Cybersecurity Internal Penetration Tester

Job Beschreibung

Der Information Security & BCM Bereich, unter der Leitung des Group Chief Information Security Officer (CISO) und Teil der Chief Operating Office (COO) Organisation, definiert, leitet und koordiniert die Bemühungen im Bereich Informationssicherheit innerhalb von EFG International und seinen globalen Einheiten. Wir suchen einen Cybersecurity Internal Penetration Tester, um die ICT-Risikomanagement-Rahmenbedingungen zu unterstützen und die Einhaltung regulatorischer Anforderungen (FINMA, DORA und relevante Finanzsektorvorschriften) sicherzustellen.

Aufgaben

Die erfolgreiche Kandidatin oder der erfolgreiche Kandidat wird für die Durchführung laufender, interner Offensiv-Sicherheitsbewertungen der Banken-Infrastruktur, Anwendungen und Kontrollen verantwortlich sein. Zu den Hauptaufgaben gehören:

• Planung, Umfang und Durchführung interner Penetrationstests auf Core-Banking-Plattformen und Geschäftsanwendungen mit einem starken Fokus auf Dienste, die kritische und wichtige Funktionen unterstützen
• Entwicklung von Test-Szenarien, die an realistischen Banken-Bedrohungsmodellen (Betrug, Datenexfiltration, Privilegien-Eskalation, laterale Bewegungen zu kritischen Systemen usw.) ausgerichtet sind
• Durchführung von Hands-on-Tests gegen interne Netzwerke, Server, Endgeräte, Webanwendungen, APIs, Cloud-Arbeitsplätze, AD und andere Kern-Infrastruktur-Systeme
• Dokumentation von Ergebnissen in klaren, risikobasierten Berichten mit Beweisen und handhabbaren Empfehlungen für technische und nicht-technische Zielgruppen
• Enge Zusammenarbeit mit Infrastruktur-, Entwicklung-, DevOps- und Risikoteams, um Wiederherstellungspläne und Nachtests zu unterstützen und sicherzustellen, dass kritische Ergebnisse im Rahmen der CIRT- und Governance-Prozesse nachverfolgt und abgeschlossen werden
• Entwicklung und Wartung interner Testmethoden, Playbooks und Tools, um responsive und effektive Bewertungen zu unterstützen
• Zusammenarbeit mit SOC- oder Threat-Intelligence-Teams, um die Erkennung und Reaktion auf Bedrohungen zu verbessern
• Auf dem neuesten Stand bleiben, was neue Bedrohungen, Schwachstellen, TTPs usw. betrifft, und diese in interne Tests einbeziehen

Anforderungen

Die ideale Kandidatin oder der ideale Kandidat verfügt über:

• Einen Hintergrund in Cyber-Sicherheit, Informatik oder einem verwandten Feld
• 3-5 Jahre Hands-on-Erfahrung im Penetrationstesten oder Red-Teaming, mit nachweisbarer Arbeit an internen Netzwerken, Webanwendungen und APIs; ein Hintergrund in offensiven Sicherheitsdisziplinen ist ein starker Pluspunkt
• Ein gutes Verständnis von Netzwerkprotokollen, Betriebssystemen (Windows, Linux), Web- und Cloud-Technologien; Vertrautheit mit Kern-Banking-Architekturen ist ein Plus
• Kenntnisse in gängigen offensiven Tools und Techniken (z.B. Burp Suite, Metasploit, Cobalt Strike-ähnliche Frameworks, Kali-basierte Tools) und die Fähigkeit, manuelle Tests jenseits von Tools durchzuführen
• Solide Kenntnisse von sicheren Codierungskonzepten und gängigen Anwendungsschwachstellen (z.B. OWASP Top 10), um Web- und API-Ziele zu bewerten
• Professionelle Zertifizierungen wie OSCP, GXPN oder ähnliche offensive Sicherheitszertifizierungen in gutem Stand
• Starke Kommunikationsfähigkeiten und die Fähigkeit, komplexe technische Ergebnisse für technische und nicht-technische Zielgruppen zu erklären

Wir bieten

Eine unterstützende