Kategori: IT Hizmetleri Bu uygulamalı bir roldür. Yalnızca danışmanlık yapıp işi ekibimize bırakmanız beklenmiyor. Repository'lerimiz, pipeline'larımız ve bulut hesaplarımız içinde mühendislerimizle birlikte güvenlik işlerinin büyük bölümünü bizzat siz yapacaksınız. Araçları yapılandıracak, sorunları düzeltecek ve sistemleri sertleştireceksiniz; süreç ve dokümanları yazacak, oturumları yöneteceksiniz ve bu süreçte ekibimize nasıl yapılacağını göstereceksiniz. Hedefimiz; her projede güvenli bir yazılım geliştirme yaşam döngüsü işleten, kendi iç düzenini sağlam kurmuş, ISO/IEC 27001 sertifikasyonuna hızla yaklaşan ve sizinle birlikte çalışıp zamanla günlük sorumluluğu devralabilecek bir İç Güvenlik Lideri'ne sahip bir şirket olmak. Bu yarı zamanlı bir pozisyondur. Sorumluluklar Değerlendirme ve yönetişim • Güvenlik olgunluk değerlendirmesini (örneğin OWASP SAMM) bizzat yürütmek; repository'lerimizi, pipeline'larımızı ve bulut yapılandırmamızı incelemek ve bulguları önceliklendirilmiş bir yol haritasına dönüştürmek. • Temel güvenlik politika ve prosedürlerini yazmak: erişim kontrolü, kabul edilebilir kullanım, güvenli geliştirme, olay müdahalesi, tedarikçi ve yapay zekâ aracı kullanımı. • Güvenlik backlog'unu, risk kaydını ve ilerleme metriklerini kurmak ve sürdürmek; ilerlemeyi yönetime aylık olarak raporlamak. Şirket güvenliği ("evi güvenli hale getirme") • E-posta, Git barındırma, bulut konsolları, CI/CD ve Passbolt genelinde SSO ve MFA'yı yapılandırmak ve zorunlu kılmak. • Erişim haklarını gözden geçirmek ve düzeltmek; işe başlama ve işten ayrılma kontrol listelerini kurmak. • Passbolt kurulumumuzu sertleştirmek; uygulamalar ve pipeline'lar için bir gizli bilgi yöneticisi (secrets manager) uygulamak; mevcut gizli bilgileri koddan ve CI değişkenlerinden taşımak. • Dizüstü bilgisayarlar, bulut hesapları, yedeklemeler ve loglama için temel sertleştirme önlemlerini uygulamak. • Olay müdahale planını yazmak ve ekiple masa başı tatbikatları yürütmek. Güvenli yazılım geliştirme • OWASP ASVS ve OWASP SAMM temel alınarak standart Güvenli SDLC'yi oluşturmak ve gerçek müşteri projelerinde uygulamak. • SecOps platformumuzu yapılandırmak ve ayarlamak: yanlış pozitifleri azaltmak, pipeline kalite kapıları kurmak ve bulguları ekiplerle birlikte değerlendirmek. • CI/CD pipeline'larımıza eksik taramaları bizzat eklemek: SAST, SCA, gizli bilgi taraması, IaC ve konteyner taraması, DAST ve SBOM üretimi. • Aktif projelerde tehdit modellemesi oturumları yürütmek ve sonuçları dokümante etmek. • Yüksek riskli değişikliklerde güvenlik kod incelemeleri yapmak ve geliştiricilerin güvenlik açıklarını gidermesine yardımcı olmak. • Yayınlardan önce uygulamalarımız üzerinde iç güvenlik testleri gerçekleştirmek; harici sızma testlerinin kapsamını belirlemek ve koordine etmek. Regülasyon ve uyum • Avrupa Birliği Siber Dayanıklılık Yasası (CRA), NIS2 ve ilgili yerel düzenlemelerin bizi ve müşterilerimizi nasıl etkilediğini haritalandırmak. • Güvenlik açığı yönetimi ve açıklama sürecini yazmak ve uygulamak; müşterilerin CRA raporlama yükümlülüklerine destek vermek. • ISO/IEC 27001 hazırlık çalışmalarını uygulamalı olarak yürütmek: kapsam, risk değerlendirmesi, Uygulanabilirlik Beyanı (SoA), politikalar ve kanıtlar; sertifikasyon kuruluşuyla çalışmak. Müşteri teklifleri • Müşteri tekliflerine dahil edebileceğimiz güvenlik hizmet seviyelerinin tanımlanmasına yardımcı olmak. • Müşteri güvenlik anketlerini doldurmak ve yeniden kullanılabilir bir cevap seti oluşturmak. • Gerektiğinde seçili müşteri toplantılarına veya görüşmelerine kıdemli bir güvenlik uzmanı olarak katılmak. İnsanlar ve bilgi birikimi • İç Güvenlik Lideri'miz ile yan yana çalışarak yaparak öğrenmesini sağlamak. • Temel konular üzerine (örneğin OWASP Top 10, tehdit modellemesi, güvenli CI/CD) kısa iç atölye çalışmaları yürütmek. • Geliştiriciler, Güvenlik Şampiyonları ve DevOps mühendisleri için eğitim ve sertifikasyon yolları önermek. Aranan Nitelikler Zorunlu • Bilgi güvenliği alanında 8+ yıl deneyim; uygulama güvenliği, DevSecOps veya bulut güvenliği alanlarında güncel uygulamalı çalışma. • Güvenlik araçlarını yapılandırmak, pipeline yapılandırması yazmak, kod incelemek, uygulamaları test etmek ve politika yazmak gibi işleri bizzat yapmaya yatkınlık. • Güvenli bir yazılım geliştirme yaşam döngüsü kurma ve güvenlik araçlarını CI/CD pipeline'larına entegre etme konusunda pratik deneyim. • En az bir büyük bulut platformunda (AWS, Azure veya GCP) iyi düzeyde bulut güvenliği bilgisi. • Güvenlik risklerini hem mühendislere hem de yönetime sade bir dille anlatabilme becerisi. • Yazılı ve sözlü olarak akıcı İngilizce. • Kubernetes ve konteyner güvenliği deneyimi. • Yapay zekâ ve LLM tabanlı uygulamalardaki güvenlik riskleri konusunda bilgi. Tercih Edilen • Bir yazılım satıcısı veya tedarikçisi bağlamında EU Cyber Resilience Act, NIS2 ve GDPR deneyimi. • Ajans veya dış kaynak kullanan bir ortamda müşteriler için güvenlik hizmetleri geliştirme deneyimi. • ISO/IEC 27001 (vey