Othmane SOUBER

À la suite d’un audit PASSI réalisé dans le cadre des exigences de la LPM, GEPSA a engagé un programme de renforcement de sa gouvernance cybersécurité visant à améliorer sa conformité réglementaire, structurer son référentiel documentaire SSI et renforcer la maîtrise de ses risques. Cette démarche s’est accompagnée d’un travail de cartographie des processus métiers critiques, des applications et des actifs support afin d’identifier les priorités de sécurisation et d’améliorer la résilience de l’organisation. Mission ● Pilotage du plan de remédiation issu de l’audit PASSI et suivi de l’avancement des actions correctives auprès des différentes directions ● Révision et mise à jour de la Politique de Sécurité des Systèmes d’Information (PSSI) afin d’intégrer les exigences réglementaires, les recommandations d’audit et les bonnes pratiques de sécurité ● Rédaction et formalisation de Politiques de Sécurité des Systèmes d’Information Opérationnelles (PSSIo) couvrant notamment la gestion des mots de passe, des secrets et des contrôles d’accès ● Animation d’ateliers avec les directions métiers et support afin d’identifier les processus critiques, les dépendances applicatives et les besoins de continuité d’activité ● Réalisation d’une cartographie des applications, des actifs support et des flux critiques en collaboration avec les équipes métiers et IT ● Contribution aux analyses BIA afin d’identifier les activités essentielles et les impacts métiers associés à une indisponibilité des systèmes ● Élaboration de recommandations de cybersécurité et accompagnement des parties prenantes dans leur mise en œuvre ● Participation à la structuration du corpus documentaire SSI et à l’amélioration de la gouvernance de la sécurité Principaux résultats ● Plan de remédiation PASSI structuré et piloté avec l’ensemble des parties prenantes ● PSSI mise à jour et enrichie pour intégrer les exigences LPM, les recommandations d’audit et les enjeux de cybersécurité actuels ● PSSIo rédigées et harmonisées afin de renforcer le niveau de sécurité opérationnelle de l’organisation ● Cartographie des applications critiques et des processus métiers réalisée pour soutenir les travaux de gestion des risques et de continuité d’activité ● Vision consolidée des actifs critiques permettant de prioriser les actions de sécurisation Environnement ● PASSI ● LPM ● ISO 27001 – ISO 27002

AGL a initié un programme de renforcement de sa cybersécurité, notamment par la mise en place d’un Système de Management de la Sécurité de l’Information (SMSI) afin de se conformer à la norme ISO 27001 et d’améliorer la maîtrise de ses risques. Le processus de facturation a été identifié comme périmètre prioritaire pour le déploiement du SMSI. En parallèle, AGL a engagé un chantier d’analyses de risques sur l’ensemble de ses entités, en s’appuyant sur la méthode EBIOS RM et l’outillage Egerie, afin d’assurer une approche homogène et cohérente de la gestion des risques. Mission ● Définition et mise en oeuvre du SMSI sur le périmètre du processus de facturation ● Coordination des parties prenantes et suivi des actions sur les 4 phases de mise en place ● Préparation et facilitation de l’audit de certification ISO 27001 ● Pilotage de la gouvernance SMSI : animation des instances, coordination métiers/IT et suivi du plan d’actions (phase Build jusqu’à mise sous contrôle) ● Accompagnement des LISO dans la conduite d’analyses de risques EBIOS RM avec l’outil Egerie ● Présentation de la méthodologie et préparation des supports d’ateliers ● Animation des ateliers d’analyses de risques avec les LISO ● Ajustement des synthèses et consolidation des résultats Principaux résultats ● SMSI mis en place sur le périmètre facturation et prêt pour l’audit de certification ISO 27001 ● Coordination assurée avec l’ensemble des parties prenantes et suivi des actions réalisées ● Analyses de risques EBIOS RM menées avec les LISO et résultats consolidés dans Egerie Environnement ● ISO 27001 – ISO 27002 ● SMSI ● EBIOS RM ● Egerie

Natran dispose de plusieurs sites sûrs, opérés par différents infogérants. Ces sites doivent être audités tous les deux ans afin de vérifier la conformité aux exigences définies dans le dossier Site Sûr. Ces exigences couvrent aussi bien les volets organisationnels que physiques. Dans ce cadre, un audit a été mené sur le site d’Aix-en-Provence, opéré par l’infogérant SPIE, afin d’évaluer la mise en oeuvre des mesures de sécurité organisationnelles et physiques. Mission ● Analyse du contexte et revue de la documentation disponible (dossier de candidature site sûr, procédures locales, plan de sécurité du site) ● Préparation du support d’audit et organisation des entretiens avec les responsables du site et de l’infogérant ● Réalisation d’une visite sur site : o Contrôle des points organisationnels (responsabilités, gouvernance, procédures de sécurité) o Contrôle des points physiques (contrôle d’accès, surveillance, locaux techniques, équipements sensibles) ● Entretiens avec les équipes opérationnelles et responsables sécurité ● Consolidation des constats et homogénéisation des résultats de l’audit ● Présentation et validation des résultats auprès des représentants de Natran et de SPIE Principaux résultats ● Rapport d’audit organisationnel et physique du site d’Aix-en-Provence, intégrant les points de conformité et les écarts identifiés ● Recommandations d’amélioration en lien avec les exigences du dossier de candidature site sûr ● Validation par Natran de l’état de conformité du site opéré par SPIE Environnement ● Exigences internes : Dossier Sites Sur ● ISO 27002 - NIS2

Lactalis détient 65 usines en France, dont 8 sont jugées critiques et nécessitent une protection renforcée de leurs actifs. Afin de mieux ajuster les mesures de sécurité, le RSSI industriel de Lactalis souhaite identifier les systèmes et actifs critiques de ces sites, en suivant une méthodologie type BIA et ainsi avoir une vision exhaustive des impacts en cas d’indisponibilité ou compromission de ses systèmes. Mission ● Analyse du contexte global et des documentations existantes (présentation des sites et compréhension des process métiers, cartographies réseaux, PCA/PRA) ● Préparation de l’outillage de collecte des informations (outil Excel, kit de présentation aux intervenants) et organisation de la collecte ● Intégration de la sécurité dans les projets industriels via l’identification des processus critiques et des actifs OT afin d’orienter les exigences de sécurité dès les phases amont ● Visite des sites industriels sur une journée : o Recueil et évaluation des événements redoutés et des processus critiques o Inventaire des actifs critiques par processus critiques (lignes de production, automates, logiciels, chaudières, etc.) o Conduite d’ateliers sur site (Processus, Activités, Evènements redoutés, Bien support…) ● Homogénéisation des résultats obtenus : o Atelier de complétion des informations avec les responsables des sites o Fiabilisation des éléments dans le support de collecte ● Validation des résultats avec les responsables des sites Principaux résultats ● Inventaires des systèmes critiques des 8 sites validés par Lactalis: fiche d’identité des sites comprenant tous les renseignements pertinents (missions, biens support, évènement redoutés… ) Environnement ● EBIOS RM ● IEC 62443 ● Industriel ● NIS2

Au sein de la DSI de GRTgaz, j'ai intégré l'équipe du Pôle Gouvernance, où j'assurais le rôle d’appui pour le Référent Contrôle Cyber. Ma mission était d’assurer la conformité des activités de GRTgaz aux normes de cybersécurité industrielle. Mission ● Mise en oeuvre des contrôles de cybersécurité pour les applications de l'entreprise, incluant la gestion du cycle de vie des identités, le contrôle d'accès aux informations, ainsi que la supervision et le suivi des accès utilisateurs aux applications. Cela comprenait également la gestion des identités au sein des applications, la prévention des incompatibilités de tâches, la gestion des identifiants privilégiés, et le contrôle des droits d'accès des utilisateurs pour les transactions sensibles au sein des ERP. o Animation d’ateliers de contrôle Cyber o Présentation de référentiels internes et de la matrice SOD (Séparation de tâches) o Analyse de risque DICT pour les applications o Collecte et vérification des preuves du Contrôle interne ● Rédaction et révision des politiques pour garantir la conformité et la standardisation des processus internes selon les exigences d'Engie, en adaptant les politiques et standards au contexte spécifique de GRTgaz : o Intégration des principes de cybersécurité dans les documentations GRTgaz o Analyse de chaque exigence pour assurer sa conformité à la norme ISO 27002, et pour garantir son applicabilité dans le contexte GRTgaz o Validation avec le responsable contrôle cyber, suivi d'une approbation finale par le RSSI ● Suivi de la mise en place des actions de remédiations d’audits (interne, CAC, LPM). o Coordination et supervision de la mise en oeuvre des actions correctives o Suivi des KPI, consolidation des écarts et priorisation des actions correctives en coordination avec les équipes IT/OT et métiers o Planification et suivi des plans d'action avec les échéances définies o Contrôle de l'efficacité des remédiations et ajustement avec les responsables si nécessaire o Reporting des progrès et des points de blocage aux parties prenantes ● Intégration de la sécurité dans les projets IT/OT : accompagnement des chefs de projet dans l’application des exigences cybersécurité dès les phases de cadrage et de conception (Security by Design) ● Revue de dossiers projets et participation aux jalons de validation afin d’identifier les risques sécurité et définir les mesures de sécurité attendues, ● Définition de Matrices RACI sur des équipement/processus orphelins. ● Gestion du SharePoint et des métadonnées (vulnérabilités, Types de preuves, responsables…). Résultats ● Rédaction et validation de quatre politiques et standards, incluant Exigences SI, Exigences SCI, Exigences Cloud et Cybersécurité by Design pour les projets industriels. ● Mise à niveau de la sécurité pour environ 50 applications et produits. (sensibles) ● Mise en place d'un processus structuré pour la collecte et la vérification des preuves de contrôle interne, augmentant la fiabilité des audits. ● Clarification des responsabilités et séparation des tâches grâce à la présentation et l'adoption de la matrice SOD. ● Mise sous contrôle cybersécurité du cycle projet via l’intégration d’exigences sécurité et de points de validation dans la gouvernance projet pour 3 applications ● Amélioration de la collaboration et la sensibilisation des équipes produits et applications aux enjeux de la cybersécurité au travers d’ateliers sur les contrôles cyber. Clôture de plus de 500 constats d'audit (interne et CAC). ● Amélioration de la réactivité et de l'efficacité des équipes lors des audits CAC grâce à une préparation et une coordination adéquate. Environnement / technologie ● SharePoint, OneDrive ● Power BI, Power Automate ● ISO27001 - ISO27002 – ITM5

Contexte : Cabinet de conseil, d’audit et de formation en cybersécurité. Intervention sur plusieurs missions courtes au forfait pour différents clients. Mission *Réalisation d’analyses de risques selon la méthode EBIOS afin d’identifier les scénarios de menace et les mesures de sécurité associées *Rédaction de documents de sécurité (PSSI et procédures associées) en conformité avec les référentiels ISO 27001/27002 *Élaboration d’un Plan d’Assurance Sécurité pour un outil interne et définition des exigences de protection *Élaboration d’un PAS intégrant les exigences PCI DSS pour un site e-commerce traitant des transactions par carte bancaire Résultats / Livrables *Documents de sécurité validés par les clients et PAS opérationnels incluant la prise en compte des exigences PCI DSS Environnement *EBIOS RM *ISO 27001 / ISO 27002 *PCI DSS *MITRE ATT&CK

Mission *Accompagnement à la mise en conformité RGPD : cartographie des traitements, tenue du registre et réalisation d’analyses d’impact (AIPD) *Réalisation d’analyses d’écarts et définition des mesures correctives en lien avec les équipes métiers et IT *Appui RSSI dans la gouvernance sécurité : mise à jour de la charte informatique, sensibilisation des collaborateurs et sécurisation des locaux techniques *Contribution à la structuration du système de management de la sécurité de l’information en alignement avec l’ISO 27001 Résultats / Livrables *Organisation mise en conformité RGPD et gouvernance sécurité formalisée (registre, AIPD, charte et mesures de sécurité déployées) Environnement *RGPD *ISO 27001