Tech Lead DevSecOps / Ingénieur Cybersécurité

Tech Lead DevSecOps pour un grand compte sécurisant les architectures GCP, industrialisant la chaîne DevSecOps et déployant des solutions Zero Trust et IA.

• A audité, conçu et implémenté des contrôles de sécurité avancés sur GCP en collaboration avec les équipes Cloud.
• A implémenté Chrome Enterprise Premium pour sécuriser les accès contextuels et renforcer l'authentification.
• A mis en place des contrôles de sécurité automatisés intégrés dans GitHub et les pipelines CI/CD via des agents IA et la solution Kingfisher de gestion des secrets.
• A réalisé des PoC stratégiques (Fable 5) et piloté le plan d'action de sécurité Mythos.
• A industrialisé la sécurité dans la chaîne CI/CD et l'Infrastructure as Code (Terraform, Ansible) avec validation par OPA Regula et Gatekeeper.
• A assuré la montée en compétences des équipes de développement et Cloud sur la sécurité shift-left et les meilleures pratiques.

Accompagnement de la fonction SSI dans la sécurisation des projets GCP et applicatifs, mettant l'accent sur l'automatisation des contrôles et la conformité.

• A déployé les règles WAF dans GCP selon l'OWASP Top 10 et analysé les logs pour étendre la couverture Cloud Armor (KPI SSI).
• A analysé et traité les alertes SCC Premium en créant des règles pour réduire les faux positifs.
• A révisé les accès IAM et participé à la rédaction des exigences SSI pour Apigee.
• A déployé Trivy et Dependency Track pour le scan des images Docker sur Artifactory et GitHub.
• A automatisé les mises à jour des dépendances via Renovate.
• A étudié les bonnes pratiques de surveillance Kubernetes, réalisé des tests de sécurité et activé les contrôles bloquants (Regula) sur K8s et GCP.
• A créé des tableaux de bord et mesuré la performance DevSecOps via GCP Cloud Functions.

Mise en place de la chaîne DevSecOps globale pour préparer les qualifications PASSI, PDIS et PCI-DSS, intégrant l'ensemble des outils de sécurité applicative.

• A intégré complètement les outils SAST (Semgrep, SonarQube), DAST (OWASP ZAP), SCA (Trivy, Dependency Track, Renovate) et détection de secrets (GitLeaks) dans la CI/CD.
• A rédigé les exigences de sécurité applicative pour l'ensemble des équipes FR-SOC.
• A obtenu les qualifications PASSI, PDIS et PCI-DSS du code.
• A créé et animé la communauté DevSecOps au sein de l'organisation.
• A sensibilisé les développeurs aux vulnérabilités (via Fortify) et sélectionné des Security Champions.
• A déployé et administré deux instances GitLab OnPremise isolées (périmètres PDIS et non-PDIS).

Monitoring, audits de conformité AWS et gestion des incidents de sécurité en étant rattaché directement au RSSI.

• A traité les incidents de sécurité en respectant les SLA et testé les règles du SOC.
• A géré le SIEM QRadar et rédigé les reporting et KPIs de couverture réseau et serveurs.
• A exécuté et automatisé les audits mensuels de conformité AWS avec Prowler et Scout.
• A déployé un monitoring Prometheus sur AWS pour les applications SecOps (bastion Wallix).
• A instancié un environnement PowerBI sécurisé sur Azure.

Renforcement de la sécurité des architectures Kubernetes et sécurisation de la chaîne de déploiement applicatif.

• A renforcé la gestion des accès aux clusters Kubernetes et isolé les applications via des Network Policies.
• A sécurisé le pipeline de déploiement en analysant les images conteneurs et gérant les secrets.
• A mis en place un monitoring basé sur ELK (Elasticsearch, Kibana) et K8sCop.

Conception, développement et sécurisation de plugins Jira et Confluence, réalisation de pentests applicatifs.

• A conçu et développé des plugins Jira et Confluence avec implémentation du SSO.
• A réalisé des pentests applicatifs et des audits de code basés sur l'OWASP Top 10.
• A encadré techniquement 2 stagiaires.

Participation à deux projets d'études : un démonstrateur de chaîne DevOps et le développement d'une plateforme de revue de vulnérabilités.

• A créé un démonstrateur de chaîne DevOps contrôlée par la voix (Kalliope/Alexa, Raspberry Pi, Jenkins) chez Capgemini (VoiceOps).
• A développé en Fullstack (Java/Spring Boot, Angular) une plateforme de revue collaborative de vulnérabilités applicatives (YAG-SuitePlus) chez Yagaan.