Contexte
Nous recherchons pour notre client un expert expérimenté en sécurité applicative pour intégrer le pôle AppSec de l’équipe Sécurité Opérationnelle et Coordinateurs Sécurité au sein de la DSI.
La mission porte sur la mise en place et la gestion de solutions de sécurité applicative, le traitement des incidents de cybersécurité, la veille opérationnelle et le suivi de la posture de sécurité AppSec.
Missions principales
• Contribuer à la mise en place et à la gestion de solutions de type AST (Application Security Testing).
• Participer au traitement des incidents de cybersécurité avérés liés au périmètre AppSec.
• Participer aux processus quotidiens de veille opérationnelle en sécurité applicative.
• Contribuer aux actions de sensibilisation aux bonnes pratiques de développement sécurisé.
• Assurer le reporting de la posture de sécurité AppSec : indicateurs, suivi des vulnérabilités et comités.
Compétences techniques requises
• Sécurité applicative : expérience confirmée dans l’identification, la qualification et la remédiation des vulnérabilités d’applications web et d’API ; capacité à analyser les résultats des contrôles et à accompagner les équipes de développement dans les corrections.
• Développement sécurisé : pratique de la revue de code et maîtrise des principes de validation des entrées, de contrôle des accès, de gestion des sessions, de protection des secrets et de journalisation. Capacité à traduire les constats en recommandations techniques exploitables.
• Solutions AST : pratique opérationnelle des outils SAST (analyse statique du code), DAST (tests dynamiques des applications) et SCA (analyse des composants et dépendances), ainsi que des solutions RASP. Capacité à déployer, configurer et maintenir ces solutions, à adapter les règles de détection et à réduire les faux positifs.
• Automatisation Python : maîtrise du développement et de la maintenance de scripts et d’outillages de sécurité ; exploitation d’API, traitement des résultats de scans, gestion des erreurs, tests et documentation du code.
• Intégration DevSecOps : capacité à intégrer les contrôles de sécurité dans les chaînes CI/CD et les workflows Git, à définir des critères de contrôle adaptés au risque et à accompagner leur adoption par les équipes.
• Gestion des vulnérabilités : qualification des alertes, déduplication, priorisation selon la criticité, l’exposition et le contexte applicatif ; suivi des plans de remédiation et vérification des corrections.
• Fondamentaux web et API : bonne compréhension de HTTP/HTTPS, des architectures web et des mécanismes d’authentification et d’autorisation ; capacité à analyser les échanges applicatifs et les journaux techniques.
• Exploitation et reporting : maintien en condition opérationnelle des outillages AppSec, analyse des incidents sur le périmètre applicatif et production d’indicateurs fiables sur la couverture des contrôles et le suivi des vulnérabilités.
Compétences complémentaires appréciées :
• Protection applicative : connaissance et pratique des solutions WAF, avec capacité à analyser les alertes et à contribuer à l’ajustement des règles en coordination avec les équipes concernées.
• Tests d’intrusion : expérience des audits web et API dans un cadre autorisé ; restitution des constats, recommandations de correction et vérification de leur mise en œuvre.
• Référentiels OWASP : familiarité avec les risques des Top 10 Web et API, ainsi qu’avec l’ASVS pour structurer les exigences de développement sécurisé et les vérifications techniques.
• Conception sécurisée : pratique de la modélisation des menaces et des revues de conception pour identifier les risques en amont du développement.
• Environnements techniques : aisance avec Linux et les conteneurs ; capacité à lire du code dans d’autres langages que Python, selon les technologies du périmètre.
• Sensibilisation : aptitude à animer des ateliers de développement sécurisé et à produire des supports pratiques adaptés aux développeurs.
Profil requis
• Parcours : profil confirmé à senior en sécurité applicative, avec des réalisations concrètes en exploitation d’outils AST, automatisation et accompagnement de la remédiation. Une expérience en développement logiciel constitue un atout.
• Formation : formation supérieure en informatique ou cybersécurité, ou expérience professionnelle équivalente permettant de démontrer la maîtrise des compétences attendues.
• Autonomie et rigueur : capacité à prendre en charge un sujet de bout en bout, à documenter les actions réalisées et à organiser les priorités selon les risques et les contraintes opérationnelles.
• Analyse et pragmatisme : aptitude à distinguer les alertes pertinentes des faux positifs et à proposer des corrections applicables, en conciliant exigences de sécurité et contraintes de développement.
• Collaboration et pédagogie : capacité à travailler avec les développeurs, les équipes d’exploitation, les architectes et les coordinateurs sécurité ; aisance pour expliquer les risques et accompagner les bonnes pratiques.
• Communication : qualité rédactionnelle pour la documentation technique et les reportings ; capacité à présenter les constats et les points d’attention en comité. Anglais technique permettant de consulter la documentation et les publications de sécurité.
• Posture professionnelle : respect de la confidentialité, du cadre d’autorisation des tests et des procédures de gestion des incidents ; sens du service et capacité à alerter au bon niveau.
Livrables attendus
• Documentation des activités techniques.
• Alimentation du reporting hebdomadaire de l’équipe.
Candidature : CV+ LM + Copie des diplômes à envoyer à contact@keoni.fr
Crée en 2008, Kéoni Consulting est une société de conseil et d’ingénierie informatique spécialisée dans le secteur de la banque, de la finance de marché, et de l’assurance, et de l’industrie. Nous sommes le partenaire dans la transformation digitale des grands Comptes. Nous les aidons à transformer leur modèle économique, aligner vos processus opérationnels, sélectionner les meilleures technologies, atténuer et palier les risques liés au digital.
Kéoni Consulting aide les entreprises à :
Faire la différence
Innover et créer
Réinventer votre business
Satisfaire les clients
Gagner en avantages compétitifs
Devenir le leader de leur secteur
Devenir le leader de votre secteur
Notre activité couvre la totalité du cycle de vie des systèmes d’informations (Pilotage et Gestion de projet, Conseil en MOA, Conception, Réalisation, Maintenance, Production Exploitation).