PenTest

Theo JD thì yêu cầu tối thiểu 1 năm kinh nghiệm cho vị trí Chuyên viên, nhưng nếu em có chứng chỉ chuyên môn (OSCP, eJPT, CompTIA Security+) và portfolio write-up CTF/bug bounty ấn tượng, em vẫn có thể apply và được xem xét. Mẹo: chuẩn bị GitHub repo với các bài write-up từ TryHackMe, HackTheBox, hoàn thành ít nhất 20-30 lab PortSwigger, và có 1 chứng chỉ entry-level. Nhiều ngân hàng tại Việt Nam sẵn sàng nhận fresher có nền tảng tốt và đào tạo thêm.

Mức lương ghi trong JD là "Thỏa thuận" nên phụ thuộc vào kinh nghiệm và chứng chỉ. Tham khảo thị trường hiện tại: Chuyên viên (1-2 năm) khoảng 25-40 triệu gross, Chuyên viên chính (3-4 năm) khoảng 45-70 triệu, Chuyên viên cao cấp khoảng 80-120 triệu. Lưu ý: Mức lương có thể thay đổi tùy ngân hàng và thời điểm. Để deal tốt hơn, em cần: có OSCP hoặc chứng chỉ tương đương, kinh nghiệm fintech/ngân hàng, portfolio bug bounty thật, và chứng minh được giá trị mang lại. VIB thường cạnh tranh với Techcombank, MBB nên offer có thể tốt hơn mặc thị trường chung.

Đây là lợi thế rất lớn! VIB đang cần người hiểu code để review source code và DevSecOps. Lộ trình gợi ý: (1) Học OWASP Top 10 sâu, làm 50 lab trên PortSwigger Academy; (2) Học Burp Suite, viết extension bằng Java/Python; (3) Lấy chứng chỉ eWPT hoặc BSCP; (4) Thử sức với bug bounty trên HackerOne (target: các app fintech); (5) Apply vị trí Chuyên viên chính, highlight rằng em hiểu secure coding từ góc độ dev. Với nền tảng Java, em sẽ review code Java rất tốt, đó là điểm cộng lớn. Thời gian chuyển đổi hợp lý khoảng 6-12 tháng nếu tập trung.

Khác khá nhiều: (1) Phạm vi: thường giới hạn trong hệ thống nội bộ của ngân hàng, app do chính team dev làm, không pentest khách hàng; (2) Compliance: phải tuân theo Thông tư NHNN, ISO 27001, PCI-DSS; (3) Mục tiêu: tìm lỗ hổng trước khi hacker tấn công, bảo vệ dữ liệu khách hàng; (4) Workflow: theo SDLC, có gate bảo mật rõ ràng; (5) Tốc độ: phải cân bằng với release schedule, không thể block release quá lâu; (6) Phạm vi đặc thù: core banking, payment gateway, internet banking, mobile banking — đều là app có yêu cầu bảo mật cực cao. Ở consulting bạn sẽ test nhiều khách hàng đa ngành, còn ở ngân hàng bạn sâu vào 1 ngành nhưng đào sâu hơn.

Với 5 năm, bạn hoàn toàn đủ điều kiện ứng tuyển cấp Chuyên gia. Chuẩn bị: (1) Cập nhật CV: nhấn mạnh các dự án lớn, vai trò dẫn dắt, impact đo lường được (giảm X% lỗ hổng critical, tiết kiệm Y tỷ...); (2) Portfolio: có write-up trên blog cá nhân, research đã công bố, CVE nếu có; (3) Chứng chỉ: OSCP + 1 chứng chỉ khác (OSWE, CISSP, SANS); (4) Hiểu biết về VIB: nghiên cứu stack công nghệ, đối thủ cạnh tranh, thách thức ATTT của ngân hàng Việt; (5) Chuẩn bị câu trả lời cho câu hỏi chiến lược: làm sao xây dựng đội ngũ pentest, công cụ nào nên đầu tư, làm sao đo ROI của security; (7) Mindset leadership: không chỉ pentest mà còn mentor, define process, xây tool. Bạn nên deal lương ở mức 100-150 triệu.

Hiện tại VIB có chương trình bug bounty trên nền tảng YesWeHack hoặc tương tự (cần check trực tiếp trên website VIB). Về việc làm ngoài khi là nhân viên: (1) Cần ký NDA với VIB, thường không được pentest hệ thống VIB ngoài giờ làm việc; (2) Được pentest các platform khác nếu không vi phạm NDA và không ảnh hưởng công việc; (3) Nên disclose bug cho VIB thông qua channel nội bộ trước khi public; (5) Tốt nhất hỏi HR trong buổi phỏng vấn để rõ policy. Làm pentester ở ngân hàng lớn như VIB, nhiều khi cơ hội red team nội bộ và tham gia CTF quốc tế đã là cơ hội tốt để phát triển.

Hoàn toàn có! VIB có văn hóa khuyến khích phát triển nội bộ. Lộ trình thực tế tại các ngân hàng lớn: Chuyên viên Pentest (2 năm) → Senior Pentester (3 năm) → Lead Pentest/Red Team Lead (5-8 năm) → Manager Security Operations (8-10 năm) → Director/CISO (12+ năm). Để đi nhanh: (1) Lấy OSCP, OSCE trong 2 năm đầu; (2) Đề xuất xây dựng Red Team nội bộ cho VIB; (3) Phát triển skill quản lý — tham gia quản lý junior, dự án; (4) Học thêm MBA hoặc chứng chỉ quản lý (CISSP, CISM); (5) Network rộng trong ngành. Nhiều CISO ngân hàng Việt Nam hiện tại đều xuất thân từ pentester, ví dụ ở Techcombank, MBB.

Quy trình chuẩn khi phát hiện lỗ hổng critical: (1) Ngay lập tức dừng khai thác sâu, ghi lại proof-of-concept (PoC) không gây damage; (2) Đánh giá severity theo CVSS: SQL Injection thường Critical/High; (3) Xác định phạm vi ảnh hưởng: bao nhiêu bản ghi có thể lộ, có thể escalate lên RCE không; (4) Liên hệ khẩn cấp: Lead Pentester + App Owner + CISO; (5) Đề xuất biện pháp tạm thời: WAF rule chặn pattern, tạm disable chức năng, IP whitelist; (6) Phối hợp team dev để fix: dùng parameterized statement, input filtering; (7) Re-test sau khi fix; (8) Viết báo cáo chi tiết cho compliance; (9) Lưu log vào hệ thống tracking (Jira/ServiceNow); (10) Review quy trình để tránh lặp lại. Trong ngân hàng, việc này thường được escalate trong vài giờ đến vài ngày tùy severity.

Lộ trình cho người mới hoàn toàn có thể: (1) Năm 1: Học nền tảng - lấy CompTIA Security+, hoàn thành TryHackMe Jr Pentester path, thực hành Burp Suite; (2) Năm 1-2: Làm ở vị trí SOC Analyst hoặc Security Engineer tại ngân hàng để hiểu môi trường; (3) Năm 2-3: Chuyển sang vị trí Junior Pentester, lấy eJPT hoặc OSCP; (4) Song song: Tham gia cộng đồng OWASP Vietnam, viết blog, tham gia CTF online (HackTheBox, PicoCTF); (5) Mẹo apply: target vào các bank tuyển SOC/IT Security fresher trước, sau 1-2 năm rotate sang team Pentest. VIB, Techcombank, MBB, ACB đều có chương trình Fresher/MT cho mảng CNTT/ATTT. Kiên trì 2-3 năm là có thể apply vị trí Pentest chính thức.