[2026_TTVHCNTT]_CV Kiểm soát An ninh thông tin - Đánh giá An toàn thông tin - SAD

Được em nhé. Vị trí này không ghi rõ yêu cầu số năm kinh nghiệm (N/A), nên VCB có thể nhận cả fresher. Tuy nhiên để cạnh tranh, em cần: (1) Tốt nghiệp loại Khá trở lên, đúng trường trong danh sách yêu cầu (KMA có trong list); (2) Chứng chỉ tiếng Anh B1 (Toeic 450+); (3) Thành thạo các tool như Nmap, Burp Suite, Wireshark — em có thể chứng minh qua các bài lab trên TryHackMe hoặc HackTheBox; (4) Có chứng chỉ CEH hoặc CompTIA Security+ là lợi thế lớn. Ngoài ra em nên tham gia CTF để có thành tích nổi bật trong CV.

Vietcombank là ngân hàng Big4, hệ thống core banking phức tạp và lớn nhất Việt Nam. Làm việc ở đây em được: tiếp cận hệ thống quy mô enterprise thực sự (hàng triệu giao dịch/ngày), được đào tạo bài bản, mức lương ổn định + thưởng Tết tốt (thường 2-3 tháng lương), thương hiệu VCB rất mạnh trên CV. Đặc biệt, VCB đang đẩy mạnh chuyển đổi số (VCB Digibank, Open API), nên team ATTT có nhiều cơ hội làm việc với công nghệ mới. Tuy nhiên mặt hạn chế là quy trình có thể chậm, hệ thống legacy nhiều, và áp lực tuân thủ rất cao do ngân hàng nhà nước.

Mức lương có thể thay đổi tùy ngân hàng và thời điểm. Theo thông tin tham khảo từ cộng đồng và tin tuyển dụng trước đó, vị trí chuyên viên ATTT mới ra trường tại VCB thường vào khoảng 12-18 triệu VNĐ/tháng (gross). Sau 1-2 năm có thể tăng lên 18-25 triệu nếu có chứng chỉ quốc tế và thành tích tốt. Ngoài ra còn có thưởng Tết, phụ cấp, chế độ đãi ngộ đầy đủ. Em nên thỏa thuận dựa trên năng lực thực tế và benchmark từ các ứng viên khác trong ngành.

Hoàn toàn có cơ hội em nhé. Kinh nghiệm Java là lợi thế lớn vì ATTT cần hiểu code để phân tích lỗ hổng (đặc biệt cho vị trí này cần biết reverse engineering, phân tích ứng dụng). Em cần học thêm: (1) Security testing tools — Burp Suite, OWASP ZAP, Metasploit; (2) Web security — OWASP Top 10 (XSS, SQLi, CSRF...); (3) Networking — TCP/IP, DNS, HTTP sâu hơn; (4) Linux & scripting (Bash, Python). Gợi ý: lấy chứng chỉ CEH hoặc eJPT trước khi apply. Tham gia các khóa TryHackMe path "Web Fundamentals" và "Jr Penetration Tester" để có portfolio thực tế. Vị trí này của VCB cụ thể cần biết .NET Reflector, dotPeek, Jadx (reverse engineering), rất phù hợp với background dev của em.

Theo mô tả công việc, một ngày của em sẽ bao gồm: (1) Chạy các script quét bảo mật định kỳ bằng Nessus/Nexpose, phân tích kết quả; (2) Theo dõi các CVE mới trong ngày qua các nguồn NVD, exploit-db, đánh giá xem hệ thống VCB có bị ảnh hưởng không; (3) Tham gia review bảo mật cho các dự án CNTT mới — ví dụ dự án phát triển app mobile banking mới, em sẽ đánh giá các yêu cầu ATTT; (4) Vận hành các công cụ pentest; (5) Viết báo cáo và đề xuất xử lý; (6) Hỗ trợ team kiểm tra tuân thủ. Công việc khá đa dạng, không nhàm chán.

Với OSCP + 2 năm kinh nghiệm, em là ứng viên rất mạnh cho vị trí này, không hề overqualified — VCB cần những người có năng lực thực chiến. Tuy nhiên, lương ở ngân hàng thường "cứng" hơn công ty security vendor. Em có thể deal khoảng 25-40 triệu (mức lương có thể thay đổi tùy ngân hàng và thời điểm). Lợi ích khác bù lại: thương hiệu VCB trên CV, chế độ nhà nước ổn định, được tiếp cận hệ thống lớn để nâng cao kinh nghiệm, sau 2-3 năm có thể nhảy sang vị trí senior với mức lương tốt hơn nhiều. Em cũng có thể apply vị trí Senior hoặc Lead để negotiate tốt hơn.

Theo kinh nghiệm chia sẻ, vòng test online của VCB thường có: (1) Bài IQ/logic ~30 phút; (2) Bài tiếng Anh ~30 phút; (3) Bài kiến thức ATTT chuyên ngành ~45 phút — câu hỏi trắc nghiệm về network, security tools, OWASP. Vòng phỏng vấn kỹ thuật có độ khó tương đối, tập trung vào kiến thức nền tảng vững và khả năng áp dụng thực tế. Không quá khó như OSCP nhưng cũng không dễ. Họ thường hỏi tình huống: "Nếu phát hiện server banking có lỗ hổng critical, em sẽ làm gì?" — em cần trả lời có quy trình: thông báo -> đánh giá mức độ -> đề xuất phương án khắc phục -> theo dõi. Chuẩn bị kỹ OWASP Top 10, networking, và kiến thức về DevSecOps là đủ tự tin.

VCB và các ngân hàng lớn VN hiện đang chuyển đổi mạnh sang cloud (hybrid cloud — private cloud + public cloud). VCB đã có hệ thống trên AWS/Azure cho một số dịch vụ. Làm ATTT ở ngân hàng không lạc hậu đâu em — em vẫn được làm việc với: cloud security (AWS/Azure security tools), container security (Docker, Kubernetes), DevSecOps pipeline. Điểm khác biệt là ngân hàng thường chậm hơn công ty công nghệ vài năm trong việc áp dụng công nghệ mới, nhưng bù lại em được học cách làm việc với hệ thống lớn, quy trình chuẩn quốc tế (ISO 27001, PCI DSS), và có cơ hội xây dựng nền tảng vững chắc để sau này nhảy sang bất kỳ đâu.

Em có thể làm những việc sau để tạo lợi thế cạnh tranh: (1) Tìm hiểu về hệ thống ngân hàng — đọc các bài viết về core banking, internet banking, mobile banking của VCB và BIDV/TCB; (2) Nghiên cứu các cuộc tấn công ngân hàng nổi tiếng (ví dụ vụ SWIFT Bangladesh Bank 2016, các vụ lộ dữ liệu khách hàng ở VN); (3) Học về tiêu chuẩn ngân hàng: PCI DSS, ISO 27001; (4) Làm 1-2 project cá nhân liên quan đến banking app security — có thể tạo lab pentest cho OWASP Juice Shop và viết write-up; (5) Trong CV cover letter, nhấn mạnh em hiểu đặc thù ngân hàng và sẵn sàng học hỏi nhanh. Nhiều ngân hàng chấp nhận fresher nếu em thể hiện được sự nghiêm túc và nền tảng tốt.

Hai vị trí này khác nhau rõ ràng. Kiểm soát ATTT (vị trí VCB đang tuyển) tập trung vào: đánh giá, kiểm thử, phát hiện lỗ hổng trước khi bị tấn công — đây là "offensive/assessment" side. SOC Analyst tập trung vào: giám sát, phát hiện, phản ứng với sự cố real-time — đây là "defensive/operations" side. Incident Response thì xử lý sau khi sự cố xảy ra. Em nên chọn dựa trên sở thích: thích "đi tìm lỗ hổng", thích hacking, thích nghiên cứu sâu → chọn vị trí này. Thích giám sát hệ thống, phản ứng nhanh, làm việc 24/7 → SOC. Cả hai đều có triển vọng tốt, nhưng vị trí ở VCB được đánh giá cao hơn về mặt brand và phát triển nghề nghiệp lâu dài.