Entwerfen und aufbauen einer, auf Sicherheit ausgelegten, CI/CD Pipeline in einer Cloudumgebung. Dabei steht die Auswahl und Evaluation von Security Tools, welche mit den meistgenutzten CI/CD Tools harmonieren, im Vordergrund. Zudem ist die Ausarbeitung einer flexiblen Architektur für verschiedene Cloud Anbieter oder die Installation im eigenen Datencenter ein zentrales Kriterium

• Härtung eines Linux Basis Images
• Aufbau und Absicherung eines Kubernetes Clusters
• Auswahl und Implementation von CI/CD Tools
• Planung und Aufbau einer Cloud Environment mit Terraform
• Implementation von Security Tools

Durchführung des turnusmäßigen internal Audits im Rahmen der bestehenden ISO 27001 Zertifizierung

• Durchführung des internal Audits mit Fokus auf dem Bereich Softwareentwicklung
• Evaluation des Umsetzungsgrades der in der ISO Norm geforderten technischen und organisatorischen Maßnahmen
• Dokumentation von Abweichungen und Ableitung von Handlungsempfehlungen

Durchführung des turnusmäßigen internal Audits im Rahmen der bestehenden ISO 27001 Zertifizierung.

• Durchführung des internal Audits mit Fokus auf dem Bereich Softwareentwicklung
• Evaluation des Umsetzungsgrades der in der ISO Norm geforderten technischen und organisatorischen Maßnahmen
• Dokumentation von Abweichungen und Ableitung von Handlungsempfehlungen

Entwicklung eines Coding Standards auf der Basis einer Unternehmensrichtlinie. Im Fokus stand der sichere Umgang mit Code, sowie Sicherheit bei der Entwicklung von Software und Code innerhalb des Unternehmens

• Schreiben des Standards
• Ermittlung aktueller Best Practices
• Spezifizierung Sicherheitsrelevanter Aspekte des Entwicklungsprozesses
• Verbesserung des Entwicklungsprozesses durch Automatisierung

Untersuchen der Microsoft 365 Umgebung auf Fehlkonfigurationen in Bezug auf Sicherheit. Erstellung eines Testberichts und empfehlen von Maßnahmen zur Behebung der Fehlkonfigurationen.

• Überprüfung der Konfigurationen
• Schreiben des Reports
• Maßnahmen definieren
• Powershell abfragen automatisieren

Durchführung von Security- und Risk Assessments sowie Datenschutzaudits für Produkte und Services im Customer und Enterprise Umfeld eines global agierenden Telekommunikationskonzerns, sowie Projektmanagement im Kontext von IT-Security. Insgesamt umfasste die Tätigkeit ca. 25 Einzelprojekte mit unterschiedlichen fachlichen und technologischen Schwerpunkten. Die Projektsprache war dabei stets Englisch.

• Information Security Management, Risk Assessments und Datenschutzaudits unter Berücksichtigung interner und externer Richtlinien sowie allgemeiner Security Best-Practice wie ISO 27001, BSI IT-Grundschutz, OWASP, CIS, NIST, Common Criteria, DSGVO, Best Practices
• Security Projekt Management und Consulting in strategischen Projekten inklusive Budgetkoordination und Abstimmung mit internationalen Stakeholdern bis Senior Management Level
• Definition von Security Architekturen und Controls, Erstellung von Sicherheitskonzepten und Risk Registern, Prozessdefiniton und Implementierung, Konzeption und Einführung von Security Policies, Review von Solution Designs, Koordination von Penetrationstests, Ableitung von Handlungsempfehlungen und Maßnahmen zur Risikoreduzierung
• Security Assurance in den Bereichen Telecommunications, Consumer und Enterprise mit diversen technologischen Schwerpunkten (u.a. Web- und Mobile Applications, Cloud Hosting, DevSecOps, CI/CD-Pipelines)

Entwicklung der Architektur einer Cloud gehostete CI/CD Pipeline basierend auf einem Kubernetes Cluster um High Availability zu gewährleisten. Der Service wurde zentral für verschiedene OpCos des Kunden sowie interne Projektteams angeboten und betrieben.

• Implementierung und Sicherstellung der Berücksichtigung von Vodafone Security Controls, Policies und Standards
• Evaluierung von Tools und Zusammenstellung einer sinnvollen Auswahl inklusive eines gesamtheitlichen Architektur Designs
• Erarbeiten und umsetzen von Kubernetes Security Controls
• Integration von Security Tools in die CI/CD Pipeline
• Auswahl und Evaluation von Container Vulnernability Scannern sowie deren Konfiguration
• Mitarbeit im Entwicklerteam als Security Ansprechpartner bezüglich Security Konfiguration und Programmierung

RIPS Technologies GmbH stellt eine Software zur Verfügung, welche PHP sowie Java Quellcode auf Schwachstellen scannt (sogenannte SAST Lösung). Kunden wünschten sich aus verschiedenen Gründen ein Kommandozeilenwerkzeug, welches mit der Cloud gehosteten Software kommuniziert um dort Befehle auszuführen oder Ergebnisse angezeigt zu bekommen.

Aufgaben
Um eine Kommandozeilenwerkzeug zu erstellen musste der Kandidat die bestehende Software anhand der vorhandenen Dokumentation verstehen und die grundlegenden Funktionen des Tools definieren. Nun wurde nach der Firmenvorgabe die Software in dem PHP Framework Symfony umgesetzt. Dabei musste er die vordefinierte API des Scanners nutzen und eine Ausgabe der API-Antworten auf eine Textbasierte Konsole anpassen.