Consultant DevSecOps

Rôle

Le DevSecOps est chargé d'identifier, d'évaluer et de corriger les vulnérabilités de sécurité au sein des produits logiciels. Cela inclut la gestion des mises à jour des dépendances, l'analyse des failles détectées par différents outils de tests de sécurité et l'automatisation des workflows de remédiation. Le rôle implique une collaboration étroite avec les équipes de développement, DevOps et Sécurité afin d'intégrer les bonnes pratiques de sécurité et de garantir la résilience des applications face aux menaces émergentes.

Le programme vise à gérer les vulnérabilités tout au long des pipelines de développement et de déploiement afin de protéger les actifs de l'organisation, garantir la conformité réglementaire et maintenir la confiance des clients. Il contribue également à l'amélioration continue de la posture de sécurité en intégrant les pratiques de gestion des vulnérabilités au cycle de vie de développement logiciel (SDLC).

Livrables du service

• Surveillance régulière, triage et priorisation des vulnérabilités liées aux dépendances, bibliothèques et frameworks tiers.
• Analyse des résultats de sécurité issus des outils SAST, DAST et SCA tels que SonarQube, Checkmarx, OWASP ZAP et Dependabot.
• Mise en œuvre et automatisation des processus de mise à jour des dépendances, de détection des vulnérabilités et de remédiation au sein des pipelines CI/CD et des environnements conteneurisés tels qu'OpenShift.
• Documentation des évaluations de vulnérabilités, des actions de remédiation et des preuves de conformité via des outils tels que Jira et les plateformes de gestion des vulnérabilités.
• Développement et application des directives de développement sécurisé, des standards de gestion des dépendances et des bonnes pratiques de sécurité.
• Reporting de l'état des vulnérabilités, de l'avancement des remédiations et des tendances de risque auprès des parties prenantes et des responsables sécurité.
• Support aux activités de réponse aux incidents liés aux vulnérabilités critiques, notamment les exploits Zero-Day et les CVE à fort impact.
• Respect des politiques internes et des réglementations externes telles que ISO 27001, NIST, RGPD (GDPR) et SOC 2.

Expertise requise

• Maîtrise des outils de détection de vulnérabilités (SAST, DAST, SCA) et de la gestion des dépendances sur plusieurs écosystèmes (npm, Maven, pip, NuGet).
• Maîtrise du scripting et de l'automatisation (Python, Bash) pour l'intégration des processus de sécurité dans les workflows CI/CD.
• Expertise des environnements de conteneurisation et de leur sécurité, notamment OpenShift et Docker.
• Connaissance approfondie des vulnérabilités (OWASP Top 10, CWE) et de la méthodologie de notation CVSS.
• Maîtrise des systèmes de gestion de versions (Git, GitHub) et des outils de suivi des demandes (Jira).
• Expérience dans l'implémentation des bonnes pratiques de sécurité au sein des pipelines DevOps et des environnements cloud.
• Solides capacités d'analyse, de résolution de problèmes et d'investigation.

Qualifications requises

• Minimum de 3 ans d'expérience en sécurité applicative, gestion des vulnérabilités ou domaine connexe.
• Maîtrise des outils suivants : SonarQube, Checkmarx, OWASP ZAP, Dependabot.
• Expérience de la gestion des dépendances dans des écosystèmes tels que npm, Maven, pip, NuGet ou Go Modules.
• Capacité à automatiser les processus de sécurité au sein des pipelines CI/CD et des plateformes de conteneurs.
• Une connaissance des principes de sécurité Cloud (AWS, Azure, GCP) et des pratiques de sécurité des conteneurs est appréciée.
• Les certifications CISSP, OSCP, CEH ou CCSP constituent un avantage.
• Une expérience avec les plateformes de gestion des vulnérabilités (Tenable, Qualys, Rapid7) ainsi qu'avec les normes de conformité est un plus.