Senior Product Security Engineer ( Application Security/ AppSec )
CÔNG TY CỔ PHẦN ĐẦU TƯ CÔNG NGHỆ VÀ THƯƠNG MẠI SOFTDREAMS
Thoả thuậnĐăng ngày: Mới cập nhật
CÔNG TY CỔ PHẦN ĐẦU TƯ CÔNG NGHỆ VÀ THƯƠNG MẠI SOFTDREAMS
1. Xây dựng quy trình bảo mật trong phát triển phần mềm • Thiết kế và triển khai quy trình Secure SDLC phù hợp với mô hình tribe/squad. • Đưa các bước kiểm tra bảo mật vào quá trình phân tích yêu cầu, thiết kế, coding, testing và release. • Xây dựng checklist bảo mật đơn giản, dễ áp dụng cho dev, tester, BA, SA. 2. Quản lý lỗ hổng bảo mật • Quản lý kết quả từ các công cụ SAST, DAST, dependency scan, secret scan và AI security scan. • Phân loại mức độ rủi ro của lỗ hổng: Critical, High, Medium, Low. • Phối hợp với tribe/squad để đưa lỗi bảo mật vào backlog và theo dõi xử lý. • Xây dựng SLA xử lý lỗ hổng và dashboard theo dõi tình trạng bảo mật theo từng tribe/sản phẩm. 3. Quản lý phân quyền và truy cập • Xây dựng nguyên tắc quản lý phân quyền cho các sản phẩm và hệ thống nội bộ. • Hỗ trợ các tribe rà soát role, quyền admin, quyền truy cập dữ liệu nhạy cảm. • Đề xuất kiểm soát với tài khoản đặc quyền, tài khoản dùng chung, quyền support, quyền vận hành. • Phối hợp với các team để cải thiện log/audit trail liên quan đến truy cập dữ liệu 4. Hỗ trợ hồ sơ ATTT và dữ liệu cá nhân • Hỗ trợ các tribe hoàn thiện hồ sơ cấp độ hệ thống thông tin cho sản phẩm của mình. • Hỗ trợ đánh giá tác động xử lý dữ liệu cá nhân cùng các bộ phận liên quan. • Biến các gap phát hiện từ hồ sơ thành backlog cải tiến kỹ thuật hoặc quy trình. 5. Phối hợp audit, pentest, red team • Làm đầu mối kỹ thuật khi công ty làm việc với đối tác audit/pentest/red team. • Chuẩn bị scope, tài khoản test, tài liệu hệ thống và rule of engagement. • Đánh giá kết quả audit, phối hợp triage với tribe/squad. • Theo dõi việc xử lý lỗi và tổ chức retest khi cần. • Chuyển bài học từ audit thành checklist, quy trình và đào tạo nội bộ. 6.
1. Kinh nghiệm • Có trình độ đại học trở lên về ATTT. • Có từ 4 năm kinh nghiệm một trong các mảng: AppSec, Security Engineering, Pentest, Security Consultant, Product Security. • Có kinh nghiệm làm việc với hệ thống web/API. • Hiểu các nhóm lỗi phổ biến như phân quyền sai, IDOR, injection, XSS, upload file, lộ thông tin, lỗi xác thực. • Có kinh nghiệm sử dụng hoặc quản lý kết quả từ các công cụ SAST, DAST, dependency scan. • Có kinh nghiệm làm việc với đội phát triển phần mềm là lợi thế lớn. 2. Kiến thức cần có • Hiểu về Secure SDLC. • Hiểu về vulnerability management. • Hiểu cơ bản về kiến trúc hệ thống, API, database, authentication, authorization. • Hiểu về quản lý phân quyền, tài khoản đặc quyền, log truy cập. • Có hiểu biết về bảo vệ dữ liệu cá nhân, hồ sơ cấp độ ATTT là lợi thế. • Có kinh nghiệm làm việc với đối tác audit/pentest/red team là lợi thế. 3. Kỹ năng mềm • Giao tiếp tốt với dev, tester, BA, SA, DevOps và quản lý. • Biết giải thích rủi ro bảo mật bằng ngôn ngữ dễ hiểu. • Có tư duy thực tế, không máy móc checklist. • Biết ưu tiên theo mức độ rủi ro và ảnh hưởng kinh doanh. • Có khả năng viết quy trình ngắn gọn, rõ ràng, dễ áp dụng. • Có tinh thần hỗ trợ đội sản phẩm, không chỉ “bắt lỗi”
IT - Phần mềm
nhật tháng, quý