Branche:
Banken / Finanzwesen

Funktion:
Projektverantwortlicher für Ausbau und Standardisierung des Penetration Testing

Verantwortungsbereiche:

• Analyse der rechtlichen und regulatorischen Anforderungen
• Risikoanalyse gemäß KWG/MaRisk/BAIT
• Kollaboration mit internen Risikokontrollabteilungen (Datenschutz, Compliance, Legal usw.)
• Abstimmung inkl. Betriebsvereinbarung mit dem Betriebsrat
• GAP Analyse
• Definition von Standards und Vorgaben für das Penetration Testing
• Reconciliation Prozess zwischen bekannten Assets und unbekannten Assets
• Penetration Testing Report Template gemäß Anforderungen BaFin
• Prüfung der Pentesting Berichte auf Qualität und Alignment mit BaFin Anforderungen
• Koordination von Pentests
• Eskalationsmanagement
• Definition und Implementierung von Prozessen (end-to-end)
• Ordnungsgemäße Übergabe in den operativen Betrieb

Branche:
Banken / Finanzwesen

Funktion:
Projektleiter für Pentest-Governance

Verantwortungsbereiche:

• Anpassung von Richtlinien
• Erarbeitung von IST/ SOLL/ INTERIM/ Final Zustand
• Erstellung Konzept externe Dienstleister
• Definition und Abstimmung Berichtswesen, KRI’s und KPI’s

Branche:
Banken / Finanzwesen

Funktion:
Projektverantwortlicher

Verantwortungsbereiche:

• Anbahnung, Planung und Durchführung diverser Pentest-Projekte
• Infrastruktur-Pentests: Perimeter, Netzübergänge/-trennung, Windows- und Linux-Server
• Physische Sicherheit der Institute selbst bzw. der SB-Bereiche: Zutrittskontrollsysteme, Videoüberwachung, Sicherheit der Netzzugänge (v.a. in SB- und Empfangs-Bereichen)
• Client-Sicherheit: Rechteausweitung, AV-Evasion, Lateral Movement in interne Netze
• Anwendungen: Prüfung interner und externer Webapplikationen nach dem vollständigen OWASP WSTG
• Awareness: Social Engineering und Phishing-Angriffe
• Erstellung detaillierter Testberichte mit Dokumentation der technischen Details und kundenspezifischen Maßnahmenempfehlungen

Branche:
Energieversorger

Funktion:
Projektverantwortlicher

Verantwortungsbereiche:

• Prüfungsvorbereitung & Planung
• Deep-Dive Corporate Network Penetration Test zur technischen Evaluierung der Office- sowie Leitstellen-Infrastruktur
• Durchführung regelmäßiger Penetration Tests und Unterstützung bei der Umsetzung ökonomisch sinnvoller Maßnahmen, um das Risiko eines erfolgreichen Angriffs stark zu reduzieren, sowie die entsprechenden regulatorischen Anforderungen wie Sorgfaltspflichten und Maßnahmen nachweislich zu erfüllen

Branche:
Pharma

Funktion:
Projektverantwortlicher

Verantwortungsbereiche:

• Planung, Durchführung & sehr erfolgreicher Abschluss eines globalen Pentests
• Evaluierung der bestehenden, global vernetzten Infrastruktur und Ermittlung des Angriffspotenzial sowohl externer, als auch möglicher interner Angreifer
• Entwicklung einer umfassenden Sicherheitsstrategie inklusive einer priorisierten Roadmap zur initialen Behebung kritischer Sicherheitslücken, sowie zum Monitoring mittels Managed Services
• Erstellung des detaillierten Testberichts

Branche:
Sportwarenhersteller

Funktion:
Projektverantwortlicher

Verantwortungsbereiche:

• Identifizierung und Bewertung kritischer Sicherheitslücken sowie Erarbeitung von Maßnahmen zur Behebung
• Prüfung in Anlehnung an den vollständigen OWASP WSTG v4
• Ausführlicher Bericht für Management und IT
• Überprüfung behobener Schwachstellen im Rahmen einer Nachprüfung
• Weltweit betriebene Webshops zum Vertrieb von Produkten sowie Mitarbeiterportale für verschiedene Geschäftsprozesse
• Erstellung priorisierter Maßnahmenkataloge von organisatorischen Maßnahmen für das Management und technischen Maßnahmen für die IT
• Erkennung von Defiziten in der Entwicklung und Festlegung von Maßnahmen, um diese nachhaltig zu bearbeiten

Branche:
Medizingerätehersteller

Funktion:
Projektverantwortlicher

Verantwortungsbereiche:

• Analyse der rechtlichen und regulatorischen Anforderungen
• FDA Draft Guidance und 510(k)-Einreichungsumfang
• UL 2900 Cybersicherheitsstandard für medizinische Geräte
• NIST 800-Serie für Sicherheit, Datenschutz und Risikomanagement
• ISO 62304 und 14971 über AAMI TIR-57 für medizinische Geräte
• Analyse sowohl der Entwicklungs- als auch der Restrisiken
• Überprüfung und Penetrationstest von Software, Schnittstellen und Hardware
• Reverse Engineering von Hardware und Firmware
• Unterstützung des Kunden zur Etablierung der Security-by-Design-Strategie

Branche:
Banken / Finanzwesen
Öffentlicher Sektor / Gesundheitswesen

Funktion:
Pentester

Verantwortungsbereiche:

• Planung des Umfangs (Scoping) der Penetrationstests sowie der Rules of Engagement
• Penetrationstests von Webapplikationen, Infrastrukturen sowie mobilen Applikationen (z. B. gemäß OWASP oder NIST 800-115) im White, Grey und Black Box Approach
• Identifikation von Sicherheitslücken durch manuelle Schwachstellenanalyse
• Unterstützung der Sicherheitsüberprüfungen mittels gängiger Schwachstellenscanner (z. B. BurpSuite, Nessus, OWASP ZAP, Nikto, Skipfish, nmap, etc.)
• Koordination und Management von Penetration Testing Programmen und Quality Assurance für durchgeführte Penetrationstests
• Erstellung und Weiterentwicklung von Dokumentationen und Checklisten zur Sicherstellung des Testerfolgs im Rahmen eines Penetrationtests
• Informationsbeschaffung mittels manueller und automatisierter Tools im Rahmen des vereinbarten Scopes (u.a. Shodan, öffentliche Datenbanken wie RIPE)
• Ausnutzen identifizierter Schwachstellen im Rahmen der vereinbarten Rules of Engagement mittels gängiger Tools (z. B. Metasploit, Proof of Concept Exploit Code) und eigener Angriffsvektoren
• Dokumentation der Vorgehensweise und Ergebnisse basierend des ermittelten Risikos (Risikoanalyse) sowie unter Verwendung von Indikatoren wie Ausnutzbarkeit und Eintrittswahrscheinlichkeit (angelehnt an CVSS)
• Ausarbeitung von Handlungsempfehlungen zu identifizierten Schwachstellen in einem zielgerichteten Reporting gemäß Adressatenkreis
• Durchführung von Re-Tests zur Verifizierung von geschlossenen Schwachstellen und anschließender Ergebniskommunikation

Branche:
Mittelstand / Industrie / Versorger / Handel

Funktion:
Pentester

Verantwortungsbereiche:

• Planung des Umfangs (Scoping / Testumfang) der Penetrationstests und Schwachstellenanalysen sowie der Rules of Engagement
• Penetrationstests und Schwachstellenanalysen von iOS-, Webapplikationen sowie Infrastrukturen (z.B. mit Fokus auf OWASP Top 10 oder NIST 800-115) im White-, Grey-, sowie Black-Box Approach
• Automatisierte und manuelle Schwachstellenanalysen zur Detektion von erreichbaren Netzwerkservices („Enumeration“, z.B. via nmap, Nessus, Dirbuster oder Nikto)
• Koordination und Management von Penetration Testing Programmen und Quality Assurance für durchgeführte Penetrationstests
• Erstellung und Weiterentwicklung von Dokumentationen und Checklisten zur Sicherstellung des Testerfolgs im Rahmen eines Penetrationtests
• Informationsbeschaffung mittels manueller und automatisierter Tools im Rahmen des vereinbarten Scopes (u.a. Shodan, öffentliche Datenbanken wie RIPE)
• Ausnutzen identifizierter Schwachstellen im Rahmen der vereinbarten Rules of Engagement mittels gängiger Tools (z.B. metasploit, POC Exploit Code) und eigener Angriffsvektoren
• Dokumentation der Vorgehensweise und Ergebnisse basierend auf Basis des ermittelten Risikos (Risikoanalyse) sowie unter Verwendung von Indikatoren wie Ausnutzbarkeit oder Eintrittswahrscheinlichkeit (angelehnt an CVSS)
• Ausarbeitung von Handlungsempfehlungen zu identifizierten Schwachstellen in einem zielgerichteten Reporting gemäß Adressatenkreis
• Durchführung von Re-Tests zur Verifizierung von geschlossenen Schwachstellen und anschließender Ergebniskommunikation