Expert Sécurité SI – Plateforme GRC

Intégration d'un groupe logistique international opérant dans 50+ pays pour piloter la gouvernance, les risques et la conformité des plateformes critiques et du système d'information du groupe.

• Prise en charge de la gouvernance globale des accès, des données et des risques dans un environnement multi-entités avec exigences de cloisonnement, traçabilité et responsabilité.
• Assurance de la consolidation des risques critiques et du reporting groupe auprès du COMEX.
• Contribution aux démarches de conformité réglementaire multi-juridictionnelles en Europe et Afrique.

Intégration d'un cabinet de conseil en cybersécurité intervenant auprès de banques, assureurs et acteurs du secteur des paiements pour piloter l'analyse et le traitement des risques de plateformes critiques.

• Direction de l'analyse EBIOS RM complète de la plateforme de facturation portuaire IPAKI hébergée sur Azure : identification des actifs, événements redoutés, scénarios de menace, évaluation des impacts et vraisemblance, cartographie des risques résiduels et formalisation d'un plan de traitement couvrant 42 mesures de sécurité.
• Challenge des architectures et changements significatifs en matière d'IAM, de rôles et privilèges, de séparation des tâches, de cloisonnement des accès, de protection des données, de journalisation, de chiffrement et de gestion des clés.
• Pilotage du programme ISO 27001 d'IPAKI jusqu'à l'obtention de la décision favorable de certification en juin 2026 : analyse de risques EBIOS RM, conception et mise en place des contrôles, collecte des preuves de conformité, réalisation d'audits internes, traitement des constats et amélioration continue.
• Formalisation des exigences de sécurité, politiques, standards, contrôles, responsabilités et critères d'acceptation pour l'ensemble de la plateforme.
• Coordination des réponses aux audits externes (PCI DSS v4.0, DORA, NIS2, ANSSI) et suivi des écarts jusqu'à leur clôture.
• Production des KRI et tableaux de bord COMEX sur les risques critiques, vulnérabilités, incidents, couverture des contrôles, plans de remédiation et résilience opérationnelle.
• Pilotage de revues de sécurité et missions d'assurance sur des applications et infrastructures sensibles : cadrage, analyse de risques, exigences, collecte de preuves, recommandations et suivi de remédiation.
• Évaluation des contrôles d'accès, l'authentification, la cryptographie, la PKI, la journalisation, la segmentation réseau, le durcissement et la protection des données dans des environnements de paiement.
• Encadrement de 2 à 5 consultants et assurance de la qualité des dossiers et livrables de sécurité.

Intégration du bureau du CISO d'un groupe d'assurance en environnement financier réglementé pour intervenir sur les risques IT, la sécurité applicative, l'IAM et la validation des changements.

• Pilotage des revues d'habilitations de près de 8 000 comptes Active Directory : certification des accès, application du principe de moindre privilège, détection de 340 comptes orphelins et 85 droits excessifs, formalisation des procédures et suivi de remédiation.
• Conception des security gates du cycle projet : questionnaire de sécurité, revue d'architecture, exigences applicatives, réalisation de tests SAST/DAST, vérification des corrections et critères d'autorisation avant mise en production.
• Industrialisation de la gestion des vulnérabilités sur environ 3 000 actifs avec SLA fondés sur le risque, indicateurs de suivi et escalades, réduisant les vulnérabilités critiques non corrigées de 40 % à moins de 10 %.
• Contribution aux démarches de conformité PCI DSS, ISO 27001 et DORA : diagnostics, analyse d'écarts, conception de politiques et procédures, plans de mise en conformité, collecte de preuves et préparation aux audits.
• Accompagnement de la gouvernance des vulnérabilités et incidents : priorisation fondée sur le risque, analyse des causes, conservation des preuves, traçabilité des actions et suivi de remédiation.
• Intervention au sein du bureau du RSSI sur les enjeux stratégiques de sécurité IT, d'audit interne, de conformité réglementaire et de validation avant mise en production.

Pilotage de missions de conseil en cybersécurité auprès d'organismes publics et d'entreprises de secteurs réglementés pour la gouvernance des risques, la conformité et la sécurité opérationnelle.

• Conduite d'un programme ISO 27001 de bout en bout pour un organisme public : définition du périmètre, analyse EBIOS RM des risques, conception du plan de traitement, rédaction de la PSSI et des procédures, mise en place des contrôles, durcissement des infrastructures, déploiement de Wazuh SIEM, réalisation d'audits internes et obtention de la certification sans non-conformité majeure.
• Réalisation d'audits d'infrastructure couvrant les programmes BCP/DRP, la segmentation réseau, le durcissement, la journalisation et la sécurité opérationnelle.
• Pilotage de revues de sécurité applicative : intégration du threat modelling, application des référentiels OWASP/SANS/CERT, réalisation de revues de sécurité et tests avant livraison.
• Encadrement de 4 consultants en cybersécurité et assurance de la qualité des livrables de sécurité.
• Administration des infrastructures critiques : pare-feu, VPN, VLAN/DMZ, IDS/IPS, gestion des accès, serveurs, durcissement, patching, sauvegardes et PRA.
• Contribution à la gouvernance globale des accès et de la résilience opérationnelle.