng. | 4.4, 4.6 Vận hành bảo mật và tuân thủ |
| DORA (Digital Operational Resilience Act) | European Union | Yêu cầu khả năng phục hồi vận hành cho lĩnh vực tài chính. | 9.1, 10.2 Độ tin cậy và kiểm toán |
| EU AI Act | European Union | Quy định theo rủi ro về hệ thống AI (xem quản trị AI bên dưới). | 6.1, 6.5 Chiến lược AI và AI có trách nhiệm |
Khả năng tiếp cận
| Tiêu chuẩn | Cơ quan ban hành | Phạm vi (một dòng) | Chương / lĩnh vực chính |
|---|
| WCAG (2.1 / 2.2) | World Wide Web Consortium (W3C) | Hướng dẫn cho nội dung web tiếp cận được, với mức tuân thủ A/AA/AAA. | 5.3 Khả năng tiếp cận; 5.1–5.6 UX và frontend |
| WAI-ARIA | World Wide Web Consortium (W3C) | Vai trò, trạng thái và thuộc tính cho ứng dụng internet phong phú tiếp cận được. | 5.3, 5.6 Khả năng tiếp cận và frontend |
| Section 508 | US Access Board / luật liên bang Hoa Kỳ | Yêu cầu tiếp cận cho ICT liên bang Hoa Kỳ, căn chỉnh với WCAG. | 5.3 Khả năng tiếp cận (chính phủ Hoa Kỳ) |
| EN 301 549 | ETSI / CEN / CENELEC | Yêu cầu tiếp cận châu Âu cho mua sắm ICT, căn chỉnh với WCAG. | 5.3 Khả năng tiếp cận (khu vực công EU) |
| ADA (Americans with Disabilities Act) | US Congress | Luật dân quyền cấm phân biệt đối xử khuyết tật, áp dụng cho dịch vụ số. | 5.3 Khả năng tiếp cận |
| ISO/IEC 40500 | ISO / IEC | Việc quốc tế áp dụng WCAG 2.0 làm tiêu chuẩn chính thức. | 5.3 Khả năng tiếp cận |
Quản trị AI
| Khung / quy định | Cơ quan ban hành | Phạm vi (một dòng) | Chương / lĩnh vực chính |
|---|
| NIST AI Risk Management Framework (AI RMF) | National Institute of Standards and Technology | Khung tự nguyện để quản trị, lập bản đồ, đo lường và quản lý rủi ro AI. | 6.1, 6.5 Chiến lược AI và AI có trách nhiệm |
| ISO/IEC 42001 | ISO / IEC | Yêu cầu cho Hệ thống Quản lý AI (AIMS). | 6.1, 6.5 Quản trị AI |
| ISO/IEC 23894 | ISO / IEC | Hướng dẫn về quản lý rủi ro đặc thù AI. | 6.5 AI có trách nhiệm và đáng tin |
| EU AI Act | European Union | Nghĩa vụ pháp lý theo bậc rủi ro cho nhà cung cấp và bên triển khai hệ thống AI. | 6.1, 6.3, 6.5 Ứng dụng và quản trị AI |
| OECD AI Principles | Organisation for Economic Co-operation and Development | Nguyên tắc dựa trên giá trị cho AI đáng tin, có ảnh hưởng đến chính sách. | 6.5, 10.5 AI có trách nhiệm và đạo đức |
Chất lượng và quy trình
| Tiêu chuẩn / khung | Cơ quan ban hành | Phạm vi (một dòng) | Chương / lĩnh vực chính |
|---|
| ISO/IEC 25010 | ISO / IEC | Mô hình chất lượng sản phẩm phần mềm (phù hợp chức năng, độ tin cậy, bảo mật, v.v.). | 2.2, 2.4 Thiết kế và kiểm thử |
| ISO/IEC/IEEE 12207 | ISO / IEC / IEEE | Quy trình vòng đời phần mềm. | 1.4, 10.1 Cách làm việc và quản lý chương trình |
| ISO 9001 | ISO | Yêu cầu cho Hệ thống Quản lý Chất lượng tổng quát. | 10.2 Rủi ro, kiểm toán và đảm bảo |
| CMMI | ISACA / CMMI Institute | Mô hình trưởng thành cho năng lực quy trình và cải thiện. | 10.1, 10.2 Quản lý chương trình và đảm bảo |
| Chỉ số DORA | DevOps Research and Assessment (Google Cloud) | Bốn chỉ số hiệu suất phân phối chính cho đội phần mềm. | 8.1, 8.4, 9.1 Phân phối, nền tảng, độ tin cậy |
| Khung SPACE | Nhà nghiên cứu Microsoft / GitHub | Mô hình đa chiều để đo năng suất nhà phát triển. | 1.3, 8.4 Tăng trưởng và trải nghiệm nhà phát triển |
| ITIL | AXELOS / PeopleCert | Khung thực hành quản lý dịch vụ CNTT. | 9.1, 9.3 Độ tin cậy và quản lý sự cố |
Kiến trúc
| Tiêu chuẩn / khung | Cơ quan ban hành | Phạm vi (một dòng) | Chương / lĩnh vực chính |
|---|
| ISO/IEC/IEEE 42010 | ISO / IEC / IEEE | Tiêu chuẩn cho mô tả kiến trúc và góc nhìn. | 2.7, 3.1 Tài liệu và nền tảng kiến trúc |
| TOGAF | The Open Group | Khung kiến trúc doanh nghiệp và phương pháp phát triển. | 3.1, 10.1 Kiến trúc và quản lý danh mục |
| Mô hình C4 | Cộng đồng (Simon Brown) | Cách tiếp cận bốn cấp để trực quan hóa kiến trúc phần mềm. | 2.7, 3.1 Tài liệu và kiến trúc |
| arc42 | Cộng đồng (Starke / Hruschka) | Mẫu để cấu trúc tài liệu kiến trúc. | 2.7, 3.1 Tài liệu và kiến trúc |
| ADR | Thực hành cộng đồng | Hồ sơ nhẹ về các quyết định kiến trúc đáng kể. | 1.5, 2.7, 3.1 Ra quyết định và tài liệu |
Đám mây và DevOps
| Tiêu chuẩn / khung | Cơ quan ban hành | Phạm vi (một dòng) | Chương / lĩnh vực chính |
|---|
| CIS Benchmarks | Centre for Internet Security | Đường cơ sở cấu hình an toàn dựa trên đồng thuận cho hệ thống và đám mây. | 4.3, 8.2 Bảo mật hạ tầng và IaC |
| Hệ sinh thái và dự án CNCF | Cloud Native Computing Foundation | Hệ sinh thái và tiêu chuẩn cho điện toán cloud-native (ví dụ Kubernetes). | 8.3 Container và cloud native |
| OCI (Open Container Initiative) | Open Container Initiative (Linux Foundation) | Tiêu chuẩn mở cho định dạng ảnh container và runtime. | 8.3 Container và cloud native |
| OpenTelemetry | Cloud Native Computing Foundation | Tiêu chuẩn trung lập nhà cung cấp cho đo từ xa (vết, chỉ số, nhật ký). | 9.2 Khả năng quan sát và giám sát |
| Open Policy Agent (OPA) | Cloud Native Computing Foundation | Công cụ chính sách đa dụng cho chính sách dưới dạng mã. | 4.6, 8.2, 8.3 Tuân thủ, IaC, điều phối |
| Thực hành SRE | Google (được áp dụng rộng rãi) | Cách tiếp cận dựa trên SLI/SLO/ngân sách lỗi để vận hành dịch vụ đáng tin cậy. | 9.1 Kỹ thuật độ tin cậy hệ thống |
| Khung FinOps | FinOps Foundation | Thực hành quản lý tài chính đám mây và trách nhiệm chi phí. | 9.4 Chi phí, bền vững, phần mềm xanh |
Dữ liệu
| Tiêu chuẩn / khung | Cơ quan ban hành | Phạm vi (một dòng) | Chương / lĩnh vực chính |
|---|
| DAMA-DMBOK | DAMA International | Bộ tri thức tổ chức các kỷ luật quản lý dữ liệu. | 7.1 Chiến lược và quản trị dữ liệu |
| ISO/IEC 38505 | ISO / IEC | Quản trị dữ liệu như tài sản của tổ chức. | 7.1 Quản trị dữ liệu |
| ISO 8000 | ISO | Tiêu chuẩn chất lượng dữ liệu và dữ liệu chủ. | 7.1, 7.2 Quản trị và kỹ thuật dữ liệu |
| Lưới dữ liệu (Data mesh) | Cộng đồng (Zhamak Dehghani) | Cách tiếp cận phân tán, hướng miền cho dữ liệu như sản phẩm. | 7.1, 7.2 Chiến lược và kỹ thuật dữ liệu |
| DCAM | EDM Council | Mô hình đánh giá năng lực quản lý dữ liệu. | 7.1 Chiến lược và quản trị dữ liệu |
Ghi chú về phạm vi và thay đổi
Tiêu chuẩn và quy định tiến hóa. Số phiên bản (ví dụ WCAG 2.1 so với 2.2, hay năm sửa đổi ISO) và danh mục kiểm soát đổi theo thời gian, và luật mới (như quy định AI và khả năng phục hồi theo lĩnh vực) tiếp tục xuất hiện. Hãy coi phụ lục này là bản đồ khởi đầu: xác nhận phiên bản hiện hành, thẩm quyền và khả năng áp dụng trước khi dựa vào bất kỳ mục nào cho quyết định tuân thủ hay mua sắm. Nơi các chương cẩm nang và phụ lục này khác nhau về chi tiết, tài liệu nguồn có thẩm quyền luôn chi phối.
Sách nên đọc
Phụ lục này là danh sách đọc được tuyển chọn, có chú thích trải qua mọi lĩnh vực của cẩm nang. Nó ưu tiên các tác phẩm đã định hình thực hành ở quy mô: những tác phẩm kinh điển được công nhận, tham chiếu nghiêm ngặt, và các tiêu chuẩn và báo cáo mà các đội lớn, doanh nghiệp và chính phủ được đo theo.
Mỗi mục nêu tiêu đề và tác giả, tiếp theo là một câu về vì sao nó quan trọng. Danh sách được tổ chức theo mười phần của cuốn sách. Hãy đọc có chọn lọc: chọn hai ba tác phẩm gần nhất với nỗi đau hiện tại của bạn, không phải cả kệ sách. Nơi một tác phẩm trải qua nhiều lĩnh vực, nó được đặt nơi hữu ích nhất; nhiều cái thuộc về nhiều phần.
Một ghi chú về tiêu chuẩn: các cơ quan như NIST, OWASP, W3C/WCAG, ISO và chương trình DORA công bố tài liệu sống được sửa đổi định kỳ. Hãy trích dẫn và đọc phiên bản hiện hành; các chú thích bên dưới mô tả mục đích bền vững của chúng.
Nền tảng: Văn hóa, con người và quy trình
- Accelerate: The Science of Lean Software and DevOps. Nicole Forsgren, Jez Humble, Gene Kim. Nền tảng nghiên cứu cho thấy hiệu suất phân phối dự đoán hiệu suất tổ chức, và xác định các chỉ số (nay gọi là DORA) để đo nó.
- The Phoenix Project. Gene Kim, Kevin Behr, George Spafford. Một tiểu thuyết kinh doanh làm dòng chảy, công việc đang làm và “Ba Cách” của DevOps trở nên trực quan cho cả lãnh đạo lẫn người hoài nghi.
- Team Topologies: Organising Business and Technology Teams for Fast Flow. Matthew Skelton và Manuel Pais. Một từ vựng thực tế (đội căn chỉnh theo luồng, nền tảng, hỗ trợ và hệ thống con phức tạp) để thiết kế tổ chức tạo ra phần mềm tốt.
- An Elegant Puzzle: Systems of Engineering Management. Will Larson. Các khung đã kiểm chứng thực địa để định cỡ đội, quản lý tăng trưởng tổ chức, và đưa ra các quyết định lặp lại của lãnh đạo kỹ thuật.
- Staff Engineer: Leadership Beyond the Management Track. Will Larson. Xác định các nguyên mẫu staff-plus và con đường lãnh đạo kỹ thuật cho những ai muốn có tác động mà không trở thành quản lý.
- The Manager’s Path. Camille Fournier. Hướng dẫn từng giai đoạn từ trưởng kỹ thuật đến điều hành neo các bậc thang nghề nghiệp và sự chuyển sang quản lý.
- The Staff Engineer’s Path. Tanya Reilly. Bạn đồng hành của văn liệu staff-plus tập trung vào công việc hằng ngày của lãnh đạo kỹ thuật, ảnh hưởng, và lái mà không có thẩm quyền.
- Peopleware: Productive Projects and Teams. Tom DeMarco và Timothy Lister. Lập luận bền vững rằng các vấn đề trung tâm của phần mềm mang tính xã hội học, không phải kỹ thuật.
- The Mythical Man-Month. Frederick P. Brooks Jr. Nguồn gốc của Định luật Brooks và sự phân biệt độ phức tạp thiết yếu so với tình cờ vẫn chi phối nhân sự và lập lịch.
- The Fearless Organisation: Creating Psychological Safety in the Workplace. Amy C. Edmondson. Nền tảng nghiên cứu cho văn hóa không đổ lỗi và sự an toàn làm việc học từ thất bại khả thi.
- Thinking, Fast and Slow. Daniel Kahneman. Bản tường thuật quyết định về thiên kiến nhận thức, thiết yếu cho phỏng vấn có cấu trúc, hiệu chuẩn và ra quyết định trung thực.
Nghề lập trình và chất lượng mã
- The Pragmatic Programmer: Your Journey to Mastery. Andrew Hunt và David Thomas. Danh mục nền tảng các thói quen chuyên nghiệp (DRY, trực giao, đạn truy vết) xác định tay nghề nghĩa là gì.
- Refactoring: Improving the Design of Existing Code. Martin Fowler. Danh mục kinh điển các phép biến đổi bảo toàn hành vi và kỷ luật cải thiện mã liên tục, có kiểm thử hậu thuẫn.
- Clean Code: A Handbook of Agile Software Craftsmanship. Robert C. Martin. Một tiêu chuẩn được dùng rộng rãi (và tranh luận) về đặt tên, hàm và khả năng đọc định hình kỳ vọng rà soát của nhiều đội.
- Code Complete. Steve McConnell. Sổ tay toàn diện, có tham chiếu bằng chứng về thực hành xây dựng vẫn là đường cơ sở kỹ lưỡng cho chất lượng lập trình.
- Test-Driven Development: By Example. Kent Beck. Phần giới thiệu gốc, thực hành về chu kỳ đỏ-xanh-tái cấu trúc và thiết kế kiểm thử trước.
- Working Effectively with Legacy Code. Michael Feathers. Bộ công cụ quyết định để thêm kiểm thử vào và thay đổi an toàn mã không có kiểm thử, và không thể thiếu với hệ thống tồn tại lâu dài.
- Growing Object-Oriented Software, Guided by Tests. Steve Freeman và Nat Pryce. Một trình diễn làm việc về TDD từ ngoài vào, mocking, và tiến hóa thiết kế qua kiểm thử.
- A Philosophy of Software Design. John Ousterhout. Một cách xử lý sắc bén, có chính kiến về độ phức tạp, mô-đun sâu và che giấu thông tin thách thức một cách hữu ích một số chính thống “mã sạch.”
Kiến trúc và hệ thống
- Designing Data-Intensive Applications. Martin Kleppmann. Tham chiếu hiện đại tốt nhất đơn lẻ về đánh đổi của lưu trữ, sao chép, phân vùng, nhất quán và xử lý luồng ở quy mô.
- Fundamentals of Software Architecture: An Engineering Approach. Mark Richards và Neal Ford. Khảo sát rộng, hiện hành về phong cách kiến trúc, đặc tính, và vai trò cùng ra quyết định của kiến trúc sư.
- Software Architecture: The Hard Parts. Neal Ford, Mark Richards, Pramod Sadalage, Zhamak Dehghani. Cách xử lý tập trung vào quyết định về đánh đổi kiến trúc phân tán, độ chi tiết dịch vụ và quyền sở hữu dữ liệu.
- Building Evolutionary Architectures. Neal Ford, Rebecca Parsons, Patrick Kua. Giới thiệu hàm thích nghi và kiến trúc được thiết kế để thay đổi an toàn theo thời gian.
- Domain-Driven Design: Tackling Complexity in the Heart of Software. Eric Evans. Nguồn gốc của ngữ cảnh giới hạn, ngôn ngữ phổ quát và tập hợp: từ vựng của thiết kế dịch vụ hiện đại.
- Building Microservices: Designing Fine-Grained Systems. Sam Newman. Tham chiếu cho phân rã, ranh giới dịch vụ, triển khai, và hệ quả tổ chức của microservices.
- Monolith to Microservices. Sam Newman. Danh mục mẫu cho phân rã gia tăng, như strangler fig và phân nhánh bằng trừu tượng, mà không cần viết lại đại bùng nổ rủi ro.
- Patterns of Enterprise Application Architecture. Martin Fowler. Tham chiếu mẫu có tên (kho, đơn vị công việc, và hơn nữa) đã trao ngôn ngữ chung cho hệ thống doanh nghiệp.
- Enterprise Integration Patterns. Gregor Hohpe và Bobby Woolf. Danh mục quyết định các mẫu nhắn tin nâng đỡ kiến trúc hướng sự kiện và bất đồng bộ.
- Release It! Design and Deploy Production-Ready Software. Michael T. Nygard. Nguồn của ngắt mạch, vách ngăn và các mẫu ổn định khác cho hệ thống sống sót qua sản xuất thật.
- Design Patterns: Elements of Reusable Object-Oriented Software. Erich Gamma, Richard Helm, Ralph Johnson, John Vlissides (“Gang of Four”). Danh mục mang tính quyết định về mặt lịch sử các mẫu hướng đối tượng và từ vựng thiết kế chung.
Bảo mật, riêng tư và lòng tin
- Threat Modelling: Designing for Security. Adam Shostack. Hướng dẫn thực tế, toàn diện về STRIDE và mô hình hóa mối đe dọa có cấu trúc như thực hành kỹ thuật thường lệ.
- Security Engineering: A Guide to Building Dependable Distributed Systems. Ross Anderson. Tham chiếu bách khoa về cách hệ thống thật thất bại và cách xây những hệ thống chống được tấn công.
- The Tangled Web: A Guide to Securing Modern Web Applications. Michal Zalewski. Chuyến tham quan nghiêm ngặt về mô hình bảo mật trình duyệt và những cách tinh vi nền tảng web phản bội các giả định ngây thơ.
- Cryptography Engineering. Niels Ferguson, Bruce Schneier, Tadayoshi Kohno. Hướng dẫn của người thực hành để dùng mật mã đúng cách và tránh những sai lầm phổ biến, nguy hiểm.
- Building Secure and Reliable Systems. Heather Adkins et al. (Google). Tổng hợp của Google về bảo mật và độ tin cậy như các thuộc tính đan xen được thiết kế vào từ đầu.
- Zero Trust Networks. Evan Gilman và Doug Barth. Cách xử lý rõ ràng về nguyên tắc và cơ chế của kiến trúc mạng không bao giờ tin, luôn xác minh.
- OWASP Top 10. OWASP Foundation. Đường cơ sở đồng thuận về các rủi ro bảo mật ứng dụng web quan trọng nhất, được chính sách và kiểm toán trên toàn thế giới tham chiếu.
- OWASP Application Security Verification Standard (ASVS). OWASP Foundation. Danh sách kiểm tra có bậc, kiểm thử được về yêu cầu bảo mật phù hợp cho hợp đồng và tiêu chí chấp nhận.
- NIST SP 800-53: Security and Privacy Controls for Information Systems and Organisations. NIST. Danh mục kiểm soát ở trung tâm của bảo mật liên bang Hoa Kỳ và là cơ sở của ủy quyền FedRAMP và FISMA.
- NIST Cybersecurity Framework (CSF). NIST. Cấu trúc xác định-bảo vệ-phát hiện-ứng phó-khôi phục được áp dụng rộng rãi để tổ chức chương trình bảo mật.
- NIST SP 800-207: Zero Trust Architecture. NIST. Định nghĩa tham chiếu và kiến trúc tham chiếu neo hầu hết chương trình zero-trust của doanh nghiệp và chính phủ.
UX, UI và thiết kế sản phẩm
- The Design of Everyday Things. Don Norman. Văn bản nền tảng về khả năng gợi ý hành động, tín hiệu, phản hồi và thiết kế lấy con người làm trung tâm áp dụng vượt xa vật thể vật lý.
- Don’t Make Me Think, Revisited. Steve Krug. Lập luận ngắn gọn, bền vững cho khả dụng hiển nhiên và giá trị của kiểm thử khả dụng rẻ, thường xuyên.
- About Face: The Essentials of Interaction Design. Alan Cooper, Robert Reimann, David Cronin. Tham chiếu toàn diện về thiết kế tương tác, persona và thiết kế hướng mục tiêu.
- Design Systems: A Practical Guide. Alla Kholmatova. Bản tường thuật có cơ sở về xây hệ thống thành phần nhất quán, tái sử dụng được và ngôn ngữ chung đằng sau chúng.
- Refactoring UI. Adam Wathan và Steve Schoger. Hướng dẫn thực tế, dựa trên ví dụ về đánh bóng thị giác cho kỹ sư thiết kế giao diện mà không qua đào tạo chính thức.
- Letting Go of the Words: Writing Web Content that Works. Ginny Redish. Hướng dẫn quyết định về thiết kế nội dung ngôn ngữ đơn giản, tập trung tác vụ.
- Inclusive Design Patterns / Accessibility for Everyone. Heydon Pickering; Laura Kalbag. Bạn đồng hành thực tế để xây giao diện hoạt động cho toàn bộ phạm vi khả năng của con người.
- A Web for Everyone: Designing Accessible User Experiences. Sarah Horton và Whitney Quesenbery. Cây cầu dựa trên nguyên tắc giữa tiêu chuẩn tiếp cận và trải nghiệm người dùng tốt.
- Web Content Accessibility Guidelines (WCAG) 2.2. W3C. Tiêu chuẩn được quốc tế tham chiếu (nhận thức được, vận hành được, hiểu được, vững chắc) đằng sau hầu hết luật tiếp cận.
- U.S. Web Design System (USWDS). Chính phủ Hoa Kỳ. Một ví dụ làm việc về hệ thống thiết kế tiếp cận được, dựa trên tiêu chuẩn, xây cho dịch vụ công ở quy mô.
Trí tuệ nhân tạo và học máy
- Designing Machine Learning Systems. Chip Huyen. Hướng dẫn thực tế hàng đầu để xây hệ thống ML sản xuất đầu-cuối: dữ liệu, đặc trưng, triển khai và giám sát.
- Reliable Machine Learning: Applying SRE Principles to ML in Production. Cathy Chen et al. Mở rộng kỷ luật SRE (SLO, giám sát, ứng phó sự cố) cho hệ thống học máy.
- Deep Learning. Ian Goodfellow, Yoshua Bengio, Aaron Courville. Tham chiếu học thuật tiêu chuẩn cho lý thuyết và phương pháp nằm dưới mạng nơ-ron hiện đại.
- AI Engineering: Building Applications with Foundation Models. Chip Huyen. Hướng dẫn hiện hành để thiết kế, đánh giá và vận hành ứng dụng xây trên mô hình nền tảng lớn.
- Weapons of Maths Destruction. Cathy O’Neil. Một lập luận sinh động cho trách nhiệm giải trình thuật toán và tác hại thật của mô hình chưa được xem xét, thiết yếu cho AI khu vực công.
- Interpretable Machine Learning. Christoph Molnar. Tham chiếu toàn diện, miễn phí về phương pháp giải thích cho mô hình và dự đoán của chúng.
- NIST AI Risk Management Framework (AI RMF 1.0). NIST. Khung tham chiếu để quản trị, lập bản đồ, đo lường và quản lý rủi ro AI, ngày càng được trích dẫn trong chính sách và mua sắm.
Dữ liệu, phân tích và hiểu biết
- The Data Warehouse Toolkit: The Definitive Guide to Dimensional Modelling. Ralph Kimball và Margy Ross. Tham chiếu kinh điển về lược đồ ngôi sao và mô hình hóa chiều cho phân tích.
- Trustworthy Online Controlled Experiments: A Practical Guide to A/B Testing. Ron Kohavi, Diane Tang, Ya Xu. Hướng dẫn có thẩm quyền để chạy thí nghiệm cho kết quả đáng tin cậy, hành động được ở quy mô.
- Fundamentals of Data Engineering. Joe Reis và Matt Housley. Bản đồ trung lập nhà cung cấp về vòng đời dữ liệu hiện đại và các thực hành kỹ thuật đằng sau.
- Data Mesh: Delivering Data-Driven Value at Scale. Zhamak Dehghani. Văn bản sáng lập của cách tiếp cận hướng miền, lấy sản phẩm làm trung tâm để tổ chức dữ liệu ở quy mô.
- Storytelling with Data. Cole Nussbaumer Knaflic. Hướng dẫn thực tế về trực quan hóa dữ liệu trung thực, rõ ràng và truyền đạt hiểu biết cho người ra quyết định.
- The Visual Display of Quantitative Information. Edward R. Tufte. Tác phẩm nền tảng về tính toàn vẹn đồ họa, mực dữ liệu và đạo đức của việc cho thấy dữ liệu trung thực.
- DAMA-DMBOK: Data Management Body of Knowledge. DAMA International. Khung tham chiếu toàn diện cho quản trị dữ liệu, quản gia, chất lượng và lập danh mục.
- The Book of Why. Judea Pearl và Dana Mackenzie. Phần giới thiệu dễ đọc về suy luận nhân quả, sống còn để chuyển từ tương quan sang quyết định bảo vệ được.
Tự động hóa, DevOps và kỹ thuật nền tảng
- The DevOps Handbook. Gene Kim, Jez Humble, Patrick Debois, John Willis. Sổ tay kịch bản toàn diện chuyển “Ba Cách” thành thực hành cụ thể cho dòng chảy, phản hồi và học liên tục.
- Continuous Delivery: Reliable Software Releases through Build, Test, and Deployment Automation. Jez Humble và David Farley. Văn bản nền tảng về quy trình triển khai, tự động hóa, và phát hành phần mềm an toàn và thường xuyên.
- Infrastructure as Code: Managing Servers in the Cloud. Kief Morris. Tham chiếu về coi hạ tầng như phần mềm: mô-đun, kiểm thử, bất biến và trôi.
- Team Topologies. Matthew Skelton và Manuel Pais. (Xem Nền tảng.) Cũng thiết yếu ở đây để định hình đội nền tảng và trải nghiệm nhà phát triển mà họ cung cấp.
- Kubernetes Patterns. Bilgin Ibryam và Roland Huß. Danh mục các mẫu tái sử dụng được để thiết kế ứng dụng cloud-native trên Kubernetes.
- Software Engineering at Google. Titus Winters, Tom Manshreck, Hyrum Wright. Cách các thực hành kỹ thuật như kiểm thử, rà soát, công cụ và quản lý phụ thuộc mở rộng tới hàng chục nghìn kỹ sư qua nhiều thập kỷ.
- The Twelve-Factor App. Adam Wiggins (Heroku). Bản tuyên ngôn ngắn gọn, có ảnh hưởng để xây dịch vụ di động, mở rộng được, cloud-native.
- DORA State of DevOps Report. DORA / Google Cloud (hằng năm). Chương trình nghiên cứu liên tục đằng sau bốn chỉ số phân phối chính và các năng lực thúc đẩy hiệu suất.
Vận hành, độ tin cậy và khả năng quan sát
- Site Reliability Engineering: How Google Runs Production Systems. Betsy Beyer, Chris Jones, Jennifer Petoff, Niall Richard Murphy (biên tập). Văn bản nền tảng xác định SLI, SLO, ngân sách lỗi và kỷ luật kỹ thuật hóa độ tin cậy.
- The Site Reliability Workbook. Betsy Beyer et al. (biên tập). Bạn đồng hành thực hành với ví dụ thực tế, SLO đã làm việc và hướng dẫn triển khai.
- Observability Engineering. Charity Majors, Liz Fong-Jones, George Miranda. Định nghĩa hiện đại về khả năng quan sát, dữ liệu lực lượng số cao và gỡ lỗi những điều chưa biết-chưa biết trong sản xuất.
- Implementing Service Level Objectives. Alex Hidalgo. Hướng dẫn kỹ lưỡng, thực tế để thiết kế, đo và dùng SLO và ngân sách lỗi tốt.
- Release It!. Michael T. Nygard. (Xem Kiến trúc.) Cũng nền tảng ở đây cho mẫu ổn định sản xuất và vận hành hệ thống có khả năng phục hồi.
- The Art of Capacity Planning. Arun Kejariwal và John Allspaw. Cách tiếp cận dựa trên dữ liệu để dự báo nhu cầu và hoạch định năng lực cho hệ thống đang lớn.
- Chaos Engineering: System Resiliency in Practice. Casey Rosenthal và Nora Jones. Cách xử lý quyết định về việc cố ý tiêm thất bại để xây lòng tin vào khả năng phục hồi của hệ thống.
- Google SRE Book, Chapter on Postmortems. Google. Mô hình được noi theo rộng rãi cho rút kinh nghiệm không đổ lỗi và học từ sự cố.
Doanh nghiệp, chính phủ và lợi ích công
- Working in Public: The Making and Maintenance of Open Source Software. Nadia Eghbal. Nghiên cứu thiết yếu về cách mã nguồn mở thực sự được duy trì, và gánh nặng người bảo trì đằng sau các phụ thuộc mà doanh nghiệp dựa vào.
- Recoding America: Why Government Is Failing in the Digital Age and How We Can Do Better. Jennifer Pahlka. Bản tường thuật sáng suốt về vì sao công nghệ khu vực công thất bại và cải cách tập trung vào phân phối có thể sửa nó thế nào.
- Digital Transformation at Scale: Why the Strategy Is Delivery. Andrew Greenway et al. Bài học từ Dịch vụ Số Chính phủ Anh về chuyển đổi dịch vụ công bằng giao hàng, không phải hoạch định.
- Project to Product. Mik Kersten. Khung Dòng chảy để chuyển doanh nghiệp lớn từ tài trợ theo dự án sang dòng giá trị sản phẩm bền vững.
- Escaping the Build Trap. Melissa Perri. Cách tổ chức nhầm đầu ra với kết quả, và quản lý sản phẩm sửa nó thế nào, liên quan trực tiếp đến quản trị danh mục và chương trình.
- U.S. Digital Services Playbook. U.S. Digital Service. Một tập ngắn gọn các nước đi để giao dịch vụ số chính phủ hiệu quả, lấy người dùng làm trung tâm.
- GOV.UK Service Manual and Service Standard. UK Government Digital Service. Tiêu chuẩn đã công bố, đang vận hành để xây dịch vụ công tốt, được các chính phủ khác noi theo rộng rãi.
- NIST SP 800-37: Risk Management Framework. NIST. Khung quy trình đằng sau ủy quyền vận hành (ATO) và giám sát liên tục trong hệ thống liên bang Hoa Kỳ.
- The FinOps Foundation Framework. FinOps Foundation. Mô hình tham chiếu cho khả năng nhìn thấy, tối ưu và trách nhiệm chi phí đám mây qua tài chính và kỹ thuật.
Cách dùng danh sách này
- Bắt đầu từ nỗi đau của bạn. Nếu triển khai chậm và đáng sợ, hãy đọc Accelerate, Continuous Delivery và các báo cáo DORA trước bất cứ thứ gì khác.
- Đọc cho cả thập kỷ, không phải cho sprint. Ưu tiên các tác phẩm giải thích nguyên tắc bền vững hơn những tác phẩm gắn với một phiên bản công cụ cụ thể.
- Xác minh phiên bản hiện hành của tiêu chuẩn. NIST, OWASP, WCAG, ISO và DORA sửa đổi ấn phẩm của họ; hãy luôn làm việc từ bản phát hành mới nhất và ghi phiên bản trong chính sách của riêng bạn.
- Xây một kệ sách chung. Một đội đã cùng đọc hai ba cuốn trong số này tranh cãi ít hơn và quyết định nhanh hơn, vì họ chia sẻ từ vựng và một tập điểm tham chiếu.
- Xem thêm chương 12.5 cho chỉ mục đầy đủ của tiêu chuẩn và khung tham chiếu, và chương 12.6 cho cách sắp thứ tự áp dụng các thực hành mà những tác phẩm này mô tả.
