Expert sécurité cloud AWS (landing zone) H/F

Sécurité de la Landing Zone et sous-Landing Zone renforcée (environ 50 %) :

• Concevoir et mettre en oeuvre une sous-Landing Zone à exigences renforcées pour des projets du périmètre nucléaire : découpage des OU, cloisonnement réseau, modèle d'identité et d'accès, journalisation et supervision.

• Définir, déployer et faire évoluer les SCP et RCP (Data Perimeter, chiffrement, restriction de régions et de services), sans geste manuel, via CI/CD.

• Développer des modules Terraform versionnés et réutilisables, des scripts Python et PowerShell et des pipelines GitLab CI.

• Rédiger 2 guides de sécurisation des services AWS par PI et documenter les mesures pour l'homologation.

• Traiter les tickets ITIL, livrer les features engagées à chaque PI et contribuer aux plans d'action EBIOS RM et audit.

Référent cybersécurité de la communauté innersourcing Cloud (environ 50 %) :

• Sécuriser la plateforme GitLab : accès et rôles, protection des branches, secrets, traçabilité des contributions.

• Sécuriser les chaînes de build : analyse statique du code et de l'IaC, scan des dépendances et des images, runners, provenance des artefacts.

• Définir les critères de sécurité avant publication d'un module, le processus de revue et le cycle de vie des composants, y compris les composants IA (skills, agents).

• Animer au moins un atelier sécurité par mois, tenir le référentiel de règles et accompagner les contributeurs des différentes directions.

Transverse :

• Transfert de compétences : guide d'exploitation, FAQ, une formation par trimestre.

• Comitologie cyber du CCoE (environ une demi-journée par semaine) et présentation des choix d'architecture en comité sécurité.

• Documentation sur Confluence et suivi dans Jira.

Profil recherché

• Plus de 7 ans d'expérience, dont une expérience significative en sécurité AWS sur une Landing Zone de grand compte. Profil SecOps qui conçoit et implémente lui-même, pas un architecte de cadrage.

• Services de sécurité AWS : Organizations, SCP et RCP (modèle Data Perimeter), Identity Center, Security Hub, GuardDuty, Config, CloudTrail, WAFv2, Inspector, Direct Connect, CloudHSM, Network Manager.

• Terraform avec modules réutilisables (tests de modules appréciés), GitLab CI et sécurisation de pipelines, Python, PowerShell.

• Standard CIS AWS Foundations et remédiation des écarts de conformité.

• Appréciés : un CNAPP (Wiz en place), SecNumCloud 3.2, EBIOS RM.

• Capacité à arbitrer et à défendre une position en comité en faisant des contre-propositions, pédagogie, conduite du changement, rigueur documentaire.

• Certifications exigées par le CCAP : AWS Security Specialty, Terraform Professional et AWS Solutions Architect Associate. AWS DevOps Engineer Professional est appréciée.