Security Consultant CI/CD (Supply-Chain-Security, Policy as Code) Public I ID-271 I QUINCEY

Project overview

Für unseren Kunden suchen wir einen Security Consultant CI/CD (m/w/d)

Unser Kunde, eine öffentliche Einrichtung, baut sichere CI/CD-Ketten im Eigenbetrieb für abgetrennte Zonen auf. Schwerpunkte sind gespiegelte Bezugsquellen, die kontrollierte Artefaktübergabe über Zonen- und Netzgrenzen sowie Supply-Chain-Security und Policy as Code. Die Umsetzung erfolgt zunächst im Rahmen eines Pilotvorhabens. Die Leistung wird vollständig ortsunabhängig ohne Einsatz vor Ort erbracht.

Responsibilities

• Aufbau und eigenständige Umsetzung sicherer CI/CD-Ketten im Eigenbetrieb für abgetrennte Zonen (Pilot)
• Bereitstellung gespiegelter Bezugsquellen (Paket- und Image-Quellen)
• Umsetzung der kontrollierten Artefaktübergabe über Zonen- und Netzgrenzen
• Umsetzung von Software-Supply-Chain-Security
• Umsetzung von Policy as Code

Requirements

Bewerbung:

Wir freuen uns auf Ihre Bewerbung mit aktuellem CV (in deutsch) und Angabe Ihres Stundensatzes.

Rückfragen bitte über Freelancermap oder an *@*.io.

Euer QUINCEY Team

• Mehrjährige eigene Arbeit an CI/CD-Ketten in eigenbetriebener Installation
• Aufbau und Betrieb gespiegelter Paket- und Image-Quellen (Container, OS- und Sprachpakete)
• Kontrollierte Artefaktübergabe über Zonen- und Netzgrenzen (Prüfung, Quarantäne, Freigabe, Datendioden, Übergabegateways)
• Signatur- und Herkunftsprüfung ohne Online-Dienste (eigener Vertrauensanker, eigene Signierung)
• Secrets Management inkl. Rotation und Ablösung hinterlegter Zugangsdaten
• Software-Supply-Chain-Security: Abhängigkeitsanalyse, SBOM nach CycloneDX oder SPDX
• Automatisierte Prüfungen (SAST, Dependency-/Image-Scanning, IaC-Scanning) mit Befundtriage und Schwellenwerten
• Policy as Code
• Build-Ketten: GitLab CI, Jenkins, Tekton
• Registry- und Artefaktverwaltung: Harbor, Nexus, Artifactory, Zot, Pulp
• Secrets-Tools: Vault, OpenBao, External Secrets Operator, SOPS
• SBOM/Signierung/Provenance: Syft, Trivy, Dependency-Track, Cosign, Notation, in-toto
• Prüfwerkzeuge: Semgrep, SonarQube, Grype, Checkov, KICS
• Policy Enforcement: OPA/Gatekeeper, Kyverno, Conftest
• GitOps: Argo CD, Flux
• Bereitschaft zur Sicherheitsüberprüfung SÜ2
• Deutsche Staatsangehörigkeit

Project details

26.10.2026

Laufzeit: 31.12.2027 (mit Verlängerungsoption)

Format: 100% Remote

Kunde: Kunde aus dem öffentlichen Umfeld