Senior DevSecOps Engineer / Lead Pentester

A intégré une plateforme de cloud souverain SecNumCloud (180 services, 150+ repos) afin de piloter la conformité aux contrôles ANSSI et renforcer la posture de sécurité globale.

• A dirigé l'implémentation des contrôles SecNumCloud ANSSI : rédigé des politiques de sécurité, exécuté des analyses de conformité et coordonné la préparation aux audits avec les équipes d'ingénierie, d'exploitation et de conformité.
• A consolidé 6 scanners (Semgrep, Gitleaks, Trivy, Cyberwatch, Gemnasium, Renovate) dans une seule porte DevSecOps unifiée (SAST/SCA/secrets/container) déployée sur 150+ repos.
• A trié 1 000+ découvertes de sécurité, piloté la remédiation directe sur les éléments critiques et coordonné les corrections menées par les développeurs, réduisant le MTTR des vulnérabilités critiques d'environ 30%.
• A durci l'environnement d'exécution des conteneurs et le scanning des images en production : intégré Falco pour la détection d'exécution et Trivy dans le pipeline CI, automatisé les mises à jour de dépendances via Renovate.
• A opéré quotidiennement la détection et réponse aux incidents sur Splunk, Wazuh, Elastic et HarfangLab EDR : géré 10+ incidents de phishing en totalité, affiné les règles de corrélation, calibré les politiques EDR et intégré de nouvelles sources de logs.
• A conçu une plateforme CTF interne basée en Go (100+ défis, 50+ participants actifs), premier programme de sensibilisation à la sécurité end-to-end.
• A évalué la pile CSPM/CWPP (Sysdig, Qualys, Nessus, Rapid7) et piloté les audits externes (PASSI, SecNumCloud, HDS, ISO 27001).

A mené en tant que consultant indépendant une activité de pentest et durcissement de sécurité multi-secteurs (hôtellerie, retail, transport).

• A dirigé 30+ engagements Red Team et pentest : intrusion physique, tests Wi-Fi, hacking de caméras IP/contrôle d'accès et durcissement des endpoints.
• A durci les environnements multi-cloud (AWS, Azure, GCP, VMware) via Terraform, Ansible et Puppet, intégrant le scanning d'IaC (Checkov, tfsec) dans les pipelines CI de GitLab et GitHub.

A rejoint l'équipe de sécurité appliquée d'un grand groupe bancaire (150+ applications) afin de productionnaliser la sécurité du pipeline CI/CD et piloter un programme de pentest d'envergure.

• A conçu et opérationnalisé une porte SAST/DAST à 7 outils intégrée au pipeline CI/CD (Bandit, Qualys WAS, NodeJsScan, ESLint-security, Trufflehog, Checkmarx, Fortify) au service de 150+ applications.
• A contribué au projet Bandit (SAST Python, OpenStack/PyCQA), améliorant les capacités de détection statique.
• A piloté 150+ engagements de pentest externes : définition des périmètres, gestion des fournisseurs, examen des livrables et suivi de la remédiation des vulnérabilités.
• A mené des contre-audits internes sur les découvertes critiques et coordonné la remédiation.
• A encadré l'équipe de pentest SG Inde (5 pentesters) sur les périmètres Web/API.
• A construit un programme de sensibilisation à la sécurité pour 200+ ingénieurs : ateliers de formation, cheatsheets de sécurité par défaut, guides de durcissement.
• A coordonné avec le SOC sur les incidents au niveau de la couche applicative.

A été intégré aux équipes agiles d'une compagnie d'assurance afin de mener des pentest applicatifs en étroite collaboration avec les développeurs.

• A mené 30+ engagements de pentest : définition des périmètres Web/Mobile/OSINT en cycles de sprint, débriefing avec les développeurs, suivi de la remédiation jusqu'à la correction.

A livré des tests de pénétration sur des plateformes CMS AWS-hosted, traitant une large gamme de vecteurs d'attaque applicatifs.

• A exécuté 50+ pentests Web/API/Mobile sur plateformes CMS hébergées sur AWS, services SOAP/REST/JSON et applications Android : exploitation de vulnérabilités XSS, SQLi, XXE, XPATH/LDAP injection, deserialization, NoSQL, CSRF, CORS bypass, et analyse statique/dynamique mobile (MobSF).

A assuré le renforcement et l'audit de sécurité des infrastructures Linux/Unix au sein d'un opérateur télécom majeur.

• A mené des audits de sécurité Linux/Unix conformément aux normes NIST, CIS Benchmark, ANSSI et NSA.
• A durci l'infrastructure (iptables, SELinux, Grsecurity, AppArmor, OSSEC, Auditd).
• A automatisé les audits et remédiation via scripts Shell, Python, Perl et requêtes SQL.