Thực hiện pentest ứng dụng web, API và mobile app thuộc các sản phẩm của Công ty, gồm pentest trước khi tính năng được triển khai lên production, sau khi khắc phục lỗ hổng và theo yêu cầu đột xuất.
Làm đầu mối cho các đợt pentest và red team thuê ngoài: thống nhất scope, theo dõi tiến độ, xác minh finding, xác nhận khắc phục.
Xác minh kết quả secure code review: reproduce từng finding, loại bỏ false positive và phối hợp với các bên liên quan cho tới khi lỗ hổng được khắc phục. Tham gia thực hiện threat modeling cho các sản phẩm và tính năng mới.
Vận hành bộ công cụ SAST, DAST, SCA; triage lỗ hổng ứng dụng và đảm bảo lỗ hổng được khắc phục đúng thời hạn theo SLA của Công ty.
Lập báo cáo pentest kèm severity, ảnh hưởng nghiệp vụ và biện pháp khắc phục.
Cập nhật thông tin về lỗ hổng và kỹ thuật tấn công mới, đánh giá mức độ ảnh hưởng tới hệ thống của Công ty và đề xuất biện pháp xử lý.
Tốt nghiệp Đại học/Cao đẳng các chuyên ngành An Toàn Thông Tin, Công Nghệ Thông Tin, hoặc các chuyên ngành liên quan khác.
Tối thiểu 02 năm kinh nghiệm pentest ứng dụng web và API.
Nắm vững OWASP Top 10, OWASP API Security Top 10, OWASP ASVS và phương pháp kiểm thử theo OWASP WSTG; khai thác được các lỗ hổng như injection, XSS, broken access control, broken authentication, business logic flaw, unrestricted file upload, SSRF và XXE, kể cả tới mức remote code execution (RCE) khi điều kiện cho phép.
Ưu tiên ứng viên có chứng chỉ OSCP, Burp Suite Certified Practitioner, eWPTX, GWAPT, OSWE hoặc tương đương, có kinh nghiệm pentest hệ thống thanh toán và mobile app Android, iOS theo OWASP MASTG, và đọc hiểu được mã nguồn ứng dụng web.
Thành thạo kiểm thử thủ công ứng dụng và trinh sát hạ tầng; tự viết script bằng Python hoặc Bash để tự động hoá kiểm thử.
Hiểu được cơ chế của lỗ hổng, gồm nguyên nhân phát sinh và điều kiện khai thác, để reproduce finding và giải thích cho các bên liên quan.
Trình bày được lỗ hổng phù hợp với từng nhóm người nghe, từ người trực tiếp khắc phục tới cấp quản lý.
Lập được báo cáo pentest đầy đủ, rõ ràng: cách khai thác, severity, mức độ ảnh hưởng và biện pháp khắc phục.
Khả năng sử dụng
tiếng Anh, đọc hiểu tài liệu kỹ thuật.