Chuyên viên cao cấp/Chuyên gia Đánh giá và Kiểm thử An toàn thông tin (Pentest) - Phòng An ninh bảo mật - Khối Công nghệ

Vị trí này yêu cầu tối thiểu 3 năm kinh nghiệm nên em chưa phù hợp ngay. Nhưng em có thể chuẩn bị theo lộ trình: (1) Học chắc nền tảng mạng, OS, lập trình Python; (2) Luyện pentest trên HackTheBox, TryHackMe, PortSwigger Academy; (3) Lấy chứng chỉ Security+ hoặc CEH; (4) Tìm vị trí Junior Pentester tại các công ty security như VNPT IS, FPT IS, CyRadar; (5) Sau 2-3 năm kinh nghiệm thực tế kết hợp OSCP thì em hoàn toàn có thể ứng tuyển vị trí Senior như thế này. Trong thời gian học, em nên tham gia CTF và viết writeup để xây dựng portfolio nhé.

Mức lương có thể thay đổi tùy ngân hàng và thời điểm. Theo tham khảo thị trường, vị trí Senior Pentester (4-6 năm kinh nghiệm) tại ngân hàng Việt Nam hiện dao động khoảng 45-70 triệu đồng/tháng. Tại các ngân hàng lớn như Techcombank, VPBank, MBB, mức có thể lên tới 80-100 triệu. NCB là ngân hàng cỡ vừa, mức lương thường ở mức trung bình khá. Ngoài lương cứng, bạn còn có thưởng KPI, thưởng Tết (1-3 tháng lương), BHXH đầy đủ, chế độ đào tạo chứng chỉ. Khi đàm phán, hãy đưa ra mức dựa trên: chứng chỉ bạn có (OSCP, CISSP), kinh nghiệm ngân hàng, và lợi thế cạnh tranh của bạn.

Hoàn toàn khả thi và bạn có lợi thế đấy. Nền tảng DevOps giúp bạn hiểu sâu về hệ thống, CI/CD, container, cloud – tất cả đều là target pentest. Lộ trình chuyển đổi gợi ý: (1) Học thêm về security: OWASP Top 10, common vulnerabilities; (2) Thực hành trên HackTheBox, TryHackMe, PortSwigger Academy – dành 1-2 tiếng mỗi ngày; (3) Lấy chứng chỉ Security+ → CEH → OSCP; (4) Thử pentest cho hệ thống nội bộ công ty hiện tại (có sự cho phép); (5) Ứng tuyển vị trí Mid-level Pentester. Với 2 năm DevOps + 1-2 năm pentest thực chiến, bạn sẽ có profile rất mạnh vì hiểu cả attacker và defender mindset.

CEH (Certified Ethical Hacker) thiên về lý thuyết, dạng multiple choice, đánh giá kiến thức về công cụ và kỹ thuật tấn công. OSCP (Offensive Security Certified Professional) là chứng chỉ thực hành: bạn phải hack thành công nhiều máy trong 24 giờ và viết báo cáo. OSCP được giới chuyên môn đánh giá cao hơn nhiều vì chứng minh được năng lực thực tế. Lộ trình khuyến nghị: Nếu mới bắt đầu và cần chứng chỉ nhanh để bổ sung CV, lấy Security+ → CEH trước. Nếu đã có kinh nghiệm thực tế 1-2 năm, hãy nhắm thẳng OSCP. Trong ngân hàng, OSCP thường được đánh giá cao hơn CEH. Tuy nhiên, nếu ứng tuyển vị trí có yêu cầu ISO 27001/audit, CISA hoặc CISSP lại quan trọng hơn.

Pentest tại ngân hàng có nhiều điểm khác biệt: (1) Phạm vi hẹp nhưng sâu: chỉ làm trong hệ thống ngân hàng (core banking, internet banking, mobile app, API, ATM), nhưng yêu cầu hiểu sâu nghiệp vụ tài chính; (2) Compliance nặng: phải tuân thủ quy định NHNN (Thông tư 17, 18), PCI-DSS, ISO 27001; (3) Bảo mật cao: làm việc trong môi trường cô lập, có giám sát chặt; (4) Ít cơ hội tấn công thực: thường chỉ pentest hệ thống nội bộ, không có scope rộng như công ty pentest; (5) Ổn định: lương và phúc lợi tốt, ít phụ thuộc dự án; (6) Phải có mindset compliance: mọi phát hiện phải được document cẩn thận vì ảnh hưởng đến audit. Nếu bạn thích đa dạng, freelance pentest, đi nhiều khách hàng → công ty security phù hợp hơn. Nếu thích ổn định, chuyên sâu, lâu dài → ngân hàng tốt hơn.

CVE (Common Vulnerabilities and Exposures) là mã định danh duy nhất cho mỗi lỗ hổng bảo mật được công nhận toàn cầu. Có CVE chứng tỏ bạn đã tự tìm và công bố lỗ hổng mới, là điểm cộng rất lớn trong CV. Cách có CVE đầu tiên: (1) Bắt đầu với bug bounty trên HackerOne, Bugcrowd, hoặc các chương trình của VN; (2) Chọn sản phẩm open source phổ biến (WordPress plugin, framework nhỏ) và tìm lỗ hổng; (3) Học fuzzing cơ bản với AFL, LibFuzzer; (4) Đọc source code các sản phẩm phổ biến tìm điểm yếu; (5) Khi tìm được lỗ hổng, báo cáo có trách nhiệm cho vendor, sau khi fix họ sẽ ghi nhận bạn và cấp CVE; (6) Hoặc bạn có thể nộp qua MITRE. Có thể mất vài tháng đến 1 năm cho CVE đầu tiên, nhưng giá trị nghề nghiệp rất lớn, đặc biệt khi ứng tuyển vị trí như NCB đang tuyển.

Khác với kinh doanh, Pentester tại ngân hàng không có KPI doanh số. KPI chính thường là: (1) Số lượng pentest/đánh giá hoàn thành đúng hạn (thường theo kế hoạch năm); (2) Số lượng lỗ hổng phát hiện được và mức độ nghiêm trọng (đặc biệt là Critical/High); (3) Tỷ lệ lỗ hổng đã được khắc phục theo khuyến nghị (follow-up); (4) Chất lượng báo cáo (đánh giá qua feedback từ các phòng ban); (5) Sự cố ATTT phát hiện được qua pentest giúp ngăn chặn kịp thời; (6) Đóng góp vào cải tiến quy trình, công cụ; (7) Cập nhật kiến thức, lấy chứng chỉ mới. Áp lực chính là deadline pentest (thường phải hoàn thành trong dịp cao điểm như trước khi ra mắt sản phẩm mới), và trách nhiệm nặng nề vì lỗ hổng bị sót có thể gây thiệt hại lớn cho ngân hàng và khách hàng.

Nếu chỉ được chọn 1 chứng chỉ, tôi khuyến nghị OSCP (Offensive Security Certified Professional) vì: (1) Là chứng chỉ pentest thực hành uy tín nhất hiện nay, được cộng đồng quốc tế công nhận; (2) Đánh giá năng lực thực chiến qua bài thi 24 giờ hack thực tế, không phải lý thuyết; (3) NCB và hầu hết ngân hàng lớn đều ưu tiên OSCP trong JD pentest; (4) Kiến thức khi học OSCP rất thực tế, áp dụng được ngay vào công việc; (5) Tuy nhiên, nếu bạn muốn hướng quản lý (Team Lead, CISO), CISSP lại phù hợp hơn. Nếu bạn mới bắt đầu và chưa có nền tảng, hãy lấy Security+ trước (1-2 tháng học), rồi đến OSCP. Đây là combo: Security+ → OSCP là tối ưu nhất về thời gian và chi phí.