Security Liaison

Opdrachtomschrijving

Ben jij de verbindende schakel tussen security en softwareontwikkeling? Voor de inzet op meerdere iRealisatie-projecten zoeken we een Security Liaison: een professional die niet vanaf de zijlijn toekijkt, maar actief meedraait binnen ontwikkelteams. Daarnaast ben jij een belangrijke speler in het procesmatig documenteren van projecten in het kader van afbouw en overdracht. Jij zorgt ervoor dat security vanaf het begin wordt meegenomen in het ontwikkelproces - niet als last-minute check, maar als vanzelfsprekend onderdeel van elke sprint.

In deze rol ben je volledig geïntegreerd in het team en maak je security concreet, toepasbaar én werkbaar voor ontwikkelaars, architecten en product owners. Je neemt deel aan overleggen, geeft gevraagd en ongevraagd advies over security-aspecten in architectuur, epics en user stories, en helpt teams werken volgens de principes van Security by Design. Je vertaalt iSDP-richtlijnen (gebaseerd op OWASP ASVS) naar de praktijk, voert risicoanalyses uit en coördineert pentests en code-assessments. Ook zorg je voor opvolging van technische bevindingen en ondersteun je het team met lokale scans via tooling zoals Trivy, Semgrep en OWASP ZAP.

Je bent betrokken bij incidentmanagement en escalaties, en werkt samen met het SOC aan monitoring, logging en SIEM-integratie. Je signaleert tijdig mogelijke risico's, stemt mitigerende maatregelen af met de Security Lead en relevante gremia (zoals MAF en IBMF) en draagt actief bij aan incidentpreventie en -beheersing. Daarnaast speel je een belangrijke rol in kennisdeling, afstemming met stakeholders en het creëren van awareness binnen het team. Je levert input voor logging- en monitoring use cases en ondersteunt bij open-source keuzes en oplevertrajecten.

Gevraagd

• Je beschikt over WO werk- en denkniveau, aangevuld met een Certified Information Systems Security Professional (CISSP)-opleiding of een gelijkwaardige certificering.
• Je beschikt over minimaal 5 jaar ervaring met integratie van security tooling en het gebruik van losse security tooling, zoals Trivy, Semgrep, OWASP ZAP en Dependabot, met focus op SCA en SAST.
• Je hebt kennis van secure software development en de OWASP-richtlijnen, zoals ASVS, Top 10 en SAMM.
• Je hebt ervaring met het afronden en/of overdragen van een project vanuit securityperspectief.

Functie-wensen

• Je hebt ervaring met procesmatig documenteren van projecten.
• Je bent sterk in documenteren.
• Je werkt detailgericht.
• Je hebt sterke communicatieve vaardigheden.
• Je bent samenwerkingsgericht en maakt onderdeel uit van het team in plaats van externe controleur.
• Je hebt een proactieve houding: gevraagd én ongevraagd signaleer en adviseer je over risico's.
• Je hebt didactisch vermogen: je kunt security awareness overbrengen en teams begeleiden in securitygerelateerde projecten.
• Je hebt ervaring met CI/CD-pijplijnen.
• Je hebt basiskennis van dreigingsmodellen en risicoanalyse (OWASP Risk Rating, BIO).
• Je bent bekend met incidentmanagement en monitoring (SIEM, SOC-processen).
• Je hebt kennis van GitHub, Git en de standaard werkwijzen hierin.
• Je hebt kennis van cloud- en/of containeromgevingen (Docker, Kubernetes, Podman) en hun security-aspecten.
• Je begrijpt softwarearchitectuur en ontwikkelmethodieken (Agile/Scrum, DevOps).
• Je hebt ervaring met het coördineren van security assessments (pentests, code reviews).
• Je hebt kennis van open-source securityprocessen en compliance-aspecten bij oplevering.
• Je hebt kennis van security by design-beleid en kunt dit toepassen in projecten.

Achtergrond opdracht

Het cluster iRealisatie is de softwareontwikkelafdeling van het ministerie van VWS. iRealisatie is in tijden van crisis opgericht om snel en kwalitatief goed digitale ondersteuningsmiddelen te ontwikkelen die bijdragen aan de bestrijding en beheersing van de COVID-19-pandemie. Inmiddels is iRealisatie onderdeel van de directie informatiebeleid en ontwikkelt het, in opdracht van beleidsafdelingen en uitvoeringsorganisaties van VWS, maatwerksoftware en tools die bijdragen aan het versnellen van de digitalisering in de zorg.

Denk daarbij aan:

• Het verkennen en aantonen van nieuwe oplossingen door het uitvoeren van pilots of PoC's (Proof of Concepts);
• Het ontwikkelen en realiseren van nieuwe software en digitale tools op basis van privacy en security by design;
• Het moderniseren van bestaande, verouderde informatiesystemen;
• Het inzetten van technisch advies bij digitaliseringsvraagstukken.

iRealisatie heeft alle capaciteiten in huis om software te ontwerpen, ontwikkelen én beheren - met een privacy- en security-first aanpak. We bouwen software, webapplicaties en mobiele apps.

iRealisatie zal in 2025 en 2026 gefaseerd toewerken naar afbouw en uiteindelijk afhechting van de organisatie binnen het kerndepartement van VWS. De manier waarop en de termijn van deze afhechting is nog onduidelijk, maar zal - gezien de looptijd van de bestaande projecten - nog meerdere jaren in beslag nemen. 2026 is enerzijds gericht op het succesvol voortzetten van de bestaande projecten en het, waar doelmatig, verder professionaliseren van de organisatie. Wij zoeken een Security Liaison die in deze fase goed kan bijdragen door documentatie vast te leggen en procesmatig te zorgen voor het documenteren van alle projecten.

Eisen

• Kandidaat beschikt over WO werk- en denkniveau, aangevuld met een Certified Information Systems Security Professional (CISSP)-opleiding of een gelijkwaardige certificering.
• Kandidaat beschikt over minimaal 5 jaar ervaring met integratie van security tooling en het gebruik van losse security tooling, zoals Trivy, Semgrep, OWASP ZAP en Dependabot, met focus op SCA en SAST.
• Kandidaat heeft kennis van en ervaring met secure software development en de OWASP-richtlijnen, zoals ASVS, Top 10 en SAMM.
• Kandidaat heeft ervaring met het afronden en/of overdragen van een project vanuit securityperspectief.

Wensen

• Mate waarin de kandidaat beschikt over security by design-beleid en het toepassen daarvan binnen projecten.
• Mate waarin de kandidaat ervaring heeft met het coördineren van security assessments (pentests, code reviews).
• Mate waarin de kandidaat ervaring heeft met procesmatig documenteren van projecten.
• Mate waarin de kandidaat voldoet aan de overige gevraagde competenties en vaardigheden (toetsbaar in cv, motivatie en/of gesprek).

Aanvullende informatie

Wanneer u bij ons als leverancier een professional aanbiedt en deze wordt geplaatst, hebben we informatie van u als contractpartij nodig, onder andere met betrekking tot de Wet keten- en inlenersaansprakelijkheid. De WKA heeft als doel om misbruik te voorkomen bij de afdracht van loonheffingen bij alle schakels in de keten: van leverancier tot opdrachtgever. Wij dekken deze risico’s voor onze opdrachtgevers af middels een geblokkeerde rekening, de G-rekening. Dit is een rekening waarop een gedeelte van het factuurbedrag wordt gestort en waarvan u de loonheffingen en btw kunt betalen aan de Belastingdienst. Het af te storten percentage hangt ervan af of u een SNA-certificering (NEN-4400-1 of NEN-4400-2) heeft of niet en of uw bedrijf in Nederland of daarbuiten is gevestigd. De G-rekening kunt u aanvragen bij de Belastingdienst. Indien u geen G-rekening kunt krijgen en u kunt hiervan bewijs van de Belastingdienst overleggen, dan heeft u ook de mogelijkheid elk kwartaal een accountantsverklaring (assurance report inzake inlening personeel) aan te leveren. Hierin zal een gecertificeerd accountant (AA of RA) een verklaring afgeven over de juistheid, volledigheid en tijdigheid van de afdrachten. Let wel, de kosten voor deze verklaring komen voor uw eigen rekening.