CVCC/Chuyên gia Quản lý Chính sách và Tuân thủ an ninh bảo mật - Phòng An Ninh bảo mật - Khối Công nghệ
Mô tả công việc
Theo từng thời kỳ của NCB
Yêu cầu ứng viên
- Trình độ học vấn: Tốt nghiệp đại học trở lên chuyên ngành Công nghệ thông tin, An toàn thông tin, Điện tử viễn thông hoặc chuyên ngành tương đương
- Kinh nghiệm làm việc: Tối thiểu 04 năm kinh nghiệm làm việc tại vị trí tương đương
- Kiến thức:
- Có hiểu biết, nắm vững các quy định liên quan đến an toàn thông tin, quản lý rủi ro trong ngành tài chính - ngân hàng.
- Có khả năng xây dựng văn bản ANTT, triển khai, thiết lập, xây dựng, cải tiến, giám sát và đánh giá tuân thủ ATTT theo Quy quy định về an toàn hệ thống thông tin trong hoạt động ngân hàng và các tiêu chuẩn An ninh thông tin như: ISO27001, PCI-DSS,….
- Có kiến thức tổng quan về hệ thống, mạng, an toàn thông tin, bảo mật ứng dụng
- Có kiến thức tổng quan về các tiêu chuẩn an toàn thông tin (PCI DSS, ISO 27001, NIST...
- Năng lực /kỹ năng: Kỹ năng giao tiếp, thuyết trình và đào tạo, làm việc độc lập, làm việc nhóm, tin học văn phòng và lập báo cáo thống kê
- Ưu tiên các ứng viên có chứng chỉ Auditor liên quan đến CNTT, hoặc có các chứng chỉ liên quan đến ISO 27001, ISO20000, ITIL, COBIT, PCI DSS.
- Ưu tiên các ứng viên đã từng làm việc tại vị trí tương đương trong các tổ chức tài chính/Ngân hàng hoặc các vị trí liên quan đến quản lý rủi ro hoạt động CNTT và kiểm toán CNTT trong Ngân hàng
Phân tích kỹ năng cần có
Phân tích kỹ năng cần có cho vị trí CVCC/Chuyên gia Quản lý Chính sách và Tuân thủ an ninh bảo mật tại NCB
Đây là vị trí thuộc nhóm GRC (Governance, Risk & Compliance) trong an toàn thông tin ngân hàng – tức là bạn không chỉ "hacker mũ trắng" mà là người xây dựng chính sách, giám sát tuân thủ, và đảm bảo ngân hàng vận hành theo các tiêu chuẩn an ninh quốc tế.
---
1. Hard Skills (Kỹ năng cứng) – Bắt buộc
| Nhóm | Kỹ năng cụ thể | Mức độ yêu cầu |
|---|---|---|
| Tiêu chuẩn & Quy định | ISO 27001, PCI DSS, NIST, ISO 20000, ITIL, COBIT | Bắt buộc nắm vững |
| Pháp chế ngân hàng | Quy định NHNN về ATTT trong hoạt động ngân hàng, Thông tư 13/2018, Thông tư 18/2024, Luật An toàn thông tin mạng | Bắt buộc |
| Quản lý rủi ro CNTT | Xác định, đánh giá, xử lý rủi ro ATTT trong hệ thống ngân hàng | Bắt buộc |
| Xây dựng chính sách | Soạn thảo văn bản ATTT, quy chế, quy trình, checklist tuân thủ | Bắt buộc |
| Kiến thức nền tảng ATTT | Hệ thống, mạng, bảo mật ứng dụng (Application Security, System Security) | Bắt buộc |
| Giám sát & Đánh giá | Đo lường tuân thủ, audit nội bộ, báo cáo ATTT định kỳ | Bắt buộc |
2. Soft Skills (Kỹ năng mềm)
- Giao tiếp & thuyết trình: Đây là vị trí cần "bán" chính sách cho nhiều phòng ban khác nhau, không chỉ dân kỹ thuật.
- Đào tạo: Bạn sẽ tổ chức training nền cho CBNV về nhận thức ATTT.
- Làm việc độc lập & nhóm: Vừa tự chủ trong xây dựng policy, vừa phối hợp với IT, Audit, Rủi ro, Ngân hợt.
- Lập báo cáo & thống kê: Trình bày số liệu tuân thủ, sự cố, KPI cho Ban lãnh đạo.
3. Chứng chỉ ưu tiên (nên có ít nhất 1-2 cái)
| Chứng chỉ | Giá trị | Chi phí ước mức |
|---|---|---|
| ISO 27001 Lead Auditor/Lead Implementer | Rất cao cho vị trí | 15-30 triệu VNĐ |
| CISA (Certified Information Systems Auditor) | Vàng cho dân GRC | 40-60 triệu VNĐ |
| CISM (Certified Information Security Manager) | Quản lý ATTT cấp cao | 40-60 triệu VNĐ |
| CRISC (Certified in Risk and Information Systems Control) | Quản lý rủi ro CNTT | 40-60 triệu VNĐ |
| CISSP | Kiến thức ATTT toàn diện | 40-60 triệu VNĐ |
| PCI QSA | Kiểm toán PCI DSS | Khó, cần kinh nghiệm thực tế |
| ITIL Foundation/Practitioner | Nền tảng quản lý dịch vụ CNTT | 5-10 triệu VNĐ |
4. So sánh vị trí này với các vị trí IT khác trong ngân hàng
| Vị trí | Tập trung vào | Mức độ "business" | Mức độ "technical" |
|---|
n| Chuyên gia Tuân thủ ATTT (vị trí này) | Chính sách, tiêu chuẩn, giám sát tuân thủ | ★★★★★ | ★★☆☆☆ |
| Chuyên gia SOC / Phân tích sự cố | Phát hiện, xử lý tấn công | ★★☆☆☆ | ★★★★★ |
|---|---|---|---|
| Penetration Tester | Tìm lỗ hổng, khai thác | ★☆☆☆☆☆ | ★★★★★ |
| Kiểm toán viên CNTT | Đánh giá độc lập, báo cáo Ban lãnh đạo | ★★★★☆ | ★★★☆☆ |
---
5. Lưu ý đặc thù ngân hởng NCB
NCB (Ngân hàng TMCP Quốc Dân) đang trong giai đoạn tái cơ cấu mạnh mẽ (chuyển sang mô hình không có số điện lớn từ 2024-2025). Điều này có nghĩa:
- Khối CNTT và ATTT sẽ được đầu tư mạnh để phục vụ chuyển đổi số
- Áp lực tuân thủ từ NHNN và các cơ quan giám sát rất cao
- Nhiều cơ hội thăng tiến nếu bạn chứng minh được năng lực
---
Hướng dẫn phỏng vịt vị trí CVCC Chính sách & Tuân thủ ATTT tại NCB
Quy trình tuyển dụng dự kiến (3-4 vòng)
1. Vòng 1 – HR Screening (30-60 phút): Kiểm tra hồ sơ, kinh nghiệm, mức lương kỳ vọng
2. Vòng 2 – Phỏng vấn chuyên môn với Trưởng phòng ANB (60-90 phút): Câu hỏi kỹ thuật sâu
3. Vòng 3 – Phỏng vấn với Lãnh đạo Khối CNTT (45-60 phút): Tầm nhìn, chiến lược, quản lý
4. Vòng 4 – Phỏng vấn cuối cùng với GĐ Khối hoặc Ban lãnh đạo (30-45 phút): Văn hóa, mục tiêu cá nhân
Câu hỏi chuyên môn hay gặp (Vòng 2)
Về ISO 27001:
- Trình bày các bước triển khai ISO 27001 từ A-Z tại một ngân hàng?
- SoS (Statement of Applicability) là gì? Khi nào cần xem xét lại?
- Phân biệt giữa control, control objective, và control implementation?
- Bạn đã từng tham gia đánh giá nội bộ ISO 27001 bao giờ chưa?
Về PCI DSS:
- PCI DSS có bao nhiêu yêu cầu? 12 nhóm yêu cầu chính là gì?
- Làm thế nào để phân loại phạm vi PCI (cardholder data environment)?
- Sự khác biệt giữa PCI DSS 3.2.1 và 4.0?
- Làm thế nào đánh giá một merchant ngân hởng đã tuân thủ PCI DSS hay chưa?
Về quy định NHNN:
- Thông tư 13/2018/TT-NHNN quy định gì? Có bao nhiêu điều khoản?
- Thông tư mới nhất (2024) về ATTH ngân hởng có điểm gì nổi bật?
- Quy trình quản lý rủi ro ATTT theo chuẩn NHNN như thế nào?
Về kỹ thuật:
- Phân biệt giữa SIEM, SOAR, EDR, XDR?
- Các bước xử lý khi phát hiện sự cố rò rỉ dữ liệu?
- Zero Trust là gì? Áp dụng trong ngân hởng ra sao?
Câu hỏi tình huống (vòng 3-4)
- "Nếu một chi nhánh gửi email báo cáo đã bị mất USB chứa dữ liệu khách hởng, bạn sẽ xử lý như thế nào theo quy trình tuân thủ?"
- "Bạn sẽ thiết kế chương trình nâng cao nhận thức ATTT hằng năm cho 5.000 CBNV như thế nào?"
- "Trưởng phòng IT kinh doanh yêu cầu miễn trừ một control ISO 27001 vì lý do business, bạn sẽ làm gì?"
Tips chuẩn bị phỏng vấn
1. Đọc kỹ Báo cáo thường niên và Điều lệ NCB để hiểu chiến lược
2. Ôn lại các văn bản NHNN mới nhất về ATTT (Thông tư 13/2018, Thông tư 17/2024 nếu có)
3. Chuẩn bị 1 case study về một dự án tuân thủ hoặc audit bạn đã làm
5. Mang theo chứng chỉ bản gốc hoặc photo công chứng
Dress code
NCB là ngân hởng chuẩn lễ tục truyền thống. Khuyến mịnh: sơ mi trắng/xanh nhạt, quần tây, giày da, không cà vạt nếu là ứng viên trẻ. Tránh vest đen quá formal trừ khi phỏng vấn với TGĐ.
---
Hướng dẫn ôn thi & chuẩn bị trong 1-2 tuần
Lộ trình 7 ngày (mỗi ngày 2-3 giờ)
| Ngày | Chủ đề | Tài liệu |
|---|---|---|
| 1 | Tổng quan ATTT ngân hởng + Quy định pháp lý VN | Thông tư 13/2018/TT-NHNN, Thông tư 18/2024, Luật ATTT mạng 2015 |
| 2 | ISO 27001:2022 chi tiết | Tóm tắt 93 controls, Annex A, SoS, Risk Treatment |
| 3 | PCI DSS 4.0 | 12 yêu cầu, scope, ROC, SAQ |
| 4 | NIST CSF 2.0 | Identify-Protect-Detect-Respond-Recover-Govern |
| 5 | Kiểm toán CNTT & Quản lý rủi ro | COBIT 2019, ITIL 4, Audit checklist |
| 6 | Kỹ thuật nền (Network, AppSec, SIEM) | Khái niệm, không cần quá sâu |
| 7 | Mock interview + Case study | Tự luyện với bạn bè, ghi âm |
Tài liệu tham khảo miễn phí
- ISO 27001: Tải miễn phí bản tóm tắt từ iso.org
- PCI DSS v4.0: Tải miễn phí từ pcisecuritystandards.org
- NIST CSF 2.0: NIST.gov (miễn phí)
- OWASP Top 10: owasp.org
- Bộ chuẩn CNTT của NHNN: Tải trên nhbn.vn
- Khóa học miễn phí: ISO 27001 Lead Auditor trên Udemy (hay có đợt free)
- Diễn đàn: Security365.vn, WhiteHat.vn forum
Kiến thức nền quan trọng cần nắm
1. Vòng đời quản lý rủi ro: Nhận diện → Phân tích → Đánh giá → Xử lý → Giám sát
2. 3 tuyến phòng thủ (Three Lines of Defense) trong ngân hởng: Kinh doanh → Rủi ro & Tuân thủ → Kiểm toán nội bộ
3. Quy trình xử lý sự cố ATTT theo NIST: Preparation → Detection → Containment → Eradication → Recovery → Lessons Learned
4. Sự khác biệt giữa: Vulnerability, Threat, Risk, Control, Impact
---
Lời khuyên sự nghiệp
Lộ trình thăng tiến
```
Chuyên viên ATTT (0-3 năm)
↓
Chuyên viên chính ATTT / CVCC (3-6 năm) ← VỊ TRÍ NÀY
↓
Trưởng/Phó phòng ATTT (6-10 năm)
↓
Giám đốc ANB / GĐ Trung tâm Giám sát ATTT (10+ năm)
↓
Phó GĐ Khối CNTT hoặc CISO (Chief Information Security Officer)
```
Mức lương kỳ vọng theo cấp bậc (ước lượng tham khảo)
| Cấp bậc | Kinh nghiệm | Mức lương tháng (ước lượng) |
|---|---|---|
| Chuyên viên | 0-3 năm | 12-20 triệu |
| CVCC (vị trí này) | 4-7 năm | 22-35 triệu |
| Trưởng phòng | 7-10 năm | 35-55 triệu |
| Giám đốc ANB/CISO | 10-15 năm | 50-100 triệu+ |
Mức lương có thể thay đổi tùy ngân hàng và thời điểm. NCB đang trong giai đoạn tái cơ cấu nên mức lương có thể dao động.
Kỹ năng cần phát triển thêm để thăng tiến
1. Lấy CISA hoặc ISO 27001 Lead Auditor trong vòng 6-12 tháng tới (nếu chưa có)
2. Học thêm về Cloud Security (AWS/Azure Security Specialty) vì ngân hởng đang chuyển lên cloud
3. Hiểu biết DevSecOps để giao tiếp với team DevOps
4. Kỹ năng quản lý dự án (PMP, PRINCE2) nếu muốn lên Trưởng phòng
5. Tiếng Anh tốt – rất cần để đọc chuẩn quốc tế và giao tiếp với auditor nước ngoài
Lời khuyên thực tế
- Vị trí GRC ATTT ngân hởng ổn định hơn so với các vị trí pure technical như SOC hay Pentest vì không phụ thuộc nhiều vào "đam mê hacker" mà dựa trên quy trình và tuân thủ
- Cơ hội nghề nghiệp: Sau khi làm GRC ở ngân hởng, bạn có thể dễ dàng chuyển sang các lọc vực khác như: Tư vấn ATTT (Big4), Kiểm toán (EY, KPMG, Deloitte), Fintech, Regulator (NHNN)
- Lưu ý NCB: NCB trong giai đoạn 2024-2026 đang chuyển đổi mạnh, bạn sẽ có cơ hội tham gia xây dựng từ đầu nhưng cũng chịu áp lực tái cơ cấu
- Đàm phán lương: Với 4 năm kinh nghiệm + ít nhất 1 chứng chỉ quốc tế, bạn có thể deal mức 25-35 triệu. Nếu có chứng chỉ Auditor + kinh nghiệm ngân hởng lớn, có thể deal 35-45 triệu.
---
Câu hỏi thường gặp (AI Q&A)
Câu hỏi thường gặp
Em mới ra trường ngành An toàn thông tin, có nên ứng tuyển vị trí CVCC tại NCB không?
Không nên. Vị trí này yêu cầu tối thiểu 4 năm kinh nghiệm ở vị trí tương đương – tức là đã từng xây dựng policy ATTT, làm tuân thủ, đánh giá rủi ro. Nếu em mới ra trường, em nên bắt đầu ở vị trí Chuyên viên ATTT hoặc SOC Analyst trước 2-3 năm, sau đó chuyển dần sang GRC. Cố gắng ứng tuyển sớm có thể làm mất thời gian của cả hai bên.
Em đang làm DevOps ở fintech 3 năm, muốn chuyển sang tuân thủ ATTT ngân hàng có được không?
Được nhưng cần chuẩn bị. Kinh nghiệm DevOps giúp em hiểu kỹ thuật, nhưng vị trí GRC đòi hỏi em phải học thêm: ISO 27001, PCI DSS, quy định NHNN, kỹ năng soạn policy, audit. Em nên: (1) Lấy chứng chỉ ISO 27001 Foundation hoặc CISA trong 6 tháng tới, (2) Đọc Thông tư 13/2018 và các văn bản NHNN, (3) Tự xây dựng 1 bộ policy ATTT mẫu để show trong CV, (4) Apply ở vị trí Chuyên viên chính trước, sau 1-2 năm sẽ có cơ hội lên CVCC.
Chứng chỉ nào quan trọng nhất cho vị trí này ạ?
Theo yêu cầu của tin tuyển dụng, các chứng chỉ được ưu tiên theo thứ tự: (1) ISO 27001 Lead Auditor hoặc Lead Implementer – phù hợp nhất vì job này về policy & compliance, (2) CISA – chứng chỉ vàng cho kiểm toán CNTT, (3) CISM – cho quản lý ATTT, (4) PCI QSA – rất giá trị nhưng khó lấy vì cần kinh nghiệm thực tế. Nếu mới bắt đầu, em nên lấy ISO 27001 trước vì chi phí thấp, học nhanh (3-5 ngày), và trực tiếp phục vụ công việc.
Mức lương bao nhiêu là hợp lý khi deal với NCB cho vị trí này?
Với vị trí CVCC tại NCB yêu cầu 4+ năm kinh nghiệm + chứng chỉ quốc tế, mức lương hợp lý nằm trong khoảng 22-35 triệu/tháng gross. Nếu có CISA + kinh nghiệm làm tại ngân hàng big4 (Vietcombank, Techcombank, MB, ACB...), em có thể deal 35-45 triệu. NCB đang trong giai đoạn tái cơ cấu nên có thể deal thêm 10-20% nếu em show được giá trị. Mức lương có thể thay đổi tùy ngân hàng và thời điểm – đây chỉ là ước lượng tham khảo. Khi deal, nhớ đừng chỉ nhìn lương gross mà còn xem thưởng Tết, thưởng KPI, phúc lợi.
Công việc hằng ngày của vị trí này cụ thể ra sao?
Một ngày làm việc điển hình: 8:30-9:00 check mail, 9:00-10:30 review văn bản policy/chính sách ATTT, 10:30-12:00 họp với team IT hoặc kinh doanh về tuân thủ, 13:00-15:00 đi audit nội bộ 1 chi nhánh/đơn vị hoặc xây dựng checklist, 15:00-17:00 lập báo cáo tuân thủ/thống kê sự cố, đôi khi đào tạo CBNV. Đặc thù là sẽ có những lúc chuẩn bị audit lớn (NHNN, nội bộ, bên ngoài) sẽ căng hơn, hoặc có sự cố ATTT phải xử lý gấp.
NCB có phải là ngân hàng tốt để theo lâu dài không?
Câu này cần nhìn nhiều góc. NCB đang trong giai đoạn tái cơ cấu mạnh từ 2024-2025 sau sự kiện chuyển số điện thoại – đây là giai đoạn khó khăn nhưng cũng có cơ hội lớn vì họ phải làm lại gần như từ đầu. Ưu điểm: ít thủ tục hơn gian thủ đô, dễ thăng tiến vì thiếu người giỏi, được tham gia xây dựng từ đầu. Nhược điểm: áp lực tái cơ cấu lớn, thương hiệu yếu hơn các ngân hàng lớn, có thể ảnh hưởng đến CV khi chuyển việc sau này. Nếu em cần ổn định tuyệt đối thì nên cân nhắc các ngân hàng big4; nếu em muốn cơ hội thăng tiến nhanh và học hỏi thực tế thì NCB là lựa chọn tốt.
Em làm kiểm toán viên CNTT ở Big4 (EY/KPMG) 4 năm, có lợi thế gì khi ứng tuyển?
Có lợi thế rất lớn. Kinh nghiệm Big4 cho thấy bạn đã quen với: tiêu chuẩn audit quốc tế, cách viết báo cáo chuyên nghiệp, làm việc với nhiều loại hình doanh nghiệp, kỹ năng phỏng vấn và thu thập bằng chứng audit. Bạn chắc chắn đã có kiến thức về ISO 27001, PCI DSS, COBIT. Tuy nhiên cần bổ sung: (1) Hiểu biết sâu về hoạt động ngân hàng cụ thể, (2) Quy định NHNN, (3) Cách chuyển từ "tư vấn bên ngoài" sang "làm nội bộ" – hai vai trò khác nhau. Trong CV, bạn nhấn mạnh các dự án audit ngân hàng/tài chính đã làm.
Lộ trình 5 năm tới cho vị trí GRC ATTT ngân hàng như thế nào?
Năm 1-2: Củng cố chuyên môn, lấy thêm chứng chỉ (CISA hoặc ISO 27001 Lead), tham gia các dự án lớn tại NCB. Năm 3-4: Ứng tuyển lên Trưởng nhóm/Phó phòng ATTT hoặc chuyển sang ngân hàng lớn hơn với mức lương cao hơn 30-50%. Năm 5: Có thể là Trưởng phòng ATTT hoặc Phó phòng tại ngân hàng top 10. Để thăng tiến nhanh, bạn cần: (1) Chứng chỉ quốc tế, (2) Kinh nghiệm thực tế đã từng audit/triển khai ISO 27001 end-to-end, (3) Network với cộng đồng ATTT Việt Nam, (4) Tiếng Anh tốt, (5) Có thể đi công tác ngắn hạn ở nước ngoài nếu cần.