Mô tả công việc:

• Chịu trách nhiệm kỹ thuật cao nhất cho các dự án pentest, red team quy mô lớn, phức tạp; thống nhất với khách hàng phương pháp, phạm vi và quy tắc kiểm thử (Rules of Engagement)
• Trực tiếp thực hiện các hạng mục khó: chuỗi khai thác phức tạp, rà soát mã nguồn chuyên sâu, tấn công Active Directory/hạ tầng doanh nghiệp, môi trường cloud (AWS, Azure, GCP)
• Thiết kế và triển khai các chiến dịch Red Team/mô phỏng tấn công có chủ đích (Adversary Emulation) theo MITRE ATT&CK; phối hợp SOC, DFIR thực hiện purple team để kiểm chứng khả năng phát hiện, phản ứng của khách hàng
• Kiểm soát chất lượng cuối cùng đối với toàn bộ báo cáo trước khi phát hành; bảo đảm tính chính xác, nhất quán và đánh giá rủi ro phù hợp bối cảnh nghiệp vụ của khách hàng
• Tham gia presales: khảo sát, xác định phạm vi, ước lượng effort, xây dựng phương án kỹ thuật và đề xuất dịch vụ; trình bày kết quả cho lãnh đạo, CISO của khách hàng
• Xây dựng, chuẩn hóa phương pháp luận, quy trình, checklist, mẫu báo cáo của bộ phận; cập nhật theo yêu cầu pháp lý và tiêu chuẩn mới
• Đào tạo, kèm cặp Pentester Level 1, Level 2; xây dựng lộ trình phát triển năng lực; tham gia phỏng vấn, đánh giá năng lực kỹ thuật khi tuyển dụng
• Nghiên cứu lỗ hổng mới (0-day/n-day), phát triển exploit và công cụ nội bộ; ứng dụng AI vào tự động hóa kiểm thử; công bố CVE, bài nghiên cứu nhằm nâng cao năng lực và thương hiệu CMC Cyber Security

Yêu cầu:

• Yêu cầu bắt buộc
  • Đã tốt nghiệp đại học các chuyên ngành ATTT, CNTT, Khoa học máy tính hoặc tương đương
  • Từ 05 năm kinh nghiệm kiểm thử xâm nhập/red team, trong đó ít nhất 02 năm ở vai trò dẫn dắt kỹ thuật hoặc trưởng nhóm
  • Chuyên sâu ít nhất 02 trong các mảng: web/API, mobile app, hạ tầng/Active Directory, cloud, red team; hiểu biết vững chắc các mảng còn lại
  • Thành thạo rà soát mã nguồn; có khả năng phát triển công cụ, exploit (Python, Golang, C/C++, C#, PowerShell…)
  • Có kinh nghiệm sử dụng các C2 framework (Cobalt Strike, Sliver, Havoc, Mythic…) và kỹ thuật vượt qua cơ chế phòng thủ (AV/EDR evasion) trong phạm vi được khách hàng cho phép
  • Hiểu biết khung pháp lý và tiêu chuẩn liên quan: Luật An ninh mạng 2025 (hiệu lực từ 01/7/2026) và các nghị định hướng dẫn, đặc biệt Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin; ISO/IEC 27001, PCI DSS; yêu cầu ATTT trong lĩnh vực ngân hàng
  • Kỹ năng quản lý dự án kỹ thuật, viết đề xuất, trình bày và làm việc với khách hàng cấp lãnh đạo
  • Đọc, viết báo cáo kỹ thuật bằng tiếng Anh
  • Trung thực, có đạo đức nghề nghiệp, cam kết bảo mật thông tin khách hàng
• Ưu tiên
  • Có chứng chỉ chuyên sâu: OSEP, OSWE, OSED, OSCE3, CRTO, CRTE, GPEN/GXPN, CREST CRT/CCT
  • Có CVE công bố; từng trình bày tại các hội nghị bảo mật trong nước/quốc tế; xếp hạng cao trên các nền tảng bug bounty
  • Có kinh nghiệm dự án cho khối ngân hàng – tài chính, cơ quan nhà nước, hạ tầng trọng yếu
  • Có kinh nghiệm kiểm thử bảo mật hệ thống AI/LLM (prompt injection, lạm dụng agent/tool…)
  • Giao tiếp tốt tiếng Anh; biết tiếng Nhật hoặc tiếng Hàn là lợi thế cho các dự án quốc tế

Quyền lợi:

• Có cơ hội làm việc trong môi trường chuyên nghiệp, năng động, có chuyên môn cao mảng An ninh an toàn thông tin
• Được tham gia các lớp đào tạo, khóa đào tạo. các buổi tọa đàm về chuyên môn 
• Có cơ hội được tiếp cận với những xu hướng công nghệ mới 
• Phúc lợi thưởng các dịp lễ, Tết, sinh nhật tập đoàn…lên đến 16 triệu/1 năm 
• Tham gia các hoạt động teambuilding, company trip hàng năm 
• Đóng BHXH theo Luật lao động quy định 
• Hưởng 12 ngày phép/năm và 1 ngày nghỉ sinh nhật CBNV hưởng nguyên lương
• Nghỉ các ngày lễ tết theo quy định nhà nước