Senior Application Security Specialist

Leader et référent en sécurité applicative, au sein d'une équipe dédiée, avec une forte dimension DevSecOps.

Contexte et projet:

Une organisation gère un parc applicatif étendu, dont de nombreuses applications web, reposant sur des technologies et des prestataires variés. Une maîtrise insuffisante de leur cycle de vie expose à des interruptions de services, des compromissions de données, l'exploitation de failles, une dette technique croissante et des non-conformités aux exigences de sécurité (NIS2, CyFun).

Une équipe dédiée à la sécurité applicative est rattachée au pôle sécurité. Son objectif est de remplacer les contrôles ponctuels et manuels par une démarche commune, proportionnée aux risques, davantage automatisée et couvrant tout le cycle de vie des applications.

L'équipe collabore avec les chefs de projet, développeurs, architectes, équipes d'exploitation, responsables fonctionnels, équipes DevSecOps et SecOps, SOC, métiers et prestataires.

Missions et responsabilités

Lead de l'équipe

• Répartir les dossiers entre les membres de l'équipe.
• Suivre l'avancement, les délais et les blocages.
• Relire les livrables à enjeu et harmoniser les pratiques.
• Préparer les arbitrages et produire le reporting (tableaux de suivi, plans d'évolution).

Expertise opérationnelle

• Réaliser les analyses de risques selon la méthodologie en place.
• Accompagner les projets critiques, de la qualification initiale à la mise en production.
• Participer aux revues d'architecture, de conception et de code.
• Analyser les résultats SAST, DAST, SCA, scans de vulnérabilités et tests d'intrusion.
• Définir et prioriser les recommandations.

Cadre méthodologique

• Maintenir les standards et check-lists de sécurité applicative.
• Adapter les contrôles à la criticité des applications et assurer la traçabilité des décisions.

Gestion des vulnérabilités applicatives

• Prioriser les résultats des contrôles.
• Suivre les recommandations, les dérogations et les risques résiduels.
• Suivre l'obsolescence et le décommissionnement des applications.

Projets et DevSecOps

• Intégrer les contrôles de sécurité dans les projets et les chaînes CI/CD.
• Contribuer à l'automatisation des contrôles.
• Conseiller les chefs de projet, développeurs, architectes et équipes d'exploitation.

Exemples de livrables

• Plan de charge, tableau de bord et suivi des dossiers.
• Analyses de risques et avis de sécurité.
• Exigences et plans de contrôle.
• Rapports SAST, DAST, SCA et tests d'intrusion.
• Standards et modèles de sécurité applicative.
• Supports d'arbitrage.

Profil recherché

Formation et expérience

• Expérience senior en sécurité informatique, avec un rôle d'expert (IT Security Expert, niveau senior).
• Expérience de coordination d'une équipe d'au moins trois personnes.
• Expérience de la sécurité d'applications critiques.
• Expérience d'intégration de SAST, DAST ou SCA dans une chaîne CI/CD.
• Expérience d'amélioration d'une démarche de sécurité applicative sur tout le cycle de vie, à l'échelle d'une organisation de plus de 1 000 personnes.

Compétences techniques indispensables

• Sécurité applicative et SSDLC (risques, exigences, revues, vulnérabilités), niveau senior, avec une expérience récente (cette année).
• DevSecOps : SAST, DAST, SCA, CI/CD, gestion des secrets et tests d'intrusion, niveau senior.
• Pilotage de backlog selon le risque et la criticité, niveau senior.
• Référentiels : OWASP, ISO 27001/27005, NIST SSDF, NIS2, CyFun, ANSSI, niveau confirmé.
• Processus, standards, modèles, indicateurs et transfert de compétences, niveau confirmé.

Compétences comportementales

• Leadership : cadrer, soutenir et responsabiliser l'équipe (niveau confirmé).
• Communication avec les projets, l'IT, les métiers, les fournisseurs et le management, niveau senior. Les messages sont adaptés à chaque interlocuteur.
• Sens des responsabilités : prendre en charge des missions et en rendre compte.
• Crédibilité technique : traiter les dossiers complexes et étayer les décisions.
• Priorisation : arbitrer selon les risques et la capacité.
• Exigence et bienveillance : garantir la qualité et faire progresser l'équipe.
• Pragmatisme : proposer des mesures applicables.
• Autonomie et esprit de synthèse : suivre les engagements et signaler les arbitrages nécessaires.

Langues requises

• Français : niveau C2 (obligatoire).

Localisation et conditions

• Lieu : Namur (Belgique).
• Mode de travail : hybride, avec une présence sur site de 60 % du temps ou plus si nécessaire.