Senior Expert, Information Security (40001095)

Chào em, con đường từ SV năm 4 đến Senior Expert (12+ năm) cần đi qua các bước chính: (1) Tốt nghiệp và vào vị trí SOC Analyst hoặc Junior Security Engineer tại ngân hàng/fintech/telecom – 2-3 năm đầu quan trọng nhất; (2) Lấy chứng chỉ nền tảng: CompTIA Security+ → CEH → CISSP; (3) Sau 4-5 năm chuyển sang Security Engineer/Specialist, chọn 1-2 niche (Cloud Security, AppSec, Forensics); (4) Sau 7-8 năm hướng đến Senior Engineer, lấy thêm CISM, OSCP; (5) Sau 10+ năm bạn có thể apply các vị trí Senior Expert/Principal. Quan trọng nhất: xây dựng portfolio dự án thực tế, không chỉ học lý thuyết. Em nên thử intern tại VCS, Viettel, FPT IS, NCSC hoặc SOC của các ngân hàng lớn ngay từ năm 3.

Hoàn toàn khả thi và đây là background rất tốt. Sysadmin 8 năm = bạn đã có kiến thức nền về network, OS, hardening. Khoảng cách cần lấp: (1) Hiểu attacker mindset – học CEH hoặc OSCP, thử HackTheBox; (2) Học security frameworks (ISO 27001, NIST); (3) Lấy CISSP hoặc CISM (5 năm kinh nghiệm IT của bạn đủ điều kiện); (4) Chuyển sang vị trí bridge: IT Security Engineer, Infrastructure Security tại chính công ty hiện tại; (5) Trong 2-3 năm đầu chuyển đổi, có thể chấp nhận giảm 10-20% lương để được làm đúng ngành. Sau đó sẽ bù lại nhanh. Tôi từng thấy nhiều người sysadmin chuyển sang InfoSec thành công vì họ hiểu hệ thống rất sâu.

95 triệu gross cho Senior Expert InfoSec tại Techcombank là mức khá tốt nhưng chưa phải top. Đánh giá nhanh: (1) Base này tương đương với senior manager ở NH nhỏ hơn; (2) TCB thường có thêm bonus performance 13-15 tháng, ESOP (cổ phiếu ưu đãi), bảo hiểm sức khỏe gia đình; (3) Nếu tổng package (base + bonus + ESOP) ra 130-150 triệu effective thì OK. Chiến lược deal: (a) Counter offer 110-120 triệu base, hoặc (b) Giữ 95 nhưng đàm phán sign-on bonus 50-100 triệu, review sau 6 tháng; (c) Yêu cầu thêm 1-2 ngày remote/tuần. Đừng deal quá cao (>130 triệu) vì có thể bị reject. Cũng nên xem xét cơ hội thăng tiến 2-3 năm tới.

Đây là câu hỏi chiến lược hay. Với 15 năm kinh nghiệm ở cấp Senior Manager, Senior Expert tại TCB có thể là bước lùi về danh xưng nhưng tiến về chiến lược và scale. Phân tích: (1) Senior Expert tại big 4 NH như TCB = scope lớn hơn nhiều (phục vụ 14+ triệu khách hàng), tham gia chiến lược cấp ngân hàng; (2) Nếu bạn muốn scale up impact, Senior Expert TCB tốt hơn Senior Manager NH nhỏ; (3) Nếu đang ở NH top rồi và muốn nhảy, có thể nhắm Deputy CISO luôn. Lời khuyên: Apply cả hai, xem offer rồi chọn. Đừng ngại "Senior Expert" – ở TCB và các NH lớn, đây là vị trí có thật quyền và tiếng nói chiến lược, không phải chỉ "chuyên gia cá nhân".

KPI ở vị trí Senior InfoSec ngân hàng thường gồm 4 nhóm: (1) Operational excellence: Số sự cố giải quyết, MTTD/MTTR (Mean Time To Detect/Respond), SLA compliance; (2) Strategic: Hoàn thành chiến lược ATTT năm, ISO 27001 audit pass, compliance NHNN; (3) Innovation: Số dự án mới triển khai (Zero Trust, SOAR, AI Security), research output; (4) People: Chất lượng đội ngũ, số người được đào tạo, attrition rate. Áp lực: CỰC LỚN vì (a) Ngân hàng là target của APT và ransomware, một sự cố có thể mất hàng trăm tỷ; (b) Chịu trách nhiệm trước NHNN và Ban lãnh đạo; (c) 24/7 on-call khi có sự cố. Đổi lại: lương cao, đãi ngộ tốt, cơ hội xây dựng legacy thực sự.

TCB đặt Agile trong JD vì họ đang chuyển đổi mô hình tổ chức theo Agile/Squad. "Agile Product Development Experience" ở đây có nghĩa: (1) Bạn đã từng làm việc trong môi trường có squad/tribe, sprint planning, retro; (2) Hiểu product mindset: security phục vụ business outcome, không chỉ checklist; (3) Có thể tích hợp security vào product backlog, làm security champion trong squad. Nếu bạn thuần kỹ thuật, hãy: (a) Học Scrum Foundation (2 ngày là đủ), (b) Đọc "Scrum Guide" và "Agile Estimating and Planning"; (c) Trong phỏng vấn, thể hiện bạn hiểu security là enabler chứ không phải blocker. TCB chấp nhận người đang chuyển đổi, không cần bạn là Agile guru.

Thành thật mà nói: khó cân bằng hoàn toàn, nhưng có thể quản lý được. Thực tế: (1) Khi có sự cố lớn, bạn sẽ phải xử lý đêm/ngày lễ – đây là inherent của InfoSec; (2) TCB văn hóa "chiến binh" = deadline aggressive, expectation cao; (3) Tuy nhiên TCB cũng đầu tư hạ tầng (có SOC 24/7 riêng, team on-call rotate), nên Senior Expert không phải là người gánh hết. Để cân bằng: (a) Xây dựng đội ngũ mạnh để delegate; (b) Rõ ràng với gia đình về on-call schedule; (c) Dùng automation nhiều hơn để giảm manual; (d) Đàm phán working hour flexibility khi offer. Nếu bạn cần 100% work-life balance, có thể cân nhắc vị trí ở NH nước ngoài hoặc fintech nhỏ hơn.

Đây là lợi thế rất lớn. Techcombank đang muốn nâng cấp security capability lên chuẩn quốc tế, nên candidate có kinh nghiệm nước ngoài (Singapore, Hong Kong, châu Âu) là profile rất hot. Tuy nhiên cần chuẩn bị: (1) Hiểu rõ context ngân hàng Việt Nam – Circular 17/2024-NHNN, Nghị định 13/2023 về data privacy, threat landscape local; (2) Vietnamese business culture – có thể khác nhiều nước ngoài, cần học cách "Việt hóa" approach; (3) Lương offer có thể cao hơn mặt bằng chung 30-50% vì rare skill; (4) Cân nhắc relocation package nếu đang ở nước ngoài. Nên apply và mention rõ bạn có global perspective và có thể bridge được chuẩn quốc tế với yêu cầu local.