Ingénieur Sécurité Applicative

Contexte

Contexte PF Benelux, avec un enjeu de protection des actifs numériques, des systèmes de l’entreprise et des données clients face aux menaces évolutives.

Missions

• Évaluation sécurité et gestion des vulnérabilités
◦ Faire utiliser les tests de sécurité applicative statiques (SAST), dynamiques (DAST) et interactifs (IAST) pour identifier les vulnérabilités.
◦ Conseiller les tribes sur la priorisation de la remédiation des vulnérabilités en fonction du risque et de l’impact métier.
◦ Superviser les remédiations de vulnérabilités et conseiller le CISO sur la conformité d’un changement aux exigences de sécurité applicative.
◦ Réaliser des revues de code manuelles et automatisées pour les applications internes et tierces, avec un focus sur les pratiques de code sécurisé.

• Sécurité du SDLC et intégration DevSecOps
◦ Promouvoir les principes de security-by-design en intégrant les contrôles de sécurité tôt dans le SDLC, notamment les exigences de sécurité et le threat modeling.
◦ Collaborer avec les équipes DevOps/DevSecOps pour intégrer des outils de sécurité dans les pipelines CI/CD.
◦ Fournir une expertise de sécurité applicative aux security champions des tribes sur le code sécurisé en Java et Python.
◦ Conseiller sur la conception sécurisée des API et sur les architectures microservices.

• Évaluation des risques et threat modeling
◦ Identifier les risques liés aux fournisseurs tiers, aux composants open source et aux applications cloud-native, notamment la sécurité des conteneurs et le serverless.
◦ Animer des exercices de threat modeling pour les applications et infrastructures critiques.

• Sensibilisation et formation
◦ Animer des formations et ateliers de code sécurisé pour les développeurs.
◦ Promouvoir une culture security-first via des campagnes de sensibilisation et le partage de connaissances.

• Incident response et forensics
◦ Aider à l’investigation des incidents de sécurité liés aux applications, notamment les fuites de données et les attaques par injection.
◦ Analyser les logs et les artefacts pour identifier les causes racines et éviter la récurrence.

1. 3 ans et plus d’expérience en sécurité applicative

2. Maîtrise des pratiques de code sécurisé, notamment la validation des entrées, l’authentification et la gestion de session

3. Expérience en intégration de la sécurité dans le SDLC et les pipelines CI/CD

4. Compétences en gestion et remédiation des vulnérabilités selon le risque et l’impact métier

5. Connaissance de la conception sécurisée des API et compréhension des architectures microservices

6. Expertise en sécurité cloud et conteneurisation

7. Maîtrise du threat modeling

8. Expérience en revue de code manuelle et automatisée

9. Compétences en investigation d’incidents applicatifs et analyse de logs et d’artefacts

10. Connaissance des normes de conformité GDPR et DORA

11. Maîtrise des outils SAST, DAST, IAST, OWASP Top 10, SANS CWE Top 25, CVSS, OWASP ASVS, CERT guidelines, SonarQube, Fortify, Sysdig, Nessus, Burp Suite, OWASP ZAP, Checkmarx, Snyk, GitLab/GitHub Security

12. Compétences en langages et technologies : Java, Python, HTTP/S, REST, WebSockets, Spring, React, Angular, Kubernetes, PowerShell, JavaScript/TypeScript, Go

13. Solides compétences en communication et en collaboration

14. Excellente capacité à coopérer avec les autres équipes

15. Esprit analytique et approche orientée résolution de problèmes

16. Capacité à traduire des risques techniques en impact métier pour les parties prenantes

17. Bachelor ou Master en Computer Science ou expérience équivalente

18. Certifications : OSCP, CISSP, CSSLP, CEH, certifications liées à OWASP

19. Anglais courant obligatoire