Opdrachtomschrijving

Voor het IB-team binnen DICTU VI zijn wij op zoek naar een nieuwe collega die ons helpt met het veiliger maken en veilig houden van het applicatie-platform dat wij voor onze klanten beheren. Als security specialist wordt je betrokken bij het opstellen/beoordelen van technische wijzigingen voor nieuwe applicaties, tools en voorzieningen die op onze infrastructuur gaan landen. Je toetst deze ontwerpen tegen de beveiligingsrichtlijnen van DICTU en de klant en je werkt daarbij nauw samen met de architecten en technici. Je ondersteunt bij de uitvoering van (onafhankelijke) security tests en analyseert (nieuwe) kwetsbaarheden zoals die bijvoorbeeld gemeld worden vanuit het NCSC en onze leveranciers. Je bent betrokken bij de afhandeling van security incidenten en monitort daarop.

• Achtergrond opdracht

DICTU Vertrouwelijke Informatie (DICTU VI) beheert de infrastructuur en applicaties van een specifieke klant binnen de Rijksoverheid. Deze klant stelt hoge eisen aan de beschikbaarheid, integriteit, vertrouwelijkheid en controleerbaarheid van zijn systemen. Binnen DICTU VI zijn verschillende agile-teams actief op het gebied van applicatie-ontwikkeling, vernieuwings-projecten en platformbeheer. Het IB-team van DICTU VI is een vraagbaak voor deze teams en ondersteunt hen actief bij het opstellen van nieuwe ontwerpen en wijzigingsvoorstellen. Daarbij kijken we niet alleen naar de techniek maar ook naar de menselijke factor en processen. Binnen de afdeling lopen verschillende vernieuwingsprojecten, denk hierbij aan (private) cloud-oplossingen, container-technologie en API-management. Hierbij besteden wij veel aandacht aan de veiligheid van onze data door de nieuwste technieken toe te passen. Want we willen niet dat deze gegevens zomaar op straat komen te liggen of dat er haperingen optreden in de beschikbaarheid. Onze applicaties en voorzieningen draaien als IaaS/PaaS in een private cloud van de Rijksoverheid. Het platform draait op OpenStack en de infrastructuur is geautomatiseerd op basis van Git en Ansible. De meeste servers draaien RedHat Linux en Windows Server, met PostgreSQL en SQLServer als database-management. Een nieuw container-platform is in ontwikkeling, we werken daar met Kubernetes, Rancher, Layer7 en Nginx. Voor logging en security monitoring maken we gebruik van de Elastic-stack.

Eisen


• Opdracht is niet geschikt voor ZZP’ers ivm wet DBA



• Kennis en ervaring met Informatiebeveiliging vanuit een technische achtergrond: HBO Technische Informatica/Cybersecurity of door relevante certificeringen zoals CISSP, Systems Security Certified Practitioner SSCP, IT-Security Practitioner S-ITSP of vergelijkbaar.
• Kennis en ervaring m.b.t. Change Management vanuit een IB-perspectief; bv. CISM of ITIL certificering.
• Ervaring met het beoordelen van architectuur-ontwerpen (high- en low level designs) en wijzigingsvoorstellen (RFC's) vanuit (2 jaar) een risico-gebaseerd informatiebeveiligingsperspectief
• Brede technische achtergrond
• Ervaring met meerdere componenten van onze platform technology stack (Microsoft Windows RedHat Linux F5 Fortigate) containerisatie (Kubernetes Layer7 Nginx Rancher) Infrastructure as Code/IaaS (Ansible/AAP Git OpenStack) Identity and Access Management (Microfocus Microsoft AD FreeIPA OpenLDAP)
• Generieke ervaring met cybersecurity-tooling zoals pentest-software en/of vulnerability-scanning (3-2 jaar)

Wensen


• Ervaring met het gebruik van Elastic-stack (ELK) en Elastic-SIEM of vergelijkbaar (bv. Splunk).
• Ervaring met het gebruik van TOPdesk voor incident- en change-management.
• Ervaring met het gebruik van Atlassian JIRA/Confluence.
• Ervaring met Agile- en DevSecOps-werkwijzen.
• Je neemt een eigen laptop en smartphone mee.

Competenties


• Analytisch scherp en zelfstartend: je weet jezelf snel wegwijs te maken in ons complexe landschap en kunt vanuit die basis snel en zelfstandig zaken oppakken.
• Communicatief vaardig: je communiceert met technici, architecten, procesmanagers en business-stakeholders en weet je visie goed en standvastig over te dragen. Je hebt een goede schriftelijke uitdrukkingsvaardigheid.
• Accuraat: je zorgt voor goede vastlegging en documentatie.

Aanvullende Informatie
Wanneer u bij ons als leverancier een professional aanbiedt en deze wordt geplaatst, hebben we informatie van u als contractpartij nodig, onder andere met betrekking tot de Wet keten- en inlenersaansprakelijkheid. De ‘WKA’ heeft als doel om misbruik te voorkomen bij de afdracht van loonheffingen bij alle schakels in de keten; van leverancier tot opdrachtgever. Wij dekken deze risico’s voor onze opdrachtgevers af middels een geblokkeerde rekening, de G-rekening. Dit is een rekening waarop een gedeelte van het factuurbedrag wordt gestort en waarvan u de loonheffingen en BTW kunt betalen aan de Belastingdienst. Het af te storten % hangt ervan af of u een SNA-certificering (NEN-4400-1 of NEN-4400-2) heeft of niet en of uw bedrijf in Nederland of daarbuiten is gevestigd. De G-rekening kunt u aanvragen bij de Belastingdienst. Indien u geen G-rekening kunt krijgen (en u kunt hier bewijs van de Belastingdienst van overleggen) dan heeft u ook de mogelijkheid elk kwartaal een accountantsverklaring (assurance report inzake inlening personeel) aan te leveren. Hierin zal een gecertificeerd accountant (AA of RA) een verklaring afgeven over de juistheid, volledigheid en tijdigheid van de afdrachten. Let wel, de kosten voor deze verklaring komen voor uw eigen rekening.