Security Consultant CI/CD – Software Supply Chain Security & Policy as Code (m/w/d)

Für ein anspruchsvolles Projekt im Bereich IT-Sicherheit suchen wir einen erfahrenen Security Consultant CI/CD (m/w/d) mit fundierter Expertise im Aufbau sicherer CI/CD-Pipelines, Software-Supply-Chain-Security und der Umsetzung von Sicherheitsrichtlinien in abgeschotteten IT-Umgebungen.

Rahmenbedingungen

- Start: Anfang / Mitte September

- Laufzeit: Bis 31.12.2027

- Auslastung: 100%

- Einsatzort: 100 % Remote

- Sprache: Deutsch

Aufgaben

- Konzeption, Aufbau und eigenständige Umsetzung sicherer CI/CD-Pipelines im Eigenbetrieb für abgeschottete Netzwerkzonen

- Implementierung und Betrieb gespiegelter Paket-, Container- und Image-Repositories

- Konzeption und Umsetzung kontrollierter Artefaktübergaben über Netzwerk- und Sicherheitszonengrenzen hinweg

- Integration von Sicherheitsprüfungen, Signaturvalidierungen und Herkunftsnachweisen in bestehende Build- und Deployment-Prozesse

- Implementierung von Software-Supply-Chain-Security einschließlich Abhängigkeitsanalysen und Software Bills of Materials (SBOM)

- Automatisierung von Sicherheitsprüfungen mittels SAST, Dependency-, Container-Image- und IaC-Scanning

- Umsetzung von Policy-as-Code-Konzepten zur automatisierten Durchsetzung von Sicherheitsrichtlinien

- Implementierung sicherer Secrets-Management-Prozesse einschließlich Rotation und Ablösung bestehender Zugangsdaten

- Analyse, Bewertung und Priorisierung identifizierter Sicherheitsbefunde

Anforderungen

- Mehrjährige praktische Erfahrung im Aufbau und Betrieb eigenbetriebener CI/CD-Infrastrukturen

- Fundierte Kenntnisse in der Absicherung von CI/CD-Pipelines und Software-Supply-Chains

- Erfahrung mit gespiegelten Paket- und Image-Quellen für Container, Betriebssysteme und Programmiersprachen

- Expertise in kontrollierten Artefaktübergaben über Sicherheitszonengrenzen, einschließlich Quarantäne-, Prüf- und Freigabeverfahren sowie Datendioden und Übergabegateways

- Kenntnisse in Offline-Signaturprüfungen, eigenen Vertrauensankern und Signierungsinfrastrukturen

- Erfahrung mit Secrets Management und automatisierter Zugangsdatenrotation

- Fundierte Kenntnisse in SBOM-Standards wie CycloneDX und SPDX

- Erfahrung mit CI/CD-Werkzeugen wie GitLab CI, Jenkins oder Tekton

- Kenntnisse in Registry- und Artefaktverwaltungssystemen wie Harbor, Nexus, Artifactory, Zot oder Pulp

- Erfahrung mit Secrets-Management-Lösungen wie Vault, OpenBao, External Secrets Operator oder SOPS

- Kenntnisse in Supply-Chain-Security-Werkzeugen wie Syft, Trivy, Dependency-Track, Cosign, Notation oder in-toto

- Erfahrung mit Sicherheitsscannern wie Semgrep, SonarQube, Grype, Checkov oder KICS

- Kenntnisse in Policy-as-Code-Technologien wie OPA/Gatekeeper, Kyverno oder Conftest

- Erfahrung mit GitOps-Werkzeugen wie Argo CD oder Flux

- Selbstständige, strukturierte und lösungsorientierte Arbeitsweise sowie ausgeprägtes Sicherheitsbewusstsein

Bitte geben Sie Ihren Stundensatz an.