Ingénieur DevSecOps

CBA Informatique Libérale; Avignon; Sur place; EUR 70 000 - 90 000; Plein temps

Résumé du poste

CBA Informatique Libérale, basé à Avignon, recrute un Ingénieur DevSecOps pour embarquer la sécurité dans le développement des solutions SaaS (Angular, Java, React, Symfony) et renforcer les pipelines CI/CD.

Vous serez référent sécurité applicative, maintiendrez SonarQube, automatiserez les scans et appliquerez les gates de sécurité dans les déploiements. Travail d'équipe avec les dev pour prévenir les vulnérabilités OWASP Top 10 et les risques liés aux containers.

Qualifications

• Bac+4 à Bac+5 en informatique ou sécurité — école d'ingénieurs ou équivalent
• 3 à 5 ans d'expérience en DevSecOps ou sécurité applicative
• Expérience en SaaS ou éditeur logiciel avec contraintes réglementaires
• Connaissance des environnements HDS ou ISO 27001 appréciée
• Maîtrise des outils CI/CD et des scans de sécurité
• Connaissance des vulnérabilités OWASP Top 10 et remédiation

Responsabilités

• Intégrer la sécurité dans le cycle de développement des apps (Angular, Java, React, Symfony)
• Maintenir et faire évoluer les outils d'analyse de code dans les pipelines CI/CD
• Définir et appliquer les gates de sécurité dans les pipelines de déploiement
• Automatiser les scans de vulnérabilités sur les dépendances et les containers
• Réaliser des revues de code sous l'angle sécurité — OWASP Top 10
• Administrer et optimiser SonarQube — règles et métriques
• Former les équipes dev à la sécurité — secure coding et gestion des secrets
• Participer aux audits HDS et ISO 27001
• Travailler avec le RSSI sur les incidents de sécurité

Connaissances

DevSecOps

Sécurité Dev

CI/CD

SAST/DAST

OWASP Top 10

GitLab CI/GitHub Actions

Docker/Kubernetes

SonarQube

Collaboration d'équipe

Formation

Bac+4 à Bac+5 en informatique ou sécurité

Outils

SonarQube

Wazuh

Dynatrace

Bitdefender EDR

GitLab CI

GitHub Actions

Docker

Kubernetes

Description du poste

CBA Informatique Libérale, c'est 40 ans d'expertise dans l'édition de logiciels de santé, 280 collaborateurs basés à Avignon et plus de 38 000 professionnels de santé libéraux accompagnés au quotidien. Leader sur son marché, nous développons des solutions SaaS innovantes — Agathe YOU, Milo, Opaline, Horizon Libéral — qui simplifient le quotidien des infirmières et kinésithérapeutes à travers toute la France.

Le contexte

CBA dispose d'une stack applicative moderne — Angular, React, Java, Symfony, PostgreSQL — déployée dans un environnement certifié HDS et ISO 27001, avec des outils de sécurité et de monitoring déjà en place — SonarQube, Wazuh SIEM, Bitdefender EDR, Dynatrace.

Nous avons des chantiers ambitieux devant nous — migration vers une orchestration containerisée Kubernetes, modernisation de nos outils d'observabilité, renforcement du DevSecOps dans nos pipelines CI/CD.

Dans un contexte où la sécurité des données de santé est une exigence non négociable, nous créons un poste d'Ingénieur DevSecOps pour embarquer la sécurité au cœur de nos pratiques de développement.

Intégration de la sécurité dans le cycle de développement

• Être le référent sécurité applicative auprès des équipes dev — Angular, Java, React, Symfony
• Maintenir et faire évoluer les outils d'analyse de code dans les pipelines CI/CD
• Définir et appliquer les gates de sécurité dans les pipelines de déploiement
• Automatiser les scans de vulnérabilités sur les dépendances et les containers
• Réaliser des revues de code sous l'angle sécurité — failles OWASP, mauvais patterns
• Administrer et optimiser SonarQube — configuration des règles, suivi des métriques
• Former et accompagner les équipes dev — OWASP Top 10, secure coding, gestion des secrets

Migration & sécurisation de l'infrastructure

• Participer à la migration vers Kubernetes — sécurisation des clusters, Network Policies, secrets management
• Définir et appliquer les bonnes pratiques de sécurité sur la nouvelle infrastructure
• Contribuer à la modernisation de nos outils d'observabilité et de monitoring
• Sécuriser les images Docker — scanning, hardening, registre privé

Monitoring & détection

• Participer à l'évolution de notre SIEM Wazuh — règles de détection, corrélation d'événements
• Surveiller les anomalies applicatives à caractère sécuritaire en production
• Travailler en binôme avec le RSSI sur les incidents de sécurité

Gestion des vulnérabilités

• Piloter le processus de patching — identifier, prioriser et coordonner la correction des CVE
• Gérer et automatiser les mises à jour des dépendances applicatives
• Garantir qu'aucune donnée de santé ne transite hors des environnements autorisés — DLP

Conformité & certifications

• Participer aux audits HDS et ISO 27001 — volet sécurité applicative
• Travailler en lien avec le DPO / Responsable Juridique sur les sujets de sécurité des données de santé
• Sécuriser et industrialiser les pipelines CI/CD
• Mettre en place le scan automatique de l'IaC
• Automatiser les processus de sécurité — patch management, rotation des secrets, scan des images

Votre profil

Formation & expérience

• Bac+4 à Bac+5 en informatique ou sécurité — école d'ingénieurs ou équivalent
• 3 à 5 ans d'expérience en DevSecOps ou sécurité applicative
• Expérience en environnement SaaS ou éditeur logiciel — idéalement avec des contraintes réglementaires
• Connaissance des environnements HDS ou ISO 27001 appréciée

Compétences techniques

• Maîtrise de SonarQube — configuration, règles personnalisées, intégration CI/CD
• Bonne connaissance des tests de sécurité applicative — SAST, DAST, pentesting applicatif
• Maîtrise des pipelines CI/CD — GitLab CI, GitHub Actions
• Connaissance des vulnérabilités OWASP Top 10 et des patterns de remédiation
• Bonne compréhension des stacks Angular, Java, PHP Symfony
• Connaissance de Docker et Kubernetes — sécurisation des conteneurs et clusters
• Linux — administration et scripting bash/Python
• Connaissance des outils Wazuh, Bitdefender EDR, Dynatrace appréciée

Compétences appréciées

• Expérience Infrastructure as Code — Terraform, Ansible
• Connaissance des normes HDS — données de santé
• Certification sécurité — CEH, OSCP, GWEB ou équivalent

Savoir-être

• Pédagogue — vous expliquez les risques sans bloquer le business
• Rigueur — dans un contexte de données de santé, la sécurité n'est pas négociable
• Curiosité — vous suivez l'actualité CVE et les nouvelles techniques d'attaque
• Esprit d'équipe — vous travaillez main dans la main avec les devs
• Autonomie — vous identifiez les risques et proposez des solutions sans attendre