Expert Sécurité Cloud AWS (SecOps) senior

Contexte

Grand groupe énergétique français, Direction des opérations informatiques, groupe Clouds & CaaS. Le Cloud Center of Excellence opère le socle AWS Groupe selon un modèle hub and spoke : la gouvernance et la cybersécurité sont centralisées, et les directions métiers déploient leurs applications dans le cadre fourni. Le groupe vise 70 % de son parc applicatif sur cloud public ou cloud de confiance d'ici 2030.

L'environnement AWS est en cours d'homologation selon la procédure ANSSI. L'analyse de risques EBIOS RM est terminée et son plan d'action est en cours de résorption, en parallèle d'un audit de sécurité avec pentest. Le consultant rejoint l'équipe AWS, sous la supervision de la Product Owner AWS et du responsable cybersécurité du CCoE. Organisation SAFe : PI de 3 mois, itérations de 3 semaines.

Missions

Sécurité de la Landing Zone et sous-Landing Zone renforcée (environ 50 %) :

• Concevoir et mettre en oeuvre une sous-Landing Zone à exigences renforcées pour des projets du périmètre nucléaire : découpage des OU, cloisonnement réseau, modèle d'identité et d'accès, journalisation et supervision.

• Définir, déployer et faire évoluer les SCP et RCP (Data Perimeter, chiffrement, restriction de régions et de services), sans geste manuel, via CI/CD.

• Développer des modules Terraform versionnés et réutilisables, des scripts Python et PowerShell et des pipelines GitLab CI.

• Rédiger 2 guides de sécurisation des services AWS par PI et documenter les mesures pour l'homologation.

• Traiter les tickets ITIL, livrer les features engagées à chaque PI et contribuer aux plans d'action EBIOS RM et audit.

Référent cybersécurité de la communauté innersourcing Cloud (environ 50 %) :

• Sécuriser la plateforme GitLab : accès et rôles, protection des branches, secrets, traçabilité des contributions.

• Sécuriser les chaînes de build : analyse statique du code et de l'IaC, scan des dépendances et des images, runners, provenance des artefacts.

• Définir les critères de sécurité avant publication d'un module, le processus de revue et le cycle de vie des composants, y compris les composants IA (skills, agents).

• Animer au moins un atelier sécurité par mois, tenir le référentiel de règles et accompagner les contributeurs des différentes directions.

Transverse :

• Transfert de compétences : guide d'exploitation, FAQ, une formation par trimestre.

• Comitologie cyber du CCoE (environ une demi-journée par semaine) et présentation des choix d'architecture en comité sécurité.

• Documentation sur Confluence et suivi dans Jira.

Profil recherché

• Plus de 7 ans d'expérience, dont une expérience significative en sécurité AWS sur une Landing Zone de grand compte. Profil SecOps qui conçoit et implémente lui-même, pas un architecte de cadrage.

• Services de sécurité AWS : Organizations, SCP et RCP (modèle Data Perimeter), Identity Center, Security Hub, GuardDuty, Config, CloudTrail, WAFv2, Inspector, Direct Connect, CloudHSM, Network Manager.

• Terraform avec modules réutilisables (tests de modules appréciés), GitLab CI et sécurisation de pipelines, Python, PowerShell.

• Standard CIS AWS Foundations et remédiation des écarts de conformité.

• Appréciés : un CNAPP (Wiz en place), SecNumCloud 3.2, EBIOS RM.

• Capacité à arbitrer et à défendre une position en comité en faisant des contre-propositions, pédagogie, conduite du changement, rigueur documentaire.

• Certifications exigées par le CCAP : AWS Security Specialty, Terraform Professional et AWS Solutions Architect Associate. AWS DevOps Engineer Professional est appréciée.