Coumba KA

– Identification des besoins de sécurité : analyse des exigences de sécurité spécifiques aux entités ALD pour garantir une protection adaptée de leurs systèmes d'information – Challenger les équipes ALD : évaluation critique des demandes des équipes ALD pour aligner leurs besoins avec les standards de sécurité de la Société Générale – Analyser les risques : conduite d'analyses de risques selon le framework de sécurité de la SG, avec une identification proactive des vulnérabilités potentielles – Revue et validation des architectures : évaluation et validation des architectures sécurité pour les entités ALD, garantissant leur conformité avec les standards et exigences de sécurité (SRES) du groupe – Traitement des demandes de sécurité : validation des demandes de sécurité pour les entités ALD en appliquant rigoureusement les standards et exigences de sécurité (SRES) du groupe – Assurer la traçabilité : documentation et suivi rigoureux de toutes les validations de sécurité pour veiller à la traçabilité complète – Identifier les infrastructures : lister les infras groupe critical dont les analyses de risques datent de plus de deux ans, pour une mise à jour proactive – Réalisation de nouvelles analyses de risques : conduite d'analyses de risques actualisées pour les 12 infras Group Critical, en identifiant les vulnérabilités spécifiques et génériques – Validation des mesures de mitigation : vérification de la mise en oeuvre effective des mesures de mitigation sur les infras Group Critical, garantissant une conformité accrue – Préparation et présentation des analyses de risques : création de 12 supports de présentation et animation de réunions avec les responsables (12 sessions), facilitant la prise de décision éclairée – Collecte et organisation des preuves : consolidation des documents (analyses de risques sous Excel, comptes-rendus, et supports Power Point) dans un espace dédié, assurant une traçabilité complète – Suivi des risques résiduels élevés : supervision continue des risques résiduels à niveau élevé, avec suivi des actions correctives prioritaires – Participation au lancement des prestations : présentation initiale des prestations avec les responsables, assurant une compréhension commune des objectifs de sécurité – Evaluation de la maturité cyber des prestations: analyse approfondie pour identifier le niveau de préparation et de résilience cyber des fournisseurs – Analyse des risques cyber pour le groupe : identification et évaluation des risques spécifiques que chaque prestataire pourrait représenter pour la Société générale – Evaluation du plan d'assurance sécurité (PASF) : détermination de la nécessité d'un PASF pour chaque fournisseur selon les standards de sécurité du groupe, garantissant une sécurité adaptée – Validation des prestations dans le portail RAMOS : vérification et approbation des prestations pour une conformité aux exigences internes de sécurité – Revue des plans d'assurance sécurité (PASF) : vérification périodique des PASF arrivés à échéance, assurant la continuité et l'alignement des pratiques de sécurité avec les normes en vigueur – Elaboration et suivi des plans de remédiation : développement et mise en oeuvre de plans de remédiation pour répondre aux exigences de la BCE en matière de gestion des comptes à privilèges et de collecte de logs – Coordination entre les parties prenantes : facilitation de la communication entre les équipes techniques, métiers, et de conformité, assurant une mise en place efficace des actions correctives – Collecte d'informations : identification et acquisition des informations nécessaires auprès des différents interlocuteurs pour assurer une mise en conformité complète – Consolidation des preuves de remédiation : compilation et organisation de la documentation justificative des actions correctives (comptes-rendus, logs, preuves), garantissant la traçabilité et l'alignement aux exigences BCE – Définition et cadrage des périmètres du pentest: analyse des besoins, évaluation des risques et définition du périmètre précis des tests pour garantir une couverture optimale – Coordination des parties prenantes : organisation de réunions de cadrage avec toutes les parties prenantes internes et externes (équipes techniques, responsables opérationnels) pour garantir une compréhension claire des objectifs et des contraintes – Planification et gestion des tests d'intrusion: planification des pentests en tenant compte des contraintes de production et des retours des accountables, assurant ainsi la fluidité du processus sans impacter la prod – Garantir la préparation technique : vérification des conditions techniques et d'accès nécessaires pour le bon déroulement des tests, incluant la mise en place d'accès appropriés nécessaires aux environnements cibles – Communication proactive avec le SOC : transmission d'informations détaillées au SOC concernant les pentests planifiés, les infras concernées, et la gestion des alertes générées – Interface entre les équipes opérationnelles et techniques : assurer la communication entre les pentesteurs et les équipes opérationnelles pour résoudre les alertes, prévenant ainsi tout impact sur la sécurité – Restitution des résultats et suivi des corrections : organisation de réunions de restitution des résultats, suivi rigoureux des actions correctives pour résoudre les vulnérabilités identifiées – Analyse des alertes SOC : évaluation des alertes remontées par le SOC, identification des causes possibles et priorisation des actions à mener pour résoudre les incidents en temps réel – Investigations techniques approfondies : conduite d'investigations techniques pour identifier la source des incidents de sécurité et déterminer les actions correctives nécessaires – Suivi des incidents : mener le suivi de la résolution des alertes et incidents de sécurité, assurant une gestion rapide et efficace des risques de sécurité – Analyse et validation des demandes d'ouverture de flux : évaluation des demandes d'ouverture de flux réseau en conformité avec les standards de sécurité de la SG, en vérifiant la pertinence et la nécessité des accès demandés – Challenger les besoins des demandeurs : discussions et échanges avec les demandeurs pour clarifier leurs besoins et garantir que les flux demandés soient conformes aux standards et règles de sécurité – Vérifications techniques des accès : contrôle des sources, destinations, ports, et protocoles pour garantir que les configurations respectent les bonnes pratiques de sécurité – Traçabilité et suivi : conserver les demandes pour les preuves en cas d'audit ou d'incident

– Evaluation de la conformité des produits selon les règles de sécurité du Groupe – Identification et analyse : des produits par rapport au standard NIST SP800-53 – Accompagnement des équipes : intégrer les exigences NIST, SSDF dans les produits – Workshops internationaux : organiser et animer des ateliers avec les équipes aux US – Définition des responsabilités : clarifier les responsabilités entre THALES et les équipes US – Gestion documentaire : identifier les documents, procédures pertinentes selon le standard NIST SP800-53 – Intégration des mesures de sécurité lors des sprints : promouvoir l'intégration des exigences de sécurité dans les sprints de développement – Traçabilité des mesures de sécurité : assurer le suivi de l'implémentation des mesures de sécurité – Sensibilisation et support : organiser des sessions de sensibilisation pour les développeurs notamment sur les bonnes pratiques de sécurité (OWASP) – Evaluation OWASP SAMM : tester l'application des principes OWASP SAMM dans la chaîne CI/CD et en restituer les résultats au CISO pour une éventuelle extension à d'autres produits – Evaluation des partenaires cloud : analyser les offres de service cloud des partenaires et demander des preuves de conformité aux exigences de sécurité – Vérification de la conformité : s'assurer que les preuves fournies par les partenaires répondent aux exigences de sécurité – Ateliers avec les métiers : organiser & animer des ateliers collaboratifs avec les équipes métiers – Définition du périmètre de l'analyse : identifier les besoins de sécurité, valeurs métiers, et biens supports, et définir la matrice de conformité selon les règles de conformité du Groupe – Identification des risques : identifier les sources de risques pertinents et leurs objectifs visés – Cartographie des parties prenantes et des menaces : lister les parties prenantes et définir une cartographie des menaces spécifiques – Elaboration des scénarios stratégiques et opérationnels : utilisation du framework MITRE ATTACK Définir la cartographie des menaces – Plan de traitement des risques : proposer un plan de traitement des risques, incluant les délais, coûts et responsabilités – Suivi de la remédiation : superviser la mise en œuvre du plan de remédiation pour atténuer ou supprimer les risques – Démarche d'homologation : identifier et recommander la démarche d'homologation adaptée en s'appuyant sur le Questionnaire d'aide au Choix de la démarche de Catégorisation (QCC) – Évaluation des besoins DICT : analyser les besoins en termes de Disponibilité, Intégrité, Confidentialité et Traçabilité du produit – Rédiger la stratégie d'homologation : préciser les principes généraux, démarche retenue, périmètre d'homologation, les enjeux métiers – Contribution à l'élaboration des cartographies : matérielles, immatérielles, architecture fonctionnelle & technique) – Audits de sécurité : organiser des audits et intégrer les recommandations de sécurité dans le Plan d'Amélioration Continue de la Sécurité (PACS) – Présentation en commission : présenter le dossier d'homologation devant la commission pour validation – Suivi post-homologation : piloter et suivre les produits homologués pour assurer le maintien en condition de sécurité (MCS) – Escalade des points bloquants : remonter les difficultés et les éventuels points de blocage auprès de la direction

– Préparation de l'audit PCI DSS : organiser et préparer les audits à blanc et de certification PCI-DSS, y compris la collecte des preuves nécessaires – Gestion des attestations de conformité : évaluer les preuves pour les fournisseurs et les partenaires – Sensibilisation à la norme PCI DSS : former les utilisateurs sur les exigences du PCI DSS et suivi de la correction des non-conformités avant l'audit de certification PCI-DSS – Evaluation des besoins du client : identifier et évaluer les besoins en matière d'audit (audit interne, audit de tiers, audit de maturité) et analyser leur faisabilité (temps, ressources, informations) – Préparation de l'audit : organiser des réunions de cadrage, définir le référentiel d'audit adapté aux besoins du client et recueillir les documents nécessaires – Planification de l'audit: préparer le plan d'audit (dates, lieux, et interlocuteurs) et conduire les entretiens avec les parties prenantes – Collecte et analyse des preuves : recueillir et évaluer les preuves d'audit par rapport au référentiel, identifier les non-conformités et proposer des recommandations – Rapport d'audit : élaborer et présenter le rapport d'audit au client, et proposer des audits de suivi en fonction des besoins – Analyse de la conformité ISO 27001 : effectuer des analyses d'écart pour évaluer la conformité à la norme ISO 27001 – Accompagnement à la certification ISO 27001 : conseiller les clients pour la mise en conformité ISO 27001, préparer les documents requis et réviser l'analyse des risques ainsi que le plan de traitement – Suivi des non-conformités : assurer le suivi de la correction des non-conformités et préparer les équipes aux audits – Sensibilisation à la sécurité : conduire des sessions de sensibilisation aux bonnes pratiques de sécurité auprès des équipes – Gestion des alertes DLP : qualifier et traiter les alertes de prévention des pertes de données (DLP) avec l'outil Symantec, et escalader les alertes critiques – Programmes de Security Rating : organiser et animer des programmes d'évaluation de sécurité, définir le périmètre d'évaluation des sociétés, et présenter les résultats aux clients et prospects – Assurer le service support pour les clients : rédiger des guides d'utilisation, et formuler des recommandations à la suite des diagnostics

– Ateliers métiers : organiser et animer des ateliers de sécurité avec les métiers – Analyse des risques de sécurité : analyser les risques de sécurité associés aux projets et élaborer les dossiers AIPD en cas d'impact sur les données personnelles (DCP) – Recommandations et suivi : définir des recommandations de sécurité et suivre l'implémentation des mesures de sécurité et de protection des DCP – Sensibilisation à la sécurité des systèmes d'information : sensibiliser les équipes métiers et les nouveaux arrivants aux risques de cybersécurité – Définir les exigences de conformité : appliquer les exigences légales, contractuelles et réglementaires en matière de sécurité – Contrôle des partenaires : vérifier la conformité des partenaires aux exigences légales, contractuelles et réglementaires – Contrôles de conformité : réaliser des contrôles de niveau 2 et mettre à jour les cartographies des risques – Suivi des non-conformités : superviser la remédiation des non-conformités et accompagner la mise en conformité RGPD – Gestion des traitements de données : Mettre à jour le registre de traitement des données, définir les responsabilités des sous-traitants, et intégrer les clauses RGPD dans les contrats – Registre des traitements : assurer le suivi et la mise à jour du registre des traitements