[HO] IT COMPLIANCE
Mô tả công việc
• Perform an information security audit for all branches / TOs.
• Review / update Security Policy in accordance with new procedure/ process of our bank or new regulation of State Bank of Vietnam / Information Security Division of Mother bank
• Cooperate with Compliance Dept. for regulation advice.
• Support other Departments for checking policy of Information Security.
• Create State bank’s report or other report relating to Information Security Job.
• Organize and catalog audit repositories for annual assessments: ISO/IEC 27001, ISO/IEC 27701, and PCI-DSS.
• Perform other related duties as assigned.
• Organize and catalog audit repositories for annual assessments: ISO/IEC 27001, ISO/IEC 27701, and PCI-DSS.
• Assist in scheduling audit interviews with internal and external auditors (QSA, certification bodies). Authority
• Assist in tracking employee completion of annual security awareness training.
Phân tích kỹ năng cần có
Phân tích kỹ năng cho vị trí IT Compliance – Shinhan Bank Vietnam
1. Hard Skills – Kỹ năng chuyên môn (bắt buộc)
| Nhóm kỹ năng | Chi tiết cần có |
|---|---|
| Kiến thức về tiêu chuẩn bảo mật | ISO/IEC 27001 (Hệ thống quản lý an toàn thông tin – ISMS), ISO/IEC 27701 (Quản lý thông tin quyền riêng tư – PIMS), PCI-DSS (Bảo mật dữ liệu thẻ) |
| Kiến thức pháp lý ngân hàng VN | Thông tư hướng dẫn của NHNN về an toàn thông tin (Thông tư 13/2018, Thông tư 18/2021), Luật An toàn thông tin mạng, Luật An ninh mạng, các quy định của NHNN về quản lý rủi ro CNTT |
| Kiểm toán bảo mật | Kỹ thuật audit hệ thống CNTT, đánh giá rủi ro (risk assessment), soạn thảo báo cáo audit, xây dựng checklist tuân thủ |
| Quản lý chính sách | Khả năng review, cập nhật và xây dựng chính sách an ninh thông tin (Security Policy), quy trình nội bộ |
| Tài liệu & báo cáo | Catalog hóa tài liệu audit, lưu trữ theo chuẩn ISO, lập báo cáo gửi NHNN |
| Hiểu biết hạ tầng IT | Network, Hardware, hệ thống ngân hàng lõi (Core Banking), ATM/POS, hệ thống thẻ |
2. Soft Skills – Kỹ năng mềm
- Giao tiếp đa bên: Phối hợp với Compliance, các phòng ban, auditor nội bộ và bên ngoài (QSA – Qualified Security Assessor)
- Quản lý thời gian: Đảm bảo deadline audit hàng năm, training awareness cho toàn bộ nhân viên
- Tư duy phân tích: Phát hiện gap compliance, đánh giá rủi ro, đưa giải pháp
- Trình độ ngoại ngữ: Tiếng Anh thành thạo (đọc tài liệu ISO/quốc tế). Tiếng Hàn là lợi thế lớn vì là ngân hàng Hàn Quốc
- Tỉ mỉ, cẩn thận: Công việc liên quan đến chính sách, audit đòi hỏi độ chính xác cao
3. Chứng chỉ ưu tiên (không bắt buộc nhưng là lợi thế)
| Chứng chỉ | Mức độ ưu tiên | Ghi chú |
|---|---|---|
| CISA (Certified Information Systems Auditor) | ⭐⭐⭐⭐⭐ | Tiêu chuẩn vàng cho IT Auditor |
| CISM (Certified Information Security Manager) | ⭐⭐⭐⭐ | Phù hợp vị trí quản lý |
| ISO 27001 Lead Auditor | ⭐⭐⭐⭐⭐ | Rất cần vì JD yêu cầu trực tiếp |
| CISSP | ⭐⭐⭐⭐ | Nền tảng an ninh thông tin vững |
| PCI-DSS QSA/ISA | ⭐⭐⭐ | Cần cho audit thẻ |
| CDPSE | ⭐⭐⭐ | Liên quan privacy/data |
4. Bảng so sánh mức độ phù hợp theo cấp kinh nghiệm
| Cấp độ | Kinh nghiệm | Yêu cầu tối thiểu | Mức độ phù hợp |
|---|---|---|---|
| Fresher/Junior | 0–2 năm | Tốt nghiệp IT/IS, biết cơ bản ISO 27001, tiếng Anh tốt | ⚠️ Có thể ứng tuyển nếu tốt nghiệp giỏi |
| Mid-level | 2–5 năm | Có kinh nghiệm audit IT, biết SBV regulations | ✅ Phù hợp nhất |
| Senior | 5–8 năm | Có chứng chỉ CISA/ISO LA, từng làm ngân hàng | ✅ Phù hợp |
| Manager | 8+ năm | Kinh nghiệm lead team, đối thoại với NHNN | ✅ Ứng viên trong nước/nước ngoài đều OK |
Chuẩn bị phỏng vấn
Hướng dẫn phỏng vấn vị trí IT Compliance – Shinhan Bank Vietnam
Quy trình phỏng vấn dự kiến (3–4 vòng)
Vòng 1: HR Screening (30–45 phút)
- Giới thiệu bản thân, kinh nghiệm liên quan
- Lý do ứng tuyển Shinhan Bank và vị trí IT Compliance
- Mức lương mong muốn, thời gian có thể bắt đầu
- Tiếng Hàn có không (thường được hỏi vì ngân hàng Hàn)
Vòng 2: Technical Interview với IT Security/Compliance Manager (60–90 phút)
- Kiến thức chuyên môn ISO 27001/27701, PCI-DSS
- Các quy định của NHNN về an toàn thông tin
- Tình huống audit thực tế
- Cách xử lý khi phát hiện vi phạm policy
Vòng 3: Final Interview với Country Head / Department Head (45–60 phút)
- Đánh giá tổng thể về tư duy, văn hóa
- Khả năng phù hợp với môi trường ngân hàng Hàn
- Kỳ vọng nghề nghiệp dài hạn
Vòng 4 (có thể có): Test tiếng Anh/Hàn hoặc bài assessment
Câu hỏi phỏng vấn hay gặp
Vòng chuyên môn – Technical:
1. Anh/chị hiểu gì về ISO/IEC 27001? Trình bày cấu trúc ISMS và quy trình audit hàng năm?
2. Phân biệt ISO 27001 và ISO 27701? Tại sao ngân hàng cần triển khai cả hai?
3. PCI-DSS có mấy yêu cầu (Requirements)? Anh/chị liệt kê các nhóm chính?
4. Anh/chị biết những thông tư/quy định nào của NHNN về an toàn thông tin trong hoạt động ngân hàng?
5. Khi phát hiện một chi nhánh vi phạm security policy, anh/chị xử lý như thế nào?
6. Quy trình đánh giá rủi ro (Risk Assessment) trong ISO 27001 được thực hiện ra sao?
7. Anh/chị đã từng tham gia audit nội bộ/audit chứng nhận ISO chưa? Mô tả kinh nghiệm?
8. Statement of Applicability (SoA) là gì? Vai trò trong ISO 27001?
9. Cách xây dựng chính sách an toàn thông tin cho một ngân hàng?
10. Anh/chị hiểu gì về QSA (Qualified Security Assessor) trong PCI-DSS?
Vòng HR/Behavioral:
- Tại sao muốn làm IT Compliance thay vì IT technical (network, dev...)?
- Anh/chị làm việc với auditor nước ngoài như thế nào?
- Xử lý khi phòng ban khác không hợp tác cung cấp tài liệu audit?
- Mức lương hiện tại và kỳ vọng?
Tips chuẩn bị
✅ Nên làm:
- Đọc kỹ JD, note lại các tiêu chuẩn ISO/PCI-DSS để học kỹ
- Tìm hiểu Shinhan Bank Vietnam: tên ngân hàng, số chi nhánh, hoạt động chính
- Ôn lại các Thông tư của NHNN về CNTT (TT 13/2018, TT 18/2021)
- Chuẩn bị portfolio các dự án audit/đánh giá đã làm (không cần chi tiết khách hàng)
- Luyện tiếng Anh, nếu có tiếng Hàn thì càng tốt
❌ Không nên:
- Nói quá thành thạo về những chứng chỉ chưa có
- Đưa thông tin nội bộ của ngân hàng cũ ra chia sẻ
- Phàn nàn về công ty/audit cũ trong quá khứ
Dress Code
- Nữ: Áo sơ mi + quần tây/váy ngang gối, giày kín, tóc gọn gàng, makeup nhẹ nhàng
- Nam: Áo sơ mi + quần tây, giày tây, cà vạt (không bắt buộc nhưng thể hiện sự chuyên nghiệp)
- Shinhan Bank là ngân hàng Hàn nên trang phục lịch sự, chỉn chu được đánh giá cao
Lộ trình ôn thi
Lộ trình ôn tập & chuẩn bị trong 1–2 tuần
Tuần 1: Nền tảng kiến thức
Ngày 1–2: ISO/IEC 27001
- Đọc tổng quan ISO 27001:2022 (cấu trúc Annex A 93 controls chia 4 nhóm: Organizational, People, Physical, Technological)
- Tìm hiểu PDCA cycle trong ISMS
- Học về Statement of Applicability (SoA), Risk Treatment Plan
- Tài liệu: ISO 27001 Annex A controls summary (Google), khóa free trên YouTube "ISO 27001 explained"
Ngày 3: ISO/IEC 27701
- Hiểu về extension của 27001 về Privacy Information Management
- Mapping giữa GDPR và yêu cầu của VN (Luật An toàn thông tin, Nghị định 13/2023 về bảo vệ dữ liệu cá nhân)
Ngày 4: PCI-DSS
- 12 yêu cầu chính (Build and Maintain Secure Network, Protect Cardholder Data, Maintain Vulnerability Management...)
- Quy trình đánh giá: Self-Assessment vs QSA assessment
- Các cấp độ merchant (Level 1–4)
Ngày 5–6: Quy định pháp luật VN về an toàn thông tin ngân hàng
- Thông tư 13/2018/TT-NHNN về hệ thống CNTT trong hoạt động ngân hàng
- Thông tư 18/2021/TT-NHNN về an toàn, bảo mật trong hoạt động ngân hàng điện tử
- Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018
- Quyết định 21/2014/QĐ-NHNN về quản lý rủi ro CNTT
Ngày 7: Kiến thức ngân hàng tổng quát
- Hoạt động ngân hàng: hệ thống chi nhánh (Branches), Transaction Offices (TOs)
- Hiểu về Core Banking, Card Issuing, Internet Banking, Mobile Banking
- Các sản phẩm thẻ (debit, credit) – vì liên quan PCI-DSS
Tuần 2: Thực hành & hoàn thiện
Ngày 8–9: Luyện tập trả lời câu hỏi
- Viết ra câu trả lời cho 10 câu hỏi technical hay gặp (xem phần interview_prep)
- Luyện nói trước gương hoặc với bạn bè
- Chuẩn bị 3–5 câu hỏi để hỏi ngược nhà tuyển dụng (Ex: Quy trình audit hàng năm của ngân hàng? Cơ hội training chứng chỉ? Team hiện tại có bao nhiêu người?)
Ngày 10: Tìm hiểu Shinhan Bank
- Shinhan Bank Vietnam là ngân hàng Hàn Quốc 100% vốn nước ngoài
- Trụ sở chính tại TP.HCM, nhiều chi nhánh
- Văn hóa làm việc khá formal, tuân thủ quy trình chặt chẽ (ảnh hưởng từ Hàn)
- Một số thông tin trên website chính thức, LinkedIn, báo chí tài chính
Ngày 11–12: Hoàn thiện CV & Portfolio
- CV tiếng Anh (cần thiết), CV tiếng Việt
- Liệt kê rõ: dự án audit ISO, kinh nghiệm soạn thảo policy, làm việc với regulator
- Chuẩn bị bản sao chứng chỉ (nếu có)
Ngày 13: Mock interview
- Nhờ bạn bè hoặc mentor phỏng vấn thử
- Ghi âm để tự đánh giá
- Điều chỉnh tốc độ nói, ngôn ngữ cơ thể
Ngày 14: Nghỉ ngơi & chuẩn bị tinh thần
- Kiểm tra trang phục, giấy tờ cần thiết
- Đi sớm hơn 15–20 phút
- Chuẩn bị sẵn câu hỏi cuối buổi
Tài liệu tham khảo miễn phí
- ISO 27001: iso.org/standard/27001 (mua bản chính), bản tóm tắt trên pluralsight, udemy (free courses)
- PCI-DSS: pcisecuritystandards.org (có quick reference guide)
- SBV regulations: sbv.gov.vn → văn bản pháp luật
- Luật VN: thuvienphapluat.vn
- Practice questions:
- CISA exam questions (community)
- ISO 27001 Lead Auditor sample questions trên quizlet
- Communities Việt Nam: Tinh tế forum, group LinkedIn "Information Security Vietnam", group Facebook "An toàn thông tin Việt Nam"
Tư vấn nghề nghiệp
Lời khuyên sự nghiệp cho vị trí IT Compliance ngân hàng
Lộ trình thăng tiến
```
IT Compliance Officer (0–2 năm)
↓
Senior IT Compliance Officer (2–5 năm)
↓
IT Compliance Manager (5–8 năm)
↓
Head of IT Compliance / IT Security Manager (8+ năm)
↓
Chief Information Security Officer (CISO) (12+ năm)
```
Mức lương ước lượng theo cấp bậc
(Mức lương có thể thay đổi tùy ngân hàng và thời điểm – đây chỉ là tham khảo)
| Cấp bậc | Kinh nghiệm | Mức lương VNĐ/tháng |
|---|---|---|
| Fresher/Junior Officer | 0–2 năm | 15 – 22 triệu |
| Officer | 2–4 năm | 22 – 35 triệu |
| Senior Officer | 4–6 năm | 35 – 50 triệu |
| Manager | 6–10 năm | 50 – 80 triệu |
| Senior Manager / Head | 10+ năm | 80 – 130 triệu |
| CISO | 12+ năm | 130 – 250 triệu+ |
> Ghi chú: Ngân hàng nước ngoài (như Shinhan) thường trả cao hơn ngân hàng nội địa 15–30% ở cùng cấp. Nếu giao tiếp được với team Hàn Quốc, có thể cộng thêm 10–20%.
Kỹ năng cần phát triển thêm theo từng giai đoạn
Giai đoạn Junior (0–2 năm):
- Học sâu về ISO 27001/27701, PCI-DSS
- Lấy chứng chỉ CISA hoặc ISO 27001 Lead Auditor
- Cải thiện tiếng Anh (IELTS 6.5+ hoặc tương đương)
- Tìm hiểu hệ thống IT ngân hàng (Core Banking, Card System)
Giai đoạn Mid (2–5 năm):
- Phát triển kỹ năng quản lý dự án audit
- Học thêm về Cloud Security (AWS/Azure security)
- Tham gia các cộng đồng chuyên môn (ISACA, ISC2)
- Networking với auditor từ các công ty Big4
Giai đoạn Senior (5+ năm):
- Lấy chứng chỉ CISM, CISSP
- Phát triển kỹ năng đàm phán với regulator (NHNN)
- Xây dựng mối quan hệ với các vendor security
- Định hướng trở thành CISO
Cơ hội nghề nghiệp liên quan
Khi đã có nền tảng IT Compliance ở ngân hàng, có thể chuyển sang:
- IT Auditor tại Big4 (PwC, EY, KPMG, Deloitte) – lương hấp dẫn hơn
- GRC Consultant tại các công ty tư vấn
- Risk Management tại ngân hàng
- Privacy Officer / DPO – đang hot khi Nghị định 13/2023 có hiệu lực
- CISO ở các tập đoàn lớn
Lời khuyên thực tế
🎯 Với người mới vào ngành:
- Bắt đầu từ vị trí IT support/IT admin trong ngân hàng 1–2 năm rồi chuyển sang Compliance
- Học chứng chỉ trước khi apply sẽ có lợi thế rất lớn
🎯 Với người đã có kinh nghiệm IT:
- Network admin, system admin có thể chuyển sang Compliance dễ hơn developer
- Hãy học thêm về audit và policy writing
🎯 Với người đang làm Compliance ở ngân hàng khác:
- Nếu đã có kinh nghiệm ISO audit, đây là cơ hội tốt để sang ngân hàng nước ngoài
- Môi trường Shinhan: formal, có nhiều training, cơ hội làm việc với team Hàn
🎯 Với người muốn thăng tiến lên Manager:
- Cần xây dựng leadership skills
- Tham gia quản lý cross-functional projects
- Học thêm về business và risk management, không chỉ technical
Câu hỏi thường gặp
Em mới ra trường ngành An toàn thông tin, apply vị trí IT Compliance ở Shinhan Bank được không?
Được chứ, nhưng em cần chuẩn bị kỹ. Vị trí này ưu tiên người có 1–2 năm kinh nghiệm, tuy nhiên nếu em tốt nghiệp loại giỏi, có chứng chỉ như ISO 27001 Foundation, và tiếng Anh tốt thì vẫn có cơ hội. Em nên làm thêm các project cá nhân về audit ISO, viết blog chia sẻ kiến thức về PCI-DSS, Thông tư 13/2018, 18/2021 của NHNN để gây ấn tượng với nhà tuyển dụng. Ngoài ra, nếu biết tiếng Hàn thì lợi thế rất lớn vì đây là ngân hàng Hàn Quốc.
Mức lương IT Compliance tại ngân hàng nước ngoài như Shinhan có khác gì ngân hàng nội địa không?
Có khác biệt đáng kể đó em. Ngân hàng nước ngoài (Shinhan, HSBC, Standard Chartered, Citibank...) thường trả cao hơn ngân hàng nội địa khoảng 15–30% ở cùng cấp bậc. Cụ thể: fresher có thể từ 18–25 triệu, mid-level 35–50 triệu, senior 50–80 triệu, manager có thể lên đến 80–130 triệu tùy năng lực. Ngoài ra còn có các khoản thưởng lễ tết, 13th month salary, phụ cấp, bảo hiểm sức khỏe quốc tế. Tuy nhiên áp lực công việc và yêu cầu tuân thủ quy trình cũng khắt khe hơn.
Anh/chị có thể giải thích ngắn gọn ISO 27001 và tại sao ngân hàng lại cần nó không?
ISO 27001 là tiêu chuẩn quốc tế về Hệ thông Management System cho an toàn thông tin (ISMS). Nó đưa ra khung quản lý gồm các control (Annex A) để bảo vệ thông tin tổ chức: từ chính sách, kiểm soát truy cập, mã hóa, đến quản lý sự cố. Ngân hàng cần ISO 27001 vì: (1) thông tin khách hàng cực kỳ nhạy cảm, (2) NHNN yêu cầu tuân thủ tiêu chuẩn quốc tế, (3) chứng minh năng lực với đối tác nước ngoài, (4) giảm thiểu rủi ro vi phạm dữ liệu. Ngân hàng nào có chứng nhận ISO 27001 thì uy tín và độ tin cậy cao hơn.
Em đang làm Network Admin ở công ty fintech 3 năm, muốn chuyển sang IT Compliance ở ngân hàng có được không?
Được nhé, đây là hướng chuyển rất phổ biến. Network Admin có lợi thế hiểu sâu về hạ tầng, firewall, network security – những thứ cốt lõi trong IT Compliance. Em cần bổ sung thêm: kiến thức về ISO 27001, PCI-DSS, các thông tư của NHNN, kỹ năng viết policy/báo cáo audit, và một chứng chỉ như CISA hoặc ISO 27001 Lead Auditor. Khi phỏng vấn, hãy nhấn mạnh em hiểu được technical thì audit và review policy sẽ sâu hơn so với người chỉ có background compliance đơn thuần.
Công việc IT Compliance có áp lực không? Có phải đi công tác nhiều không?
Áp lực tương đối, không quá cao như sales nhưng cũng không nhẹ nhàng. Áp lực lớn nhất là deadline audit hàng năm (ISO 27001, PCI-DSS), deadline gửi báo cáo cho NHNN, và phải tracking training awareness cho hàng trăm đến hàng nghìn nhân viên. Về công tác: có thể phải đi audit các chi nhánh/TO (transaction offices) nên tần suất đi công tác trong nước khoảng 20–30% thời gian. Có khi phải đi công tác nước ngoài (Hàn quốc) để gặp team mẹ, khoảng 1–2 lần/năm. Giờ làm việc ổn định 8h–17h, không bị OT nhiều như mảng IT technical.
Lấy chứng chỉ nào trước tiên nếu em muốn theo hướng IT Compliance ngân hàng?
Nếu em mới bắt đầu, em nên theo thứ tự ưu tiên: (1) ISO 27001 Foundation hoặc ISO 27001 Lead Auditor – đây là nền tảng, học trong 1–2 tuần, chi phí khoảng 8–15 triệu. (2) CISA (Certified Information Systems Auditor) – chứng chỉ uy tín nhất cho IT Auditor, kinh điển trong ngân hàng. (3) CISM nếu em muốn hướng management. (4) PCI-DSS QSA nếu muốn chuyên sâu thẻ. (5) CISSP nếu muốn tổng quát. Riêng Shinhan là ngân hàng Hàn, nếu em lấy được chứng chỉ của Hàn (CISSP/HSK) thì càng tốt. Học song song tiếng Anh IELTS 6.5+ nhé.
Phỏng vấn IT Compliance Shinhan Bank bằng tiếng Anh hay tiếng Việt?
Thường là tiếng Việt cho vòng HR và technical, nhưng technical có thể có một số thuật ngữ tiếng Anh (vì ISO/PCI-DSS bản gốc tiếng Anh). Vòng final với lãnh đạo có thể dùng tiếng Anh hoặc tiếng Hàn. Em cần chuẩn bị: (1) thuật ngữ chuyên ngành bằng tiếng Anh (risk assessment, non-conformity, audit finding, control objective...), (2) trả lời tự nhiên bằng tiếng Anh về kinh nghiệm cá nhân, (3) đọc hiểu tài liệu tiếng Anh trơn tru. Nếu có tiếng Hàn, hãy mention rõ vì team Shinhan Hàn rất thích điều này – nhiều khi trở thành yếu tố cộng điểm quyết định.
Cơ hội thăng tiến từ IT Compliance lên CISO như thế nào?
Lộ trình CISO thường mất 10–15 năm. Cụ thể: Officer (2 năm) → Senior Officer (3 năm) → Manager (3–4 năm) → Senior Manager/Deputy Head (3 năm) → CISO. Để thăng tiến nhanh, em cần: (1) Lấy chứng chỉ CISM trước khi lên Manager, (2) tham gia quản lý cross-functional projects (không chỉ IT mà cả Business, Compliance), (3) xây dựng quan hệ với NHNN và auditor bên ngoài, (4) thể hiện leadership qua việc mentor junior, (5) đôi khi cần chuyển sang Big4 (PwC, EY) để có kinh nghiệm đa dạng ngành rồi quay lại ngân hàng ở vị trí cao hơn. Tiếng Anh/Hàn tốt là yếu tố quyết định để được cân nhắc cho vị trí CISO ở ngân hàng nước ngoài.