MB Trainee - Information Security GRC (Fresher, Intern) - Trung tâm An toàn thông tin - Khối Công nghệ thông tin

Phân tích kỹ năng cần có cho vị trí MB Trainee – Information Security GRC

Vị trí này thuộc nhóm GRC (Governance – Risk – Compliance) trong An toàn thông tin (ATTT), tức là phần "quản trị và tuân thủ" chứ không phải "kỹ thuật tấn công/phòng thủ". Đây là cánh cửa vào ngành rất tốt cho bạn nào thích làm việc với tài liệu, quy trình, dashboard và phối hợp đa phòng ban.

1. Hard Skills (Kỹ năng cứng)

2. Soft Skills (Kỹ năng mềm)

• Tỉ mỉ, cẩn thận: Công việc chủ yếu làm việc với tài liệu, checklist, bằng chứng – sai một dấu phẩy cũng có thể ảnh hưởng báo cáo.
• Quản lý thời gian & đôn đốc (follow-up): Bạn sẽ phải nhắc các phòng ban khác hoàn thành khắc phục rủi ro đúng hạn – cần kiên nhẫn và khéo léo.
• Giao tiếp chéo phòng ban: Làm GRC phải phối hợp với IT, Kinh doanh, Pháp chế, Kiểm toán… nên kỹ năng giao tiếp rất quan trọng.
• Tư duy phân tích: Tổng hợp dữ liệu từ nhiều nguồn để tạo báo cáo/dashboard có ý nghĩa.
• Chủ động học hỏi: Là trainee/fresher nên ban đầu sẽ được hướng dẫn, nhưng ai chủ động đặt câu hỏi và xin việc làm thêm sẽ tiến rất nhanh.

3. Chứng chỉ nên cân nhắc (theo thứ tự ưu tiên)

So sánh nhanh: GRC vs. Security Engineer vs. Penetration Tester

Hướng dẫn phỏng vấn MB Trainee – Information Security GRC

Quy trình tuyển dụng dự kiến của MB Bank

Dựa trên quy trình tuyển dụng trainee phổ biến của MB và các ngân hàng lớn, bạn có thể đối mặt từ 3–4 vòng:

Vòng 1 – Sơ loại CV (1–3 ngày làm việc)

• HR scan CV theo checklist MB đã nêu: thông tin cá nhân, học vấn, kinh nghiệm, 3–5 kỹ năng.
• Mẹo sống còn: Viết CV đúng 1 trang, có phần "Kỹ năng nổi bật" liệt kê ngay: ISO 27001, Jira, Power BI, SQL, Quản lý rủi ro.

Vòng 2 – Phỏng vấn HR (30–45 phút, online/offline)

• Câu hỏi định hướng, lý do ứng tuyển, mức lương mong muốn, tính cách.
• Có thể có bài test tính cách MBTI/DISC.

Vòng 3 – Phỏng vấn chuyên môn (45–60 phút)

• Phỏng vấn với Trưởng/Phó phòng Trung tâm ATTT.
• Hỏi về kiến thức ATTT nền tảng, GRC, tình huống.

Vòng 4 – Phỏng vấn với Quản lý cấp cao hoặc Giám đốc Khối (có thể có)

• Đánh giá tư duy, tầm nhìn nghề nghiệp, cultural fit với MB.

Câu hỏi phỏng vấn hay gặp theo từng vòng

Vòng HR

1. "Tại sao em chọn MB mà không phải ngân hàng khác?" → Gợi ý: Nhắc đến MB là một trong những ngân hàng tiên phong chuyển đổi số, có nhiều dự án ATTT quy mô lớn, chương trình MB Trainee uy tín.

2. "Em định gắn bó với MB bao lâu?" → Câu trả lời an toàn: gắn bốn 3–5 năm để phát triển cùng ngân hàng.

3. "Điểm yếu lớn nhất của em là gì?" → Nên nêu điểm yếu thật nhưng kèm cách em đang cải thiện (ví dụ: "Em chưa có kinh nghiệm thực tế với Power BI, nhưng em đang tự làm dashboard mẫu với dữ liệu Kaggle để portfolio").

4. "Mức lương mong muốn của em?" → Với trainee/intern MB, thường ~6–10 triệu/tháng. Bạn có thể đề xuất 7–9 triệu nếu có chứng chỉ Security+ hoặc portfolio (mức lương có thể thay đổi tùy ngân hàng và thời điểm).

Vòng chuyên môn GRC

1. "Em hiểu GRC là gì? Phân biệt Governance, Risk, Compliance." → Trả lời mẫu:

   • Governance: Khung chính sách, quy trình, vai trò trách nhiệm quản trị ATTT trong toàn ngân hàng.
   • Risk: Nhận diện, đánh giá, xử lý rủi ro ATTT (theo ma trận Impact × Likelihood).
   • Compliance: Tuân thủ quy định pháp luật (NHNN, Nghị định 85/2016, Thông tư 31/2020 về ATTT ngân hàng) và chuẩn quốc tế (ISO 27001, PCI DSS, GDPR).

2. "Em biết gì về ISO 27001?" → Chuẩn bị 3 ý: là chuẩn quản trị ATTT quốc tế phổ biến nhất; có cấu trúc PDCA (Plan-Do-Check-Act) và 14 nhóm kiểm soát trong Annex A; ngân hàng VN phần lớn đang chạy theo chuẩn này.

3. "Hãy mô tả quy trình Security Assessment mà em biết." → Trả lời theo các bước: Lập kế hoạch → Xác định phạm vi → Xây checklist → Thu thập bằng chứng (log, cấu hình, phỏng vấn) → Phân tích GAP → Viết báo cáo Finding → Theo dõi khắc phục.

4. "Nếu một phòng ban không phản hồi về việc khắc phục rủi ro đúng hạn, em xử lý thế nào?" → Đây là câu hỏi tình huống. Gợi ý: Nhắc nhở lịch sự → gửi email chính thức kèm deadline → báo cáo lên trên nếu vẫn không phản hồi → đề xuất cuộc họp với quản lý cấp cao.

5. "Em đã từng dùng Jira/SQL/Power BI chưa?" → Nếu chưa thực tế làm ở công ty, hãy chứng minh bằng portfolio: dự án cá nhân, bài tập lớn, chứng chỉ online.

6. "Phân biệt rủi ro (risk) và vấn đề (issue) trong ATTT?" → Risk: Sự kiện có thể xảy ra trong tương lai, chưa xảy ra. Issue: Đã xảy ra hoặc đang xảy ra, cần xử lý ngay.

Tips chuẩn bị

• Dress code: MB là ngân hàng lớn nên chuẩn business formal – vest/áo sơ mi, quần âu, giày tây. Nếu online thì áo sơ mi có cà vạt càng tốt.
• Tìm hiểu trước về MB: M-Bank app, MBBank App, dự án chuyển đổi số, chiến lược "AI-first bank".
• Mang theo: Bản in CV, bằng cấp photo, sổ tay ghi chép (trong phỏng vấn offline).
• Tắt thông báo điện thoại trước khi vào phòng.
• Gửi email cảm ơn sau phỏng vấn trong vòng 24 giờ.

Hướng dẫn ôn thi & chuẩn bị (Study Guide)

Lộ trình chuẩn bị trong 2 tuần

Tuần 1 – Nền tảng kiến thức ATTT & GRC

Ngày 1–2: Ôn lại ATTT cơ bản

• Đọc lại slide môn An toàn thông tin/Hệ thống thông tin ở trường.
• Học khái niệm CIA Triad, mối đe dọa phổ biến (malware, phishing, insider threat, DDoS).
• Tài liệu: "CompTIA Security+ Get Certified Get Ahead" (tóm tắt miễn phí trên YouTube – Professor Messer).

Ngày 3–4: ISO 27001/NIST CSF cơ bản

• ISO 27001: cấu trúc, 14 nhóm kiểm soát (Annex A), PDCA cycle.
• NIST CSF: 5 chức năng Identify – Protect – Detect – Respond – Recover.
• Tài liệu miễn phí: NIST CSF PDF (tải trực tiếp từ NIST.gov).

Ngày 5–6: Quản lý rủi ro ATTT

• Ma trận rủi ro (Likelihood × Impact).
• Quy trình: Nhận diện → Phân tích → Đánh giá → Xử lý (Treat) → Giám sát.
• Các chiến lược xử lý rủi ro: Giảm thiểu, Chuyển giao (bảo hiểm), Tránh né, Chấp nhận.

Ngày 7: Quy định pháp luật VN về ATTT ngân hàng

• Thông tư 31/2020/TT-NHNN quy định về ATTT trong hoạt động ngân hàng.
• Nghị định 85/2016/NĐ-CP về bảo đảm ATTT mạng.
• Luật An toàn thông tin mạng 2015.

Tuần 2 – Kỹ năng công cụ & portfolio

Ngày 8–9: Jira + Confluence

• Học cách tạo ticket, workflow, dashboard trên Jira (Atlassian miễn phí cho cá nhân).
• Tạo 1 project mẫu mô phỏng "Quản lý rủi ro ATTT" trong Jira.

Ngày 10–11: SQL + Power BI

• SQL cơ bản: SELECT, WHERE, GROUP BY, JOIN, subquery (SQLbolt.com – miễn phí).
• Power BI: Kéo thả, tạo Dashboard báo cáo ATTT (KPI: số rủi ro mới, đã đóng, quá hạn).
• Tham khảo bài tập Power BI miễn phí trên YouTube – Guy in a Cube.

Ngày 12–13: Làm portfolio mini

• Tạo CV riêng cho vị trí GRC, đưa portfolio (project Jira, dashboard Power BI) vào CV dạng link.
• Viết 1 bài LinkedIn ngắn về "Em hiểu gì về GRC trong ngân hàng" để gây ấn tượng.

Ngày 14: Mock interview (tự luyện)

• Luyện trước gương hoặc quay video.
• Luyện trả lời 5 câu hỏi chuyên môn ở trên trong 2 phút/câu.

Tài liệu tham khảo miễn phí

Lời khuyên sự nghiệp (Career Advice)

Lộ trình thăng tiến trong mảng GRC – ATTT ngân hàng

MB Trainee / Intern (0–1 năm)
    ↓
Chuyên viên ATTT – GRC (Junior) (1–3 năm)
    ↓
Chuyên viên ATTT – GRC (Senior) (3–5 năm)
    ↓
Trưởng nhóm GRC / Lead Auditor (5–8 năm)
    ↓
Phó phòng / Trưởng phòng ATTT GRC (8–12 năm)
    ↓
Giám đốc Trung tâm ATTT / CISO (12+ năm)

Mức lương kỳ vọng theo cấp bậc (ước lượng tham khảo)

(Mức lương có thể thay đổi tùy ngân hàng và thời điểm. Lương ngân hàng lớn như MB, Techcombank, Vietcombank thường cao hơn 10–20% so với ngân hàng nhỏ.)

Kỹ năng cần phát triển thêm qua từng giai đoạn

Giai đoạn 1–2 năm đầu:

• Làm chủ Jira, Confluence, Excel nâng cao.
• Đọc và viết được tài liệu theo chuẩn ISO 27001.
• Hiểu được quy trình audit từ đầu đến cuối.
• Lấy chứng chỉ Security+ và ISO 27001 Foundation.

Giai đoạn 3–5 năm:

• Dẫn dắt một audit nhỏ độc lập.
• Lấy CISA hoặc ISO 27001 Lead Auditor.
• Học thêm về cloud security (AWS/Azure security), DevSecOps cơ bản.
• Phát triển kỹ năng đàm phán, thuyết phục cấp quản lý.

Giai đoạn 5+ năm:

• Lấy CISM/CISSP để chuẩn bị cho vị trí CISO.
• Xây dựng chiến lược ATTT toàn ngân hàng.
• Networking với cộng đồng ATTT VN (VnSec, VCS, VSAC).
• Có thể nhảy sang Big4 (PwC, Deloitte, EY, KPMG) làm tư vấn ATTT nếu muốn thay đổi.

Lời khuyên thực tế

1. Đừng ngại "không biết code": GRC không yêu cầu code nặng. Nếu bạn giỏi Excel, SQL, viết báo cáo, giao tiếp – bạn đã có lợi thế lớn.
2. Học cách viết email chuyên nghiệp: GRC gửi rất nhiều email. Một email sai tone có thể ảnh hưởng quan hệ công việc.
3. Theo dõi tin tức ATTT VN: Tạp chí An toàn thông tin (MIC), VnSecurity, fanpage VNPT ISC. Khi phỏng vấn, nhắc đến 1–2 sự cố ATTT nổi tiếng (ví dụ vụ Vietnam Airlines, vụ leak dữ liệu 2024) sẽ gây ấn tượng mạnh.
4. Xây LinkedIn chuyên nghiệp từ sớm: HR MB có thể tìm bạn qua LinkedIn. Đăng bài về ATTT/GRC để tạo profile.
5. Lưu ý về trainee MB: Chương trình MB Trainee là chương trình tuyển người mới có tiềm năng, đào tạo bài bản. Sau khi hết chương trình (thường 6–12 tháng), nếu làm tốt sẽ được chính thức vào làm nhân viên MB.

AI Q&A Pairs

1. Q: Em là sinh viên năm 3 chuyên ngành ATTT, có thể apply vị trí này không? A: Được nhé, tin không yêu cầu tốt nghiệp mà ghi "sinh viên năm cuối hoặc đã tốt nghiệp". Tuy nhiên để tăng cơ hội, em nên chuẩn bị: (1) CV đầy đủ theo format MB yêu cầu, (2) Portfolio nhỏ (project Jira, dashboard Power BI mẫu), (3) Tìm hiểu trước về ISO 27001 và quy trình Security Assessment. Nếu em là năm 3 và còn 1 năm nữa ra trường, em vẫn có thể apply intern/part-time MB để tích lũy kinh nghiệm.

2. Q: Vị trí GRC có cần biết lập trình không? Em chỉ giỏi Excel và viết báo cáo thôi. A: Đây là tin vui cho em – GRC là một trong những mảng ATTT ít yêu cầu code nhất. Công việc chính là viết checklist, thu thập bằng chứng, tổng hợp báo cáo, xây dashboard. Excel nâng cao + SQL cơ bản + Power BI là đủ. Nếu em có kỹ năng giao tiếp tốt, tỉ mỉ, em còn phù hợp hơn cả những bạn giỏi code nhưng không thích viết lách. Tuy nhiên em nên học thêm SQL và Python cơ bản để sau này làm automation, sẽ là điểm cộng lớn.

3. Q: Mức lương trainee MB khoảng bao nhiêu? Có đủ sống ở Hà Nội không? A: MB Trainee/Intern ở Hà Nội thường có mức khoảng 5–9 triệu/tháng, tùy phòng ban và thời điểm. Mức này đủ chi trả cơ bản (ăn ở, đi lại) nhưng không dư dả nhiều. Điểm hấp dẫn là phúc lợi MB rất tốt: phòng gym, hỗ trợ đi lại, quà Tết, thưởng lễ. Quan trọng hơn, sau chương trình trainee nếu được nhận chính thức, lương sẽ tăng đáng kể. Coi đây là giai đoạn đầu tư kinh nghiệm chứ đừng kỳ vọng lương cao ngay.

4. Q: Em đang làm tester ở công ty outsource, muốn chuyển sang GRC ngân hàng. Có khả thi không? A: Hoàn toàn khả thi, đặc biệt vì em đã có nền tảng IT và hiểu quy trình phần mềm. Em cần: (1) Học thêm kiến thức ATTT nền tảng (CIA, OWASP, ISO 27001), (2) Làm quen Jira, Power BI, (3) Lấy chứng chỉ Security+ để chứng minh cam kết, (4) Viết CV lại theo hướng GRC, làm nổi bật các kỹ năng như phân tích, viết tài liệu, follow-up. Kinh nghiệm tester giúp em rất nhiều trong việc phân tích finding, đọc log, làm checklist.

5. Q: Lộ trình thăng tiến của mảng GRC ngân hàng như thế nào? So với Security Engineer thì sao? A: GRC có lộ trình rõ ràng: Trainee → Junior GRC → Senior GRC → Lead Auditor/Trưởng nhóm → Phó phòng → CISO. Điểm mạnh của GRC là dễ chuyển sang nhiều hướng: tư vấn Big4 (PwC, EY), Risk Manager, Compliance Officer, hoặc Giám đốc ATTT (CISO). So với Security Engineer, GRC thăng tiến chậm hơn ở giai đoạn đầu nhưng bù lại ổn định, ít bị "upskill or out" và cơ hội lên vị trí quản lý cao hơn vì GRC đòi hỏi tầm nhìn chiến lược.

6. Q: Em có nên apply nếu chưa biết Jira và Power BI không? A: Nên apply, vì yêu cầu của tin là "có kinh nghiệm sử dụng" chứ không yêu cầu thành thạo. Em có thể học Jira và Power BI cơ bản trong 1 tuần trước khi apply để có thêm tự tin khi phỏng vấn. Atlassian University miễn phí, Power BI Desktop miễn phí. Điều quan trọng hơn là thể hiện được em có tinh thần học hỏi, chủ động – đó là điều MB tuyển trainee rất coi trọng.

7. Q: Sau chương trình MB Trainee, có được nhận chính thức không? A: Theo thông lệ chương trình MB Trainee, sau 6–12 tháng nếu bạn đạt yêu cầu (KPI, đánh giá năng lực, phản hồi của quản lý) sẽ được ký hợp đồng chính thức với MB. Tỷ lệ được nhận thường khá cao (70–90%) nếu bạn làm tốt và hòa đồng với team. Tuy nhiên đây không phải là cam kết 100%, nên trong quá trình làm trainee em vẫn nên chủ động học thêm, networking để có phương án dự phòng.

8. Q: So với các ngân hàng khác (Techcombank, Vietcombank, ACB), mảng GRC của MB có gì đặc biệt? A: MB là một trong những ngân hàng tiên phong chuyển đổi số ở VN (app MBBank top đầu về trải nghiệm), nên đội ngũ ATTT cũng được đầu tư mạnh. MB cũng xử lý lượng giao dịch khổng lồ mỗi ngày, nên rủi ro ATTT cũng đa dạng – em sẽ được học nhiều case thực tế. So với Vietcombank (thiên về core banking truyền thống) hay Techcombank (mảng retail mạnh), MB có phong cách dynamic, nhiều dự án mới. Đây là môi trường tốt để trainee học nhanh và đa dạng.

Community Comments

[
  {
    "name": "Ẩn danh",
    "text": "Mình vừa apply MB Trainee đợt trước, mẹo nhỏ là các bạn nên đọc kỹ phần yêu cầu CV của MB – họ check từng mục. Mình thấy bạn nào để thiếu trường, thiếu số điện thoại là out ngay từ vòng CV. Nên làm đúng theo checklist họ liệt kê ra nhé.",
    "date": "2025-01-15"
  },
  {
    "name": "Minh T***",
    "text": "Mình năm ngoái cũng từng apply vị trí tương tự ở MB nhưng bị reject ở vòng chuyên môn vì không trả lời được khái niệm GRC. Các bạn nhớ nắm chắc 3 chữ G-R-C trước khi vào phỏng vấn nhé, đừng như mình 😅",
    "date": "2025-01-22"
  },
  {
    "name": "Ẩn danh",
    "text": "Gọi ý thật lòng: vị trí GRC trainee rất phù hợp với bạn nào không thích/không giỏi code nhưng muốn vào ngân hàng làm ATTT. Mình đã đi được 1 năm ở mảng này rồi, công việc chính là đọc tài liệu, viết báo cáo, họp với các phòng ban. Lương trainee hơi thấp nhưng sau khi chính thức thì OK, đặc biệt phúc lợi MB xứng đáng đồng tiền.",
    "date": "2025-02-03"
  },
  {
    "name": "Hoa N***",
    "text": "Mình đang là sinh viên năm 4 Hệ thống thông tin, đang phân vân giữa GRC và Security Engineer. Đọc xong bài này thấy GRC hợp với mình hơn vì mình thích viết lách, làm báo cáo. Cảm ơn tác giả đã phân tích rõ, đặc biệt phần so sánh với Security Engineer rất hữu ích.",
    "date": "2025-02-10"
  },
  {
    "name": "timviec_hn",
    "text": "Lưu ý cho các bạn ở tỉnh: vị trí này làm việc tại Hà Nội, nếu quê miền Trung hay miền Nam thì cân nhắc chi phí ăn ở và di chuyển nhé. MB có chính sách hỗ trợ đi lại nhưng mình nghĩ chỉ áp dụng cho nhân viên chính thức, trainee/intern thì chưa rõ.",
    "date": "2025-02-18"
  },
  {
    "name": "Ẩn danh",
    "text": "Thực tế chia sẻ: vòng chuyên môn của MB không khó lắm nếu bạn nắm vững nền tảng. Họ hay hỏi về tình huống thực tế hơn là lý thuyết. Ví dụ: 'Nếu phát hiện một phòng ban dùng phần mềm lậu, em xử lý sao?' – kiểu câu như vậy. Mình khuyên các bạn nên đọc Thông tư 31/2020 trước khi phỏng vấn, vì MB là ngân hàng nên họ sẽ hỏi liên quan đến quy định NHNN.",
    "date": "2025-03-01"
  },
  {
    "name": "banker2024",
    "text": "Đang làm ở MB hơn 1 năm rồi, thấy môi trường khá năng động, các anh chị trong team ATTT support nhiều. Vị trí trainee này nếu bạn nào vào được thì cứ chủ động xin việc thêm, đừng ngại hỏi. Team khá thoải mái, không có culture làm việc quá khắt khe như một số ngân hàng nhà nước.",
    "date": "2025-03-08"
  }
]