Cyber Security Engineer (Penetration Tester)

Payoo, One-Stop Payment
- Một điểm đến cho mọi thanh toán, thuộc Công ty Cổ phần Dịch vụ Trực tuyến Cộng Đồng Việt (VietUnion), được đầu tư bởi Công ty Cổ phần Xây dựng Sài Gòn và NTT Data - Tập đoàn Công nghệ Thông tin hàng đầu Nhật Bản.
Với hơn 15 năm kinh nghiệm trong lĩnh vực trung gian thanh toán, Payoo đã kết nối hơn 2.000 doanh nghiệp hàng đầu Việt Nam với hơn 100 ngân hàng, công ty tài chính và bảo hiểm. Thông qua các sản phẩm và dịch vụ do Payoo cung cấp, chỉ thông qua một kết nối duy nhất, doanh nghiệp có thể chấp nhận mọi hình thức thanh toán, mọi lúc và mọi nơi một cách an toàn và nhanh chóng. Dịch vụ thanh toán của Payoo giúp khách hàng thanh toán hơn 1.000 loại hóa đơn dịch vụ trên cả trực tuyến và trực tiếp tại hơn 25.000 điểm thanh toán có uy tín và quen thuộc phủ sóng tại 63 tỉnh thành trên toàn quốc.
Vị trí công việc:
Cyber Security Engineer (Penetration Tester)
Địa điểm làm việc:
Tòa nhà Harbour View Tower, Số 35 Nguyễn Huệ, Phường Sài Gòn, TP.HCM.
Mô tả công việc:
Thực hiện pentest ứng dụng web, API và mobile app thuộc các sản phẩm của Công ty, gồm pentest trước khi tính năng được triển khai lên production, sau khi khắc phục lỗ hổng và theo yêu cầu đột xuất.
Làm đầu mối cho các đợt pentest và red team thuê ngoài: thống nhất scope, theo dõi tiến độ, xác minh finding, xác nhận khắc phục.
Xác minh kết quả secure code review: reproduce từng finding, loại bỏ false positive và phối hợp với các bên liên quan cho tới khi lỗ hổng được khắc phục. Tham gia thực hiện threat modeling cho các sản phẩm và tính năng mới.
Vận hành bộ công cụ SAST, DAST, SCA; triage lỗ hổng ứng dụng và đảm bảo lỗ hổng được khắc phục đúng thời hạn theo SLA của Công ty.
Lập báo cáo pentest kèm severity, ảnh hưởng nghiệp vụ và biện pháp khắc phục.
Cập nhật thông tin về lỗ hổng và kỹ thuật tấn công mới, đánh giá mức độ ảnh hưởng tới hệ thống của Công ty và đề xuất biện pháp xử lý.
Yêu cầu công việc:
Tốt nghiệp Đại học/Cao đẳng các chuyên ngành An Toàn Thông Tin, Công Nghệ Thông Tin, hoặc các chuyên ngành liên quan khác.
Tối thiểu 02 năm kinh nghiệm pentest ứng dụng web và API.
Nắm vững OWASP Top 10, OWASP API Security Top 10, OWASP ASVS và phương pháp kiểm thử theo OWASP WSTG; khai thác được các lỗ hổng như injection, XSS, broken access control, broken authentication, business logic flaw, unrestricted file upload, SSRF và XXE, kể cả tới mức remote code execution (RCE) khi điều kiện cho phép.
Ưu tiên ứng viên có chứng chỉ OSCP, Burp Suite Certified Practitioner, eWPTX, GWAPT, OSWE hoặc tương đương, có kinh nghiệm pentest hệ thống thanh toán và mobile app Android, iOS theo OWASP MASTG, và đọc hiểu được mã nguồn ứng dụng web.
Thành thạo kiểm thử thủ công ứng dụng và trinh sát hạ tầng; tự viết script bằng Python hoặc Bash để tự động hoá kiểm thử.
Hiểu được cơ chế của lỗ hổng, gồm nguyên nhân phát sinh và điều kiện khai thác, để reproduce finding và giải thích cho các bên liên quan.
Trình bày được lỗ hổng phù hợp với từng nhóm người nghe, từ người trực tiếp khắc phục tới cấp quản lý.
Lập được báo cáo pentest đầy đủ, rõ ràng: cách khai thác, severity, mức độ ảnh hưởng và biện pháp khắc phục.
Khả năng sử dụng tiếng Anh, đọc hiểu tài liệu kỹ thuật.
Quyền lợi:
Môi trường fintech năng động, cập nhật nhiều công nghệ mới.
Đánh giá công việc theo quý với mức thưởng kèm theo, lương tháng 13+.
Bảo hiểm sức khỏe toàn diện (có hỗ trợ cho người thân); bảo hiểm 24/24 và BHXH; khám sức khỏe định kỳ.
Du lịch, teambuilding: ít nhất 2 lần/năm đi trong nước hoặc nước ngoài.
Hoạt động đào tạo: nhiều lớp đào tạo nâng cao chuyên môn, kỹ năng, cập nhật công nghệ...
Hỗ trợ học phí đào tạo theo đề xuất của nhân viên; trợ cấp chứng chỉ tiếng Anh hàng tháng.
Thông tin liên hệ và ứng tuyển:
📩 Email: [protected info]
📞 Phone: [protected info] (Mr. Phát)