RSSI/CISO de transition – Gouvernance & Risques Cyber

CISO de transition au sein d'une filiale aéronautique (500 utilisateurs) pour piloter l'homologation II 901 et remettre sous contrôle la gouvernance cybersécurité d'un système d'information critique dans un contexte industriel et réglementaire à forts enjeux.

• Défini et piloté la stratégie d'homologation II 901 en lien avec les exigences réglementaires et les enjeux métiers critiques.
• Structuré complètement la cartographie du SI, des sites, des flux et des architectures, servant de socle aux décisions de sécurité stratégiques.
• Conduit l'analyse de risques et formalisé les scénarios de risques alignés aux exigences réglementaires.
• Mis en place un tableau de bord SSI et un dispositif de pilotage orienté décision exécutive.
• Constitué le corpus documentaire SSI complet (politiques, procédures, référentiels).
• Défini les stratégies SSI structurantes : urbanisation du SI, PRA/PCA, intégration de la sécurité dans les projets, sensibilisation cyber.
• Déployé un plan d'assurance sécurité et un dispositif de gestion de crise cyber et sûreté.
• Cadré et recruté les prestataires externes en structurant la gestion des fournisseurs (questionnaires sécurité, évaluations, plans d'assurance).
• Piloté une équipe de 5 personnes (1 RSSI, 1 RSSI adjoint, 3 consultants).
• Participé activement aux Comités Exécutif et GRC pour arbitrer les risques et prioriser les actions SSI.

Mission de conseil au forfait pour accompagner l'analyse des risques cyber et la mise en conformité avec le Cyber Resilience Act (CRA), en lien avec les exigences ISO 27001 et les enjeux de gouvernance des risques.

• Réalisé un rapport d'analyse des risques aligné avec les exigences CRA.
• Élaboré un plan de traitement des risques avec priorisation des actions.
• Conduit une analyse d'écart Cyber Resilience Act versus disposition actuelle.
• Réalisé un mapping ISO 27001 ↔ Cyber Resilience Act pour faciliter la conformité.
• Appuyé la direction dans l'arbitrage des risques à intégrer dans la cartographie des risques CRA.

Pilotage de la gouvernance cybersécurité d'un groupe international d'environ 23 000 utilisateurs, réparti sur plusieurs sites critiques, dans un contexte de montée en maturité, de préparation ISO 27001:2022 et de transformation des pratiques de gouvernance, risques et conformité. Coordination fonctionnelle d'une équipe composée de 1 RSSI et environ 10 consultants.

• Structuré et rédigé le corpus documentaire SSI (politiques, procédures, référentiels) à l'échelle du groupe.
• Mis en place et piloté un tableau de bord GRC orienté suivi de la conformité et aide à la décision.
• Préparé et accompagné l'organisation à la certification ISO 27001:2022.
• Animé le comité GRC et la revue de direction avec présentation des arbitrages stratégiques.
• Piloté la cartographie des contrôles du Statement of Applicability (SoA) pour les audits.
• Accompagné les audits internes et de certification ISO 27001.
• Coordonné la fourniture des preuves et suivi du plan de remédiation.
• Conduit les analyses de risques via l'outil EGERIE et formalisé les scénarios de risques.
• Intégré la sécurité dans les projets infrastructure, cloud et développement.
• Apporté un appui méthodologique à l'équipe sécurité opérationnelle sur les volets gouvernance.
• Conçu et déployé un programme de sensibilisation cybersécurité avec intégration dès l'onboarding.
• Sensibilisé les équipes de développement aux bonnes pratiques OWASP Top 10 via Secure Code Warrior.
• Défini et suivi les indicateurs de sécurité via tableaux de bord Power BI.
• Contribué aux activités de RUN avec une approche gouvernance (gestion des droits, sécurité des changements).

Structuration de la gouvernance cybersécurité d'un éditeur SaaS international d'environ 1 000 utilisateurs en environnement cloud complexe, avec un rôle central dans le pilotage des audits de conformité et la gestion des risques. Coordination d'une équipe composée de 1 RSSI et 6 consultants en contexte multi-langue (francophone/anglophone).

• Rédigé et structuré les politiques et procédures SSI (organisationnelles et techniques) en coordination avec les équipes Dev, SRE, Sécurité, RH, Achats et Juridique.
• Mis en place et piloté un tableau de bord GRC pour le suivi de la conformité et des risques.
• Organisé et animé les comités opérationnels et comités GRC.
• Piloté les audits ISO 27001, ISO 27018 et ISO 22301 avec revues, cartographie des contrôles du SoA et suivi des plans de remédiation.
• Coordonné les audits SOC 1 & SOC 2 avec fourniture complète des preuves jusqu'à l'édition des rapports.
• Contribué à l'évolution de l'annexe sécurité destinée aux clients SaaS.
• Structuré la gestion des fournisseurs (questionnaires sécurité, évaluations, campagnes de revue annuelle).
• Mis en place le dispositif complet de gestion des incidents et de crise : plan de gestion de crise, fiches réflexes, exercice de crise sur scénario rançongiciel.
• Apporté un appui au RSSI sur les sujets de risk management et de gouvernance transverse.

Accompagnement de la structuration de la gouvernance cybersécurité et déploiement de dispositifs sécurité à l'échelle d'un groupe international de 70 000 utilisateurs réparti sur 12 divisions (francophones et anglophones). Coordination d'une équipe composée de 1 RSSI et environ 12 consultants.

• Contribué à la rédaction des politiques, directives et procédures SSI.
• Développé un outil d'accompagnement sécurité des projets facilitant l'intégration de la sécurité dès la conception.
• Créé un questionnaire de sécurité fournisseurs pour structurer les évaluations.
• Accompagné la gestion de crise cyber en évaluant la maturité et en organisant un exercice de crise (table-top) avec un prestataire externe.
• Conçu et piloté un programme de sensibilisation cybersécurité à grande échelle, avec animation de sessions pour environ 1 000 utilisateurs par session.
• Accompagné la holding et les 12 divisions dans le déploiement des directives SSI.
• Coordonné et suivi des projets cybersécurité structurants : mise en place d'un passeport cyber, déploiement d'un bouton de signalement des emails suspects, centralisation des signalements via TheHive.
• Défini les catégories de classification des emails suspects et réalisé une revue des procédures avec le SOC.

Conseil en cybersécurité auprès d'une association de startups, avec un focus sur la sensibilisation des équipes aux risques cyber et l'accompagnement des dirigeants sur les bonnes pratiques de sécurité dans des environnements cloud.

• Réalisé des sessions de sensibilisation cybersécurité orientées métiers (dirigeants, équipes produit).
• Conseillé sur les bonnes pratiques de sécurité adaptées aux environnements cloud et multicloud.
• Accompagné pragmatiquement des structures en forte croissance sur leurs enjeux de sécurité.

Conseil en cybersécurité dans un environnement d'assurance de 12 000 utilisateurs réparti sur 8 divisions (francophones et anglophones), avec un rôle clé dans la mise en conformité réglementaire, l'accompagnement sécurité des projets et la sensibilisation à grande échelle. Coordination d'une équipe projet composée de 1 RSSI et 5 consultants.

• Contribué à la mise en conformité RGPD en définissant les procédures, accompagnant l'outillage et mettant en place des actions de sensibilisation.
• Implémenté les Privacy Impact Assessments (PIA) dans le cadre de la démarche ISP.
• Créé des contenus de formation RGPD à destination des équipes métiers.
• Participé aux RFI/RFP pour la sélection d'une solution d'anonymisation/pseudonymisation des données.
• Accompagné sécurité les projets métiers en définissant les besoins métiers (DICT), analysant les impacts et sélectionnant les mesures de sécurité sur la base ISO 27002.
• Piloté les audits de sécurité projets en choisissant les prestataires, organisant les kick-offs, suivant les audits et participant aux restitutions.
• Conçu et piloté une campagne de sensibilisation phishing à grande échelle (~12 000 utilisateurs) en créant les scénarios, préparant les prérequis techniques et organisationnels, suivant les campagnes et analysant les résultats.
• Réalisé des actions de sensibilisation post-campagne avec création et diffusion de contenus éducatifs.

Contribution à la mise en œuvre d'un SMSI conforme à ISO 27001 et structuration de la documentation SSI dans le cadre d'une alternance de Master Expert en Sécurité Digitale, avec une première expérience structurante dans les enjeux de gouvernance de sécurité.

• Contribué à la mise en œuvre d'un SMSI conformément aux exigences ISO 27001.
• Participé à la structuration complète de la documentation SSI.

Réalisation d'un audit complet d'infrastructure réseau dans un cadre académique, avec élaboration de cartographie et formulation de recommandations d'amélioration.

• Réalisé un audit détaillé d'une infrastructure réseau.
• Élaboré une cartographie complète des infrastructures.
• Proposé des axes d'amélioration documentés de l'infrastructure existante.

Administration opérationnelle de l'infrastructure IT d'un centre d'appels en première expérience professionnelle, avec responsabilité sur les systèmes, les réseaux, la sécurité de base et le support à l'expansion vers de nouveaux sites.

• Administré les systèmes et les annuaires (Active Directory).
• Géré les sauvegardes et les procédures techniques associées.
• Supervisé le parc informatique et les infrastructures via Nagios.
• Participé à l'installation complète d'un centre d'appel (réseau, serveurs, postes de travail).
• Géré les ouvertures de flux et les règles de sécurité réseau.
• Rédigé des documentations et procédures techniques.