Auditeur en Sécurité des Systèmes d'Information H/F - ANFSI

L'Agence du Numérique des Forces de la Sécurité Intérieure (ANFSI) est chargée de concevoir, de piloter et de conduire les projets de systèmes d'information, de communication, de commandement et des moyens technologiques connexes dédiés principalement aux utilisateurs et acteurs de la sécurité intérieure.

L'ANFSI est composée de 6 sous directions. L'effectif total est de 528 personnels comprenant des fonctionnaires de la police et la gendarmerie nationale ainsi que des personnels civils fonctionnaires et contractuels des corps administratifs et techniques.

PRÉSENTATION DU CONTEXTE :

Les forces de sécurité intérieure (FSI) doivent être dotées des solutions opérationnelles les plus efficaces et les mieux adaptées afin de répondre dans de bonnes conditions à leur mission de protection de la population.
C'est là que vous intervenez et que vous mettez à profit votre expertise en tant qu'auditeur en sécurité des systèmes d'information.

VOS MISSIONS :

Le titulaire agit en tant que référent technique sécurité (Security Engineer) intégré au cycle de développement. Contrairement à un rôle de conformité, sa mission est opérationnelle : garantir l'étanchéité sécuritaire du code et des infrastructures par une intervention directe dans la chaîne de production.

1. Sécurisation du cycle de développement (AppSec & DevSecOps) :

- Assurer le "sign-off" sécurité sur les commits et les Pull Requests (PR) critiques avant fusion.
- Réaliser des revues de code approfondies pour identifier les vulnérabilités et les erreurs de conception.
- Concevoir, développer et implémenter directement des correctifs (patchs) dans le code source et soumettre les commits correspondants.
- Définir, paramétrer et orchestrer des tests de sécurité automatisés (SAST, DAST, SCA) au sein de la pipeline CI/CD.

2. Audit technique et gestion des vulnérabilités :

- Conduire des tests d'intrusion (pentests) et analyses de vulnérabilités sur les composants du SI.
- Prendre en charge la résolution des failles identifiées et d'incidents de sécurité, soit par le développement direct du correctif, soit par l'accompagnement technique étroit des développeurs.
- Prendre en main la réponse technique aux incidents de sécurité : analyse des logs, investigation, identification de l'origine de la faille et confinement.
- Assurer une mission d'expertise, de conseil et de veille au profit des équipes techniques.

Le poste est susceptible de faire l'objet de permanences ou d'astreintes dans les conditions réglementaires.

PROFIL :

Ingénieur de formation ou équivalent, vous avez une première expérience réussie en tant qu'ingénieur sécurité. Vos expériences précédentes vous ont permis de faire la preuve de vos capacités à développer un projet autour d'objectifs partagés.

Vous avez un haut niveau de connaissance technique. Vous êtes ouverts d'esprit, êtes à l'aise pour travailler en équipe et avez un bon niveau de communication.

Vous savez gérer un projet, vous adapter ; vous êtes organisé et avez un bon esprit de synthèse.

Les prérequis en termes de compétences techniques sont les suivants :

- Développement Logiciel : Maîtrise avancée du développement dans les langages utilisés par le projet (Java, React ou équivalents). Capacité démontrée à produire du code robuste et sécurisé : Niveau maîtrise requis
- Audit & AppSec : Maîtrise des vulnérabilités web, analyse statique (SAST) et dynamique (DAST) : Niveau maîtrise requis.
- DevSecOps & Git : Maîtrise parfaite du versioning (Git), des workflows de Pull Requests et de l'intégration d'outils de sécurité dans les pipelines CI/CD : Niveau maîtrise requis.
- Infrastructure : Connaissance des environnements conteneurisés (Docker, Kubernetes) et du cloud ministériel sécurisé : Niveau pratique requis.
- Tests de sécurité : Maîtrise des outils de scan et de pentest (Burp Suite, OWASP ZAP, etc.) : Niveau maîtrise requis.