Chuyên gia/ Chuyên viên cao cấp Dịch vụ bảo mật (DevSecOps)

Thật lòng mà nói thì khó đậu lắm bạn ơi. JD yêu cầu xây dựng chính sách, đón đoàn audit, xây dựng ISMS — đây là những việc đòi hỏi 4-7 năm kinh nghiệm thực chiến. Tuy nhiên, bạn có thể tận dụng để: (1) hiểu JD ngành đang cần gì, (2) lên kế hoạch học chứng chỉ ISO 27001 Lead Auditor, (3) apply các vị trí Junior tại Ngân hàng (SeABank cũng có nhiều chương trình fresher) rồi sau 2-3 năm quay lại ứng tuyển vị trí này. Đừng nản, mọi CISO đều từng là fresh engineer.

SeABank không public con số cụ thể, JD ghi 'Thỏa thuận'. Tuy nhiên, dựa trên mặt bằng chung ngân hàng cỡ trung (SeABank xếp vào top 10-15 ngân hàng TMCP tư nhân) và vị trí Senior Specialist có chứng chỉ, bạn có thể deal trong khoảng 40-60 triệu gross/tháng. Nếu có chứng chỉ ISO 27001 Lead Auditor + kinh nghiệm audit thực tế, có thể đẩy lên 60-75 triệu. Nên chuẩn bị benchmark từ các trang salary survey như VietnamWorks, ITviec, TopDev để có số liệu khi đàm phán nhé.

Cơ hội tốt đó bạn! Vị trí này tên là DevSecOps nhưng nội dung thiên về governance/compliance hơn là coding pipeline. Bạn cần bổ sung: (1) Hiểu biết sâu về ISO 27001, PCI-DSS, (2) Quy định NHNN (TT31, QĐ21), (3) Kỹ năng viết chính sách. Lợi thế của bạn là hiểu về CI/CD, SAST/DAST, infrastructure-as-code — phần này đang thiếu ở các bạn background compliance thuần. Hãy target vị trí này và nhấn mạnh: 'Tôi có background kỹ thuật DevOps, hiểu rõ attack surface trong CI/CD, và đang học thêm governance để cover full-stack security'.

Với JD này thì ISO 27001 Lead Auditor là lựa chọn số 1. Lý do: tin tuyển dụng nêu rõ 'ưu tiên' chứng chỉ này, và hầu hết công việc hàng ngày (xây dựng ISMS, đón đoàn audit, đánh giá tuân thủ) đều xoay quanh ISO 27001. CISSP rộng hơn nhưng thiên về kiến thức nền tảng, không đi sâu vào audit như ISO Lead Auditor. CISM thiên về quản lý rủi ro — phù hợp nếu bạn muốn đi theo hướng GRC (Governance, Risk, Compliance) Manager. Lý tưởng nhất là có ISO 27001 Lead Auditor trước, rồi bổ sung CISM sau 1-2 năm.

Khó hơn một chút vì JD yêu cầu chuyên môn khá sâu về ISO/PCI/compliance, kết hợp khả năng làm việc với NHNN và đoàn audit ngoài. Quy trình thường có 3-4 vòng: (1) HR sàng lọc, (2) Technical round với Trưởng phòng — hỏi sâu về ISO 27001, PCI-DSS, tình huống thực tế, (3) Round với Phó GĐ khối CNTT — hỏi về tư duy chiến lược, Zero Trust, cloud security, (4) có thể round C-level. Điểm khác biệt so với vị trí ngân hàng truyền thống: nhà tuyển dụng sẽ test case study khá kỹ — bạn phải chứng minh được mình đã từng xử lý tình huống thật, không chỉ lý thuyết.

Có nhé! JD nói 'ưu tiên' chứng chỉ chứ không bắt buộc. Fintech và ngân hàng có nhiều điểm chung về bảo mật (PCI-DSS vẫn phải tuân, dữ liệu khách hàng vẫn phải bảo vệ). Điểm mạnh của bạn: kinh nghiệm hands-on, có thể kể được case study cụ thể. Điểm cần bù: quy định NHNN (TT31, QĐ21) — fintech thường không chịu sự điều chỉnh của NHNN. Hãy dành 3-5 ngày học nhanh phần này trước khi phỏng vấn. Trong CV, nhấn mạnh: 'X năm xây dựng hệ thống ATTT cho X fintech có X triệu khách hàng, đạt chứng nhận X, sẵn sàng bổ sung chứng chỉ ISO 27001 trong 6 tháng đầu'.

Khác biệt lớn nhất là: Ngân hàng có lớp compliance chồng lên trên, gồm ISO 27001, PCI-DSS, NHNN, SBV, NAPAS. Bạn không chỉ tích hợp security vào pipeline mà còn phải chứng minh được điều đó cho auditor. Ví dụ: ở fintech, bạn có thể tự do chọn công cụ SAST/DAST; ở ngân hàng, bạn phải đánh giá vendor, ký NDA, đưa vào danh sách nhà cung cấp được phê duyệt. Ngoài ra còn yếu tố on-prem vs cloud — ngân hàng truyền thống chậm chuyển cloud hơn product company, nhưng SeABank đang chuyển đổi số mạnh nên sẽ có cơ hội làm với cloud.

Đây là câu hỏi sếp nào cũng thích nghe. Gợi ý: (1) Tuần 1-2: Đọc hết tài liệu ATTT hiện tại của SeABank, làm gap analysis so với ISO 27001:2013 và Thông tư 31. (2) Tuần 3-4: Gặp gỡ từng bên liên quan (IT, Risk, Audit, Kinh doanh, HR) để hiểu pain points. (3) Tháng 2: Đề xuất 3 quick wins (ví dụ: cập nhật chính sách password theo NIST 800-63B, xây dựng báo cáo tuân thủ tự động từ log). (4) Tháng 3: Chuẩn bị cho đợt audit sắp tới (ISO/PCI). Sếp ATTT sẽ đánh giá cao người: chủ động, có hệ thống, không chờ chỉ đạo.

Phụ thuộc vào giai đoạn sự nghiệp của bạn. Ngân hàng nước ngoài: lương cao hơn 20-40%, quy trình chuẩn quốc tế, được học từ framework toàn cầu, brand đẹp cho CV. Tuy nhiên: ít tự chủ, phải làm theo policy global, ít cơ hội "xây từ đầu". SeABank: giai đoạn chuyển đổi số mạnh (có FPT backing), nhiều cơ hội để xây dựng từ đầu, định hướng ngân hàng số rõ ràng, nhưng mức lương có thể thấp hơn 10-20% và môi trường Việt Nam có thể kém chuyên nghiệp hơn. Nếu bạn 4-6 năm kinh nghiệm muốn lên Senior Manager, SeABank là nơi tốt. Nếu muốn đi nhanh lên Lead/CISO ở brand lớn, ngân hàng nước ngoài là lựa chọn tốt hơn.