SPW Digital beheert een patrimonium van ongeveer 800 applicaties, waarvan bijna 400 webapplicaties, gebaseerd op diverse technologieën en leveranciers. Een slechte beheersing van hun levenscyclus kan leiden tot:

• een onderbreking van publieke diensten;
• een compromittering van gegevens of applicatiefuncties;
• het uitbuiten van kwetsbaarheden in de code, componenten of configuraties;
• een toename van technische schuld en risico’s op veroudering;
• het niet naleven van beveiligingseisen, met name NIS2, CyFun en het Informatiebeveiligingsprogramma van SPW;
• langere en duurdere correcties wanneer beveiliging te laat wordt toegepast.

Om deze risico’s te beheersen, beschikt de Security Pool van SPW Digital over een toegewijd team voor Secure Application Lifecycle Management (SALM). Dit team is hoofdzakelijk verantwoordelijk voor:

• het bepalen van de criticaliteit van applicaties en de toe te passen beveiligingscontroles;
• het uitvoeren van risicoanalyses en het opvolgen van de genomen maatregelen volgens de methodologie binnen SPW;
• het definiëren van de applicatiebeveiligingsstandaarden en -praktijken van SPW;
• het integreren van beveiligingscontroles in projecten en DevSecOps/CI/CD-ketens: SAST, DAST, SCA, kwetsbaarheidsscans en penetratietests;
• het opvolgen van uitzonderingen, resterende risico’s en aanbevelingen vóór ingebruikname;
• het opvolgen van kwetsbaarheden, veroudering en uitfasering van applicaties;
• het adviseren van project-, ontwikkel-, architectuur- en operationele teams.

Het team werkt samen met projectleiders, ontwikkelaars, architecten, operations, functionele verantwoordelijken, service centers, DevSecOps- en SecOps-teams, het SOC, de business en leveranciers.

Het doel is om eenmalige en manuele controles te vervangen door een gemeenschappelijke aanpak, proportioneel aan de risico’s, meer geautomatiseerd en die de volledige levenscyclus van applicaties dekt.

Verwachte gedragscompetenties

Analytisch vermogen: een complexe situatie structureren en prioritaire risico’s onderscheiden.
Pragmatisme: proportionele, realistische en verifieerbare maatregelen voorstellen.
Didactiek: beveiligingseisen begrijpelijk maken voor projecten en de business.
Nauwkeurigheid: aannames, beslissingen, bewijzen en resterende risico’s documenteren.
Zelfstandigheid: meerdere dossiers parallel beheren.
Samenwerking: samenwerken met ontwikkelaars, architecten, DevSecOps, operations en leveranciers.

Omschrijving van de opdracht

Hoofdopdracht

Verantwoordelijkheid nemen voor de risico- en eisenaspecten van SALM-dossiers. Projecten begeleiden vanaf de initiële kwalificatie tot aan productie, met aandacht voor de afstemming van controles op de criticaliteit van de applicatie en de traceerbaarheid van beslissingen.

Alle leden van het SALM-team rapporteren hiërarchisch aan de verantwoordelijke van de subpool GRC & applicatiebeveiliging (ad interim ingevuld door de verantwoordelijke van de security pool).

Kerntaken

| Domein | Kerntaken | |----------------------------|---------------| | Kwalificatie en criticaliteit | | | Risico’s en dreigingen | | | Architectuur en eisen | | | Begeleiding van projecten | | | Advies en productie | | | Continue verbetering | |

Voorbeelden van deliverables

• Kwalificatie- en criticaliteitsfiche.
• Risicoanalyse of dreigingsmodel.
• Eisen en plan van beveiligingscontroles.
• Verslag van architectuur- of ontwerpreview.
• Register van aanbevelingen, uitzonderingen en resterende risico’s.
• SALM-advies vóór ingebruikname.