Kỹ sư Chính sách An toàn thông tin

1. Thông tin chung

• Vị trí công tác: Chuyên viên Kiểm tra đánh giá ATTT Ứng dụng.
• Bộ phận: Phòng/Trung tâm An toàn thông tin / Khối Công nghệ thông tin

1. Mục tiêu công việc

Chịu trách nhiệm thực hiện kiểm thử xâm nhập (Penetration Testing), đánh giá lỗ hổng bảo mật kiểm soát toàn diện chu kỳ phát triển phần mềm (DevSecOps/SDLC). Đảm bảo các ứng dụng (Web, Mobile, API, Hệ thống nội bộ) trước khi golive và trong quá trình vận hành đều tuân thủ các tiêu chuẩn bảo mật, phòng ngừa tối đa các nguy cơ tấn công và rò rỉ dữ liệu.

1. Nhiệm vụ và Trách nhiệm chính

Đánh giá và Kiểm thử An toàn thông tin (Pentest & Assessment)

• Chủ trì thực hiện kiểm thử xâm nhập (Black-box, Gray-box, White-box) vào các ứng dụng Web, App Mobile (iOS/Android), API/Web Services và hệ thống vi dịch vụ (Microservices).
• Thực hiện rà soát, đánh giá mã nguồn (Source Code Review/SAST) để phát hiện sớm các lỗ hổng logic nghiệp vụ và kiến trúc hệ thống.
• Đánh giá cấu hình an toàn thông tin của hạ tầng ứng dụng (Container, Kubernetes, Cloud Services nếu có liên quan).

Tích hợp Quy trình DevSecOps

• Tham gia xây dựng, thiết lập và tối ưu hóa các công cụ quét tự động (SAST, DAST, SCA) vào đường ống CI/CD (Jenkins, GitLab CI, GitHub Actions...).
• Phối hợp cùng đội ngũ Phát triển phần mềm (Developers) và Kiến trúc sư (Architects) để tư vấn phương án khắc phục (Remediation) các lỗ hổng bảo mật sau đánh giá.

Xây dựng Tiêu chuẩn & Giám sát Tuân thủ

• Nghiên cứu, cập nhật các xu hướng tấn công mới và xây dựng các bộ tiêu chuẩn, checklist đánh giá ATTT ứng dụng dựa trên các khung chuẩn quốc tế (OWASP Top 10, ASVS, SANS...).
• Tham gia thẩm định, đánh giá ATTT đối với các giải pháp kỹ thuật, phần mềm từ các đối tác hoặc nhà thầu bên ngoài (Supply Chain Security).
• Lập báo cáo kỹ thuật chi tiết về các lỗ hổng phát hiện được và báo cáo tổng hợp rủi ro cho cấp quản lý.

Mô tả công việc

• Học vấn: Tốt nghiệp Đại học loại Khá trở lên chuyên ngành CNTT, An toàn thông tin, Điện tử viễn thông hoặc các chuyên ngành liên quan.
• Kinh nghiệm: Tối thiểu 2 - 5 năm kinh nghiệm thực tế trong lĩnh vực Pentest ứng dụng hoặc Đánh giá ATTT hệ thống phần mềm (tùy thuộc level Tuyển dụng). Tiếng anh 650 Toeic hoặc các chứng chỉ tương đương khác.

Về Kiến thức Chuyên môn & Kỹ thuật

• Kiến thức lõi: Hiểu rõ về các lỗ hổng bảo mật phổ biến (OWASP Top 10, CWE/SANS Top 25) và cách thức khai thác/phòng chống.
• Kỹ năng mã nguồn: Có khả năng đọc hiểu tốt mã nguồn của ít nhất một trong các ngôn ngữ lập trình phổ biến: Java, . NET, Python, Go, Node.js.
• Công cụ thành thạo: Sử dụng thành thạo các công cụ đánh giá chuyên dụng (Burp Suite Pro, Acunetix, Fortify, SonarQube, Checkmarx, Kali Linux, SQLmap...).
• Hệ điều hành & Network: Hiểu sâu về kiến trúc hệ điều hành (Linux/Windows), giao thức mạng (TCP/IP, HTTP/HTTPS) và cơ chế xác thực (OAuth2, JWT, SAML).

Chứng chỉ chuyên môn (Ưu tiên)

• Sở hữu các chứng chỉ uy tín về kiểm thử/bảo mật ứng dụng là lợi thế lớn: OSCP, OSWE, CEH Master, GWAPT, CISSP..

Yêu cầu

Kỹ năng