Cybersecurity GRC Senior Consultant

Elle a intégré une mission de transformation GRC auprès d'un grand groupe multisectoriel, pilotant la mise en place de frameworks de gouvernance et cybersécurité alignés aux standards majeurs.

• A développé et continuellement amélioré les frameworks de gouvernance et les bonnes pratiques de cybersécurité.
• A assuré la livraison des projets de sécurité dans les délais, le périmètre et l'alignement avec les exigences métier et réglementaires.
• A défini et monitoé les roadmaps de conformité aux standards majeurs (ISO/IEC 27001, NIST CSF, NIS 2).
• A conçu et maintenu les politiques et procédures répondant aux besoins organisationnels.
• A coordonné les audits Red Team, audits techniques et audits internes en collaboration avec les auditeurs externes et internes et les parties prenantes clés.
• A piloté les plans de remédiation des audits via des KPIs et fourni des reportings trimestriels à la direction générale.
• A présenté les analyses de risques, le statut de conformité, les findings d'audit et les KPIs de gouvernance au CISO et CIO.
• A assuré la collaboration avec les unités métier et équipes techniques pour maintenir la documentation sécurité précise et alignée aux opérations.
• A conduit les évaluations de maturité cybersécurité des Business Units, identifié les écarts et recommandé des actions d'amélioration priorisées.
• A travaillé étroitement avec le Cybersecurity Technical Office pour intégrer la sécurité dans les projets et processus opérationnels.
• A conseillé les entités sur les améliorations de maturité GRC et assisté l'implémentation d'outils de gouvernance.
• A établi des cadres de communication interfonctionnels pour assurer la livraison réussie des projets.
• A animé des sessions de sensibilisation à la cybersécurité auprès des collaborateurs.

Elle a piloté le Centre d'Excellence IAM d'une grande banque, en charge de la gouvernance des identités, de la conformité réglementaire (DORA, GDPR) et de la transformation IAM à l'échelle du groupe.

• A géré l'IT Risk dans le cadre du programme Risk Appetite, maintenant la stabilité et la sécurité de la banque.
• A animé des ateliers d'exploration des Use Cases IA/IAM, analysé les approches et déterminé la faisabilité de l'implémentation IA/Analytics dans le paysage IAM.
• A piloté la mise en conformité DORA Pilar 1 : réalisé l'analyse de gaps, défini le plan d'action avec tâches détaillées et soutenu les équipes IT.
• A coordonné l'examen des contrats tiers DORA Pilar 4, préparé les annexes de sécurité avec les équipes juridiques et métier.
• A assuré le monitoring de sécurité en suivant la corrélation des coffres-forts de mots de passe via CyberArk pour les comptes non-personnels (NPAs).
• A suivi les cas de Data Loss Prevention (DLP) et piloté les processus de réduction des incidents de violation de données.
• A participé au Change Advisory Board en tant que représentant IT Security.
• A coordonné l'audit annuel KPMG et assuré la collecte des évidences de contrôle.
• A soutenu les projets IT pour appliquer les principes Security by Design selon une méthodologie basée sur les risques (ISO).
• A évalué les projets IT et suivi les assets on-premise et cloud.
• A soutenu la fermeture de la Retail Bank et la décommission des assets Retail.
• A piloté la migration des assets restants vers le Cloud Privé ING.
• A conçu et provisionné un dashboard de sécurité avec KPIs reportés au Steering Committee.
• A dirigé la 1ère Ligne de Défense et managé une équipe de 4 consultants IAM.
• A enrôlé et monitoé la conformité GDPR des tiers via questionnaires, investigations et documentation.
• A réalisé des analyses de gaps sur les mises à jour des politiques et standards minimums, assurant la conformité aux dernières lois et régulations.
• A élaboré les roadmaps de transformation IAM pour 2022, 2023 et 2024.
• A aligné les évidences avec la 2ème Ligne de Défense et coordonné avec les Tribes.
• A identifié les assets requérant l'implémentation de MFA selon leur criticité et note CIA.
• A documenté, maintenu et communiqué les processus IAM locaux (rôles, responsabilités, lifecycle des comptes personnels/non-personnels, politique de mots de passe).
• A maintenu le niveau de conformité et suivi le score IAM trimestriellement.
• A piloté la migration du nouvel outil IAM One Identity en conformité avec les exigences du Groupe.
• A assuré la migration des assets vers le Cloud Privé ING en respectant le modèle IAM du Groupe.
• A réalisé des preuves de concept des processus IAM sur les premiers assets migrés vers le Cloud Privé.
• A défini les règles SOD avec les propriétaires métier et implémenté dans l'outil IAM.
• A analysé et réduit l'accès aux comptes à privilèges élevés (HPA).
• A assuré le suivi des enjeux de risque IAM et la clôture des plans d'action.

Elle a occupé un rôle dual auprès de ce leader mondial du transport de fonds, assurant la conformité réglementaire EMEA et la gouvernance sécurité d'une nouvelle entité BPO, en coordination avec le Groupe aux États-Unis.

• A intégré la sécurité dans les projets via analyses de code source, formations développeurs dédiées, exercices de crise cyber, implémentation IAM et Privacy Impact Assessments/GDPR.
• A assuré la conformité et le monitoring SOX IT : monitoring des contrôles, remédiation, reporting et documentation.
• A coordonné et répondu aux audits KPMG, collecté les évidences de contrôle et assuré la coordination entre la France et le Groupe aux États-Unis.
• A géré la conformité clients EMEA : audits, revues, comités de conformité, point de contact unique (SPOC) pour les clients, notamment les banques.
• A conçu et provisionné des dashboards de sécurité avec KPIs reportés au Comité de Pilotage.
• A piloté la conformité PCI-DSS : revue des contrats pour assurer que les clients bancaires respectent la norme, évaluation des exigences et du niveau de conformité lors d'entretiens avec les clients bancaires.
• A collaboré avec le DPO et les équipes Juridiques pour évaluer les questionnaires GDPR reçus de prestataires et tiers.
• A sécurisé les données sensibles en collaboration entre IT, opérations et legal.
• A réalisé l'anonymisation des données avant les audits et contrôles réglementaires.
• A conduit les Data Privacy Impact Assessments (DPIAs) et Privacy Impact Assessments (PIAs).
• A reporté les différentes évaluations et suivi au cercle CISO.
• A développé les politiques et procédures de gestion des risques et documenté les contrôles.
• A piloté la surveillance des nouveaux projets de sécurité au sein de l'entité BPO.
• A géré les nouvelles demandes des prestataires de services et du Groupe.
• A conçu une cartographie des données (data mapping).
• A dirigé le comité de pilotage hebdomadaire des projets.
• A piloté les programmes de sensibilisation à la cybersécurité (CNIL, PCI-DSS, Cloud, GDPR…).
• A assuré l'amélioration continue de la documentation, SharePoint, procédures et gouvernance.
• A répondu aux demandes clients : revue de contrats, questionnaires ISS, coordination des audits.
• A évalué les sous-traitants : questionnaires ISS, revue de contrats, comités de monitoring.
• A réalisé les investigations sur les incidents de sécurité en 1ère Ligne de Défense.
• A implémenté un système de reporting KPI sur le niveau de risque, les incidents, SLA, etc.
• A examiné et validé les annexes du programme ATM.
• A approuvé les annexes portant sur la gestion des incidents de sécurité type attaque cyber et fraude.
• A élaboré le processus de reporting Brink's / Prestataires de Services.
• A soutenu les différentes phases de l'implémentation du SOC : coordination et suivi.
• A conçu le périmètre de monitoring pour la phase de construction du SOC.
• A livré un corpus documentaire : politiques et procédures, cartographie des risques, plan de contrôle permanent, sécurité des services externalisés (questionnaire auto-évaluation ISS), reporting et KPIs (SOC Reporting), Plan d'Assurance Sécurité (SAP).
• A assuré la sensibilisation à la cybersécurité sur les menaces ATM.

Elle a assuré le leadership du flux Identity and Access Management au sein d'une grande institution bancaire, validant les contrôles d'accès et soutenant la conformité au framework IT Risk du Groupe.

• A examiné et validé les matrices d'autorisation pour toutes les applications internes et externes.
• A examiné et approuvé les extractions automatisées des rôles et profils pour l'ensemble des applications.
• A coordonné et soutenu les Tribes pour se conformer au framework IT Risk du Groupe dans le contexte du Risk Appetite.
• A fourni les évidences de contrôle aux entités d'audit en Espagne et localement sur une base trimestrielle.
• A renforcé la performance de l'équipe en introduisant des processus rationalisés et des initiatives de collaboration interfonctionnelles pour atteindre le score cible.
• A assuré la sensibilisation des Tribes au framework IT Risk.

Elle a assuré le rôle de Deputy CISO au sein d'une grande compagnie d'assurance, pilotant la sécurité organisationnelle et opérationnelle, la conformité réglementaire (GDPR) et la transformation du paysage applicatif.

• A soutenu la sécurité organisationnelle et opérationnelle au sein de la direction de la Sécurité Globale.
• A assuré le suivi de la roadmap de cybersécurité.
• A créé et maintenu un répertoire des propriétaires métier et propriétaires d'applications.
• A assuré la sensibilisation des différentes parties prenantes applicatives.
• A géré les activités RUN (demandes d'accès, demandes d'exemption…).
• A complété et approuvé les fiches de sécurité pour les applications du périmètre.
• A réalisé l'évaluation de criticité des outils Shadow IT.
• A assuré le monitoring des événements de sécurité via Qualys, les scans de vulnérabilités des applications et serveurs.
• A réalisé les évaluations de risques.
• A mis à jour les politiques et processus ISMS.
• A implémenté les mesures de sécurité en conformité avec la régulation GDPR et intégré la sécurité dans les projets opérationnels et processus.
• A conduit les Data Privacy Impact Assessments (DPIAs), collaboré avec le DPO.
• A assuré l'anonymisation des données pour garantir la confidentialité et la réduction des risques.
• A suivi les exigences de 1ère et 2ème Ligne de Défense.

Elle a réalisé une analyse de risques complète sur 80 applications cloud dans le contexte du processus Group PCITRA, conduisant des études approfondies et lean risk analysis.

• A analysé les risques de 80 applications cloud utilisées par Allianz selon la méthode ENISA.
• A étudié les besoins métier auprès des propriétaires métier.
• A mené des interviews avec les fournisseurs, complété les questionnaires du Groupe.
• A livré des résultats et rapports consolidés.

Elle a conduit plusieurs missions de cybersécurité auprès de clients grands comptes et institutionnels, couvrant la préparation à la certification ISMS, l'audit PASSI et l'implémentation de gouvernance sécurité.

• A piloté la préparation à la certification ISMS pour un premier client.
• A conduit l'analyse de risques et élaboré la documentation et processus dans le cadre d'un audit PASSI.
• A mis à jour la procédure d'analyse des risques et la politique de sécurité du système d'information.
• A livré les rapports et résumés managériaux avec plan d'action et recommandations pour le Ministère de l'Intérieur.
• A implémenté l'ISMS et suivi la certification ISO 27001 au Ministère de l'Intérieur, assuré la sensibilisation à la sécurité de l'information selon la norme ISO 27001.
• A implémenté et révisé les politiques et procédures de sécurité informatique.
• A conduit l'audit PASSI pour le Ministère de la Justice : définition du périmètre, coup d'envoi, coordination des parties prenantes.
• A coordonné le pentest, l'examen du code source, l'examen de l'architecture.
• A examiné les politiques et procédures, la procédure de gestion des accès, la procédure de gestion des incidents, sensibilisation et formation des collaborateurs.
• A livré les rapports, documentation et plan d'action pour le Ministère de la Justice.
• A réalisé une analyse macro des risques pour Société Générale Bank sans contexte préalable.
• A contacté le prestataire Oodrive et suivi l'évaluation.
• A identifié les risques liés au Cloud pour Société Générale Bank.
• A réalisé l'analyse des risques du nouveau système de vote de l'Assemblée Nationale.
• A défini les mesures de mitigation pour l'Assemblée Nationale.
• A produit les politiques et processus dans le cadre de l'implémentation ISMS pour BNP Paribas Cardif.
• A réalisé l'évaluation des risques ISO 27005 pour BNP Paribas Cardif.
• A conçu et provisionné un indicateur de dashboard de sécurité avec KPI pour BNP Paribas Cardif.
• A aligné les procédures Cardif aux politiques et standards du Groupe.
• A participé à l'implémentation ISMS pour BNP Paribas Cardif.
• A réalisé l'audit des prestataires de services tiers pour BNP Paribas Cardif.