C Consultant DevSecOps (h/f) Paris ( Non précisé ) Freelance · Non précisé · 600 €/jour (TJM) il y a 6 j ›

Zeroday Cyber Academy; Paris; Híbrido; EUR 70.000 - 120.000; Jornada completa

Descripción de la vacante

Zeroday Cyber Academy recherche un DevSecOps chargé d’identifier, évaluer et corriger les vulnérabilités dans les produits logiciels et les pipelines CI/CD. Vous gérerez les dépendances, automatiserez les remédiations et collaborerez étroitement avec les équipes développement, Ops et sécurité.

Le rôle nécessite une expérience en sécurité applicative, maîtrise des outils SAST/DAST/SCA et une connaissance des environnements containerisés comme OpenShift et Docker.

Formación

• Maîtrise des outils de détection de vulnérabilités (SAST, DAST et SCA) et gestion des dépendances sur plusieurs écosystèmes (npm, Maven, pip, NuGet).
• Maîtrise du scripting et de l'automatisation (Python, Bash) pour intégrer la sécurité dans les workflows CI/CD.
• Expertise des environnements de conteneurisation (OpenShift, Docker) et de leur sécurité.
• Connaissance approfondie des vulnérabilités (OWASP Top 10, CWE) et du système de notation CVSS.
• Maîtrise des systèmes de gestion de versions (Git, GitHub) et des outils de suivi (Jira).
• Expérience dans l’implémentation des bonnes pratiques de sécurité dans les pipelines DevOps et les environnements cloud.
• Certifications CISSP/OSCP/CEH/CCSP appréciées et connaissance des plateformes de gestion des vulnérabilités.

Responsabilidades

• Surveillance régulière, triage et priorisation des vulnérabilités liées aux dépendances, bibliothèques et frameworks tiers.
• Analyse des résultats de sécurité issus des outils SAST, DAST et SCA tels que SonarQube, Checkmarx, OWASP ZAP et Dependabot.
• Mise en œuvre et automatisation des processus de mise à jour des dépendances et de remédiation dans les pipelines CI/CD et les environnements conteneurisés.
• Documentation des évaluations de vulnérabilités, des actions de remédiation et des preuves de conformité via Jira et les plateformes de gestion des vulnérabilités.
• Développement et application des directives de développement sécurisé et des standards de gestion des dépendances.
• Reporting de l'état des vulnérabilités et des tendances de risque auprès des parties prenantes et responsables sécurité.
• Support lors des incidents liés aux vulnérabilités critiques, y compris Zero-Day et CVE à fort impact.
• Respect des politiques internes et des réglementations (ISO 27001, NIST, RGPD, SOC 2).

Conocimientos

Outils SAST/DAST/SCA

Gestion dépendances multi-ecosystems

Automatisation Python/Bash

OpenShift/Docker sécurité

Connaissance CVSS/OWASP

Git/GitHub & Jira

CI/CD sécurité

Cloud security (AWS/Azure/GCP)

Herramientas

SonarQube

Checkmarx

OWASP ZAP

Dependabot

Jira

Git

Descripción del empleo

Rôle

Le DevSecOps est chargé d'identifier, d'évaluer et de corriger les vulnérabilités de sécurité au sein des produits logiciels. Cela inclut la gestion des mises à jour des dépendances, l'analyse des failles détectées par différents outils de tests de sécurité et l'automatisation des workflows de remédiation. Le rôle implique une collaboration étroite avec les équipes de développement, DevOps et Sécurité afin d'intégrer les bonnes pratiques de sécurité et de garantir la résilience des applications face aux menaces émergentes.

Le programme vise à gérer les vulnérabilités tout au long des pipelines de développement et de déploiement afin de protéger les actifs de l'organisation, garantir la conformité réglementaire et maintenir la confiance des clients. Il contribue également à l'amélioration continue de la posture de sécurité en intégrant les pratiques de gestion des vulnérabilités au cycle de vie de développement logiciel (SDLC).

Livrables du service

• Surveillance régulière, triage et priorisation des vulnérabilités liées aux dépendances, bibliothèques et frameworks tiers.
• Analyse des résultats de sécurité issus des outils SAST, DAST et SCA tels que SonarQube, Checkmarx, OWASP ZAP et Dependabot.
• Mise en œuvre et automatisation des processus de mise à jour des dépendances, de détection des vulnérabilités et de remédiation au sein des pipelines CI/CD et des environnements conteneurisés tels qu'OpenShift.
• Documentation des évaluations de vulnérabilités, des actions de remédiation et des preuves de conformité via des outils tels que Jira et les plateformes de gestion des vulnérabilités.
• Développement et application des directives de développement sécurisé, des standards de gestion des dépendances et des bonnes pratiques de sécurité.
• Reporting de l'état des vulnérabilités, de l'avancement des remédiations et des tendances de risque auprès des parties prenantes et des responsables sécurité.
• Support aux activités de réponse aux incidents liés aux vulnérabilités critiques, notamment les exploits Zero-Day et les CVE à fort impact.
• Respect des politiques internes et des réglementations externes telles que ISO 27001, NIST, RGPD (GDPR) et SOC 2.

Expertise requise

• Maîtrise des outils de détection de vulnérabilités (SAST, DAST, SCA) et de la gestion des dépendances sur plusieurs écosystèmes (npm, Maven, pip, NuGet).
• Maîtrise du scripting et de l'automatisation (Python, Bash) pour l'intégration des processus de sécurité dans les workflows CI/CD.
• Expertise des environnements de conteneurisation et de leur sécurité, notamment OpenShift et Docker.
• Connaissance approfondie des vulnérabilités (OWASP Top 10, CWE) et de la méthodologie de notation CVSS.
• Maîtrise des systèmes de gestion de versions (Git, GitHub) et des outils de suivi des demandes (Jira).
• Expérience dans l'implémentation des bonnes pratiques de sécurité au sein des pipelines DevOps et des environnements cloud.
• Solides capacités d'analyse, de résolution de problèmes et d'investigation.

Qualifications requises

• Minimum de 3 ans d'expérience en sécurité applicative, gestion des vulnérabilités ou domaine connexe.
• Maîtrise des outils suivants : SonarQube, Checkmarx, OWASP ZAP, Dependabot.
• Expérience de la gestion des dépendances dans des écosystèmes tels que npm, Maven, pip, NuGet ou Go Modules.
• Capacité à automatiser les processus de sécurité au sein des pipelines CI/CD et des plateformes de conteneurs.
• Une connaissance des principes de sécurité Cloud (AWS, Azure, GCP) et des pratiques de sécurité des conteneurs est appréciée.
• Les certifications CISSP, OSCP, CEH ou CCSP constituent un avantage.
• Une expérience avec les plateformes de gestion des vulnérabilités (Tenable, Qualys, Rapid7) ainsi qu'avec les normes de conformité est un plus.