IPAS - Application Security Engineer

MỤC TIÊU VỊ TRÍ
Thực hiện đánh giá bảo mật ứng dụng và hỗ trợ Secure SDLC cho các sản phẩm, đảm bảo tuân thủ các chuẩn bảo mật (PCI-DSS, Nghị định 13), dưới sự dẫn dắt của Senior Application Security Engineer.
MÔ TẢ CÔNG VIỆC
1. Secure review & hỗ trợ đánh giá pre-golive
Thực hiện security review, secure code review theo checklist cho sản phẩm/tính năng trước golive.
Hỗ trợ Senior AppSec trong threat modeling và secure design.
2. Xử lý finding SAST/DAST & tư vấn dev
Triage & xác thực finding từ SAST/DAST/SCA, loại bỏ false positive.
Tư vấn đội phát triển cách khắc phục, hướng dẫn secure coding.
3. Bảo mật thanh toán & dữ liệu cá nhân
Rà soát bảo mật các luồng thanh toán, đảm bảo tuân thủ PCI-DSS.
Đảm bảo xử lý dữ liệu cá nhân tuân thủ Nghị định 13.
4. Hỗ trợ Security Champion & đào tạo
Tham gia workshop, xây dựng tài liệu secure coding.
Hỗ trợ đội dev xử lý vấn đề bảo mật phát sinh.
5. Hỗ trợ quản lý lỗ hổng
Theo dõi trạng thái khắc phục lỗ hổng ứng dụng.
Cập nhật dashboard cùng Vulnerability Management Analyst.
CHÂN DUNG ỨNG VIÊN
1. Trình độ học vấn:
Tốt nghiệp Đại học chuyên ngành CNTT, An toàn thông tin hoặc chuyên ngành liên quan; kinh nghiệm thực tế tương đương có thể thay thế.
eWPT, CEH, CompTIA Security+, OSCP (định hướng).
Chứng chỉ AI security (CAISP) là lợi thế.
2. Kinh nghiệm:
Tối thiểu 3 năm kinh nghiệm.
3. Kiến thức & Kỹ năng chuyên môn:
3.1. Kỹ năng chuyên môn
3+ năm AppSec hoặc lập trình viên có nền bảo mật.
Yêu cầu biết lập trình: đọc & viết được code (Java/JavaScript/Python/.NET).
Nắm OWASP Top 10, web/API security, secure coding.
Thành thạo SAST/DAST/SCA (SonarQube, Burp Suite, OWASP ZAP, Snyk).
Hiểu bảo mật container (Docker), Kubernetes và kiến trúc cloud-native.
Nền tảng PCI-DSS và bảo vệ dữ liệu cá nhân (Nghị định 13).
3.2. Kỹ năng theo ngành
Hiểu biết thanh toán / e-commerce là lợi thế.
Nắm PCI-DSS, ISO 27001.
3.3. Kỹ năng số
AI/LLM security cơ bản: OWASP LLM Top 10, prompt injection, rò rỉ dữ liệu qua model.
Software supply chain: SBOM & SCA.
Dùng AI hỗ trợ review code & phân tích lỗ hổng.
4. Yêu cầu khác
Thực thi độc lập security review & triage finding dưới định hướng của Senior; xử lý phần lớn ca phổ biến và biết khi nào cần leo thang.
Giao tiếp rõ ràng với đội dev; tinh thần học hỏi, cập nhật kỹ thuật mới.
ĐẶC QUYỀN & ĐÃI NGỘ
Thu nhập linh hoạt & Cạnh tranh: Nhận mức lương cố định tương xứng với năng lực và các khoản thưởng hấp dẫn dựa trên hiệu suất đóng góp thực tế tại các dự án.
Lộ trình phát triển sự nghiệp rõ ràng
Phúc lợi & điều kiện làm việc: Cơ chế chuyển đổi trạng thái (Active Cool-down): Sau các chiến dịch hoặc dự án dài hạn liên tục, công ty ưu tiên tạo không gian và thời gian để bạn chuyển đổi trạng thái sang nghỉ ngơi, đào tạo và phục hồi năng lượng, chuẩn bị cho những nấc thang tiếp theo.
Đầy đủ các chế độ bảo hiểm, y tế, phúc lợi theo quy định của Nhà nước và các chính sách ưu việt riêng của Tập đoàn.
Môi trường làm việc cởi mở, minh bạch và số hóa toàn diện.
Gói bảo hiểm sức khỏe cao cấp và bảo hiểm tai nạn 24/24 ngoài chính sách BHXH, BHYT theo quy định của nhà nước BHTN
Các chương trình đào tạo phát triển năng lực cá nhân, chương trình gắn kết đội ngũ, retreat, teambuilding.