Thomas Gaffet

Intervention au sein de la fonction SSI pour accompagner la préparation à la certification ISO 27001 et la conformité NIS2, renforcer le dispositif de gestion des incidents de sécurité et structurer l’intégration de la sécurité dans les projets et évolutions techniques selon une démarche Security by Design. Thématiques couvertes : Gouvernance & préparation ISO 27001 et NIS2 Gestion des incidents & sécurité opérationnelle Security by Design & accompagnement des équipes Pilotage & coordination

Mars 2025 – présent Indépendant (client PyroAlliance – filiale Ariane Group) CISO de transition / RSSI de transition – périmètre II 901 Mission : Intervention en tant que CISO / RSSI de transition pour piloter l’homologation II 901 et remettre sous contrôle la gouvernance cybersécurité d’un SI critique, dans un contexte industriel et réglementaire à forts enjeux. Gouvernance & homologation II 901 • Définition et pilotage de la stratégie d’homologation II 901, en lien avec les exigences réglementaires et les enjeux métiers • Structuration complète de la cartographie du SI et des sites, des flux et des architectures, servant de socle aux décisions de sécurité • Conduite de l’analyse de risques et formalisation des scénarios de risques • Mise en place d’un tableau de bord SSI et d’un dispositif de pilotage orienté décision • Constitution du corpus documentaire SSI (politiques, procédures, référentiels) • Définition des stratégies SSI structurantes : urbanisation du SI, PRA/PCA, intégration de la sécurité dans les projets, sensibilisation cyber • Déploiement d’un plan d’assurance sécurité et d’un dispositif de gestion de crise cyber et sûreté Pilotage des ressources & des tiers • Cadrage et recrutement de prestataires externes (définition des besoins, entretiens, validation des profils) • Structuration de la gestion des fournisseurs : questionnaires sécurité, évaluations, plans d’assurance sécurité Gouvernance executive • Participation active et présentation des arbitrages et avancements en Comité Exécutif et en Comités GRC / opérationnels • Aide à la décision de la direction sur la priorisation des risques et des actions SSI Périmètre & organization • Environnement industriel on-premise – ~500 utilisateurs • Équipe pilotée : 1 RSSI, 1 RSSI adjoint, 3 consultants Environnement technique (synthèse) • Infrastructure on-premise, VMware, Active Directory, Exchange • EDR : Trellix | Pilotage & indicateurs : Power BI

Mission de conseil au forfait auprès de Netatmo (Groupe Legrand) pour accompagner l’analyse des risques cyber et la mise en conformité avec le Cyber Resilience Act (CRA), en lien avec les exigences ISO 27001 et les enjeux de gouvernance des risques. Livrables & responsabilités Réalisation d’un rapport d’analyse des risques aligné avec les exigences CRA Élaboration d’un plan de traitement des risques avec priorisation des actions Conduite d’une analyse d’écart Cyber Resilience Act Réalisation d’un mapping ISO 27001 ↔ Cyber Resilience Act Appui à la direction dans l’arbitrage des risques à intégrer dans la cartographie des risques CRA

Environnement international – périmètre critique & multisites Mission d’interim Cyber Governance Lead pour structurer et piloter la gouvernance cybersécurité d’un groupe international, dans un contexte de montée en maturité, de préparation ISO 27001:2022 et de transformation des pratiques GRC. Gouvernance & conformité Structuration et rédaction du corpus documentaire SSI (politiques, procédures, référentiels) Mise en place et pilotage d’un tableau de bord GRC orienté suivi de la conformité et aide à la décision Préparation et accompagnement à la certification ISO 27001:2022 Animation du comité GRC et de la revue de direction (préparation des supports, présentation des arbitrages) Audit & assurance Pilotage de la cartographie des contrôles du SoA Accompagnement des audits internes et de certification ISO 27001 Coordination de la fourniture des preuves et suivi du plan de remédiation Management des risques & intégration sécurité Conduite des analyses de risques via l’outil EGERIE Intégration de la sécurité dans les projets infrastructure, cloud et développement Appui méthodologique à l’équipe sécurité opérationnelle sur les volets gouvernance Sensibilisation & culture sécurité Conception et déploiement du programme de sensibilisation cybersécurité Intégration de la sécurité dès l’onboarding Sensibilisation des équipes de développement aux bonnes pratiques (OWASP Top 10) via Secure Code Warrior Pilotage & coordination Définition et suivi des indicateurs de sécurité (tableaux de bord Power BI) Contribution aux activités de RUN avec une approche gouvernance (gestion des droits, sécurité des changements) Périmètre & organization Groupe international – ~23 000 utilisateurs Coordination fonctionnelle d’une équipe composée de 1 RSSI et ~10 consultants Environnement technique (synthèse) SIEM : Splunk | Gestion des alertes : TheHive Cloud : Azure | Dev/SRE : Azure DevOps Gestion des risques : EGERIE | Sensibilisation : SANS Institute EDR : Microsoft Defender | DLP : Microsoft Information Protection ITSM : ServiceNow | Collaboration : M365 (Exchange, Teams, SharePoint)

Environnement SaaS / Cloud – contexte international Mission d’adjoint RSSI au sein d’un éditeur SaaS international, avec un rôle central dans la structuration de la gouvernance cybersécurité, le pilotage des audits de conformité et la gestion des risques dans un environnement cloud complexe. Gouvernance & pilotage Rédaction et structuration des politiques et procédures SSI (organisationnelles et techniques) en coordination avec les équipes Dev, SRE, Sécurité, RH, Achats et Juridique Mise en place et pilotage d’un tableau de bord GRC pour le suivi de la conformité et des risques Organisation et animation des comités opérationnels et comités GRC Audit & conformité Pilotage des audits ISO 27001, ISO 27018 et ISO 22301 : revues, cartographie des contrôles du SoA, suivi des plans de remédiation Coordination des audits SOC 1 & SOC 2, avec fourniture des preuves sur un cycle complet jusqu’à l’édition des rapports Contribution à l’évolution de l’annexe sécurité à destination des clients Gestion des risques, incidents & tiers Structuration de la gestion des fournisseurs (questionnaires sécurité, évaluations, campagnes de revue annuelle) Mise en place du dispositif de gestion des incidents et de crise : plan de gestion de crise, fiches réflexes, exercice de crise (scénario rançongiciel) Appui au RSSI sur les sujets de risk management et de gouvernance transverse Périmètre & organization Environnement SaaS international – ~1 000 utilisateurs Périmètre multi-langue (francophone / anglophone) Équipe : 1 RSSI et 6 consultants Environnement technique (synthèse) Cloud : AWS, GCP, Azure Dev / SRE : GitHub, Jira, Jenkins IAM : JumpCloud, Auth0 | EDR : Cybereason GRC : ZenGRC | Awareness : KnowBe4 Sécurité cloud : Lacework | Email : Darktrace Threat Intelligence : CybelAngel | Bug bounty : YesWeHack Gestion de projet : Asana, Planner O365

Groupe international – environnement multisites à grande échelle Mission d’adjoint RSSI au sein de VINCI Construction pour accompagner la structuration de la gouvernance cybersécurité et le déploiement de dispositifs sécurité à l’échelle d’un groupe international. Gouvernance & structuration SSI Contribution à la rédaction des politiques, directives et procédures SSI Développement d’un outil d’accompagnement sécurité des projets, facilitant l’intégration de la sécurité dès la conception Création d’un questionnaire de sécurité fournisseurs Gestion de crise & sensibilisation Accompagnement de la gestion de crise cyber : évaluation de la maturité et organisation d’un exercice de crise (table-top) avec un prestataire externe Contribution au programme de sensibilisation cybersécurité VINCI : conception des contenus animation de sessions de sensibilisation à grande échelle (~1 000 utilisateurs par session) Déploiement groupe & coordination Accompagnement de la holding et des divisions dans le déploiement des directives SSI Coordination et suivi de projets cybersécurité structurants : mise en place d’un passeport cyber déploiement d’un bouton de signalement des emails suspects centralisation des signalements via TheHive définition des catégories de classification des emails suspects revue des procédures avec le SOC Périmètre & organization Groupe international – ~70 000 utilisateurs 12 divisions (francophones et anglophones) Équipe : 1 RSSI et ~12 consultants Environnement technique (synthèse) Centralisation des alertes : TheHive Infrastructure on-premise | EDR : Microsoft Defender DLP : Microsoft Information Protection Pilotage & indicateurs : Power BI Collaboration : M365 (Exchange, Teams, SharePoint)

Consultant Cybersécurité – Association de startups Mission de conseil en cybersécurité auprès d’une association de startups, avec un focus sur la sensibilisation des équipes aux risques cyber et l’accompagnement des dirigeants sur les bonnes pratiques de sécurité dans des environnements cloud. Sensibilisation à la cybersécurité orientée métiers (dirigeants, équipes produit) Conseil sur les bonnes pratiques de sécurité adaptées à des environnements cloud et multicloud Accompagnement pragmatique de structures en forte croissance Environnement Cloud : AWS, Azure, GCP Collaboration & messagerie : Google Workspace, Slack

Consultant Cybersécurité – Mission Société Générale Insurance Environnement finance / assurance – contexte réglementaire exigeant Mission de consultant cybersécurité auprès de Société Générale Insurance, avec un rôle clé dans la mise en conformité réglementaire, l’accompagnement sécurité des projets et la sensibilisation des utilisateurs à grande échelle. Conformité & protection des données Contribution à la mise en conformité RGPD : définition des procédures, accompagnement à l’outillage et actions de sensibilisation Implémentation des PIA (Privacy Impact Assessments) dans le cadre de la démarche ISP Création de contenus de formation RGPD à destination des équipes métiers Participation aux RFI/RFP pour la sélection d’une solution d’anonymisation / pseudonymisation des données Sécurité des projets Accompagnement sécurité des projets métiers : définition des besoins métiers (DICT) analyse des impacts sélection des mesures de sécurité sur la base de l’ISO 27002 Pilotage des audits de sécurité projets : choix des prestataires organisation des kick-offs suivi des audits participation aux restitutions Sensibilisation & culture sécurité Conception et pilotage d’une campagne de sensibilisation phishing à grande échelle (~12 000 utilisateurs) création des scénarios préparation des prérequis techniques et organisationnels suivi des campagnes et analyse des résultats actions de sensibilisation post-campagne (contenus et diffusion) Périmètre & organization Environnement assurance – ~12 000 utilisateurs 8 divisions (francophones et anglophones) Équipe projet : 1 RSSI et 5 consultants Environnement technique (synthèse) Infrastructure on-premise EDR : Microsoft Defender | DLP : Microsoft Information Protection Collaboration : M365 (Exchange, Teams, SharePoint)

Alternant – Master Expert en Sécurité Digitale Alternance réalisée dans le cadre d’un Master Expert en Sécurité Digitale, avec une première expérience structurante en mise en place d’un SMSI conforme à l’ISO 27001. Contribution à la mise en oeuvre d’un SMSI (ISO 27001) Participation à la structuration de la documentation SSI Environnement technique Infrastructure on-premise EDR : CrowdStrike Collaboration & documentation : M365 (Exchange, Teams, SharePoint)

Projet tutoré – Audit réseau Projet tutoré réalisé dans un cadre académique, portant sur l’audit d’une infrastructure réseau, la cartographie des réseaux et la formulation de recommandations d’amélioration. Réalisation d’un audit réseau Élaboration d’une cartographie des infrastructures Proposition d’axes d’amélioration de l’infrastructure Environnement technique Réseaux : HP, Cisco Annuaire : Active Directory Messagerie : Outlook

Administrateur systèmes, réseaux et sécurité Première expérience professionnelle en tant qu’administrateur systèmes, réseaux et sécurité, avec une responsabilité opérationnelle sur l’infrastructure IT, la sécurité de base et le support à l’ouverture de nouveaux sites. Administration des systèmes et des annuaires (Active Directory) Gestion des sauvegardes et des procédures techniques associées Supervision du parc informatique et des infrastructures via Nagios Participation à l’installation complète d’un centre d’appel (réseau, serveurs, postes de travail) Gestion des ouvertures de flux et des règles de sécurité réseau Rédaction de documentations et procédures techniques Environnement technique Pare-feu : pfSense Réseaux : HP Déploiement postes : FOG Supervision : Nagios | Inventaire : GLPI Annuaire : Active Directory | Messagerie : Outlook Environnement métier : AS400 Antivirus : NOD32