Security Architect / Consultant Developer Persona's & SDLC Security

Functieomschrijving:

De huidige ontwikkelomgevingen zijn versnipperd qua tooling, IAM en werkwijze. Er is geen goede balans tussen gebruikersgemak en security. Teams gebruiken zelfstandig tools,n externe code en eigen processen, wat leidt tot securityrisico’s, vertraging en beperkte controle. Doel van de opdracht: Het definiëren van developer persona’s waarin een goede balans wordt gevonden tussen: Security best practices (o.a. DevSecOps, least privilege), Gebruiksgemak en werkbaarheid voor teams, Risico’s (supply chain, privileges, kritieke systemen). Deze persona’s vormen de basis voor requirements en sturen de inrichting van: Developer werkplekken, Systeem en netwerktoegangsrechten, Tooling en applicaties, Gestandaardiseerde werkwijze voor alle teams.

De scope omvat de volledige softwareontwikkelketen (van code-inname tot en met build en test) voor alle relevante persona’s, met nadruk op situaties waarin verhoogde rechten, externe afhankelijkheden en supply chain risico’s een rol spelen. Dit omvat ontwikkelwerkplekken, CI/CD pipelines en de OTAP-omgevingen, maar sluit productie runtime meestal uit. Daarbij wordt onderkend dat sommige developers ook operationele taken uitvoeren (DevOps). Dit wordt expliciet meegenomen in de scope door: het definiëren van aanvullende of gecombineerde persona’s (Dev en DevOps), het differentiëren in rechtenstructuren (bijv. deployment- en beheerrechten), en het vertalen hiervan naar de architectuuropzet, inclusief inrichting van toegang, tooling en scheiding van verantwoordelijkheden over de gehele lifecycle (build, deploy en beheer waar relevant). Er is een eerste, snelle requirementsanalyse uitgevoerd op basis van verkennende gesprekken met een representatieve stakeholdergroep. Deze set is deels met Copilot opgesteld en daarna inhoudelijk gevalideerd en aangevuld via een reviewronde. De huidige requirements geven echter nog onvoldoende inzicht in de feitelijke werkwijze en behoeften. Daarom is een verdiepingsslag nodig, waarbij op basis van marktkennis en aanvullende analyse gestandaardiseerde persona’s worden ontwikkeld als fundament voor de (secure) werkwijze en onderliggende architectuur.

• Uitvoeren van een stakeholderanalyse en opstellen van een validatie-aanpak (interviews, workshops).
• Ontwikkelen van een conceptueel persona model (bijv. assenmodel).
• Opstellen van een concrete persona catalogus inclusief werkzaamheden, tooling, rechten en risicoprofiel.
• Formuleren van een requirementsset per persona (functioneel en niet-functioneel zoals IAM, CI/CD security, supply chain).
• Maken van een high-level vertaling naar architectuur inclusief gap-analyse en prioritering.
• Geven van input voor standaardisatie en (secure) werkwijze (o.a. golden paths).
• Realiseren van een compliance- en risicokoppeling (BIO2/Cbw).
• Iteratief afstemmen en valideren met stakeholders en het architectuurteam.

Over de klant:

De opdracht is succesvol wanneer er een samenhangende, gevalideerde set van persona’s en requirements ligt die direct bruikbaar is als basis voor de inrichting van de ontwikkelarchitectuur, tooling, werkplekken en toegangsstructuren. De werkwijze is iteratief, met tussentijdse validaties met stakeholders en architectuurteam.

Eisen:

• Aantoonbare ervaring met het definiëren van developer persona's en SDLC requirements.
• Kennis van security best practices zoals DevSecOps en least privilege.
• Ervaring met architectuur-mapping en gap-analyses.
• Kennis van compliance kaders zoals BIO2/Cbw.

Wensen:

• Ervaring met supply chain security maatregelen.
• Ervaring met IAM inrichting binnen complexe ontwikkelomgevingen.
• Vermogen om risicogedreven en iteratief te werken.