DevSecOps : Expérimenté

Animation et sensibilisation : Expérimenté

Pilotage projet Agile : Expérimenté

Organisation et pilotage d?audit de sécurité : Expérimenté

Sécurité - Risques : Expérimenté

Pilotage projet Agile : Expérimenté

Intégration de la sécurité dans le développement d?applications

CheckMarx, Xray, SonarQube, Docker, Jenkins, Ansible, Kubernetes, GitLab, Terraform, PIC (plateforme d?intégration continue), Keycloak, etc?

Dans une démarche d?identification des points faibles et d?amélioration permanente de la sécurité des systèmes d?information au sein des différents projets, l?équipe CISO désire renforcer l?intégration de sécurité dans les projets DevOps et évaluer à l?aide d?audits de sécurité, le niveau de sécurité logique des applications (code source, fonctionnement) ainsi que la conformité des applications par rapport aux référentiels du groupe SECAPI et au référentiel OWASP.

La prestation consiste à assister le référent sécurité et les équipes de développement sur les missions ci-dessous :

- Piloter l?intégration de la sécurité applicative dans les projets (DeVSecOps), organiser et piloter des audits de test d?intrusion ;

- Intégrer les phases de conception projet dans une approche " Security by Design " ;

- Rédiger des articles focus sur l?architecture sécurité ;

- Organiser la gouvernance de l?intégration, de l?usage et de la méthodologie autour des outils de sécurité ;

- Participer à la professionnalisation et à l?amélioration continue de la chaine CI/CD ;

- Organiser et animer des ateliers techniques de sensibilisation sur l?intégration de la sécurité dans les applications ;

- Animer la communauté DecOps avec un focus DevSecOps

- Accompagner les équipes DevOps pour transmettre les bonnes pratiques en matière de sécurité ;

- Participer à la mise en ?uvre et à l?amélioration des modèles de vulnérabilités des produits de sécurité ;

- La réalisation et le suivi des revues de code, via l?outil AquasSec de TRIVY, visant à s?assurer des bonnes pratiques en termes de développement ;

- Analyse des résultats de scans d?images Docker via l?outil Xray

La prestation amènera à d?autres missions ponctuelles telles que le pilotage de test d?intrusion, le suivi et la correction des vulnérabilités.



Profil candidat:
Compétences souhaitées :

Les compétences attendues pour le bon déroulement des prestations sont les suivantes :

- Maitrise des techniques d?attaques de sites internet ;

- Etre en capacité d?effectuer des démonstrations d?attaque sur des applications face à des développeurs dans le cadre d?atelier de sensibilisation (ex. via OWASP WebGoat) ;

- Maitrise du code de développement d?applications WEB ;

- Connaissances de l?outil CheckMarx, de SonarQube et de Xray;

- Bonne connaissance du scripting : Python, Shell & Bash... ;

- Bases en NodeJS seraient appréciées ;

- Maîtrise des outils d'une usine de développement et de leur sécurisation (Ansible, Gitlab, Jenkins, SonarQube ?) ;

- Maitrise de la sécurisation de l'orchestration de containers Docker par Swarm et Kubernetes ;

- Maîtrise de la sécurisation des API via de l'APIM et de la fédération d'identité ;

- Méthodologie de Test d?Intrusion ;

- Top Ten OWASP acquis, BURP Suite et ZAP ;

- Idéalement certification ISO 27001/5, rigueur et autonomie, excellent relationnel, grand sens de l?organisation, forte capacité d?analyse et bon rédactionnel, très bon sens de communication ;

- Solide formation (école d'ingénieur ou université), avec une première expérience de 5 ans minimum.

Langues : Documents techniques en anglais