Développeur(se) senior sécurité applicative (AppSec)

## Développeur(se) senior sécurité applicative (AppSec) — MGI Consultants SA, Genève (CDI) Pour l'un de nos clients basé à Genève, nous recherchons un(e) Développeur(se) senior sécurité applicative (AppSec) expérimenté(e). ### Contexte L'équipe Développement sur mesure déploie sa stratégie de sécurité applicative (AppSec, « Security by design ») auprès des équipes produit qu'elle soutient, avec l'appui d'un consultant expert AppSec déjà en place. Le périmètre couvre la définition et la documentation des bonnes pratiques AppSec, l'intégration des outils de sécurité (SAST, DAST, SCA) dans les chaînes CI/CD, le triage des vulnérabilités, la formation et l'accompagnement des équipes et des référents AppSec, ainsi que le suivi des indicateurs de maturité. Intervention sur les phases de construction comme de maintenance (build et run), y compris dans une optique de publication open source, avec une exigence forte de confidentialité des données. ### Missions - Renforcer le déploiement de la démarche AppSec auprès des équipes produit. - Intégrer et configurer les outils de sécurité (SAST, DAST, SCA) dans les chaînes CI/CD et former les équipes à leur usage. - Trier, hiérarchiser et qualifier les résultats de sécurité par application ; accompagner les équipes à la remédiation. - Former et accompagner les développeurs et les référents (champions) AppSec ; animer des ateliers. - Intégrer la sécurité dans les rituels et pratiques des équipes (conception, revue de code, definition of done), en build comme en run. - Suivre les indicateurs AppSec par application et par équipe et alimenter les tableaux de bord. - Contribuer à la gouvernance AppSec et à la communauté des référents ; coordonner les actions avec le consultant en place et les équipes Dev, SecOps et qualité. - Documenter les bonnes pratiques de sécurité, y compris pour la gestion des dépôts et la publication open source. ### Conditions - Lieu : Genève - Contrat : CDI, mission longue durée, taux 80 à 100 % - Début : février 2027 ### Formation Diplôme HES, licence en informatique, diplôme d'ingénieur EPF ou diplôme fédéral. ### Compétences essentielles - 5 ans d'expérience et plus dans une fonction similaire. - Solide expertise en sécurité applicative : OWASP Top 10 / ASVS, modélisation des menaces, sécurisation des API (OAuth2 / OIDC), gestion des secrets, protection des données personnelles (LPD). - Maîtrise démontrée des approches SAST, DAST et SCA et de leur intégration en CI/CD (SonarQube, Checkmarx, OWASP ZAP, Burp Suite, Snyk, Dependency-Check, GitLab CI). - Gestion des vulnérabilités par le risque : triage des faux positifs, scoring CVSS et environnemental, exploitabilité (EPSS, KEV), priorisation ou acceptation de risque, suivi de backlog. - Expérience du développement Java / Spring et des pratiques d'ingénierie (tests, revues de code, Git) suffisante pour accompagner les développeurs. - Expérience en threat modeling, tests d'intrusion applicatifs et sécurité de la chaîne logicielle (SBOM). - Compétences avérées en conduite du changement. ### Compétences appréciées 3 ans d'expérience et plus sur : pilotage d'activités sécurité (KPI, reporting), conception et animation de formations, intervention auprès de plusieurs équipes en parallèle en environnement matriciel et Agile, bonnes pratiques de sécurité des dépôts de code open source. ### Un plus Expérience de publication de code en open source (licence, hygiène de dépôt, nettoyage des secrets). Pratique de l'IA dans le développement logiciel et connaissance de ses risques de sécurité (fuite de données, code généré non sûr, injection de prompt). Connaissance de l'ISO/IEC 27034, d'un plan qualité logicielle et des indicateurs DORA. Connaissance des environnements conteneurisés (Docker, Kubernetes / OpenShift). ### Qualités personnelles Communication et pédagogie adaptées aux interlocuteurs (sécurité, développement, produit, direction). Conduite du changement, convaincre sans lien hiérarchique. Rigueur et discrétion sur les informations confidentielles. Pragmatisme, priorisation par le risque. Esprit d'équipe et transparence.