Tuyển dụng Head of Information Security tại Hồ Chí Minh

1. MỤC TIÊU VỊ TRÍ / POSITION PURPOSE

• Xây dựng và dẫn dắt chương trình an toàn thông tin trên toàn HDS, bao gồm quản trị rủi ro, bảo mật vận hành, an toàn ứng dụng và ứng phó sự cố. Vị trí có nhiệm vụ bảo vệ hệ thống giao dịch, sản phẩm số và dữ liệu khách hàng; nâng cao khả năng phát hiện, khôi phục sau sự cố; đồng thời hỗ trợ HDS đáp ứng các yêu cầu pháp lý và quản lý áp dụng.
• Build and lead HDS’s company-wide information security programme, covering risk governance, security operations, application security and incident response. The role protects trading systems, digital products and customer data; strengthens detection and recovery capabilities; and supports compliance with applicable legal and regulatory requirements.

2. MÔ TẢ CÔNG VIỆC / KEY RESPONSIBILITIES

• 2.1. Chiến lược, quản trị rủi ro & tuân thủ / Security Strategy, Risk Governance & Compliance
• Xây dựng chiến lược, lộ trình an toàn thông tin 12–24 tháng và kế hoạch ngân sách dựa trên rủi ro; tham chiếu các khung thực hành phù hợp như ISO/IEC 27001 và NIST CSF. Ban hành, cập nhật chính sách và tiêu chuẩn bảo mật áp dụng trên toàn HDS.
• Develop a risk-based 12–24-month security strategy, roadmap and budget, drawing on relevant frameworks such as ISO/IEC 27001 and NIST CSF. Establish and maintain company-wide security policies and standards.
• Tổ chức đánh giá rủi ro định kỳ đối với hệ thống, dữ liệu, sản phẩm số và bên thứ ba; duy trì danh mục rủi ro, theo dõi phương án xử lý và trình cấp có thẩm quyền quyết định đối với rủi ro vượt ngưỡng chấp nhận.
• Conduct periodic risk assessments across systems, data, digital products and third parties; maintain a risk register, track remediation and escalate risks exceeding approved tolerance for decision by the appropriate authority.
• 2.2. Bảo mật vận hành & giám sát / Security Operations & Monitoring
• Phối hợp với đội hạ tầng thiết kế và giám sát các kiểm soát bảo mật cho hệ thống trọng yếu, bao gồm phân vùng mạng, bảo vệ ứng dụng công khai, chống DDoS, bảo mật thiết bị đầu cuối, email và cấu hình hệ thống.
• Work with infrastructure teams to design and oversee security controls for critical systems, including network segmentation, protection of internet-facing applications, DDoS defence, endpoint and email security, and system hardening.
• Thiết lập năng lực giám sát và xử lý cảnh báo cho hệ thống giao dịch và dịch vụ trọng yếu thông qua đội nội bộ hoặc SOC/MSSP; quản lý quy trình phát hiện, phân loại, chuyển cấp và xử lý sự kiện với các chỉ số hiệu quả phù hợp.
• Establish monitoring and alert-handling capabilities for trading and other critical services through an internal team or SOC/MSSP; manage detection, triage, escalation and response processes with appropriate performance metrics.
• Quản lý chương trình lỗ hổng và phối hợp xử lý bản vá theo mức độ rủi ro; giám sát kiểm soát định danh, MFA, tài khoản đặc quyền và rà soát quyền truy cập. Phối hợp kiểm tra khả năng khôi phục dữ liệu và hệ thống trọng yếu.
• Manage vulnerability assessment and risk-based remediation; oversee identity controls, MFA, privileged access and periodic access reviews. Coordinate recovery testing for critical data and systems.
• 2.3. An toàn ứng dụng, dữ liệu & bên thứ ba / Application, Data & Third-Party Security
• Thiết lập yêu cầu bảo mật trong vòng đời phát triển phần mềm; phối hợp với các đội sản phẩm và kỹ thuật triển khai threat modeling, kiểm tra mã nguồn, thư viện phụ thuộc và cấu hình bảo mật trong quy trình CI/CD theo mức độ rủi ro.
• Embed security requirements into the software development lifecycle; work with product and engineering teams on threat modelling, source-code, dependency and configuration checks in CI/CD according to risk.
• Xây dựng tiêu chuẩn bảo mật cho ứng dụng web, mobile và API, chú trọng xác thực, quản lý phiên, bảo vệ dữ liệu cá nhân và thông tin giao dịch; tổ chức kiểm thử xâm nhập và theo dõi khắc phục đối với hệ thống trọng yếu.
• Establish security standards for web, mobile and API services, with emphasis on authentication, session management, personal data and transaction protection; arrange penetration testing and track remediation for critical systems.
• Đánh giá rủi ro bảo mật của nhà cung cấp và hệ thống do đối tác phát triển hoặc vận hành; xác định yêu cầu bảo mật trong hợp đồng, quyền truy cập, trách nhiệm thông báo sự cố và tiêu chí nghiệm thu an toàn trước khi đưa vào sử dụng.
• Assess security risks of vendors and partner-developed or operated systems; define contractual security requirements, access controls, incident-notification responsibilities and security acceptance criteria before go-live.
• 2.4. Ứng phó sự cố, năng lực tổ chức & đội ngũ / Incident Response, Organisational Readiness & Team Leadership
• Xây dựng, duy trì và diễn tập kế hoạch ứng phó đối với các tình huống như ransomware, rò rỉ dữ liệu, chiếm đoạt tài khoản, DDoS và sự cố từ nhà cung cấp; điều phối xử lý kỹ thuật, điều tra và rút kinh nghiệm khi xảy ra sự cố.
• Develop, maintain and exercise response plans for scenarios such as ransomware, data breaches, account takeover, DDoS and vendor incidents; coordinate technical response, investigation and lessons learned.
• Phối hợp với các đơn vị liên quan trong diễn tập khôi phục thảm họa, xử lý hành vi mạo danh thương hiệu hoặc ứng dụng nhằm vào khách hàng, và thực hiện thông báo sự cố theo quy trình, thẩm quyền và thời hạn áp dụng.
• Work with relevant teams on disaster-recovery exercises and responses to brand or application impersonation targeting customers; support incident notifications in accordance with applicable procedures, authority and timelines.
• Tuyển dụng và phát triển đội ngũ an toàn thông tin; quản lý nhà cung cấp SOC/MSSP, triển khai đào tạo nhận thức bảo mật và secure coding. Báo cáo định kỳ cho lãnh đạo bằng các chỉ số và tác động rủi ro đối với hoạt động kinh doanh.
• Recruit and develop the security team; manage SOC/MSSP providers and deliver security-awareness and secure-coding programmes. Report regularly to leadership using metrics and business-risk implications.

3. YÊU CẦU CÔNG VIỆC / REQUIREMENTS

• Yêu cầu chính / Core Requirements
• Có tối thiểu 10 năm kinh nghiệm trong CNTT/an toàn thông tin, trong đó ít nhất 4 năm quản lý chương trình hoặc đội ngũ an toàn thông tin. Ưu tiên kinh nghiệm tại công ty chứng khoán, ngân hàng hoặc tổ chức tài chính có yêu cầu quản lý chặt chẽ.
• At least
• 10 years of experience in IT/information security, including
• 4 years managing a security programme or team. Experience in securities, banking or another regulated financial institution is preferred.
• Đã xây dựng hoặc nâng cấp chương trình an toàn thông tin ở cấp tổ chức; có kinh nghiệm đánh giá rủi ro, xây dựng chính sách và làm việc với kiểm toán, bộ phận tuân thủ hoặc cơ quan quản lý.
• Have built or improved an organisation-wide information security programme, with experience in risk assessment, policy development and working with auditors, compliance teams or regulators.
• Có kinh nghiệm quản lý bảo mật vận hành, bao gồm giám sát an ninh, SIEM/EDR, quản lý lỗ hổng, IAM/PAM và SOC nội bộ hoặc dịch vụ MSSP; đã tham gia chỉ huy sự cố nghiêm trọng hoặc chủ trì diễn tập ứng phó quy mô tổ chức.
• Have experience managing security operations, including monitoring, SIEM/EDR, vulnerability management, IAM/PAM and an internal SOC or MSSP; have led a major incident response or an organisation-wide exercise.
• Hiểu thực tiễn an toàn ứng dụng và DevSecOps, bao gồm bảo mật trong CI/CD, threat modeling, kiểm thử bảo mật, API và ứng dụng mobile; có khả năng làm việc với đội phát triển để ưu tiên khắc phục theo rủi ro.
• Understand application security and DevSecOps, including security in CI/CD, threat modelling, security testing, APIs and mobile applications; able to work with engineering teams on risk-based remediation.
• Hiểu các yêu cầu pháp lý và quản lý tại Việt Nam liên quan đến an toàn hệ thống thông tin, an ninh mạng, bảo vệ dữ liệu cá nhân và hoạt động chứng khoán; có khả năng phối hợp với Pháp chế/Tuân thủ để xác định nghĩa vụ áp dụng cho từng hệ thống và hoạt