Le poste en bref
Via.io recherche un ingénieur ou une ingénieure cybersécurité. Le périmètre du poste couvre les filiales du groupe Via.io. Le ou la titulaire porte la gouvernance ISO 27001 et en est l'expert IAM. Il ou elle est aussi le référent technique sécurité des produits SaaS des filiales, de la conception à l'exploitation. Le poste est technique pour moitié ; l'autre moitié couvre la gouvernance ISO 27001 et le RGPD.
Interlocuteurs
Rôle transverse dans toutes les filiales du groupe, en lien étroit avec les équipes R&D et Ops.
Priorités à l'arrivée
Prise en main de Keycloak, au cœur de l'authentification et de l'autorisation des produits Apizee ; maintien de la certification ISO 27001.
Missions et activités
Trois missions structurent le poste ; les parts de temps sont indicatives.
≈ 50 %Gouvernance ISO 27001 et RGPD
- Porter le volet IAM du SMSI : politique de gestion des identités et des accès, politique de mots de passe, procédures d'accès, d'arrivée et de départ. Mener les revues périodiques des droits d'accès sur les actifs critiques, tenir à jour le registre unifié des identités et des accès, et suivre ses indicateurs.
- Automatiser ces revues avec Assets Guardian, outil open source (Python) publié par Apizee : connecteurs, moteur de règles, rapports et alertes.
- Contribuer à l'ensemble des volets de l'ISO 27001 : analyse de risques (EBIOS RM), supervision et résilience des plateformes, gestion des incidents de sécurité, etc.
- Traiter les écarts d'audit de sécurité et contribuer à l'élaboration du plan de remédiation des non-conformités identifiées.
- Traiter les demandes techniques liées au RGPD comme l'exercice du droit à l'effacement, ou encore, la mise à jour du registre des activités de traitement.
- Concevoir et animer les actions de sensibilisation de l'ensemble des collaborateurs (campagnes de phishing simulé, présentations).
- Détecter et traiter les incidents de sécurité : exploiter les alertes de différentes sources (SOC et EDR), analyser les journaux centralisés dans ELK et les résultats de supervision, puis coordonner le traitement technique (qualification, stratégie de remédiation, restitution).
≈ 25 %IAM et Keycloak
- Administrer les instances Keycloak de tous les environnements : montées de version (Keycloak, PostgreSQL) et durcissement des configurations.
- Auditer la configuration des royaumes, des clients, des connexions aux fournisseurs d'identité tiers et, plus largement, des flux d'authentification (OpenID Connect, SAML 2.0, OAuth 2.0).
- Faire évoluer le modèle d'autorisations des produits Apizee, délégué à Keycloak (PBAC, FGAC, RBAC, ReBAC ; Keycloak Authorization Services).
- Assurer le support N2/N3 sur Keycloak, notamment sur les connexions SSO, et accompagner les intégrations des grands comptes.
- Outiller l'administration de Keycloak : migrations et contrôle de conformité des royaumes.
- Administrer le volet IAM de Microsoft 365 (Microsoft Entra ID) : comptes, accès des prestataires, SSO des applications tierces, durcissement et audits.
- Administrer les identités et les accès de GitLab : comptes, accès des prestataires, durcissement et audits.
- Contrôler les identités et les accès des outils internes du SI, dans le respect des principes du moindre privilège et du besoin d'en connaître.
≈ 25 %Sécurité des produits et de l'hébergement
- Jouer le rôle de référent sécurité auprès des équipes de R&D (Security by Design et Privacy by Design), de la conception d'un produit ou d'une fonctionnalité jusqu'à sa mise en production : architecture logicielle, cloisonnement des accès, choix cryptographiques, sécurité des CI/CD et minimisation des données (RGPD).
- Jouer le rôle de référent sécurité auprès de l'équipe Plateforme/Ops pour l'hébergement : mise en place des solutions de sécurité (WAF, gestion des secrets, EDR), choix cryptographiques, supervision et architecture Kubernetes.
- Former les équipes R&D et Plateforme/Ops au développement et à l'exploitation sécurisés.
- Traduire les exigences de sécurité des grands comptes en plans d'action, et participer à la réponse aux questionnaires de sécurité et aux appels d'offres.
- Assurer une veille active sur les menaces et les vulnérabilités couvrant l'ensemble de l'environnement technologique des filiales (produits, hébergement, outils internes) : qualifier leur impact et déclencher les mises à jour ou correctifs avec les équipes concernées.
Profil recherché
Le poste s'adresse à un ingénieur ou une ingénieure sécurité à dominante GRC et IAM, capable de développer ses propres outils pour automatiser ce qui peut l'être dans une entreprise à taille humaine.
Compétences indispensables
- Protocoles d'identité (OAuth 2.0, OpenID Connect, SAML 2.0, JWT, PKCE) et administration d'un fournisseur d'identité, idéalement Keycloak.
- Bases solides en gouvernance ISO 27001 (construction d'un SMSI), en analyse de risques (EBIOS RM, par exemple) et en RGPD.
- Administration de Microsoft 365, principalement Microsoft Entra ID (Microsoft Intune est un plus).
- Sécurité des applications web : OWASP Top 10, authentification et autorisation, gestion des secrets, etc.
- Développement de scripts et d'outils en Python et/ou PowerShell, consommation d'API REST.
Atouts
- DevSecOps : GitLab CI/CD, Docker, Kubernetes.
- Certification ISO 27001 Lead Implementer.
- Développement web en JavaScript/TypeScript sur des frameworks Node.js.
Savoir-être
- Qualité rédactionnelle : rédaction de politiques et de procédures dans le cadre de l'ISO 27001.
- Pédagogie : sensibiliser la R&D, l'équipe Ops, les équipes commerciales et la direction aux enjeux de la cybersécurité.
- Posture de conseil : arbitrer entre exigences de sécurité et besoins métier sans bloquer les projets.
- Autonomie et rigueur documentaire : tracer et prouver, comme l'exige l'ISO 27001.
Pour candidater
Employeur : Via.io. Périmètre : les filiales du groupe Via.io. Le poste est basé au 152 boulevard Pereire, 75017 Paris.
Postuler à jobs@via.io