Abdeljalil SADIK

Contexte : Mission d'audit et d'implémentation ISO 27001 visant à renforcer le SMSI, traiter les non-conformités identifiées et piloter les plans de remédiation sur les axes de sécurité prioritaires. • Défini le périmètre du SMSI et structuré l'inventaire des actifs critiques et biens supports, en s'appuyant sur le plan d'urbanisation. • Réalisé les analyses d'impact métier (BIA) et classifié les applications par criticité ; consolidé les RTO/RPO et les fiches de sécurité applicatives. • Réalisé l'analyse de conformité ISO 27001/27002 et identifié 25 non-conformités, dont 5 critiques, sur l'IAM et les habilitations. • Renforcé les dispositifs de continuité (mise à jour du PRA, exercices de reprise) et piloté la remédiation jusqu'à la clôture des écarts. Environnement : ISO 27001/27002, ISO 22301, PRA/PCA, RTO/RPO, BIA, Plan d'Assurance Sécurité, Active Directory, RBAC, MFA, VPN, patch management, Hardening.

Contexte : Accompagnement de l'IT Risk Officer et des équipes projets dans le déploiement du cadre de gouvernance sécurité et de gestion des risques IT sur un périmètre européen multi-entités. • Déployé le cadre IT Risk Groupe et accompagné les métiers dans l'application des politiques, processus et contrôles de sécurité. • Structuré le Risk Register dans ServiceNow GRC pour consolider les risques issus des analyses, contrôles, incidents, pentests et du Shadow IT. • Évalué et qualifié les risques liés aux évolutions d’architecture, aux usages cloud et applicatifs, aux constats de Pentest et aux problématiques IAM, notamment les comptes obsolètes. Créé et suivi les fiches de risques ainsi que les plans de traitement dans ServiceNow GRC. • Lancé et piloté une campagne européenne de maîtrise du Shadow IT et du Shadow AI, structurée autour de quatre cas d’usage prioritaires, puis mis en œuvre les plans de convergence ayant permis de réduire de 80 % le volume des situations identifiées. Environnement : GRC ServiceNow, ISO 31000, Cloud, Third Parties, Contrôle permanent, Analyse de risque, NIST, SIEM, Pentest, SecOp.

Contexte : Pilotage des activités GRC dans le cadre de l'homologation NIS sur un périmètre de 66 applications critiques, avec coordination des exigences de sécurité, de conformité et de gestion des risques. • Piloté les activités GRC dans le cadre de l'homologation sur un périmètre de 66 applications, avec coordination des exigences de sécurité et de conformité. • Élaboré le dossier d'analyse de risques selon la méthode EBIOS RM dans EGERIE, incluant scénarios de menace, évaluation des impacts et mesures de traitement. • Piloté un audit à blanc de type PASSI, analysé les écarts de conformité et défini la feuille de route de remédiation. • Piloté le dispositif Third Party Risk Management (TPRM) : évaluation des fournisseurs, exigences de sécurité et de résilience applicables aux tiers (PRA, sauvegardes, RTO/RPO, SLA). Environnement : EBIOS RM, ISO 27005, ISO 27001, ISO 22301, NIST, CIS, NIS (2), PCA/PRA, RTO/RPO, Cloud, TPRM, ANSSI.

Contexte : Sécurisation d'un Data Lake groupe et d'applications critiques des directions centrales dans un cadre « Security by design », avec intervention sur l'IAM, le Cloud Azure et l'analyse des risques cyber. • Contribué à la définition et à la revue des modèles de contrôle d'accès et des populations habilitées du Data Lake groupe. • Réalisé, avec les architectes, des revues de sécurité des architectures Big Data et Cloud Azure, intégrant les enjeux de résilience face aux scénarios d'indisponibilité et de compromission (ransomware). • Analysé les risques cybersécurité liés aux cas d'usage Big Data et formulé des recommandations de sécurisation des vulnérabilités identifiées. • Intégré les exigences de sécurité dans les projets de la direction centrale selon une logique Security by Design. Environnement : BIGDATA, Cloudera, Cloud Azure (IaaS/PaaS), CyberArk (PAM/IAM), Architecture sécurité, Security by Design, SecOps, Apache Spark, Kafka, Hive, HDFS, MongoDB, HBase.

Contexte : Mission menée en réponse à une exigence ACPR pour structurer la cartographie des risques des neuf lignes métiers de la succursale parisienne. • Animé des ateliers et entretiens avec les métiers pour identifier les processus critiques, les risques clés et les événements redoutés sur les neuf lignes métiers. • Réalisé les analyses RCSA et consolidé les contributions métiers pour formaliser la cartographie des risques de la succursale. • Identifié et qualifié 50 risques, dont 10 majeurs, afin de prioriser les actions de traitement. • Formulé des recommandations et un plan de remédiation pour renforcer le dispositif de contrôle interne. Environnements : EBIOS RM, RCSA

Contexte : Mission de transition visant à concevoir un cadre de revue cybersécurité pour les grands projets IT du groupe, en intégrant les enjeux d'externalisation sur des environnements sensibles. • Conçu et formalisé un cadre méthodologique de revue cybersécurité pour les grands projets IT du groupe. • Intégré les contraintes d'externalisation des systèmes et des données sur des environnements sensibles (hébergement, segmentation, contrôle). • Appliqué et validé ce cadre sur des projets pilotes d'externalisation critiques (périmètres Core Banking et assurance). • Recommandé puis obtenu des mesures de durcissement des architectures cloud (environnements dédiés, hébergement sécurisé). Environnements : Cloud, MS Azure, NIST, RGPD, ISO 31000, SecOps

Contexte : Mission de cadrage SSI pour Suez Smart Solutions, filiale éditeur du groupe SUEZ, sur des périmètres exposés à des enjeux de conformité RGPD, LPM et de supervision industrielle. • Cadré et décliné les exigences de gouvernance SSI du groupe au niveau de la filiale, en intégrant les contraintes RGPD et LPM. • Contribué à définir les exigences de sécurité applicables aux applications critiques et aux environnements de supervision industrielle. • Élaboré une feuille de route de mise en conformité SSI pour structurer l'intégration progressive des exigences de sécurité. Environnements : Cloud, ISO 27001, RGPD, LPM

Contexte : Renforcement du dispositif de IT Risk Management à l'échelle européenne, en accompagnement de l'IT Risk Officer dans sa déclinaison opérationnelle entre entités. • Déployé un dispositif de Security Maturity Assessment inspiré de COBIT pour évaluer la maturité sécurité des filiales (obsolescences, continuité d'activité, Supply Chain IT, RH IT). • Analysé les écarts de maturité et structuré les plans de remédiation associés, avec suivi des actions. • Mis en place un IT Risk Register consolidant les risques issus des évaluations de maturité, des contrôles permanents, du Shadow IT et du TPRM. • Appuyé l'IT Risk Officer en 1ère ligne de défense (1LoD) pour le pilotage et le suivi des risques IT. Environnements : Cloud, Normes ISO 2700X, ISO 31000, Analyse de risque, NIST, CIS, RGPD, Contrôle permanent, PCI, COBIT

Contexte : Intégration de la sécurité dans la gouvernance IT dans un contexte de forte externalisation, avec mise en œuvre du principe de Security by Design. • Mis en place et alimenté la cartographie des risques SSI en consolidant les contributions issues des projets, audits et évaluations de sécurité. • Formalisé les exigences de sécurité et de continuité applicables aux prestataires : réversibilité, PRA, SLA et engagements de sécurité. • Intégré les exigences de sécurité dans les projets selon une approche Security by Design, en accompagnement des équipes MOA et SI. • Refondu le Plan d'Assurance Sécurité (PAS) et l'a intégré dans les processus projets et les cahiers des charges SSI. Environnements : Cloud, Normes ISO 2700X, Analyse de risque, Plan d’assurance Sécurité, e-Santé & HDS, RGPD, Security by Design, Agile, ...

Banque de France (2014-2015) – Chef de projet cybersécurité, contrôle interne SSI : animation du comité de contrôle interne, pilotage des non-conformités techniques, KPI et tableaux de bord SSI. Crédit Agricole Assurances – CAAGIS & Pacifica (2007-2013) – Chef de projet sécurité, chargé d'homologation : intégration de la sécurité dès la conception, pilotage des homologations et coordination des tests d'intrusion. Missions d'expertise technique (TOTAL, France Télécom/Orange, Cegetel, Crédit du Nord, 1998-2007) : sécurité des systèmes Unix/AIX/Solaris, gestion des accès et annuaires d'entreprise, conception d'architectures sécurisées.