Expert Cybersécurité - Freelance

Taux journalier (TJM): 650

Le groupe accompagne 4 millions de personnes dans tous les domaines de la santé : assurance maladie obligatoire, complémentaire, prévoyance, autonomie, prévention et soins.
Acteur mutualiste engagé, il emploie plus de 10 000 salariés dans plus de 200 sites, dont 55 services de soins et d’accompagnement.

La société s'engage pour la Diversité et le Handicap : du recrutement à l'évolution professionnelle, nous garantissons l'égalité des chances à tous nos collaborateurs.

Présentation de la Direction de la Sécurité des Systèmes d’Information
La DSI du groupe compte un peu plus de 500 personnes réparties sur 3 sites (Paris Montparnasse, Nancy et Tours).

La cybersécurité est un enjeu majeur pour le groupe. La direction de la Sécurité des Systèmes d’information est composée de 5 domaines : GRC (Gouvernance, Risques et conformité), SOC (Security Operation Center), DCP (Protection des données à caractère personnel), IAM (Identity and Access Management) et CEK (Centre d’Excellence Keycloack) représentant à date une trentaine de collaborateurs internes et une cinquantaine en tout en incluant les alternants et les prestataires.

Nous recherchons un expert cybersécurité Senior pour assurer l’accompagnement sécurité des projets.

Cette activité est rattachée à l’équipe GRC composée d’environ 15 personnes.

Les missions du domaine GRC (Gouvernance Risques et Conformité) sont :
• Définir et piloter la stratégie cybersécurité du Groupe
• Apprécier les risques de sécurité de l’information, définir et piloter le programme cybersécurité
• Assurer le security by default et by design dans les projets et l’intégration des mesures de sécurité dans les contrats
• Evaluer le niveau de sécurité des fournisseurs
• Piloter les projets de sécurité
• Assurer la conformité juridique et réglementaire incluant notamment la mise en conformité au règlement DORA (Digital Operational Resilience Act) qui est rentré en vigueur en janvier 2025
• Piloter le SMSI (Système de Management de la Sécurité de l’information) certifié ISO 27001 et HDS (Hébergement de Données de Santé)
• Définir et piloter le plan d’audits et de contrôles (internes et externes)
• Evaluer les fournisseurs et les auditer
• Définir et piloter la comitologie et les tableaux de bord de cybersécurité
• Piloter et animer les activités de sensibilisation et de communication cybersécurité
• Maintenir les référentiels Cybersécurité
• Assurer la cyber résilience des Systèmes d’Information
• Garantir la mise en place d’Architectures Sécurisées
• Animer les réseaux des correspondants sécurité et référents sécurité

Missions du profil recherché
Le poste consiste à accompagner les chefs de projet afin d’identifier les mesures de sécurité nécessaires et les aider à identifier les solutions possibles pour les mettre en œuvre, décliner les principes de sécurité dans les socles techniques en relation avec les Architectes et développer la méthodologie d’Intégration de la Sécurité dans les Projets (que ce soit en cycle en V ou en mode Agile).

En tant qu’expert vous aurez la responsabilité des activités suivantes :
- Assurer l'accompagnement des projets fonctionnels et techniques :
o Identifier les enjeux métier de protection de l’information et les exigences de sécurité associées.
o Réaliser des analyses de risques sécurité du projet et définir les objectifs de sécurité.
o Travailler en bonne collaboration avec l’équipe DCP (domaine protection des données à caractère personnel, rattaché également à la DSSI) afin de s’assurer de leur intégration au projet et la prise en compte par les chefs de projet des exigences nécessaires au respect du RGPD (Référentiel Général de Protection des Données). Les exigences liées au RGPD sont définies par l’équipe DCP en lien avec le DPO.
o Traduire les objectifs de sécurité en mesures de sécurité intégrables et activables dans les différents composants des Systèmes d’Information.
o Arbitrer les choix d’architecture sécurisée en relation avec les architectes sécurité au sein de l’équipe et avec la direction d’Architecture et d’Urbanisme.
o Présenter les risques résiduels aux différents acteurs des projets pour acceptation.
o Assurer le suivi des dossiers de sécurité tout au long du cycle de vie du projet.

- Assurer la sécurité dans les projets intégrant de l’IA.

- Maintenir la méthode d’Intégration de la Sécurité dans les Projets :
o Améliorer la méthode en relation avec la direction responsable du maintien de la méthode actuelle en cycle en V et suivant les retours des chefs de projets
o Adapter la méthode pour les projets en mode agile

- Contribuer à l’amélioration continue de la méthode d’intégration de la sécurité dans les projets en mode agile. L’objectif est de :
o Contribuer à la poursuite de la construction du TOM (Target Operating Model) basé sur des équipes structurées en produits
o Continuer l’intégration des security user stories dans les produits agiles,
o Continuer la généralisation de la méthode d’identification et de suivi du déploiement des security user stories sur l’ensemble des produits
o Contribuer à l’animation du réseau de security champions au sein des produits

- Accompagnement sécurité pour la contractualisation avec un partenaire ou un fournisseur externe, en lien avec l’équipe TPRM (Third Party Risk Management) :
o Définition des exigences de sécurité et relecture des clauses de sécurité à intégrer dans un nouveau contrat ou lors d’un renouvellement de contrat de type prestation ou service externalisé.
o Rédaction et suivi de Plans d'Assurance Sécurité (PAS) entre la Société et le prestataire ou le fournisseur.

- Assurer une mission de conseil sécurité auprès des équipes techniques de la DSI notamment sur l’application des règles de sécurité aux :
o Architectures applicatives (Composants Applicatifs, flux Applicatifs, Services utilisateurs et applicatifs, Socles applicatifs, principes directeurs)
o Architectures techniques (SaaS, PaaS, Fédération d’identité, SSO, framework de développement, ESB, GED, Base de données, Proxy, Road Map Technique)
o Architectures Sécurité (Firewall, Bastion d’administration, SIEM, EDR, Accès distant, analyses des vulnérabilités, Archivage, HSM, chiffrement)

- Contribuer à la définition des architectures de référence de sécurité (Infrastructure management, threat analysis, App Sec, Encryption, IAM, Malware protection, Data & Privacy, Penetration test, ...).

- Développer des artefacts d'architecture de sécurité (par exemple des modèles, des normes et des procédures) qui pourront être utilisés pour tirer parti des capacités de sécurité dans les projets et les opérations.

- Piloter et réaliser la mise à jour des référentiels de sécurité (exemples : politiques thématiques Sécurité des Systèmes d’Information, standards de sécurité, etc.).

- Piloter l’activité d’accompagnement sécurité des projets (suivi régulier des projets, qualification des besoins d’accompagnement, vous êtes garant notamment de la mise à jour des indicateurs de suivi des accompagnements sécurité des projets).

Vous contribuerez également aux autres activités du domaine GRC, notamment :
o La mise en conformité et à la préparation des différents audits de certification en collaboration avec le responsable SMSI (ISO 27001 et HDS)
o L’évaluation de notre niveau de conformité aux réglementations en vigueur et à venir
o La veille en cybersécurité