Lead Security Engineer

## À propos de Recare Recare est une entreprise HealthTech allemande spécialisée dans la gestion des sorties d'hôpital ; elle développe une plateforme SaaS et des solutions IA utilisées par deux tiers des hôpitaux allemands, plus de 650 cliniques de réadaptation et 25 000 structures de soins et d'aide à domicile. L'entreprise compte environ 120 collaborateurs. ## Le poste Premier ingénieur sécurité dédié de l'entreprise : IC senior sans équipe au départ, avec le titre de Deputy CISO, rattaché au Director of Technology (CISO par intérim actuel). La base est déjà posée — ISO 27001, C5 Type II, tests d'intrusion réguliers, chiffrement dans le produit. L'IA ajoute de nouvelles surfaces : documentation vocale, génération de documents, workflows agentiques. Le rôle construit et porte le programme de sécurité, l'outillage et le discours de sécurité présenté aux clients. ## Missions - **Gestion des vulnérabilités** — scanners et mises à jour de dépendances sur l'ensemble des dépôts, et le processus qui mène à la clôture des constats. - **Partenariat avec la Plateforme** — revue des décisions d'infrastructure sensibles pour la sécurité, exploration d'options comme les clés gérées par le client ou les HSM. L'architecture reste portée par la Plateforme. - **Certifications, volet technique** — conception des contrôles et évaluations pour ISO 27001 et C5, dossier de sécurité pour un futur dispositif médical de classe IIa (MDR), cadrage et suivi des tests d'intrusion, dans un contexte réglementaire incluant l'EU Cyber Resilience Act. Ce volet représente environ un quart à un tiers du poste. - **Sécurité côté client** — documentation réutilisable, preuves, questionnaires assistés par IA, afin de réduire le coût du dixième contrat entreprise. Le rôle intervient en appel quand un RSSI d'hôpital pose une question sur l'architecture IA. - **Réponse à incident** — processus, runbooks et escalade ; le rôle prend la main quand l'incident est réel. L'entreprise étant trop petite pour un SOC, le rôle conçoit une astreinte adaptée à sa taille. Les incidents produit et bugs de plateforme restent portés par l'ingénierie. - **Sécurité transverse** — veille sur le paysage des menaces, transformation des incidents de la chaîne d'approvisionnement en actions concrètes, définition des standards appliqués par l'IT aux appareils et comptes. ## Comment l'équipe travaille - Usage quotidien d'agents de codage par les ingénieurs ; la sécurité applique la même logique au scan, aux preuves et aux questionnaires. - L'IA est aussi une surface d'attaque : sandboxing d'agents, injection de prompt, données vocales, automatisation « computer use » en environnement hospitalier. - Humain dans la boucle par défaut : dans le secteur de la santé, l'IA propose, les humains gardent le contrôle. - Livraison continue avec débogage par télémétrie, y compris en public quand c'est la voie la plus rapide. ## Profil recherché - 6 ans ou plus à cheval entre ingénierie logicielle et sécurité, avec un programme de sécurité (ou une part importante) déjà porté. - Contrepartie technique lors d'au moins un cycle de certification ISO 27001, C5 ou SOC 2 : conception de contrôles, face-à-face avec un auditeur, rédaction du volet technique d'une Statement of Applicability. Exigence non négociable. - Expérience réelle de la gestion des vulnérabilités : scanners, bots de dépendances, triage et suivi jusqu'à la correction. - Suivi actif de l'actualité sécurité (podcasts, avis, retours d'incidents). - Curiosité réelle pour la sécurité IA — sécuriser des systèmes IA (agents, sandboxing, flux de données) et utiliser l'outillage IA pour gagner en efficacité. - Capacité à échanger en anglais avec des ingénieurs, des auditeurs et des équipes sécurité hospitalières, sans support de présentation. ## Atouts appréciés Allemand, expérience dans la santé ou un autre secteur réglementé, expérience en sécurité offensive, certifications de sécurité (OSCP, CISSP ou équivalentes). ## Conditions Poste remote-friendly, horaires flexibles, « workations » possibles par arrangement.