Application Security Engineer

CLEEVEN ist ein europäisches Beratungsunternehmen, das auf zwei grundlegenden Überzeugungen aufbaut:

• Die Exzellenz europäischer Ingenieurinnen und Ingenieure soll ein Motor der globalen Wettbewerbsfähigkeit sein
• Unsere menschliche Mission besteht darin, unsere Consultants in ihrer persönlichen und beruflichen Entwicklung zu begleiten

Für den Ausbau unserer Aktivitäten in der Schweiz suchen wir einen Application Security Engineer mit Entwicklungshintergrund für ein strategisches Modernisierungsprogramm im Bankenumfeld.

Projektkontext:

Im Rahmen eines mehrjährigen Transformationsprogramms werden bestehende Anwendungen modernisiert, technisch weiterentwickelt und schrittweise an externe Systeme und Netzwerke angebunden.

Mehrere Anwendungen, die bisher vor allem innerhalb geschützter interner Umgebungen genutzt wurden, sollen künftig auch über externe Netzwerkverbindungen erreichbar sein.

Die Aufgabe besteht darin, den bestehenden Code und die Anwendungsarchitektur aus Sicherheitsperspektive zu analysieren, Schwachstellen zu identifizieren und konkrete technische Empfehlungen für deren Behebung zu formulieren.

Der Schwerpunkt liegt klar auf Application Security, Secure Code Review und der engen Zusammenarbeit mit den Entwicklungsteams.

Ziele der Mission:

• Durchführung von Sicherheitsanalysen bestehender Anwendungen
• Analyse von Java-, C#- und Web-Code auf mögliche Schwachstellen
• Bewertung der Risiken im Zusammenhang mit extern zugänglichen Anwendungen
• Prüfung von Authentifizierungs- und Autorisierungsmechanismen
• Analyse der Sicherheit von APIs, Datenflüssen und externen Schnittstellen
• Identifikation von Risiken in Libraries und Drittanbieter-Komponenten
• Dokumentation technischer Schwachstellen
• Erarbeitung konkreter und umsetzbarer Empfehlungen
• Unterstützung der Entwickler bei der Behebung identifizierter Schwachstellen
• Mitwirkung bei Architektur- und Design-Reviews
• Definition und Weiterentwicklung von Secure-Coding-Standards
• Integration von Security Controls in CI/CD-Pipelines
• Sensibilisierung der Entwicklungsteams für sichere Softwareentwicklung
• Unterstützung bei Threat Modeling und Security Testing

Schlüsselkompetenzen:

• Mehrjährige Erfahrung in der Softwareentwicklung
• Sehr gute Kenntnisse in Java
• Fähigkeit, bestehenden Code zu lesen, zu verstehen und sicherheitstechnisch zu bewerten
• Erfahrung mit Secure Code Reviews
• Erfahrung mit Web- und API-Sicherheit
• Gute Kenntnisse in Authentifizierung, Autorisierung und Session Management
• Erfahrung mit SAST-, DAST- oder Software-Composition-Analysis-Tools
• Verständnis für DevSecOps und CI/CD
• Fähigkeit, Sicherheitsrisiken in konkrete technische Massnahmen zu übersetzen
• Gute Kenntnisse des Software Development Life Cycle

Von Vorteil sind:

• Kenntnisse in C# und .NET
• Kenntnisse in React, JavaScript oder TypeScript
• Erfahrung im Banken- oder Finanzumfeld
• Erfahrung mit Threat Modeling
• Kenntnisse in Kubernetes und Container Security
• Kenntnisse im Bereich IAM
• Erfahrung mit SonarQube, Checkmarx, Fortify, Snyk, Veracode oder vergleichbaren Tools
• Kenntnisse von OWASP ASVS, NIST oder ISO 27001
• Erfahrung mit Application Penetration Testing

Gesuchtes Profil:

• Hochschulabschluss in Informatik, Cybersecurity oder vergleichbare praktische Erfahrung
• Drei bis fünf Jahre Erfahrung in Softwareentwicklung und Application Security
• Technischer Entwicklungshintergrund
• Pragmatische und lösungsorientierte Arbeitsweise
• Fähigkeit, Schwachstellen nicht nur zu identifizieren, sondern auch konkrete technische Lösungen vorzuschlagen
• Deutsch und Englisch

Bis Bald !