Head of Information Security

1. MỤC TIÊU VỊ TRÍ / POSITION PURPOSE

Xây dựng và dẫn dắt chương trình an toàn thông tin trên toàn HDS, bao gồm quản trị rủi ro, bảo mật vận hành, an toàn ứng dụng và ứng phó sự cố. Vị trí có nhiệm vụ bảo vệ hệ thống giao dịch, sản phẩm số và dữ liệu khách hàng; nâng cao khả năng phát hiện, khôi phục sau sự cố; đồng thời hỗ trợ HDS đáp ứng các yêu cầu pháp lý và quản lý áp dụng.

Build and lead HDS’s company-wide information security programme, covering risk governance, security operations, application security and incident response. The role protects trading systems, digital products and customer data; strengthens detection and recovery capabilities; and supports compliance with applicable legal and regulatory requirements.

2. MÔ TẢ CÔNG VIỆC / KEY RESPONSIBILITIES

2.1. Chiến lược, quản trị rủi ro & tuân thủ / Security Strategy, Risk Governance & Compliance

• Xây dựng chiến lược, lộ trình an toàn thông tin 12–24 tháng và kế hoạch ngân sách dựa trên rủi ro; tham chiếu các khung thực hành phù hợp như ISO/IEC 27001 và NIST CSF. Ban hành, cập nhật chính sách và tiêu chuẩn bảo mật áp dụng trên toàn HDS.

Develop a risk-based 12–24-month security strategy, roadmap and budget, drawing on relevant frameworks such as ISO/IEC 27001 and NIST CSF. Establish and maintain company-wide security policies and standards.

• Tổ chức đánh giá rủi ro định kỳ đối với hệ thống, dữ liệu, sản phẩm số và bên thứ ba; duy trì danh mục rủi ro, theo dõi phương án xử lý và trình cấp có thẩm quyền quyết định đối với rủi ro vượt ngưỡng chấp nhận.

Conduct periodic risk assessments across systems, data, digital products and third parties; maintain a risk register, track remediation and escalate risks exceeding approved tolerance for decision by the appropriate authority.

2.2. Bảo mật vận hành & giám sát / Security Operations & Monitoring

• Phối hợp với đội hạ tầng thiết kế và giám sát các kiểm soát bảo mật cho hệ thống trọng yếu, bao gồm phân vùng mạng, bảo vệ ứng dụng công khai, chống DDoS, bảo mật thiết bị đầu cuối, email và cấu hình hệ thống.

Work with infrastructure teams to design and oversee security controls for critical systems, including network segmentation, protection of internet-facing applications, DDoS defence, endpoint and email security, and system hardening.

• Thiết lập năng lực giám sát và xử lý cảnh báo cho hệ thống giao dịch và dịch vụ trọng yếu thông qua đội nội bộ hoặc SOC/MSSP; quản lý quy trình phát hiện, phân loại, chuyển cấp và xử lý sự kiện với các chỉ số hiệu quả phù hợp.

Establish monitoring and alert-handling capabilities for trading and other critical services through an internal team or SOC/MSSP; manage detection, triage, escalation and response processes with appropriate performance metrics.

• Quản lý chương trình lỗ hổng và phối hợp xử lý bản vá theo mức độ rủi ro; giám sát kiểm soát định danh, MFA, tài khoản đặc quyền và rà soát quyền truy cập. Phối hợp kiểm tra khả năng khôi phục dữ liệu và hệ thống trọng yếu.

Manage vulnerability assessment and risk-based remediation; oversee identity controls, MFA, privileged access and periodic access reviews. Coordinate recovery testing for critical data and systems.

2.3. An toàn ứng dụng, dữ liệu & bên thứ ba / Application, Data & Third-Party Security

• Thiết lập yêu cầu bảo mật trong vòng đời phát triển phần mềm; phối hợp với các đội sản phẩm và kỹ thuật triển khai threat modeling, kiểm tra mã nguồn, thư viện phụ thuộc và cấu hình bảo mật trong quy trình CI/CD theo mức độ rủi ro.

Embed security requirements into the software development lifecycle; work with product and engineering teams on threat modelling, source-code, dependency and configuration checks in CI/CD according to risk.

• Xây dựng tiêu chuẩn bảo mật cho ứng dụng web, mobile và API, chú trọng xác thực, quản lý phiên, bảo vệ dữ liệu cá nhân và thông tin giao dịch; tổ chức kiểm thử xâm nhập và theo dõi khắc phục đối với hệ thống trọng yếu.

Establish security standards for web, mobile and API services, with emphasis on authentication, session management, personal data and transaction protection; arrange penetration testing and track remediation for critical systems.

• Đánh giá rủi ro bảo mật của nhà cung cấp và hệ thống do đối tác phát triển hoặc vận hành; xác định yêu cầu bảo mật trong hợp đồng, quyền truy cập, trách nhiệm thông báo sự cố và tiêu chí nghiệm thu an toàn trước khi đưa vào sử dụng.

Assess security risks of vendors and partner-developed or operated systems; define contractual security requirements, access controls, incident-notification responsibilities and security acceptance criteria before go-live.

2.4. Ứng phó sự cố, năng lực tổ chức & đội ngũ / Incident Response, Organisational Readiness & Team Leadership

• Xây dựng, duy trì và diễn tập kế hoạch ứng phó đối với các tình huống như ransomware, rò rỉ dữ liệu, chiếm đoạt tài khoản, DDoS và sự cố từ nhà cung cấp; điều phối xử lý kỹ thuật, điều tra và rút kinh nghiệm khi xảy ra sự cố.

Develop, maintain and exercise response plans for scenarios such as ransomware, data breaches, account takeover, DDoS and vendor incidents; coordinate technical response, investigation and lessons learned.

• Phối hợp với các đơn vị liên quan trong diễn tập khôi phục thảm họa, xử lý hành vi mạo danh thương hiệu hoặc ứng dụng nhằm vào khách hàng, và thực hiện thông báo sự cố theo quy trình, thẩm quyền và thời hạn áp dụng.

Work with relevant teams on disaster-recovery exercises and responses to brand or application impersonation targeting customers; support incident notifications in accordance with applicable procedures, authority and timelines.

• Tuyển dụng và phát triển đội ngũ an toàn thông tin; quản lý nhà cung cấp SOC/MSSP, triển khai đào tạo nhận thức bảo mật và secure coding. Báo cáo định kỳ cho lãnh đạo bằng các chỉ số và tác động rủi ro đối với hoạt động kinh doanh.

Recruit and develop the security team; manage SOC/MSSP providers and deliver security-awareness and secure-coding programmes. Report regularly to leadership using metrics and business-risk implications.

3. YÊU CẦU CÔNG VIỆC / REQUIREMENTS

Yêu cầu chính / Core Requirements

• Có tối thiểu 10 năm kinh nghiệm trong CNTT/an toàn thông tin, trong đó ít nhất 4 năm quản lý chương trình hoặc đội ngũ an toàn thông tin. Ưu tiên kinh nghiệm tại công ty chứng khoán, ngân hàng hoặc tổ chức tài chính có yêu cầu quản lý chặt chẽ.

At least 10 years of experience in IT/information security, including 4 years managing a security programme or team. Experience in securities, banking or another regulated financial institution is preferred.

• Đã xây dựng hoặc nâng cấp chương trình an toàn thông tin ở cấp tổ chức; có kinh nghiệm đánh giá rủi ro, xây dựng chính sách và làm việc với kiểm toán, bộ phận tuân thủ hoặc cơ quan quản lý.

Have built or improved an organisation-wide information security programme, with experience in risk assessment, policy development and working with auditors, compliance teams or regulators.

• Có kinh nghiệm quản lý bảo mật vận hành, bao gồm giám sát an ninh, SIEM/EDR, quản lý lỗ hổng, IAM/PAM và SOC nội bộ hoặc dịch vụ MSSP; đã tham gia chỉ huy sự cố nghiêm trọng hoặc chủ trì diễn tập ứng phó quy mô tổ chức.

Have experience managing security operations, including monitoring, SIEM/EDR, vulnerability management, IAM/PAM and an internal SOC or MSSP; have led a major incident response or an organisation-wide exercise.

• Hiểu thực tiễn an toàn ứng dụng và DevSecOps, bao gồm bảo mật trong CI/CD, threat modeling, kiểm thử bảo mật, API và ứng dụng mobile; có khả năng làm việc với đội phát triển để ưu tiên khắc phục theo rủi ro.

Understand application security and DevSecOps, including security in CI/CD, threat modelling, security testing, APIs and mobile applications; able to work with engineering teams on risk-based remediation.

• Hiểu các yêu cầu pháp lý và quản lý tại Việt Nam liên quan đến an toàn hệ thống thông tin, an ninh mạng, bảo vệ dữ liệu cá nhân và hoạt động chứng khoán; có khả năng phối hợp với Pháp chế/Tuân thủ để xác định nghĩa vụ áp dụng cho từng hệ thống và hoạt động.

Understand Vietnamese legal and regulatory requirements relating to information-system security, cybersecurity, personal data protection and securities operations; able to work with Legal/Compliance to determine obligations applicable to specific systems and activities.

• Có kinh nghiệm dẫn dắt đội ngũ và quản lý nhà cung cấp; giao tiếp tốt với lãnh đạo bằng ngôn ngữ rủi ro kinh doanh. Sử dụng được tiếng Anh để đọc tiêu chuẩn, tài liệu kỹ thuật và làm việc với đối tác.

Have team-leadership and vendor-management experience; communicate effectively with executives in business-risk terms. Able to use English for standards, technical documentation and partner discussions.

Lợi thế / Preferred Qualifications

• Có kinh nghiệm bảo vệ hệ thống giao dịch trực tuyến, kết nối thị trường, ứng dụng tài chính mobile hoặc môi trường mà nhiều hệ thống do nhà cung cấp triển khai, vận hành.

Experience protecting online trading systems, market connections, financial mobile applications or environments with significant vendor-managed systems.

• Có chứng chỉ phù hợp như CISSP, CISM, CRISC, ISO/IEC 27001 Lead Implementer/Lead Auditor hoặc chứng chỉ chuyên sâu về bảo mật ứng dụng, ứng phó sự cố, bảo mật cloud.

Relevant certifications such as CISSP, CISM, CRISC, ISO/IEC 27001 Lead Implementer/Lead Auditor, or specialised certifications in application security, incident response or cloud security.

4. QUYỀN LỢI / BENEFITS

• Thu nhập / Compensation: Lương cạnh tranh, thỏa thuận theo năng lực và kinh nghiệm; thưởng theo kết quả công việc và chính sách của HDS.

Competitive salary commensurate with qualifications and experience; performance-based bonus in accordance with HDS policy.

• Chế độ / Benefits: BHXH, BHYT, BHTN, nghỉ phép và các phúc lợi khác theo quy định pháp luật và chính sách Công ty.

Social, health and unemployment insurance, annual leave and other benefits in accordance with applicable law and Company policy.

• Cơ hội nghề nghiệp / Career opportunity: Xây dựng năng lực an toàn thông tin trên phạm vi toàn công ty, trực tiếp định hình cách HDS bảo vệ hệ thống giao dịch, sản phẩm số và dữ liệu khách hàng.

Build company-wide security capabilities and directly shape how HDS protects its trading systems, digital products and customer data.