Security Engineer (Pentest)

1. MÔ TẢ CÔNG VIỆC

Kiểm thử xâm nhập và đánh giá an toàn thông tin

• Thực hiện kiểm thử xâm nhập (Pentest) đối với các hệ thống Web, API, hạ tầng mạng và máy chủ theo kế hoạch.
• Phát hiện, khai thác và xác minh lỗ hổng bảo mật theo OWASP Top 10, OWASP API Security Top 10, OWASP MASVS và các tiêu chuẩn liên quan.
• Đánh giá cấu hình bảo mật, cơ chế phân quyền, xác thực, quản lý phiên và logic nghiệp vụ.
• Kết hợp công cụ tự động với kiểm thử thủ công nhằm nâng cao độ chính xác và hạn chế cảnh báo sai.

Báo cáo và phối hợp khắc phục

• Xây dựng báo cáo đánh giá bảo mật, mô tả lỗ hổng, bằng chứng khai thác (PoC), mức độ rủi ro theo CVSS, ảnh hưởng và phương án khắc phục.
• Phối hợp với các đội phát triển, vận hành để phân tích nguyên nhân, tư vấn khắc phục và kiểm thử lại (Retest).
• Theo dõi, đánh giá kết quả khắc phục lỗ hổng đến khi hoàn tất.

Nghiên cứu và phát triển năng lực

• Cập nhật các kỹ thuật tấn công, lỗ hổng CVE mới và xu hướng an toàn thông tin.
• Xây dựng, cải tiến công cụ, script, checklist và quy trình kiểm thử bảo mật nội bộ.
• Tham gia các hoạt động diễn tập an toàn thông tin, Red Team, Bug Bounty và các nhiệm vụ chuyên môn khác theo phân công.

2. YÊU CẦU ỨNG VIÊN

Yêu cầu bắt buộc

• Học vấn: Tốt nghiệp Đại học trở lên chuyên ngành An toàn thông tin hoặc ngành liên quan.
• Kinh nghiệm: Có từ 1–2 năm kinh nghiệm trong lĩnh vực Pentest, đánh giá bảo mật hoặc các vị trí liên quan.
• Kiến thức chuyên môn:
• Nắm vững các lỗ hổng bảo mật phổ biến như SQL Injection, XSS, CSRF, SSRF, XXE, IDOR, RCE, File Upload, Deserialization và Broken Access Control.
• Sử dụng thành thạo các công cụ kiểm thử như Burp Suite, Nmap, SQLMap, Nuclei, Metasploit, Nessus/OpenVAS, ffuf/Gobuster.
• Hiểu biết về TCP/IP, HTTP/HTTPS, DNS, TLS và các cơ chế xác thực như JWT, OAuth2, SAML.
• Có kiến thức cơ bản về hệ điều hành Linux/Windows và Active Directory.
• Có khả năng lập trình hoặc viết script bằng Python, Bash hoặc PowerShell.
• Kỹ năng và thái độ: Tư duy phân tích tốt, viết báo cáo kỹ thuật rõ ràng; có tinh thần trách nhiệm, tuân thủ nghiêm phạm vi kiểm thử, quy định bảo mật và đạo đức nghề nghiệp.

3. YÊU CẦU ƯU TIÊN

• Sở hữu các chứng chỉ chuyên môn như OSCP/OSCP+, eJPT, eWPT, GPEN, CompTIA Security+.
• Có kinh nghiệm rà soát mã nguồn (Source Code Review), triển khai DevSecOps hoặc sử dụng công cụ SAST/DAST.
• Từng phát hiện CVE, tham gia Bug Bounty hoặc đạt giải tại các cuộc thi CTF.
• Có khả năng đọc hiểu tài liệu kỹ thuật bằng tiếng Anh.

4. QUYỀN LỢI

• Mức lương cạnh tranh, thỏa thuận theo năng lực và kinh nghiệm (upto 50M).
• Được tham gia đầy đủ BHXH, BHYT, BHTN và hưởng các chế độ theo quy định của Công ty.
• Được hỗ trợ chi phí thi chứng chỉ quốc tế, đào tạo chuyên môn và tham dự hội thảo về an toàn thông tin theo chính sách Công ty.
• Làm việc trong môi trường chuyên nghiệp, tiếp cận các hệ thống quy mô lớn và có cơ hội thực chiến với nhiều bài toán bảo mật.
• Lộ trình phát triển nghề nghiệp rõ ràng: Pentester → Senior Pentester → Team Lead / Red Team / Security Researcher.

Địa điểm làm việc: Toà Vinacomin, số 3 Dương Đình Nghệ, Cầu Giấy, Hà Nội.

Ứng tuyển: Gửi CV về [email protected] của Công ty hoặc ứng tuyển trực tiếp qua LinkedIn.