Cv Đánh Giá Bảo Mật (Pentest) - Phòng An Toàn Thông Tin - Khối Công Nghệ Thông Tin

Được nhé em! Sacombank là ngân hàng lớn, họ thường có chương trình tuyển fresher vào đội ngũ SOC/Pentest. Tuy nhiên, JD này không ghi rõ yêu cầu nên có thể họ ưu tiên người có kinh nghiệm. Em nên: (1) Hoàn thành chứng chỉ eJPT hoặc CEH để chứng minh nền tảng, (2) Làm các lab trên TryHackMe/HackTheBox và đưa write-up lên GitHub, (3) Tham gia CTF để có thành tích, (4) Trong CV, nhấn mạnh các project cá nhân và bài tập lớn liên quan pentest. Nếu chưa được vào vị trí Pentest, em có thể apply vị trí SOC Analyst hay Security Engineer để tích lũy 1-2 năm rồi chuyển sang Pentest sau cũng được.

"Thỏa thuận" nghĩa là mức lương sẽ thương lượng sau khi HR đánh giá hồ sơ. Em nên làm theo 3 bước: (1) Research mặt bằng chung trên ITViec, TopDev — Pentester 2-4 năm kinh nghiệm ở TP.HCM hiện tại khoảng 25-45 triệu gross, ngân hàng thường cao hơn 10-20% so với công ty thường, (2) Đề xuất mức cao hơn 15-20% so với lương hiện tại của em, (3) Đừng "deal thấp" — đề xuất mức em thực sự mong muốn, HR sẽ counter nếu cần. Với Sacombank, em có thể kỳ vọng khoảng 30-50 triệu cho vị trí có 3-5 năm kinh nghiệm. Nhớ đừng quên hỏi về thưởng Tết, 13th month, phụ cấp cơm/xe.

Câu hỏi hay! Thực tế ở VN hiện tại, nhiều HR ngân hàng vn chưa đánh giá cao OSCP như ở nước ngoài. Tuy nhiên, OSCP là "chuẩn vàng" và có lợi ích rõ ràng: (1) Nó chứng minh bạn có khả năng pentest thực sự, không phải chỉ lý thuyết, (2) Nhiều JD nước ngoài yêu cầu OSCP, có lợi nếu bạn muốn chuyển sang FDI/outsource, (3) Khi deal lương, OSCP là leverage rất tốt. Tuy nhiên, nếu budget hạn chế, em có thể bắt đầu với HTB CPTS (Certified Penetration Testing Specialist) — chỉ $210, được đánh giá ngang OSCP và rất nhiều pentester VN dùng cái này. Kinh nghiệm thực tế vẫn quan trọng nhất — HR Sacombank thường hỏi về dự án cụ thể, không chỉ chứng chỉ.

Em có lợi thế rất lớn khi là dev — đọc source code, hiểu logic app, biết secure coding, đây là điều mà nhiều pentester "pure security" không có. Lộ trình gợi ý: (1) 3-6 tháng đầu: Học chuyên sâu web security qua PortSwigger Academy, làm các lab OWASP Top 10, (2) Song song: Thi CEH hoặc eJPT để có chứng chỉ đầu tiên, (3) Tháng 6-9: Làm các máy HTB/TryHackMe easy-medium, tập viết report, (4) Tháng 9-12: Thử OSCP hoặc HTB CPTS, (5) Apply vào vị trí Junior Pentester hoặc Application Security Engineer (vì em có lợi thế về dev). Khi CV, nhấn mạnh: 'Em là dev, em hiểu code, em tấn công dựa trên hiểu biết về code' — đây là USP rất mạnh. Có thể thử apply luôn ở Sacombank vì JD này không yêu cầu cụ thể.

Khác khá nhiều đó em. Ở ngân hàng: (1) Scope thường là hệ thống nội bộ của ngân hàng hoặc vendor cung cấp cho ngân hàng, (2) Quy trình chặt chẽ, phải xin approval trước khi exploit, (3) Mục tiêu là bảo vệ dữ liệu khách hàng và tuân thủ NHNN, không phải tìm bug để làm profile, (4) Môi trường legacy nhiều (COBOL, mainframe), (5) Làm việc với team IT, dev, business nhiều. Ở công ty security product (FPT, VNPT IS): (1) Pentest cho khách hàng bên ngoài, đa dạng ngành, (2) Được phép khai thác sâu hơn, (3) Công bố CVE được, (4) Môi trường kỹ thuật cao hơn, (5) Có thể research tool mới. Công ty pentest ở VN thường trả lương ngang hoặc cao hơn ngân hàng junior, nhưng ngân hàng ổn định hơn về thu nhập dài hạn và có brand.

Áp lực chính là: (1) Hệ thống production không được downtime — nếu pentest làm crash app, ảnh hưởng hàng triệu khách hàng, (2) Dữ liệu khách hàng cực kỳ nhạy cảm — lỗ hổng nhỏ có thể thành scandal lớn, (3) Tuân thủ NHNN — báo cáo phải đúng format, deadline nghiêm, (4) Làm việc với nhiều bên: vendor, dev team, business — đòi hỏi kỹ năng giao tiếp. Về OT: JD ghi rõ 'Làm việc giờ hành chính + ngoài giờ theo yêu cầu' — nghĩa là khi có sự cố ATTT hoặc release quan trọng, bạn phải sẵn sàng. Thường OT ở ngân hàng được trả theo chính sách (1.5x hoặc 2x), nhưng cần hỏi rõ HR trước khi vào. Một số ngân hàng có chế độ on-call riêng với phụ cấp. So với công ty product, OT ở ngân hàng thường ít hơn nhưng khi xảy ra thì cấp bách hơn.

Có, rất nên! Python là ngôn ngữ số 1 của pentester hiện đại. Cụ thể em dùng Python để: (1) Viết tool exploit tự động (brute force, port scanner, payload generator), (2) Phân tích output từ Nmap, Burp Suite, (3) Viết script tích hợp API của các tool (Metasploit API, VirusTotal API, Shodan), (4) Parse log, xử lý data lớn trong SIEM, (5) Đọc và hiểu exploit có sẵn trên GitHub/ExploitDB. Nếu em chưa biết Python, học trong 2-3 tháng là dùng được. Gợi ý: (1) Học xong syntax cơ bản, (2) Làm 1 project nhỏ: tool scan subdomain tự viết, (3) Đọc code của các tool nổi tiếng như sqlmap, wpscan, (4) Tham gia CTF để giải các challenge Python. Trong CV, đưa link GitHub có Python tool của em — đây là điểm cộng rất lớn.

Lộ trình điển hình: (1) Năm 1-2: Tập trung làm pentest chuyên sâu, đạt OSCP, xây dựng uy tín trong team, (2) Năm 2-3: Mở rộng sang Security Architecture, Threat Modeling, học về risk assessment, bắt đầu thi CISSP, (3) Năm 3-5: Tham gia quản lý nhóm nhỏ (3-5 người), học về ISO 27001, NIST, compliance, làm việc với auditor, (4) Năm 5-8: Lên Senior Manager / Trưởng phòng ATTT, đứng đầu đội ngũ 10-20 người, (5) Năm 8+: CISO. Để lên CISO, cần phát triển thêm: kỹ năng quản lý, giao tiếp với Ban Giám đốc, hiểu biết về business (không chỉ kỹ thuật), kinh nghiệm đàm phán với vendor, xử lý khủng hoảng (incident response), networking với CISO ngân hàng khác. Một số người chọn ở lại Sacombank, số khác chuyển sang ngân hàng khác để tăng lương đột biến khi đã có kinh nghiệm manager. CISO ngân hàng lớn ở VN hiện tại có thể lên tới 200-500 triệu/năm.