Đây là câu hỏi nên đặt ra trước khi bỏ tiền, không phải sau. Bài này trả lời thẳng, kể cả những phần không có lợi cho việc bán khóa học.
Trước hết: chứng chỉ làm được gì và không làm được gì
Security+ không tạo ra công việc cho bạn. Nó không thay thế kinh nghiệm, không thay thế kỹ năng thực hành, và không có nhà tuyển dụng nào nhận người chỉ vì thấy dòng chữ đó trên CV.
Thứ nó làm được là đưa hồ sơ của bạn qua vòng đầu tiên. Ở Việt Nam, nhiều công ty lớn và công ty nước ngoài lọc hồ sơ bằng từ khóa trước khi có người thật đọc. Không có chứng chỉ nào trong danh sách yêu cầu thì hồ sơ bị loại trước khi ai đó kịp thấy bạn có gì hay.
Nói cách khác: Security+ là tấm vé vào cửa, không phải chỗ ngồi.
Hiểu đúng điều này quan trọng, vì nó quyết định bạn nên đầu tư thời gian còn lại vào đâu.
Các vị trí thường yêu cầu hoặc ưu tiên Security+
Chuyên viên SOC (Security Operations Center) — tier 1 Giám sát cảnh báo, phân loại sự cố, leo thang khi cần. Đây là cửa vào phổ biến nhất của ngành bảo mật ở Việt Nam, và cũng là nơi Security+ được nhắc tới nhiều nhất.
Chuyên viên an toàn thông tin Vị trí chung chung trong các doanh nghiệp có phòng IT riêng: quản lý chính sách, rà soát quyền truy cập, xử lý sự cố, phối hợp kiểm toán.
Quản trị hệ thống / mạng có phần bảo mật Nhiều tin tuyển dụng sysadmin hiện nay thêm dòng "ưu tiên có chứng chỉ bảo mật". Đây là nhóm mà Security+ tạo khác biệt rõ nhất, vì bạn đã có kinh nghiệm vận hành, chỉ thiếu chứng nhận về mặt bảo mật.
Chuyên viên tuân thủ / kiểm toán CNTT Domain 5 của Security+ (quản trị, rủi ro, tuân thủ) khớp gần như trực tiếp với công việc này.
Kỹ sư triển khai giải pháp bảo mật Ở các công ty tích hợp hệ thống và phân phối sản phẩm bảo mật. Chứng chỉ vendor-neutral như Security+ thường là yêu cầu nền, sau đó công ty đào tạo thêm chứng chỉ của hãng.
Nhóm doanh nghiệp tuyển nhiều nhất
Doanh nghiệp FDI và công ty outsourcing cho thị trường Mỹ. Đây là nhóm coi trọng Security+ nhất, vì công ty mẹ hoặc khách hàng của họ áp dụng các chuẩn có tham chiếu đến danh sách chứng chỉ được công nhận. Chứng chỉ này nằm trong chuẩn DoD 8140/8570 của Bộ Quốc phòng Mỹ, và điều đó lan sang cách nhiều tổ chức quốc tế viết mô tả công việc.
Ngân hàng và tổ chức tài chính. Ngành chịu áp lực tuân thủ lớn nhất, có ngân sách cho nhân sự bảo mật, và thường yêu cầu chứng chỉ trong tiêu chuẩn tuyển dụng.
Công ty cung cấp dịch vụ bảo mật (MSSP). Cần nhân sự vào SOC liên tục, và chứng chỉ giúp họ chứng minh năng lực đội ngũ với khách hàng.
Doanh nghiệp lớn có phòng ATTT riêng. Viễn thông, bán lẻ quy mô lớn, tập đoàn đa ngành.
Ít quan tâm hơn: startup nhỏ và công ty phần mềm thuần túy — họ nhìn vào portfolio và bài kiểm tra kỹ thuật nhiều hơn chứng chỉ.
Về mức lương
Tôi sẽ không đưa ra con số cụ thể, vì mọi con số bạn đọc được trên mạng về lương ngành bảo mật ở Việt Nam đều có vấn đề: hoặc quá cũ, hoặc lấy từ mẫu quá nhỏ, hoặc trộn lẫn giữa công ty nội và công ty nước ngoài — vốn chênh nhau rất xa.
Thay vào đó, ba điều đúng và hữu ích hơn:
Chứng chỉ ít khi làm tăng lương trực tiếp, nhưng làm tăng số lời mời. Và nhiều lời mời hơn thì có sức thương lượng hơn. Đó mới là đường mà chứng chỉ ảnh hưởng đến thu nhập.
Khoảng cách lớn nhất không nằm ở chứng chỉ mà ở loại công ty. Cùng một người, cùng một chứng chỉ, làm ở công ty nội địa và công ty FDI có thể chênh nhau đáng kể. Nếu mục tiêu của bạn là thu nhập, chọn đúng nhóm công ty quan trọng hơn chọn đúng chứng chỉ.
Cách tra cứu đáng tin nhất là tự làm. Vào các trang tuyển dụng lớn, lọc theo từ khóa "Security+", xem 20–30 tin gần nhất và ghi lại khoảng lương được công bố. Mất 30 phút và cho bạn dữ liệu thực tế của thời điểm hiện tại, thay vì con số ai đó viết từ hai năm trước.
Security+ dành cho ai ở thị trường Việt Nam
Giá trị cao nhất với:
- Người đang làm IT (sysadmin, network, helpdesk) muốn chuyển sang bảo mật. Bạn đã có kinh nghiệm, chỉ thiếu tín hiệu chính thức về mảng bảo mật — đây là chỗ chứng chỉ phát huy mạnh nhất.
- Người nhắm vào doanh nghiệp FDI hoặc ngân hàng.
- Sinh viên năm cuối cần thứ gì đó trong CV ngoài điểm số.
Giá trị thấp hơn với:
- Người đã làm bảo mật 3–5 năm. Nên nhắm thẳng chứng chỉ cao hơn.
- Người muốn làm pentest chuyên sâu. Security+ là nền tốt nhưng nhà tuyển dụng mảng này nhìn vào kỹ năng thực chiến nhiều hơn.
- Người tìm việc ở startup nhỏ.
Sau Security+ nên đi tiếp hướng nào
Security+ là ngã ba đường, không phải đích đến. Ba hướng phổ biến:
Hướng phòng thủ (blue team): CySA+ → các chứng chỉ chuyên sâu về SOC và ứng cứu sự cố. Phù hợp nếu bạn thích phân tích, giám sát, điều tra.
Hướng tấn công (red team): PenTest+ hoặc CEH → các chứng chỉ thực hành nặng hơn. Phù hợp nếu bạn thích tìm lỗ hổng và kiểm thử.
Hướng quản trị: các chứng chỉ về quản trị rủi ro và tuân thủ. Phù hợp nếu Domain 5 là phần bạn thấy thú vị chứ không phải phần bạn chịu đựng.
Điểm cần lưu ý: một chứng chỉ cấp cao hơn sẽ tự động gia hạn Security+ của bạn. Nên việc học tiếp không chỉ nâng năng lực mà còn giải quyết luôn nghĩa vụ duy trì chứng chỉ cũ.
Điều nên làm song song với việc học
Chứng chỉ đưa bạn qua vòng lọc. Thứ giúp bạn qua vòng phỏng vấn là những cái khác:
- Một môi trường lab tự dựng. Máy ảo, tự cấu hình, tự phá, tự sửa. Kể được câu chuyện này trong phỏng vấn có giá trị hơn nhiều so với nhắc lại tên chứng chỉ.
- Tiếng Anh đọc hiểu tài liệu kỹ thuật. Gần như mọi tài liệu bảo mật đáng đọc đều bằng tiếng Anh. Đây là rào cản thật của nhiều người Việt trong ngành.
- Hiểu nghiệp vụ của ngành bạn nhắm tới. Bảo mật ngân hàng khác bảo mật nhà máy. Biết đôi chút về nghiệp vụ giúp bạn nổi bật hơn nhiều so với người chỉ biết kỹ thuật.
Xem thêm: CompTIA Security+ là gì? · Lộ trình tự học Security+ trong 90 ngày · Gia hạn Security+ sau 3 năm