Expert(e) senior sécurité applicative (AppSec)

## Expert(e) senior sécurité applicative (AppSec) **Entreprise** : client final à Genève, via MGI Consultants SA. **Lieu** : Genève. **Contrat** : CDI, mission longue durée. **Taux** : 80 à 100 %. **Début** : février 2027. ### Contexte L'équipe qualité et sécurité de la DSI déploie sa stratégie de sécurité applicative (AppSec, Security by design) auprès des équipes produit, avec l'appui d'un consultant expert AppSec déjà en place. L'objectif est de renforcer ce dispositif pendant la phase de déploiement, pour embarquer le maximum d'applications dans le processus AppSec. La mission couvre le build comme le run, y compris dans une optique de publication open source, avec une exigence forte de confidentialité des données. ### Missions - Renforcer le déploiement de la démarche AppSec auprès des équipes produit - Intégrer et configurer les outils de sécurité (SAST, DAST, SCA) dans les chaînes CI/CD et former les équipes à leur usage - Trier, hiérarchiser et qualifier les résultats de sécurité par application, accompagner la remédiation - Former et accompagner les développeurs et les référents (champions) AppSec, animer des ateliers - Intégrer la sécurité dans les rituels et pratiques des équipes (conception, revue de code, definition of done) - Suivre les indicateurs AppSec par application et par équipe, alimenter les tableaux de bord et le reporting - Contribuer à la gouvernance AppSec et à la communauté des référents - Documenter les bonnes pratiques de sécurité, y compris pour la publication open source, et veiller à la protection des données personnelles et sensibles (nLPD) - Assurer une veille sur les menaces applicatives (vulnérabilités exploitées, catalogue KEV, risques liés à l'IA) ### Formation Diplôme HES, licence en informatique, diplôme d'ingénieur EPF ou diplôme fédéral. ### Compétences essentielles - 5 ans d'expérience et plus dans la fonction - Solide expertise en sécurité applicative : OWASP Top 10 / ASVS, modélisation des menaces, sécurisation des API (OAuth2 / OIDC), gestion des secrets, protection des données personnelles (nLPD) - Maîtrise des approches SAST, DAST et SCA et de leur intégration en CI/CD (SonarQube, Checkmarx, OWASP ZAP, Burp Suite, Snyk, Dependency-Check, GitLab CI) - Gestion des vulnérabilités par le risque : triage des faux positifs, scoring CVSS et environnemental, exploitabilité (EPSS, KEV), suivi de backlog et d'indicateurs de remédiation - Expérience du développement Java / Spring et des pratiques d'ingénierie (tests, revues de code, Git) - Expérience en threat modeling, tests d'intrusion applicatifs et sécurité de la chaîne logicielle (SBOM) - Compétences en conduite du changement ### Compétences appréciées - Pilotage d'activités sécurité (KPI, suivi opérationnel, reporting) - Conception et animation de formations et d'ateliers de sensibilisation - Capacité à intervenir sur plusieurs équipes en parallèle, en environnement matriciel et Agile - Bonnes pratiques de sécurité des dépôts de code, y compris en logique open source - Encadrement technique et transfert de compétences ### Un plus - Expérience de publication de code en open source - Pratique de l'IA dans le développement logiciel et connaissance de ses risques de sécurité (fuite de données, code généré non sûr, injection de prompt), connaissance de l'OWASP Top 10 for LLM Applications - Connaissance de l'ISO/IEC 27034, du plan qualité logicielle (PQL) et des indicateurs DORA - Connaissance des environnements conteneurisés (Docker, Kubernetes / OpenShift) - Pratique régulière de plateformes d'entraînement (Hack The Box, Root-Me, CodeBashing)