Consultant Cybersécurité SAST

Contexte

Au sein des équipes Cybersécurité d'une grande institution financière internationale, le prestataire aura pour rôle de cadrer l'évaluation, le benchmarking et la validation d'outils de sécurité applicative SAST de nouvelle génération. L'objectif principal est de définir et de superviser l'exécution de plans de tests comparatifs rigoureux entre les solutions SAST traditionnelles et les outils de détection émergents basés sur l'IA agentique, afin de piloter la modernisation de la stack sécurité.

Bien que le cœur de la mission soit le projet de benchmarking, le prestataire contribuera également aux activités courantes (BAU), notamment l'amélioration continue des outils de sécurité agentiques, l'analyse de vulnérabilités et les contrôles de release.

Missions

Benchmarking, Tests & Validation SAST

• Piloter une étude structurée comparant le SAST traditionnel au SAST de nouvelle génération (basé sur harness/agentique)

• S'assurer que tous les outils évalués répondent aux exigences entreprise strictes en matière d'authentification, d'auditabilité et de gestion des données

• Soutenir le cycle de vie des tests en assistant à leur exécution et en réalisant des analyses de vulnérabilités avancées

Activités BAU & Contribution continue

• Apporter une expertise AppSec opérationnelle en analysant les vulnérabilités remontées par les outils SAST/SCA et en effectuant un triage manuel pour distinguer les problèmes exploitables des faux positifs

• Participer à l'industrialisation et au déploiement des contrôles de sécurité dans le processus de release entreprise

• Fournir aux équipes de développement des recommandations de correction au niveau du code et des patterns de développement sécurisé

Environnement technique

• Outils de sécurité : Outils SAST/SCA (Fortify, NexusIQ)

• DevSecOps : Git (workflows avancés), CI/CD (Jenkins / GitHub Actions, Artifactory), Docker

• Langages : Java (principal) / Python / TypeScript / .Net

• IA/ML : LLMs (RAG, fine-tuning, prompt engineering), harness engineering

• Standards de sécurité : Sécurité LLM (OWASP Top 10 pour les LLMs), OWASP Top 10, NIST, ISO 27001, fondamentaux AppSec

Livrables attendus

Rapport d'analyse comparative des scans – Fortify vs. outil agentique/alternatif

Un rapport de benchmarking structuré comparant les résultats de scan entre Fortify et un outil alternatif sélectionné (agentique ou SAST traditionnel), couvrant :

• Couverture de détection : taux de vrais positifs, taux de faux positifs et vulnérabilités manquées sur un ensemble représentatif de bases de code

• Cohérence de classification des vulnérabilités : alignement avec l'OWASP Top 10, la taxonomie CWE et le scoring de sévérité

• Évaluation qualitative : explicabilité des résultats, qualité des recommandations de remédiation, expérience développeur et friction d'intégration

• Métriques opérationnelles : durée des scans, consommation de ressources et compatibilité CI/CD

• Une matrice de recommandation finale pour soutenir les décisions outillage, garantissant un niveau équivalent ou des fonctionnalités améliorées dans le nouvel outil

Critères d'acceptation de sécurité pour les outils de scan de code

Un document de référence formel définissant les exigences de sécurité minimales qu'un outil de scan de code doit satisfaire avant d'être intégré dans l'environnement de l'institution, s'appuyant sur des bases existantes adaptées aux outillages spécifiques, incluant :

• Authentification & contrôle d'accès : support SSO/SAML, RBAC, gestion des comptes de service et politiques de rotation des clés API

• Audit & journalisation : exhaustivité des pistes d'audit, standards de format de logs (ex. CEF/JSON)

• Gestion des données & confidentialité : risque d'exposition du code source, contraintes de résidence des données, chiffrement au repos et en transit

• Sécurité de la chaîne d'approvisionnement : intégrité des dépendances et transparence du processus de mise à jour