Ingénieur Sécurité - Expert Sécurité Applicative / DevSecOps

Contexte de la mission

 

Dans le cadre du développement de ses systèmes de gestion, un acteur majeur du secteur financier doit recourir à une prestation externe afin de fournir une assistance aux études et développements, et de poursuivre l’intégration des bonnes pratiques en sécurité dans les développements informatiques.

 

La prestation devra disposer de la double expertise sécurité et développement afin de promouvoir la sécurité dans les équipes Études et Développement du Client.

Les principaux objectifs de la prestation sont :

• Conseil : choix d'architecture, sécurisation des choix technologiques, évaluation des risques

• Formation : sensibilisation et montée en compétences des équipes études et développement

• Réalisation : implémentation de mécanismes de sécurité, implémentation de mécanismes de contrôles automatisés, proposition de correction de vulnérabilités

• Audit : audit de code, tests d'intrusion applicatifs, revue de configuration, contrôles automatisés

Ils se découperont de la façon suivante :

 

 

La prestation sera également amenée à réaliser des pentests ciblés afin de valider la remédiation d’une vulnérabilité remontée par un pentest, de produire des PoC pour prouver l’exploitabilité d’une vulnérabilité détectée par des outils de scan automatisés, ou encore valider la sécurité d’une nouvelle fonctionnalité sensible.

 

Objectifs et livrables

Objectifs et livrables

Amélioration et maintien des standards de sécurité dans les développements

La prestation contribuera à l’évolution des standards et bonnes pratiques de développement sécurisé, en intégrant les nouvelles technologies et les risques associés aux nouvelles menaces :

• Evolution et maintien de la documentation existante

• Intégration des nouvelles menaces liées aux IA (ML/LLM), et définition de mesures de sécurité applicatives

• Participation à la rédaction des exigences de sécurité IA pour les nouveaux projets intégrant des LLM

• Identification et implémentation de nouvelles mesures de sécurité applicatives appliquées au pipeline de développement (CI/CD)

 

Accompagnement sur les projets stratégiques

La prestation s’assurera de l’application du référentiel sécurité dans les développements sur les projets majeurs et pourra fournir des conseils sur les choix d’architectures applicatives.

• Conseils sécurité applicative

• Analyse sécurité de l’architecture applicative

• Contrôles sécurité (audit de code, pentest en phase de développement, …)

• Aide à la sécurisation durant les phases de développement

 

Accompagnement des équipes études et développements dans le choix de technologie ou framework

• Compréhension des besoins des équipes ETU/DEV et de la stratégie IT

• Participation aux réflexions et aux choix de nouvelles technologies applicatives (framework, API gateway, SSO, etc.)

• Participation à la définition des configurations des différents frameworks ou outils

• Contrôle de leurs bonnes mises en œuvre

 

Maintien et évolution des outils d’analyse de code (SAST) et des librairies (SCA), et d’analyse dynamique (DAST)

La prestation aura la charge du pilotage des outils d’analyse de code (Coverity), d’audit des librairies (Black Duck) et du DAST (Insight App Sec).

• Définition et amélioration des processus d’intégration de l’outil aux processus de développement

• Configuration fonctionnelle des outils

• Promotion de l’outil et accompagnement des équipes études dans l’appropriation de l’outil

• Définition et amélioration des politiques d’analyse de code

• Accompagnement des équipes études dans l’analyse des résultats

• Conseil des équipes études sur les mesures correctives à mettre en œuvre

Suivi des recommandations d’audits sur le périmètre des équipes études et développement

• Analyse/challenge des nouvelles recommandations issues de tests d’intrusion

• Construction des plans d’action afférents avec les équipes IT

• Pilotage du traitement des recommandations sécurité

• Reporting

Construction, animation et suivi du plan de sensibilisation « Sécurité dans les développements »

• Plan de sensibilisation sécurité sur le périmètre étude et développement

• Participation au choix des méthodes de sensibilisation (workshop, CTF…) et réalisation de ce plan une fois validé par le Responsable Sécurité Informatique

• Développement des frameworks internes du Client ainsi qu’à la réalisation des audits de type boîte blanche ou encore proposer des corrections de vulnérabilité directement dans le code

 

La prestation devra disposer des expertises suivantes :

• Concepts et implémentation d’OpenID et OAuth

• Analyse et compréhension du code

 

CONDITIONS TECHNIQUES DE LA PRESTATION

La prestation se déroulera au sein du service en charge de la sécurité informatique, en étroite collaboration avec les équipes études et développement.

 

RÉSULTATS ATTENDUS / LIVRABLES

De façon non exhaustive, la prestation pourra être amenée à produire du code dans les langages suivants :

• PHP

• JAVA

• SQL/LDAP (pour des éventuels ajustements)

• Python

Elle sera également amenée à fournir :

• Maintien en condition opérationnelle des outils sécurité utilisés par les développeurs (audit de code, SCA, etc.)

• Amélioration du niveau de sécurité applicative des applications développées par le Client

• Rapports d’audit détaillant les vulnérabilités trouvées incluant des captures d’écran, des extraits de code, etc.

 

PRÉREQUIS

L’expertise sécurité applicative est impérative.

Référentiels sécurité

• OWASP Web Top 10

• OWASP API Security Top 10 (2023)

• OWASP LLM Top 10 (2025)

• Secure SDLC et pratiques DevSecOps (Shift-Left Security)

• Audit technique : boîte blanche (code), boîte grise, boîte noire

Expertise développement

• Langages : Java, PHP, AngularJS, Python

• Technologies : Frameworks Spring, Quarkus, API REST, NodeJS, SOAP, Java RMI

Authentification et IAM

• Expertise sécurité dans les technologies modernes d’authentification : OpenID, OAuth

• Outil Keycloak

Container / Cloud-Native

• Docker Security

• Kubernetes RBAC

• Network Policies

• Helm Chart Security

Connaissances transverses

• Domaines informatiques : réseau, infrastructure, développement, etc.

• Architectures standards techniques d’une entreprise (reverse proxy, firewall, DMZ)

Langues

• Contexte international : francophone et anglophone