Expert AppSec / DevSecOps – Gestion des vulnérabilités

CONTEXTE DE LA MISSION

Au sein de la DSI Corporate d'un grand groupe bancaire français, la sécurité est intégrée au cœur des cycles de développement et d'opérations (DevSecOps).

La gestion proactive des vulnérabilités constitue une activité fondamentale pour la protection des actifs applicatifs et infrastructurels. L'équipe DevSecOps orchestre la détection, l'analyse et la remédiation des failles sur l'ensemble du périmètre technologique.

Face à une augmentation des menaces et à la nécessité d'accélérer les cycles de correction, le dispositif cherche à renforcer sa capacité de pilotage en intégrant un prestataire expert chargé d'accompagner les équipes de développement dans la remédiation, tout en assurant un reporting rigoureux vers le management.

RÔLE ET RESPONSABILITÉS PRINCIPALES

Pilotage et accompagnement de la remédiation :

• Analyser et qualifier les vulnérabilités remontées par les outils de scan (SAST, SCA) et les audits externes

• Animer la priorisation des failles avec les équipes techniques selon criticité, exploitabilité et contexte métier

• Assurer l'assignation claire de chaque vulnérabilité à une équipe et un responsable identifié

• Accompagner les équipes dans la définition et le suivi des plans d'action, avec soutien méthodologique et levée des blocages

  Suivi, reporting et amélioration continue :

• Maintenir et fiabiliser l'outil de suivi consolidé des vulnérabilités

• Produire les tableaux de bord et KPIs pour les instances de pilotage (comités opérationnels, revues sécurité, direction)

• Identifier et escalader les risques de dépassement de délais, vulnérabilités complexes ou orphelines

• Contribuer à l'amélioration continue des processus et outils de gestion des vulnérabilités

LIVRABLES ATTENDUS

• Rapports d'analyse et de qualification des vulnérabilités (SAST, SCA, audits)

• Plans d'action de remédiation documentés et assignés par équipe

• Tableaux de bord de suivi des vulnérabilités (outil consolidé à jour)

• KPIs et indicateurs de performance destinés aux instances de pilotage

• Alertes et escalades formalisées sur les risques de non-conformité ou blocages

• Propositions d'amélioration des processus et outils DevSecOps