Specialiste Infonuagique (Conseiller en Cybersécurité)

COFOMO; Montreal; On-site; CAD 110,000 - 150,000; Full time

Job summary

COFOMO recherche un expert en sécurité infonuagique pour concevoir et évaluer des architectures cloud tout en assurant la sécurité des charges et des données. Vous évaluerez les architectures, recommander des contrôles et participerez à la mise en œuvre des améliorations.

Le candidat idéal possède une expérience en IaC, CI/CD et gestion des risques, avec une forte connaissance des plateformes Azure et AWS et des pratiques CSPM/CWP.

Qualifications

• 10 années d’expérience en sécurité de l’information, spécialisation sécurité infonuagique.

Responsibilities

• Fournir une expertise en sécurité infonuagique lors de la conception de solutions et des revues d’architecture.

Skills

Cloud security

IAM

Threat modeling

Security architecture

Risk assessment

Security reviews

Automation

CI/CD security

Tools

Terraform

CloudFormation

Policy as Code

CSPM

CWP

Kubernetes

CI/CD tooling

Job description

Voici un bref aperçu des tâches et des responsabilités qui vous incomberont :

• Fournir une expertise en sécurité infonuagique lors de la conception de solutions, des revues d’architecture, de la réalisation de projets et des initiatives de changement technologique;
• Évaluer les architectures et les services infonuagiques en fonction des exigences de sécurité, des modèles approuvés et de l’appétit pour le risque;
• Recommander des contrôles de sécurité adaptés à la gestion des identités et des accès, aux réseaux, à la protection des données, au chiffrement, à la gestion des clés et des secrets, à la journalisation, à la surveillance, aux sauvegardes et à la résilience;
• Soutenir la modélisation des menaces et les évaluations des risques infonuagiques en traduisant les risques identifiés en contrôles de sécurité précis et applicables;
• Documenter les recommandations et décisions de sécurité, les risques résiduels, les exceptions ainsi que les mesures correctives requises;
• Promouvoir les principes de sécurité dès la conception et de moindre privilège pour les solutions et services infonuagiques;
• Contribuer à la mise en œuvre et à l’amélioration continue des capacités de gestion de la posture de sécurité infonuagique et de protection des charges de travail;
• Examiner les configurations infonuagiques, les constats de sécurité, les preuves de contrôle et les écarts par rapport aux configurations de référence approuvées;
• Valider l’efficacité des contrôles préventifs, détectifs et correctifs et identifier les mauvaises configurations, les permissions excessives, les services exposés et les paramètres de sécurité inadéquats;
• Collaborer avec les responsables des environnements afin de prioriser les mesures correctives selon l’exposition au risque, l’exploitabilité, les répercussions sur les activités, les causes fondamentales et les contrôles compensatoires;
• Développer et maintenir des indicateurs pertinents sur la posture de sécurité infonuagique, la couverture des contrôles, les exceptions et l’avancement des mesures correctives;
• Évaluer les contrôles de gestion des identités et des accès, notamment les accès privilégiés, les identités de service et de charge de travail, les attributions de rôles et la séparation des tâches;
• Conseiller les équipes sur les mécanismes sécurisés d’authentification, d’autorisation, d’accès conditionnel, de fédération et de gestion des accès privilégiés;
• Appuyer les exigences relatives à la classification et à la protection des données, au chiffrement, au cycle de vie des clés et des certificats, à la protection des secrets, à la conservation et au transfert sécurisé des données;
• Réviser la segmentation des réseaux, la connectivité, les contrôles des flux entrants et sortants, l’exposition des ressources à des réseaux externes non autorisés et les mécanismes d’accès administratif sécurisé;
• Orienter les équipes quant à la sécurisation des machines virtuelles, des services gérés, des bases de données, du stockage, des services sans serveur, des conteneurs, de Kubernetes et des plateformes d’intégration;
• Intégrer les exigences de sécurité aux pratiques d’Infrastructure as Code (IaC) et aux pipelines d’intégration et de déploiement continus (CI/CD), en collaboration avec les équipes concernées;
• Automatiser la validation des configurations, des politiques et des secrets afin de détecter les écarts de sécurité avant le déploiement;
• Contribuer à la mise en place de garde-fous reproductibles, de contrôles Policy as Code, de modèles sécurisés et de contrôles de sécurité intégrés aux processus de déploiement;
• Analyser les constats provenant des outils d’analyse des infrastructures et des vulnérabilités, des services de sécurité infonuagiques et des outils de sécurité du code;
• Réduire la dépendance aux contrôles manuels et la dérive de configuration grâce à des pratiques de sécurité automatisées et reproductibles;
• Vérifier les contrôles de sécurité des charges de travail conteneurisées et Kubernetes, notamment les accès aux nœuds, les identités, l’isolation des groupes et espaces de noms, les politiques réseau, l’intégrité des images, les secrets, les contrôles d’admission et la protection à l’exécution;
• Définir et maintenir des configurations de référence sécurisées pour les conteneurs, les registres, les plateformes et les charges de travail infonuagiques;
• Encadrer la gestion des vulnérabilités et les mesures correctives visant les charges de travail, les images, les hôtes et les composants de plateformes gérées;
• Définir les exigences de journalisation, d’alerte, de surveillance et de télémétrie en matière de sécurité infonuagique;
• Améliorer la couverture de détection et l’efficacité opérationnelle des alertes de sécurité en collaboration avec les parties prenantes concernées;
• Participer aux évaluations de vulnérabilités, aux enquêtes et aux incidents en validant les constats, en évaluant leur gravité, en analysant les causes fondamentales et en recommandant des contrôles correctifs;
• Intégrer les leçons tirées des constats et incidents aux normes, configurations de référence, garde-fous et futures revues de solutions;
• Appuyer les évaluations des risques et des contrôles, les audits ainsi que les revues des preuves de conformité en matière de sécurité infonuagique;
• Interpréter les politiques, normes, cadres et exigences réglementaires de sécurité dans le contexte des services et modèles de prestation infonuagiques;
• Contribuer à l’élaboration et au maintien des normes, lignes directrices, objectifs de contrôle et modèles de référence en sécurité infonuagique;
• Examiner les demandes de dérogation et d’exception, documenter les risques et contrôles compensatoires et assurer le suivi des engagements de correction;
• Communiquer clairement les risques et recommandations de sécurité aux parties prenantes techniques, aux responsables des risques et à la gestion.

Le profil recherché est le suivant :

• Détenir au moins 10 années d’expérience pratique en sécurité de l’information, avec une spécialisation en sécurité infonuagique, en architecture infonuagique ou en opérations infonuagiques;
• Posséder une excellente connaissance de l’architecture et de la sécurité de Microsoft Azure et d’Amazon Web Services (AWS);
• Connaître la sécurité de Google Cloud Platform (GCP) (un atout);
• Maîtriser la gestion des identités et des accès (IAM) dans le nuage, la gestion des accès privilégiés, les réseaux, la protection des données, le chiffrement, la gestion des clés et des secrets ainsi que la journalisation, la surveillance et la résilience;
• Avoir de l’expérience dans l’évaluation de services natifs du nuage, d’environnements hybrides, de conteneurs, de Kubernetes et de services de plateforme;
• Comprendre les concepts de sécurité liés à l’Infrastructure as Code (IaC) et à l’approche Shift Left dans les pipelines CI/CD, notamment Terraform, CloudFormation, Policy as Code, les contrôles de sécurité et la validation automatisée des configurations;
• Démontrer une expérience avec les solutions de Cloud Security Posture Management (CSPM), de Cloud Workload Protection (CWP), de gestion des vulnérabilités, d’évaluation des configurations sécurisées et de suivi des mesures correctives;
• Posséder une bonne connaissance de l’architecture de sécurité, des contrôles de sécurité, de la modélisation des menaces, de l’évaluation des risques et des modèles de conception sécurisée;
• Connaître les pratiques et cadres reconnus, notamment les CIS Benchmarks, le NIST Cybersecurity Framework, NIST SP 800‑53, NIST SP 800‑190, la CSA Cloud Controls Matrix et les recommandations de l’OWASP;
• Démontrer la capacité d’analyser les constats de sécurité, de distinguer les risques significatifs des éléments à faible valeur ou des faux positifs et de recommander des contrôles proportionnels au niveau de risque;
• Posséder une connaissance pratique des langages de script ou de requête utilisés pour l’analyse des journaux de sécurité et l’automatisation (un atout).