Directeur / Senior Manager en Cybersécurité et GRC

Intervention en tant que Directeur et Senior Manager chez Immun'I.T., sur des missions de conseil en cybersécurité, gestion des risques et conformité réglementaire pour le compte de grands comptes et d'institutions.

• Réalisation d'un état des lieux des forces, faiblesses, menaces et opportunités sur les processus de dérogations cyber, vulnérabilités et gestion des risques pour la Banque Générale du Luxembourg / groupe BNP Paribas.
• Analyse des écarts entre les procédures locales, les directives Groupe et les exigences DORA.
• Formalisation de recommandations et proposition d'un plan d'action de remédiation en vue de l'audit informatique de l'Inspection Générale Groupe.
• Conduite d'analyses de risques cyber selon la méthodologie EBIOS Risk Manager pour GPSA sur un périmètre d'applications critiques.
• Rédaction, négociation et sécurisation de clauses contractuelles cybersécurité avec les équipes Achats, Juridique et fournisseurs.
• Mise à jour du registre TIC DORA/EBA et évaluation des contrôles de sécurité existants.
• Conception d'un cadre de maturité cybersécurité pour le Parlement Européen conforme au Règlement Cybersécurité (UE Euratom) 2023/2841.
• Évaluation des contrôles techniques et configurations de sécurité incluant le Patch Management, le MFA et le Hardening.
• Conduite d'auto-évaluations des contrôles IT de niveau 1 et évaluation de la conformité DORA/EBA chez SwissLife.
• Pilotage de campagnes de conformité DORA/EBA sur un périmètre Corporate et 10 filiales internationales pour BNP Paribas Leasing Solutions.

Intégration de la Banque Générale du Luxembourg au sein du groupe BNP Paribas en tant que chef de projet cyber pour renforcer la posture de sécurité et préparer les échéances d'audit.

• Réalisation d'un état des lieux complet axé sur les forces, faiblesses, menaces et opportunités concernant les processus de dérogations cyber, la gestion des vulnérabilités et la gestion des risques.
• Conduite d'une analyse d'écart entre les procédures locales, les directives Groupe et les exigences réglementaires DORA.
• Formalisation de recommandations stratégiques et opérationnelles.
• Proposition d'un plan d'action de remédiation ciblé en vue de préparer l'audit informatique mené par l'Inspection Générale Groupe.

Mission chez GPSA en tant que chef de projet GRC pour piloter les analyses de risques et la mise en conformité contractuelle et réglementaire.

• Réalisation d'analyses de risques cyber selon la méthodologie EBIOS Risk Manager de l'ANSSI sur un périmètre d'applications critiques de place.
• Identification des actifs, des scénarios de menaces, des sources de risques et évaluation des impacts métiers.
• Rédaction, négociation et sécurisation des clauses contractuelles de cybersécurité en collaboration avec les équipes Achats, Juridique et les fournisseurs.
• Mise à jour du registre TIC DORA/EBA avec les équipes Conformité et Juridique.
• Recensement et évaluation de l'ensemble des contrôles de sécurité organisationnels, techniques et contractuels.
• Analyse des écarts de sécurité et formalisation des besoins complémentaires de protection.

Collaboration avec le RSSI du Parlement Européen en tant qu'expert cybersécurité pour concevoir un cadre de maturité de sécurité.

• Conception d'un cadre de maturité cybersécurité en collaboration avec le RSSI, aligné sur le Règlement Cybersécurité (UE Euratom) 2023/2841.
• Définition d'un modèle de maturité inspiré du référentiel Essential Eight.
• Élaboration d'un programme structuré de contrôles de sécurité couvrant la gouvernance, les politiques, les contrôles techniques et les pratiques opérationnelles.
• Évaluation des contrôles techniques et des configurations de sécurité, notamment la gestion des correctifs (Patch Management), l'authentification (MFA), les contrôles applicatifs et le durcissement des systèmes (Hardening).
• Identification des écarts et formulation de recommandations de plans d'amélioration de la posture de sécurité.

Fonctions d'expert en contrôle interne IT chez SwissLife pour renforcer le dispositif de contrôle permanent et la conformité.

• Conduite et formalisation des auto-évaluations des contrôles IT de niveau 1 auprès des équipes opérationnelles.
• Évaluation du niveau de conformité réglementaire au regard des exigences DORA et EBA.
• Mise à jour et maintien des cartographies de risques IT.
• Définition et suivi des indicateurs de risques (KRI) ainsi que des tableaux de bord de reporting.
• Réalisation des contrôles de second niveau (contrôle permanent IT) selon une approche basée sur les risques.
• Accompagnement des missions d'audit interne et externe et suivi des plans d'actions de remédiation.
• Préparation et contribution active aux comités d'audit et de contrôle interne.

Pilotage des programmes de conformité et d'alignement normatif pour BNP Paribas Leasing Solutions sur un périmètre international.

• Pilotage et coordination des campagnes de conformité DORA/EBA sur un périmètre Corporate et 10 filiales internationales.
• Contribution à l'alignement des pratiques avec les référentiels NIST, les exigences Groupe et réglementaires.
• Collecte, analyse et consolidation des preuves d'audit au sein de la plateforme ServiceNow.
• Présentation et soutien des résultats auprès des équipes Sécurité Groupe sur des domaines clés (gestion des actifs, IAM, résilience IT, Secure SDLC).
• Identification des prestataires critiques, élaboration du registre TIC DORA/EBA et négociation des contrats fournisseurs avec les départements Achat, Conformité et Juridique.
• Élaboration des tableaux de bord cybersécurité trimestriels et suivi des plans de remédiation.

Intervention aux Laboratoires Servier en tant qu'expert GRC pour auditer et refondre le système de management de la sécurité.

• Réalisation d'une analyse d'écart (gap analysis) entre la PSSI (533 contrôles) et les référentiels NIST CSF, NIST SP 800-53 et NIST SP 800-82.
• Évaluation de la couverture des contrôles organisationnels, techniques et opérationnels.
• Proposition d'une refonte des KPI et KRI cybersécurité ainsi que du système de management qualité et sécurité dans ServiceNow.
• Formalisation de politiques de gestion des sauvegardes et des vulnérabilités alignées avec l'ANSSI et le NIST.
• Coordination d'une évaluation de maturité SSI selon la méthodologie Gartner auprès de la DSI, des Achats, des RH et du Juridique.
• Consolidation des résultats et formulation de recommandations stratégiques de gouvernance.

Poste d'IT Risk Officer chez Natixis pour structurer et piloter le dispositif de maîtrise des risques informatiques.

• Contribution à la définition, la formalisation et l'outillage des contrôles de premier niveau (LOD1) IT et cybersécurité.
• Alignement des contrôles avec les référentiels COBIT, ITIL, NIST et les exigences réglementaires (BCE, LPM, EIOPA, DORA/EBA, NIS).
• Participation à la définition des typologies de plans d'actions sécurité pour la réduction des risques IT.
• Analyse et consolidation des résultats des contrôles LOD1 réalisés par les équipes IT.
• Pilotage du dispositif de contrôle de premier niveau via la mise en œuvre de KPI, KRI et de reportings de gouvernance.
• Préparation et animation des comités trimestriels de pilotage des risques IT avec les DSI concernées.

Fonction de deputy CISO chez Devoteam pour encadrer la sécurité sur les projets internes et les filiales internationales.

• Identification et évaluation des risques cybersécurité sur les projets IT internes, notamment le déploiement d'un ERP.
• Animation de Comités d'Accompagnement Sécurité hebdomadaires avec le RSSI, le DSI, les chefs de projet et le DPO.
• Supervise du projet de certification ISO/IEC 27001 du Centre d'Excellence en République Tchèque.
• Pilotage du plan d'actions IAM dans l'entité saoudienne.
• Conception et animation d'un module de formation sur la confidentialité et la sécurité de l'information pour diffuser la culture sécurité.

Assistance au RSSI de Covéa dans la gestion de la sécurité des projets et la conformité réglementaire.

• Contribution à la définition des exigences de sécurité des projets IT en phase avant-projet selon la méthodologie EBIOS Risk Manager.
• Saisie et suivi des risques bruts et résiduels, des contre-mesures et des actifs supports dans EGERIE.
• Coordination et accompagnement de l'audit IT des Commissaires aux Comptes sur les périmètres IAM couvrant 24 applications critiques.
• Évaluation et qualification des fournisseurs et sous-traitants IT selon les exigences de sécurité et réglementaires.
• Contribution aux programmes de conformité EIOPA et DORA/EBA et participation aux audits des filiales internationales (Italie, R-U, USA, Luxembourg).

Pilotage du programme de mise en conformité réglementaire et de protection des données pour un Opérateur d'Importance Vitale.

• Réalisation d'un diagnostic RGPD complet et élaboration d'un plan d'actions de mise en conformité.
• Coordination des chantiers RGPD avec les équipes de la DSI, du RSSI et les métiers.
• Accompagnement de la mise en œuvre opérationnelle des droits des personnes (accès, consentement, portabilité).
• Évaluation de la maturité cybersécurité des sous-traitants.
• Rédaction de clauses contractuelles RGPD dans le cadre d'appels d'offres publics.
• Animation d'ateliers de sensibilisation RGPD auprès des directions Achats, Juridique, RH et des Métiers.
• Réalisation d'analyses d'impact sur la vie privée (DPIA) pour les nouveaux projets IT.

Soutien au RSSI de BNP Paribas Fortis dans un environnement international anglophone sur des missions de gestion des risques et conformité.

• Assistance au RSSI dans l'identification et le suivi des risques de sécurité de l'information sur un portefeuille de projets et de fournisseurs IT.
• Participation au projet de mise en conformité RGPD et à l'automatisation partielle des contrôles de premier niveau dans RSA Archer.
• Coordination et animation d'un réseau de correspondants sécurité métiers.
• Animation d'actions de sensibilisation à la cybersécurité.
• Mise à jour des politiques IAM et des procédures de sécurité de l'information.
• Conduite de l'inventaire et de l'évaluation des applications développées par les utilisateurs (Shadow IT).

Coordination des contrôles de conformité Sarbanes-Oxley pour Synthes et Johnson & Johnson en Suisse.

• Coordination des contrôles SOX IT selon les référentiels ISO 27001 et NIST.
• Couverture des domaines clés incluant l'IAM, la journalisation (logging & monitoring), le change management, le SDLC et la sécurité réseau.
• Collecte et analyse des preuves d'audit pour l'ensemble des périmètres.
• Identification des écarts et suivi des plans de remédiation associés.
• Présentation des résultats aux auditeurs internes et aux Commissaires aux Comptes.
• Accompagnement des projets de sécurité IT en lien avec les équipes techniques et le RSSI.

Exercice comme chef de projet contrôle interne et qualité au sein de la DSI d'Eutelsat.

• Assistance au RSSI dans l'analyse des risques de sécurité du projet SAP.
• Coordination des actions avec la DSI, la PMO, l'AMOA et l'hébergeur.
• Contribution à la gestion des accès (IAM) conformément aux normes ISO 20000 et ITIL.
• Rédaction et déploiement de procédures de sécurité opérationnelles.
• Assurance de l'accompagnement au changement et de la formation des utilisateurs.
• Contribution au choix des outils supportant les processus IT.

Pilotage de projets de contrôle interne et de gestion des accès chez ENI Gas and Power.

• Assistance au RSSI sur la gestion des accès et de l'authentification.
• Mise en œuvre des bonnes pratiques des référentiels ISO 20000 et ITIL.
• Formalisation d'une matrice de séparation des tâches (SoD) sous SAP.
• Paramétrage des droits utilisateurs avec SAP GRC.
• Mise à jour de la cartographie applicative et technique.
• Accompagnement de l'audit SOX IT, formalisation des preuves et saisie des résultats dans SAP MIC.

Gestion de la sécurité et du contrôle permanent au sein de HSBC Global Banking & Markets dans un contexte international.

• Assistance au RSSI dans un contexte international anglophone.
• Supervision des audits SOX IT et PCI-DSS sur les périmètres IAM, la protection des données, la gouvernance, le change management, le SDLC et l'infrastructure.
• Élaboration de reportings et tableaux de bord hebdomadaires à destination de Londres et New York.
• Pilotage de plans de remédiation IAM et supervision d'un projet d'identification des droits d'accès toxiques.
• Formation et coordination d'équipes offshore anglophones.
• Supervision du projet d'accréditation ISAE 3402 et audit des licences logicielles et du catalogue de services IT.