Security Consultant CI/CD (Supply-Chain-Security, Policy as Code) Public I ID-271 I QUINCEY

Für unseren Kunden suchen wir einen Security Consultant CI/CD (m/w/d)

Start: 26.10.2026

Laufzeit: 31.12.2027 (mit Verlängerungsoption)

Format: 100% Remote

Kunde: Kunde aus dem öffentlichen Umfeld

Projektbeschreibung:

Unser Kunde, eine öffentliche Einrichtung, baut sichere CI/CD-Ketten im Eigenbetrieb für abgetrennte Zonen auf. Schwerpunkte sind gespiegelte Bezugsquellen, die kontrollierte Artefaktübergabe über Zonen- und Netzgrenzen sowie Supply-Chain-Security und Policy as Code. Die Umsetzung erfolgt zunächst im Rahmen eines Pilotvorhabens. Die Leistung wird vollständig ortsunabhängig ohne Einsatz vor Ort erbracht.

Aufgaben:

• Aufbau und eigenständige Umsetzung sicherer CI/CD-Ketten im Eigenbetrieb für abgetrennte Zonen (Pilot)

• Bereitstellung gespiegelter Bezugsquellen (Paket- und Image-Quellen)

• Umsetzung der kontrollierten Artefaktübergabe über Zonen- und Netzgrenzen

• Umsetzung von Software-Supply-Chain-Security

• Umsetzung von Policy as Code

Anforderungen:

Must-Have:

• Mehrjährige eigene Arbeit an CI/CD-Ketten in eigenbetriebener Installation

• Aufbau und Betrieb gespiegelter Paket- und Image-Quellen (Container, OS- und Sprachpakete)

• Kontrollierte Artefaktübergabe über Zonen- und Netzgrenzen (Prüfung, Quarantäne, Freigabe, Datendioden, Übergabegateways)

• Signatur- und Herkunftsprüfung ohne Online-Dienste (eigener Vertrauensanker, eigene Signierung)

• Secrets Management inkl. Rotation und Ablösung hinterlegter Zugangsdaten

• Software-Supply-Chain-Security: Abhängigkeitsanalyse, SBOM nach CycloneDX oder SPDX

• Automatisierte Prüfungen (SAST, Dependency-/Image-Scanning, IaC-Scanning) mit Befundtriage und Schwellenwerten

• Policy as Code

• Build-Ketten: GitLab CI, Jenkins, Tekton

• Registry- und Artefaktverwaltung: Harbor, Nexus, Artifactory, Zot, Pulp

• Secrets-Tools: Vault, OpenBao, External Secrets Operator, SOPS

• SBOM/Signierung/Provenance: Syft, Trivy, Dependency-Track, Cosign, Notation, in-toto

• Prüfwerkzeuge: Semgrep, SonarQube, Grype, Checkov, KICS

• Policy Enforcement: OPA/Gatekeeper, Kyverno, Conftest

• GitOps: Argo CD, Flux

• Bereitschaft zur Sicherheitsüberprüfung SÜ2

• Deutsche Staatsangehörigkeit

Bewerbung:

Wir freuen uns auf Ihre Bewerbung mit aktuellem CV (in deutsch) und Angabe Ihres Stundensatzes.

Rückfragen bitte über Freelancermap oder an ***@***.io.

Euer QUINCEY Team