Head of Security

About Cake

Cake is a leading digital bank in Vietnam, powered by VPBank. We are building the future of banking with mobile-first financial products across Cards, Payments, Lending, Savings, and Investments.

As a technology-driven, AI-first digital bank, Cake is committed to delivering secure, scalable, and seamless financial experiences to millions of customers. Security is a core part of how we design, build, and operate our products.

Role Overview

We are looking for an experienced Head of Security to lead and scale security capabilities across Cake's digital banking platform.

This role combines security leadership with strong technical expertise in Product Security, Application Security, Cloud Security, and Security Engineering. You will define the security roadmap, establish security-by-design practices, and ensure that security controls are integrated into our applications, APIs, cloud infrastructure, and software development lifecycle.

The ideal candidate is a hands-on security leader who can shape strategy, guide technical architecture decisions, develop high-performing teams, and translate complex security risks into actionable business priorities.

Key Responsibilities

1. Security Strategy & Leadership

• Define and execute Cake's security strategy and roadmap, aligned with business objectives, technology architecture, and risk appetite.
• Establish security principles, engineering standards, policies, and measurable security objectives across the organization.
• Prioritize security investments and remediation initiatives based on business impact, threat exposure, and risk severity.
• Build, lead, and develop security teams, establishing clear ownership, accountability, and technical excellence.
• Partner with senior leadership to communicate security posture, key risks, investment priorities, and progress.

2. Product & Application Security

• Own the Product Security program covering web applications, mobile banking applications, APIs, and third-party integrations.
• Drive threat modeling, secure architecture reviews, security requirements, and security testing throughout the software development lifecycle.
• Establish secure coding practices and integrate automated security testing, including SAST, DAST, software composition analysis, and secrets detection, into CI/CD pipelines.
• Oversee penetration testing and vulnerability management, ensuring critical findings are prioritized, remediated, and independently validated.
• Strengthen authentication, authorization, session management, API access controls, and protection of sensitive customer and transaction data.
• Work closely with Product and Engineering teams to embed security into product design without creating unnecessary delivery bottlenecks.

3. Cloud & Platform Security

• Define and oversee security architecture and controls across cloud-native infrastructure, primarily Google Cloud Platform (GCP), Kubernetes/GKE, and supporting services.
• Strengthen cloud IAM, workload identity, privileged access, secrets management, network segmentation, container security, and configuration baselines.
• Partner with Platform Engineering and SRE to secure infrastructure as code, deployment pipelines, production workloads, and service-to-service communications.
• Establish cloud security monitoring, posture management, and continuous assessment processes.
• Review critical architecture changes and ensure security requirements are incorporated before production deployment.

4. Security Engineering & Offensive Security

• Lead security engineering initiatives to identify and reduce attack surfaces across applications, APIs, infrastructure, and identity systems.
• Establish a risk-based penetration testing and vulnerability assessment program.
• Coordinate red team exercises, adversary emulation, and purple team activities where appropriate, using frameworks such as MITRE ATT&CK.
• Collaborate with Cyber Defense and Engineering teams to validate detection capabilities and drive remediation of exploitable weaknesses.
• Establish security metrics, remediation SLAs, and reporting mechanisms to measure the effectiveness of security controls.

5. Security Incident Response & Risk Management

• Partner with Cyber Defense, SRE, and Engineering teams to investigate, contain, and remediate security incidents.
• Drive root-cause analysis, post-incident reviews, and corrective actions to prevent recurrence.
• Establish risk assessment, exception management, and security risk acceptance processes.
• Work with Risk and Compliance teams to maintain appropriate security governance and alignment with applicable regulatory requirements and standards, including ISO 27001, NIST CSF, and PCI DSS where relevant.
• Ensure third-party integrations and technology providers meet appropriate security requirements.

6. Regulatory Security Assessment & Compliance

• Lead the assessment and completion of system classification and security level dossiers for new information systems, in accordance with applicable State Bank of Vietnam (SBV) regulations and internal policies.
• Coordinate with Engineering, IT Operations, System Owners, and relevant stakeholders to collect technical documentation, assess security requirements, and complete required approval and review processes before systems go live, where applicable.
• Ensure security requirements and regulatory obligations are incorporated into system design, implementation, and operational processes.

7. Periodic Security Review & Remediation Management

• Plan and organize periodic information security reviews and assessments across applications, APIs, cloud infrastructure, and critical information systems.
• Coordinate vulnerability assessments, security configuration reviews, penetration testing, and other security assurance activities based on risk and regulatory requirements.
• Track security findings, remediation plans, owners, and deadlines; follow up with relevant teams to ensure timely resolution of identified issues.
• Monitor remediation progress, validate corrective actions, and escalate overdue or high-risk findings to relevant stakeholders.
• Establish periodic reporting on security review coverage, outstanding vulnerabilities, remediation status, and residual risks for management oversight.

Requirements

Mandatory Qualifications

• Bachelor's degree in Computer Science, Information Security, Cybersecurity, or a related technical field.
• 10+ years of experience in cybersecurity, application security, cloud security, or security engineering, including at least 4–5 years in security leadership or management roles.
• Proven experience leading a security function, security engineering team, or major security transformation program.
• Strong technical foundation in at least two of the following areas: Product/Application Security, Cloud Security, Security Engineering, or Offensive Security.
• Demonstrated experience securing production applications, APIs, and complex infrastructure environments.
• Strong understanding of secure SDLC, threat modeling, vulnerability management, security architecture, and incident response.
• Practical experience with cloud security; GCP and Kubernetes/GKE experience is strongly preferred.
• Proven ability to influence Engineering leadership, prioritize remediation, and drive security outcomes across multiple teams.
• Experience developing security roadmaps, managing resources, and reporting security risks to senior stakeholders.
• Familiarity with applicable State Bank of Vietnam (SBV) information security regulations, including system security-level classification and preparation of required security assessment dossiers for new systems.
• Experience organizing periodic security reviews, vulnerability assessments, and tracking remediation progress to ensure timely closure of security findings.

Technical Expertise

• Application & Product Security: OWASP Top 10, API security, mobile application security, secure coding, threat modeling, SAST, DAST, and software composition analysis.
• Cloud & Platform Security: GCP or equivalent public cloud, Kubernetes, IAM, workload identity, secrets management, container security, and CI/CD security.
• Security Engineering: Vulnerability management, security architecture reviews, attack-surface reduction, penetration testing, and security automation.
• Cyber Defense: Security monitoring, incident response, threat detection, and collaboration with SOC or Cyber Defense teams.
• Security Governance: Risk assessment, security policies, compliance frameworks, and third-party security risk management.

Leadership & Soft Skills

• Strong strategic thinking combined with sound technical judgment.
• Ability to lead, mentor, and develop high-performing security teams.
• Excellent communication and stakeholder management skills.
• Ability to balance security, regulatory requirements, engineering velocity, and customer experience.
• Strong ownership, analytical thinking, and decision-making capabilities.