DevSecOps Engineer

RFP van CGI Nederland B.V.

Reageren voor: 19 oktober 202614:58 uur · Nog 6 dagen
Bron: Striive

Opdrachtomschrijving

Beschrijving Opdracht Als DevSecOps Engineer ben jij de architect en aanjager van de nieuwe, gestandaardiseerde CI/CD-pipelines. Je ontwerpt en bouwt modulaire, 'secure-by-default' bouwblokken waarmee ontwikkelteams flexibel en compliant hun software naar productie kunnen brengen. Je bent niet alleen technisch verantwoordelijk voor de integratie van security controls en quality gates, maar je faciliteert ook de onboarding van de teams op deze nieuwe platformen.

Met jouw coachende vaardigheden help je teams om te gaan met kwetsbaarheden en geautomatiseerde blokkades, en zorg je dat security een gestandaardiseerd onderdeel wordt van het software ontwikkelproces. Tot slot ontsluit je relevante pipeline-data op een veilige manier naar een centraal dashboard, zodat we continu integraal inzicht hebben in onze security- en compliance-status.

Technische Skills (Vaardigheden) Pipeline-as-Code & Modulariteit: Expertise in het bouwen van herbruikbare CI/CD-componenten, zoals Azure DevOps Templates en GitHub Actions (reusable workflows / composite actions). Security Tooling Integratie: Implementeren en configureren van GitHub Advanced Security (GHAS) (CodeQL/SAST, Secret Scanning, Dependency Scanning/Dependabot) en eventuele third-party tooling (bijv. SonarQube, Mend, Snyk).

Quality Gates & Governance: Inrichten van geautomatiseerde quality gates en policy-enforcement binnen het distributieproces (break-the-build scenario's). Data & Dashboarding: Ontsluiten van security- en compliance-data via API's (GitHub/Azure DevOps) naar een centraal dashboard (bijv. Power BI, GitHub Insights of Azure Monitor). Secret Management & Key Vaults: Integratie van pipelines met centrale kluizen (zoals Azure Key Vault of HashiCorp Vault).

Software Supply Chain Security (SLSA / SBOM): Begrip van hoe een Software Bill of Materials (SBOM) wordt gegenereerd en gecertificeerd binnen GitHub/Azure DevOps om te voldoen aan moderne security-eisen. Vulnerability Management Integratie: Verzorgen dat kwetsbaarheden uit scans op in-productie software en SBOM informatie wordt aangeboden aan Vulnerability Management tooling.

Nice to have: Container & Artefact Security: Scannen van container images en third-party packages in registers (zoals Azure Container Registry of GitHub Packages) vóórdat ze naar productie gaan. Nice to have: Infrastructuur als Code (IaC) Security: Scannen van cloud-configuraties (Terraform, Bicep, ARM templates) binnen de modules middels instrumenten zoals Trivy of Checkov, omdat moderne pipelines vaak ook infra uitrollen.

Kennis (Achtergrond & Expertise) CI/CD Platformen: Diepgaande kennis van Azure DevOps en GitHub, inclusief de synergie en migratiepaden tussen beide platformen. Secure Development & OWASP: Brede kennis van applicatiebeveiliging, secure coding practices en de OWASP Top 10 / ASVS. Techstack Diversiteit: Kennis van diverse software-architecturen, variërend van traditionele code (Java,.NET, JS) tot low-code platformen en cloud-native infrastructuren.

Compliance & Frameworks: Kennis van geautomatiseerde compliance (Compliance-as-Code) en hoe security controls mappen naar standaarden zoals ISO27001, SOC2 of interne audit-tooling. False-Positive Management: Inrichten van processen voor het triageren en onderdrukken van 'ruis' (false positives) in GHAS, om te voorkomen dat teams de meldingen gaan negeren (alert fatigue).

Gewenste capaciteiten (Competenties & Rolgedrag) Modulair & Conceptueel Denken: Ontwerpen van herbruikbare, schaalbare en 'secure-by-default' bouwblokken die flexibel inzetbaar zijn voor diverse techstacks (inclusief low-code). Veranderkracht & Facilitatie: Begeleiden en enthousiasmeren van teams tijdens het onboardingproces, met oog voor de specifieke behoeften per team of techstack.

Coachend Vermogen: Ondersteunen van developers bij 'shift-left' security, waarbij je ze leert hoe ze om moeten gaan met kwetsbaarheden en blokkerende quality gates zonder de velocity te verliezen. Analytisch & Dashboard-gedreven: Vertalen van decentrale pipeline-data naar centrale compliance-inzichten ten behoeve van het centrale security dashboard.