Consultant Sécurité IAM & Zero Trust (H/F)

Consultant Sécurité IAM & Zero Trust

Contexte

Vous interviendrez pour sécuriser les projets d’ouverture du système d’information à des partenaires externes, tout au long de leur cycle de vie. Votre rôle : conseiller les équipes opérationnelles, garantir la conformité aux référentiels cybersécurité et assurer l’interface avec les acteurs clés de la sécurité de l’information.

Missions principales

• Apporter une expertise cybersécurité sur le périmètre de l’Entreprise Étendue (passerelles, portails, espaces de données, gestion des identités partenaires, échanges inter-SI) et accompagner les équipes opérationnelles dans la prise en compte des politiques de sécurité des systèmes d’information et des exigences réglementaires, notamment pour les problématiques d’ouverture du SI à des partenaires externes.
• Réaliser et maintenir des Analyses de Risque Sécurité de l’Information (ARIS) selon une méthodologie définie, en identifiant et évaluant les *killchains* sur les flux inter-entreprises. Contribuer aux analyses de risques EBIOS RM si nécessaire.
• Assurer le suivi de la mise en œuvre des plans d’actions issus des analyses de risques par les équipes produit et leur revue systématique, en adéquation avec le référentiel de pilotage de la sécurité de l’information.
• Challenger les choix techniques ou d’architecture des solutions d’Entreprise Étendue (patterns d’accès, échanges de fichiers, environnements partagés VDI, passerelles API, *dataspaces*) et conseiller les équipes sur l’adéquation sécurité/coût/performance.
• Accompagner la sécurisation des différents *patterns* d’Entreprise Étendue :
• Accès depuis les SI partenaires via Internet avec authentification forte.
• Échange de fichiers via des plateformes d’échanges documentaires sécurisées.
• Accès à des environnements partagés (VDI) par des utilisateurs partenaires authentifiés.
• Échanges de données standardisées par API via des passerelles dédiées.
• Échanges via un espace de confiance de données (*Dataspace*) à l’échelle d’un écosystème sectoriel.
• Assurer le suivi cybersécurité d’un projet d’espace de confiance d’échanges de données sécurisé et souverain, reposant sur des identités numériques.
• Contribuer à la sécurisation de la gestion décentralisée des identités partenaires (auto-inscription, workflows de validation d’accès, intégration à un système d’*Identity Governance & Administration*).
• Accompagner les équipes produit dans la préparation d’instances de gouvernance (ex. : comités de pilotage) et contribuer à la rédaction des documentations associées (référentiels, guides de durcissement, notes d’implémentation des exigences de sécurité, notes de pilotage).
• Veiller à la cohérence de l’application des principes et règles de sécurité, notamment dans le cloud.
• Définir et accompagner la mise en œuvre des pratiques de sécurisation des échanges inter-entreprises (chiffrement, signature, non-répudiation, traçabilité des flux).
• Assurer le suivi de la gestion des vulnérabilités et des recommandations issues des audits et contrôles de sécurité. Participer à la gestion des exceptions et fournir les éléments de décision nécessaires à leur traitement.
• Contribuer à la sécurisation de la standardisation des objets métier et de leurs modèles de données avec les partenaires.
• Collecter, automatiser et produire des indicateurs et tableaux de bord (ex. : indicateurs d’incidents, de faux positifs, d’atteintes aux résultats).
• Capitaliser les savoirs et maîtriser les référentiels.

Compétences attendues

• Expertise en cybersécurité et connaissance approfondie des principes et normes de sécurité des systèmes d’information.
• Expertise en sécurisation des échanges inter-entreprises et des architectures d’Entreprise Étendue (*API Gateway*, *dataspaces*, fédération d’identités, *Zero Trust*).
• Maîtrise des protocoles et standards d’authentification et de fédération d’identités (SAML, OAuth 2.0, OpenID Connect, SCIM) et des architectures IAM décentralisées.
• Connaissance des concepts et architectures de *dataspaces* (IDSA, Gaia-X, Eclipse Dataspace Components) et de leurs enjeux de sécurité et de souveraineté.
• Capacité à analyser les risques liés aux échanges de données inter-organisationnels et à mettre en place des plans de remédiation.
• Compétences en sécurisation des infrastructures cloud (CaaS, FaaS), DevSecOps et intégration au cloud de confiance.
• Bonne connaissance des enjeux de sécurité liés aux API exposées sur Internet (OWASP API Security Top 10, *rate limiting*, contrôle d’accès fin).
• Capacité à piloter des projets de sécurité informatique et à coordonner les actions au sein d’une organisation multi-partenaires.
• Excellentes compétences en communication, conseil et influence auprès des équipes opérationnelles et des partenaires externes.
• Esprit d’initiative, autonomie et veille constante sur les menaces et réglementations liées aux échanges inter-entreprises.
• Certification CISSP attendue. Une certification EBIOS-RM serait un plus.

Environnement technique (liste non exhaustive)

• Passerelles et portails Entreprise Étendue.
• *Dataspace* et connecteurs (ex. : Eclipse Dataspace Components).
• IAM et fédération d’identités (annuaires, comptes dédiés, authentification forte, projets IAM).
• Cloud de confiance et infrastructures associées.
• Outils : GitLab / GitLab CI, Jira, Confluence.