Mabchour Oussama

- Mise en conformité DORA : Identifier, qualifier et prioriser les écarts de conformité et les non-conformités sur les 5 piliers DORA. Construire, rationaliser et suivre les plans d'action avec les équipes opérationnelles. Mettre en place un suivi consolidé, outillé et régulier à travers des tableaux de bord et reportings hebdomadaire avec les indicateurs de performance et de risque. Contribuer à la mise en place d?un dispositif pérenne de RUN pour assurer le pilotage continu de la conformité DORA. - Mise en conformité ISO 27001 / SOC 2 type 2 Définition du périmètre de la certification ISO 27001 / SOC 2 Type 2 et cadrage du SMSI Réalisation d’audits ISO 27001 / SOC 2 Type 2 et analyses d’écart par rapport aux deux référentiels Définition et suivi des plans d'actions de mise en conformité ISO 27001 / SOC 2 Type 2 Rédaction de la documentation requise par la norme. Conduite de l’évaluation des risques EBIOS RM adaptée au périmètre de la prestation. Mise en place d’un plan de traitement des risques répondant aux besoins de la certification. Réalisation des contrôles sécurité pour le maintien en condition opérationnelle du SMSI. - Gestion des risques liés aux tiers / TPRM Revue du process TPRM et intégration des exigences DORA Conduite des ateliers avec les métier afin d’identifier les risques principaux pour chaque prestation Qualification et priorisation des tiers selon l'échelle de criticité en place Définition de la stratégie d’évaluation et de maîtrise des risques SSI Réalisation des audits de sécurité auprès des tiers critiques Résultat accompli : Obtention de la certification ISO 27001 & SOC 2 type 2, cadrage des travaux DORA avec un plan d’action détaillé sur chaque pilier et rodage du processus TPRM au sein de l’entité.

- Mener les travaux de certification ISO 27001 sur un périmètre Data Center - Définition du périmètre de la certification (Clause 4 de la norme ISO 27001) - Mener l'analyse de risques sur le périmètre de certification en parallèle de la méthodologie EBIOS RM - Coordiner les audits internes et suivi des actions de remédiation - Présentation des travaux de conformité à la direction via des KPI, KRI - Mener le projet de certification HDS v2 sur le même périmètre

• Réaliser une analyse des risques sur le périmètre des prestataires afin d'évaluer leurs criticité ainsi que leurs impacts sur l’activité d’AXA. • Mettre en place la roadmap relatif au projet de conformité vis à vis de DORA • S'assurer que les clauses de sécurité pertinentes introduites dans les contrats sont bien définies et sont en parallèle avec le service externalisé. • Valider les scopes de responsabilité avec les fournisseurs de services via des matrices RACI. • Adapter l’annexe SSI en y insérant les exigences DORA pour les prestataires concernés. • Recueillir les certifications de sécurité pertinentes des sous-traitants (ISO 27001, PCI DSS) ou les attestations SOC 2 et effectuer une analyse des écarts par rapport au référentiel de sécurité AXA. • Planifier et réaliser des audits de sécurité des sous-traitants. • Rassembler et valider les preuves post audit. • Mettre en œuvre un plan de remédiation suite à l'identification des non conformités et assurer un suivi en temps opportun. • Planifier la campagne de contrôle annuelle des sous traitants.

ISO 27001: • Réaliser des analyses d’écart: version 2013/version 2022. • Mise en place d’une stratégie de convergence vers la version 2022 sur le périmètre du groupe. • Effectuer des audits en interne, rédaction des plans de remédiation et suivi avec les équipes opérationnelles. • Remonter les KPI, KGI et KRI relatifs respectivement aux indicateurs clés de performance, d’objectifs et de risques. • Rédiger la documentation requise par la norme conjointement avec les équipes de la sécurité opérationnelle (politiques, procédures et guidelines). • Concevoir les processus sécurité au sein du groupe (gestion des tiers, gestion des incidents, etc) en plus de les documenter. PCI DSS: • Gérer les projets de conformité pour différentes activités : Transactions par carte présente, transactions MOTO (Mail Order/Telephone order) et activités de commerce électronique et récemment sur le périmètre COTS. • Définir le champ d'application approprié de chaque activité et établir une matrice de responsabilité pour les tiers ainsi que pour les entités internes. • Participer à la conception de solutions de paiement : Terminaux de paiement, dispositifs de point de vente ainsi que la réduction du périmètre en utilisant les solutions listées P2PE ou E2EE. • TPRM (Third Party Risk Management) : Suivi des indicateurs de performance avec les fournisseurs de service externes ou même avec les entités opérationnelles en interne, mise en place du cahier des charges correspondant, élaboration des matrices RACI et des SLA (Service Level Agreement) répondant aux paramètres relatifs à la continuité des activités business. • Superviser les projets Move To Cloud et assurer la migration vers des espaces de travail virtuels sécurisés (Desktop as a Service : DaaS) et IaaS.

- Evaluer la conformité des clients vis-à-vis des standards suivants : PCI DSS, Swift CSCF v2021 et ISO 27001 (Audits externes). - Accompagner les clients dans leurs processus d'évolution et de maturité en termes de sécurité des Systèmes d'Information. - Soutien et assistance dans l'élaboration des documents pour répondre aux besoins des certifications. - Réaliser des audits initiaux, des audits blancs, des audits de certification en parallèle des ateliers techniques traitant la gestion du risque.