OWASP Experten in Hamburg

Enrique Gallardo

Datensicherheit

Letzte Position:

Security Architect bei Capgemini

Ich implementierte eine Zero-Trust-Architektur fuer robuste, militaertaugliche maritime Container-Mini-Rechenraeume auf Basis von VMware & Tanzu zur Unterstuetzung containerisierter GIS-Workloads fuer Bodentruppen. Der besondere Fokus lag auf der Absicherung der Kommunikation, dem Workload-Schutz und dem Datenzugriff in umkaempften elektronischen Gefechtsumgebungen, die durch Jamming, Abfangen, Signalmanipulation und staendig wechselnde Einsatzbedingungen beeinflusst werden. Ich habe Use Cases so entworfen und architektonisch umgesetzt, dass jedes Element von Workload, Identitaet und System auch in degradierten oder gestoerten Szenarien weiterhin unabhaengig und sicher funktionieren konnte. Parallel dazu definierte ich die Enterprise- und Solution-Security-Architektur mit LeanIX, Bizzdesign und HOPEX als Enterprise-Architecture-, Repository- und Governance-Plattformen, um Architekturinventar, Beziehungen, Nachverfolgbarkeit, Zielbilder und Security Governance in komplexen Umgebungen zu pflegen. Fuer die architektonischen Designs nutzte ich Sparx Enterprise Architect, um formale Architekturperspektiven, Schnittstellen, Vertrauensgrenzen und Systemarchitektur sowohl in IT- als auch OT-Umgebungen zu beschreiben. Das Tool IriusRisk wurde fuer das Threat Modeling der Loesung eingesetzt, um architekturgetriebene Risiken zu identifizieren, Sicherheitsanforderungen abzuleiten und Gegenmassnahmen sowie Designluecken direkt aus den Loesungsmodellen zu erkennen. Das Risiko- und Compliance-Management wurde mit Archer unterstuetzt. Architekturentscheidungen, Kontrollluecken und operative Risiken wurden in gesteuerte Governance- und auditierbare Compliance-Massnahmen ueberfuehrt. Fuer Dokumentation, Zusammenarbeit und visuelles Design nutzte ich Confluence zur Pflege von Architecture Decision Records, Security Blueprints und Workflows. Lucidchart und draw.io verwendete ich zur Erstellung stakeholdergerechter Design-Artefakte. Ich habe ausserdem OT-Sicherheitskonzepte mit Unterstuetzung von Elektro- und Maschinenbauingenieuren in den Bereichen Oel, Fahrzeug-Bordsysteme, Bahn, Kraftwerke, Pharma, Gasturbinen und Nukleartechnik definiert. Ich erstellte die End-to-End-OT-Sicherheitsstrategie, beginnend bei der globalen Policy, weiterentwickelt zu Standards und Verfahren und schliesslich korreliert mit Bell-LaPadula, Purdue Model, SABSA, TOGAF ADM, CENELEC 50701, IEC 62443 und NIST-Standards. Zudem arbeitete ich mit Engineering-Teamleads zusammen, um kritische KBP-Assets zu identifizieren und sie unter Schutzmassnahmen zu stellen, mit denen SCADA-, PLC- und HMI-Assets segmentiert wurden. Ich trieb die Zusammenarbeit zwischen Security-, IT- und OT-Teams voran, um standardisierte Workflows und Use Cases fuer den OT-Security-Loesungskatalog zu erstellen, waehrend Defense-in-Depth- und Zero-Trust-Prinzipien in operative Umgebungen integriert wurden. Entscheidend war die Integration multidisziplinaerer Engineering-, Security- und Operations-Akteure in eine einheitliche Security-Blueprinting-Strategie und die Sicherstellung, dass Architektur, Threat Modeling, Governance und Dokumentation technisch robust und operativ praktikabel waren.

Rainer Diekmann

Enterprise Architektur Management / Softwareentwickler Backend

Letzte Position:

Enterprise Architektur Management / Softwareentwickler Backend bei Polizei Hamburg

Mehrere Projekte im polizeilichen Kontext
Polizeiliche Verfahren/Projekte mit Archimate modellieren und dokumentieren (Ist/Soll) im Kontext von P20 (BKA)
Software-Architekturen erstellen mit Microservices
POC-Entwicklungen mit Springboot/Docker/Kubernetes
Projektgröße: 10 Personen
Enterprise Architektur Management mit Togaf und Archimate
Softwareentwicklung Backend Springboot
Devops mit Kubernetes
Realisiert mittels: Java 17/21, Springboot 3, P20-Architektur, Togaf, Archimate

Maryam Mouzarani

KI-Red-Team-Ingenieur

Letzte Position:

KI-Red-Team-Ingenieur bei Applause

Durchführung von Sicherheitsbewertungen und Penetrationstests an Microsoft-KI-Modellen für Text-, Bild- und Videoerzeugung.
Durchführung von Prompt-Injection-Angriffen über verschiedene Eingabevektoren, darunter speziell gestalteter Text, steganografische Bilder und manipulierte visuelle Elemente (z. B. unterschiedliche Transparenz und eingebettete Inhalte).

Andreas Steffan

Leitender Entwickler

Letzte Position:

Leitender Entwickler bei Software

Erweiterung des Dokumenten-Management-Systems um eine standardisierte CMIS-Schnittstelle (Content Management Interoperability Services)
Implementierung von CMIS-Basisdiensten wie Navigation, Zugriffsrechten, Suche, CRUD-Operationen und Versionierung in Java
Umsetzung basierend auf RESTful/OpenAPI-Services
Bereitstellung als Fat-JAR und natives Container-Image
Deployment On-Premises und serverlos als Azure Container Application mit Terraform
Steigerung der Team-Autonomie durch Infrastruktur-Engineering und kurze Feedback-Schleifen
Observability mit OpenTelemetry, Azure Monitor und Azure Logic Apps
Einführung von Terraform- und Trunk-Based-Development-Prozessen
Qualitätssicherung mit BDD-Tests in C# mit SpecFlow und Testcontainers
Azure DevOps Pipeline Integrationstests
Etablierung von Cloud-Deployment-Prozessen
Schulung der Mitarbeiter in Cloud und Terraform

Mbah Sama

Software Tester Nack Bankvorgaben

Letzte Position:

Software Tester Nack Bankvorgaben bei comdirect

Verantwortung für Test und Qualitätssicherung der Antragsprozesse
Erstellung und Durchführung von Testfällen anhand definierter Abnahmekriterien
Dokumentation von Abweichungen und Analyse sowie Einleitung notwendiger Korrekturmaßnahmen
Sicherstellung des Informationsflusses innerhalb des Teams sowie mit anderen Fachabteilungen
Pflege und Ausbau der Testautomatisierung
Anpassung der Selenium-basierten Automatisierung an jedes Release & Sprintänderungen
Erweiterung der Testautomatisierung durch neue Prozesse
Durchführung von Security-Tests
Identifikation typischer Schwachstellen (z. B. XSS, SQL Injection, unsichere Header) durch automatisierte Tests im CI/CD-Flow
Einsatz der Technologien Selenium (inkl. Integration mit Sicherheits-Scannern wie OWASP ZAP), Unix/SQL-Umgebungen und optional Cypress, SAP, C#, Java, GitLab, Jira, Confluence, REST API, Postman, HP-ALM, SSI, Octane, WinSCP.

Mark Plaatsman

Full-Stack Software Entwickler, Produktdatenimport