J5296_Développeur senior sécurité applicative (AppSec)

Avanda est une société de services Franco-Suisse. Dans le cadre d'un large appel d'offre du secteur public à Genève en Suisse Romande, nous recherchons plusieurs profils dans le domaine Développement & Sécurité applicative.

Notre client est une très grande organisation publique, avec plusieurs milliers de collaborateurs. Ces opportunités long terme (plusieurs années) nécessitent une présence régulière sur Genève (ou dans la région frontalière).

Ces rôles sont pour des consultants (Permanent ou Freelance) intéressés à rejoindre un grand projet dans la région de Genève. Nous nous occupons de toute la partie administrative (payroll, permis, administration et relocation le cas échéant).

LE ROLE

Au sein du service Développement sur-mesure et du secteur qualité et sécurité, vous déployez la stratégie de sécurité applicative (AppSec, Security by design) auprès des équipes produit, avec l'appui d'un consultant expert AppSec en place, pendant toute la phase de déploiement. L'objectif est d'embarquer le maximum d'applications dans le processus AppSec, en phase de construction comme de maintenance (build et run), y compris dans une optique de publication open source, avec une exigence forte de confidentialité des données. Deux positions sont à pourvoir: développeur senior AppSec et expert senior AppSec (avec encadrement technique d'un développeur AppSec remédiation).

• Définir et documenter les bonnes pratiques AppSec, y compris pour la gestion des dépôts et la publication open source.

• Intégrer et configurer les outils de sécurité (SAST, DAST, SCA) dans les chaînes CI/CD des applications et former les équipes à leur usage.

• Trier, hiérarchiser et qualifier les résultats de sécurité par application, accompagner les équipes et contribuer à la remédiation.

• Former et accompagner les développeurs et les référents (champions) AppSec, animer des ateliers et contribuer aux contenus pédagogiques.

• Intégrer la sécurité dans les rituels des équipes (conception, revue de code, definition of done).

• Suivre les indicateurs AppSec par application et par équipe (couverture des scans, vulnérabilités, formations) et alimenter le reporting.

• Contribuer à la gouvernance AppSec et à la communauté des référents, en coordination avec les équipes Dev, SecOps et qualité.

Démarrage prévu entre début février 2027 et le 4 février 2027.

Profil recherché

VOTRE PROFIL

• Diplôme d'ingénieur ou Master (ou équivalent) en informatique.

• 5 ans et plus d'expérience dans la fonction.

• Solide expertise en sécurité applicative: OWASP Top 10 / ASVS, modélisation des menaces, sécurisation des API (OAuth2 / OIDC), gestion des secrets, protection des données personnelles.

• Maîtrise démontrée des approches SAST, DAST et SCA et de leur intégration dans les chaînes CI/CD (par exemple SonarQube, Checkmarx, OWASP ZAP, Burp Suite, Snyk, Dependency-Check, GitLab CI).

• Gestion des vulnérabilités par le risque: triage et traitement des faux positifs, scoring CVSS et environnemental, exploitabilité (EPSS, KEV), capacité à argumenter une priorisation ou une acceptation de risque.

• Expérience du développement Java / Spring et des pratiques d'ingénierie (tests, revues de code, Git) suffisante pour accompagner les développeurs sur leur code.

• Expérience en threat modeling, tests d'intrusion applicatifs et sécurité de la chaîne logicielle (SBOM).

• Compétences avérées en conduite du changement pour accompagner l'appropriation des pratiques AppSec.

• Pour le niveau expert: encadrement technique et transfert de compétences (superviser le travail d'un développeur AppSec remédiation et faire monter les référents en autonomie).

• Important (3 ans et plus): pilotage d'activités sécurité (KPI, reporting à des comités de gouvernance), conception et animation de formations adaptées aux rôles, intervention auprès de plusieurs équipes en parallèle en environnement matriciel et Agile.

• Un plus: publication de code en open source, risques de sécurité liés à l'IA dans le développement logiciel, ISO/IEC 27034, plan qualité logiciel et indicateurs DORA, sécurisation des environnements conteneurisés (Docker, Kubernetes / OpenShift).

• Qualités: communication adaptée à chaque interlocuteur, pédagogie, rigueur et discrétion, pragmatisme (prioriser par le risque), esprit d'équipe, autonomie.