Kỹ Sư Chính Sách An Toàn Thông Tin Công việc

Mô tả công việc

Kỹ sư Chính sách An toàn thông tin tại Tổng công ty Giải pháp doanh nghiệp Viettel. Chịu trách nhiệm thực hiện kiểm thử xâm nhập (Penetration Testing), đánh giá lỗ hổng bảo mật kiểm soát toàn diện chu kỳ phát triển phần mềm (DevSecOps/SDLC).

Trách nhiệm công việc

Chịu trách nhiệm thực hiện kiểm thử xâm nhập (Penetration Testing), đánh giá lỗ hổng bảo mật kiểm soát toàn diện chu kỳ phát triển phần mềm (DevSecOps/SDLC)
Đảm bảo các ứng dụng (Web, Mobile, API, Hệ thống nội bộ) trước khi golive và trong quá trình vận hành đều tuân thủ các tiêu chuẩn bảo mật
Chủ trì thực hiện kiểm thử xâm nhập (Black-box, Gray-box, White-box) vào các ứng dụng Web, App Mobile (iOS/Android), API/Web Services và hệ thống vi dịch vụ (Microservices)
Thực hiện rà soát, đánh giá mã nguồn (Source Code Review/SAST) để phát hiện sớm các lỗ hổng logic nghiệp vụ và kiến trúc hệ thống
Đánh giá cấu hình an toàn thông tin của hạ tầng ứng dụng (Container, Kubernetes, Cloud Services nếu có liên quan)
Tham gia xây dựng, thiết lập và tối ưu hóa các công cụ quét tự động (SAST, DAST, SCA) vào đường ống CI/CD (Jenkins, GitLab CI, GitHub Actions...)
Phối hợp cùng đội ngũ Phát triển phần mềm (Developers) và Kiến trúc sư (Architects) để tư vấn phương án khắc phục (Remediation) các lỗ hổng bảo mật sau đánh giá
Nghiên cứu, cập nhật các xu hướng tấn công mới và xây dựng các bộ tiêu chuẩn, checklist đánh giá ATTT ứng dụng dựa trên các khung chuẩn quốc tế (OWASP Top 10, ASVS, SANS...)
Tham gia thẩm định, đánh giá ATTT đối với các giải pháp kỹ thuật, phần mềm từ các đối tác hoặc nhà thầu bên ngoài (Supply Chain Security)
Lập báo cáo kỹ thuật chi tiết về các lỗ hổng phát hiện được và báo cáo tổng hợp rủi ro cho cấp quản lý

Yêu cầu

Tốt nghiệp Đại học loại Khá trở lên chuyên ngành CNTT, An toàn thông tin, Điện tử viễn thông hoặc các chuyên ngành liên quan
Tối thiểu 2 - 5 năm kinh nghiệm thực tế trong lĩnh vực Pentest ứng dụng hoặc Đánh giá ATTT hệ thống phần mềm (tùy thuộc level Tuyển dụng)
Tiếng anh 650 Toeic hoặc các chứng chỉ tương đương khác
Hiểu rõ về các lỗ hổng bảo mật phổ biến (OWASP Top 10, CWE/SANS Top 25) và cách thức khai thác/phòng chống
Có khả năng đọc hiểu tốt mã nguồn của ít nhất một trong các ngôn ngữ lập trình phổ biến: Java, .NET, Python, Go, Node.js
Sử dụng thành thạo các công cụ đánh giá chuyên dụng (Burp Suite Pro, Acunetix, Fortify, SonarQube, Checkmarx, Kali Linux, SQLmap...)
Hiểu sâu về kiến trúc hệ điều hành (Linux/Windows), giao thức mạng (TCP/IP, HTTP/HTTPS) và cơ chế xác thực (OAuth2, JWT, SAML)