Consultant Gouvernance, Risques et Conformité Cybersécurité - Freelance

Contexte

La Direction Informatique d'une grande institution bancaire internationale, IT GROUP (ITG), a notamment pour missions d'assurer la gouvernance du Groupe dans les domaines informatiques, des processus et des projets, et de constituer une référence en matière de développement et de production des systèmes d'information.

Le département Cybersecurity & Digital Fraud (CDF) a pour mission de structurer, renforcer et homogénéiser la gestion des risques cyber pour l'ensemble du Groupe. Il définit la vision, la stratégie, les règles, les processus et les bonnes pratiques associés à la gestion et au suivi des risques IT et cyber.

Au sein de CDF, l'équipe Management Office assure les activités de Chief of Staff pour le responsable du département, RSSI du Groupe. Elle gère également, pour le périmètre propre de CDF, les sujets de cybersécurité, de risques IT et de continuité d'activité. Elle intervient sur plusieurs dispositifs : Programme Cyber Groupe, gestion des risques IT et cyber, gouvernance du patrimoine applicatif, sécurité des tiers, gestion des accès, suivi des vulnérabilités et de l'obsolescence, préparation des audits, contrôles et suivi des plans de remédiation.

La mission nécessite un profil généraliste et expérimenté, capable de prendre en charge un sujet nouveau ou insuffisamment cadré, d'identifier les parties prenantes et responsabilités, de rechercher et challenger les éléments de preuve, puis de produire une conclusion factuelle, traçable et auditable.

Missions

Soutien aux audits et contrôles

• Assistance à l'équipe dans le traitement des demandes d'audit, de contrôle et des sollicitations du management ou des fonctions centrales.
• Analyse des demandes, définition du périmètre et identification des exigences applicables.
• Identification des responsables et coordination de la collecte d'informations et de preuves.
• Évaluation de la pertinence, de la cohérence et de la suffisance des réponses et preuves collectées.
• Distinction entre déclarations, preuves de conception et preuves d'efficacité opérationnelle.
• Préparation des réponses, formalisation des écarts et recommandations, et suivi des actions correctrices.
• Maintien de la traçabilité entre les demandes, les preuves, les conclusions, les décisions et les actions.

Gouvernance des risques tiers (TPRM)

• Maintien et fiabilisation de la gouvernance des risques liés aux tiers et du registre TPRM du département.
• Identification des nouveaux contrats, arrangements, fournisseurs, prestations et solutions SaaS.
• Vérification de la qualification, de la classification et de la complétude des informations enregistrées.
• Détermination des exigences de sécurité applicables aux tiers et aux contrats avec les parties prenantes.
• Analyse des réponses fournisseurs, certifications, rapports d'audit et preuves disponibles.
• Identification des écarts entre exigences, engagements contractuels et dispositifs démontrés.
• Suivi des échéances, renouvellements, avenants, renégociations, plans de remédiation et risques résiduels.
• Documentation auditable des exclusions, décisions de non-applicabilité et arbitrages.

Gouvernance des actifs IT (périmètre CDF)

• Contribution à la conception, au déploiement et au maintien de la gouvernance des applications et actifs IT.
• Clarification des rôles : Asset Owners, responsables fonctionnels et techniques, producteurs IT et fournisseurs.
• Maintien d'une vision cohérente du patrimoine applicatif, des données, composants, contrats et dépendances.
• Rapprochement des informations entre inventaires, CMDB et outils de gouvernance et de gestion des risques.
• Identification des applications, progiciels, solutions SaaS, outils locaux, PoC, MVP et développements spécifiques.