* Nhiệm vụ:
- Chuyên viên cao cấp kiểm soát IT (IT Audit) chịu trách nhiệm thực hiện các hoạt động đánh giá/
kiểm soát liên quan đến hệ thống thông tin và công nghệ trong công ty, nhằm đảm bảo tính tuân thủ
và hiệu quả trong quản lý rủi ro công nghệ thông tin (CNTT).
* Trách nhiệm:
- Đánh giá/ Kiểm soát hệ thống CNTT:
• Kiểm soát các hệ thống ứng dụng, cơ sở dữ liệu, hệ thống mạng, và cơ sở hạ tầng IT nhằm đánh
giá tính bảo mật, độ tin cậy, tính toàn vẹn và tính sẵn sàng của các hệ thống CNTT.
• Đảm bảo rằng các hệ thống và quy trình IT tuân thủ theo các chính sách, quy định nội bộ, các
yêu cầu của pháp luật và các bên liên quan, cũng như đáp ứng các khuôn khổ/ tiêu chuẩn quốc tế
như ISO 27001, ISO 20000-1, PCIDSS, GDPR, COBIT, ITIL, NIST...
• Đánh giá và kiểm tra tính hiệu quả của các biện pháp
kiểm soát nội bộ liên quan đến CNTT.
• Phân tích các rủi ro liên quan đến CNTT và đưa ra các đề xuất cải tiến.
• Theo dõi việc thực hiện các biện pháp khắc phục sau đánh giá.
- Đánh giá/ Kiểm soát an toàn thông tin:
• Đánh giá hệ thống bảo mật, quản lý rủi ro thông tin, và kiểm tra khả năng phản ứng với các sự
cố an toàn thông tin.
• Kiểm tra các biện pháp kiểm soát quyền truy cập và bảo vệ dữ liệu cá nhân.
- Đánh giá/ Kiểm soát tính liên tục trong kinh doanh và quản lý sự cố:
• Đánh giá kế hoạch khôi phục sau thảm họa và kế hoạch đảm bảo tính liên tục trong hoạt động
CNTT của tổ chức.
• Đảm bảo các kế hoạch quản lý sự cố được thiết lập đầy đủ và phù hợp với tiêu chuẩn ngành.
- Báo cáo kiểm soát và tư vấn:
• Chuẩn bị báo cáo kiểm toán chi tiết về những phát hiện, rủi ro và khuyến nghị.
• Cung cấp tư vấn và hỗ trợ cho các phòng ban liên quan về các vấn đề tuân thủ CNTT và quản lý
rủi ro.
- Kiến thức chuyên môn:
• Hiểu biết về cấu trúc, chức năng và các thành phần của hệ thống CNTT, bao gồm mạng, máy chủ, cơ sở dữ liệu, phần mềm và phần cứng.
• Hiểu về
kiến trúc hệ thống thông tin và các môi trường IT phức tạp.
• Kiến thức về các phương pháp quản lý rủi ro CNTT, bao gồm xác định, đánh giá và kiểm soát rủi ro.
• Hiểu rõ các biện pháp kiểm soát nội bộ nhằm đảm bảo tính bảo mật, toàn vẹn, tính sẵn sàng và tính tuân thủ của hệ thống thông tin.
• Hiểu biết về bảo mật hệ thống, bảo vệ dữ liệu, và các phương pháp bảo mật ứng dụng và mạng.
• Am hiểu về các chính sách, tiêu chuẩn và công cụ bảo mật thông tin.
• Kiến thức về quy định và pháp luật liên quan đến CNTT, các tiêu chuẩn/ framework quốc tế như ISO 27001, ISO 20000-1, PCIDSS, GDPR, COBIT, ITIL, NIST... Khả năng đánh giá sự tuân thủ của doanh nghiệp đối với các tiêu chuẩn và quy định này.
- Kỹ năng:
• Kỹ năng kiểm toán CNTT: Có khả năng lập kế hoạch, thực hiện kiểm toán hệ thống CNTT, đánh giá các biện pháp kiểm soát và cung cấp các báo cáo chính xác về tình trạng của hệ thống.
• Kỹ năng phân tích rủi ro: Khả năng xác định, đánh giá các lỗ hổng bảo mật và rủi ro tiềm tàng, từ đó đề xuất các biện pháp khắc phục phù hợp.
• Kỹ năng giao tiếp: Có khả năng truyền đạt thông tin rõ ràng và dễ hiểu, giải thích các vấn đề kỹ thuật phức tạp cho các bên liên quan không chuyên về CNTT. Kỹ năng trình bày và thuyết phục trong các cuộc họp với
quản lý cấp cao và các phòng ban khác.
• Kỹ năng báo cáo: Khả năng tổng hợp thông tin và viết các báo cáo kiểm toán chi tiết về các phát hiện, khuyến nghị và rủi ro. Kỹ năng trình bày số liệu một cách logic và thuyết phục.
• Kỹ năng tổ chức và quản lý thời gian: Khả năng làm việc độc lập và theo nhóm, quản lý thời gian và tổ chức công việc hiệu quả để hoàn thành đúng tiến độ.
• Kỹ năng phân tích và giải quyết vấn đề: Khả năng suy nghĩ chiến lược và phân tích các vấn đề phức tạp để tìm ra giải pháp kiểm soát rủi ro thích hợp.
- Chứng chỉ và đào tạo:
• Tốt nghiệp Đại học trở lên, các chuyên ngành CNTT, An toàn thông tin... hoặc tương đương.
• Ưu tiên các ứng viên có các chứng chỉ liên quan như: CISA; ISO 27001/ ISO 20000-1 Lead Auditor; PCIDSS...
- Kinh nghiệm:
• Có trên 3 năm kinh nghiệm thực tiễn trong kiểm toán các hệ thống CNTT.
• Có kinh nghiệm đánh giá rủi ro và triển khai các biện pháp kiểm soát rủi ro an toàn thông tin.
• Có kinh nghiệm làm việc với các quy định pháp lý liên quan đến CNTT và tuân thủ tiêu chuẩn quốc tế.