I. MÔ TẢ CÔNG VIỆC

1. Quản trị – Rủi ro – Tuân thủ (GRC)

Xây dựng, rà soát và cập nhật hệ thống chính sách, quy định, quy trình, tiêu chuẩn kỹ thuật về an toàn thông tin cho Khối Hạ tầng (Infra), phù hợp với khẩu vị rủi ro của Tập đoàn.

Vận hành hệ thống quản lý an toàn thông tin (ISMS) theo tiêu chuẩn ISO/IEC 27001:2022, bao gồm xác định phạm vi, phương pháp đánh giá rủi ro, SoA, kế hoạch xử lý rủi ro, đánh giá nội bộ và xem xét của lãnh đạo.

Thực hiện đánh giá rủi ro CNTT định kỳ và theo dự án; duy trì sổ đăng ký rủi ro (Risk Register) và theo dõi tiến độ xử lý đến khi hoàn tất.

Làm đầu mối về tuân thủ các tiêu chuẩn ISO 27001, PCI DSS (nếu áp dụng), SOC 2, NIST CSF/CIS Controls và các quy định Việt Nam về an toàn thông tin, bảo vệ dữ liệu cá nhân, cấp độ an toàn hệ thống thông tin.

Chuẩn bị, phối hợp triển khai các đợt đánh giá nội bộ và đánh giá bên ngoài; theo dõi các phát hiện (Finding), Audit, Pentest đến khi hoàn tất khắc phục theo SLA và mức độ nghiêm trọng.

Đánh giá rủi ro an toàn thông tin của nhà cung cấp và bên thứ ba; thực hiện phân tầng, thẩm định và rà soát các điều khoản bảo mật trong hợp đồng.

Quản lý phân loại dữ liệu, rà soát ma trận phân quyền (User–Role Matrix) và kiểm soát truy cập đặc quyền.

Hỗ trợ xây dựng kế hoạch duy trì hoạt động kinh doanh (BCP) và khôi phục sau thảm họa (DR) cho hạ tầng; tổng hợp báo cáo tuân thủ và rủi ro định kỳ cho lãnh đạo.

2. Đảm bảo an toàn thông tin hạ tầng

Quản trị và rà soát chính sách trên các hệ thống bảo mật như NGFW, WAF, EDR, SIEM, quản lý lỗ hổng và các giải pháp PAM, NAC, DLP (nếu có).

Thực hiện dò quét điểm yếu định kỳ, theo dõi tiến độ vá lỗi và phối hợp với đối tác thuê ngoài triển khai kiểm thử xâm nhập (Penetration Testing), hỗ trợ khắc phục các lỗ hổng.

Thiết lập tiêu chuẩn cấu hình an toàn (Hardening) cho máy chủ Linux/Windows, hệ thống mạng, Cloud/Ảo hóa và thực hiện rà soát cấu hình định kỳ.

Đánh giá an toàn thông tin đối với các thay đổi hạ tầng và dự án CNTT mới trước khi đưa vào vận hành (Security Review trước Go-live).

Giám sát cảnh báo, phân tích nguy cơ tấn công, truy cập trái phép và rò rỉ dữ liệu.

3. Ứng phó sự cố và nâng cao nhận thức

Xây dựng kịch bản, quy trình ứng phó sự cố an toàn thông tin; điều phối xử lý, phân tích nguyên nhân gốc và lập báo cáo sau sự cố.

Tổ chức đào tạo, truyền thông, diễn tập Phishing và nâng cao nhận thức về an toàn thông tin cho nhân sự.

Nghiên cứu xu hướng, giải pháp bảo mật mới và đề xuất các phương án cải tiến cho Khối Hạ tầng.

Thực hiện các nhiệm vụ khác theo phân công của quản lý.

II. YÊU CẦU CÔNG VIỆC

Tốt nghiệp Đại học trở lên chuyên ngành An toàn thông tin, Công nghệ thông tin, Điện tử viễn thông, Khoa học máy tính hoặc các ngành liên quan.

Có tối thiểu 5 năm kinh nghiệm trong lĩnh vực An toàn thông tin, GRC, quản lý rủi ro CNTT hoặc đánh giá tuân thủ; ưu tiên ứng viên có kinh nghiệm trong môi trường Hạ tầng/Datacenter/Cloud.

Hiểu và có kinh nghiệm áp dụng thực tế tiêu chuẩn ISO/IEC 27001, bao gồm xây dựng tài liệu ISMS, đánh giá rủi ro, đánh giá nội bộ và hỗ trợ đánh giá chứng nhận.

Có kinh nghiệm xây dựng và quản trị chính sách, quy trình an toàn thông tin.

Nắm vững kiến thức về hạ tầng CNTT: mạng (Routing, Switching, Firewall, VPN), Linux/Windows, Ảo hóa/Cloud và IAM.

Có kinh nghiệm vận hành ít nhất một hệ thống bảo mật như SIEM, EDR/AV, WAF/NGFW, quản lý lỗ hổng, PAM, DLP hoặc công cụ GRC.

Am hiểu quy trình quản lý rủi ro, ứng phó sự cố, quản lý lỗ hổng và quản lý thay đổi.

Có kỹ năng xây dựng tài liệu, tổng hợp và trình bày báo cáo rõ ràng.

Có khả năng đọc hiểu tài liệu tiếng Anh chuyên ngành.

Ưu tiên:

Có kinh nghiệm với các tiêu chuẩn PCI DSS, SOC 2, ISO 27017/27018/27701, NIST CSF/800-53, CIS Controls.

Hiểu biết về các quy định pháp luật Việt Nam liên quan đến an toàn thông tin, an ninh mạng, bảo vệ dữ liệu cá nhân và cấp độ an toàn hệ thống thông tin.

Đã tham gia ít nhất một chu kỳ đánh giá chứng nhận ISO 27001 hoặc SOC 2 đầy đủ.

Có kinh nghiệm bảo mật Cloud (AWS/Azure/GCP), Container, DevSecOps và lập trình Script (Python/Bash).

Có kinh nghiệm quản lý nhà cung cấp và đánh giá rủi ro bên thứ ba.

Có khả năng giao tiếp tiếng Anh tốt để làm việc với kiểm toán viên và đối tác quốc tế.

Ưu tiên ứng viên sở hữu các chứng chỉ ISO 27001 Lead Auditor/Lead Implementer, CISA, CISM, CRISC, CISSP, CompTIA Security+; CEH, CCNA, CCSP hoặc chứng chỉ Cloud Security là lợi thế.

III. QUYỀN LỢI

Thu nhập cạnh tranh, thỏa thuận theo năng lực.

Đóng bảo hiểm ở mức cao, đầy đủ BHXH, BHYT, BHTN theo quy định.

Thưởng KPI, lương tháng 13 và thưởng hiệu quả kinh doanh cuối năm.

Làm việc từ Thứ Hai đến Thứ Sáu, thời gian check-in linh hoạt từ 7h–9h30.

Thỏa sức sáng tạo và phát triển chuyên môn tại Tập đoàn F&B hàng đầu Việt Nam, với nguồn chất liệu phong phú từ con người, văn hóa và trải nghiệm nghề nghiệp trong hệ sinh thái 35+ thương hiệu, 600+ nhà hàng.

Ưu đãi giảm giá khi sử dụng dịch vụ tại hệ thống nhà hàng Golden Gate.