Mustapha BADDOU

Contexte : Au sein de la DSI Groupe CA Assurances, en appui du responsable sécurité informatique groupe et du CISO groupe Pilotage de l’activité de l’équipe expertise SSI Réalisation du cadrage des projets de sécurité, en mode AGILE / Cycle en V. Pilotage de l’activité d’intégration de la sécurité dans les projets métiers. Coordination des missions de sécurité auprès des référents projets. Qualification analyse des projets au regard des exigences réglementaires DORA (identification des fonctions critiques ou importantes, analyse des prestataires TIC) Coordination des tests d’intrusions auprès des prestataires SSI referencés (internes et externes) du groupe. Planification et suivi des campagnes de TI en lien avec les besoins des projets Gestion des disponibilités des équipes de tests d’intrusions et arbitrages des priorités Animation de points de coordination des sociétés référencées pour optimiser les ressources et les délais Définition et validation des plans budgétaires associés aux différentes activités SSI Organisation et animation des comités sécurité (COSEC IT, Comité sécurité..) Partage et validation des sujets stratégiques avec les CISO groupe Assurer la conformité du SI avec les politiques de sécurité groupe et les exigences réglementaires (DORA, RGPD) Pilotage des activités de sécurité opérationnelle (gestion des vulnérabilités, incidents, flux, certificats, sécurité des données...) Participation aux exercices de crises et tests PCA/PRA/PSI

Contexte : Pilotage du Technology Risk Management (TRM) et de la gouvernance cyber pour une trentaine d’entités du Groupe, dans un contexte de fortes exigences réglementaires. * Pilotage du programme TRM et supervision de la cartographie des risques Cyber & IT pour ~30 entités. * Présentation des risques et recommandations aux instances de gouvernance et directions métiers. * Pilotage des audits SSI, contrôles N1/N2 et plans de remédiation. * Pilotage du programme LPM et suivi de la conformité réglementaire (DORA, RGPD, LPM). * Animation des comités sécurité et accompagnement des métiers dans les arbitrages risques / business. * Intégration de la Security by Design dans les projets et conseil sur la sécurité des architectures Cloud. * Sensibilisation des managers et équipes clés aux enjeux cyber et réglementaires. * Amélioration continue des processus et dispositifs de sécurité.

Contexte : gouvernance SSI, gestion des risques et conformité réglementaire dans un environnement bancaire fortement réglementé. Contribution à la stratégie et aux politiques de cybersécurité Groupe. Pilotage des sujets de conformité NIS2, DORA, BCE et RGPD. Suivi des risques et des plans de remédiation. Pilotage de projets sécurité : IAM, Exchange, AD, et sécurité applicative. Intégration des principes Security by Design / Security by Default. Réalisation et suivi des revues de sécurité des projets (ISP). Pilotage des audits de sécurité et tests d’intrusion. Suivi des recommandations et des plans d’actions. Évaluation et sécurisation des fournisseurs et prestataires (PAS-F, exigences fournisseurs...) Contribution à la gestion des incidents, au PCA/PRA et au maintien en condition de sécurité. Suivi des indicateurs de sécurité et des SLA. Sensibilisation des équipes métiers et IT aux enjeux de cybersécurité.

Contexte : Accompagnement des projets stratégiques de France Télévisions sur les enjeux de cybersécurité, risques et conformité LPM. Accompagnement des équipes IT, Digital, Media Factory et CDE dans l’intégration de la cybersécurité aux projets stratégiques. Définition des exigences de sécurité et mise en œuvre des principes Security by Design / Security by Default. Réalisation d’analyses de risques EBIOS RM sur des solutions SaaS et on-premise. Évaluation de la sécurité des solutions, architectures et fournisseurs. Intégration des exigences cybersécurité dans les appels d’offres et contrats fournisseurs. Analyse et validation de la conformité des solutions aux standards de sécurité du groupe. Pilotage d’une mission d’homologation sécurité LPM pour des infrastructures critiques du Centre de Diffusion et d’Échange. Définition et suivi des exigences de sécurité liées à la LPM. Coordination des parties prenantes, comités opérationnels et suivi des plans d’actions de mise en conformité. Suivi du niveau de sécurité et validation de la conformité des solutions techniques.

Contexte : Expert en cybersécurité / Application Security Manager chez Société Générale, en charge de sécuriser les projets stratégiques à travers la gestion des risques, la sécurité des architectures et des environnements Cloud, ainsi que la conformité aux exigences réglementaires. Intégration de la cybersécurité et du Security by Design dans les projets IT et métiers stratégiques. Réalisation d’analyses de risques applicatives et classification des applications critiques. Revue et sécurisation des architectures applicatives et techniques : flux, segmentation, IAM, chiffrement, exposition Internet... Accompagnement des projets Cloud Public et Cloud Privé sur les enjeux de sécurité : IAM, gestion des secrets, chiffrement, journalisation, segmentation réseau et sécurisation des workloads. Évaluation de la sécurité des solutions SaaS, PaaS et IaaS et validation des mesures de sécurité associées. Évaluation de la sécurité des fournisseurs et prestataires, notamment via la revue des PASF. Pilotage de la conformité LPM : définition des exigences, analyse des écarts et suivi des plans de remédiation. Pilotage des homologations de sécurité et préparation des commissions d’homologation. Contribution aux audits PASSI, analyse des constats et suivi des actions correctives. Participation aux instances de gouvernance SSI (COMOP, COSEC...) et coordination des équipes architecture, IT, métiers, risques et sécurité. Compétences : Cybersécurité · LPM · PASSI LPM · Program Director · Cyber Security Regulation · Regulatory Compliance

Contribution au pilotage de la gouvernance SSI et de la gestion des risques cyber dans un environnement bancaire, avec un rôle central dans le suivi des contrôles de sécurité, la conformité réglementaire et la coordination avec les entités métiers. Gouvernance SSI & gestion des risques • Réalisation des contrôles permanents SSI de niveau 2 (contrôle d’accès logique, conformité à la Politique de Sécurité des Systèmes d’Information Groupe) • Pilotage de la cartographie des risques cyber, suivi des plans de traitement et des recommandations issues d’audits et de l’Inspection Générale Gestion des risques applicatifs • Révision de la classification des applications critiques et mise à jour de la cartographie des risques métiers en coordination avec les équipes MOA • Suivi et consolidation des risques, vulnérabilités et plans d’actions dans l’outil GRC RSA Archer GRC Platform Audits & conformité • Coordination des réponses aux audits et questionnaires réglementaires SSI • Cadrage d’audits de sécurité et tests d’intrusion sur des applications et composants du SI Animation de la filière sécurité • Participation et animation de groupes de travail SSI au niveau groupe • Accompagnement des entités sur les exigences de conformité liées au Règlement Général sur la Protection des Données (RGPD) • Contribution à la préparation des comités risques et contrôle interne

➀ Analyse des risques applicatives/projets selon la méthodologie client (MESARI, EBIOS Risk Manager). ➝ Cadrage de l’étude, périmètre métier et technique, Identification des événements redoutés, leur niveau de gravité (Socle de sécurité). ➝ Identifier les sources de risque et les objectifs visés. ➝ Identifier les parties prenantes, les scénarios stratégiques, les événements redoutés et les mesures de sécurité retenues. ➝ Élaboration des scénarios opérationnels et leur vraisemblance. ➝ Synthèse des scénarios de risque, stratégie de traitement du risque, évaluation des risques résiduels et mise en place d’un suivi des risques. ➁ Instruction sécurité de solutions techniques : accompagnement des MOE, MOA, Responsable Métier, préconisations de solutions de sécurité, revue d'architecture sécurité. ➂ Qualification des critères de DICP. ➃ Gestion des tests d’intrusion et suivi des plans de remédiation. ➄ Analyse des impacts sur la confidentialité des données (DPIA). ➅ Assistance CISO/RSSI : ➝ Reporting d'activité auprès du RSSI et des responsables d'applications. ➝ Audit et revue de la sécurité de l'information. ➆ Activités liées au programme annuel de sécurité du groupe (CARS) : ➝ Évaluation de la sécurité du fournisseur externe dans le cadre d'un appel d'offres, y compris le fournisseur de services Cloud. ➝ Qualification de la sécurité des applications et des infrastructures.

En prestation à la Société Générale (au forfait). ➝ Élaboration d'un questionnaire de sécurité lié à la gestion des données personnelles (RGPD) dans le processus d'analyse de risques. ➝ Évaluation de la sensibilité des applications avec l'intégration des questions liées au RGPD : ➀ Validation des rôles et des responsabilités des équipes devant intervenir sur l’analyse d’impact et la mise en conformité dans le cas où l’application gère des données personnelles au sens RGPD. ➁ Validation des moyens de mise en conformité à appliquer dans le cas où l’application gère des données personnelles au sens RGPD.

➝ Analyse sécurité des dossiers d’architecture applicative et infrastructure : ➀ Vérification du respect de la PSSI et de la politique coupe-feu. ➁ Vérification de la cohérence de l’architecture avec les critères DICT et les besoins sécurité. ➂ Proposition de préconisations sécurité et exigence d’une demande de dérogation. ➝ Analyse et validation des guides de sécurisation d’une technologie (OS, Applicatif). ➝ Rédaction des RSIS (Règle de sécurité SI, politique de sécurité). ➝ Appui projets (contribution aux exigences sécurité, avis sur des sujets simples ou complexes…). ➝ Analyse sécurité sur des FED (Fiche d’écart et dérogation). ➝ Analyse sécurité sur des applications du type Saas/hors Saas… ➝ Accompagnement RSSI (Suivi des campagnes de sensibilisation, GDPR, Gouvernance SSI…). ➝ Processus de pilotage des revues de vulnérabilités (Analyse de sécurité technique et tests d’intrusion). ➝ Rédaction des procédures, politiques et directives de sécurité.

Mise en place d'une politique de sécurité SI de la Direction Produit Corporate. ➀ Mise en place du passage obligatoire des nouveaux projets par l’étape de validation du risque sécurité SI ➁ Mise en place de la gouvernance autour de la sécurité du SI Direction Produit Corporate ➂ Mise en place de la cartographie des risques (applicatifs, flux) sur l’ensemble du périmètre DPC Management des risques SI et de la continuité d'activité : ➝ Définition, contrôle et accompagnement de l'implémentation des politiques de sécurité de systèmes d’information et de la méthodologie d’analyse de risque ; ➝ Construction de supports de sensibilisation à la gestion des risques SI ; ➝ Construction de tableaux de bords ; ➝ Pilotage des plans d’actions liés au management des risques SI et à la Sécurité ; ➝ Plan de Continuité d'activité ; ➝ Audit OEA (Opérateur Economique Agrée) et contrôle de la conformité (GDPR) ; ➝ Analyse de risques (EBIOS, ISO 27005) ➝ Cyber Sécurité et lutte contre l’e-Fraude, investigation et analyse (Phishing, malware, etc.) ;