Auditeur cybersécurité technique / Pentester - Freelance

Zeroday Cyber Academy; Meudon; Sur place; EUR 108 000 - 141 000; Plein temps

Résumé du poste

Zeroday Cyber Academy recherche un auditeur cybersécurité pour réaliser et piloter des audits SI et des plateformes de services à Meudon. Vous couvrirez tests d'intrusion, durcissement et audits d'architecture, avec restitution et suivi de remédiation.

La mission concerne des environnements web, API, cloud et conteneurisés, avec une dominante technique et une interaction avec les équipes MOE et métier.

Qualifications

• Expérience en audits cybersécurité et tests d'intrusion.
• Maîtrise des cadres CIS Benchmarks et ANSSI.
• Rédaction de rapports clairs pour public non technique.

Responsabilités

• Cadrage technique des campagnes d'audit et définition du périmètre.
• Réalisation de tests d'intrusion sur applications web/API et infra.
• Rédaction du rapport et restitution aux parties prenantes.
• Pilotage des audits et coordination avec cabinets si nécessaire.

Connaissances

Tests d'intrusion

Audit de sécurité

Pilotage d'audit

Connaissance ANSSI/benchmarks

Outils

Linux

Windows Server

Active Directory

WAF

Description du poste

Mission

TJM : 675 €/jour. Client du secteur Réseaux et télécommunications, à Meudon.

Réaliser ou piloter les audits cybersécurité du SI et des plateformes de services du client : tests d'intrusion, audits de configuration et de durcissement, audits d'accès, audits d'architecture et audits organisationnels. Le pilotage couvre le cadrage, la sélection du cabinet, le pilotage de l'intervention et le challenge du livrable. Dans les deux cas, la mission inclut la restitution aux parties prenantes et le suivi de la remédiation.

Le périmètre est large : applications web et mobiles, API, infrastructures internes, exposition Internet, environnements Cloud et conteneurisés, briques d'identité et systèmes à base d'IA générative. La dominante est technique, sans se limiter au test d'intrusion.

Tests d'intrusion

• Cadrage technique des campagnes avec les équipes MOE, exploitants et métier : périmètre, scénarios d'attaque, règles d'engagement, fenêtres de tir et autorisations de test.
• Tests en boîte noire, grise ou blanche sur applications web et mobiles, API (REST, GraphQL), infrastructures internes et périmètre exposé.
• Tests des briques d'authentification et de gestion d'identité (SSO, OIDC/OAuth2, SAML, parcours d'inscription et de récupération de compte).
• Qualification de l'exploitabilité réelle des vulnérabilités, construction de preuves de concept et démonstration des chemins d'attaque de bout en bout.
• Cotation des vulnérabilités : barème interne complété d'une appréciation du risque métier.
• Rédaction du rapport : synthèse exploitable par un public non technique et détail technique reproductible.

Audits de configuration et de durcissement

• Audit de configuration de systèmes (Linux, Windows, Active Directory), de composants d'infrastructure (reverse proxies, WAF, équipements réseau, bases de données) et de services Cloud, au regard des référentiels internes, des CIS Benchmarks et des guides de l'ANSSI.
• Revue des droits et des configurations d'accès sur les SI sensibles.

Audits d'architecture et audits organisationnels (activité ponctuelle)

• Revue de sécurité d'architecture sur des projets structurants : analyse des dossiers d'architecture, identification des défauts de cloisonnement, des flux et expositions non maîtrisés et des points de rupture dans la chaîne d'authentification.
• Audits organisationnels ciblés auprès d'équipes techniques (ISP, développement logiciel) et d'équipes métier (usage du Data Lake, traitement de données personnelles) : entretiens, collecte de preuves et évaluation des pratiques au regard des exigences internes et de ReCyF (NIS2).
• Formalisation des constats avec leur niveau de risque, articulés avec les constats techniques issus des tests d'intrusion et des audits de configuration.

Pilotage d'audits réalisés par un cabinet

• Cadrage de l'audit avec les acteurs et sélection d'un cabinet quand nécessaire (audit spécialisé, audit d'architecture, campagne à forte volumétrie).
• Rédaction du cahier des charges pour la réalisation de l'audit par le cabinet (optionnel selon l'audit).
• Diffusion de l'appel d'offres, coordination avec les soumissionnaires, aide à la décision pour le choix du cabinet, contractualisation avec le prestataire.
• Identification et mise en place des prérequis à l'audit : collecte documentaire, prérequis d'exploitation, accès et moyens de tests.
• Organisation du projet, animation des réunions nécessaires (lancement, suivi, entretiens, restitution), pilotage de son avancement.