Consultant cybersécurité – Auditeur sécurité

Pilotage de la mise en conformité et de la sécurisation d'une infrastructure Cloud multi-tenant (OpenStack, VMware, Kubernetes) du Groupe La Poste en vue de la certification ISO 27001, conjointement à l'intégration des baselines de gouvernance pour l'hébergement de services d'IA (IA Act & ISO 42001).

• Réalisation de l'analyse d'écarts ISO 27002 pour l'audit de certification et conduite d'une pré-évaluation d'impact face à l'IA Act.
• Rédaction de la Déclaration d'Applicabilité (DDA/SoA) et du corpus procédural du SMSI/SMIA.
• Initiation d'une charte interne encadrant l'usage de l'IA Générative et interdisant le Shadow AI.
• Alignement des processus avec le SMSI existant (HDS) et vérification de la conformité réglementaire du stockage et traitement souverain des données d'entraînement.
• Pilotage de l'audit blanc et préparation de l'audit de certification avec réalisation de la matrice de conformité technique.
• Conception de la matrice de privilèges et définition des règles d'accès critiques (RBAC & Isolation) pour isoler les données multi-tenant.
• Supervision de l'implémentation de la gouvernance PAM (Wallix) et des flux d'administration sur environnements Kubernetes.
• Introduction des exigences OWASP Top 10 pour LLM dans la matrice de contrôle (Prompt Injection, fuite de données).
• Vérification de la conformité des algorithmes cryptographiques, longueurs de clés et protocoles de chiffrement.
• Définition des processus de gestion des vulnérabilités, durcissement et journalisation (MCS).
• Animation d'ateliers pour identifier les processus critiques et définir les objectifs RTO/RPO (BIA).
• Rédaction du plan de continuité et formalisation des Playbooks de reprise opérationnelle (PCA).
• Mise en place des procédures de gestion des configurations, changements et destruction sécurisée des supports.
• Élaboration d'un référentiel de compétences cyber pour assurer le maintien du niveau de sécurité par les équipes internes.
• Corpus documentaire de +15 procédures validé et intégré aux workflows opérationnels.
• Conformité technique des architectures (DAT) validée face aux exigences ISO 27002.
• Corpus documentaire validé intégrant les premières baselines de gouvernance IA.
• Préparation finale et succès de l'audit blanc avant la certification officielle.

Coordination de l'audit légal (commissaires aux comptes) et pilotage de la mise en conformité du cycle de vie des identités et des accès (IAM).

• Assurance du pilotage de l'audit légal en tant que point de contact unique pour les auditeurs externes (Deloitte/KPMG) et gestion de la collecte des preuves et sécurisation des réponses.
• Traduction des exigences d'audit en actions concrètes pour les équipes techniques et les directions métiers.
• Soutien des dispositifs de contrôle interne devant les auditeurs pour limiter les constats de non-conformité.
• Définition et formalisation des processus de gestion des accès JML (Joiner, Mover, Leaver).
• Mise en place des campagnes de revue de droits périodique pour garantir le respect du moindre privilège.
• Rédaction des procédures cibles et création des matrices RACI pour clarifier les responsabilités entre RH, IT et Métiers.
• Présentation de l'avancement des travaux aux comités de direction (RSSI, DSI, DAF) et suivi des indicateurs de conformité.
• Arbitrage et planification des actions correctives post-audit en fonction de la criticité des risques identifiés.
• Réduction significative des délais de réponse aux auditeurs grâce à une centralisation efficace des preuves.
• Déploiement d'un corpus de procédures IAM unifié et validé par la Direction Générale.
• Clôture de 100 % des recommandations prioritaires issues de l'audit légal dans les délais impartis.

Sécurisation des actifs industriels et des processus métiers critiques du réseau de distribution électrique national, selon le standard international IEC 62443-4-2.

• Élaboration d'une méthodologie de qualification des besoins de sécurité (Disponibilité, Intégrité, Confidentialité, Traçabilité) pour les processus métiers et applications.
• Animation d'ateliers avec la Maîtrise d'Ouvrage (MOA) pour identifier les exigences de sécurité via la méthode DACIR appliquée aux flux de données industriels.
• Modélisation de l'interdépendance entre les processus métiers critiques et les composants applicatifs du système d'information industriel.
• Traduction des besoins métier en exigences techniques de sécurité basées sur le standard IEC 62443.
• Accompagnement de la Maîtrise d'Œuvre (MOE) dans la définition des niveaux de sécurité applicatifs et vérification de la conformité des développements.
• Déploiement des exigences DICT sur l'ensemble du cycle de vie des fonctionnalités et des composants d'infrastructure.
• Coordination des enjeux opérationnels des métiers et des contraintes techniques de la cybersécurité industrielle.
• Synthèse de l'état des risques et des indicateurs de conformité pour présentation aux comités exécutifs (CODIR).
• Déploiement réussi d'un cadre de qualification DICT unifié pour l'ensemble du périmètre applicatif industriel.
• Intégration systématique des exigences IEC 62443 dans les spécifications techniques de la Maîtrise d'Œuvre (MOE).
• Amélioration de la visibilité sur les risques métiers critiques pour les instances de direction (CODIR).

Préparation et sécurisation du cycle de certification pour un leader mondial des solutions d'identité sécurisées en contexte de souveraineté.

• Réalisation de l'audit complet du SMSI sur les périmètres certifiés et les nouveaux périmètres d'extension.
• Contrôle de l'application réelle de l'ISO 27001 sur le terrain, identification des non-conformités et évaluation de l'efficacité des mesures de sécurité en place.
• Effectuation d'un diagnostic précis du niveau de maturité cyber face aux exigences de la norme avant le passage des auditeurs de certification.
• Réalisation d'un inventaire critique de la gestion des plans d'action issus des audits internes et certifications précédentes (depuis 2021).
• Centralisation et mise à jour du suivi des remédiations pour garantir qu'aucune faille identifiée ne reste sans correction.
• Optimisation des processus de clôture des recommandations pour fluidifier le dialogue avec les auditeurs externes.
• Rédaction du rapport d'audit interne et présentation des conclusions et risques identifiés au RSSI.
• Émission de recommandations prioritaires pour sécuriser le maintien de la certification ISO 27001 du Groupe.
• Réalisation complète de l'audit interne et de l'inventaire historique.
• Mise en évidence et correction proactive des points de blocage avant l'audit de certification officiel.
• Livraison d'une vue consolidée et fiable de l'état d'avancement des plans d'action de sécurité du Groupe.

Pilotage du programme international d'évaluation de la maturité cyber pour l'ensemble des entités du Groupe SGCIB, basé sur un framework hybride et une méthodologie de scoring CMMI.

• Finalisation d'un référentiel standardisé de +200 contrôles cyber couvrant l'intégralité des domaines de la sécurité (Gouvernance, Protection, Détection, Résilience).
• Fusion des standards internes (Darwin, Label D&R) avec le framework international NIST CSF pour garantir une interopérabilité globale.
• Mise en place d'une grille d'évaluation quantitative (0 à 5) basée sur le modèle CMMI, permettant une comparaison objective entre filiales.
• Conduite d'évaluations approfondies en anglais auprès des responsables sécurité des entités internationales.
• Analyse de la robustesse des contrôles sur trois axes : Design (conception), Implementation (déploiement réel) et Scope (périmètre de couverture).
• Identification des écarts majeurs, rédaction des constats d'audit et validation des plans de remédiation avec les parties prenantes.
• Assurance du reporting hebdomadaire et du suivi des KPIs d'avancement au sein d'une équipe de 15 auditeurs.
• Contribution à la production du baromètre de maturité du Groupe et collaboration avec les équipes Cloud & Data pour optimiser les outils de diagnostic.
• Fourniture d'enseignements stratégiques et de vues consolidées à destination du Top Management.
• Déploiement d'une méthodologie d'audit unique permettant de challenger l'ensemble des entités mondiales du Groupe.
• Évaluation précise du niveau de maturité cyber de 100 entités facilitant l'arbitrage des investissements sécurité.
• Intégration réussie dans un dispositif de Cyber Control Tower à haute visibilité corporate.

Évaluation des risques informatiques et audit de l'efficacité opérationnelle des contrôles pour des systèmes d'information critiques.

• Audit des processus de création, modification et suppression des droits sur les couches Infrastructure, Application et Base de données.
• Vérification de la séparation des environnements (Dev/Prod) et de la traçabilité des mises en production.
• Évaluation des stratégies de sauvegarde, des tests de restauration et du pilotage des opérations quotidiennes (Batchs, incidents).
• Accompagnement et revue des risques sur des projets complexes de refonte de Systèmes d'Information.
• Audit de l'intégrité et de l'exhaustivité des données lors des phases de bascule (Data Migration Audit).
• Analyse des workflows IT existants et formalisation de recommandations pour renforcer le dispositif de contrôle interne.
• Vérification de la fiabilité technique des rapports générés par les systèmes (Information Produced by the Entity).
• Test de l'exactitude et de l'exhaustivité des calculs et extractions de données utilisés pour le reporting financier ou métier.
• Identification et remédiation de failles critiques dans la gestion des accès à privilèges.
• Certification de la conformité et de l'exactitude des rapports de données pour les audits légaux.