Eric BUCHERRE

– Support d'aide à la re-certification ISO27001 – Projet: Mise en œuvre d'une nouvelle plate-forme de GRC avec l'outil « CISO Assistant » – Prise en main et AutoFormation sur l'outil « CISO Assistant » – Analyse des besoins en terme d'informations provenant de la CMDB afin d'assurer la complétude des champs attendus sur la nouvelle plate-forme de GRC. – Planification des meetings avec les achats, le juridique et la DPO pour mettre à plat les aspects sécuritaire dans les contrats dans une démarche de conformité liée aux normes ISO et aux aspects règlementaires de l'ANSSI sur les données personnelles – Planification et suivi des actions nécessaires pour l'adaptation des contrats – Participation au Comité de Sécurité Hebdo

– Ateliers bimensuel sur la règlementation Cyber en collaboration avec les partenaires institutionnels – Réflexion sur les sujets liés à l'IA et les nouvelles normes ISO à ce sujet – Sensibilisation à la règlementation DORA, approche des moyens et délais de mise en oeuvre – Sensibilisation à la Directive Européenne NIS2, approche des moyens et délais de mise en oeuve

– Elaborer le livrable du comité sécurité – Identifier la règlementation DORA sur les aspects Cloud – Mangement des vulnérabilités et suivi des plans de remédiations en collaboration avec les Services opérationnels en Inde. – Participer à l'identification des risques Cyber dans le cadre des projets – Planification des actions nécessaires aux projets dans le respect des objectifs et délais annoncés. – Participer au comité de pilotage Sécurité.

– Mise en place des interviews avec les responsables Applicatifs Métier et Architectes afin d'identifier les applications (256 au Total) portées par les systèmes Windows, Mainframe Z OS et MVS pouvant être admises dans le Processus Auto de re-certification avec l'Application KLEVERWARE. – Suivi de la Mise en œuvre technique pour la Re-Certification des Comptes AD, RACF et COGNOS pour plus d'une centaine d'Application dans l'outil de re-certification KleverWare. – Mise à jours de la cartographie Applicative à partir des différents référentiels pour chaque Application permettant l'Identification, l'Authentification et l'Habilitation sur les périmètres Microsoft, Mainframe – PILOTAGE / Mise en œuvre et suivi du Programme Habilitation 2022/2023 – Organisation d'ateliers afin de décliner les sujets du Programme Habilitation de CA Groupe sur le SI de CA-Titres – Identification, mise en œuvre et suivi d'une quarantaine de Plans d'action liés aux sujets de Sécurité IAM concernant l'Identification, l'Authentification et l'Habilitation et croisés avec les sujets du Programme Habilitation. – Programme CYBER 2021-2024 / Mise en œuvre du Programme Habilitation2023 – Programme CYBER 2023: Préparation et Animation des COSU et COPIL avec la Direction de CA-Titres – Organisation d'ateliers afin de décliner les sujets du Programme Habilitation de CA Groupe sur le SI de CA-Titres en communicant séparément avec chaque Service. – Mise en œuvre de points récurrents du Programme Habilitation avec les équipes pour communiquer sur l'avancement du programme, partager l'expérience et lever les problèmes potentiels rencontrés. – Projet: Etude fonctionnelle et de faisabilité pour l'intégration d'un produit DLP en l'occurrence VARONIS

– Mise en œuvre de la sécurité des données personnelles selon les Fiches de la CNIL – Elaboration de questionnaires Risques au niveau Applicatif, Métier, technique, stratégique SSI, RGPD – Déploiement de programme du Pack intial de Maturité Cyber pour les Administrations – Matrice des écarts ISO27001 / Identification des plans d'action – Analyse des vulnérabilités et Risques Cyber associés – Utilisation de la méthodologie Ebios RM pour une 1ère approche des risques Cyber concernant un Grand Cabinet d'Avocat. – Réalisation des politiques de Sécurité (PSMSI, PSI et PSSI) et procédures ISO27k associées – Rédaction des règlements intérieurs liés à la sécurité de l'information (règles de l'ANSSI)

– Participer avec la DPO à la mise en œuvre d'une matrice d'anonymisation des données personnelles clients pour le besoin de mise en conformité RGPD dans l'outil CASSIOPE dans le contexte des contrats de leasing des véhicules. – Implémenter la politique de droits d'accès sur les outils du projet Cassiopae. A cet effet, il s'assurera que tous les rôles métiers sont décrits, documentés et testé (au travers du stream test). – Maintenir et faire évoluer le livrable «Autorisation Concept » – Coordonner les tests de sécurité (tests d'intrusion) et les plans d'actions associés – Coordonner la gestion des dérogations pour le projet Cassiopae – Identifier et suivre les risques IT de Cassiopae en lien avec le responsable risques IT – Coordonner le contrôle qualité du projet cassiopae (vérification que toutes les documentations de projet sont réalisées et validées par les centres de compétence). – Il travaillera en lien avec le responsable qualité afin d'organiser les jalons de contrôle qualité. – S'assurer que l'outil respecte les exigences réglementaires applicables à l'IT. – Suivre l'avancement de la résolution des actions d'audit attachées au projet. – Participation aux CAB Cassiopae pour apporter un avis sécurité/conformité/risk SI des mises en production du projet – Rédaction d'un Rapport sur la Sécurité de l'Information dans l'outil Cassiope et lié aux droits accordés sur la quarantaine de Groupes d'utilisateurs implémentés dans l'outil et proposer des axes d'amélioration – Déploiement des contrôles PAM

– Auditer et réaliser un état des lieux sur les méthodologies employées dans la rédaction des AO – Force de proposition sur la mise en œuvre de standards méthodologique liés à la CyberSécurité dans les packages proposés aux clients – Approche méthodologique sur une standardisation de traitement des risques – Animation des comités de standardisation – Mise en place de l'argumentaire de prospection pour le marketing téléphonique – Rédaction des réponses à AO en CyberSécurité (Standard) orienté Sécurité de l'information – Auditer et réaliser un état des lieux sur les données personnelles – Définition du niveau d'obligation et méthodes associées pour y arriver – Proposition de solutions et préconisations: (Plans d'action, Formation correspondants CNIL, Sensibilisation salariés / Partenaires, Adaptation de la méthode et des outils aux contextes locaux – Accompagnerment: PIA, Cartographie des traitements, Constitution du registre, Mise en œuvre de solutions sécurité, Analyse de risques selon les critères DICT – Pilotage des réunions d'avancement sur la mise en conformité et suivi des plans d'action associés – Réalisations d'Audits ponctuels sur demande client – Minimisation et rationalisation des efforts pour les différents sites locaux

– Gouvernance Sécurité /Accompagnement à la re-certification ISO27001 – Déploiement des campagnes du Programme CYBERCULTURE (2700 personnes)selon l'approche AGILE – Mise à jour de la convention de services Client Groupe – Refonte du Corpus documentaire – Consolider la SOA du SMSI – Prise en compte des Risques Sécurité dans le déploiement des nouveaux Projets CYBER2020 – Refonte des Procédures de Sécurité – Refonte de la convention de services dans le cadre des clients internes du Groupe avec pilotage des Workshops Client

– Chef de projet sur le 1er déploiement des Campagnes Cyberculture déclinées à partir du Programme d'ITRMG (Serious Game, LPM, Sensibilisation Sécurité pour le COMEX, Sensibilisation tous collaborateurs, Phishing) – Participation aux comités de Remédiations / Exceptions – Audit et Support à la consolidation du SMSI / Complément de preuves apporté à la SOA – Rapprochement des « Risk Letters » et Plans d'action identifiés à intégrer dans le déploiement des projets CYBER2020 – Gestion et mise à jour de la SOA / ISO27001 (Mesures organisationnelles et techniques identifiées) – Déploiement de Contrôles de conformité ISO27001 sur le Data Center de Marne La Vallée y compris systèmes Mainframe. – Refonte et Préparation des Comités de Sécurité Processus avec organisation des Workshops – Maintien du référentiel des risques de sécurité portant sur les actifs informatique de l'entreprise – Analyse et intégration dans la cartographie de tout nouveau risque identifié sur le périmètre – Identification et priorisation des Plans de réduction des risques en lien avec les métiers – Suivi des plans de réduction des risques au travers des projets et roadmap d'évolution du SI – Révision régulière des risques SSI existants dans le référentiel – Production du reporting associé à l'activité « Risque » – Point de suivi régulier avec le RSSI de l'entreprise – Contribution à la préparation des comités de contrôle internes trimestriels – Participation au commissions internes et Groupe BPCE relatifs à la cartographie des risques – Réponses à diverses sollicitations provenant des autres départements – Analyse des risques résiduels issus des projets – Cadrage de nouveaux contrôles permanents

– Maintien du référentiel des risques de sécurité portant sur les actifs informatique de l'entreprise – Formalisation de la PSSI – Mettre en place la classification de l'information – Identifier les risques – Identification des mesures techniques à mettre en œuvre selon l'ISO27002 – Revoir l'organisation et éventuellement l'amender – Mettre en place un SOC (produits ITRUST : Ikare + Revelium) – Revoir la documentation (procédures) et la compléter / Mise en place de la pyramide documentaire – Mise en œuvre des comités de pilotage et suivi – Piloter les actions opérationnelles (patch et release management, incidents de sécurité, anti-virus, plan d'action résultant des scans internes et externes) – Gérer la conformité légale (externe) et maison-mère (interne) – Participer aux comités de sécurité avec les fournisseurs en délégation du RSSI – Collecter les risques auprès des personnes en charge de les identifier – Définir les risques en termes financier, de réputation et légaux – Suivre et documenter l'implémentation des contre-mesures – Assurer le suivi des DRP, en particulier les salles informatiques de Villers-Cotterêts. – Participer à la mise en place du programme de sécurité groupe 2015-18

– Valider les fiches de niveau CPN1 avec les interlocuteurs des périmètres concernés – Bâtir les fiches de contrôle de niveau CPN1 puis CPN2 (Couvrir le risque identifié dans COBIT / rédiger les contrôles de façon approprié / identifier les preuves / Notation du contrôle en CPN2 / plan d'action correctif en CPN2) – Recensement et analyse des preuves en CPN2 – Notation et identification de plans d'action en CPN2 – Faire le suivi des incidents ayant un impact élevé et très élevé avec identification du risque opérationnel impactant – Point Hebdo sur la gestion des incidents dans l'outil risque « Matrisk »

– Analyse des chaînes de traitement batch multi-domaines – Pistes d'optimisation – Réalisation des cartographies de traitement multi-domaines – Rapport d'analyse et d'optimisation mettant en avant les axes d'amélioration

– Audit et état des lieux sur l'exploitation / Sécurité du SI et la gestion des prestataires – Déployer des outils de collecte simple pour la consolidation des Contrôles – Optimiser l'arborescence des contrôles afin de rendre les variations de périmètre plus faciles à intégrer, gérer, auditer – Décliner et déployer les Contrôles en production concernant aussi les domaines S/s traités suivant le référentiel de Contrôle Interne – Intégrer les nouvelles entrées (objectifs, filiales, périmètre applicatif, ...) – Mise au point de fiches de Contrôles et testing – Identifier les Contrôles implémentables suivant les Business Line concernées – Rédiger les Annexes Sécurité pour les prestataires avec les contrôles implémentables (preuves à fournir) – Manager les 25 Contrôles Owners et mener les campagnes d'informations INCOME – Etre force de proposition pour la mise en œuvre de Plan d'Action préventifs et correctifs – Organiser les ateliers avec les 25 Control Owners pour mise en œuvre et suivi des plans d'action – Préparer / planifier les Autoévaluations – Revues conjointes avec le Contrôle Interne et la Direction Audit Risque – Répondre et accompagner les auditeurs externes – Gestion de la Stratégie de sauvegarde / Restauration des sauvegardes – Gestion du Plan de reprise d'activité / Test de plan de reprise (DataCenter inclus) – Gestion des Data Center d'OBS/ Poste de Travail / Actifs Critiques / Serveurs de Fichiers – Gestion des Conduites Applicative / Technique – Gestion des Incidents – Gestion des Configurations – Gestion des Télécoms et Réseaux – Gestion des Prestataires (Niveaux de Service, Revues d'activité, Pilote de contrat) – Gestion des mécanismes d'authentification – Gestion des comptes et authentifications – Gestion des Pare-feu / Proxy – Gestion de la séparation des réseaux – Gestions des patchs et vulnérabilités – Gestion des habilitations et accès selon la matrice de répartition des rôles – Gestion des transactions incompatibles – Gestion des logs archivés – Gestion des évènements Sytèmes historisés

– Audit / Etat des lieux sur l'exploitation du SI des 4 entités – Planification et réalisation d'interviews avec les différents personnels de l'IT en fonction des périmètres abordés (identification des compétences des ressources, des travaux en cours et du plan de charge, du besoin de transfert de compétences, d'information sur le métier et des composantes d'éléments sur l'Infrastructure) – Rédaction et synthèse des interviews et validation par la hiérarchie – Recueille et consolidation d'informations IT sur l'ensemble des 4 Ex-pôles – Formalisation de cartographies des environnements techniques et applicatifs – Trame préparant à la construction d'un catalogue de services informatiques – Présentation hebdomadaire de l'avancement des travaux et du planning à 1 mois – Mini-synthèses par thème abordé dans la cartographie d'infrastructure

– Audit de terrain par l'interrogation des opérationnels de l'IT GEMALTO – Audit auprès des différents prestataires HP/ATOS principalement – Mise en place et animation des WORKSHOPS intégrant les intervenants des différents périmètres du Front Office et Back Office – Rapport d'audit de processus intégrant les différents périmètres (HP, ATOS, SOPRA, GEMALTO) – Mise en place de procédures de tests pour mesurer l'efficacité du Service Desk HP (FO) dans l'optique d'améliorer la satisfaction client. – Mise au point de matrices d'identification des données d'entrées de processus – Réalisation des templates des données d'entrées de chaque processus – Identification des flowcharts de processus sur « Gestion des Changements / Gestion des SHAREDATA / Gestion des IMPRIMANTES METIERS EN RESEAU / Gestion des IMPRIMANTES BUREAUTIQUE EN RESEAU avec clarification des périmètres d'interventions par prestataire – Rédaction des procédures en Anglais sur processus identifiés et mise en œuvre (ITIL) – Rédaction des modes opératoires en ANGLAIS technique – Rédaction des RFC et participation au CAB

– Etude et rédaction des narratifs et procédures de tests relatifs à chaque point de contrôle – Réalisation d'une nouvelle matrice de test – Audit Interne sur toutes les briques du SI – Coordination des tests avec l'équipe DSI et les sous traitants HP, BULL et SAFRAN INFO. – Récolte de preuves sur site et à distance – Analyse des preuves et conclusion sur chaque niveau de la procédure de test

– Participation au comité de pilotage et suivi sur l'externalisation des services – Participation aux WORKSHOPS intégrant les différents intervenants Internes et Externes des périmètres Front Office et Back Office – Réengéniering des processus sur « la Gestion des Incidents, Configuration, Problème, Changement, Crise, Environnement » avec intégration du périmètre TRIGONE/IBM – Rédaction des Procédures de production (ITIL) – Externalisation des processus opérationnels MPW chez TRIGONE – Audit général de l'entreprise sur la base de l'ISO 9001 et rapport d'audit – Brainstorming, pré-étude sur la mise en place d'un centre d'appel – Gestion globale du projet (Choix de l'équipe, Découpage, OT, jalons, PERT, GANTT,..) – Modélisation du processus de traitement des appels et rédaction de la procédure – Rédaction du cahier des charges et du cahier de recettes fonctionnelles de l'outils – Test unitaire et recette du produit développé – Mise en place de la phase de test du service et validation en environnement de travail

– Etude de marché et des créneaux porteurs – Stratégie – Positionnement sur le marché (Réactivité, Qualité des profils proposés, Tarifs, ....) – Recrutement et choix des profils

– Responsable Sécurité du Système d'Information pour les 21 sites du groupe avec mise en place de mesures de sécurité sur les 1000 postes de travail remplacés, les 21 serveurs de messageries et systèmes. – Responsable Support et Helpdesk avec 21 coordinateurs à encadrer – (escalade des incidents niveau 1, 2 et 3, gestion des demandes de services) – Responsable Support et Helpdesk avec 21 coordinateurs à encadrer – (escalade des incidents niveau 1, 2 et 3, – Gestion des demandes de services) Asset Manager avec Encadrement de 21 coordinateurs informatique pour les 21 sites – Responsable Location / Achat Groupe et Veille Technologique - Budget de 2 Millions € / An – Responsable du suivi des prestataires – Pilote du Programme HARMONISATION : (Messagerie, Domaine MS / AD, Réseaux, Sécurité, Serveurs, Poste de travail) – Restructuration de l'Architecture Système/LAN/WAN : – Intégration d'outils de production – Intégration d'outils métiers – Mise en œuvre de la sécurité Client / Serveur / Messagerie – Migration et mise en œuvre d'ERP : AGIR(IBM) vers SOIC (SGBD sous Oracle 8i) – Migration de la messagerie Outlook vers Lotus Domino – Upgrade et migration du SI (Projet HARMONISATION) : Postes de travail et Serveurs – Informatisation de la production : Système de pesé de bois / Scanner codes barres – Déménagement informatique de la holding par deux fois