Security Engineer (Mid-level)

KamiMind là nền tảng Agentic AI phục vụ người dùng trên web, mobile và khách hàng doanh nghiệp. Dữ liệu đi qua nền tảng gồm hội thoại, tài liệu nội bộ và knowledge base của khách hàng.

Bạn sẽ bảo vệ các nhóm tài sản sau:

• Hạ tầng: Cloud (GCP), GPU cloud cho LLM serving, mạng và các môi trường staging/production
• Mã nguồn và pipeline: Repository GitHub/GitLab, CI/CD, container image, dependency
• Bí mật và danh tính: API key của nhà cung cấp LLM, token, credential cloud, SSO và quyền truy cập của nhân sự
• Dữ liệu: Dữ liệu người dùng, hội thoại, knowledge base (RAG) của khách hàng, log
• Tài sản AI: System prompt, cấu hình agent, model và trọng số tự host

Các rủi ro đặc thù của sản phẩm AI agent - prompt injection, rò rỉ dữ liệu qua tool call và lạm dụng API key - là một phần cốt lõi của công việc.

Trách nhiệm chính

Hạ tầng cloud và container

• Hardening tài khoản cloud: IAM theo nguyên tắc least-privilege, phân tách mạng, firewall, private endpoint, mã hoá dữ liệu khi lưu trữ và khi truyền.
• Quét lỗ hổng container image và host, quản lý việc vá lỗi theo mức độ nghiêm trọng.
• Rà soát cấu hình hạ tầng trước khi lên production; tách biệt rõ ràng dev, staging và production.

Bảo mật ứng dụng và vòng đời phát triển

• Đưa secret scanning, SAST, SCA và container scanning vào pipeline CI/CD trên GitHub/Jenkins.
• Threat modeling và review bảo mật cho các tính năng mới, đặc biệt là code Go và Python.
• Quản lý lỗ hổng từ khi phát hiện đến khi xử lý xong; điều phối pentest định kỳ và vận hành kênh tiếp nhận báo cáo lỗ hổng.

Bí mật, danh tính và quyền truy cập

• Quản lý secrets tập trung (Vault hoặc GCP Secret Manager) và xoay vòng API key của nhà cung cấp LLM.
• Bắt buộc SSO và MFA; vận hành quy trình onboarding/offboarding và rà soát quyền truy cập định kỳ.
• Xây dựng chính sách bảo mật cho thiết bị làm việc: mã hoá ổ đĩa, cập nhật, quản lý từ xa.

Bảo mật AI agent và LLM

• Thiết kế guardrail chống prompt injection, rò rỉ dữ liệu qua tool call và việc agent vượt quá quyền hạn.
• Cô lập dữ liệu khách hàng trong knowledge base (RAG) và trong môi trường thực thi tool, code của agent.
• Phát hiện lạm dụng qua rate limit và các bất thường về lưu lượng, chi phí LLM; red-team agent theo OWASP Top 10 for LLM Applications.

Giám sát và ứng phó sự cố

• Thiết lập log tập trung, cảnh báo cho các sự kiện bảo mật quan trọng và audit log cho việc truy cập dữ liệu khách hàng.
• Viết playbook ứng phó sự cố, bao gồm thông báo vi phạm dữ liệu cá nhân đúng thời hạn luật định; tham gia trực sự cố bảo mật và chủ trì postmortem.
• Kiểm thử backup và khôi phục theo lịch định kỳ.

Tuân thủ và khách hàng doanh nghiệp

• Đảm bảo hệ thống tuân thủ Luật Bảo vệ dữ liệu cá nhân 2025, Nghị định 356/2025/NĐ-CP và Luật An ninh mạng 2025; hỗ trợ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) và đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài (CTIA), bao gồm luồng dữ liệu tới các nhà cung cấp LLM.
• Trả lời security questionnaire của khách hàng và xây nền tảng cho ISO 27001 hoặc SOC 2 khi công ty cần.
• Tổ chức đào tạo nhận thức bảo mật cho đội ngũ.

Yêu cầu

• 2–5 năm kinh nghiệm ở vai trò security engineer, DevSecOps engineer, hoặc DevOps/SRE engineer có trách nhiệm bảo mật rõ ràng.
• Nền tảng vững về Linux và mạng: TCP/IP, DNS, TLS, VPN, firewall, reverse proxy.
• Có kinh nghiệm thực tế về bảo mật trên ít nhất một nền tảng cloud (ưu tiên GCP; AWS hoặc Azure cũng được): IAM, VPC, KMS, logging.
• Thành thạo Docker và bảo mật container; hiểu rõ CI/CD.
• Đọc và review được code Go hoặc Python; tự viết script tự động hoá bằng Python hoặc Bash.
• Nắm chắc OWASP Top 10 và các cơ chế xác thực, phân quyền (OAuth2/OIDC, JWT, RBAC).
• Đã tự tay triển khai các công cụ bảo mật như Semgrep, Trivy, Gitleaks hoặc tương đương.
• Đã xử lý ít nhất một sự cố bảo mật thực tế và trình bày được cách đã giải quyết.
• Viết runbook và tài liệu rõ ràng; đọc tốt tài liệu kỹ thuật tiếng Anh; giải thích rủi ro dễ hiểu cho cả kỹ sư lẫn ban lãnh đạo.
• Tư duy hỗ trợ: tìm cách giúp sản phẩm an toàn hơn mà không làm chậm đội phát triển.

Điểm cộng

• Kinh nghiệm bảo mật ứng dụng LLM hoặc AI agent: prompt injection, OWASP Top 10 for LLM Applications, MITRE ATLAS.
• Kubernetes security, Terraform, policy-as-code (OPA, Kyverno).
• Chứng chỉ: OSCP, OSWE, CKS, Google Professional Cloud Security Engineer, AWS Certified Security – Specialty, CompTIA Security+.
• Đã tham gia triển khai ISO 27001 hoặc SOC 2, hoặc từng làm việc với ngân hàng, doanh nghiệp lớn về audit và security questionnaire.
• Kinh nghiệm bảo mật nền tảng SaaS multi-tenant.
• Có thành tích CTF, bug bounty, CVE hoặc đóng góp cho các dự án mã nguồn mở về bảo mật.

Quyền lợi

• Môi trường làm việc năng động, chuyên nghiệp và thân thiện, nhiều cơ hội phát triển nghề nghiệp.
• Bảo hiểm xã hội, khám sức khoẻ và các phúc lợi khác theo quy định của pháp luật.
• Lương cạnh tranh; thưởng cuối năm, thưởng dự án, sinh nhật, lễ, Tết.