Security Application – IT Security Associate – Client final (Private Equity) – CDI – Paris – 75[...]
Société spécialisée dans la gestion d'actifs dont le portefeuille dépasse les 50 milliards d'euros, qui compte 900 salariés répartis dans une dizaine de pays et dispose d'une Direction IT structurée autour d'enjeux de sécurité stratégiques.
Cette société prône des valeurs fortes : entrepreneuriat, engagement, investissement et est en croissance constante.
La Direction IT accompagne la croissance de la société en renforçant en continu son dispositif de cybersécurité et de gestion des risques.
L'équipe IT Security est à la recherche, rattaché(e) à l'IT Cybersecurity & Governance Risk Compliance Manager, d'un(e) Security Application – IT Security Associate spécialisé(e) en Sécurité Applicative et Gestion des Vulnérabilités.
Le poste :
Vous devenez le référent technique de l'équipe sur la sécurisation des applications et le traitement des vulnérabilités, en étroite collaboration avec les équipes de détection et de réponse aux incidents :
Sécurité applicative (AppSec)
- Accompagner les équipes de développement et produit dans l'intégration des bonnes pratiques de sécurité tout au long du cycle de vie logiciel (Secure SDLC, security by design),
- Définir, déployer et maintenir les baselines de sécurité applicative et les standards de secure coding (OWASP Top 10, CWE),
- Intégrer et opérer les politiques de sécurité sur les outils de test dans les pipelines CI/CD (SAST, DAST, SCA) et qualifier leurs résultats (analyse de faux positifs),
- Réaliser des revues de conception et d'architecture sous l'angle sécurité, et conseiller les équipes sur la remédiation.
Gestion des vulnérabilités applicatives
- Piloter le cycle de vie des vulnérabilités : identification, qualification, priorisation basée sur le risque (CVSS, EPSS, catalogue KEV, exposition et impact métier) et suivi de remédiation,
- Animer le suivi de remédiation avec les équipes IT et produit, et challenger le respect des SLA,
- Gérer et faire vivre le programme de Bug Bounty (triage, coordination des chercheurs, suivi des corrections),
- Piloter le SBOM, le patch management et la gestion de l'obsolescence sur le périmètre applicatif et ses dépendances,
- Produire les indicateurs et tableaux de bord (couverture, sévérité, MTTR, exceptions) et le reporting vers le management.
Transmission & culture sécurité
- Sensibiliser et former les équipes de développement (secure coding, menaces, retours d'expérience),
- Documenter et diffuser les bonnes pratiques ; contribuer à la montée en compétence des membres juniors de l'équipe,
- Construire et animer la communauté Security Champions au sein des équipes de développement.
Évolution vers une gestion globale des vulnérabilités
- Intégrer et opérer la gestion des vulnérabilités applicatives dans un VOC,
- Étendre progressivement le périmètre de gestion des vulnérabilités aux autres typologies (systèmes, cloud, etc.),
- Collaborer avec les équipes de réponse à incident pour l'identification et le traitement des vulnérabilités majeures.
Profil recherché :
- Bac +5 en informatique, cybersécurité ou développement logiciel
- 4 à 5 ans d'expérience en sécurité applicative et/ou gestion des vulnérabilités, idéalement en environnement DevSecOps
- Une expérience dans le secteur financier / asset management est un atout
- Certifications appréciées : CISSP, OSCP, GWAPT, CSSLP, SSCP, CompTIA Security+, ou certifications éditeurs AppSec/VM
- Maîtrise des outils AppSec/VM (Checkmarx, SonarQube, Fortify, Snyk, Black Duck, Tenable, Qualys, Burp Suite)
- Connaissance des référentiels NIST, ISO 27001, MITRE ATT&CK, CIS Benchmarks
- Scripting et automatisation (Python, PowerShell, Bash)
- Esprit analytique, rigueur, pédagogie et capacité à vulgariser le risque technique
- Anglais courant obligatoire (écrit et oral) ; français requis
- Salaire fixe sur 12 mois : négociable selon profil et expérience
- Intéressement / Participation : 10/15K€
- Bonus discrétionnaire : 0 à 25 % de votre salaire fixe
- 40 jours de congés par an (compte épargne temps)
- 2 jours de télétravail par semaine
- Possibilité de devenir actionnaire de la société