Expert AppSec / DevSecOps

CONTEXTE DE LA MISSION

La structure cliente opère dans le secteur bancaire et financier à l'échelle nationale. Son équipe en charge de la sécurité des applications souhaite renforcer son expertise en AppSec, DevSecOps et sécurité des API.

Le besoin porte sur l'identification et l'évaluation des risques Cyber, ainsi que sur la mise en place de solutions de sécurité adaptées aux contextes internes de l'organisation.

L'enjeu principal est de sécuriser les applications développées en interne et les solutions tierces, d'intégrer la sécurité dans les pratiques DevOps existantes, et de structurer une stratégie de protection des API couvrant sensibilisation, contrôle, détection et monitoring.

RÔLE ET RESPONSABILITÉS PRINCIPALES

• Accompagner les équipes de développement dans la résolution des vulnérabilités API identifiées, en appliquant les principes de security by design.

• Analyser et interpréter les résultats issus des outils SAST, SCA et DAST ; produire des rapports détaillés avec niveaux de gravité et recommandations de remédiation.

• Réaliser des audits de sécurité des applications internes et des solutions tierces ; identifier les vulnérabilités (référentiel OWASP Top Ten) et évaluer les risques associés.

• Participer à l'élaboration et à la mise en œuvre de la stratégie de sécurisation des API (authentification, autorisation, protection contre injection SQL, CSRF, etc.).

• Présenter les résultats aux équipes techniques de développement et synthétiser les conclusions à destination des responsables sécurité.

• Analyser les processus DevOps en place pour identifier les lacunes sécurité et proposer des plans de remédiation adaptés.

• Rédiger les guides de sécurité des API (politiques d'accès, protocoles, gestion des incidents) et assurer le reporting régulier sur l'état de sécurité.

• Assister, sensibiliser et former les développeurs aux pratiques de développement sécurisé ; participer à la veille vulnérabilité et à la maintenance des outils en place.

LIVRABLES ATTENDUS

• Rapports d'audit de sécurité des applications (internes et tierces)

• Rapports d'analyse SAST / SCA / DAST avec recommandations de remédiation

• Plans de remédiation DevSecOps

• Guides de sécurité des API (politiques d'accès, protocoles, gestion des incidents)

• Reportings réguliers sur l'état de sécurité des API

• Documentation mise à jour en fonction des évolutions

• Synthèses à destination des responsables sécurité