RSSI / Consultant en sécurité informatique

RSSI au sein d'un groupe multi-entités, en charge de la gouvernance et de la stratégie de sécurité informatique.

• Intégration de la sécurité dans le cycle de vie des projets de l'entreprise.
• Rédaction et validation des réponses aux questionnaires de sécurité dans les appels d'offres et audits externes.
• Pilotage du suivi des actions SSI (Sécurité des Systèmes d'Information) et accompagnement des équipes techniques dans leur mise en œuvre.
• Suivi des actions RGPD et mise en conformité avec les exigences de la CNIL.
• Participation aux analyses de risque EBIOS RM et gestion de l'inventaire des risques associés.
• Réalisation des AIPD (Analyses d'Impact sur la Protection des Données) et évaluations d'impact RGPD.
• Déploiement d'une sensibilisation continue aux risques informatiques (formations internes, simulations de phishing, développement sécurisé OWASP Top 10).
• Organisation et suivi des tests d'intrusion (pentests internes et externes) en collaboration avec des prestataires.
• Pilotage de la gestion des incidents de sécurité et orchestration de la remédiation des vulnérabilités critiques.
• Sécurisation des systèmes de vote régalien et validation de leur conformité réglementaire associée.
• Optimisation des processus de sécurité (revue des habilitations, destruction de données, durcissement des configurations).
• Validation et déploiement des mesures de protection (WAF, durcissement des accès, renforcement du monitoring).
• Assurance de la veille cyber et gestion des menaces émergentes.
• Collaboration avec les équipes SOC (Security Operations Center) et CERT pour la réaction aux incidents.

RSSI pour un groupe de santé, responsable de la mise en place d'une gouvernance de sécurité à l'échelle de l'organisation.

• Rédaction de la Politique de Sécurité des Systèmes d'Information (PSSI) et de la charte informatique du groupe.
• Mise en place des processus de sécurité intégrés au cycle de vie des projets.
• Réalisation des tests de sécurité des sites internet du groupe (audit externe, identification des vulnérabilités).
• Orchestration d'une analyse de risque EBIOS pour cartographier les menaces et expositions du groupe.
• Animation d'ateliers sur le développement sécurisé adapté aux technologies en place, en identifiant les failles connues et les best practices réglementaires.
• Déploiement de la sensibilisation aux risques informatiques via serious game et simulations d'email malveillant.

Consultant en sécurité sur des missions variées auprès de grands comptes, couvrant la stratégie sécurité, la conformité et la gestion des risques.

• Rédaction de politiques thématiques de sécurité (sauvegarde, développement sécurisé, gestion des accès).
• Élaboration de stratégies de gestion de l'obsolescence des systèmes en procédures et plans de transition, après interviews des responsables métier.
• Pilotage des revues d'habilitations en restructurant les droits d'accès, en créant des profils alignés aux besoins métier et en formalisant les règles de ségrégation de droits (SOD).
• Réalisation de la cartographie des droits d'accès et orchestration des changements organisationnels liés à la ségrégation.
• Assistance à la rédaction de cahiers des charges sécurité et pré-qualifications pour les appels d'offres.
• Accompagnement des analyses de risque EBIOS des projets DSI Voyages (SNCF).
• Rédaction et validation des volets sécurité dans les dossiers d'appel à technologies (DAT) des projets sensibles.

RSSI (Responsable de la Sécurité des Systèmes d'Information) et RPCA (Responsable du Plan de Continuité et d'Assurance) pour un pôle d'assurance d'un groupe bancaire de premier plan.

• Accompagnement des projets de l'entreprise dans l'intégration des exigences de sécurité.
• Mise à jour continue du référentiel de sécurité SI en ligne avec la stratégie du groupe.
• Définition et déploiement des actions de sensibilisation aux risques informatiques.
• Élaboration et suivi des tableaux de bord de sécurité et KPI associés.
• Organisation et pilotage des exercices de Plan de Continuité d'Activité (PCA).
• Conduite des analyses de risque SSI pour les projets critiques.
• Pilotage des comités de pilotage SSI et des comités projet PCA.
• Organisation et animation des ateliers de sensibilisation sécurité pour les différentes populations.
• Fourniture d'une expertise en risque lors de la conception des projets, en prenant en compte les exigences RGPD et BCE (Banque Centrale Européenne).

Consultant en sécurité au sein d'une équipe de services, sur des missions variées combinant expertise technique et méthodologie.

• Sécurisation d'OpenSSH en créant des fichiers de configuration SCAP (Security Content Automation Protocol) basés sur les recommandations de l'ANSSI pour des environnements critiques.
• Étude de sécurisation des bornes d'informations déployées au sein d'agences commerciales en utilisant la méthodologie OSSTMM.
• Accompagnement de la transition vers le nomadisme informatique en lien direct avec le RSSI.
• Reconfiguration des firewalls (Fortinet) pour supporter les nouveaux modes d'accès.
• Conception et déploiement d'outils d'automatisation pour générer les fichiers de configuration firewall.
• Rédaction des guides d'utilisation et modes d'emploi des outils de génération.
• Participation aux avant-ventes en qualifiant les besoins clients et en proposant des solutions techniques adaptées.
• Création de scénarios de sensibilisation au Social Engineering avec estimation de charge et propositions techniques associées.

Consultant indépendant en sécurité informatique, intervenant sur des missions de tests d'intrusion, audits techniques et sensibilisation.

• Réalisation de tests d'intrusion et audits techniques pour un CHU, incluant l'audit du réseau interne (ARP poisoning, DNS spoofing, MITM, Burp Suite).
• Conduite de l'audit du réseau externe en testant les vulnérabilités applicatives (SQLI, XSS) et en utilisant Nikto, NMAP, Nessus et Acunetix.
• Création des fiches de test d'intrusion et des procédures associées.
• Documentation des fiches de correction des vulnérabilités identifiées avec recommandations.
• Restitution des résultats aux parties prenantes avec présentation détaillée de la méthodologie.
• Réalisation de tests de sécurité pour Navionics sur leur application de cartographie maritime, leur support physique (carte SD) et leur infrastructure.
• Déploiement d'ateliers de sensibilisation aux risques informatiques présentant les menaces courantes (carding, scamming, phishing).
• Décryptage des attaques informatiques en cours (botnets, cryptolocker) et présentation de l'évolution du paysage de la cyber-criminalité.