[2026_TTVHCNTT]_CV Kiểm soát An ninh thông tin - Đánh giá An toàn thông tin - SAD

Hoàn toàn có thể apply nếu bạn đáp ứng yêu cầu cứng về bằng cấp (đúng trường, loại Khá trở lên, hệ chính quy) và có B1 tiếng Anh. Tuy nhiên, để cạnh tranh với các ứng viên có kinh nghiệm, em nên: (1) Hoàn thành các lab trên TryHackMe, HackTheBox, PortSwigger Academy; (2) Có 1-2 chứng chỉ như CEH, CompTIA Security+; (3) Viết blog/writeup cá nhân thể hiện kiến thức; (4) Tham gia CTF để có thành tích. VCB thường tuyển freshers cho chương trình "Thực tập sinh tài năng" hoặc vị trí Junior. Cơ hội sẽ cao hơn nếu em nộp CV qua chương trình tuyển dụng đầu vào của ngân hàng.

Đây là vị trí 'Thỏa thuận' nên rất khó nói chính xác. Theo mặt bằng chung thị trường ATTT Việt Nam hiện tại (lưu ý: ước lượng, mức lương có thể thay đổi tùy ngân hàng và thời điểm): Fresher tại Big4 ngân hàng khoảng 15-25 triệu gross. VCB là NHTM nhà nước nên lương cơ bản có thể thấp hơn TCB/MBB một chút, nhưng bù lại thưởng Tết + phúc lợi rất tốt. Tổng thu nhập thực tế có thể 18-30 triệu tùy năm. Mẹo: deal dựa trên chứng chỉ bạn có (OSCP, CEH có thể cộng 2-5 triệu/tháng). Đừng deal quá cao khi fresher — VCB rất coi trọng sự khiêm tốn.

Mỗi môi trường có ưu nhược điểm riêng:

Ngân hàng (VCB):

• ✅ Hệ thống Core Banking phức tạp — nhiều bài toán thực tế
• ✅ Quy trình chuẩn quốc tế (PCI-DSS, SWIFT CSP, ISO 27001)
• ✅ Thương hiệu mạnh trong CV
• ✅ Ổn định, ít rủi ro sa thải
• ❌ Tốc độ đổi mới chậm hơn fintech
• ❌ Thủ tục hành chính nặng

Fintech (MoMo, ZaloPay):

• ✅ Làm sản phẩm mới, tech stack hiện đại
• ✅ Tốc độ triển khai nhanh
• ❌ Áp lực doanh số cao
• ❌ Ít tiếp xúc với hệ thống lõi

Nếu bạn muốn theo technical chuyên sâu pentest/DFIR → ngân hàng tốt hơn. Nếu muốn làm product security/DevSecOps → fintech hợp hơn.

OSCP là chứng chỉ "vàng" trong ngành pentest nhưng KHÔNG bắt buộc cho vị trí Junior tại VCB. Theo kinh nghiệm thực tế:

• Nên có (ưu tiên 1): CEH hoặc CompTIA Security+ — dễ lấy, đủ chứng minh nền tảng
• Nên có (ưu tiên 2): eJPT hoặc chứng chỉ từ các nền tảng thực hành (TryHackMe, HackTheBox) — thể hiện kỹ năng thực chiến
• Cộng thêm (lợi thế cạnh tranh): OSCP nếu có — nhưng đắt (~25 triệu) và khó, có thể học sau khi vào làm
• Tùy vị trí: Nếu apply vị trí audit/compliance thì ISO 27001 LA có giá trị hơn OSCP

VCB đánh giá cao ứng viên có chứng chỉ + portfolio thực tế hơn là chỉ có chứng chỉ mà không làm được gì.

Rất tiếc, theo JD rõ ràng yêu cầu tốt nghiệp loại Khá trở lên. Đây là tiêu chí cứng để lọc hồ sơ tại VCB, không có ngoại lệ. Tuy nhiên em có thể:

1. Cải thiện bằng cấp: học thêm Thạc sĩ ở trường top và tốt nghiệp loại Khá trở lên (JD có ghi Thạc sỹ là tiêu chí ưu tiên)
2. Apply ở vị trí khác: vị trí IT helpdesk, IT support ở các ngân hàng nhỏ hơn hoặc fintech
3. Tích lũy kinh nghiệm 1-2 năm ở công ty khác rồi apply lại vào Big4 với portfolio mạnh
4. Chuyển hướng sang freelance pentest trên các nền tảng như HackerOne — không quan trọng bằng cấp, chỉ cần kỹ năng thực tế

Không nên nộp CV khi chưa đạt yêu cầu — sẽ mất thời gian và uy tín.

Có áp lực nhất định, đặc biệt khi:

• Có sự cố an ninh (incident response) — phải xử lý trong giờ hoặc có thể gọi ngoài giờ
• Deadline pentest khi hệ thống sắp go-live — phải làm nhanh
• Báo cáo lên NHNN (Ngân hàng Nhà nước) định kỳ — áp lực chính xác và deadline

Tuy nhiên: VCB thường không yêu cầu trực đêm trừ khi thuộc đội SOC. Vị trí "Đánh giá ATTT" chủ yếu làm pentest, đánh giá rủi ro theo kế hoạch — giờ giấc ổn định 8h-17h, thứ 2 đến thứ 6. OT không nhiều trừ mùa cao điểm.

Mặt tích cực: Làm ở ngân hàng ít áp lực doanh số hơn fintech. Ngày nghỉ rõ ràng (thứ 7, CN, lễ). Môi trường chuyên nghiệp, có cơ hội training nước ngoài.

Với 5 năm kinh nghiệm, em đã ở mức Mid-Senior — đây là level VCB rất cần. Chuẩn bị:

1. Portfolio mạnh: tổng hợp 3-5 dự án pentest đã làm (có thể ẩn thông tin khách hàng nhưng mô tả kỹ thuật, methodology, kết quả)
2. Chứng chỉ quốc tế: OSCP, CEH, CISSP (tùy vị trí apply) — đặc biệt OSCP có giá trị cao ở level này
3. Kiến thức banking: đọc về PCI-DSS, SWIFT CSP, quy định của NHNN về ATTT trong lĩnh vực ngân hàng. Em sẽ được hỏi về compliance nhiều hơn pentest thuần túy
4. Hiểu biết về DevSecOps, Cloud: ngân hàng đang chuyển đổi số, cần người vừa biết pentest truyền thống vừa hiểu môi trường cloud, CI/CD
5. Thể hiện khả năng quản lý: vị trí Senior thường đi kèm lead 1-2 juniors, training team
6. Lưu ý văn hóa: VCB là NHTM nhà nước, cần thể hiện sự chỉn chu, kỷ luật, tuân thủ quy trình — khác với môi trường startup em đang quen

Mức lương kỳ vọng hợp lý cho Senior tại VCB là khoảng 45-80 triệu (ước lượng, mức lương có thể thay đổi tùy ngân hàng và thời điểm).

JD không yêu cầu trực tiếp nhưng ISO 27001 rất có giá trị vì:

1. VCB và hầu hết ngân hàng Việt Nam đều đang chạy ISO 27001 certification — họ cần người hiểu chuẩn này
2. Vị trí có nội dung: "Tham mưu, đề xuất xây dựng quy trình, tiêu chuẩn về ATTT" — gắn liền với ISO 27001
3. Audit & Compliance: nếu em thi ISO 27001 Lead Auditor, em sẽ có lợi thế lớn cho vị trí audit ATTT
4. Bổ trợ cho pentest: hiểu ISO 27001 giúp em biết cách map lỗ hổng kỹ thuật với control tiêu chuẩn → viết báo cáo có giá trị hơn

Khuyến nghị: nếu đã có CEH/CompTIA Security+, hãy lấy thêm ISO 27001 Foundation hoặc Lead Auditor (khóa học 3-5 ngày, chi phí 15-25 triệu). Đây là chứng chỉ 'mở khóa' nhiều vị trí tại ngân hàng lớn.

JD ghi rõ "có kiến thức nền tảng tốt về lập trình" — vậy CÓ cần thiết, nhưng không cần ở mức developer full-time. Cụ thể:

• Bắt buộc: đọc hiểu code Python, Java, JavaScript, SQL. Biết viết script automation pentest cơ bản (Python với requests, BeautifulSoup, paramiko)
• Nên có: hiểu code PHP, .NET, mobile app (Swift/Kotlin) để review code tìm lỗ hổng
• Lợi thế: biết exploit development (C, Assembly) cho vị trí cao hơn

Thực tế: vị trí này không phải lập trình viên, nhưng pentester không biết code sẽ:

• Không hiểu logic của ứng dụng → bỏ sót lỗ hổng logic
• Không viết được tool tự động hóa
• Không hiểu được reverse engineering (liên quan đến .NET Reflector, Jadx trong JD)

Lời khuyên: học Python trước (1-2 tháng), sau đó học đọc code Java/JavaScript. Đừng cố trở thành dev — chỉ cần đủ để 'đọc' và 'hiểu'.