TPBank tuyển dụng Chuyên gia An ninh thông tin (SOC)

Chuyên gia Thỏa thuận Hạn: 2026-11-30

Phân tích kỹ năng cần có

1. Lưu ý quan trọng về dữ liệu tin tuyển dụng

Tin tuyển dụng của TPBank cho vị trí Chuyên gia An ninh thông tin (SOC – Security Operations Center) hiện chỉ có thông tin tối thiểu: địa điểm Hà Nội, thuộc Khối Công nghệ Thông tin, mức lương thỏa thuận; phần mô tả công việc, yêu cầu và phúc lợi đều để trống. Vì vậy, phân tích dưới đây được xây dựng theo tiêu chuẩn tuyển dụng SOC thực tế tại các ngân hàng Việt Nam, tập trung vào ba nhiệm vụ cốt lõi: giám sát (monitoring), phát hiện (detection) và ứng cứu sự cố (incident response) trong bối cảnh hệ thống tài chính.

Trước khi nộp hồ sơ, bạn nên xác nhận với phòng Nhân sự TPBank: quy mô nhóm SOC, hệ thống trực theo ca 24/7 hay 8/7, công cụ SIEM đang triển khai, có yêu cầu chứng chỉ bắt buộc không, và tỷ lệ thời gian phải trực đêm.

---

2. Nhóm kỹ năng cần có và mức độ ưu tiên

Nhóm kỹ năng	Mức độ ưu tiên	Nội dung cần đạt
Kiến thức an ninh thông tin nền	Rất cao	Mô hình CIA, mã hóa, xác thực, quản lý khóa, lỗ hổng phổ biến
Giám sát và phân tích log (SIEM)	Rất cao	Viết truy vấn lọc, tương quan sự kiện, xây dựng cảnh báo, điều tra điểm bất thường
Ứng cứu sự cố	Rất cao	Quy trình xử lý, phân loại, bảo toàn chứng cứ, viết báo cáo, bài học sau sự cố
Kiến thức mạng	Cao	Mô hình OSI/TCP-IP, giao thức, tường lửa, VPN, hệ thống phân giải tên, phân tích gói tin
Quản trị hệ điều hành	Cao	Dòng lệnh Linux (CentOS/Ubuntu), quản trị Windows, dịch vụ, tiến trình, quyền truy cập
Phát hiện mối đe dọa (threat hunting)	Trung bình – cao	Áp dụng khung MITRE ATT&CK, truy vết hành vi tấn công trong log
Kịch bản tự động hóa	Trung bình	Python hoặc PowerShell để xử lý log, hậu kiểm, tự động hóa tác vụ lặp lại
Kiến thức tuân thủ ngành tài chính	Trung bình	Thông tư 09/2023/TT-NHNN, ISO 27001, PCI DSS, quản lý rủi ro an toàn thông tin
Kỹ năng mềm	Cao	Tư duy phản biện, viết tài liệu, giao tiếp không hoảng loạn, làm việc nhóm dưới áp lực

---

3. Hard skills chi tiết

3.1. Giám sát và phân tích log (SIEM – Security Information and Event Management)

Đây là kỹ năng được hỏi nhiều nhất trong phỏng vấn vị trí SOC tại ngân hàng.

Hiểu cấu trúc nguồn log: Windows Security Event Log (ID 4624 đăng nhập, 4625 đăng nhập thất bại, 4672 nâng quyền), Linux Syslog/Auth.log, log thiết bị mạng, log ứng dụng, log firewall, log database và log web (Apache/Nginx/IIS).
Viết truy vấn lọc: nắm cú pháp SPL của Splunk, KQL của Microsoft Sentinel hoặc QRadar Ariel để tìm tài khoản đăng nhập bất thường, tiến trình lạ, truyền dữ liệu ra ngoài.
Phân tích tương quan: nối nhiều nguồn log theo trục thời gian, xác định chuỗi hành vi tấn công, đánh giá mức độ nghiêm trọng.
Giảm báo giả (tuning): phân biệt cảnh báo thực sự với nhiễu từ hệ thống, đề xuất điều chỉnh quy tắc.

3.2. Ứng cứu sự cố (Incident Response)

Nắm vững vòng đời sự cố: nhận phát hiện → phân loại và ưu tiên → cô lập (containment) → loại bỏ (eradication) → khôi phục (recovery) → rút kinh nghiệm (lessons learned).
Xử lý tình huống điển hình của ngân hàng: mã độc trên máy trạm giao dịch, lộ dữ liệu khách hàng, tài khoản bị chiếm đoạt, giao dịch gian lận, website lừa đảo giả mạo thương hiệu ngân hàng, lộ khóa API, truy cập trái phép vào core banking từ mạng nội bộ.
Biết bảo toàn chứng cứ (chain of custody), tạo ảnh chụp đĩa, ghi lại hash tệp, lưu giữ log hệ thống trước khi bị ghi đè.

3.3. Mạng và hệ thống

Mô hình 7 lớp OSI, bắt tay ba chiều, địa chỉ IP, mạng con, định tuyến, DHCP/DNS, NAT.
Tường lửa thế hệ mới (Fortinet, Palo Alto, Check Point), VPN, hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS), hệ thống quản lý truy cập (PAM), bộ cân bằng tải.
Phân tích lưu lượng mạng với Wireshark, đọc log proxy, nhận diện dấu hiệu C2 (Command and Control), exfiltration và lateral movement.

3.4. Endpoint và công cụ bảo mật

EDR/XDR: Microsoft Defender for Endpoint, CrowdStrike Falcon, SentinelOne, Trend Micro, Sophos.
Quản lý vá lỗi: kiểm kê tài sản, xếp hạng rủi ro, quy trình patch theo mức độ nghiêm trọng.
Kiểm thử xâm nhập: Nessus, OpenVAS, Nmap; hiểu khái niệm Pentest, Red Team, Blue Team.
Đường cứu phần mềm độc: VirusTotal, Any.Run, phân tích tĩnh bằng strings và IDA, phân tích động bằng sandbox.

3.5. Tự động hóa và dữ liệu

Python: đọc/ghi tệp log, xử lý JSON, gọi REST API, viết script tự động hóa quy tắc phát hiện.
PowerShell: truy vấn Active Directory, kiểm tra cấu hình máy, lấy cảnh báo từ Splunk.
SQL cơ bản để truy vấn log trong PostgreSQL, SQL Server, ElasticSearch.

---

4. Soft skills cần rèn luyện

Kỹ năng mềm	Biểu hiện cần có	Cách rèn
Tư duy phân tích	Phân rã sự cố thành từng bước nhỏ, không kết luận vội	Luyện phân tích log từ tập dữ liệu sự cố công khai
Giao tiếp dưới áp lực	Báo cáo sự cố cho quản lý rõ ràng, đúng mức độ khẩn cấp	Tập trình bằng mẫu báo cáo ngắn gọn
Ghi chép tài liệu	Mọi hành động đều để lại dấu vết, viết biên bản xử lý	Luyện viết hồ sơ sự cố theo bộ khung
Làm việc nhóm	Phối hợp với bộ phận IT, kinh doanh, vận hành, khách hàng	Tham gia dự án mở, hỏi đáp cộng đồng
Chủ động học hỏi	Tự theo dõi CVE, tin tức an ninh, bản tin của hãng	Đọc bản tin an ninh hằng tuần
Tính kỷ luật và bảo mật	Giữ kín thông tin khách hàng, không chia sẻ dữ liệu ra ngoài	Hiểu nguyên tắc "need to know"

---

5. Chứng chỉ gợi ý

Chứng chỉ	Mức độ ưu tiên	Phù hợp với ai	Ghi chú
CompTIA Security+	Rất cao	Ứng viên mới vào nghề, vị trí L1	Chứng chỉ nền tảng, được nhiều ngân hàng trọng dụng; thi có đề cập bảo mật vật lý, mạng, ứng dụng, quản trị
Microsoft SC-200 / SC-100	Cao	Dùng Microsoft Sentinel, Defender, Entra ID	Phù hợp hệ sinh thái Microsoft rất phổ biến tại ngân hàng
Splunk (Splunk Core, SPL)	Cao	Dùng Splunk	Có tài liệu học miễn phí, hệ thống lab công khai
CompTIA CySA+	Trung bình	L2 trở lên	Bổ sung kỹ năng phát hiện và phản ứng
GCIH (GCIH)	Trung bình	L2/L3, cần chuyên sâu ứng cứu	Tập trung vào xử lý sự cố
CEH	Trung bình	Ứng viên có định hướng Red Team hoặc kiểm thử	Bổ sung kiến thức tấn công để hiểu phía bên kia
CISSP / CISM	Thấp ở vị trí đầu vào	Chuyên gia lâu năm, hướng quản lý	Cần kinh nghiệm thực chiến tối thiểu
OSCP	Thấp	Hướng kiểm thử xâm nhập, penetration testing	Không bắt buộc cho SOC nhưng là lợi thế khi điều tra

Gợi ý thực tế: Với vị trí SOC tại TPBank, hãy ưu tiên Security+ hoặc SC-200, kèm một lab thực hành thật. Chứng chỉ chỉ là yếu tố cộng; khả năng phân tích tình huống và trình bày giải pháp mới là thứ quyết định.

---

6. Bảng so sánh các nền tảng SIEM phổ biến tại Việt Nam

Nền tảng	Đặc điểm	Ngôn ngữ truy vấn	Mức độ phổ biến tại ngân hàng	Gợi ý học
Splunk	Bảo mật, tùy biến cao, hệ sinh thái rộng	SPL (Search Processing Language)	Rất cao	Bắt đầu với Splunk Boss of the SOC, tài liệu Splunk EDU miễn phí
Microsoft Sentinel (Azure)	Tích hợp Entra ID, Defender, Office 365, chi phí theo lưu lượng	KQL	Cao và tăng nhanh	Học qua Microsoft Learn, dựng workspace dùng thử
IBM QRadar	Phân tích sự kiện, giao diện cổ điển, quản trị tập trung	Ariel / SQL	Cao trong các hệ thống cũ	Đọc tài liệu IBM, tìm hiểu bộ quy tắc và use case
Elastic / ELK + EDR	Mở nguồn, linh hoạt, phù hợp khối lượng log lớn	Lucene / ES	QL	Trung bình	Cài đặt cục bộ để thực hành
FortiSIEM	Tích hợp chặt với Fortinet, phổ biến trong doanh nghiệp	Từ truy vấn	Trung bình	Dùng bản dùng thử của hãng
Wazuh	Mã nguồn mở, agent giám sát máy chủ, chi phí thấp	Lucene / SQL	Trung bình, tăng ở lớp SMB	Dựng nhanh bằng Docker để luyện tập

---

7. Phân biệt cấp bậc SOC để định vị bản thân

Cấp bậc	Trọng tâm công việc	Yêu cầu kinh nghiệm
SOC L1	Giám sát cảnh báo, phân loại ban đầu, hỗ trợ L2, ghi nhật log	0 – 1 năm, hoặc ứng viên mới ra trường
SOC L2	Điều tra sự cố thực, xử lý, tinh chỉnh cảnh báo, viết báo cáo	1 – 3 năm
SOC L3	Dẫn dắt điều tra phức tạp, săn tìm mối đe dọa, xây dựng quy tắc	3 – 5 năm
Senior / Lead	Thiết kế chiến lược giám sát, quản lý sự cố nghiêm trọng, mentor	5 – 8 năm
Manager / Head of SOC	Quản lý đội ngũ, ngân sách, tuân thủ, quan hệ khách hàng doanh nghiệp	Trên 8 năm

Vì tin tuyển dụng ghi "Chuyên gia" mà không nêu kinh nghiệm, đây có thể là dùng tên chức danh chung. Hãy chuẩn bị đủ kiến thức để đảm nhiệm cả L1 và L2, và nêu rõ mức độ kinh nghiệm thực tế của bạn trong hồ sơ.

---

8. Kiến thức ngành tài chính nên có

Thông tư 09/2023/TT-NHNN về an toàn thông tin trong hoạt động ngân hàng: yêu cầu phân loại hệ thống thông tin, phân vùng, giám sát an toàn thông tin, ứng cứu sự cố.
Thông tư 06/2023/TT-NHNN về bảo vệ dữ liệu cá nhân và các văn bản liên quan.
ISO/IEC 27001:2022 và bộ ISO 27002 về kiểm soát an toàn thông tin.
PCI DSS 4.0 về bảo mật dữ liệu thẻ thanh toán.
Rủi ro đặc thù ngân hàng: gian lận thẻ, chiếm đoạt tài khoản khách hàng, rủi ro thanh toán, lộ dữ liệu cá nhân, tấn công vào ATM/POS và hệ thống lõi.

Chuẩn bị phỏng vấn

1. Quy trình phỏng vấn dự kiến

Do tin tuyển dụng không nêu rõ quy trình, đây là kịch bản phổ biến tại các khối công nghệ ngân hàng (thường 3 đến 5 vòng). Bạn nên chuẩn bị theo cả phương án ngắn và phương án chuyên sâu.

Vòng	Hình thức	Người phỏng vấn	Nội dung trọng tâm	Thời lượng tham khảo
Vòng 1	Sàng lọc qua điện thoại hoặc trực tuyến	Bộ phận Nhân sự	Động lực nghề nghiệp, kinh nghiệm, mức lương mong muốn, thời gian làm việc	20 – 30 phút
Vòng 2	Phỏng vấn chuyên môn nền	Chuyên gia công nghệ hoặc trưởng nhóm	Kiến thức an ninh thông tin, mạng, hệ điều hành, quy định	45 – 60 phút
Vòng 3	Phỏng vấn chuyên sâu và tình huống	Trưởng nhóm SOC hoặc quản lý an ninh thông tin	Phân tích log, xử lý sự cố mô phỏng, thiết kế cảnh báo	45 – 90 phút
Vòng 4	Phỏng vấn tổng quát và phù hợp văn hóa	Quản lý Khối Công nghệ Thông tin	Tư duy, tinh thần trách nhiệm, khả năng hợp tác, câu hỏi cho nhà tuyển dụng	30 – 45 phút
Vòng 5	Thương thảo và chốt offer	Nhân sự và quản lý	Lương, thưởng, thời gian nhận việc, ngày bắt đầu	20 – 30 phút

---

2. Câu hỏi thường gặp theo từng vòng

Vòng 1 – Nhân sự

Bạn đã từng làm việc trong lĩnh vực an ninh thông tin ở đâu? Nội dung chính là gì?
Vì sao bạn chọn vị trí SOC tại TPBank?
Mức lương mong muốn của bạn là bao nhiêu? Bạn xem xét tổng thu nhập hay chỉ lương cứng?
Bạn sẵn sàng làm ca trực theo ca, trực đêm cuối tuần không?
Bạn có thể bắt đầu làm việc sau bao lâu kể từ khi nhận thông báo?
Bạn đã từng làm việc trong môi trường yêu cầu tuân thủ nghiêm ngặt như ngân hàng chưa?

Cách trả lời: nói thật kinh nghiệm, nhấn mạnh lợi thế là hiểu ngân hàng hoặc tổ chức tài chính, và thể hiện sự quan tâm bền vững chứ không chỉ coi đây là bước đệm. Nếu là sinh viên mới ra trường, hãy nói rõ bạn đã tự học và làm dự án thực tế trong thời gian học.

Vòng 2 – Kiến thức chuyên môn nền

Giải thích mô hình CIA (Confidentiality, Integrity, Availability) và cho ví dụ thực tế trong ngân hàng.
Phân biệt giữa tấn công chủ động và thụ động, giữa mã hóa đối xứng và bất đối xứng?
Nêu các lớp tấn công phổ biến và biện pháp phòng chống tương ứng.
Bạn hiểu mô hình OSI như thế nào? Cho ví dụ về cách xác định tầng khi xử lý sự cố mạng.
Phân biệt IDS và IPS, tường lửa và hệ thống phát hiện xâm nhập.
Bạn đã dùng công cụ nào để phân tích log? Mô tả một truy vấn bạn từng viết.
Điểm khác biệt giữa XSS, SQL Injection và CSRF là gì?
Chuỗi liên kết tấn công phổ biến là gì? (ví dụ: thu thập thông tin → xâm nhập → đặt quyền → duy trì → di chuyển ngang → tác động mục tiêu)
Bạn biết gì về MITRE ATT&CK? Kể tên vài kỹ thuật tấn công.

Vòng 3 – Tình huống thực tế

Tình huống mẫu 1: "Lúc 2 giờ sáng, hệ thống SIEM báo nhiều lần đăng nhập thất bại vào máy chủ ứng dụng ngân hàng từ cùng một địa chỉ IP, sau đó có một lần đăng nhập thành công. Bạn xử lý như thế nào?"

Bài trả lời được đánh giá cao nếu bạn trình bày theo trình tự:
1. Xác minh: đối chiếu thời gian, nguồn IP, tài khoản, xem đây là hành vi hợp lệ hay không.
2. Đánh giá mức độ: có phải tấn công dò mật khẩu (brute force) hay lỗi người dùng.
3. Công lập: vô hiệu hóa tài khoản, chặn IP tại tường lửa, tăng cường giám sát, sao lưu log.
4. Điều tra sâu: kiểm tra máy chủ có bị chiếm quyền, lịch sử thực thi, kết nối ra ngoài, dấu vết lateral movement.
5. Khôi phục: đổi mật khẩu, khóa phiên, xác thực lại người dùng, vá lỗ hổng nếu có.
6. Báo cáo và học: thông báo đúng người, viết báo cáo sự cố, rút kinh nghiệm.

Tình huống mẫu 2: "Một nhân viên kinh doanh báo bạn rằng máy tính của họ chậm và có thư mục lạ. Bạn làm gì?"

Cần nhấn mạnh: không tự ý cài phần mềm lạ, không tắt antivirus, không cắm USB, không cấp quyền, thu thập thông tin từ xa an toàn, bảo toàn chứng cứ trước khi khởi động lại, đánh giá phạm vi lan truyền.

Tình huống mẫu 3: "Bạn phát hiện một cảnh báo dò dữ liệu lớn từ máy chủ ngân hàng ra internet trong giờ cao điểm. Bạn xử lý ra sao?"

Xác minh tính hợp lệ của quy trình sao lưu, kiểm tra chính sách dữ liệu, phân tích nội dung dữ liệu, tìm dấu hiệu chiếm quyền tài khoản dịch vụ, cô lập kết nối, báo cáo ngay cấp quản lý.

Tình huống mẫu 4: "Bạn được giao viết một quy tắc phát hiện để cảnh báo đăng nhập bất thường. Bạn trình bày cách tiếp cận thế nào?"

Nêu nguồn dữ liệu, điều kiện lọc, ngưỡng, cách giảm báo giả, cách kiểm thử và xây dựng bảng theo dõi.

Vòng 4 – Phù hợp văn hóa và quản lý

Bạn phản ứng thế nào khi ca trực xảy ra sự cố lúc nửa đêm mà không có ai hỗ trợ?
Mô tả một lần bạn phải truyền đạt thông tin xấu dưới áp lực thời gian.
Bạn thích làm việc độc lập hay làm việc nhóm? Cân bằng thế nào trong công việc trực?
Bạn có theo dõi tin tức an ninh thông tin thường xuyên không? Nguồn nào?
Đâu là điểm yếu lớn nhất của bạn trong lĩnh vực này và bạn đang khắc phục ra sao?
Bạn có sẵn sàng làm việc theo ca xoay vòng (ca sáng, chiều, đêm) không?

---

3. Mẹo chuẩn bị

1. Chuẩn bị hai phiên bản câu chuyện: một bản 90 giây và một bản 3 phút tự giới thiệu. Nội dung gồm: nền tảng đào tạo, kinh nghiệm thực tế, kỹ năng nổi bật, và lý do muốn vào SOC ngân hàng.
2. Dùng công thức STAR (Tình huống – Nhiệm vụ – Hành động – Kết quả) cho mọi ví dụ xử lý sự cố. Luôn kết thúc bằng kết quả đo lường được.
3. Chuẩn bị một case study thật: chọn một cảnh báo bạn từng phân tích, vẽ sơ đồ luồng xử lý, chuẩn bị truy vấn log mẫu và câu hỏi bạn muốn hỏi người phỏng vấn. Kể cả khi đây là dự án cá nhân, hãy nói rõ bối cảnh.
4. Mang thiết bị trình diễn (nếu phỏng vấn trực tuyến): terminal với công cụ mở, một bộ dữ liệu log đã che thông tin nhạy cảm, và sẵn sàng chia sẻ màn hình.
5. Chuẩn bị câu hỏi hỏi lại nhà tuyển dụng (3 đến 5 câu):

Nhóm SOC hiện tại gồm bao nhiêu người, đang phục vụ bao nhiêu hệ thống?
Hệ thống giám sát chính đang dùng nền tảng nào?
Tỷ lệ cảnh báo giả hiện tại ở mức nào và đội ngũ xử lý thế nào?
Quy trình ứng cứu sự cố được chuẩn hóa ra sao, có luyện tập định kỳ không?
Nhân viên được đào tạo chứng chỉ và công cụ gì trong năm đầu tiên?
Chỉ số đánh giá hiệu quả công việc của một chuyên gia SOC là gì?

6. Không phóng đại kinh nghiệm: nếu chỉ biết lý thuyết, hãy nói rõ đã thực hành trên lab nào. Đây là ngành có người đánh giá rất kỹ, thành thật là điểm cộng lớn.

---

4. Trang phục và hình thức

Dịp	Trang phục gợi ý
Vòng nhân sự qua điện thoại	Áo sơ mi hoặc áo polo chính đứng, nói rõ tên, chức danh, nơi làm việc
Phỏng vấn trực tiếp tại trụ sở TPBank	Áo sơ mi, quần tây, giày công sở, thắt lưng, đồng hồ; nữ có thể chọn bộ vest hoặc váy công sở dài qua đầu gối
Phỏng vấn trực tuyến	Áo sơ mi, nền đơn sắc, ánh sáng đủ sáng, camera ngang tầm mắt
Trang phục cần tránh	Áo thun, quần jean rách, giày thể thao, trang sức lạ, mùi nước hoa đậm

Ngân hàng nói chung có văn hóa ăn mặc khá chỉn chu. Trang phục chuyên nghiệp chỉ là lớp ngoài, nhưng ảnh hưởng đến ấn tượng đầu tiên rõ rệt.

---

5. Những điều không nên làm

Không hỏi về lương ngay ở tin nhắn đầu tiên; hãy đặt câu hỏi này ở vòng thương thảo.
Không nói quá lớn về việc bạn chỉ quan tâm tiền lương.
Không nêu chi tiết khách hàng, mật khẩu hay dữ liệu thật của công ty cũ khi ví dụ về sự cố.
Không chê bai công ty cũ hoặc trưởng nhóm cũ.
Không nói "Tôi không biết" mà không kèm cách bạn sẽ tìm hiểu.

Lộ trình ôn thi

1. Lộ trình ôn tập 14 ngày gợi ý

Tuần 1 – Nền tảng (Ngày 1 đến 7)

Ngày 1 – Bản đồ tổng quan ngành

Đọc lại kiến thức An toàn thông tin: mô hình CIA, AAA, phân loại tấn công mạng.
Tìm hiểu vị trí SOC trong cơ cấu doanh nghiệp: khác biệt giữa SOC, NOC, SOC Tier 1/2/3, Trung tâm ứng cứu sự cố.
Xem tổng quan khung MITRE ATT&CK: hiểu các chiến thuật (tactics), kỹ thuật (techniques), và phân tích (procedures).

Ngày 2 – Mạng căn bản (phần 1)

Mô hình OSI và TCP/IP, địa chỉ IP, mặt nạ mạng con, định tuyến, ARP, DNS, DHCP.
Đọc lại tài liệu Cisco Networking Academy (Skills for All) phần Network Fundamentals.
Luyện đọc sơ đồ mạng đơn giản và tìm đường đi của gói tin.

Ngày 3 – Mạng căn bản (phần 2) và công cụ

Tường lửa, VPN, IDS/IPS, proxy, hệ thống quản lý truy cập.
Cài Wireshark, bắt và phân tích vài lưu lượng mẫu (traffic từ Wireshark sample captures).
Học dùng Nmap quét mạng giả lập trong môi trường lab của mình.

Ngày 4 – Hệ điều hành và dòng lệnh

Linux: cấu trúc thư mục, phân quyền, tiến trình, dịch vụ, lệnh cơ bản (grep, awk, sed, find, ps, ss, netstat, journalctl).
Windows: Event Viewer, Windows Defender, PowerShell cơ bản, đọc các Event ID quan trọng.
Bài tập: đọc một file log thật trong máy ảo Linux và trích xuất thông tin có ý nghĩa.

Ngày 5 – Log và SIEM (phần 1)

Hiểu cấu trúc log chuẩn: Syslog, CEF, LEEF, JSON.
Cài Splunk trial hoặc dùng Splunk Boss of the SOC (miễn phí), làm các bài lab.
Tập viết truy vấn lọc theo IP, theo tài khoản, theo thời gian, theo mã lỗi.

Ngày 6 – SIEM (phần 2) và phát hiện

Tập tổng hợp và tương quan: ghép log firewall, log đăng nhập, log máy chủ.
Tạo một cảnh báo đơn giản: đăng nhập thất bại nhiều lần rồi thành công.
Học cách đọc tài liệu MITRE ATT&CK cho kỹ thuật T1110 (Brute Force), T1078 (Valid Accounts), T1041 (Exfiltration Over C2 Channel).

Ngày 7 – Ôn và kiểm tra tuần 1

Tự trả lời 20 câu hỏi về mạng, hệ điều hành, log.
Viết một trang tóm tắt kiến thức đã học bằng sơ đồ tư duy.

Tuần 2 – Chuyên sâu và luyện tập (Ngày 8 đến 14)

Ngày 8 – Ứng cứu sự cố: lý thuyết

Đọc NIST SP 800-61r2 (Computer Security Incident Handling Guide) và NIST SP 800-61r3 (mục 2.x về quy trình).
Học mô hình 6 giai đoạn của NIST, mô hình Cyber Kill Chain, và cách phân loại sự cố theo mức độ (thường dùng thang 1 đến 5 tương đương PISA, ví dụ quy trình tương ứng trong ngân hàng).

Ngày 9 – Ứng cứu sự cố: thực hành

Dựng lab bằng VirtualBox hoặc VMware với một máy Linux bị giả lập nhiễm.
Viết báo cáo sự cố mẫu theo mẫu của NIST.
Luyện bảo toàn chứng cứ: hash tệp, ghi log hệ thống, chụp ảnh đĩa.

Ngày 10 – Phát hiện mối đe dọa (threat hunting)

Học cách truy vết kỹ thuật tấn công trong log: tiến trình bất thường, kết nối đi ra ngoài, thay đổi tài khoản đặc quyền.
Dùng bộ dữ liệu cấu trúc phổ biến để phân tích.
Tập trình vào việc lập luận: tại sao bạn nghi ngờ, bằng chứng nào bạn có.

Ngày 11 – Quy định và tuân thủ

Đọc lướt Thông tư 09/2023/TT-NHNN về an toàn thông tin trong hoạt động ngân hàng.
Nắm các khái niệm: phân loại hệ thống thông tin, phân vùng, giám sát, ứng cứu sự cố, báo cáo sự cố.
Tìm hiểu ISO 27001:2022 và PCI DSS 4.0 ở mức khái niệm.

Ngày 12 – Tự động hóa

Python: đọc file log, xử lý dòng JSON, viết script tìm đăng nhập bất thường, gửi cảnh báo qua API.
PowerShell: truy vấn thông tin máy và người dùng trong Active Directory.
SQL cơ bản: truy vấn bảng log trong PostgreSQL hoặc ElasticSearch.

Ngày 13 – Mô phỏng phỏng vấn

Trả lời lại toàn bộ bộ câu hỏi trong phần hướng dẫn phỏng vấn, có ghi âm để nghe lại.
Luyện trình bày một case study trong 5 phút.
Chuẩn bị câu hỏi hỏi nhà tuyển dụng.

Ngày 14 – Tổng kết và sẵn sàng

Rà lại danh sách kiến thức, đánh dấu xem mục nào còn yếu.
Hoàn thiện CV và đoạn giới thiệu 90 giây.
In ra bảng tổng hợp phân tích sự cố, mang theo trong buổi phỏng vấn để tham khảo.

---

2. Kiến thức nền bắt buộc phải có

1. An toàn thông tin: mô hình CIA, quản lý rủi ro, phân loại tấn công, lỗ hổng phổ biến, mã hóa, xác thực đa yếu tố, nguyên tắc đặc quyền tối thiểu.
2. Mạng: mô hình phân lớp, giao thức, tường lửa, IDS/IPS, DNS, proxy, VPN, phân tích gói tin.
3. Hệ điều hành: quản trị Linux và Windows, quản lý dịch vụ, quyền, nhật ký hệ thống, cơ chế bảo vệ.
4. Ứng dụng và web: OWASP Top 10, SQL Injection, XSS, CSRF, SSRF, xác thực phiên, API security.
5. Quản lý sự cố: quy trình, phân loại, bảo toàn chứng cứ, báo cáo, sai sót hệ thống và phòng ngừa.
6. Tuân thủ ngành: Thông tư 09/2023/TT-NHNN, ISO 27001, PCI DSS, bảo vệ dữ liệu cá nhân.

---

3. Tài liệu tham khảo

Tài liệu chính thức và miễn phí

NIST SP 800-61 Rev. 2: Computer Security Incident Handling Guide (bản Rev. 3 cũng nên xem qua).
NIST Cybersecurity Framework 2.0 và NIST SP 800-53.
MITRE ATT&CK: trang web và bộ dữ liệu chiến thuật, kỹ thuật.
CIS Controls (phiên bản 8) và OWASP Top 10.
Tài liệu chính thức của Splunk, Microsoft Learn (Sentinel, Defender, Entra ID), Fortinet, Wazuh.
Microsoft Learn: Đường lộ trình học Azure Security Engineer Associate (SC-200).

Sách tham khảo

The Practice of Network Security Monitoring – Chris Sanders và Pete Murdock.
Blue Team Handbook: Incident Response Edition – Christiaan Bosman.
Security+ Guide to Networks hoặc bộ CompTIA Security+ Study Guide của Jon Day.
Applied Network Security Monitoring.

Luyện tập thực hành

Splunk Boss of the SOC (bài lab kèm Splunk).
TryHackMe: các phòng Security Operations và Blue Team.
Blue Team Labs Online (đề xuất của TryHackMe).
PortSwigger Web Security Academy (miễn phí, chất lượng cao cho phần web).
LetsDefend SOC Analyst (mô phỏng trực quan rất sát thực tế SOC).
CyberDefenders: các bài điều tra sự cố trên log.
Attack the Box và Hack The Box: phần cơ bản.
Dựng máy ảo Linux (Ubuntu Server) và dựng môi trường SIEM tại nhà.

Nguồn cập nhật hằng tuần

Bản tin CERT Việt Nam, CISA KEV, SANS Internet Storm Center, The Hacker News, Krebs on Security, tài liệu phát hành bản vá của Microsoft, Fortinet, Cisco.

---

4. Bài tự đánh giá nhanh

Hãy trả lời được ít nhất 80% số câu dưới đây trước khi đi phỏng vấn:

1. Sự khác biệt giữa NOC và SOC là gì?
2. Tại sao cần chuẩn hóa log trước khi đưa vào SIEM?
3. Log nào chứa thông tin đăng nhập và quyền truy cập trên Windows và trên Linux?
4. Phân biệt authentication và authorization bằng ví dụ cụ thể.
5. Tại sao không nên tắt tường lửa trên máy người dùng khi đang điều tra?
6. Chuỗi lateral movement là gì và các dấu hiệu nhận biết?
7. Khác biệt giữa cảnh báo (alert) và sự cố (incident) trong quy trình xử lý?
8. Bạn làm gì để tránh báo giả khi viết quy tắc phát hiện?
9. Một sự cố mức độ cao cần những thông tin nào trong báo cáo đầu tiên?
10. Vì sao trong ngân hàng, việc bảo toàn chứng cứ lại đặc biệt quan trọng?

Tư vấn nghề nghiệp

1. Đánh giá vị trí thực tế của nghề SOC tại ngân hàng

SOC là vị trí chiến lược và giàu tiềm năng tăng trưởng tại Việt Nam, nhưng cũng là nghề đòi hỏi khả năng chịu áp lực cao và làm việc theo ca. Trước khi cam kết, bạn nên tự trả lời:

Bạn có chịu được việc trực đêm, cuối tuần, ngày lễ, và trực khi có sự cố lúc nửa đêm không?
Bạn có thích công việc tập trung vào điều tra, phân tích bằng chứng thay vì làm tính năng mới không?
Bạn có chịu được việc phải viết tài liệu nhiều, đôi khi lặp lại các quy trình không?
Bạn có muốn phát triển theo hướng chuyên sâu (Blue Team) hay chuyển sang kiểm thử xâm nhập (Red Team)?

Nếu câu trả lời là đồng ý, đây là nghề rất đáng đầu tư.

---

2. Lộ trình thăng tiến 3 – 5 năm

Giai đoạn	Thời gian	Trọng tâm phát triển	Đầu ra cần đạt
Bước 1: Vào nghề	0 – 1 năm	Nắm quy trình giám sát, đọc log, quy trình ứng cứu, tác phục theo ca	Xử lý được cảnh báo cấp 1, viết báo cáo sự cố chuẩn, đạt chứng chỉ Security+ hoặc SC-200
Bước 2: Độc lập	1 – 3 năm	Điều tra sự cố thực, viết quy tắc phát hiện, tinh chỉnh cảnh báo, hiểu hệ thống ngân hàng	Dẫn dắt được ca trực, xử lý sự cố cấp 2 và 3, đề xuất cải tiến được đo lường
Bước 3: Chuyên sâu hoặc quản lý	3 – 5 năm	Chuyên gia phát hiện mối đe dọa, quản lý sự cố nghiêm trọng, mentor, đối tác với bộ phận tuân thủ	Dẫn dắt sự cố mức cao, xây dựng quy trình và tiêu chuẩn, đào tạo nhân sự mới
Bước 4: Định hướng	Trên 5 năm	Trưởng nhóm SOC, kiến trúc sư an ninh thông tin, quản lý rủi ro, tư vấn khách hàng doanh nghiệp	Đảm nhiệm vai trò Lead SOC, Trưởng phòng An ninh thông tin, hoặc chuyển sang doanh nghiệp tư vấn

Ba hướng đi tuổi sau này:
1. Blue Team chuyên sâu: phát hiện mối đe dọa, săn tìm, xây dựng năng lực phát hiện.
2. Quản lý và kiến trúc: trưởng nhóm, kiến trúc sư an ninh thông tin, quản lý rủi ro.
3. Dịch vụ và tư vấn: làm việc tại công ty tư vấn an ninh, kiểm thử xâm nhập, đào tạo.

---

3. Mức lương kỳ vọng theo cấp bậc

> Lưu ý: Đây là mức lương ước lượng mang tính tham khảo để bạn đàm phán và lên kế hoạch; mức lương có thể thay đổi tùy ngân hàng và thời điểm. Tin tuyển dụng ghi "Thỏa thuận", vì vậy bạn cần xác nhận trực tiếp với nhà tuyển dụng.

Cấp bậc	Kinh nghiệm	Lương cứng ước lượng (triệu đồng/tháng)	Ghi chú
SOC L1 – Nhân viên mới vào nghề	0 – 1 năm	12 – 18	Có thể thấp hơn ở một số nơi, đặc biệt nếu chưa có chứng chỉ
SOC L2 – Chuyên gia	1 – 3 năm	18 – 28	Nền tảng trung, phụ thuộc mức độ chuyên sâu công cụ và ngành
SOC L3 – Cao cấp	3 – 5 năm	25 – 40	Có chứng chỉ quốc tế và kinh nghiệm ứng cứu sự cố thực tế
Senior / Lead	5 – 8 năm	35 – 55	Có thể có thưởng theo KPI và theo ca trực
Trưởng nhóm / Quản lý SOC	Trên 8 năm	50 – 80 trở lên	Tùy quy mô tổ chức và phạm vi trách nhiệm

Cách đàm phán lương:

Nêu khoảng mong muốn cụ thể, ví dụ "28 triệu đồng một tháng, đã bao gồm phụ cấp cơm trưa và xăng xe", thay vì để người tuyển dụng đưa mức quá thấp rồi bạn phải từ chối.
Tách bạch rõ lương cứng, phụ cấp, thưởng theo KPI, thưởng theo sự cố, và phúc lợi.
Hãy hỏi rõ: đánh giá KPI thế nào, có thưởng không cảnh báo, ca đêm được trả thêm bao nhiêu, có cơ hội tăng lương định kỳ không.
Ngân hàng tư nhân như TPBank thường có mức lương cạnh tranh hơn ngân hàng quốc doanh, nhưng mức cạnh tranh cụ thể cần được xác nhận.

---

4. Kỹ năng cần phát triển thêm để bền vững trong nghề

Về mặt kỹ thuật

Tự động hóa bằng Python và PowerShell: đây là kỹ năng phân biệt giữa một chuyên gia trung cấp và một chuyên gia giỏi. Viết script xử lý cảnh báo sẽ giúp bạn tiết kiệm rất nhiều thời gian.
Quản lý đám mây và DevSecOps: hiểu Azure hoặc AWS, Kubernetes ở mức vừa phải vì ngân hàng đang dịch chuyển hạ tầng sang đám mây.
Ứng dụng và API security: thời gian gần đây, sự cố lộ dữ liệu tại ngân hàng thường đến từ lỗ hổng ứng dụng và cấu hình API sai, không chỉ từ tấn công mạng truyền thống.
Phân tích phần mềm độc: đủ hiểu để không bị đánh lừa bởi hành vi né tránh của mã độc.
Kiến thức cloud và container security: Docker, Kubernetes security.

Về mặt nghiệp vụ

Hiểu quy trình ngân hàng: thanh toán, thẻ, tín dụng, AML (chống rửa tiền), định danh khách hàng. Biết nghiệp vụ giúp bạn hiểu tại sao một sự cố hệ thống lại nghiêm trọng với kinh doanh.
Tuân thủ và báo cáo: hiểu nghĩa vụ báo cáo sự cố an ninh thông tin theo quy định của Ngân hàng Nhà nước.
Kỹ năng giao tiếp với bên liên quan: biết cách báo cho lãnh đạo ngân hàng và bộ phận kinh doanh mà không tạo hoảng loạn nhưng vẫn đủ nghiêm trọng.

Về mặt phát triển bản thân

Theo dõi hệ sinh thái mở: đóng góp hoặc đặt câu hỏi trong cộng đồng an ninh mở, đăng bài chia sẻ kỹ thuật trên blog cá nhân. Đây là cách hiệu quả nhất để xây dựng hồ sơ khi kinh nghiệm còn ít.
Lấy chứng chỉ đúng lúc: Security+ hoặc SC-200 khi bắt đầu; GCIH hoặc CySA+ khi đã có 2 năm kinh nghiệm thực tế; CISSP khi hướng đến quản lý.
Tham gia cộng đồng nghề nghiệp: hội nghị an ninh thông tin trong nước, cộng đồng trực tuyến về SOC và ứng cứu sự cố.
Theo dõi xu hướng mối đe dọa: đọc báo cáo thường niên của các hãng bảo mật và báo cáo ngành của ngân hàng.

---

5. Lời khuyên cho ba nhóm ứng viên

Nếu bạn là sinh viên mới ra trường: Hãy đầu tư vào phần thực hành trên lab (Splunk Boss of the SOC, LetsDefend, TryHackMe) và đưa các bài lab đó vào CV như dự án cá nhân. Tối thiểu một chứng chỉ nền tảng cộng với vài chứng chỉ quốc tế sẽ giúp bạn vượt qua bộ lọc hồ sơ. Đừng bỏ qua cơ hội thực tập tại bộ phận an ninh thông tin của các ngân hàng hoặc công ty có đội SOC.

Nếu bạn đang làm IT Helpdesk hoặc quản trị hệ thống: Bạn đã có nền tảng hệ thống, đây là lợi thế lớn. Hãy chuyển đổi kinh nghiệm sang góc nhìn an ninh: học đọc log, hiểu tấn công, luyện SIEM. Đây là đường chuyển đổi khả thi và nhiều công ty đã đánh giá cao.

Nếu bạn đến từ ngân hàng hoặc tài chính nhưng muốn chuyển sang công nghệ: Bạn hiểu nghiệp vụ ngân hàng, đây là lợi thế cạnh tranh rất mạnh mà nhiều ứng viên chỉ có kiến thức kỹ thuật không có. Hãy học bổ sung kiến thức kỹ thuật qua các khóa học ngắn hạn và chứng chỉ, kết hợp với kinh nghiệm thực tập trong môi trường an ninh thông tin.

Một lời khuyên chung: Đừng chờ đến khi có đủ mọi thứ rồi mới ứng tuyển. Với vị trí SOC, mức độ thực hành và tố chất học hỏi thường được coi trọng hơn danh sách chứng chỉ dài. Nhưng hãy ứng tuyển có chuẩn bị: một CV nêu rõ bạn đã làm gì thực tế, một bài case study trình bày tư duy điều tra, và sự tự tin chỉ dựa trên những gì bạn thật sự biết.

Câu hỏi thường gặp

Tôi vừa ra trường ngành An toàn thông tin, chưa có kinh nghiệm thực tế. Tôi có nên ứng tuyển vị trí Chuyên gia An ninh thông tin (SOC) tại TPBank không?

Có, bạn hoàn toàn nên thử. Vị trí SOC tại TPBank không nêu yêu cầu kinh nghiệm cụ thể trong tin tuyển dụng, và đây là cơ hội tốt để vào nghề. Tuy nhiên, bạn cần chứng minh năng lực thực tế thay vì chỉ dựa vào bằng tốt. Bạn hãy làm các bài lab trên Splunk Boss of the SOC và LetsDefend SOC Analyst, hoàn thành một chứng chỉ nền tảng như CompTIA Security+ hoặc Microsoft SC-200, rồi đưa các bài lab đó vào CV như dự án cá nhân kèm mô tả rõ bạn đã phân tích điều gì. Trong phỏng vấn, hãy trả lời thành thật rằng bạn mới vào nghề nhưng đã chuẩn bị kỹ, đồng thời nêu rõ điểm mạnh là bạn nắm kiến thức nền về mạng, hệ điều hành và phân tích log. Nhiều nhà tuyển dụng sẵn sàng cấp cơ hội cho ứng viên có nền tảng tốt và tinh thần học hỏi rõ ràng.

Tôi đang làm IT Helpdesk, đủ kinh nghiệm quản trị máy tính và Windows. Tôi có thể chuyển sang SOC được không?

Được, và đây thường là con đường chuyển đổi rất tự nhiên. Bạn đã có ba nền tảng mà SOC cần: hiểu hệ điều hành và dịch vụ, quen xử lý sự cố dưới áp lực, và biết đọc log Windows Event Viewer cùng log hệ thống. Việc còn thiếu thường là: hiểu sự khác biệt giữa sự cố IT và sự cố an ninh thông tin, kỹ năng truy vấn SIEM, quy trình ứng cứu sự cố, và kiến thức về tấn công. Hãy dành khoảng 4 đến 6 tuần học các phần này và làm một vài case study phân tích log. Trong CV, bạn hãy diễn đạt lại kinh nghiệm hiện tại theo góc nhìn an ninh: ví dụ thay vì "xử lý sự cố máy tính" thì viết "xử lý sự cố, phân tích log hệ thống, phối hợp đội mạng để cô lập thiết bị bị xâm nhập". Đây là lợi thế lớn mà ứng viên chỉ có kiến thức lý thuyết không có.

Tôi đang làm nhân viên tín dụng tại ngân hàng, muốn chuyển sang khối công nghệ thông tin. Vị trí SOC có phù hợp với tôi không?

Đây là một hướng chuyển đổi rất đáng cân nhắc vì bạn có lợi thế mà ít ứng viên kỹ thuật sở hữu: bạn hiểu nghiệp vụ ngân hàng, hiểu khách hàng, hiểu quy trình vận hành và từ chối tín dụng. Khi một sự cố xảy ra, người có kiến thức công nghệ mà không hiểu nghiệp vụ sẽ bị chậm khi đánh giá mức độ ảnh hưởng. Bạn nên bắt đầu bằng việc học kiến thức kỹ thuật theo lộ trình 3 đến 6 tháng: mạng, hệ điều hành, bảo mật, SIEM, và hiểu quy định Thông tư 09/2023/TT-NHNN. Đồng thời, hãy tận dụng lợi thế bên trong: nhiều ngân hàng có đội an ninh thông tin nội bộ và thường ưu tiên nhân sự hiểu nghiệp vụ. Trong hồ sơ, hãy viết rõ bạn đã xử lý những tình huống rủi ro gì, kiến thức tuân thủ nào bạn nắm, và thể hiện năng lực tự học.

Mức lương thực tế cho vị trí Chuyên gia An ninh thông tin (SOC) tại TPBank là bao nhiêu? Tôi nên đề xuất con số nào?

Tin tuyển dụng ghi "Thỏa thuận", nên bạn cần xác nhận trực tiếp với phòng Nhân sự. Theo tham khảo thị trường, mức lương cứng ước lượng cho ngân hàng tư nhân tại Hà Nội thường vào khoảng 12 đến 18 triệu đồng mỗi tháng với cấp bậc mới vào nghề, 18 đến 28 triệu đồng với cấp bậc có 1 đến 3 năm kinh nghiệm, và 25 đến 40 triệu đồng với cấp bậc chuyên gia cao cấp từ 3 năm trở lên. Lưu ý đây chỉ là mức ước lượng tham khảo, mức lương có thể thay đổi tùy ngân hàng và thời điểm. Khi đề xuất, hãy nêu rõ con số mong muốn và mức chấp nhận tối thiểu, đồng thời hỏi thêm về phụ cấp, thưởng theo KPI, thưởng theo ca trực và cơ hội tăng lương định kỳ. Bạn cũng nên hỏi về cơ chế đánh giá hiệu quả công việc vì đây thường là phần chiếm tỷ trọng lớn trong tổng thu nhập.

Công việc SOC tại ngân hàng có KPI gì và lịch trực như thế nào? Tôi có phải trực đêm và cuối tuần không?

Đây là câu hỏi bạn nhất định nên hỏi. Với môi trường ngân hàng, trung tâm giám sát an ninh thông tin thường hoạt động liên tục, phổ biến theo ca xoay vòng 24/7 với 8 giờ mỗi ca, hoặc mô hình 8/7 kèm trực sự cố. Bạn rất có thể sẽ phải trực đêm, ngày lễ, và một số cuối tuần theo lịch phân công luân phiên, và đây là yếu tố cần cân nhắc kỹ. Về KPI, các chỉ số thường gặp gồm: số lượng cảnh báo xử lý đúng hạn, tỷ lệ cảnh báo giả, thời gian phát hiện và khối chế sự cố (thời gian phản hồi), số lần tái phát diễn sự cố đã xử lý, chất lượng báo cáo, và mức độ tuân thủ quy trình. Mức độ trực và cơ chế thưởng cho ca khác nhau thay đổi khá nhiều giữa các ngân hàng, nên bạn hãy làm rõ trong buổi phỏng vấn, đặc biệt là hỏi về phụ cấp ca đêm và chính sách đổi ca.

Tôi nên lấy chứng chỉ nào trước khi ứng tuyển? Security+ hay CEH hay OSCP?

Với vị trí SOC tại ngân hàng, thứ tự ưu tiên tôi khuyên bạn là: bắt đầu với CompTIA Security+ nếu bạn mới vào nghề, hoặc Microsoft SC-200 nếu môi trường làm việc nghiêng về Microsoft Sentinel, Defender và Entra ID. Hai chứng chỉ này bao phủ đúng kiến thức mà SOC cần. CEH hữu ích nếu bạn muốn hiểu sâu phía bên kia tấn công, nhưng không phải điều kiện cần cho vị trí giám sát. OSCP chỉ nên để dành khi bạn đã xác định theo hướng kiểm thử xâm nhập hoặc Red Team, vì nó tốn thời gian và chi phí đáng kể. Điều quan trọng nhất: đừng lấy chứng chỉ chỉ để điền vào CV. Hãy kết hợp lấy một chứng chỉ nền tảng với việc làm lab thật, rồi kể trong phỏng vấn về những gì bạn đã tự phát hiện và xử lý trong lab. Đó mới là thứ tạo nên sự khác biệt.

Trong phỏng vấn SOC, tôi nên chuẩn bị gì cho phần phân tích log và xử lý tình huống?

Hãy chuẩn bị theo ba lớp. Lớp một là kiến thức nền: bạn phải hiểu cấu trúc log Windows, Linux, firewall, và biết những Event ID nào đáng ngờ, ví dụ 4625 là đăng nhập thất bại, 4672 là nâng quyền đặc biệt. Lớp hai là kỹ năng truy vấn: viết được một câu lệnh lọc theo địa chỉ IP, theo tài khoản, theo khoảng thời gian trong Splunk hoặc KQL. Lớp ba là tư duy điều tra: với mỗi tình huống, trình bày theo trình tự xác minh, đánh giá mức độ, cô lập, điều tra sâu, khôi phục, báo cáo và rút kinh nghiệm. Nếu được, bạn hãy mang theo một bài case study thật đã tự phân tích, có sơ đồ luồng xử lý và truy vấn log mẫu. Người phỏng vấn sẽ đánh giá cao sự minh bạch về quy trình tư duy hơn là đáp án đúng tuyệt đối.

Tôi nên hỏi những câu hỏi nào khi phỏng vấn tại TPBank?

Bạn nên chuẩn bị 3 đến 5 câu hỏi cho thấy mình đã nghiên cứu công việc và quan tâm đến chất lượng công việc. Gợi ý cụ thể: nhóm SOC hiện có bao nhiêu người và phục vụ bao nhiêu hệ thống; hệ thống giám sát chính đang dùng nền tảng nào và tỷ lệ cảnh báo giả hiện tại ra sao; quy trình ứng cứu sự cố được chuẩn hóa và có tổ chức diễn tập định kỳ không; chỉ số đánh giá hiệu quả công việc của một chuyên gia SOC là gì; và nhân viên được hỗ trợ đào tạo chứng chỉ hay công cụ gì trong năm đầu tiên. Câu hỏi về kỹ thuật phát triển như "làm thế nào để tôi xây dựng được năng lực chuyên môn trong 6 tháng đầu" cho thấy tư duy dài hạn. Tránh hỏi về lương ở vòng đầu, hãy để dành cho vòng thương thảo.

Lộ trình thăng tiến của một chuyên gia SOC trong 3 đến 5 năm trông như thế nào?

Theo lộ trình điển hình tại ngân hàng: năm đầu tiên bạn ở vị trí SOC L1, tập trung giám sát, phân loại cảnh báo và hỗ trợ xử lý. Từ năm thứ hai đến thứ ba, bạn lên SOC L2, tự điều tra sự cố, viết và tinh chỉnh quy tắc phát hiện, và bắt đầu hiểu hệ thống ngân hàng. Từ năm thứ ba đến thứ năm, bạn có thể đi theo hướng SOC L3 và chuyên gia phát hiện mối đe dọa, hoặc hướng Senior và Lead dẫn dắt ca trực, mentor nhân viên mới, xây dựng quy trình. Từ năm thứ năm trở đi, các lựa chọn mở rộng gồm trưởng nhóm SOC, kiến trúc sư an ninh thông tin, hoặc chuyển sang phòng tư vấn an ninh, kiểm thử xâm nhập. Điều quyết định tốc độ thăng tiến không chỉ là thâm niên mà là hai thứ: khả năng xử lý sự cố phức tạp một mình, và khả năng viết quy trình, quy tắc cũng như huấn luyện người khác. Hãy đầu tư vào cả hai ngay từ năm đầu tiên.

Tôi làm việc trong môi trường ngân hàng nhưng chuyên môn về quản trị rủi ro và tuân thủ. Kỹ năng của tôi có giúp ích cho vị trí SOC không?

Có, và đây là điểm mạnh thường bị bỏ qua. SOC trong ngân hàng không chỉ là kỹ thuật mà còn gắn với tuân thủ. Quy định Thông tư 09/2023/TT-NHNN về an toàn thông tin trong hoạt động ngân hàng yêu cầu phân loại hệ thống thông tin, phân vùng, giám sát an toàn thông tin, ứng cứu sự cố và báo cáo sự cố. Người có nền tảng quản trị rủi ro sẽ hiểu rõ hơn về việc bằng chứng phải lưu giữ bao lâu, mức độ nghiêm trọng của sự cố được phân loại ra sao, và báo cáo phải đáp ứng yêu cầu gì để đề phòng rủi ro pháp lý và uy tín. Ngoài ra, kinh nghiệm quản trị rủi ro giúp bạn biết cách giao tiếp với bộ phận kiểm toán, pháp chế và kiểm soát, vốn thường là đối tác quan trọng của SOC. Hãy kết hợp nền tảng này với việc học kỹ thuật phân tích log và công cụ SIEM, bạn sẽ trở thành ứng viên nổi bật.

Chuyên gia An ninh thông tin (SOC) - Khối Công nghệ Thông tin