Security Consultant CI/CD (m/w/d) lange Laufzeit

Project overview

Eckdaten:

Rolle: Security Consultant CI/CD

Zeitraum: asap bis 31.12.2026 (Verlängerung voraussichtlich bis 31.12.2027)

Project details

Vollzeit

Ort: haupsächlich remote & bei Bedarf vor Ort Deutschlandweit

Leistungsbeschreibung

Qualifikations- und Erfahrungsanforderungen

Must-haves

Should-haves

Haben wir Ihr Interesse geweckt?

Dann senden Sie uns Ihren CV im Wordformat sowie Ihre aktuelle Verfügbarkeit inklusive Stundensatz an: anna.puskaric AT deedcon.de

Mit freundlichen Grüßen

Anna Puskaric/ Recruiterin

• Analyse und Bewertung bestehender CI/CD-, Build- und Auslieferungsprozesse sowie deren gezielte Härtung und Weiterentwicklung
• Konzeption und Umsetzung sicherer Build- und Deployment-Prozesse über unterschiedliche Netz- und Sicherheitszonen hinweg
• Aufbau einer Artefaktschleuse für den kontrollierten Bezug und Transfer externer Software und Abhängigkeiten inklusive Prüfung, Quarantäne, Freigabe, Versionierung und Herkunftsnachweis
• Aufbau und Betrieb gespiegelter Bezugsquellen für Container Images sowie Betriebssystem- und Sprachpakete
• Absicherung der Software-Lieferkette durch SBOM, Signierung, Herkunftsprüfung und eigene Vertrauensanker
• Implementierung von Secrets-Management inklusive Rotation und Ablösung von im Repository hinterlegten Zugangsdaten
• Integration automatisierter Security-Prüfungen und Policy-as-Code in die CI/CD-Prozesse
• Praktische Umsetzung der entwickelten Konzepte in einem Pilotbereich inklusive realem Zonenübergang
• Entwicklung eines Fahrplans zur anschließenden Ausweitung auf weitere Entwicklungs- und Plattformteams
• Mind. 6 Jahre Erfahrung mit CI/CD-Pipelines in eigenbetriebenen bzw. On-Premises-Umgebungen
• Mind. 6 Jahre Erfahrung in der Analyse, Bewertung, Härtung und Weiterentwicklung bestehender Build- und Auslieferungsketten
• Mind. 6 Jahre Erfahrung im Aufbau und Betrieb gespiegelter Bezugsquellen für Container Images sowie Betriebssystem- und Sprachpakete
• Mind. 6 Jahre Erfahrung mit kontrollierten Artefakttransfers über Netz- bzw. Sicherheitszonengrenzen inklusive Prüf-, Quarantäne- und Freigabeverfahren
• Mind. 6 Jahre Erfahrung mit Übertragungsverfahren wie Datendioden, Übergabegateways oder datenträgergestützter Übertragung
• Mind. 6 Jahre Erfahrung mit Signatur- und Herkunftsprüfungen ohne Abhängigkeit von Online-Diensten, eigenen Vertrauensankern und eigener Signierung
• Mind. 6 Jahre Erfahrung im Secrets-Management inklusive Rotation und Ablösung von im Repository hinterlegten Zugangsdaten
• Mind. 6 Jahre Erfahrung im Bereich Software Supply Chain Security sowie mit SBOM nach CycloneDX oder SPDX
• Mind. 6 Jahre Erfahrung mit automatisierten Security-Prüfungen für Code, Abhängigkeiten, Container Images und Infrastructure as Code
• Mind. 6 Jahre Erfahrung mit Policy as Code zur automatisierten Durchsetzung von Sicherheitsvorgaben
• Mind. 6 Jahre Erfahrung in der direkten Zusammenarbeit mit Entwicklungs- und Betriebsteams einschließlich Ausnahme- und Übergangsregelungen
• Mind. 6 Jahre praktische Erfahrung mit Werkzeugen aus mehreren der folgenden Bereiche:
• CI/CD: GitLab CI, Jenkins, Tekton o. Ä.
• Registry/Artefakte: Harbor, Nexus, Artifactory, Zot, Pulp o. Ä.
• Secrets: HashiCorp Vault, OpenBao, External Secrets Operator, SOPS o. Ä.
• SBOM/Signierung: Syft, Trivy, Dependency-Track, Cosign, Notation, in-toto o. Ä.
• Security Testing: Semgrep, SonarQube, Grype, Checkov, KICS o. Ä.
• Policy as Code: OPA/Gatekeeper, Kyverno, Conftest o. Ä.
• GitOps/Deployment: Argo CD, Flux o. Ä.
• Supply-Chain- und Signierverfahren aus Public-Cloud-Umgebungen und deren Übertragung auf eigenbetriebene Infrastrukturen
• Nachweisführung für Änderungs- und Konfigurationssicherheit
• GitOps und deklarative Deployments über mehrere Sicherheitszonen
• Container- und Kubernetes-Security im Eigenbetrieb
• Funktionstrennung und Netzzonenmodelle in regulierten bzw. sicherheitskritischen Umgebungen
• Umgang mit Werkzeugen, deren Lizenzierung oder Aktivierung eine Internetanbindung voraussetzt