SPW Digital beheert een patrimonium van ongeveer 800 applicaties, waarvan bijna 400 webapplicaties, gebaseerd op diverse technologieën en leveranciers. Een gebrekkige beheersing van hun levenscyclus kan leiden tot:

• onderbreking van publieke dienstverlening;
• compromittering van gegevens of applicatiefuncties;
• het uitbuiten van kwetsbaarheden in code, componenten of configuraties;
• een toename van technische schuld en verouderingsrisico’s;
• niet-conformiteit met beveiligingseisen, met name NIS2, CyFun en het Informatiebeveiligingsprogramma van SPW;
• langere en duurdere correcties als beveiliging te laat wordt aangepakt.

Om deze risico’s te beheersen, beschikt de Security Pool van SPW Digital over een toegewijd team voor Secure Application Lifecycle Management (SALM). Dit team is hoofdzakelijk verantwoordelijk voor:

• het bepalen van de criticaliteit van applicaties en de toe te passen beveiligingscontroles;
• het uitvoeren van risicoanalyses en het opvolgen van de genomen maatregelen volgens de bij SPW geldende methodologie;
• het definiëren van SPW-standaarden en best practices voor applicatiebeveiliging;
• het integreren van beveiligingscontroles in projecten en DevSecOps/CI/CD-ketens: SAST, DAST, SCA, kwetsbaarheidsscans en penetratietests;
• het opvolgen van uitzonderingen, resterende risico’s en aanbevelingen vóór ingebruikname;
• het opvolgen van kwetsbaarheden, veroudering en decommissioning van applicaties;
• het adviseren van project-, ontwikkel-, architectuur- en operationele teams.

Het team werkt samen met projectmanagers, ontwikkelaars, architecten, operations, functionele verantwoordelijken, servicecentra, DevSecOps- en SecOps-teams, het SOC, de business en leveranciers.

Het doel is om ad-hoc en manuele controles te vervangen door een gedeelde, risicogebaseerde en meer geautomatiseerde aanpak die de volledige levenscyclus van applicaties dekt.

Verwachte gedragscompetenties

Technische nauwkeurigheid: bevindingen reproduceren, kwalificeren en documenteren.
Pragmatisme: prioriteren van daadwerkelijk te exploiteren kwetsbaarheden en realistische oplossingen voorstellen.
Didactisch vermogen: kwetsbaarheden en remediatie uitleggen aan ontwikkelaars.
Nieuwsgierigheid: kennis onderhouden van aanvalstechnieken en tools.
Zelfstandigheid: controles configureren en uitvoeren, en complexe gevallen escaleren.
Samenwerking: samenwerken met projecten, ontwikkelaars, DevSecOps, SecOps en leveranciers.

Beschrijving van de opdracht

Hoofdopdracht

Verantwoordelijkheid nemen voor de technische controles van SALM-dossiers en hun integratie in de ontwikkelpraktijken. Resultaten van tools benutten, kwetsbaarheden kwalificeren, het remediëren begeleiden en bijdragen aan de automatisering van controles in CI/CD-ketens.

Het profiel blijft dat van een SALM-analist die het functionele kader en de risicoanalyse van een dossier begrijpt; de focus ligt op technische diepgang, tooling en begeleiding van ontwikkelaars.

Alle leden van het SALM-team rapporteren hiërarchisch aan het hoofd van de subpool GRC & applicatiebeveiliging (ad interim waargenomen door het hoofd van de beveiligingspool).

Kerntaken

Domein
Kerntaken

Geautomatiseerde controles

DevSecOps en CI/CD

Kwalificatie van kwetsbaarheden

Testing en remediatie

Technische begeleiding

Voorbeelden van deliverables

• Technische controleplannen.
• Configuraties en integratieprocedures voor SAST, DAST, SCA en secrets.
• Rapporten voor kwalificatie en prioritering van applicatiekwetsbaarheden.
• Opvolging van penetratietesten en remediatieplannen.
• Quality gate criteria en uitzonderingsregels.
• Remediatiegidsen en technische aanbevelingen.
• Indicatoren voor dekking, criticaliteit en tijd tot correctie.