DevSecOps Engineer
DevSecOps Engineer voor CGI Nederland B.V. in Rotterdam, 32-40 uur per week, start 13 oktober 2026.
- Locatie
- Rotterdam
- Uren
- 32–40 uur per week
- Sluitingsdatum
Mogelijk warme-stoelsignaal. Oordeel onzeker; geen bewijs dat al een kandidaat is gekozen.
De startdatum of korte looptijd valt op. Dit kan ook passen bij spoed, tijdelijke vervanging of afwijkende brongegevens; datums alleen bewijzen geen voorselectie. Dit is een aanwijzing, geen bewijs van een vooraf gekozen kandidaat.
Eisen
- Security Tooling Integratie: Implementeren en configureren van GitHub Advanced Security (GHAS) (CodeQL/SAST, Secret Scanning, Dependency Scanning/Dependabot) en eventuele third-party tooling (bijv. SonarQube, Mend, Snyk).
- Modulair & Conceptueel Denken: Ontwerpen van herbruikbare, schaalbare en 'secure-by-default' bouwblokken die flexibel inzetbaar zijn voor diverse techstacks (inclusief low-code).
- Coachend Vermogen: Ondersteunen van developers bij 'shift-left' security, waarbij je ze leert hoe ze om moeten gaan met kwetsbaarheden en blokkerende quality gates zonder de velocity te verliezen.
- Analytisch & Dashboard-gedreven: Vertalen van decentrale pipeline-data naar centrale compliance-inzichten ten behoeve van het centrale security dashboard.
- Vulnerability Management Integratie: Verzorgen dat kwetsbaarheden uit scans op in-productie software en SBOM informatie wordt aangeboden aan Vulnerability Management tooling.
- Secure Development & OWASP: Brede kennis van applicatiebeveiliging, secure coding practices en de OWASP Top 10 / ASVS.
- Data & Dashboarding: Ontsluiten van security- en compliance-data via API's (GitHub/Azure DevOps) naar een centraal dashboard (bijv. Power BI, GitHub Insights of Azure Monitor).
- Quality Gates & Governance: Inrichten van geautomatiseerde quality gates en policy-enforcement binnen het distributieproces (break-the-build scenario's).
- False-Positive Management: Inrichten van processen voor het triageren en onderdrukken van 'ruis' (false positives) in GHAS, om te voorkomen dat teams de meldingen gaan negeren (alert fatigue).
- CI/CD Platformen: Diepgaande kennis van Azure DevOps en GitHub, inclusief de synergie en migratiepaden tussen beide platformen.
- Techstack Diversiteit: Kennis van diverse software-architecturen, variërend van traditionele code (Java, .NET, JS) tot low-code platformen en cloud-native infrastructuren.
- Secret Management & Key Vaults: Integratie van pipelines met centrale kluizen (zoals Azure Key Vault of HashiCorp Vault).
- Software Supply Chain Security (SLSA / SBOM): Begrip van hoe een Software Bill of Materials (SBOM) wordt gegenereerd en gecertificeerd binnen GitHub/Azure DevOps om te voldoen aan moderne security-eisen.
- Veranderkracht & Facilitatie: Begeleiden en enthousiasmeren van teams tijdens het onboardingproces, met oog voor de specifieke behoeften per team of techstack.
- Compliance & Frameworks: Kennis van geautomatiseerde compliance (Compliance-as-Code) en hoe security controls mappen naar standaarden zoals ISO27001, SOC2 of interne audit-tooling.
- Pipeline-as-Code & Modulariteit: Expertise in het bouwen van herbruikbare CI/CD-componenten, zoals Azure DevOps Templates en GitHub Actions (reusable workflows / composite actions).
Wensen
- Container & Artefact Security: Scannen van container images en third-party packages in registers (zoals Azure Container Registry of GitHub Packages) vóórdat ze naar productie gaan.
- Infrastructuur als Code (IaC) Security: Scannen van cloud-configuraties (Terraform, Bicep, ARM templates) binnen de modules middels instrumenten zoals Trivy of Checkov, omdat moderne pipelines vaak ook infra uitrollen.
Volledige omschrijving
Als DevSecOps Engineer ben jij de architect en aanjager van de nieuwe, gestandaardiseerde CI/CD-pipelines. Je ontwerpt en bouwt modulaire, 'secure-by-default' bouwblokken waarmee ontwikkelteams flexibel en compliant hun software naar productie kunnen brengen. Je bent niet alleen technisch verantwoordelijk voor de integratie van security controls en quality gates, maar je faciliteert ook de onboarding van de teams op deze nieuwe platformen. Met jouw coachende vaardigheden help je teams om te gaan met kwetsbaarheden en geautomatiseerde blokkades, en zorg je dat security een gestandaardiseerd onderdeel wordt van het software ontwikkelproces.
Tot slot ontsluit je relevante pipeline-data op een veilige manier naar een centraal dashboard, zodat we continu integraal inzicht hebben in onze security- en compliance-status.
Technische skills omvatten: Pipeline-as-Code & Modulariteit (expertise in herbruikbare CI/CD-componenten zoals Azure DevOps Templates en GitHub Actions), Security Tooling Integratie (implementeren en configureren van GitHub Advanced Security (GHAS) en third-party tooling zoals SonarQube, Mend, Snyk), Quality Gates & Governance (geautomatiseerde quality gates en policy-enforcement), Data & Dashboarding (ontsluiten van security- en compliance-data via API's naar een centraal dashboard), Secret Management & Key Vaults (integratie met Azure Key Vault of HashiCorp Vault), Software Supply Chain Security (SLSA/SBOM), en Vulnerability Management Integratie.
Nice-to-have zijn Container & Artefact Security en Infrastructuur als Code (IaC) Security.
Kennis vereist: diepgaande kennis van CI/CD-platformen (Azure DevOps en GitHub), secure development en OWASP, techstack-diversiteit (Java, .NET, JS, low-code, cloud-native), compliance & frameworks (ISO27001, SOC2), en false-positive management.
Gewenste competenties: modulair en conceptueel denken, veranderkracht en facilitatie, coachend vermogen, en analytisch dashboard-gedreven werken.
Je CV en reacties
Voeg een CV toe om de eisen naast jouw ervaring te bekijken.
Heb je zelf bij de bron gereageerd? Leg dat hieronder vast.
Bewaar de broker en datum in Mijn reacties.