การประกาศตำแหน่งหัวหน้าฝ่ายความปลอดภัยไม่ใช่การจ้างงาน แต่คือช่องว่าง

บนหน้าเดียวของเว็บไซต์หางานเวียดนามแห่งหนึ่งในสัปดาห์นี้: ตำแหน่งงานด้านความปลอดภัยไซเบอร์ยี่สิบตำแหน่ง ตำแหน่งงานด้านแพลตฟอร์มยี่สิบตำแหน่ง ตำแหน่งงานด้าน AI ยี่สิบตำแหน่ง — หลายตำแหน่งถูกโพสต์ภายในหนึ่งวัน ประกาศรับสมัครแต่ละรายการคือบริษัทที่ยอมรับว่ามีงานอยู่จริงและยังไม่มีใครทำ ช่องว่างนั้นคือตลาดที่แท้จริง

เปิดกระดานงานในเวียดนามสัปดาห์นี้แล้วนับดู หนึ่งหน้าของประกาศงานบน ITviec แสดงตำแหน่งงานด้านความปลอดภัยทางไซเบอร์ 20 ตำแหน่ง ตำแหน่งด้านแพลตฟอร์มและ DevOps 20 ตำแหน่ง ตำแหน่งวิศวกรรม AI 20 ตำแหน่ง และตำแหน่งเฉพาะด้านฟินเทค 7 ตำแหน่ง หลายตำแหน่งเพิ่งถูกโพสต์ภายในสิบแปดชั่วโมงที่ผ่านมา หัวหน้าฝ่ายความมั่นคงปลอดภัยสารสนเทศที่บริษัทหลักทรัพย์แห่งหนึ่ง CISO ที่บริษัทชำระเงินแห่งหนึ่ง วิศวกรความปลอดภัยแอปพลิเคชัน เจ้าหน้าที่กำกับดูแลการปฏิบัติตามกฎเกณฑ์ และผู้เชี่ยวชาญด้านเครือข่ายที่ธนาคารสองแห่ง

ความต้องการบุคลากรที่มีความสามารถคือการตีความตามปกติ และมันก็เป็นความจริง แต่ยังมีการตีความที่สองซึ่งสำคัญกว่าสำหรับใครก็ตามที่ซื้อซอฟต์แวร์: การประกาศตำแหน่งงานด้านความปลอดภัยระดับอาวุโสคือแถลงการณ์สาธารณะว่างานนี้มีอยู่จริงและยังไม่มีใครรับผิดชอบมัน

ตำแหน่งที่ว่างอยู่มีต้นทุนที่แท้จริงอย่างไร

หัวหน้าฝ่ายความมั่นคงสารสนเทศไม่ใช่แค่เก้าอี้หนึ่งตัวในห้อง บทบาทนี้ครอบครองโครงการหนึ่ง: ระบบใดบ้างที่ได้รับการตรวจสอบ เกิดอะไรขึ้นเมื่อผู้ขายส่งการเชื่อมต่อใหม่ ใครตอบหน่วยงานกำกับดูแล เหตุการณ์ถูกลำดับขั้นอย่างไรตอนตีสอง และกระบวนการชำระเงินที่เปิดใช้งานเมื่อเดือนที่แล้วเคยผ่านการสร้างแบบจำลองภัยคุกคามหรือไม่

เมื่อที่นั่งนั้นว่างลง งานก็ไม่ได้หยุดชะงัก มันเข้าคิว

คิวนี้ไม่ใช่เรื่องสมมติ ในช่วงสองสัปดาห์ที่ผ่านมา สิ่งพิมพ์นี้ได้รายงานเกี่ยวกับธนาคารฝรั่งเศสแห่งหนึ่งที่สูญเสียเงินประมาณ 100 ล้านยูโรผ่านช่องทางการชำระเงินที่ได้รับอนุญาตของตนเอง และเหตุการณ์ของ Binance ที่เริ่มต้นจากการสัมภาษณ์งานปลอมและแพ็กเกจของนักพัฒนาที่ถูกวางยาพิษ ทั้งสองกรณีไม่ใช่ความล้มเหลวของไฟร์วอลล์ ทั้งคู่เป็นความล้มเหลวของกระบวนการที่โปรแกรมความปลอดภัยควรเป็นผู้รับผิดชอบ — การอนุมัติคำสั่ง และการตรวจสอบสิ่งที่นักพัฒนาติดตั้ง

การที่บริษัทกำลังจ้าง CISO ไม่ได้หมายความว่าบริษัทกำลังมีปัญหาจำเป็นเสมอไป แต่การที่บริษัทจ้าง CISO และวิศวกรความปลอดภัยของแอปพลิเคชัน และเจ้าหน้าที่ด้านการปฏิบัติตามข้อกำหนดในเดือนเดียวกัน บอกคุณได้ว่าโปรแกรมด้านความปลอดภัยของบริษัทกำลังถูกสร้างขึ้นใหม่ตั้งแต่ต้นอย่างรวดเร็ว

ทำไมการจ้างเพียงอย่างเดียวจึงไม่สามารถปิดช่องว่างได้

มีสามปัจจัยที่ทำให้เส้นทางการจ้างเพียงอย่างเดียวช้ากว่าที่ดูเหมือน

การจ้างบุคลากรด้านความปลอดภัยระดับอาวุโสใช้เวลาหลายเดือน การจ้างหัวหน้าฝ่ายความปลอดภัยสารสนเทศหรือ CISO เป็นการตัดสินใจระดับตัวเลขหกหลัก โดยมีรายชื่อผู้สมัครที่น่าเชื่อถืออาจมีเพียงประมาณยี่สิบคนในประเทศ ตั้งแต่การประกาศรับสมัครจนถึงการทำงานได้อย่างมีประสิทธิผลต้องวัดกันเป็นไตรมาส ไม่ใช่สัปดาห์

เก้าสิบวันแรกคือการสำรวจ หัวหน้าด้านความปลอดภัยคนใหม่ใช้ช่วงแรกในการจัดทำแผนผังระบบ ค้นหาเจ้าของระบบ และอ่านสัญญา นั่นเป็นงานที่จำเป็น และยังเป็นช่วงเวลาที่ไม่มีอะไรได้รับการแก้ไข

คนคนเดียวไม่ใช่โครงการ แม้แต่การจ้างคนเก่งก็ยังได้รับงานค้างที่สะสมไว้ ทั้งบริการที่ไม่ได้แพตช์ การเชื่อมต่อที่ไม่มีเอกสารกำกับ สิทธิ์การเข้าถึงของผู้ขายที่ไม่มีใครตรวจสอบ และกระบวนการพัฒนาอย่างปลอดภัยที่มีอยู่เพียงในสไลด์ การปิดงานค้างเหล่านั้นเป็นงานส่งมอบ ไม่ใช่งานผู้นำ — และต้องใช้กำลังคนมากกว่าที่บทบาทนี้มีให้

ข้อผิดพลาดที่ผู้ซื้อทำ

โดยสัญชาตญาณแล้ว เรามักมองสิ่งนี้เป็นปัญหาการจัดกำลังคน: เราต้องการคนด้านความปลอดภัย ก็จ้างมาคนหนึ่ง ผลลัพธ์คือคนระดับอาวุโสใช้ปีแรกไปกับการเป็นผู้จัดการโครงการราคาแพงมากสำหรับงานที่ไม่เคยได้รับการจัดสรรทรัพยากร

ทางเลือกคือการแยกสองคำถามที่มักถูกมัดรวมกันออกจากกัน:

ใครเป็นเจ้าของแผนงานด้านความปลอดภัย? นั่นคือการจ้างคน และควรเป็นการจ้างคน
ใครจะทำงานที่ค้างสะสมซึ่งแผนงานจะกำกับดูแล? นั่นคือกำลังความสามารถ และไม่จำเป็นต้องมาในรูปแบบเดียวกัน

การตอบเพียงคำถามแรกคือวิธีที่บริษัทต่างๆ ลงเอยด้วยการมี CISO แต่ไม่มีความคืบหน้า ส่วนการตอบเพียงคำถามที่สองคือวิธีที่พวกเขาลงเอยด้วยการมีผู้ขายมาทำงานที่ไม่มีใครเป็นเจ้าของ

ABN Asia เข้ามาเติมเต็มตรงไหน

ABN Asia สร้างและรักษาความปลอดภัยของซอฟต์แวร์ในสามด้าน ได้แก่ ระบบ AI วิศวกรรมด้านธนาคารและการชำระเงิน และความปลอดภัยของเครือข่ายและแอปพลิเคชัน งานส่วนใหญ่ของเราอยู่ในช่องว่างที่อธิบายไว้ข้างต้นพอดี — ช่วงเวลาระหว่าง "เรารู้ว่าสิ่งนี้ต้องได้รับการแก้ไข" กับ "คนที่เป็นเจ้าของเรื่องนี้ได้เริ่มลงมือแล้ว"

ในทางปฏิบัติ นั่นหมายถึงมีสองวิธีในการทำงานร่วมกับเรา

ควบคู่ไปกับการจ้างงาน การตรวจสอบความปลอดภัยแบบกำหนดขอบเขตคงที่หรือทีมส่งมอบที่ดำเนินการในขณะนี้ จะสร้างผลงานที่ผู้นำด้านความปลอดภัยคนใหม่มิฉะนั้นจะต้องใช้เวลาหนึ่งไตรมาสในการรวบรวม — แผนผังสถาปัตยกรรม แบบจำลองภัยคุกคาม ข้อค้นพบที่จัดลำดับความสำคัญ และรายการตรวจสอบการพัฒนาที่ปลอดภัย — และส่งมอบเมื่อตำแหน่งนั้นได้รับการบรรจุแล้ว ผู้ที่ได้รับการจ้างมาจะมาถึงพร้อมกับโครงการที่ร่างไว้แล้วแทนที่จะเป็นกระดาษเปล่า

แทนการจ้างคน สำหรับส่วนงานด้านการส่งมอบ ในกรณีที่ตำแหน่งนั้นหาคนได้ยากจริง ๆ ทีมที่ฝังตัวอยู่จะดูแลงานวิศวกรรมให้ ตั้งแต่การเสริมความแข็งแรงของเส้นทางการชำระเงิน การตรวจสอบการเชื่อมต่อกับบุคคลภายนอก ไปจนถึงการฝังกระบวนการตรวจสอบเข้าไปในไปป์ไลน์ เพื่อให้มันไม่ใช่กิจกรรมที่เกิดขึ้นไตรมาสละครั้งอีกต่อไป

เราไม่ได้ตั้งใจอ้างว่าผู้ให้บริการภายนอกจะเข้ามาแทนผู้นำด้านความปลอดภัยได้ เพราะมันทำไม่ได้ ต้องมีคนในบริษัทเป็นเจ้าของความเสี่ยง ลงนามอนุมัติข้อยกเว้น และเผชิญหน้ากับหน่วยงานกำกับดูแล สิ่งที่เราขจัดออกไปคือข้ออ้างที่ว่าอะไรก็เกิดขึ้นไม่ได้จนกว่าคนคนนั้นจะเริ่มงาน

สิ่งที่เกิดขึ้นต่อไป

หากทีมของคุณมีตำแหน่งด้านความปลอดภัยหรือการชำระเงินที่เปิดรับ คำถามที่ตรงไปตรงมาไม่ใช่จะจ้างหรือไม่ แต่คืออะไรจะดำเนินการไปในระหว่างนั้น ABN เริ่มต้นด้วยบรีฟเป็นลายลักษณ์อักษร จากนั้นเป็นการโทร 30 นาที แล้วจึงเป็นข้อเสนอขอบเขตงานที่ชัดเจนพร้อมประเมินเป็นลายลักษณ์อักษรภายในสามวันทำการ จะไม่มีการเสนอราคาก่อนที่ขอบเขตงานจะเป็นรูปเป็นร่างจริง

ประกาศรับสมัครเหล่านั้นเป็นสาธารณะ ช่องว่างที่พวกเขาอธิบายไม่ใช่ความลับ และไม่ใช่การวิจารณ์บริษัทที่กำลังรับสมัคร มันเป็นเพียงจุดที่มีงานอยู่

แหล่งที่มา: ประกาศรับสมัครงานสาธารณะของ ITviec ข้อมูล ณ วันที่ 7 พฤศจิกายน 2026 (ตำแหน่งงานด้านความปลอดภัยทางไซเบอร์ 20 ตำแหน่ง, แพลตฟอร์ม/DevOps 20 ตำแหน่ง, AI 20 ตำแหน่ง และฟินเทค 7 ตำแหน่งบนหน้าเดียว); การรายงานของสิ่งพิมพ์นี้เกี่ยวกับเหตุการณ์ Crédit Mutuel Arkéa (5 พฤศจิกายน 2026) และรายงานเหตุการณ์ Binance

โปรดทราบว่าเวอร์ชันภาษาไทยได้รับการช่วยเหลือจาก AI ดังนั้นอาจมีข้อผิดพลาดเล็กน้อย

ผู้เขียน

Ai-Banking-NetworkSecurity (ABN), ABN ASIA ถูกก่อตั้งขึ้นโดยคนที่มีรากฐานลึกในวงการวิชาการ มีประสบการณ์การทำงานในสหรัฐอเมริกา ดัตช์ ฮังการี ญี่ปุ่น เกาหลีใต้ สิงคโปร์ และเวียดนาม ABN Asia เป็นที่เราพบกันของวิทยาลัยและเทคโนโลยี ด้วยโซลูชันขั้นสูงและบริการพัฒนาซอฟต์แวร์ที่มีความสามารถ เราช่วยธุรกิจเติบโตและเข้าสู่ฉากโลก ความมุ่งมั่นของเรา: ด่วนขึ้น ดีขึ้น น่าเชื่อถือมากขึ้น ในกรณีส่วนมาก: ราคาถูกด้วย

หากคุณต้องการบริการ IT การให้คำปรึกษาดิจิทัล โซลูชันซอฟต์แวร์ใช้ได้หรือหากคุณต้องการส่งคำขอข้อเสนอ (RFPs) อย่าลังเลที่จะติดต่อเรา คุณสามารถติดต่อเราได้ที่ [email protected] เราพร้อมช่วยเหลือคุณด้านทุกความต้องกรทางเทคโนโลยีของคุณทุกเมื่อ