Lead Security Consultant CI/CD (m/w/d) - überwiegend remote

Projektbeschreibung:

Beim Kunden verändern sich die Plattform- und Sicherheitsdienste. Diese werden neu bewertet Betreff Bezugswege für die Entwicklungsabteilungen und Betriebsbereiche. Wir befinden uns in einem sensiblen Security Bereich. 

Aufgaben:

• Aufnahme und Bewertung der vorhandenen Bau- und Bezugswege gemeinsam mit den Entwicklungs- und Betriebsbereichen
• Härtung der Build-Umgebung und Trennung von Build- und Auslieferungsrechten
• Secrets-Management in automatisierten Abläufen
• Entwurf und Aufbau der Artefaktschleuse mit gespiegelten Bezugsquellen
• Prüfung, Quarantäne, Freigabe, Versionierung und Herkunftsnachweis
• Festlegung des Importtakts in Abstimmung mit dem Fristenmodell des Schwachstellenmanagements
• Absicherung der Software-Lieferkette einschließlich Stückliste
• Einbau automatisierter Prüfungen mit definierten Schwellen und funktionierendem Ausnahmeverfahren
• Umsetzung im Pilotbereich
• Fahrplan für die Ausweitung mit Aufwand je Team-Anbindung und je Zonentyp

Muss-Anfroderungen:

• mind. 6 Jahre Erfahrung mit Arbeiten an CI/CD-Ketten in eigenbetriebener Installation. Erfahrung, die ausschließlich auf herstellerbetriebenen Diensten beruht, deckt den Zuschnitt nicht ab
• mind. 6 Jahre Erfahrung mit Aufnahme & Bewertung vorhandener Bauverfahren, deren gezielte Ertüchtigung anstelle eines Neuaufbaus, wo die Bewertung das trägt
• mind. 6 Jahre Erfahrung mit Aufbau & Betrieb gespiegelter Bezugsquellen für Container-Abbilder sowie für Betriebssystem- und Sprachpakete
• mind. 6 Jahre Erfahrung mit kontrollierten Übergaben von Artefakten über Zonen- oder Netzgrenzen mit Prüf-, Quarantäne- und Freigabeschritt
• mind. 6 Jahre Erfahrung mit Signatur- und Herkunftsprüfung ohne Abhängigkeit von Online-Diensten
• mind. 6 Jahre Erfahrung mit Secrets-Management einschließlich Rotation und Ablösung im Repository hinterlegter Zugangsdaten
• mind. 6 Jahre Erfahrung mit der Software-Lieferkette, Abhängigkeitsanalyse und Stückliste nach CycloneDX oder SPDX
• mind. 6 Jahre Erfahrung mit Einführung automatisierter Prüfwerkzeuge für statische Analyse, Abhängigkeits- und Abbildprüfung
• mind. 6 Jahre Erfahrung mit GitLab CI, Jenkins, Tekton
• mind. 6 Jahre Erfahrung mit Harbor, Nexus, Artifactory, Zot, Pulp
• mind. 6 Jahre Erfahrung mit HashiCorp Vault, OpenBao, External Secrets Operator, SOPS
• mind. 6 Jahre Erfahrung mit Syft, Trivy, Dependency-Track, Cosign, Notation, in-toto
• mind. 6 Jahre Erfahrung mit Semgrep, SonarQube, Grype, Checkov, KICS
• mind. 6 Jahre Erfahrung mit OPA/Gatekeeper, Kyverno, Conftest
• mind. 6 Jahre Erfahrung mit Argo CD, Flux

Soll-Anforderungen:

• GitOps-Betriebsmodelle und deklarative Deployments in mehreren Zonen
• Container-Laufzeit- und Cluster-Sicherheit im Eigenbetrieb.
• Nachweisführung für Änderungs- und Konfigurationssicherheit aus der Kette heraus