GAËTAN FERNANDES

– Création d'une structure juridique permettant l'accompagnement de clients en tant qu'indépendant sur mes sujets de prédilection: cybersécurité, privacy, IA, gouvernance, conformité réglementaire, gestion de projet et transformation.

– Pilotage transverse des activités et projets IAM, PAM et SSO au sein d'un environnement multi-entités et international, incluant la définition et la mise en œuvre du cadre de gouvernance cybersécurité et le respect des normes et standards (NIST, ISO 27001). Responsabilité de la définition et du maintien du catalogue de services IAM, PAM et SSO, de l'accompagnement dans l'exécution opérationnelle des services. Définition des roadmaps et coordination avec le Groupe dans le cadre de projets de convergence. Contribution aux reportings et différents comités de direction et de pilotage. Définition des budgets et pilotage budgétaire de la zone EMEA et mise en œuvre d'une vision budgétaire globalisée incluant l'ensemble des zones d'activité (EMEA, AMER, APAC).

– Pilotage de la mise à jour de la cartographie des risques SSI en intégrant les spécificités d'une vingtaine de métiers et en animant des ateliers collaboratifs avec les parties prenantes. Adaptation de la méthodologie de cartographie basée sur ISO 27001 et sur la méthodologie Groupe. Mise en œuvre d'une approche centrée sur les risques associés aux processus métiers et supportée par une automatisation des calculs des impacts et des probabilités d'occurrence des risques. Un focus particulier a été réalisé sur la formalisation du plan de remédiation, sa priorisation et son suivi, afin d'assurer une gestion efficace et pérenne des risques dans un environnement complexe et fortement interconnecté. La cartographie et son plan de remédiation intègrent les enjeux associés aux nouvelles réglementations (cyber resilience act, AI Act, NIS2...). Accompagnement des équipes dans le cadre du process d'ISP et refonte du référentiel d'exigences de sécurité (évolution de la structure et intégration d'exigences adaptées à l'état de la menace, aux évolutions réglementaires et technologiques).

– Accompagnement de clients dans la définition de leur stratégie de cybersécurité, à la définition et à l'évolution de leurs modèles organisationnels, au déploiement de solutions techniques, à la réalisation d'audits – Exemples d'accompagnements: pilotage de programme SSI et RGPD, définition de stratégie et de feuille de route SSI, analyses de risques (notamment EBIOS RM), audits de sécurité et privacy (NIST, LPM, PPST, RGPD, etc.), coordination DPO, réalisation d'AIVP et mise en œuvre du plan d'action, mise en place de registre des traitements, sensibilisation cyber et RGPD... – Participation aux activités de recrutement du cabinet: réalisation d'entretiens de recrutement, pilotage du dispositif et amélioration des process – Activités de management: encadrement et formation des consultants sous ma responsabilité – Développement de l'offre d'expertise du cabinet en matière de privacy et d'intelligence artificielle: pilotage des actions de développement de l'offre et participation à la veille réglementaire et du marché, prospection commerciale, élaboration d'expertise et construction d'accélérateurs de missions

– Au sein d'une startup nantaise manipulant des données à caractère personnel sensibles, accompagnement en tant qu'expert SSI dans la mise en œuvre et l'amélioration continue du SMSI basé sur la norme ISO 27001, par l'accompagnement des projets (ISP) et par la réalisation de chantiers de mise en œuvre de mesures de sécurité (définition et mise en place d'un PCA/PRA, déploiement d'une solution de signalement de phishing, déploiement d'une solution de formation/sensibilisation SSI et RGPD, support en avant-vente...). Endossement du rôle de DPO externalisé (MAJ du registre, accompagnement des projets, sensibilisation, réalisation d'AIPD, privacy by design...).

– Analyse de risque et d'écart au regard du RGPD (finalités du traitement, base légale, conservation des données, droits des personnes concernées...) dans le contexte du déploiement progressif de la solution d'IA générative Microsoft Copilot au sein des différents métiers. Formalisation d'un plan d'action consolidé et de recommandations en vue d'un déploiement progressif sur des use cases pertinents et tenant compte des enjeux de l'IA.

– Réalisation d'ateliers d'identification des traitements au sein des différents métiers de l'établissement. Création d'un format de registre des traitement conforme au RGPD, à la doctrine de la CNIL et répondant aux enjeux opérationnels de l'établissement. Proposition de procédure d'alimentation et de mise à jour du registre. Élaboration d'un support de formation des agents de l'établissement et animation d'une session de formation. Accompagnement et conseils en matière de mise en conformité relativement aux écarts manifestes observés lors de la formalisation du registre des traitements.

– Au sein d'un Groupe d'envergure internationale, accompagnement du DPO dans ses activités de mise en conformité au RGPD des activités de l'entité centrale et des différentes entités du Groupe. Animation de la filière DPO au sein du Groupe, pilotage et reporting des avancées du programme RGPD et du niveau de maturité des entités, réalisation de contrôles permanents de niveau 2, production d'analyse d'expertise ponctuelles (IA, cookies, etc.), sensibilisation et refonte du programme de formation des DPO du Groupe.

– Réalisation d'un exercice de crise mobilisant la cellule de direction de crise d'une banque privée composée du board et des intervenants métiers pertinents. Le scénario de crise se compose d'une phase de réponse immédiate à la crise ainsi que d'une phase ultérieure de reconstruction des systèmes et de regain de confiance des parties prenantes. Le chronogramme de l'exercice reposait sur le scénario d'un ransomware diffusé par la compromission d'un tiers. Réalisation d'un feedback à chaud suite à l'exercice et à d'un retour d'expérience à froid présentant les constats et axes d'amélioration.

– Déclaration de 2 traitements clés de l'Université (SIRH et finances). Analyse de risque et d'écart au RGPD (finalités du traitement, base légale, conservation des données, droits des personnes concernées...) sur 3 périmètres clés (SIRH, finances, scolarité), traitant notamment de données sensibles. Formalisation d'un plan d'action associé à chaque périmètre.

– Analyse de risque et d'écart au regard du RGPD (finalités du traitement, base légale, conservation des données, droits des personnes concernées...) concernant le déploiement d'une solution traitant des données sensibles recueillies par des techniques d'intelligence artificielle. Formalisation d'un plan d'action consolidé.

– Analyse de risque et d'écart au regard du RGPD (finalités du traitement, base légale, conservation des données, droits des personnes concernées...) concernant le déploiement d'une solution traitant des données recueillies par différents périmètres critiques identifiés (vidéosurveillance, marketing, application client notamment). Formalisation d'un plan d'action pour chacun des périmètres étudiés. Animation de la communauté Privacy et structuration de l'expertise de la filière.

– Analyse de risque et d'écart au regard de la réglementation Indienne (finalités du traitement, base légale, conservation des données, droits des personnes concernées...) dans le contexte du déploiement d'un nouveau canal de communication (WhatsApp) avec les utilisateurs à des fins marketing. Formalisation d'un plan d'action consolidé et de recommandations en vue d'un futur déploiement européen.

– Réalisation d'un audit RGPD portant sur le programme de mise en conformité au RGPD et la gouvernance associée au sein de l'entreprise et de ses directions régionales. Organisation et tenue des entretiens, alimentation d'un benchmark et rédaction de la synthèse et des recommandations.

– Pilotage du programme de cybersécurité et déploiement d'une roadmap pluriannuelle dans un contexte international. Suivi et accompagnement des 40 entités internationales dans leurs implémentations. Consolidation des dashboards et données de pilotage, analyse et présentation des résultats au sein des instances de direction. Evolution des outils de pilotage et définition d'un nouveau mode de gouvernance régionalisé. Rédaction de politiques et procédures thématiques (IAM, M&A, gestion des tiers...) en déclinaison de la roadmap.

– Au sein d'un acteur bancaire majeur, réalisation d'entretiens auprès des experts et responsables des différentes branches internationales de la banque dans le cadre de l'évaluation de la maturité cyber au regard du framework américain FFIEC. Consolidation des résultats et présentation des recommandations. Formalisation d'une stratégie pluriannuelle de cybersécurité dans des environnements organisationnel et technique complexes, répondant à une approche par les risques, aux exigences réglementaires actuelles et futures (DORA, NIS2, NYDFS...) et au positionnement du marché.

– Rôle de PMO du stream cybersécurité dans le cadre de la création d'un nouveau système de contrôle commande numérique : Mise en place et alimentation des tableaux de bord des activités du lot Cyber, reporting et suivi des activités, mise en place et suivi des plans d'actions du projet (JIRA), rédaction de politiques de cybersécurité (filtrage réseau, guide de gestion des identifiants et accès, tests de cybersécurité, principes de durcissement), contrôle et modification des PAQ/PAS.

– Réalisation d'audits organisationnels des entités publiques bénéficiaires du plan de relance de l'économie. Suivi et pilotage des chantiers de sécurisation des entités dans le cadre du parcours de cybersécurité de l'ANSSI. Analyse des plans de sécurisation proposés par les prestataires terrains (contenu, budget, charge, cohérence, approche par les risques, etc.). Formalisation de supports proposés au sein du parcours (sensibilisation, formation, procédures, etc.) et des recommandations de sécurité à destination de l'ensemble des parties prenantes du parcours France Relance.

– Analyse du modèle opérationnel actuel, proposition de refonte du TOM d'un groupe multinational. Formalisation du TOM, définition, budgétisation de la démarche d'implémentation progressive (avec des phases de MVP et de pilote) du TOM. Formalisation du processus d'ISP, introduction de la notion d'Evil User Story au sein des backlogs.

– Mise à jour de la PSSI d'un groupe transnational dont la révision visait à intégrer les dispositions des normes ISO 27001 et ISO 27002 applicables au sein de la politique et de proposer les supports nécessaires au suivi de la mise en conformité des entités vis-à-vis des exigences de la PSSI. La transposition des normes reposait sur l'intégration d'une part des aspects de gouvernance et d'autre part des mesures de sécurité techniques et organisationnelles applicables au sein du périmètre de certification du SMSI.

– Animation de comités (comités de direction, comités d'affectation des ressources) – Mise au point et suivi de KPIs (concernant notamment les ressources et leur impacts financiers) – Réalisation de points d'étape workforce sur les projets du périmètre – Création du plan annuel de recrutement externe, suivi et supervision du process de sourcing interne et de recrutement externe – Supervision de la sous-traitance externe

– Analyse des indicateurs clés de conformité – Diffusion des procédures et suivi des plans d'actions – Participation aux reportings internes et externes (ACPR, AMF, BCE, etc.) – Thématiques LCB/FT, sanctions internationales, abus de marchés