Senior Security Engineer

3 Lý do để gia nhập công ty

• Dynamic work environment with experienced leaders
• Competitive salary,benefits package including ESOP
• Career advancement opportunities

Mô tả công việc

Về Finan

     Finan đang xây dựng nền tảng kinh doanh ứng dụng AI dành cho các doanh nghiệp vừa và nhỏ tại Đông Nam Á, giúp khách hàng quản lý, vận hành và phát triển hoạt động kinh doanh hiệu quả hơn.

Các sản phẩm chính của Finan gồm:

• SoBanHang — Ứng dụng bán hàng và quản lý kinh doanh dành cho tiểu thương, hộ kinh doanh và doanh nghiệp nhỏ tại Việt Nam.
• FinanOne — Nền tảng quản lý tài chính – kế toán, giúp SME tự động hóa các nghiệp vụ ngân hàng, dòng tiền và kế toán.

Chúng tôi đang xây dựng gì?

    Finan đang phát triển một nền tảng vận hành ứng dụng AI, phục vụ nhiều nhóm khách hàng và ngành nghề khác nhau.

    Nền tảng bao gồm các sản phẩm và tính năng như:

• AI copilot và AI agents hỗ trợ xử lý công việc.
• Voice-to-form và tự động hóa nhập liệu.
• Workflow engine cho các quy trình tài chính và vận hành.
• Hệ thống xử lý dữ liệu giao dịch, thông tin cá nhân và dữ liệu kinh doanh của khách hàng.

Platform đang vận hành theo các yêu cầu kiểm soát của PCI-DSS Level 2 và đã đạt chứng nhận ISO 27001:2022.

Chúng tôi đang tìm thêm một Senior Security Engineer để cùng Engineering và Infrastructure cải thiện kiến trúc bảo mật, khả năng giám sát và quy trình vận hành security khi sản phẩm tiếp tục mở rộng.

Yêu cầu công việc

Về vai trò

     Ở vị trí Senior Security Engineer, bạn sẽ tham gia xây dựng và cải thiện security cho platform từ kiến trúc, hệ thống giám sát đến quy trình xử lý sự cố và hỗ trợ audit.

Đây là vị trí thiên về thực hành kỹ thuật. Tuy nhiên, bạn sẽ không phải tự mình phụ trách tất cả mọi thứ. Bạn sẽ phối hợp cùng Software Engineer, DevOps, Infrastructure, Product và Leadership để giải quyết các vấn đề security theo mức độ ưu tiên.

    Chúng tôi không kỳ vọng ứng viên phải là chuyên gia ở mọi mảng. Điều quan trọng là bạn có nền tảng tốt, từng làm việc với production system và sẵn sàng học thêm trong quá trình làm việc.

Bạn sẽ làm gì?

• Theo dõi, phân tích và cải thiện khả năng phát hiện các sự kiện bảo mật.
• Xây dựng và điều chỉnh rule cho IDS/IPS hoặc hệ thống network monitoring.
• Cải thiện dashboard, alert và quy trình xử lý cảnh báo.
• Tham gia review kiến trúc và đánh giá rủi ro cho các thay đổi quan trọng.
• Làm việc với TLS, certificate, network segmentation và các biện pháp bảo vệ kết nối giữa các service.
• Cải thiện cách lưu trữ, sử dụng và luân chuyển secrets.
• Phối hợp điều tra và xử lý security incident.
• Viết script hoặc công cụ nhỏ để tự động hóa security check và thu thập audit evidence.
• Hỗ trợ các hoạt động liên quan đến PCI-DSS, ISO 27001 và bảo vệ dữ liệu.
• Chia sẻ kiến thức về secure coding và security awareness với các team.
• Phạm vi công việc sẽ được sắp xếp theo kinh nghiệm, thế mạnh và định hướng phát triển của bạn.

Chúng tôi đang tìm kiếm

• Có khoảng 4 năm kinh nghiệm trở lên trong security engineering, infrastructure security, cloud security hoặc vị trí tương đương.
• Đã từng làm việc trực tiếp với production system.
• Có nền tảng tốt về network security, Linux và bảo mật hệ thống.
• Có kinh nghiệm với ít nhất một công cụ IDS/IPS hoặc network monitoring như Suricata, Snort, Zeek hay giải pháp tương đương.
• Hiểu về TLS, certificate, firewall, network segmentation, VPC hoặc security group.
• Đã từng sử dụng một giải pháp quản lý secrets như HashiCorp Vault, AWS Secrets Manager, GCP Secret Manager, SOPS hoặc công cụ tương đương.
• Có thể sử dụng Python, Bash hoặc ngôn ngữ scripting khác để tự động hóa công việc.
• Hiểu quy trình xử lý security incident và từng tham gia điều tra hoặc khắc phục sự cố.
• Có khả năng viết tài liệu kỹ thuật rõ ràng và phối hợp với các team khác.
• Biết cân bằng giữa yêu cầu bảo mật, rủi ro kinh doanh và tốc độ phát triển sản phẩm.

Bạn vẫn được khuyến khích ứng tuyển nếu chưa đáp ứng toàn bộ danh sách trên.

Chúng tôi đánh giá cao kinh nghiệm thực tế, khả năng giải quyết vấn đề và tinh thần chủ động hơn việc đáp ứng đủ từng công cụ hoặc chứng chỉ.

Sẽ là lợi thế nếu bạn có

• Kinh nghiệm tham gia audit hoặc triển khai control liên quan đến PCI-DSS, ISO 27001, SOC 2 hay tiêu chuẩn tương đương.
• Kinh nghiệm với AWS Security Hub, GuardDuty, GCP Security Command Center, Microsoft Defender for Cloud hoặc nền tảng cloud security khác.
• Đã sử dụng các công cụ SAST, DAST hoặc SCA như Semgrep, SonarQube, OWASP ZAP, Burp Suite, Snyk hoặc Trivy.
• Kinh nghiệm với SIEM hoặc security monitoring như ELK, Splunk hay Datadog.
• Từng làm việc trong fintech, ngân hàng, healthcare hoặc môi trường có yêu cầu audit thường xuyên.
• Hiểu biết về AI/LLM security như prompt injection, data leakage, model abuse hoặc AI red-teaming.
• Hiểu các quy định về bảo vệ dữ liệu cá nhân tại Việt Nam.
• Có chứng chỉ như CISSP, CISA, OSCP, ISO 27001 Lead Implementer hoặc Lead Auditor.
• Từng hướng dẫn hoặc chia sẻ kiến thức secure coding cho engineering team.
• Các nội dung này đều là điểm cộng, không phải điều kiện bắt buộc.

Cách chúng tôi làm việc

Tập trung vào rủi ro thực tế

Chúng tôi ưu tiên các vấn đề dựa trên mức độ ảnh hưởng và khả năng xảy ra, thay vì triển khai security control chỉ để hoàn thành checklist.

Security là trách nhiệm chung

Senior Security Engineer có phạm vi ownership rõ ràng nhưng không làm việc một mình. Các vấn đề security được giải quyết với sự phối hợp của Engineering, Infrastructure, Product và Leadership.

Thiết kế trước khi triển khai

Các thay đổi có rủi ro cao được review về kiến trúc và security trước khi đưa lên production.

Kết quả có thể kiểm chứng

Các cải tiến security được xác minh bằng log, automated check, test result hoặc bằng chứng có thể truy vết.

Ứng dụng AI vào công việc

Bạn được sử dụng Claude Code, Cursor và ngân sách LLM API để hỗ trợ phân tích log, viết script, xây dựng rule và tự động hóa các công việc lặp lại.

Trao đổi cởi mở

Chúng tôi khuyến khích mọi người nêu vấn đề sớm, trao đổi thẳng thắn và cùng nhau tìm giải pháp phù hợp.

Vị trí này phù hợp với bạn nếu

• Bạn thích làm security theo hướng hands-on và giải quyết các vấn đề thực tế.
• Bạn muốn tham gia cả quá trình phát hiện, khắc phục và cải thiện hệ thống.
• Bạn chủ động tìm hiểu vấn đề nhưng cũng sẵn sàng phối hợp với các team khác.
• Bạn muốn phát triển sâu hơn về product security, cloud security hoặc security engineering.
• Bạn có thể làm việc full-time tại văn phòng TP. Hồ Chí Minh.

Tại sao bạn sẽ yêu thích làm việc tại đây

• Mức lương cạnh tranh theo năng lực và kinh nghiệm, được trao đổi từ vòng phỏng vấn đầu tiên.
• Cơ hội tham gia chương trình ESOP theo level và mức độ đóng góp.
• Cơ hội phát triển lên Security Lead hoặc các vai trò quản lý kỹ thuật.
• Phụ cấp ăn trưa.
• Trang bị laptop và màn hình phục vụ công việc.
• Đóng bảo hiểm xã hội trên 100% mức lương.
• Đầy đủ các chế độ theo quy định của Luật Lao động.
• Thưởng vào các dịp lễ, Tết và theo kết quả hoạt động.
• Team building, tiệc cuối năm và các hoạt động nội bộ thường niên.
• Ngân sách LLM API cá nhân và quyền truy cập các AI tooling nội bộ.
• Hỗ trợ ngân sách học tập, đào tạo và chứng chỉ chuyên môn sau 6 tháng làm việc.
• Giờ làm việc linh hoạt trong khung giờ hành chính.
• Môi trường đề cao sự chủ động, tập trung vào kết quả và hạn chế các cuộc họp không cần thiết.