Mô tả Công việc
JOB DESCRIPTION
Head of Information Security xây dựng và dẫn dắt chương trình an toàn thông tin trên toàn Công ty Cổ phần Chứng khoán HD (HDS), bao gồm quản trị rủi ro bảo mật, bảo mật vận hành, an toàn ứng dụng và ứng phó sự cố.
Vị trí phối hợp với các đơn vị công nghệ, sản phẩm, nghiệp vụ và chức năng kiểm soát để bảo vệ hệ thống giao dịch, sản phẩm số và dữ liệu khách hàng; nâng cao năng lực phát hiện, xử lý và khôi phục sau sự cố; đồng thời hỗ trợ Công ty đáp ứng các yêu cầu pháp lý và quản lý áp dụng.
JOB RESPONSIBILITIES
CHIẾN LƯỢC, QUẢN TRỊ RỦI RO VÀ TUÂN THỦ
Xây dựng chiến lược, lộ trình an toàn thông tin trong 12-24 tháng và đề xuất ngân sách dựa trên mức độ rủi ro; tham chiếu các khung thực hành phù hợp như ISO/IEC 27001 và NIST Cybersecurity Framework.
Xây dựng, cập nhật chính sách và tiêu chuẩn bảo mật, trình phê duyệt và tổ chức triển khai theo thẩm quyền, quy trình của Công ty.
Tổ chức đánh giá rủi ro định kỳ đối với hệ thống, dữ liệu, sản phẩm số và bên thứ ba; duy trì danh mục rủi ro, theo dõi phương án xử lý và trình cấp có thẩm quyền quyết định đối với rủi ro vượt ngưỡng chấp nhận.
Phối hợp với Pháp chế, Tuân thủ, Kiểm toán và các đơn vị liên quan để xác định, triển khai yêu cầu pháp lý áp dụng; chuẩn bị cho các đợt kiểm tra, đánh giá và theo dõi việc khắc phục phát hiện. Làm đầu mối chuyên môn với cơ quan quản lý theo phân quyền.
BẢO MẬT VẬN HÀNH VÀ GIÁM SÁT
Phối hợp với đội ngũ hạ tầng thiết kế, giám sát các kiểm soát bảo mật cho hệ thống trọng yếu, bao gồm phân vùng mạng, bảo vệ ứng dụng công khai, chống DDoS, bảo mật thiết bị đầu cuối, email và cấu hình hệ thống.
Thiết lập năng lực giám sát an ninh cho hệ thống giao dịch và các dịch vụ trọng yếu thông qua đội ngũ nội bộ hoặc SOC/MSSP; quản lý quy trình phát hiện, phân loại, chuyển cấp và xử lý cảnh báo với các chỉ số hiệu quả phù hợp.
Quản lý chương trình phát hiện lỗ hổng và theo dõi khắc phục, cập nhật bản vá theo mức độ rủi ro; giám sát kiểm soát định danh, xác thực đa yếu tố, tài khoản đặc quyền và việc rà soát quyền truy cập định kỳ.
Phối hợp với các đơn vị vận hành kiểm tra khả năng sao lưu, khôi phục dữ liệu và hệ thống trọng yếu.
AN TOÀN ỨNG DỤNG, DỮ LIỆU VÀ BÊN THỨ BA
Đưa yêu cầu bảo mật vào vòng đời
phát triển phần mềm; phối hợp với các đội sản phẩm và kỹ thuật triển khai phân tích mối đe dọa, kiểm tra mã nguồn, thư viện phụ thuộc và cấu hình bảo mật trong quy trình CI/CD theo mức độ rủi ro.
Xây dựng tiêu chuẩn bảo mật cho ứng dụng web, mobile và API, chú trọng xác thực, quản lý phiên, bảo vệ dữ liệu cá nhân và thông tin giao dịch; tổ chức kiểm thử xâm nhập và theo dõi khắc phục đối với hệ thống trọng yếu.
Đánh giá rủi ro bảo mật của nhà cung cấp và hệ thống do đối tác phát triển hoặc vận hành; phối hợp xác định yêu cầu bảo mật trong hợp đồng, kiểm soát quyền truy cập, trách nhiệm thông báo sự cố và tiêu chí nghiệm thu an toàn trước khi đưa vào sử dụng.
ỨNG PHÓ SỰ CỐ VÀ PHÁT TRIỂN NĂNG LỰC TỔ CHỨC
Xây dựng, duy trì và diễn tập phương án ứng phó với các tình huống như mã độc tống tiền, rò rỉ dữ liệu, chiếm đoạt tài khoản, DDoS và sự cố từ nhà cung cấp; điều phối xử lý kỹ thuật, điều tra và rút kinh nghiệm sau sự cố.
Phối hợp diễn tập khôi phục thảm họa; tham gia xử lý hành vi mạo danh thương hiệu hoặc ứng dụng nhằm vào khách hàng. Hỗ trợ thực hiện thông báo sự cố theo quy trình, thẩm quyền và thời hạn áp dụng.
Tuyển dụng, dẫn dắt và phát triển đội ngũ an toàn thông tin theo cơ cấu được phê duyệt; quản lý hiệu quả nhà cung cấp SOC/MSSP và triển khai chương trình nâng cao nhận thức bảo mật, đào tạo secure coding.
Báo cáo định kỳ cho lãnh đạo về tình hình an toàn thông tin, hiệu quả kiểm soát và tác động của rủi ro đối với hoạt động kinh doanh; đề xuất ưu tiên và nguồn lực xử lý.
Yêu Cầu Công Việc
REQUIRED QUALIFICATIONS
Có tối thiểu 8-10 năm kinh nghiệm trong lĩnh vực CNTT hoặc an toàn thông tin, trong đó ít nhất 4 năm quản lý chương trình hoặc đội ngũ an toàn thông tin.
Đã xây dựng hoặc nâng cấp chương trình an toàn thông tin ở cấp tổ chức; có kinh nghiệm đánh giá rủi ro, xây dựng chính sách và làm việc với kiểm toán, bộ phận tuân thủ hoặc cơ quan quản lý.
Có kinh nghiệm quản lý bảo mật vận hành, bao gồm giám sát an ninh, SIEM/EDR, quản lý lỗ hổng, IAM/PAM và SOC nội bộ hoặc dịch vụ MSSP; đã tham gia chỉ huy một sự cố nghiêm trọng hoặc chủ trì diễn tập ứng phó ở quy mô tổ chức.
Hiểu thực tiễn an toàn ứng dụng và DevSecOps, bao gồm bảo mật trong CI/CD, phân tích mối đe dọa, kiểm thử bảo mật, API và ứng dụng mobile; có khả năng làm việc với đội phát triển để ưu tiên khắc phục theo rủi ro.
Hiểu các yêu cầu pháp lý và quản lý tại Việt Nam liên quan đến an toàn hệ thống thông tin, an ninh mạng, bảo vệ dữ liệu cá nhân và hoạt động chứng khoán; có khả năng phối hợp với Pháp chế, Tuân thủ để xác định nghĩa vụ áp dụng cho từng hệ thống và hoạt động.
Có kinh nghiệm dẫn dắt đội ngũ, quản lý nhà cung cấp và truyền đạt vấn đề bảo mật cho lãnh đạo dưới góc độ rủi ro kinh doanh.
Sử dụng được
tiếng Anh để đọc tiêu chuẩn, tài liệu kỹ thuật và làm việc với đối tác.
PREFERRED QUALIFICATIONS
Có kinh nghiệm tại công ty chứng khoán, ngân hàng hoặc tổ chức tài chính có yêu cầu quản lý chặt chẽ.
Có kinh nghiệm bảo vệ hệ thống giao dịch trực tuyến, kết nối thị trường, ứng dụng tài chính mobile hoặc môi trường có nhiều hệ thống do nhà cung cấp triển khai, vận hành.
Có chứng chỉ phù hợp như CISSP, CISM, CRISC, ISO/IEC 27001 Lead Implementer/Lead Auditor hoặc chứng chỉ chuyên sâu về an toàn ứng dụng, ứng phó sự cố hay bảo mật cloud.
ABOUT US
Công ty Cổ phần Chứng khoán HD (HDS) hoạt động từ năm 2006 trong lĩnh vực chứng khoán và tài chính. Công ty cung cấp các dịch vụ chứng khoán, đầu tư, tư vấn tài chính, đồng thời phát triển sản phẩm và nền tảng số
phục vụ hoạt động kinh doanh.
Trong môi trường chứng khoán, tính sẵn sàng của hệ thống, sự an toàn của giao dịch và việc bảo vệ dữ liệu khách hàng có ảnh hưởng trực tiếp đến trải nghiệm dịch vụ và khả năng vận hành liên tục. Vì vậy, an toàn thông tin tại HDS không chỉ là vấn đề kỹ thuật mà còn là một phần quan trọng của quản trị rủi ro và phát triển sản phẩm số.
ABOUT THE TEAM
Chức năng An toàn thông tin phối hợp với các đội hạ tầng, phát triển phần mềm, sản phẩm và các đơn vị nghiệp vụ để đưa yêu cầu bảo mật vào thiết kế, triển khai và vận hành hệ thống. Đội ngũ cũng làm việc với Pháp chế, Tuân thủ và các chức năng kiểm soát để đánh giá rủi ro, theo dõi biện pháp xử lý và chuẩn bị cho các yêu cầu kiểm tra, đánh giá.
Ở vai trò Head of Information Security, ứng viên định hình chương trình an toàn thông tin và phát triển năng lực đội ngũ theo cơ cấu, nguồn lực được phê duyệt. Vị trí chịu trách nhiệm đưa ra đánh giá, cảnh báo và kiến nghị bảo mật một cách khách quan; các quyết định chấp nhận rủi ro, phê duyệt đầu tư và vận hành hệ thống được thực hiện theo phân quyền của Công ty.
WHAT WE OFFER
Lương cạnh tranh, thỏa thuận theo năng lực và kinh nghiệm; thưởng theo kết quả công việc và chính sách của HDS.
Tham gia BHXH, BHYT, BHTN, nghỉ phép và hưởng các phúc lợi khác theo quy định pháp luật, chính sách Công ty.
Cơ hội xây dựng năng lực an toàn thông tin trên phạm vi toàn Công ty và định hình cách HDS bảo vệ hệ thống giao dịch, sản phẩm số và dữ liệu khách hàng.