Chuyên viên Quản lý An ninh thông tin – Chính sách và Tuân thủ (GRC)

Hoàn toàn có thể! Vị trí cấp 2 thường dành cho ứng viên 1-3 năm kinh nghiệm, nhưng nếu bạn có nền tảng tốt (kiến thức ISO 27001, Thông tư 17/2024, một số chứng chỉ như CompTIA Security+) và thể hiện được sự đam mê qua CV + portfolio, cơ hội vẫn rất sáng. Mẹo: làm 1-2 dự án cá nhân như xây dựng bộ chính sách ATTT mẫu cho một tổ chức giả định, hoặc viết bài phân tích rủi ro ATTT cho ngân hàng trên blog LinkedIn. Điều này thể hiện năng lực thực tế. Cũng nên thử intern 3-6 tháng tại các ngân hàng nhỏ hoặc công ty fintech trước khi ứng tuyển vào BIDV để có kinh nghiệm thực chiến.

Bạn có lợi thế rất lớn! Kinh nghiệm kỹ thuật (System Admin) giúp bạn hiểu sâu hệ thống, từ đó đánh giá rủi ro chính xác hơn. Nhiều GRC-er chỉ biết lý thuyết mà không hiểu kỹ thuật, đây chính là điểm mạnh của bạn. Tuy nhiên cần bổ sung: (1) Học chứng chỉ CRISC hoặc ISO 27001 Lead Implementer để 'chứng minh' năng lực GRC; (2) Đọc Thông tư 17/2024/TT-NHNN và các quy định NHNN; (3) Tìm hiểu ISO 27001, NIST CSF; (4) Bổ sung kinh nghiệm viết báo cáo tuân thủ (có thể tự làm mẫu). Vị trí Cấp 3 tại BIDV phù hợp với bạn. CV nên highlight: 'Có nền tảng kỹ thuật vững, có khả năng giao tiếp với cả team kỹ thuật lẫn auditor'.

Mức lương thỏa thuận tùy thuộc vào cấp bậc và kinh nghiệm. Theo tham khảo (có thể thay đổi tùy ngân hàng và thời điểm): Cấp 2 khoảng 18-28 triệu, Cấp 3 khoảng 25-40 triệu, Cấp 4 khoảng 35-55 triệu (gross tổng). BIDV là ngân hàng nhà nước nên lương cứng thường cố định theo bảng lương, ít thương lượng được nhiều. Tuy nhiên bạn có thể thương lượng: (1) Hạng bậc trong hệ thống ngạch; (2) Phụ cấp (trách nhiệm, chuyên môn); (3) Thưởng KPI. Mẹo: sau khi pass phỏng vấn, HR sẽ gọi offer – lúc đó có thể đưa ra mong muốn dựa trên kinh nghiệm và thị trường. Đừng đòi hỏi quá sớm trong vòng phỏng vấn kỹ thuật. Ngoài ra cần tính toán tổng thu nhập gồm: thưởng Tết, ESOP, bảo hiểm, phúc lợi – mới là con số thực sự.

Công việc GRC rất đa dạng, không nhàm chán nếu bạn thích sự đa nhiệm. Một ngày điển hình: sáng check email, xử lý yêu cầu đánh giá rủi ro từ phòng IT (ví dụ: triển khai hệ thống mới); 10h họp với kiểm toán nội bộ về chứng cứ tuân thủ; trưa review và cập nhật chính sách ATTT; chiều làm báo cáo KRI gửi lãnh đạo, phối hợp SOC xử lý sự cố. Tuần có thể có: workshop đào tạo nhân viên về phishing, lập kế hoạch audit, nghiên cứu quy định NHNN mới ban hành. Ưu điểm: ít khi nhàm vì phải xử lý nhiều loại vấn đề. Nhược điểm: nhiều giấy tờ, deadline áp lực khi có audit, đôi khi bị xem là 'cản đường' kinh doanh. Cần kiên nhẫn và có tư duy chiến lược.

Cấp 2 (Chuyên viên): 1-3 năm KN, làm việc dưới sự hướng dẫn, thực thi các task được giao. Cấp 3 (Chuyên viên chính): 3-5 năm, độc lập triển khai dự án, làm đầu mối với kiểm toán. Cấp 4 (Chuyên viên cao cấp): 5-8+ năm, quản lý nhóm, tư vấn cho lãnh đạo, thiết kế chương trình GRC toàn ngân hàng. Lời khuyên: Apply đúng cấp theo kinh nghiệm thực tế của bạn. Nếu apply cấp 3 trong khi chỉ có 2 năm KN, hồ sơ có thể bị loại vì thiếu độ chín. Nếu apply cấp 2 khi đã có 5 năm KN, bạn sẽ bị underpay và chán. Tuy nhiên, nếu bạn từ ngành khác chuyển sang (VD: từ auditor sang), có thể apply cấp cao hơn để bù kinh nghiệm ngành.

Cả hai hướng đều có ưu nhược điểm. BIDV (ngân hàng nhà nước): thương hiệu lớn, hệ thống GRC truyền thống chắc chắn, work-life balance tốt hơn, phúc lợi ổn định, cơ hội thăng tiến rõ ràng, nhưng lương thấp hơn 15-25%, quy trình chậm hơn, đôi khi cứng nhắc. Techcombank/MBB/VPBank: lương cao hơn, môi trường năng động, làm với tech mới (cloud, AI), nhưng áp lực KPI lớn hơn, có thể phải làm thêm giờ. Gợi ý: Nếu bạn muốn học hỏi hệ thống GRC bài bản, xây dựng nền tảng vững → BIDV. Nếu bạn muốn thu nhập tốt, làm với công nghệ mới, chấp nhận áp lực → private bank. Nhiều người đi BIDV 2-3 năm để học rồi chuyển sang private bank lương tăng 30-50%.

Với vị trí GRC tại ngân hàng, nếu chỉ được chọn 1 chứng chỉ, tôi khuyên bạn nên chọn CRISC (Certified in Risk and Information Systems Control) của ISACA. Lý do: (1) CRISC tập trung đúng vào quản trị rủi ro ATTT – trọng tâm của GRC; (2) Được BIDV và nhiều ngân hàng công nhận; (3) Phù hợp cho cả cấp 3-4 trở lên; (4) Tỷ lệ đậu khá nếu học kỹ. Tuy nhiên, nếu bạn mới bắt đầu, hãy lấy ISO 27001 Lead Implementer trước (rẻ hơn, dễ hơn, thực tế hơn), sau đó 1-2 năm hãy lấy CRISC hoặc CISA. Còn nếu bạn thích làm audit, CISA là lựa chọn hàng đầu. Tránh lấy CISSP ngay lúc đầu vì quá rộng và đắt (~700 USD).

Thông tư 17/2024/TT-NHNN thay thế Thông tư 35/2014 và 30/2016, có nhiều điểm mới quan trọng: (1) Mở rộng phạm vi điều chỉnh cho cả ngân hàng điện tử, thanh toán, mobile banking, Open API; (2) Yêu cầu cụ thể hơn về quản lý rủi ro cho hoạt động ngân hàng số; (3) Quy định rõ trách nhiệm của HĐQT, Ban điều hành về ATTT; (4) Yêu cầu đánh giá ATTT định kỳ và đột xuất; (5) Quy định chi tiết về báo cáo sự cố ATTT với NHNN; (6) Yêu cầu kiểm thử xâm nhập (penetration test) định kỳ; (7) Bổ sung yêu cầu về bảo vệ dữ liệu khách hàng. Khi ứng tuyển GRC BIDV, bạn cần nắm vững những điểm này. Tải toàn văn tại website NHNN, dành 1-2 ngày đọc kỹ.

Không bắt buộc, nhưng có thì tốt hơn. BIDV tuyển 'Ngoài hệ thống' cho vị trí này nên chấp nhận ứng viên từ nhiều ngành: (1) Ngân hàng khác (Vietcombank, Techcombank, ACB…) – hiểu ngay, dễ onboard; (2) Big 4 (EY, PwC, KPMG, Deloitte) – có kinh nghiệm audit ATTT, rất phù hợp; (3) Công ty an ninh mạng (VNPT IS, FPT IS, Viettel Cyber Space) – có nền tảng kỹ thuật; (4) Cơ quan quản lý (NHNN, VNCERT) – hiểu pháp lý sâu. Nếu bạn từ ngành hoàn toàn khác (VD: marketing, kế toán), vẫn có cơ hội nếu có chứng chỉ GRC và thể hiện được sự hiểu biết. Tuy nhiên sẽ mất 6-12 tháng để làm quen với đặc thù ngân hàng, thuật ngữ, quy trình.

KPI của GRC thường gồm: (1) KPI tuân thủ: Số chính sách/quy trình ban hành đúng hạn, tỷ lệ đơn vị tuân thủ đánh giá rủi ro trước khi triển khai dự án; (2) KPI sự cố: Số sự cố ATTT được phát hiện và xử lý đúng quy trình, thời gian phản ứng; (3) KPI audit: Không có phát hiện nghiêm trọng từ kiểm toán, điểm audit tổng thể cải thiện; (4) KPI đào tạo: Số buổi training ATTT cho CBNV, tỷ lệ CBNV hoàn thành; (5) KPI cải tiến: Số sáng kiến tự động hóa quy trình GRC. Áp lực: Cao nhất là khi có audit, có sự cố lớn, hoặc NHNN thanh tra. Ngày thường ít áp lực hơn team SOC hay dev. Đặc thù ngân hàng nhà nước: deadline thường không gắt bằng private bank nhưng yêu cầu chặt chẽ về thủ tục hành chính.