SPW Digital beheert een patrimonium van ongeveer 800 applicaties, waarvan bijna 400 webapplicaties, gebaseerd op diverse technologieën en leveranciers. Een gebrekkige beheersing van hun levenscyclus kan leiden tot:

• onderbreking van publieke diensten;
• compromittering van data of applicatieve functies;
• misbruik van kwetsbaarheden in de code, componenten of configuraties;
• toename van technische schuld en verouderingsrisico’s;
• niet-naleving van beveiligingseisen, met name NIS2, CyFun en het Informatiebeveiligingsprogramma van SPW;
• langere en duurdere correcties wanneer beveiliging te laat wordt toegepast.

Om deze risico’s te beheersen beschikt de Security Unit van SPW Digital over een team dat zich toelegt op Secure Application Lifecycle Management (SALM). Dit team is hoofdzakelijk verantwoordelijk voor:

• het bepalen van de criticaliteit van applicaties en de toe te passen beveiligingscontroles;
• het uitvoeren van risicoanalyses en het opvolgen van de genomen maatregelen volgens de binnen SPW geldende methodologie;
• het definiëren van applicatiebeveiligingsstandaarden en -praktijken binnen SPW;
• het integreren van beveiligingscontroles in projecten en DevSecOps/CI/CD-ketens: SAST, DAST, SCA, kwetsbaarheidsscans en penetratietests;
• het opvolgen van uitzonderingen, resterende risico’s en aanbevelingen voorafgaand aan productielancering;
• het opvolgen van kwetsbaarheden, veroudering en decommissioning van applicaties;
• het adviseren van project-, ontwikkel-, architectuur- en operationele teams.

Het team werkt samen met projectmanagers, developers, architects, operations, functionele verantwoordelijken, service centers, DevSecOps- en SecOps-teams, het SOC, de business en leveranciers.

Het doel is om ad-hoc en manuele controles te vervangen door een gemeenschappelijke, aan risico’s aangepaste, meer geautomatiseerde aanpak die de volledige levenscyclus van applicaties dekt.

Verwachte gedragscompetenties

Leiderschap: het kader scheppen, het team ondersteunen en verantwoordelijkheden geven.
Verantwoordelijkheidsgevoel: taken op zich nemen en rapporteren.
Technische geloofwaardigheid: complexe dossiers behandelen en beslissingen onderbouwen.
Prioritering: keuzes maken volgens risico’s en capaciteit.
Eisendheid en betrokkenheid: kwaliteit waarborgen en het team laten groeien.
Pragmatisme: toepasbare maatregelen voorstellen.
Communicatie: boodschappen afstemmen op de gesprekspartners.

Zelfstandigheid en synthese: toezien op afspraken en keuzes tijdig signaleren.

Hoofdopdracht

Referentie inzake applicatiebeveiligingsexpertise op het vlak van risico’s, projectbegeleiding, technische aspecten en DevSecOps.

Opvolgen van de risico- en eisenaspecten van SALM-dossiers. Projecten begeleiden vanaf de initiële kwalificatie tot aan productielancering, waken over de afstemming van controles op de criticaliteit van de applicatie en de traceerbaarheid van beslissingen.

Technische controles binnen SALM-dossiers beheren en integreren in de ontwikkelpraktijken. Resultaten van tools benutten, kwetsbaarheden kwalificeren, begeleiden bij het oplossen ervan en bijdragen aan de automatisering van controles in CI/CD-ketens.

Lead op het SALM-thema: opvolging van operationele activiteiten, de naleving van methodes en deadlines. Het SALM-thema verder ontwikkelen en rapporteren in de vorm van opvolgingstabellen en evolutieplannen.

Alle leden van het SALM-team rapporteren hiërarchisch aan de verantwoordelijke van de sub-unit GRC & applicatiebeveiliging (ad interim waargenomen door de verantwoordelijke van de security unit).

Kerntaken

| Domein | Kerntaken | |------------------------------|---------------------------------| | Themaleiderschap | | | Operationele expertise | | | Methodologisch kader | | | Beheer van applicatiekwetsbaarheden | | | Projecten en DevSecOps | | | Samenwerking en rapportering | |

Voorbeelden van deliverables

• Werkplanning, dashboard en opvolging van dossiers.
• Risicoanalyses en security adviezen.
• Eisen en controleplannen.
• SAST-, DAST-, SCA-rapporten en penetratietests.
• SALM-standaarden en -modellen.
• Dashboard en arbitrage-ondersteuning.