Consultant DevSecOps - Sécurisation de la supply chain logicielle - Freelance (H/F)
Taux journalier (TJM): 580
Contexte
Cette société lyonnaise souhaite lancer un projet de sécurisation de sa chaîne de développement logiciel. L'enjeu est de maîtriser les dépendances externes consommées par les équipes de développement (paquets open source) et de réduire l'exposition aux compromissions de la supply chain amont.
La mission se déroule en trois temps : définition d'une architecture et d'un design cible, accompagnement à la mise en œuvre, puis transfert de compétences aux équipes internes. L'environnement de développement s'appuie sur Azure Dev
Ops / TFS.
Tâches
*
Cadrer l'existant : chaînes de build, gestionnaires de paquets utilisés, flux réseau, contraintes de sécurité et d'exploitation.
*
Concevoir l'architecture cible de dépôts locaux en DMZ pour les principaux écosystèmes : distributions Linux, Py
PI, npm, Nu
Get (et extensions ultérieures).
*
Mettre en place un mécanisme de temporisation / quarantaine du téléchargement des paquets (24 à 48 h) afin d'absorber les fenêtres de publication de paquets malveillants.
*
Configurer Azure Dev
Ops pour agir, le cas échéant, comme proxy des gestionnaires de paquets sollicités par les développements sous TFS.
*
Déployer et paramétrer la solution de vérification des paquets (Aikido Security) : intégration aux pipelines, définition des politiques de blocage, traitement des alertes vulnérabilités et malwares.
*
Définir la gouvernance associée : règles d'admission des paquets, processus de dérogation, gestion des CVE, production et conservation des SBOM.
*
Rédiger la documentation d'architecture et d'exploitation (dossier de conception, procédures de run).
*
Assurer le transfert de compétences : ateliers, accompagnement des équipes dev et infra, montée en autonomie sur l'outillage.
*
Animer les points d'avancement avec les référents.
Profil recherché
*
Expérience réelle et démontrable sur la sécurisation de la supply chain logicielle, pas uniquement une pratique Dev
Ops généraliste. Références de projets équivalents attendues.
*
Maîtrise des gestionnaires de paquets (apt/yum, Py
PI, npm, Nu
Get) et des solutions de dépôts / miroirs : Nexus, Artifactory, Azure Artifacts.
*
Solide pratique d'Azure Dev
Ops et TFS : pipelines, agents, feeds et upstream sources.
*
Compétences Linux, réseau et architecture en zone DMZ (reverse proxy, flux sortants filtrés).
*
Connaissance des pratiques et standards du domaine : SCA, SBOM (Cyclone
DX / SPDX), signature et attestations (Sigstore / cosign), référentiel SLSA.
*
Connaissance d'Aikido Security appréciée ; à défaut, capacité à monter rapidement en compétence sur un outil de SCA équivalent.
*
Expérience en environnement contraint ou réglementé appréciée (santé, HDS, PGSSI-S).
*
Qualités attendues : posture de conseil, pédagogie, capacité à faire adhérer des équipes de développement, autonomie.
