Consultant – Intégration de la sécurité dans les projets applicatifs

L’équipe Cybersécurité renforce la gouvernance de la sécurité au sein de l’architecture d’entreprise et des lignes de services associées.

L’objectif est d’industrialiser la création, la maintenance, la publication et le déploiement des profils de posture de sécurité des services (Service Security Posture – SSP), tout en maintenant un accompagnement solide des activités suivantes :

intégration de la sécurité dans les projets (Integration of Security into Projects – ISP) ;

gouvernance de la sécurité applicative ;

suivi de la conformité ;

gestion des vulnérabilités ;

accompagnement lors des incidents ;

amélioration continue.

Les SSP sont utilisés pour définir :

les conditions d’utilisation sécurisée des services ;

la correspondance avec les exigences de conformité ;

le traitement des risques résiduels ;

la gouvernance de la sécurité ;

les responsabilités ;

les contrôles de sécurité obligatoires applicables aux lignes de services.

Le consultant accompagnera l’équipe Sécurité de l’Architecture d’Entreprise et de l’Application Security dans la création, la maintenance, la gouvernance et le déploiement des SSP au sein des différentes lignes de services.

Il contribuera également aux activités de sécurité applicative et d’ISP nécessaires à la sécurisation des projets et à l’adoption des services, de la phase de conception jusqu’à la mise en production.

Il devra analyser en profondeur l’architecture et les livrables des projets afin d’identifier les risques, ainsi que présenter une vision globale de la posture de sécurité au comité de direction.

Objectifs et livrables

La mission du consultant ISP au sein de l’Architecture d’Entreprise s’articule autour de quatre axes.

1. Création et formalisation des SSP

Recueillir les prérequis liés aux lignes de services :

description du service ;

modèle de fourniture ;

parties prenantes ;

RACI ;

documentation de sécurité ;

contrôles de sécurité ;

contraintes opérationnelles.

Construire les documents SSP avec les responsables de services, les responsables de plateformes, les responsables applicatifs, les responsables métiers, les responsables sécurité et les équipes techniques.

Structurer chaque SSP autour des blocs standards suivants :

conditions d’utilisation ;

conformité en matière de sécurité ;

posture de sécurité ;

gouvernance PSAT.

Définir des critères d’éligibilité clairs, des règles d’utilisation acceptables, les responsabilités des clients ainsi que les obligations de type « MUST / MUST NOT » applicables à la consommation des services.

Maintenir un modèle SSP cohérent et garantir l’alignement entre les différentes lignes de services.

2. Sécurisation de la conception et de la réalisation

Accompagner les équipes dans l’intégration de la sécurité au sein des projets.

Accompagner les responsables sécurité métiers sur les sujets liés au périmètre de l’Architecture d’Entreprise.

Apporter une expertise sur les sujets de sécurité applicative.

3. Réalisation des opérations de sécurité

Assurer le suivi continu de la conformité en matière de sécurité, notamment au travers :

des plans de remédiation ;

des plans d’amélioration ;

de reportings périodiques.

Renforcer le niveau de connaissance des parties prenantes en matière de sécurité grâce à des actions de sensibilisation et de formation.

Piloter la gestion des vulnérabilités cyber des applications et des services de l’Architecture d’Entreprise.

Assurer la gestion des incidents de cybersécurité.

Contribuer à la résolution des incidents majeurs et des situations de crise.

4. Accompagnement de l’amélioration continue de la sécurité

Participer à la standardisation des pratiques de sécurité en définissant et en promouvant :

des règles de sécurité ;

des référentiels de sécurité ;

des socles de sécurité.

Participer à la définition et à la mise en œuvre du plan de contrôle applicatif.

Contribuer au reporting sécurité auprès des interlocuteurs métiers.