Head of Information Security

Mô tả Công việc
JOB DESCRIPTION
Head of Information Security xây dựng và dẫn dắt chương trình an toàn thông tin trên toàn Công ty Cổ phần Chứng khoán HD (HDS), bao gồm quản trị rủi ro bảo mật, bảo mật vận hành, an toàn ứng dụng và ứng phó sự cố.
Vị trí phối hợp với các đơn vị công nghệ, sản phẩm, nghiệp vụ và chức năng kiểm soát để bảo vệ hệ thống giao dịch, sản phẩm số và dữ liệu khách hàng; nâng cao năng lực phát hiện, xử lý và khôi phục sau sự cố; đồng thời hỗ trợ Công ty đáp ứng các yêu cầu pháp lý và quản lý áp dụng.
JOB RESPONSIBILITIES
CHIẾN LƯỢC, QUẢN TRỊ RỦI RO VÀ TUÂN THỦ
Xây dựng chiến lược, lộ trình an toàn thông tin trong 12-24 tháng và đề xuất ngân sách dựa trên mức độ rủi ro; tham chiếu các khung thực hành phù hợp như ISO/IEC 27001 và NIST Cybersecurity Framework.
Xây dựng, cập nhật chính sách và tiêu chuẩn bảo mật, trình phê duyệt và tổ chức triển khai theo thẩm quyền, quy trình của Công ty.
Tổ chức đánh giá rủi ro định kỳ đối với hệ thống, dữ liệu, sản phẩm số và bên thứ ba; duy trì danh mục rủi ro, theo dõi phương án xử lý và trình cấp có thẩm quyền quyết định đối với rủi ro vượt ngưỡng chấp nhận.
Phối hợp với Pháp chế, Tuân thủ, Kiểm toán và các đơn vị liên quan để xác định, triển khai yêu cầu pháp lý áp dụng; chuẩn bị cho các đợt kiểm tra, đánh giá và theo dõi việc khắc phục phát hiện. Làm đầu mối chuyên môn với cơ quan quản lý theo phân quyền.
BẢO MẬT VẬN HÀNH VÀ GIÁM SÁT
Phối hợp với đội ngũ hạ tầng thiết kế, giám sát các kiểm soát bảo mật cho hệ thống trọng yếu, bao gồm phân vùng mạng, bảo vệ ứng dụng công khai, chống DDoS, bảo mật thiết bị đầu cuối, email và cấu hình hệ thống.
Thiết lập năng lực giám sát an ninh cho hệ thống giao dịch và các dịch vụ trọng yếu thông qua đội ngũ nội bộ hoặc SOC/MSSP; quản lý quy trình phát hiện, phân loại, chuyển cấp và xử lý cảnh báo với các chỉ số hiệu quả phù hợp.
Quản lý chương trình phát hiện lỗ hổng và theo dõi khắc phục, cập nhật bản vá theo mức độ rủi ro; giám sát kiểm soát định danh, xác thực đa yếu tố, tài khoản đặc quyền và việc rà soát quyền truy cập định kỳ.
Phối hợp với các đơn vị vận hành kiểm tra khả năng sao lưu, khôi phục dữ liệu và hệ thống trọng yếu.
AN TOÀN ỨNG DỤNG, DỮ LIỆU VÀ BÊN THỨ BA
Đưa yêu cầu bảo mật vào vòng đời phát triển phần mềm; phối hợp với các đội sản phẩm và kỹ thuật triển khai phân tích mối đe dọa, kiểm tra mã nguồn, thư viện phụ thuộc và cấu hình bảo mật trong quy trình CI/CD theo mức độ rủi ro.
Xây dựng tiêu chuẩn bảo mật cho ứng dụng web, mobile và API, chú trọng xác thực, quản lý phiên, bảo vệ dữ liệu cá nhân và thông tin giao dịch; tổ chức kiểm thử xâm nhập và theo dõi khắc phục đối với hệ thống trọng yếu.
Đánh giá rủi ro bảo mật của nhà cung cấp và hệ thống do đối tác phát triển hoặc vận hành; phối hợp xác định yêu cầu bảo mật trong hợp đồng, kiểm soát quyền truy cập, trách nhiệm thông báo sự cố và tiêu chí nghiệm thu an toàn trước khi đưa vào sử dụng.
ỨNG PHÓ SỰ CỐ VÀ PHÁT TRIỂN NĂNG LỰC TỔ CHỨC
Xây dựng, duy trì và diễn tập phương án ứng phó với các tình huống như mã độc tống tiền, rò rỉ dữ liệu, chiếm đoạt tài khoản, DDoS và sự cố từ nhà cung cấp; điều phối xử lý kỹ thuật, điều tra và rút kinh nghiệm sau sự cố.
Phối hợp diễn tập khôi phục thảm họa; tham gia xử lý hành vi mạo danh thương hiệu hoặc ứng dụng nhằm vào khách hàng. Hỗ trợ thực hiện thông báo sự cố theo quy trình, thẩm quyền và thời hạn áp dụng.
Tuyển dụng, dẫn dắt và phát triển đội ngũ an toàn thông tin theo cơ cấu được phê duyệt; quản lý hiệu quả nhà cung cấp SOC/MSSP và triển khai chương trình nâng cao nhận thức bảo mật, đào tạo secure coding.
Báo cáo định kỳ cho lãnh đạo về tình hình an toàn thông tin, hiệu quả kiểm soát và tác động của rủi ro đối với hoạt động kinh doanh; đề xuất ưu tiên và nguồn lực xử lý.