RSSI & Officier de Sécurité ISO 27001 - ISO 27005 – CEH - CISSP

Assurance de la gouvernance cybersécurité d'une organisation dans le cadre de l'homologation d'un système d'information critique conformément aux exigences du Ministère des Armées (II901), et accompagnement de la Direction dans la définition et le pilotage de la stratégie de sécurité.

• Définition et pilotage de la stratégie cybersécurité en cohérence avec les exigences réglementaires (II901, LPM, NIS2, ISO 27001).
• Pilotage du programme d'homologation du système d'information et coordination des parties prenantes.
• Gouvernance de la sécurité et animation des comités de pilotage avec la Direction.
• Réalisation d'analyses de risques stratégiques selon EBIOS RM et ISO 27005.
• Élaboration de la PSSI, des politiques de sécurité et du corpus documentaire associé.
• Définition de la feuille de route cybersécurité et priorisation des plans d'actions.
• Pilotage des plans de remédiation des vulnérabilités en coordination avec les équipes Infrastructure et MCO.
• Accompagnement des projets d'infrastructure selon les principes Security by Design.
• Participation aux revues d'architecture et validation des exigences de sécurité.
• Définition des exigences de sécurité dans les consultations fournisseurs (RFP) et évaluation des risques tiers.
• Accompagnement des audits de sécurité et préparation des éléments de preuve.
• Coordination transversale des équipes Infrastructure, Exploitation, Métiers et Direction.

Accompagnement des programmes de transformation du Workplace au sein de la Direction de la Sécurité des Systèmes d'Information, en garantissant l'intégration des exigences cybersécurité dans les projets et en assurant le pilotage des vulnérabilités et la gouvernance des risques. Rôle d'interlocuteur privilégié entre les équipes Infrastructure, Cloud, Architecture et les parties prenantes métiers pour l'amélioration continue de la posture de sécurité.

• Assurance du rôle de référent cybersécurité pour les environnements Workplace (postes utilisateurs, postes administrateurs et environnements Tier 0).
• Pilotage des analyses de risques et accompagnement des projets selon les principes Security by Design.
• Coordination du processus de Vulnerability Management à l'aide de Qualys et suivi des plans de remédiation avec les équipes Infrastructure.
• Production et présentation des indicateurs de cybersécurité (KPI/KRI) auprès des instances de gouvernance.
• Pilotage des plans de remédiation issus des analyses de risques, revues de configuration et audits de sécurité.
• Participation au durcissement (Hardening) des environnements Windows, Microsoft 365 et Azure conformément aux standards internes.
• Réalisation de revues de configuration sécurité et validation des mesures de protection avant mise en production.
• Accompagnement des Product Owners, Architectes et Chefs de projet dans l'intégration des exigences cybersécurité.
• Coordination d'une équipe cybersécurité internationale basée en Inde.
• Gestion des incidents de sécurité et contribution à l'amélioration continue des processus de sécurité.

Assurance de l'intégration des exigences cybersécurité dans les projets d'infrastructure ferroviaire critique, en coordonnant les équipes métiers, Infrastructure, Architecture et les filiales pour garantir la conformité des systèmes critiques et la maîtrise des risques cyber.

• Pilotage des analyses de risques cybersécurité sur les projets d'infrastructures critiques du Grand Paris.
• Intégration des exigences Security by Design dès les phases d'étude et de conception des projets.
• Coordination des parties prenantes (Infrastructure, Architecture, Exploitation, Métiers et filiales) sur les sujets cybersécurité.
• Instruction et validation des demandes d'accès externes selon les exigences de sécurité.
• Réalisation de revues d'architectures techniques et validation des exigences de cybersécurité avant mise en production.
• Pilotage des plans d'actions issus des audits de sécurité et suivi des remédiations jusqu'à leur clôture.
• Accompagnement des équipes projets dans la mise en œuvre des Plans d'Assurance Sécurité (PAS).
• Participation à la gouvernance cybersécurité des projets et aux comités de suivi.
• Réalisation de revues de conformité et contrôle de l'application des exigences cybersécurité.
• Accompagnement des projets Cloud (Azure, AWS, GCP) sur les aspects gouvernance et gestion des risques.

Accompagnement des équipes Architecture, Infrastructure et Risk Management au sein de la Direction Cybersécurité dans l'identification, l'évaluation et le traitement des risques cyber sur des environnements critiques, et contribution à la gouvernance des risques, à la conformité réglementaire et à l'amélioration continue de la posture de sécurité du SI.

• Réalisation d'analyses de risques sur des architectures critiques selon les méthodologies EBIOS RM et ISO 27005.
• Élaboration et suivi des plans de traitement des risques en coordination avec les équipes Architecture, Infrastructure et Métiers.
• Développement et maintien de la cartographie des risques cybersécurité et consolidation du registre des risques.
• Accompagnement des Risk Managers dans les arbitrages et le suivi des risques résiduels.
• Conception d'un outil d'aide à la décision facilitant la réalisation des analyses de risques et la conformité aux exigences RGPD, LPM et aux politiques internes.
• Animation de sessions de formation et accompagnement des équipes à l'utilisation d'EGERIE et aux bonnes pratiques de gestion des risques.
• Contribution aux revues de conformité réglementaire et au suivi des plans de remédiation.
• Participation à l'évaluation des architectures existantes et formulation de recommandations de sécurisation.
• Production d'indicateurs de suivi des risques et réalisation du reporting auprès des parties prenantes.

Accompagnement d'un hébergeur de données de santé dans sa démarche de certification HDS et de mise en conformité ISO 27001, en assurant la revue documentaire, l'analyse des exigences réglementaires et la préparation des audits de certification.

• Réalisation de l'analyse d'écart (Gap Analysis) entre les exigences ISO 27001 et HDS.
• Élaboration de la matrice de conformité ISO 27001 / HDS.
• Révision et amélioration des politiques de sécurité, procédures d'exploitation et documentation du SMSI.
• Accompagnement des équipes dans la préparation de l'audit de certification.
• Vérification de la conformité des processus opérationnels vis-à-vis des exigences HDS.
• Participation à la constitution des éléments de preuve destinés aux auditeurs.

Accompagnement du CNES dans le renforcement de la sécurité des postes de travail et des serveurs Windows en appliquant les recommandations des référentiels ANSSI, CIS et NIST afin d'améliorer la posture de sécurité et de réduire la surface d'attaque du système d'information.

• Définition et mise en œuvre des standards de durcissement des postes Windows 10 et des serveurs Windows Server 2012.
• Application des recommandations ANSSI, CIS Benchmarks et NIST.
• Élaboration de guides de durcissement destinés aux équipes d'exploitation et d'administration.
• Réalisation de revues des configurations de sécurité des systèmes Windows et identification des écarts de conformité.
• Définition des politiques de sécurité relatives aux périphériques USB, Bluetooth et aux composants sensibles.
• Accompagnement des équipes techniques dans l'application des configurations sécurisées.

Accompagnement d'une organisation dans sa mise en conformité au Règlement Général sur la Protection des Données (RGPD) en renforçant la gouvernance de la protection des données, en analysant les risques liés à la vie privée et en préparant les audits de conformité.

• Réalisation d'analyses d'impact relatives à la protection des données (PIA/DPIA).
• Accompagnement de la constitution et la mise à jour du registre des traitements.
• Identification des risques liés aux traitements de données personnelles et définition des mesures de réduction des risques.
• Réalisation d'une revue de l'architecture applicative et des bases de données pour améliorer la protection des données personnelles.
• Préparation de la documentation de conformité en vue des audits CNIL.
• Révision et mise à jour des politiques, procédures et documents de gouvernance relatifs au RGPD.

Accompagnement des directions métiers et des équipes projets dans l'intégration des exigences cybersécurité tout au long du cycle de vie des projets, et contribution à la définition du processus Security by Design, à la gouvernance de la sécurité et à l'évolution des politiques de sécurité.

• Conception et mise en œuvre du processus Security by Design applicable aux projets SI.
• Définition de la méthodologie d'intégration de la cybersécurité dès les phases d'étude, de conception et de réalisation.
• Réalisation d'analyses de risques afin d'adapter les exigences de sécurité selon la criticité des projets.
• Révision des architectures applicatives et infrastructures afin de formuler des recommandations de sécurisation.
• Accompagnement des chefs de projet, architectes et équipes métiers dans l'application des exigences cybersécurité.
• Participation à la gouvernance cybersécurité et à l'amélioration continue des processus de sécurité.

Assurance de la responsabilité de l'infrastructure informatique nationale en garantissant la disponibilité, la sécurité et l'évolution du système d'information tout en pilotant les projets d'infrastructure, les équipes techniques et les prestataires. Garant de la continuité des services, de la sécurité opérationnelle et de l'amélioration continue du SI.

• Définition de la stratégie d'évolution de l'infrastructure IT en cohérence avec les besoins métiers.
• Pilotage des projets d'infrastructure, de modernisation et de sécurisation du système d'information.
• Management et coordination des équipes systèmes, réseaux et prestataires externes.
• Déploiement et maintenance des infrastructures Windows, Linux, LAN/WAN et télécommunications.
• Réalisation d'audits techniques et identification des vulnérabilités de sécurité.
• Mise en œuvre des politiques de sécurité, des procédures d'exploitation et des standards techniques.
• Élaboration et suivi des tableaux de bord opérationnels et des indicateurs de performance.
• Gestion des fournisseurs, des contrats de services et des exigences de sécurité associées.
• Participation à la définition des plans de continuité et de reprise d'activité (PCA/PRA).
• Supervision des opérations d'exploitation et amélioration de la disponibilité des services.