De SPW Digital beheert een patrimonium van ongeveer 800 applicaties, waarvan bijna 400 webapplicaties, gebaseerd op diverse technologieën en leveranciers. Slechte beheersing van hun levenscyclus kan leiden tot:

• een onderbreking van openbare diensten;
• een compromittering van gegevens of applicatiefuncties;
• het uitbuiten van kwetsbaarheden in de code, componenten of configuraties;
• een toename van de technische schuld en het risico op veroudering;
• niet-conformiteit met beveiligingseisen, met name NIS2, CyFun en het Informatiebeveiligingsprogramma van SPW;
• langere en duurdere correcties wanneer beveiliging te laat wordt aangepakt.

Om deze risico's te beheersen beschikt de Security Unit van SPW Digital over een toegewijd team voor Secure Application Lifecycle Management (SALM). Dit team is voornamelijk verantwoordelijk voor:

• het bepalen van de kriticiteit van applicaties en de toe te passen beveiligingscontroles;
• het uitvoeren van risicoanalyses en het opvolgen van de genomen maatregelen volgens de methodologie bij SPW;
• het definiëren van de applicatieve beveiligingsstandaarden en -praktijken van SPW;
• het integreren van beveiligingscontroles in projecten en DevSecOps/CI/CD-ketens: SAST, DAST, SCA, kwetsbaarheidsscans en penetratietests;
• het opvolgen van uitzonderingen, residuele risico’s en aanbevelingen vóór inproductiename;
• het opvolgen van kwetsbaarheden, veroudering en het uitfaseren van applicaties;
• het adviseren van project-, ontwikkelings-, architectuur- en operationele teams.

Het team werkt samen met projectmanagers, developers, architects, operations, functioneel verantwoordelijken, service centers, DevSecOps- en SecOps-teams, het SOC, de business en leveranciers.

Het doel is om ad-hoc en handmatige controles te vervangen door een gemeenschappelijke aanpak, proportioneel aan de risico’s, meer geautomatiseerd en die de volledige levenscyclus van applicaties dekt.

Verwachte gedragscompetenties

Analytisch vermogen: een complexe situatie structureren en prioritaire risico’s onderscheiden.
Pragmatisme: proportionele, realistische en verifieerbare maatregelen voorstellen.
Didactisch vermogen: beveiligingseisen begrijpelijk maken voor projecten en business.
Nauwkeurigheid: aannames, beslissingen, bewijzen en residuele risico’s documenteren.
Zelfstandigheid: meerdere dossiers parallel beheren.
Samenwerking: werken met developers, architects, DevSecOps, operations en leveranciers.

Omschrijving van de opdracht

Hoofdopdracht

Verantwoordelijkheid nemen voor de risico- en eisendossiers binnen SALM. Projecten begeleiden vanaf de initiële kwalificatie tot en met de inproductiename, met aandacht voor de afstemming van controles op de kriticiteit van de applicatie en de traceerbaarheid van beslissingen.

Alle leden van het SALM-team rapporteren hiërarchisch aan het hoofd van de sub-unit GRC & applicatiebeveiliging (ad interim waargenomen door het hoofd van de security unit).

Kernactiviteiten

Domein | Kernactiviteiten
Kwalificatie en kriticiteit |
Risico’s en dreigingen |
Architectuur en eisen |
Begeleiding van projecten |
Advies en inproductiename |
Continue verbetering |

Voorbeelden van deliverables

• Kwalificatie- en kritischheidsfiche.
• Risicoanalyse of dreigingsmodel.
• Eisen en plan van beveiligingscontroles.
• Verslag van architectuur- of ontwerpreview.
• Register van aanbevelingen, uitzonderingen en residuele risico’s.
• SALM-advies vóór inproductiename.