Nghề bảo mật không phải một công việc mà là một nhóm công việc khá khác nhau: người giám sát cảnh báo hằng ngày, người ứng cứu khi sự cố xảy ra, người kiểm thử xâm nhập theo hợp đồng, người bảo mật ứng dụng ngồi cùng lập trình viên, người lo hạ tầng đám mây, và người làm quản trị rủi ro, tuân thủ. Mỗi nhánh đòi một kiểu tính cách và một bộ kỹ năng riêng.
Hình ảnh phổ biến về nghề thường chỉ là người "tấn công thử", trong khi đó là một nhánh tương đối hẹp. Hiểu toàn cảnh giúp bạn chọn hướng hợp với mình thay vì chạy theo hình ảnh đẹp, và giúp người đang làm IT kiêm nhiệm biết mình đang gánh những vai nào.
Sáu nhánh chính và công việc hằng ngày
Tên gọi vị trí khác nhau giữa các tổ chức; bảng dưới mô tả theo bản chất công việc để bạn đối chiếu với tin tuyển dụng thật.
| Nhánh | Việc hằng ngày | Kỹ năng nổi bật | Hợp với người |
|---|---|---|---|
| Giám sát an ninh (trung tâm giám sát, SOC) | Xem và phân loại cảnh báo, điều tra sơ bộ, chuyển cấp khi nghiêm trọng | Đọc nhật ký, hiểu mạng và hệ điều hành, ghi chép | Kiên nhẫn, tỉ mỉ, chịu được việc lặp lại và ca trực |
| Ứng cứu sự cố và pháp chứng số | Khoanh vùng, thu thập bằng chứng, dựng lại diễn biến, khôi phục | Hệ điều hành sâu, giữ chuỗi bằng chứng, bình tĩnh khi gấp | Thích giải đố, chịu áp lực tốt |
| Kiểm thử xâm nhập | Thử tấn công hệ thống theo hợp đồng và phạm vi được ký, viết báo cáo | Mạng, web, hệ điều hành, viết báo cáo cho khách | Tò mò, sáng tạo, kỷ luật với phạm vi |
| Bảo mật ứng dụng | Rà mã nguồn, đưa kiểm tra bảo mật vào quy trình phát triển, hướng dẫn lập trình viên | Lập trình, hiểu lỗi phổ biến của web và ứng dụng di động | Từng làm lập trình, thích làm việc nhóm |
| Bảo mật hạ tầng và đám mây | Cấu hình quyền, mạng, mã hoá, giám sát trên nền tảng đám mây | Quản trị hệ thống, tự động hoá, hiểu mô hình quyền | Từng làm quản trị hệ thống hoặc vận hành |
| Quản trị rủi ro, tuân thủ, chính sách | Đánh giá rủi ro, viết quy định, chuẩn bị đánh giá theo tiêu chuẩn, đào tạo nhân viên | Hiểu nghiệp vụ, viết và trình bày, hiểu khung quản lý | Giỏi giao tiếp, thích hệ thống hoá |
Ở tổ chức nhỏ, một người có thể làm ba bốn nhánh cùng lúc. Ở tổ chức lớn, mỗi nhánh có thể chia nhỏ hơn nữa, ví dụ riêng mảng giám sát đã có người trực cảnh báo, người săn mối đe doạ chủ động và người viết quy tắc phát hiện.
Giám sát và ứng cứu: cửa vào phổ biến nhất
Với người mới, giám sát an ninh là cửa vào thường gặp nhất, vì tổ chức nào có hệ thống giám sát đều cần người trực cảnh báo, và việc này dạy rất nhanh. Một ngày điển hình gồm xem hàng đợi cảnh báo, loại bỏ báo động giả, điều tra những cảnh báo còn lại bằng cách đối chiếu nhật ký nhiều nguồn, ghi lại kết luận và chuyển lên cấp cao hơn khi cần.
Điều ít người kể là phần lớn cảnh báo là báo động giả, và kỹ năng quan trọng nhất là nói "cái này bình thường" một cách có căn cứ, nhanh, mà không bỏ sót cái thật. Ai coi mọi cảnh báo là thảm hoạ sẽ kiệt sức; ai coi mọi cảnh báo là giả sẽ bỏ lọt sự cố. Sau một thời gian, người giám sát giỏi thường chuyển sang ứng cứu sự cố hoặc viết quy tắc phát hiện.
Ứng cứu sự cố nặng hơn về áp lực: bạn vào cuộc khi đã có chuyện, phải vừa ngăn thiệt hại lan rộng vừa giữ nguyên bằng chứng, vừa báo cáo cho lãnh đạo bằng ngôn ngữ họ hiểu. Đây là nơi kỹ năng hệ điều hành sâu và khả năng viết rõ ràng được thử thách nhiều nhất.
Kiểm thử xâm nhập: hấp dẫn nhưng không phải thứ duy nhất
Kiểm thử xâm nhập là nhánh được nói tới nhiều nhất, và cũng hay bị hiểu sai nhất. Người làm nghề này không "hack" tuỳ ý: mỗi lần kiểm thử đều có hợp đồng, có phạm vi rõ ràng ghi những hệ thống nào được thử, khung thời gian nào, kỹ thuật nào bị cấm, và đầu mối liên hệ khi phát hiện vấn đề nghiêm trọng. Thử ra ngoài phạm vi, dù chỉ một địa chỉ, là vi phạm hợp đồng và có thể vi phạm pháp luật.
Phần thời gian lớn của người kiểm thử không nằm ở lúc tìm ra lỗi mà ở lúc viết báo cáo: mô tả lỗi, mức độ nghiêm trọng, cách tái hiện cho đội kỹ thuật của khách, và đề xuất khắc phục theo thứ tự ưu tiên. Báo cáo kém thì phát hiện hay mấy cũng không được sửa.
Nếu bạn thích nhánh này, hãy luyện qua các cuộc thi CTF và phòng lab có máy cố ý có lỗ hổng, đồng thời luyện viết báo cáo cho từng bài. Nhưng đừng bỏ qua phần phòng thủ: người kiểm thử hiểu cách đội phòng thủ làm việc sẽ đưa ra đề xuất thực tế hơn hẳn.
Bảo mật ứng dụng, đám mây và quản trị rủi ro: ba hướng chuyển ngang
Từ lập trình sang bảo mật ứng dụng. Lập trình viên đã quen mã nguồn có lợi thế lớn: họ hiểu vì sao lỗi xuất hiện và biết sửa thế nào cho không phá tính năng. Việc cần học thêm là các nhóm lỗi phổ biến của ứng dụng web và di động, cách rà mã có hệ thống, và cách thuyết phục đồng nghiệp sửa lỗi mà không biến mình thành "người hay chặn".
Từ quản trị hệ thống sang bảo mật hạ tầng và đám mây. Người từng vận hành máy chủ đã biết cấu hình, sao lưu, cập nhật. Phần bổ sung là mô hình phân quyền trên nền tảng đám mây, cách tránh để lộ kho lưu trữ hay khoá truy cập, và tự động hoá việc kiểm cấu hình.
Từ nghiệp vụ, kiểm toán, pháp chế sang quản trị rủi ro. Nhánh này cần hiểu tổ chức vận hành thế nào hơn là gõ lệnh. Người làm kiểm soát nội bộ hay pháp chế có thể chuyển sang bằng cách học nền kỹ thuật vừa đủ để nói chuyện với đội kỹ thuật, cộng với các khung quản lý an toàn thông tin phổ biến.
Chuyển ngang thường nhanh hơn bắt đầu từ số không. Kinh nghiệm cũ không mất đi mà trở thành lợi thế: một người làm bảo mật hiểu kế toán sẽ nhìn ra rủi ro trong quy trình chuyển tiền mà người chỉ biết kỹ thuật dễ bỏ qua.
Chọn hướng: năm câu hỏi tự trả lời
Thay vì hỏi "nhánh nào nhiều việc", hãy trả lời các câu dưới đây một cách thật thà. Câu trả lời thường chỉ ra hướng hợp với bạn rõ hơn mọi lời khuyên chung.
- Bạn thích tìm cái sai trong thứ người khác làm, hay thích xây cho thứ của mình chắc chắn hơn? Câu trước nghiêng về kiểm thử, câu sau nghiêng về hạ tầng và ứng dụng.
- Bạn chịu được ca trực, việc lặp lại và áp lực đột xuất tới mức nào? Giám sát và ứng cứu đòi hỏi điều này nhiều hơn các nhánh khác.
- Bạn thích viết và trình bày cho người không chuyên, hay thích làm việc sâu một mình? Quản trị rủi ro cần cái trước, nghiên cứu kỹ thuật cần cái sau.
- Kinh nghiệm hiện tại của bạn gần nhánh nào nhất? Chuyển ngang từ đó thường là đường ngắn nhất.
- Thử làm một dự án nhỏ của nhánh đó trong lab hai tuần: bạn thấy hứng thú hơn hay mệt hơn so với dự kiến?
Bước năm quan trọng nhất. Hình dung về một nghề và trải nghiệm làm thử nó thường lệch nhau, và hai tuần làm thử rẻ hơn rất nhiều so với hai năm theo một hướng không hợp.
Những vai ít được nhắc tới nhưng có thật
Ngoài sáu nhánh chính, nghề còn nhiều vai nhỏ hơn mà người ngoài ít biết. Chúng thường là chỗ đứng tốt cho người có thế mạnh lệch khỏi kỹ thuật thuần:
- Đào tạo nhận thức bảo mật: thiết kế bài học, tình huống mô phỏng lừa đảo nội bộ có sự đồng ý của lãnh đạo, đo mức nhân viên nhận ra và báo cáo. Hợp với người từng làm giáo dục, nhân sự.
- Săn mối đe doạ chủ động: không chờ cảnh báo mà tự đặt giả thuyết rồi tìm dấu vết trong dữ liệu. Thường là bước tiếp theo của người giám sát nhiều kinh nghiệm.
- Viết quy tắc phát hiện: biến hiểu biết về một kiểu tấn công thành quy tắc để hệ thống giám sát tự cảnh báo, rồi tinh chỉnh để giảm báo động giả.
- Bảo mật cho sản phẩm phần cứng và thiết bị kết nối: camera, khoá thông minh, thiết bị công nghiệp. Cần thêm nền điện tử và hệ thống nhúng.
- Quản lý danh tính và quyền truy cập: ai được vào hệ thống nào, cấp và thu hồi quyền khi người vào làm, chuyển bộ phận, nghỉ việc. Việc nghe khô khan nhưng là gốc của rất nhiều sự cố.
Khi đọc tin tuyển dụng, hãy nhìn vào mô tả công việc hằng ngày thay vì chức danh. Cùng một chức danh có thể là hai công việc rất khác nhau ở hai tổ chức.
AI đang làm từng nhánh thay đổi ra sao
Ở nhánh giám sát, công cụ có AI đang nhận phần tóm tắt cảnh báo, gom các cảnh báo liên quan thành một vụ, và viết nháp ghi chú điều tra. Người trực vẫn phải quyết định cuối cùng, nhưng thời gian dành cho việc chép dán giảm đi, thời gian dành cho phán đoán tăng lên. Ở nhánh kiểm thử và bảo mật ứng dụng, AI giúp đọc nhanh mã nguồn lạ và gợi ý chỗ đáng nghi, nhưng cũng đưa ra nhiều gợi ý sai cần người kiểm lại.
Ở nhánh quản trị rủi ro, AI giúp soạn nháp quy định, đối chiếu chính sách với tiêu chuẩn, tóm tắt tài liệu dài. Đồng thời, chính việc doanh nghiệp đưa AI vào vận hành tạo ra một mảng việc mới: đánh giá rủi ro của công cụ AI, viết quy định dùng AI, kiểm soát dữ liệu đưa vào chatbot.
Điểm chung của mọi nhánh: phần việc dễ lặp lại đang được tự động hoá dần, còn phần đòi hỏi hiểu bối cảnh, chịu trách nhiệm kết luận và giải thích cho con người thì vẫn cần người. Ai chỉ biết làm phần lặp lại sẽ thấy áp lực nhiều nhất.
Câu hỏi thường gặp
Nhánh nào dễ vào nhất cho người mới?
Không có nhánh dễ, nhưng giám sát an ninh và hỗ trợ kỹ thuật kiêm bảo mật thường có nhiều vị trí đầu vào hơn vì nhu cầu trực cảnh báo lớn và có thể đào tạo tại chỗ. Kiểm thử xâm nhập ít vị trí cho người hoàn toàn mới hơn, vì khách hàng trả tiền cho kinh nghiệm. Tình hình cụ thể thay đổi theo thời điểm, nên hãy đọc tin tuyển dụng thật để đối chiếu.
Làm quản trị rủi ro có cần biết kỹ thuật không?
Cần ở mức đủ để hiểu đội kỹ thuật đang nói gì và đánh giá được một biện pháp có khả thi hay không. Bạn không cần tự cấu hình tường lửa, nhưng cần hiểu tường lửa chặn được gì và không chặn được gì. Người quản trị rủi ro thiếu nền kỹ thuật dễ viết ra quy định đẹp trên giấy mà không áp dụng được.
Có thể làm bảo mật mà không trực đêm không?
Có. Ca trực thường gắn với các trung tâm giám sát chạy liên tục. Các nhánh như bảo mật ứng dụng, quản trị rủi ro, đào tạo nhận thức, hay bảo mật hạ tầng ở doanh nghiệp thường làm giờ hành chính, dù đôi khi vẫn phải hỗ trợ ngoài giờ khi có sự cố lớn.
Người làm IT kiêm nhiệm có được coi là làm bảo mật không?
Họ đang làm một phần việc bảo mật thật: quản lý tài khoản, sao lưu, cập nhật, xử lý sự cố ban đầu. Kinh nghiệm này có giá trị khi chuyển sang nhánh hạ tầng hoặc giám sát, nhất là nếu bạn ghi chép lại các việc đã làm, các sự cố đã xử lý và kết quả đạt được.
Nghề bảo mật có cần làm việc nhóm nhiều không?
Rất nhiều. Gần như mọi phát hiện đều phải được người khác sửa: lập trình viên sửa mã, quản trị viên đổi cấu hình, lãnh đạo duyệt ngân sách. Người làm bảo mật giỏi kỹ thuật nhưng không thuyết phục được ai thường thấy công việc bế tắc.
Có nên chọn chuyên sâu ngay từ đầu không?
Nên học rộng ở giai đoạn đầu để có nền chung, sau đó chọn một nhánh để đi sâu khi đã thử qua vài loại việc. Chuyên sâu quá sớm khi chưa biết mình hợp với gì dễ dẫn tới việc phải học lại từ đầu sau vài năm.