Expert AppSec / DevSecOps – Sécurisation des Conteneurs

CONTEXTE DE LA MISSION

La mission s'inscrit dans un programme de sécurisation des infrastructures conteneurisées d'une grande institution financière française. L'environnement est hétérogène, combinant des déploiements on-premise et cloud public.

L'objectif est de renforcer la posture de sécurité opérationnelle sur les environnements OpenShift et Kubernetes, d'industrialiser les contrôles de sécurité dans les chaînes CI/CD, et d'assurer la gestion des vulnérabilités de bout en bout.

L'expert intervient à la fois sur les aspects de conception (dès la phase de design d'architecture), d'intégration de solutions de sécurité, d'accompagnement des équipes de développement et de reporting sécurité.

RÔLE ET RESPONSABILITÉS PRINCIPALES

• Mettre en place des contrôles de sécurité automatisés, le monitoring et la remontée des indicateurs sécurité.

• Cadrer les aspects de sécurité opérationnelle dans l'environnement conteneurs dès la phase de design d'architecture et d'offres de services.

• Proposer, tester et intégrer des solutions de sécurité adaptées au contexte (sécurité des conteneurs, DevSecOps, gestion de vulnérabilités, traçabilité, gestion des secrets).

• Mettre en place et automatiser des processus de sécurité dans les chaînes CI/CD (gestion des vulnérabilités, certificats, protection des secrets).

• Assister et former les équipes de développement aux pratiques de développement sécurisé (SAST, SCA, RASP, DAST, agrégateurs de vulnérabilités).

• Accompagner les développeurs dans les travaux de remédiation des vulnérabilités et réaliser des audits de code (manuels et outillés).

• Participer à la veille en vulnérabilité sur les outils, librairies tierces et composants mis en œuvre.

• Assurer le reporting et la restitution des travaux aux parties prenantes du projet.

LIVRABLES ATTENDUS

• Contrôles de sécurité automatisés et tableaux de bord des indicateurs sécurité.

• Processus de sécurité CI/CD intégrés et automatisés (gestion des vulnérabilités, certificats, secrets).

• Rapports d'audit de code et restitutions de vulnérabilités.

• Documentation des règles de sécurité et des architectures validées.

• Supports de formation et de sensibilisation aux pratiques de développement sécurisé.

• Rapports de veille en vulnérabilité (outils, librairies, composants).