Consultant Sénior Cybersécurité

Il a intégré l'équipe cybersécurité de GEPSA dans le cadre d'un programme de renforcement de gouvernance suite à un audit PASSI réalisé dans les exigences de la LPM, visant à améliorer la conformité réglementaire, structurer le référentiel documentaire SSI et renforcer la maîtrise des risques.

• A piloté le plan de remédiation issu de l'audit PASSI et suivi l'avancement des actions correctives auprès des différentes directions
• A révisé et mis à jour la Politique de Sécurité des Systèmes d'Information (PSSI) pour intégrer les exigences réglementaires, les recommandations d'audit et les bonnes pratiques de sécurité
• A rédigé et formalisé les Politiques de Sécurité des Systèmes d'Information Opérationnelles (PSSIo) couvrant la gestion des mots de passe, des secrets et des contrôles d'accès
• A animé des ateliers avec les directions métiers et support afin d'identifier les processus critiques, les dépendances applicatives et les besoins de continuité d'activité
• A réalisé une cartographie des applications, des actifs support et des flux critiques en collaboration avec les équipes métiers et IT
• A contribué aux analyses BIA pour identifier les activités essentielles et les impacts métiers en cas d'indisponibilité des systèmes
• A élaboré des recommandations de cybersécurité et accompagné les parties prenantes dans leur mise en œuvre
• A participé à la structuration du corpus documentaire SSI et à l'amélioration de la gouvernance de la sécurité

Il a intégré le programme de renforcement cybersécurité d'AGL pour la mise en place d'un Système de Management de la Sécurité de l'Information (SMSI) en conformité ISO 27001 et l'amélioration de la maîtrise des risques. Le processus de facturation a été identifié comme périmètre prioritaire. En parallèle, AGL a engagé un chantier d'analyses de risques sur l'ensemble de ses entités en s'appuyant sur EBIOS RM et l'outillage Egerie.

• A cadré et déployé le SMSI sur le processus critique de facturation en intégrant les enjeux de continuité d'activité et de résilience opérationnelle
• A piloté le programme de mise en conformité en coordonnant les parties prenantes et en suivant les jalons et les plans d'actions sur l'ensemble des phases (build → mise sous contrôle)
• A animé la gouvernance SMSI via la préparation des COPIL SSI, reporting et suivi des indicateurs de pilotage
• A contribué à l'alignement avec les exigences de résilience (DORA) en analysant les scénarios de rupture d'activité et en définissant les mesures de protection et de reprise
• A intégré la gestion des risques tiers dans le dispositif en identifiant les prestataires critiques, en évaluant leur niveau de sécurité et en suivant les plans de remédiation
• A conduit des analyses de risques EBIOS RM en animant les ateliers métiers et en intégrant les résultats dans la stratégie de traitement
• A structuré et animé des ateliers avec les correspondants sécurité (LISO) pour renforcer la prise en compte des enjeux de résilience et de continuité
• A consolidé les analyses et priorisé les risques afin d'alimenter les plans de traitement et les dispositifs de continuité

Il a réalisé un audit de conformité d'un site sûr opéré par l'infogérant SPIE. Natran dispose de plusieurs sites sûrs qui doivent être audités tous les deux ans afin de vérifier la conformité aux exigences définies dans le dossier Site Sûr, couvrant les volets organisationnels et physiques.

• A analysé le contexte et révisé la documentation disponible (dossier de candidature site sûr, procédures locales, plan de sécurité du site)
• A préparé le support d'audit et organisé les entretiens avec les responsables du site et de l'infogérant
• A réalisé une visite sur site en contrôlant les points organisationnels (responsabilités, gouvernance, procédures de sécurité) et les points physiques (contrôle d'accès, surveillance, locaux techniques, équipements sensibles)
• A mené des entretiens avec les équipes opérationnelles et responsables sécurité
• A consolidé les constats et homogénéisé les résultats de l'audit
• A présenté et validé les résultats auprès des représentants de Natran et de SPIE

Il a participé au programme d'identification des systèmes et actifs critiques des 8 usines critiques de Lactalis (sur 65 au total en France). Le RSSI industriel souhaitait suivre une méthodologie type BIA pour avoir une vision exhaustive des impacts en cas d'indisponibilité ou compromission des systèmes.

• A analysé le contexte global et les documentations existantes (présentation des sites, compréhension des processus métiers, cartographies réseaux, PCA/PRA)
• A préparé l'outillage de collecte des informations (outil Excel, kit de présentation aux intervenants) et organisé la collecte
• A intégré la sécurité dans les projets industriels via l'identification des processus critiques et des actifs OT afin d'orienter les exigences de sécurité dès les phases amont
• A réalisé des visites sur site d'une journée avec recueil et évaluation des événements redoutés, inventaire des actifs critiques par processus (lignes de production, automates, logiciels, chaudières) et conduite d'ateliers
• A homogénéisé les résultats via des ateliers de complétion des informations avec les responsables des sites et fiabilisation des éléments
• A validé les résultats avec les responsables des sites

Il a participé au sein de la DSI de GRTgaz à plusieurs chantiers de gouvernance cybersécurité visant à renforcer la maîtrise des actifs industriels et améliorer le pilotage du niveau de cybersécurité et de conformité. La mission a porté sur la clarification des rôles et responsabilités des acteurs intervenant sur les actifs industriels critiques et sur la conception d'outils de pilotage permettant de mesurer et suivre le niveau de cybersécurité et de conformité.

• A cadré les travaux avec les responsables métiers, les propriétaires d'actifs et le RSSI
• A identifié les parties prenantes et sensibilisé les acteurs impliqués dans la gouvernance des actifs industriels
• A planifié et animé des entretiens individuels et des ateliers collaboratifs afin de recueillir, confronter et consolider les besoins métiers et les responsabilités associées
• A construit et maintenu des matrices RACI permettant de clarifier les rôles et responsabilités sur les différentes familles d'actifs industriels et activités associées
• A analysé et consolidé les résultats issus des ateliers afin d'identifier les zones de responsabilité insuffisamment couvertes et proposer les ajustements nécessaires
• A identifié les besoins liés au pilotage du niveau de cybersécurité et de conformité
• A défini les populations cibles, les indicateurs et les besoins de reporting associés
• A conçu fonctionnellement un outil de pilotage permettant la collecte, le stockage et la restitution automatisée des indicateurs de cybersécurité et de conformité
• A piloté les équipes techniques en charge de l'intégration de la solution dans l'environnement client
• A suivi les évolutions des besoins métiers et adapté les tableaux de bord et indicateurs associés
• Résultats clés : 12 matrices RACI élaborées couvrant les principales familles d'actifs industriels, un outil d'évaluation de la conformité et du niveau de cybersécurité permettant l'alimentation de données, le stockage via SharePoint et l'automatisation de la construction des indicateurs.

Il a intégré l'équipe du Pôle Gouvernance de la DSI de GRTgaz en assurant le rôle d'appui pour le Référent Contrôle Cyber. Sa mission était d'assurer la conformité des activités de GRTgaz aux normes de cybersécurité industrielle.

• A mis en œuvre les contrôles de cybersécurité pour les applications de l'entreprise, incluant la gestion du cycle de vie des identités, le contrôle d'accès aux informations, la supervision et le suivi des accès utilisateurs, la prévention des incompatibilités de tâches, la gestion des identifiants privilégiés et le contrôle des droits d'accès pour les transactions sensibles au sein des ERP
• A animé des ateliers de contrôle Cyber, présenté les référentiels internes et la matrice SOD, analysé les risques DICT pour les applications et collecté/vérifié les preuves du Contrôle interne
• A rédigé et révisé les politiques pour garantir la conformité et la standardisation des processus internes selon les exigences d'Engie, en intégrant les principes de cybersécurité, en analysant la conformité à ISO 27002 et en validant avec le responsable contrôle cyber et le RSSI
• A suivi la mise en place des actions de remédiations d'audits (interne, CAC, LPM) via la coordination et supervision des actions correctives, le suivi des KPI, la consolidation des écarts, la priorisation des actions et le contrôle de l'efficacité
• A intégré la sécurité dans les projets IT/OT en accompagnant les chefs de projet dans l'application des exigences cybersécurité dès les phases de cadrage et de conception (Security by Design)
• A révisé des dossiers projets et participé aux jalons de validation afin d'identifier les risques sécurité et définir les mesures de sécurité attendues
• A géré le SharePoint et les métadonnées (vulnérabilités, Types de preuves, responsables)
• Résultats clés : rédaction et validation de 4 politiques et standards, mise à niveau de la sécurité pour environ 50 applications et produits sensibles, mise en place d'un processus structuré pour la collecte et la vérification des preuves, clarification des responsabilités et séparation des tâches via l'adoption de la matrice SOD, mise sous contrôle cybersécurité du cycle projet pour 3 applications, clôture de plus de 500 constats d'audit (interne et CAC).

Il a piloté d'abord la mise en œuvre d'un plan de remédiation du réseau mondial couvrant les 6 régions du Groupe, issu d'un audit de cybersécurité et comportant près de 200 actions correctives. Ensuite, il a piloté un audit cybersécurité 360° sur un site suisse d'Horlogerie et Haute Joaillerie visant à évaluer de manière holistique la maturité et l'exposition cyber du site sur les volets organisationnels, techniques et physiques, ainsi qu'à définir les plans de remédiation associés.

• A chiffré et estimé les charges et préparé les propositions commerciales pour les missions d'audit cybersécurité
• A cadré les missions avec définition des objectifs, du périmètre, des parties prenantes et des livrables attendus
• A piloté le plan de remédiation mondial composé de près de 200 actions correctives réparties sur les différentes régions du Groupe
• A coordonné les équipes internes et externes afin d'assurer l'alignement des parties prenantes sur les priorités et objectifs des programmes cybersécurité
• A créé et maintenu des tableaux de bord de suivi permettant de piloter l'avancement des actions, les échéances, les risques et les responsables associés
• A préparé et suivi le planning détaillé des activités d'audit couvrant les différentes portées : audit organisationnel, audit d'architecture, tests d'intrusion internes et externes, et audit de sécurité physique
• A identifié, suivi et résolu les points de blocage susceptibles d'impacter les délais ou la bonne exécution des plans d'actions
• A produit des reportings réguliers auprès du management et des parties prenantes, incluant l'avancement des actions, les risques identifiés et les mesures correctives associées
• A synthétisé les constats, consolidé les rapports d'audit et élaboré les plans de remédiation
• A préparé et animé les comités de restitution avec présentation des résultats, des vulnérabilités identifiées, de leurs impacts et des recommandations associées
• Résultats clés : 100% des actions de remédiation réalisées sur le réseau mondial, restitution et livraison des rapports couvrant les 5 portées d'audit, élaboration d'un plan de remédiation détaillé comprenant près de 150 actions correctives.

Il a assuré le rôle d'appui pour le RSSI de BMCE Euroservices, organisme de paiement et de services financiers opérant en Europe sur un réseau d'une vingtaine d'agences réparties sur 8 pays. Son rôle a été d'assister le RSSI dans ses fonctions de gouvernance et de DPO et de coordonner les différents chantiers de cybersécurité.

• A assisté le DPO en préparant les supports de mise en conformité RGPD du système d'information, en construisant les fiches de traitements, en élaborant les questionnaires lors des interviews des responsables de traitements, en élaborant et maintenant le registre des traitements, en pilotant les actions de conformité RGPD et en coordonnant avec les métiers, IT et juridique
• A réalisé la cartographie des flux de données et identifié les traitements à risque
• A réalisé et piloté des AIPD en animant les ateliers, en évaluant les risques vie privée et en définissant et suivant les mesures de réduction des risques
• A assisté le RSSI lors des réunions avec la direction en assurant la prise de note, la communication de comptes rendus détaillés et la planification de réunions
• A collecté les preuves de conformité (captures, procédures, exports techniques)
• A rédigé des documents de cybersécurité tels que des Guides d'utilisations des procédures, des supports de sensibilisation et des rapports d'avancement
• A mis à jour le registre des écarts PCI-DSS et du plan d'actions associé avec le suivi et la relance des responsables d'actions
• A animé 4 sessions de sensibilisation chacune comprenant une dizaine de collaborateurs sur des thèmes variés : gestion des mots de passes, utilisation des supports amovibles, bonnes pratiques sur internet
• Résultats clés : points de conformité RGPD validés, cartographie des flux de données complète, documents aboutis et validés par le RSSI (Guide de bonnes pratiques, Support de sensibilisation, Procédures), 4 sessions d'animations menées et environ 40 collaborateurs sensibilisés.