Ingénieur Devsecops - Pentesteur Applicatif H/F - Externatic

Crée il y a 15 ans, Externatic est l'un des 1ers cabinets de recrutement spécialisés "Informatique, Data & Cybersécurité" à voir le jour en France.

Notre credo est simple : "permettre à nos candidats, via notre réseau, d'accéder au marché caché et d'être recruté uniquement au sein d'entreprises finales (0% d'ESN) ".

Externatic en bref :

• 15 ans de professionnalisme sur le recrutement "tech" externalisé pour des entreprises HORS ESN
• Près de 300 postes ouverts en permanence et 100% entreprise finale
• Près de 30 consultants
• Des implantations de proximité couvrant le territoire : Paris, Lyon, Lille, Strasbourg, Toulouse, Bordeaux, Nantes, Rennes, Angers, Montpellier, ...
• Plus de 700 sociétés accompagnées dans leurs recrutements depuis 2010 : DSI, éditeurs, ETI/PME, Centre R&D, Startup/scale-up, organismes publics et para-publiques, ...
• Près de 300 candidats accompagnés par an : CTO, DSI, RSSI, Architecte, chef de projet, développeur, devops, administrateur systèmes / réseaux, Data engineer, Analyste SOC, PO/PM, consultant fonctionnel, etc !
• Du recrutement mais pas que ! des outils comme notre grille de salaires faisant référence depuis 2015, des guides de préparation d'entretien, de négociation de la rémunération, des analyses de marchés, ...

Pour en savoir plus et découvrir d'autres postes à pourvoir, rendez vous sur notre site !
MARRE DES AUDITS THÉORIQUES DONT LES RAPPORTS FINISSENT AU FOND D'UN TIROIR ?

Rejoignez un éditeur logiciel français (plus de 35 ans d'expertise en gouvernance de l'information)adossé à la puissance d'un grand groupe international.
Notre client conçoit des solutions critiques de gestion et d'archivage documentaire pour les groupes du CAC40 et de grandes organisations publiques.
L'objectif est de faire évoluer l'ensemble de notre gamme vers une architecture SaaS multi-tenant hébergée
Ici, la sécurité n'est pas un contrôle administratif ou une case à cocher en fin de projet : vous serez le référent sécurité unique et autonome de l'entreprise, en lien direct avec le Directeur Engineering et les équipes Dév/DevOps.

VOS CHALLENGES QUOTIDIENS (DE L'IDÉE À LA PRODUCTION)

• Pentest Web Applicatif & Agressivité Éthique (Black Box / DAST) : Votre mission n°1 consiste à attaquer nos applications web et API vivantes avec des outils comme Burp Suite Vous simulez de vrais scénarios d'intrusion (OWASP Top 10, injections SQL/XSS, failles logiques, élévation de privilèges) et produisez des preuves de concept (PoC)
• Analyse de Code & gestion des vulnérabilités (CVE) : Vous lisez le code source (environnement Java) qualifiez les alertes sécurité (Dependency-Track, SonarQube)et accompagnez les développeurs pour intégrer des correctifs applicatifs pertinents sans bloquer leurs sprints
• Support ventes & relation client Grands Comptes : Vous êtes l'interlocuteur capable de vulgariser la sécurité en français. Vous rassurez nos clients sur des alertes CVE (en expliquant pourquoi leur environnement n'est pas exposé) et vous rédigez le volet sécurité lors des réponses aux appels d'offres.
• Conformité & Cyber Resilience Act (CRA) : Vous êtes au coeur du projet stratégique visant à structurer la démarche Security by Design pour mettre nos logiciels en conformité avec les réglementations européennes (CRA & DORA).
• Acculturation & culture Sécurité : Vous échangez au quotidien avec les développeurs et animez de petits ateliers informels d'échange sur les failles du moment.

Expérience & Posture :

• 3 à 5 ans d'expérience professionnelle minimum (hors stages et alternance) en sécurité applicative ou Pentest
  
• Vous êtes un "faiseur" pragmatique et autonome capable d'installer vos outils, de jouer vos audits et de proposer des solutions sans attendre qu'on vous dicte votre feuille de route
  

Les incontournables :

• Pentest Web Manuel : Maîtrise avérée de Burp Suite (ou équivalent) et des méthodologies d'audit offensif applicatif (OWASP Top 10)
• Compréhension du code Java : Capacité à lire du code source pour échanger d'égal à égal avec l'équipe R&D
• Aisance Relationnelle & Rédactionnelle : Excellente communication en français pour vulgariser la sécurité auprès des clients grands comptes

Ce qui est secondaire (Aucun blocage !) :

Infrastructure K8s / Kafka : Pas besoin d'être un expert en administration de clusters Kubernetes ou Kafka. Seule la compréhension globale de l'architecture est demandée.

• Diplôme : Aucune exigence de diplôme strict (universités, licences et reconversions bienvenues : la motivation, la rigueur et l'esprit scientifique priment !
• Anglais Technique : Anglais fluide (oral/écrit) pour participer aux synchronisations quotidiennes avec notre équipe R&D basée en Inde