Expert AppSec

Contexte Nous recherchons pour notre client un expert expérimenté en sécurité applicative pour intégrer le pôle AppSec de l'équipe Sécurité Opérationnelle et Coordinateurs Sécurité au sein de la DSI. La mission porte sur la mise en place et la gestion de solutions de sécurité applicative, le traitement des incidents de cybersécurité, la veille opérationnelle et le suivi de la posture de sécurité AppSec. Missions principales • Contribuer à la mise en place et à la gestion de solutions de type AST (Application Security Testing). • Participer au traitement des incidents de cybersécurité avérés liés au périmètre AppSec. • Participer aux processus quotidiens de veille opérationnelle en sécurité applicative. • Contribuer aux actions de sensibilisation aux bonnes pratiques de développement sécurisé. • Assurer le reporting de la posture de sécurité AppSec : indicateurs, suivi des vulnérabilités et comités. Compétences techniques requises • Sécurité applicative : expérience confirmée dans l'identification, la qualification et la remédiation des vulnérabilités d'applications web et d'API ; capacité à analyser les résultats des contrôles et à accompagner les équipes de développement dans les corrections. • Développement sécurisé : pratique de la revue de code et maîtrise des principes de validation des entrées, de contrôle des accès, de gestion des sessions, de protection des secrets et de journalisation. Capacité à traduire les constats en recommandations techniques exploitables. • Solutions AST : pratique opérationnelle des outils SAST (analyse statique du code), DAST (tests dynamiques des applications) et SCA (analyse des composants et dépendances), ainsi que des solutions RASP. Capacité à déployer, configurer et maintenir ces solutions, à adapter les règles de détection et à réduire les faux positifs. • Automatisation Python : maîtrise du développement et de la maintenance de scripts et d'outillages de sécurité ; exploitation d'API, traitement des résultats de scans, gestion des erreurs, tests et documentation du code. • Intégration DevSecOps : capacité à intégrer les contrôles de sécurité dans les chaînes CI/CD et les workflows Git, à définir des critères de contrôle adaptés au risque et à accompagner leur adoption par les équipes. • Gestion des vulnérabilités : qualification des alertes, déduplication, priorisation selon la criticité, l'exposition et le contexte applicatif ; suivi des plans de remédiation et vérification des corrections. • Fondamentaux web et API : bonne compréhension de HTTP/HTTPS, des architectures web et des mécanismes d'authentification et d'autorisation ; capacité à analyser les échanges applicatifs et les journaux techniques. • Exploitation et reporting : maintien en condition opérationnelle des outillages AppSec, analyse des incidents sur le périmètre applicatif et production d'indicateurs fiables sur la couverture des contrôles et le suivi des vulnérabilités. Compétences complémentaires appréciées : • Protection applicative : connaissance et pratique des solutions WAF, avec capacité à analyser les alertes et à contribuer à l'ajustement des règles en coordination avec les équipes concernées. • Tests d'intrusion : expérience des audits web et API dans un cadre autorisé ; restitution des constats, recommandations de correction et vérification de leur mise en œuvre. • Référentiels OWASP : familiarité avec les risques des Top 10 Web et API, ainsi qu'avec l'ASVS pour structurer les exigences de développement sécurisé et les vérifications techniques. • Conception sécurisée : pratique de la modélisation des menaces et des revues de conception pour identifier les risques en amont du développement. • Environnements techniques : aisance avec Linux et les conteneurs ; capacité à lire du code dans d'autres langages que Python, selon les technologies du périmètre. • Sensibilisation : aptitude à animer des ateliers de développement sécurisé et à produire des supports pratiques adaptés aux développeurs.