90% Remote: Lead Security Consultant Schwachstellenmgmt. (m/w/d) – OpenVAS, Trivy
nemensis AG
Ansprechpartner: Winita Hamdard
Bonn, Deutschland
Hochschulen und Behörden und VerbändeSicherheitskritische
Beschreibung
Projektbeschreibung
Rahmendaten
Aufgaben
Must-haves
Nice-to-haves
Unser Kunde möchte das bestehende Schwachstellenmanagement auf den neuesten Standard heben. Dazu werden Erkennungswerkzeuge, Datenquellen und Behebungswege über Netz, Betriebssystem, Container, Plattformkonfiguration und Anwendungen hinweg aufgenommen, bewertet und in einem durchgängigen Prozess über den gesamten Lebenszyklus einer Schwachstelle neu aufgesetzt. Die Rolle verantwortet zudem den Aufbau eines belastbaren Fristenmodells sowie eines funktionierenden Ausnahme- und Risikoakzeptanzverfahrens in einem besonders sicherheitskritischen Umfeld.
Start: 16. November 2026
Laufzeit: bis 31. Dezember 2026, Verlängerung möglich: 1. Januar 2027 bis 30. Juni 2027
Auslastung: 90 %
Standort/Remoteanteil: 10 % Bonn / 90 % Remote (Remote nur innerhalb Deutschlands)
Stundensatz: 100 € vor Ort / 90 € Remote
Projektsprache: Deutsch
Voraussetzung: Deutsche Staatsbürgerschaft, SÜ2-fähig nach § 9 SÜG (Geheim/Sabotageschutz)
- Aufnahme der Erkennungswerkzeuge, Datenquellen und Behebungswege einschließlich der gelebten Praxis in den Betriebsbereichen
- Bewertung, welche Werkzeuge und Wege tragfähig bleiben
- Entwurf des Prozesses über den Lebenszyklus einer Schwachstelle
- Festlegung von Erfassungsumfang und Erkennungsverfahren über Netz, Betriebssystem, Container, Plattformkonfiguration und Anwendungen
- Aufbau der Versorgung mit Schwachstellen- und Bedrohungsdaten in abgetrennten Zonen, einschließlich Takt und Aktualitätskennzahl
- Entwicklung eines Fristenmodells in Abstimmung mit dem Importtakt der Schleuse, Verankerung der Fristen mit den Systemverantwortlichen
- Ausgestaltung des Ausnahme- und Risikoakzeptanzverfahrens einschließlich Festlegung der Zeichnungsbefugnis im Pilot
- Umsetzung im Pilotbestand, Fahrplan mit Aufwand je Bestandseinheit und je Zonentyp
- Mind. 6 Jahre Erfahrung mit Aufbau eines Schwachstellenmanagements
- Mind. 6 Jahre Erfahrung mit Betrieb von Erkennungswerkzeugen ohne Netzanbindung über Netz, Betriebssysteme, Abbilder und Konfiguration
- Mind. 6 Jahre Erfahrung mit Priorisierung über die Schweregradzahl hinaus, gestützt auf verwertbare Datenquellen zur Ausnutzbarkeit
- Mind. 6 Jahre Erfahrung im Umgang mit der zentralen Schwäche eines Themas
- Mind. 6 Jahre Erfahrung mit Entwurf eines Fristenmodells
- Mind. 6 Jahre Erfahrung bei der Durchsetzung vereinbarter Fristen
- Mind. 6 Jahre Erfahrung mit Gestaltung eines Ausnahme- und Akzeptanzverfahrens
- Mind. 6 Jahre Erfahrung mit Verzahnung der Befundwege zwischen Bauzeit und Betrieb
- Mind. 6 Jahre Erfahrung mit Zusammenführung von Befunden unterschiedlicher Werkzeuge
- Mind. 6 Jahre Erfahrung mit Steuerungskennzahlen
- Mind. 6 Jahre Erfahrung mit Greenbone/OpenVAS, Tenable, Qualys, Rapid7 InsightVM
- Mind. 6 Jahre Erfahrung mit Trivy, Grype, Clair, kube-bench, Checkov
- CVE- und EPSS-Daten, KEV-Katalog, herstellerseitige Hinweise nach CSAF oder OVAL
- DefectDojo, OWASP Dependency-Track, Faraday
- NetBox, i-doit, GLPI, ServiceNow
- Jira, GitLab, OTOBO/Znuny
- Bezug und Aufbereitung von Herstellerhinweisen und behördlichen Warnmeldungen
- Eigene Prüferfahrung zur Einschätzung der Befundqualität
- Schwachstellenmanagement im Public-Cloud-Umfeld