Développeur(se) senior sécurité applicative (AppSec)

GreenUp Consulting; Genf; On-site; CHF 120,000 - 180,000; Full time

Job summary

GreenUp Consulting recrute un(e) développeur(se) senior sécurité applicative (AppSec) pour un client genevois du secteur public. Vous définirez les bonnes pratiques AppSec, intégrerez les outils dans les chaînes CI/CD et assurerez le triage des vulnérabilités.

Le poste implique formation des équipes, suivi des indicateurs de maturité et accompagnement des référents AppSec, en build et run, avec une forte confidentialité des données.

Qualifications

• 5+ années d'expérience en sécurité applicative.
• Expérience Java/Spring et pratiques d'ingénierie (tests, revues de code, Git).
• Gestion des vulnérabilités et priorisation des risques.

Responsibilities

• Renforcer le déploiement AppSec auprès des équipes produit.
• Intégrer et configurer SAST/DAST/SCA dans CI/CD et former les équipes.
• Qualifier les résultats de sécurité et accompagner les équipes vers la remédiation.
• Former les référents AppSec et animer des ateliers pédagogiques.
• Suivre les indicateurs AppSec et alimenter les tableaux de bord et le reporting.
• Contribuer à la gouvernance AppSec et à la communauté des référents.

Skills

OWASP Top 10 / ASVS

Threat modeling

API sécurité (OAuth2 / OIDC)

Gestion des secrets

Protection données personnelles (LIPAD

SAST

DAST

SCA

CI/CD security

Java / Spring

Threat modeling

SBOM

Révision de code

DevSecOps

Education

Diplôme HES ou licence informatique / EPF / diplôme fédéral

Tools

SonarQube

Checkmarx

OWASP ZAP

Burp Suite

Snyk

Dependency-Check

GitLab CI

Job description

Développeur(se) senior sécurité applicative (AppSec)

GreenUp Consulting recrute un(e) développeur(se) senior sécurité applicative (AppSec) pour le compte d'un important client genevois du secteur public :

Elle ou il exécute la mission suivante: définition et documentation des bonnes pratiques AppSec, intégration des outils de sécurité (SAST, DAST, SCA) dans les chaînes CI/CD, triage des vulnérabilités,

formation et accompagnement des équipes et des référents AppSec, suivi des indicateurs de maturité.

Elle ou il intervient sur les phases de construction comme de maintenance (build et run), y compris dans une optique de publication open source, et porte une exigence forte de confidentialité des données.

Diplôme HES ou licence en informatique ou diplôme d’ingénieur EPF ou diplôme fédéral.

Compétences primordiales (5 années d'expérience et plus dans la fonction)

• Solide expertise en sécurité applicative: OWASP Top 10 / ASVS, modélisation des menaces, sécurisation des API (OAuth2 / OIDC), gestion des secrets, protection des données personnelles (LIPAD, LPD)
• Maîtrise démontrée des approches SAST, DAST et SCA et de leur intégration dans les chaînes CI/CD (ex. SonarQube, Checkmarx, OWASP ZAP, Burp Suite, Snyk, Dependency-Check, GitLab CI)
• Gestion des vulnérabilités par le risque: triage et traitement des faux positifs, scoring CVSS et environnemental, exploitabilité (EPSS, KEV), capacité à argumenter une priorisation ou une acceptation de risque; suivi d'un backlog de vulnérabilités, respect des délais et indicateurs de remédiation.
• Expérience du développement Java / Spring et des pratiques d'ingénierie (tests, revues de code, Git) suffisante pour accompagner les développeurs sur leur code
• Expérience en threat modeling, tests d'intrusion applicatifs, sécurité de la chaîne logicielle (SBOM).
• Compétences avérées en conduite du changement: accompagner l'appropriation des pratiques AppSec et faciliter l'adoption des outils et processus

Compétences importantes (3 années d'expérience et plus dans la fonction)

• Expérience de pilotage d'activités sécurité: définition de KPI, suivi opérationnel, reporting à des comités de gouvernance
• Conception et animation de formations et d'ateliers de sensibilisation adaptés aux rôles (développeurs, tech leads, product owners)
• Capacité à intervenir auprès de plusieurs équipes en parallèle, en environnement matriciel et Agile; apprécier la criticité d'une situation et décider ou escalader
• Bonnes pratiques de sécurité des dépôts de code, y compris dans une logique open source (secrets, historique, licences)

Compétences optionnelles qui représenteraient un plus:

• Expérience de publication de code en open source: licence, hygiène de dépôt, documentation, nettoyage des secrets et données avant publication
• Pratique de l'IA dans le développement logiciel et connaissance de ses risques de sécurité (fuite de données, code généré non sûr, injection de prompt)
• Connaissance de l'ISO/IEC 27034, du plan qualité logicielle (PQL) et des indicateurs DORA
• Connaissance des environnements conteneurisés (Docker, Kubernetes / OpenShift) et de leur sécurisation
• Connaissance du contexte organisationnel de GreenUp Consulting et de ses applications

Rôle et activités

• Renforce le déploiement de la démarche AppSec définie auprès des équipes produit, avec pour objectif d'embarquer le maximum d'applications dans le processus.
• Intègre et configure les outils de sécurité (SAST, DAST, SCA) dans les chaînes CI/CD des applications; forme les équipes à leur usage.
• Trie, hiérarchise et qualifie les résultats de sécurité par application; accompagne les équipes et contribue à la remédiation.
• Forme et accompagne les développeurs et les référents (champions) AppSec; anime des ateliers et contribue aux contenus pédagogiques et aux guides de mise en œuvre.
• Intègre la sécurité dans les rituels et pratiques des équipes (conception, revue de code, definition of done), en build comme en run.
• Suit les indicateurs AppSec par application et par équipe (couverture des scans, vulnérabilités,

formations) et alimente les tableaux de bord et le reporting.

• Contribue à la gouvernance AppSec et à la communauté des référents; coordonne ses actions avec le consultant en place et les équipes Dev, SecOps et qualité.
• Documente les bonnes pratiques de sécurité, y compris pour la gestion des dépôts et la publication open source; veille à la protection des données personnelles et sensibles.

Qualités requises

• Communication: s'adapter aux interlocuteurs (sécurité, développement, produit, direction), vulgariser, présenter des résultats
• Pédagogie et conduite du changement: convaincre sans lien hiérarchique, faire adhérer plutôt qu'imposer
• Rigueur et discrétion: traiter vulnérabilités et informations confidentielles avec la plus grande prudence
• Pragmatisme: prioriser par le risque, choisir des remédiations réalisables par les équipes
• Esprit d'équipe, transparence sur les risques et problèmes, ouverture au changement
• Autonomie et sens des responsabilités: prendre des initiatives, prioriser sans supervision constante

Conditions supplémentaires

• Type de contrat: contrat de prestation de services
• Taux d’occupation: entre 80% et 100%
• Date au plus tard du démarrage de la mission: 01.02.2027