Solution Architect (m/w/d) - Schwachstellenmanagement lange Laufzeit

Project overview

Eckdaten:

Rolle: Solution Architect – Schwachstellenmanagement

Zeitraum: asap bis 31.12.2026 (Verlängerung voraussichtlich bis 31.12.2027)

Project details

Vollzeit

Ort: hauptsächlich remote & bei Bedarf vor Ort Deutschlandweit

Leistungsbeschreibung

Qualifikations- und Erfahrungsanforderungen (Must-haves)

Should-haves

Haben wir Ihr Interesse geweckt?

Dann senden Sie uns Ihren CV im Wordformat sowie Ihre aktuelle Verfügbarkeit inklusive Stundensatz an: anna.puskaric AT deedcon.de

Mit freundlichen Grüßen

Anna Puskaric/ Recruiterin

• Analyse und Bewertung bestehender Schwachstellenmanagement-Prozesse, Erkennungswerkzeuge, Datenquellen und Behebungswege
• Konzeption eines durchgängigen Prozesses vom Schwachstellenbefund bis zur nachweisbaren Behebung
• Festlegung von Erfassungsumfang und Erkennungsverfahren über Netz, Betriebssysteme, Container, Plattformkonfigurationen und Anwendungen hinweg
• Aufbau einer Versorgung mit Schwachstellen- und Bedrohungsdaten für abgetrennte bzw. nicht dauerhaft angebundene Umgebungen
• Entwicklung eines risikobasierten Bewertungs- und Priorisierungsmodells unter Berücksichtigung von Umgebungskontext, Ausnutzbarkeit und aktiver Bedrohungslage
• Konzeption eines Fristenmodells für die Schwachstellenbehebung in Abstimmung mit Beschaffungs- und Importwegen
• Aufbau und Verankerung von Ausnahme-, Risikoakzeptanz- und Eskalationsverfahren
• Zusammenführung von Befunden unterschiedlicher Erkennungswege und Werkzeuge zu einem einheitlichen Lagebild
• Definition und Einführung von Steuerungskennzahlen und Berichtswesen für das Schwachstellenmanagement
• Praktische Umsetzung der entwickelten Prozesse und Konzepte im Pilotbestand
• Entwicklung eines Fahrplans zur anschließenden Ausweitung auf weitere Systeme, Bestandseinheiten und Zonentypen
• Mind. 6 Jahre Erfahrung im Aufbau von Schwachstellenmanagement-Prozessen, nicht ausschließlich im Betrieb bestehender Lösungen oder in der Bedienung einzelner Werkzeuge
• Mind. 6 Jahre Erfahrung mit eigenbetriebenen Erkennungswerkzeugen in Umgebungen ohne Netzanbindung, insbesondere für Netzwerke, Betriebssysteme, Container Images und Konfigurationen
• Mind. 6 JahreErfahrung mit der kontrollierten Einspielung von Prüfmodulen, Schwachstellendaten und Updates in abgetrennte Umgebungen sowie dem Umgang mit daraus resultierendem Aktualitätsverzug
• Mind. 6 Jahre Erfahrung mit risikobasierter Priorisierung von Schwachstellen über reine Schweregradbewertungen hinaus, insbesondere unter Nutzung von Daten zu Ausnutzbarkeit, aktiver Ausnutzung und Herstellerhinweisen
• Mind. 6 JahreErfahrung mit Priorisierungsmodellen für abgeschottete Umgebungen unter Berücksichtigung von interner Erreichbarkeit, Vertrauensstellungen, mandantenübergreifender Wirkung und Bezugswegen betroffener Komponenten
• Mind. 6 Jahre Erfahrung im Aufbau bzw. in der Verbesserung belastbarer Bestands- und Inventardaten als Grundlage für das Schwachstellenmanagement
• Mind. 6 Jahre Erfahrung in der Entwicklung von Fristenmodellen für die Schwachstellenbehebung unter Berücksichtigung von Beschaffungs- und Bereitstellungswegen
• Mind. 6 Jahre Erfahrung in der fachlichen Durchsetzung vereinbarter Behebungsfristen sowie im Umgang mit Konflikt- und Eskalationssituationen
• Mind. 6 Jahre Erfahrung in der Gestaltung von Ausnahme- und Risikoakzeptanzverfahren einschließlich belastbarer Dokumentation
• Mind. 6 Jahre Erfahrung in der Verzahnung von Schwachstellenbefunden aus Entwicklungs-, Build- und Betriebsprozessen
• Mind. 6 Jahre Erfahrung in der Zusammenführung und Deduplizierung von Befunden unterschiedlicher Werkzeuge zu einem konsolidierten Lagebild inklusive Angriffspfadvalidierung
• Mind. 6 Jahre Erfahrung mit Steuerungskennzahlen wie Behebungsdauer, Alterung des Bestands, Abdeckungsgrad, Wiederauftreten und Aktualität der Datenbasis
• Mind. 6 Jahreeinschlägige Erfahrung im Vulnerability-Management-Umfeld sowie belegte praktische Erfahrung mit Werkzeugen aus mehreren der folgenden Bereiche:
• Netzwerk- und Betriebssystem-Scanning: Greenbone/OpenVAS, Tenable, Qualys, Rapid7 InsightVM o. Ä.
• Image- und Konfigurationsprüfung: Trivy, Grype, Clair, kube-bench, Checkov o. Ä.
• Schwachstellen- und Bedrohungsdaten: CVE, EPSS, KEV, CSAF, OVAL o. Ä.
• Befundzusammenführung: DefectDojo, OWASP Dependency-Track, Faraday o. Ä.
• Bestandsführung: NetBox, i-doit, GLPI, ServiceNow o. Ä.
• Arbeitsverwaltung/Ticketing: Jira, GitLab, OTOBO/Znuny o. Ä.
• Bezug und Aufbereitung von Herstellerhinweisen und behördlichen Warnmeldungen für Umgebungen ohne direkten Netzzugang
• Automatisierte Weitergabe von Schwachstellenbefunden an die Arbeits- und Ticketing-Systeme der Fachbereiche
• Eigene Prüferfahrung zur Einschätzung und Validierung der Qualität von Schwachstellenbefunden
• Schwachstellenmanagement im Public-Cloud-Umfeld sowie Übertragung entsprechender Verfahren auf eigenbetriebene Infrastrukturen
• Nachweisführung und Dokumentation gegenüber internen oder externen Prüfinstanzen