Chuyên viên Vận hành Cơ sở Hạ tầng Khóa Công Khai Ngân hàng (Bank PKI Infrastructure Operations Officer)
Chuyên viên Vận hành Cơ sở Hạ tầng Khóa Công Khai Ngân hàng là chức danh thuộc khối công nghệ thông tin (CNTT) an toàn thông tin, chịu trách nhiệm quản trị, giám sát, bảo trì và xử lý sự cố cho toàn bộ hệ thống PKI (Public Key Infrastructure) nội bộ của ngân hàng. Hệ thống này bao gồm Certificate Authority (CA), Registration Authority (RA), máy chủ OCSP/CRL, HSM (Hardware Security Module), hệ thống lưu ký khóa, công cụ quản lý vòng đời chứng thư số (certificate lifecycle management) và các tích hợp với hệ thống ngân hàng lõi (Core Banking), Internet Banking, Mobile Banking, SWIFT, ATM/POS, cổng thanh toán trực tuyến và chữ ký số từ xa. Vị trí này đảm bảo các giao dịch điện tử, chữ ký số trên hợp đồng tín dụng, sao kê điện tử, chứng từ kế toán, kết nối liên ngân hàng và hồ sơ khách hàng điện tử (eKYC) luôn được xác thực, toàn vẹn và không thể phủ nhận — ba yếu tố cốt lõi (Authentication, Integrity, Non-repudiation) mà PKI mang lại.
Vai trò và nhiệm vụ chính
Vị trí này thường nằm trong Trung tâm Công nghệ Thông tin hoặc Khối An toàn Thông tin (CISO Office) và có thể được giao phối hợp trực tiếp với Phòng Thanh toán, Phòng Tín dụng, Phòng Kế toán và các đơn vị kinh doanh. Các nhóm nhiệm vụ chính gồm:
- Vận hành hệ thống CA/RA hàng ngày: cấp phát, gia hạn, thu hồi, tạm ngưng (suspend) và phục hồi (reinstate) chứng thư số cho người dùng nội bộ, máy chủ ứng dụng, thiết bị mạng, kênh số và đối tác liên ngân hàng; đảm bảo tuân thủ chính sách chứng thư (CP/CPS) nội bộ và quy định pháp luật về chữ ký số.
- Quản lý HSM và khóa bí mật: thực hiện quy trình "four-eyes" khi khởi tạo, sao lưu, khôi phục và xoay vòng khóa (key rotation); giám sát hoạt động của các FIPS 140-2/140-3 Level 3 HSM như Thales Luna, Utimaco hoặc AWS CloudHSM.
- Giám sát, phát hiện và ứng cứu sự cố: theo dõi log từ CA, HSM, SIEM; phát hiện chứng thư hết hạn, chứng thư bị thu hồi bất thường, dấu hiệu tấn công vào CA hoặc lộ khóa; tham gia quy trình ứng cứu sự cố an ninh mạng theo khung ITIL/SOX.
- Tích hợp PKI với hệ thống ngân hàng: phối hợp với đội ngũ phát triển ứng dụng triển khai mTLS, SAML, OAuth mTLS, API chữ ký số, xác thực mạnh (strong authentication) cho eKYC, smart OTP, sinh trắc học theo Quyết định 2345/NHNN.
- Tuân thủ và kiểm toán: chuẩn bị hồ sơ kỹ thuật cho thanh tra NHNN, kiểm toán nội bộ (Internal Audit), kiểm toán SOC 2, ISO 27001/27019, PCI DSS và các cuộc diễn tập an ninh định kỳ.
- Xây dựng SOP và đào tạo: biên soạn quy trình vận hành chuẩn (SOP), tổ chức đào tạo awareness về chữ ký số cho nhân viên toàn hàng.
Yêu cầu năng lực và lộ trình phát triển
Để ứng tuyển vị trí này, ứng viên thường cần tốt nghiệp đại học chuyên ngành CNTT, An toàn thông tin, Toán - Tin hoặc Điện tử - Viễn thông và có 1–3 năm kinh nghiệm vận hành hệ thống (System Admin, Network Security, SOC). Các chứng chỉ quốc tế được tuyển dụng đánh giá cao gồm: CompTIA Security+, GIAC GCIA, GIAC GCSA, EC-Council CEH, (ISC)² CISSP, CCSP; riêng về PKI có thể tham khảo các khoá học của Venafi, Keyfactor, Sectigo hoặc các hãng HSM. Về mặt kỹ năng cứng, ứng viên cần nắm vững mật mã học cơ sở (RSA, ECC, SHA-2/3, AES, TLS 1.2/1.3), giao thức PKCS#11, X.509, OCSP, CRL, LDAP, SCEP, EST, ACME, hoạt động của CA như Microsoft AD CS, EJBCA, OpenSSL, Entrust, DigiCert và kinh nghiệm quản trị Linux/Windows Server, scripting (Python, PowerShell, Bash).
Lộ trình thăng tiến thường đi từ Chuyên viên Vận hành → Chuyên viên Cao cấp PKI → Trưởng nhóm Vận hành Hạ tầng Bảo mật → Quản lý Trung tâm Vận hành CNTT hoặc Kiến trúc sư An toàn Thông tin (Security Architect) phụ trách thiết kế hệ thống PKI cấp doanh nghiệp.
Câu hỏi thường gặp
Hỏi: Chuyên viên Vận hành PKI khác gì với chuyên viên An toàn thông tin (InfoSec) thông thường tại ngân hàng? Chuyên viên InfoSec tổng quát phụ trách chính sách, quản trị rủi ro, SOC, DLP, tường lửa… ở phạm vi rộng; trong khi Chuyên viên Vận hành PKI chuyên sâu vào hạ tầng mật mã — tức chỉ quản trị CA, HSM, chứng thư số và tích hợp chữ ký số. Vị trí PKI đòi hỏi hiểu biết kỹ thuật sâu về mật mã học và vận hành "zero-downtime" vì nếu CA ngừng hoạt động, toàn bộ giao dịch số và chữ ký điện tử của ngân hàng có thể tê liệt.
Hỏi: Ngân hàng có thể tự xây dựng CA riêng (Private CA) hay phải dùng CA của nhà cung cấp bên ngoài? Cả hai phương án đều phổ biến và thường kết hợp. Ngân hàng thường dùng CA thương mại có uy tín (ví dụ: VNNIC cấp chứng thư công cộng, hoặc nhà cung cấp quốc tế như DigiCert, GlobalSign) cho chứng thư SSL/TLS website công khai, kết nối SWIFT, API đối tác; đồng thời triển khai Private CA nội bộ (ví dụ Microsoft AD CS, EJBCA) để cấp chứng thư cho người dùng nội bộ, máy chủ, ứng dụng, thiết bị IoT. Việc sử dụng dịch vụ chứng thực chữ ký số công cộng tại Việt Nam phải tuân thủ quy định pháp luật về giao dịch điện tử và chữ ký số hiện hành.
Hỏi: Khi HSM gặp sự cố, quy trình ứng cứu được thực hiện như thế nào? Khi HSM lỗi, chuyên viên vận hành lập tức kích hoạt quy trình DR theo SOP, kích hoạt HSM dự phòng (cluster active-active hoặc standby), sử dụng bản sao lưu khóa được niêm phong tại hai địa điểm vật lý khác nhau để khôi phục, đồng thời thông báo NHNN nếu sự cố ảnh hưởng dịch vụ thanh toán hoặc chữ ký số công cộng. Toàn bộ thao tác phải có hai người thực hiện theo nguyên tắc "four-eyes", có camera giám sát và ghi log kiểm toán phục vụ truy vết sau này.
Nội dung mang tính tham khảo về mặt nghề nghiệp và định hướng kỹ thuật, không thay thế tư vấn chuyên môn của từng ngân hàng hoặc tư vấn pháp lý về chữ ký số, an toàn thông tin tại Việt Nam.