Consultant DevSecOps - Sécurisation de la supply chain logicielle - Freelance

Taux journalier (TJM): 580

Contexte

Cette société lyonnaise souhaite lancer un projet de sécurisation de sa chaîne de développement logiciel. L'enjeu est de maîtriser les dépendances externes consommées par les équipes de développement (paquets open source) et de réduire l'exposition aux compromissions de la supply chain amont.

La mission se déroule en trois temps : définition d'une architecture et d'un design cible, accompagnement à la mise en œuvre, puis transfert de compétences aux équipes internes. L'environnement de développement s'appuie sur Azure DevOps / TFS.

Tâches

• Cadrer l'existant : chaînes de build, gestionnaires de paquets utilisés, flux réseau, contraintes de sécurité et d'exploitation.

• Concevoir l'architecture cible de dépôts locaux en DMZ pour les principaux écosystèmes : distributions Linux, PyPI, npm, NuGet (et extensions ultérieures).

• Mettre en place un mécanisme de temporisation / quarantaine du téléchargement des paquets (24 à 48 h) afin d'absorber les fenêtres de publication de paquets malveillants.

• Configurer Azure DevOps pour agir, le cas échéant, comme proxy des gestionnaires de paquets sollicités par les développements sous TFS.

• Déployer et paramétrer la solution de vérification des paquets (Aikido Security) : intégration aux pipelines, définition des politiques de blocage, traitement des alertes vulnérabilités et malwares.

• Définir la gouvernance associée : règles d'admission des paquets, processus de dérogation, gestion des CVE, production et conservation des SBOM.

• Rédiger la documentation d'architecture et d'exploitation (dossier de conception, procédures de run).

• Assurer le transfert de compétences : ateliers, accompagnement des équipes dev et infra, montée en autonomie sur l'outillage.

• Animer les points d'avancement avec les référents.