DevSecOps/ Security Consultant CI/CD (m/w/d) – 99% remote - Freelance

Project overview

aktuell suche ich für eine spannende Ausschreibung für einen Public Kunden eine/n DevSecOps/

Security Consultant CI/CD (m/w/d) – 99% remote - Freelance

Nice to have

Bei Interesse, senden Sie mir bitte (an *@*.com) Ihren aktuellen Lebenslauf mit Verfügbarkeit und Ihren gewünschten Stundensatz zu. Ich werde mich NACH der Sichtung und Eignung bei Ihnen melden.

Zusätzlich teilen Sie mir bitte mit, wie viele Jahre an Erfahrung sie in den einzelnen MUST Kriterin haben.

Gerne dürfen Sie diese Anfrage auch an Ihre Kontakte weiterleiten, bei erfolgreicher Vermittlung erhalten Sie von uns als kleines Dankeschön einen 250 € Amazon-Gutschein und natürlich meine ewige Dankbarkeit. :-)

Ich freue mich auf Ihre Rückmeldung und bedanke mich im Voraus.

Beste Grüße,

Nadine Lobe

Senior Principal Candidate Consultant

*@*.com

*

Outpace tomorrow, together

sthree.com

SThree GmbH, Querstraße 7, 60322 Frankfurt, Deutschland. Registergericht Frankfurt am Main: HRB 78875, Geschäftsführer: Niklas Werner, Satinderjeet Sidhu, Daniel Goldthammer. Ust.-ID: DE252066603

• Erfahrung mit Lieferketten- und Signierverfahren aus dem Public-Cloud-Umfeld und deren Nachbildung mit eigenbetriebenen Mitteln.
• Nachweisführung für Änderungs- und Konfigurationssicherheit aus der Kette heraus.
• GitOps-Betriebsmodelle und deklarative Deployments in mehreren Zonen.
• Container-Laufzeit- und Cluster-Sicherheit im Eigenbetrieb.
• Erfahrung mit Funktionstrennung in regulierten Umgebungen und mit Netzzonenmodellen.
• Umgang mit Werkzeugen, deren Lizenzierung oder Aktivierung eine Netzanbindung voraussetzt.
• OG, Georg-Glock-Strasse 14, 40474 Düsseldorf

Project details

asap ggf. etwas später möglich

Laufzeit: Erstbeauftragung bis Jahresende ++ Verlängerung defintiv bis Ende 2027 im Anschluss

99% remote - Nähe Bonn sitzt der Kunde – max. 1x im Quartal vor Ort

Vertragsart: Freelance

Vollzeit

Projektsprache: Deutsch - Wohnsitz & Arbeitsort in Deutschland notwendig

Budget: 100-110€ / h

BITTE die Staatenliste beachten

Positionsinformationen / Must Haves:

• Mehrjährige eigene Arbeit an CI/CD-Ketten in eigenbetriebener Installation. Erfahrung, die ausschließlich auf herstellerbetriebenen Diensten beruht, deckt den Zuschnitt nicht ab.
• Aufnahme und Bewertung vorhandener Bauverfahren sowie deren gezielte Ertüchtigung anstelle eines Neuaufbaus, wo die Bewertung das trägt
• Aufbau und Betrieb gespiegelter Bezugsquellen für Container-Abbilder sowie für Betriebssystem- und Sprachpakete als alleiniger zugelassener Bezugsweg — einschließlich Erstbefüllung, Aktualisierungszyklus und Umgang mit Abhängigkeiten, die sich nicht vollständig spiegeln lassen.
• Kontrollierte Übergabe von Artefakten über Zonen- oder Netzgrenzen mit Prüf-, Quarantäne- und Freigabeschritt; Kenntnis der gängigen Übertragungsverfahren einschließlich unidirektionaler Kopplung über Datendioden oder Übergabegateways und datenträgergestützter Übergabe.
• Erfahrung, dass die Akzeptanz eines solchen Wegs über seine Geschwindigkeit entschieden wird, und Fähigkeit, den Takt entsprechend auszulegen.
• Signatur- und Herkunftsprüfung ohne Abhängigkeit von Online-Diensten: eigener Vertrauensanker, eigene Signierung nach Freigabe, Umgang mit fehlenden Sperr- und Protokolldiensten.
• Secrets-Management einschließlich Rotation und Ablösung im Repository hinterlegter Zugangsdaten.
• Sicherheit der Software-Lieferkette: Abhängigkeitsanalyse und Stückliste nach CycloneDX oder SPDX.
• Einführung automatisierter Prüfwerkzeuge für statische Analyse, Abhängigkeits- und Abbildprüfung sowie deklarative Infrastruktur, einschließlich Befundtriage und Schwellenwertsetzung, sodass die Auslieferung nicht blockiert wird.
• Policy as Code zur maschinellen Durchsetzung von Vorgaben.
• Direkte Zusammenarbeit mit Entwicklungsteams, einschließlich Aushandlung von Ausnahmen und Übergangsfristen.
• Umsetzung in gängigen Werkzeugen dieses Feldes. Die entworfenen Konzepte und Prozesse sind im Pilot selbst zu realisieren, nicht an Dritte zur Umsetzung zu übergeben. Verlangt wird daher belegte praktische Arbeit mit Werkzeugen aus mehreren der nachstehenden Gruppen — beispielhaft genannt, ohne Vorfestlegung auf ein Produkt; gleichwertige Werkzeuge sind ausdrücklich eingeschlossen:
• Bau- und Auslieferungsketten: GitLab CI, Jenkins, Tekton.
• Registry, Spiegelung und Artefaktverwaltung: Harbor, Nexus, Artifactory, Zot, Pulp.
• Secrets-Verwaltung: HashiCorp Vault, OpenBao, External Secrets Operator, SOPS.
• Stückliste, Signierung und Herkunftsnachweis: Syft, Trivy, Dependency-Track, Cosign, Notation, in-toto.
• Automatisierte Prüfungen: Semgrep, SonarQube, Grype, Checkov, KICS.
• Richtliniendurchsetzung: OPA/Gatekeeper, Kyverno, Conftest.
• Deklarative Auslieferung: Argo CD, Flux.