I.CÁC CÔNG VIỆC CHÍNH

1. Thực hiện rà soát, đánh giá lỗ hổng bảo mật (VA), trực tiếp thực hiện pentest Web/Application/API, phối hợp với đơn vị thứ ba khi cần. 

2.  Đánh giá bảo mật ứng dụng theo OWASP Top 10, kiểm tra logic phân quyền, authentication, session, API security. 

3. Phối hợp với team Dev, Infra trong việc triển khai và khắc phục các lỗ hổng bảo mật ứng dụng; thực hiện retest sau khi khắc phục. 

4. Theo dõi, phân tích và hỗ trợ xử lý sự cố an toàn thông tin (Incident Response), đặc biệt các sự cố liên quan đến ứng dụng. 

5.  Vận hành, giám sát các hệ thống ATTT (Firewall, IDS/IPS, WAF, SIEM…) khi được phân công 

6.  Xây dựng, cập nhật tài liệu ATTT: checklist bảo mật ứng dụng, báo cáo pentest, hướng dẫn secure coding. 

7. Tham gia triển khai và duy trì tuân thủ các tiêu chuẩn/khung: ISO 27001, PCI DSS (nếu có), quy định NHNN. 

8.  Thực hiện các nhiệm vụ khác theo phân công của quản lý trực tiếp. 

II. CÁC YÊU CẦU ĐỐI VỚI VỊ TRÍ CÔNG VIỆC

1. Trình độ và kinh nghiệm 

• Tốt nghiệp Đại học chuyên ngành CNTT, ATTT, Mạng máy tính hoặc tương đương. 

• Tối thiểu 1–3 năm kinh nghiệm trong lĩnh vực An toàn thông tin  

• Ưu tiên ứng viên có kinh nghiệm thực hiện Pentest Web/App/API từ 1 năm trở lên

2. Kiến thức và kỹ năng

• Nắm vững kiến thức về Web Application Security: OWASP Top 10, Authentication / Authorization, Session / Token (JWT), API Security 

• Có kinh nghiệm sử dụng công cụ kiểm thử bảo mật: Burp Suite, Nmap, SQLMap, Metasploit hoặc tương đương. 

• Có kiến thức nền tảng về Network, System (Linux/Windows), TCP/IP. 

• Có hiểu biết về các giải pháp ATTT phổ biến: WAF, SIEM, Firewall (là lợi thế). 

• Có tư duy phân tích, khả năng khai thác và đánh giá mức độ ảnh hưởng của lỗ hổng (attacker mindset). 

• Hiểu biết các tiêu chuẩn ATTT (ISO 27001, OWASP…) là điểm cộng 

3. Ưu tiên

• Có chứng chỉ liên quan đến kiểm thử xâm nhập / bảo mật ứng dụng như: OSCP, eJPT, eCPPT, CEH (hoặc tương đương). 

• Có kinh nghiệm thực hiện pentest Web/App/API hoặc tham gia Red Team / Attack Simulation. 

• Có kinh nghiệm làm việc trong lĩnh vực tài chính – ngân hàng. 

• Có hiểu biết về tiêu chuẩn bảo mật trong ngân hàng (ISO 27001, PCI DSS, OWASP ASVS…).