FDE ở Vannevar Labs phải có TS/SCI vì code của họ chạy trên cloud mật

Trong tin tuyển Forward Deployed Engineer của Vannevar Labs, yêu cầu cứng nhất không liên quan đến Python hay Kubernetes. Ứng viên phải đang có clearance Top Secret của Mỹ còn hiệu lực và đủ điều kiện SCI. Đây là điều kiện để được xét hồ sơ, không phải một điểm cộng.

Đọc lướt thì dễ nghĩ đây là rào cản hành chính của ngành quốc phòng. Nhưng ghép tin FDE với ba tin tuyển kỹ thuật khác của công ty thì thấy rõ hơn. Họ cần clearance vì nơi phần mềm chạy là cloud mật, và kỹ sư phải tự tay đưa code vào đó.

Bạn có thể không bao giờ ứng tuyển vào một công ty quốc phòng Mỹ, nhưng Vannevar cho thấy nghề FDE trông thế nào khi môi trường của khách hàng bị kiểm soát gắt nhất.

Nhiều ngành khác cũng có môi trường bị kiểm soát, chỉ ở mức nhẹ hơn: ngân hàng, bệnh viện, cơ quan nhà nước ở bất cứ đâu. Muốn làm FDE ở những nơi đó thì nên hiểu kiểu công việc này.

Clearance đi theo máy chủ, không đi theo chức danh

Vannevar giới thiệu mình là công ty làm hệ thống AI cho Bộ Chiến tranh Mỹ, tên mới của Bộ Quốc phòng. Đến đầu năm 2023, sản phẩm chính Decrypt đã chạy ở hơn 15 căn cứ quân sự. Khách hàng của họ, nói gọn, là quân đội.

Tin tuyển cho vị trí Full Stack Engineer (FDE/ATO) mô tả nhiệm vụ là đưa một kiến trúc microservice phức tạp chạy trên Kubernetes lên các môi trường cloud mật.

Kỹ sư còn phải hỗ trợ trực tiếp, “hands on keyboard”, khi triển khai phần mềm trên mạng mật. Từ cách diễn đạt đó có thể hiểu người deploy thường phải trực tiếp làm việc ở phía mạng mật, chứ không chỉ điều khiển từ xa.

Tin tuyển Senior Software Engineer (ATO) gọi tên cụ thể hai môi trường: IL6 và JWICS. Vì thế clearance gắn với nơi phần mềm chạy, không gắn với chức danh trên thẻ nhân viên.

Vai trò cũng không dừng ở chuyện triển khai. Tin tuyển FDE ở Oahu viết rằng người được tuyển sẽ là technical owner của một mission và các engagement với khách hàng gắn với mission đó.

Họ thiết kế, xây và chịu trách nhiệm cho phần mềm chạy thẳng trong môi trường của khách hàng. Công ty cũng nói kỹ sư, đội sản phẩm và CTO của họ đi thẳng đến nơi vấn đề phát sinh, kể cả đến các đơn vị ở Ukraine.

Tài liệu cũng là sản phẩm bàn giao

Khác biệt lớn nhất so với một FDE ở công ty SaaS là khối lượng tuân thủ. Tin tuyển ở Oahu đòi kinh nghiệm phát triển và triển khai phần mềm theo RMF (Risk Management Framework), quy trình mà phần mềm phải đi qua để được cấp phép chạy trên hệ thống của Bộ Quốc phòng Mỹ.

Tin FDE/ATO yêu cầu cài các security control quan trọng để đạt chuẩn cấp phép (accreditation) của Bộ Quốc phòng.

Tin Senior Software Engineer (ATO) nói rõ phần giấy tờ, gồm deployment runbook, System Security Plan và CONOPS. Ở đây tài liệu cũng là thứ phải bàn giao như code. Thiếu tài liệu thì phần mềm không được cấp phép, và không được cấp phép thì không được chạy.

Thử hình dung một yêu cầu nghe rất đơn giản: thêm một tính năng kéo dữ liệu từ một data platform của chính phủ để hiển thị cho chuyên viên phân tích.

Ở công ty SaaS, việc này có thể chỉ mất vài ngày: gọi API, viết UI, merge, deploy. Tin tuyển ở Oahu liệt kê đúng những hệ thống bạn sẽ phải đụng tới: data platform, nhà cung cấp IdAM, SIEM và cross-domain solution (CDS).

Trong kịch bản giả định này, người dùng phải đăng nhập qua hệ thống định danh của chính phủ chứ không qua hệ thống của bạn. Mọi lượt truy cập phải đổ log về SIEM mà khách hàng giám sát.

Nếu dữ liệu phải đi giữa hai mạng có mức mật khác nhau thì nó phải qua CDS, kèm theo đó là phải cập nhật System Security Plan và runbook. Phần code có thể vẫn chỉ mất vài ngày, còn phần tích hợp và tài liệu nhiều khả năng mới chiếm phần lớn thời gian.

Tin tuyển này loại những ai

Chữ “active” trong yêu cầu clearance là chi tiết quan trọng nhất. Người chưa có clearance còn hiệu lực không đáp ứng điều kiện, dù giỏi kỹ thuật đến đâu. Clearance không phải thứ học thêm được sau khi vào làm, nên vị trí này gần như đóng với kỹ sư đến từ thế giới thương mại thuần túy.

Nhóm thứ hai bị loại khó thấy hơn: kỹ sư chỉ quen deploy SaaS trên cloud thương mại, nơi mọi thứ tự động và tài liệu chỉ là phần phụ. Họ có thể qua vòng phỏng vấn về Kubernetes. Nhưng một vai trò đòi kinh nghiệm RMF, đòi biết làm việc với IdAM, SIEM, CDS và đòi viết System Security Plan nhiều khả năng sẽ sớm lộ ra khoảng trống.

Nhóm thứ ba là người không đi lại được. Vị trí FDE được ghi là làm từ xa hoàn toàn nhưng bắt buộc đi công tác, có thể tới 20-30% thời gian, để gặp những người phụ trách mission. “Remote” ở đây không có nghĩa là chỉ ngồi ở nhà.

Bảng dưới đây ghép yêu cầu từ bốn tin tuyển, kèm ý nghĩa của từng yêu cầu trong công việc hằng ngày và phiên bản tương ứng ở các ngành bị quản lý chặt ngoài quốc phòng.

Yêu cầu trong tin tuyển	Trong công việc nghĩa là	Phiên bản ngoài quốc phòng
Clearance TS/SCI còn hiệu lực	Được phép làm việc ở phía mạng mật để deploy	Quyền truy cập môi trường production của khách hàng, kèm kiểm tra lý lịch
Deploy lên cloud mật (IL6, JWICS)	Đưa microservice Kubernetes vào mạng cách ly	Cài đặt on-prem hoặc air-gapped ở ngân hàng, bệnh viện
Tuân thủ RMF, cài security control	Phần mềm phải được cấp phép mới được chạy	Kiểm toán bảo mật, đánh giá rủi ro trước khi go-live
Runbook, System Security Plan, CONOPS	Tài liệu là sản phẩm bàn giao	Tài liệu vận hành và kiến trúc bảo mật cho đội IT khách hàng
Tích hợp IdAM, SIEM, CDS	Dùng hạ tầng của khách hàng, không dùng hạ tầng riêng	Tích hợp SSO doanh nghiệp, đẩy audit log về hệ thống giám sát

Phần kỹ năng mang theo được

Phần lớn độc giả sẽ không đủ điều kiện cho chính vị trí này, và cũng không cần. Điều đáng học là năng lực mà tin tuyển ngầm đòi hỏi: đưa phần mềm vào một môi trường không phải của mình, theo luật của người khác, rồi chứng minh bằng tài liệu rằng mọi thứ an toàn.

FDE làm cho ngân hàng hay cơ quan y tế cũng cần đúng năng lực đó, dù mức kiểm soát thường nhẹ hơn.

Chỗ khó nhất với người quen SaaS là deploy khi không có Internet và không được dùng hạ tầng của mình. Luyện được điều đó sát với công việc thật hơn nhiều so với một tutorial Helm.

Khi viết CV, đừng gói kinh nghiệm compliance trong một dòng “có hiểu biết về bảo mật”. Ghi cụ thể bạn đã tích hợp hệ thống định danh nào, đã đẩy audit log về đâu, đã viết tài liệu nào cho đợt kiểm toán nào, rồi chuẩn bị sẵn một ví dụ cho mỗi dòng ở cột cuối của bảng trên trước buổi phỏng vấn.

Clearance TS/SCI của Mỹ là điều kiện riêng của vị trí này. Còn viết được một runbook mà người lạ làm theo được, trong hệ thống của người khác, là kỹ năng mà khách hàng bị quản lý chặt nào cũng cần.