Achraf Hachimi

Lead Security Engineer au sein de LBP Asset Management, acteur de la gestion institutionnelle et privée (75 Md€d’encours), avec responsabilité opéra- tionnelle sur la sécurisation Microsoft / Azure / GenAI, le SOC / CSIRT, les contrôles XDR / EDR / NDR / SIEM, l’IAM central et la sécurisation CI/CD. XDR, SOC Engineering & Incident Response — Defender XDR, Cybereason & SOC L2/L3 : triage, investigation end- point / identity / cloud, corrélation d’alertes, traitement malware, phishing, exfiltration et suivi des remédiations. — Detection tuning : amélioration des alertes Defender XDR, Cybereason, Vectra IDS/IPS/NDR, Fortinet, Barracuda et Purview pour réduire les faux positifs. — Scénarios de détection : cas d’usage SOC sur exfiltration, comportements anormaux, usages à privilèges, signaux DLP/Purview et risques IA / data leakage, avec handover vers les analystes. Microsoft GenAI, DevSecOps & posture cyber — Sécurisation Microsoft 365 Copilot & Fabric : analyse des risques, exi- gences sécurité, contrôle des accès, gouvernance des données, séparation des périmètres, journalisation et recommandations d’architecture. — IAM & accès privilégiés : administration Wallix PIM, Access Manager, bastion Wallix et VPN Zscaler ; run opérationnel, upgrades, gestion des accès sensibles et contribution à l’IAM central. — DevSecOps SAST / DAST : intégration de contrôles sécurité dans les pi- pelines de développement, qualification des vulnérabilités applicatives, priori- sation, suivi de remédiation et logique de quality gates. — Purview, DLP & protection des données : prévention des fuites, classifi- cation, signaux d’exfiltration et réduction des risques GenAI liés aux données sensibles. — Livrables sécurité : recommandations, exigences sécurité, reporting, élé- ments DAT/DEX et chapitres sécurité pour projets Microsoft / IAM / GenAI. — Automation & visibilité : collecte rsyslog / filebeat / logstash / kibana, scripting Python / PowerShell, intégrations API et playbooks de triage

Architecte sécurité et CSIRT SOC N3 spécialisé en réponse à incident avancée, intégration de solutions de sécurité (EDR, WAF, Bastion, CISCO ISE, MFA PKI) et conception d’architectures sécurisées conformes ANSSI pour environnements critiques. Architecture & Intégration Sécurité — EDR SentinelOne : déploiement agents (7k+ endpoints), configuration po licies, response automation — WAFF5ASM:règles de détection custom, protection OWASP Top 10, bot mitigation (Datadome) — Firewall nouvelle génération : Fortinet, Palo Alto- micro-segmentation, threat prevention — Bastion Wallix : extension périmètre, PAM, session recording, privilege ele vation — Bug Bounty YesWeHack : coordination, triage vulnérabilités, patch mana gement — Vulnerability Management : Qualys, Rapid7- scans automatisés, risk sco ring, KPI sécurité — Benchmark solutions : PoC, lab testing, comparatifs techniques, TCO ana lysis PKI & Gestion Identités — Infrastructure PKI Enterprise : architecture multi-tiers Windows Server 2025 Core, CA racine offline, CA intermédiaire ADCS — Authentification forte MFA : intégration YubiKey avec certificats X.509, déploiement 10k utilisateurs — Cisco ISE AAA : authentification RADIUS, profilage endpoints, affectation VLAN dynamique via certificats — Gestion certificats avancée : émission automatisée, révocation CRL/OCSP, renouvellement automatique, monitoring expiration — Sécurisation authentification : Kerberos hardening, LDAP Secure, désac tivation NTLM legacy Conformité & Gouvernance — Framework ANSSI : application recommandations hardening Windows (GPO), cloisonnement SI administration — CIS Benchmarks : mise en conformité serveurs et postes de travail, audits CIS-CAT automatisés — Documentation technique : architecture, procédures opérationnelles — Audits et reporting : rapport métriques SOC, dashboards Splunk, présen tations RSSI/COMEX CSIRT & Réponse à Incident (SOC N3) — Investigation approfondie alertes SIEM Splunk : corrélation multi sources, analyse comportementale, threat hunting — Gestion incidents majeurs : coordination RSSI, escalade, remédiation — Optimisation règles détection : tuning SIEM, réduction faux positifs, IOC enrichment — Analyse forensique : logs Windows/Linux, network traffic analysis, timeline reconstruction

Ingénieur SecOps DLP pour programme stratégique européen de protection des données : refonte complète des politiques DLP Forcepoint et Netskope pour 147 000 utilisateurs répartis sur 37 sites internationaux. Gestion données classifiées ITAR, EAR, TOP SECRET, CONFIDENTIEL DÉFENSE, OTAN avec confor mité réglementaire export control. — Architecture DLP Enterprise : Conception politiques de prévention de fuite de données, classification automatique, EDM/IDM fingerprinting — Migration Forcepoint vers Netskope : Refonte 100% des règles, tests en environnement de production, rollout progressif par site — Gestion données sensibles : Politiques pour données ITAR (International Traffic in Arms Regulations), EAR (Export Administration Regulations), TOP SECRET DÉFENSE, CONFIDENTIEL DÉFENSE, OTAN RESTRICTED, avec audit trails complets — Intégration SSE (Security Service Edge) : ConfigurationNetskopeCASB, DLP cloud-native, inspection SSL/TLS, politique zero-trust — Automatisation & orchestration : Scripts Python pour génération règles, API Netskope/Forcepoint, dashboards monitoring temps réel — Formation & sensibilisation : Support utilisateurs 147k personnes, docu mentation technique, formation équipes SecOps locales (37 sites)

Ingénieur réseau sécurité pour infrastructure critique aéronautique : orchestra tion firewall multi-vendors (Tufin), déploiement PKI X.509 sur 10k points d’accès, administration Cisco ISE (authentification AAA RADIUS), et gestion infrastruc ture réseau sécurisée (segmentation L2/L3, VLAN, BGP, MPLS). — Architecture réseau : Segmentation L2/L3, plan VLAN, matrices de flux — Orchestration pare-feu : Automatisation Tufin SecureChange, Palo Alto, politiques CheckPoint, gestion changements ITIL — Cisco ISE NAC : Profilage équipements, AAA RADIUS, authentification certificats, affectation VLAN dynamique — PKI et certificats : Déploiement X.509 sur 10k points d’accès, gestion cycle de vie certificats, validation CRL/OCSP — Administration infrastructure : Gestion parc 10k équipements, mises à jour firmware, supervision SNMP — Sécurité OT/IT : Sécurisation protocoles industriels, réseaux cloisonnés, conformité normes aéronautiques