Un poste d’ingénieur senior en sécurité applicative est à pourvoir pour développer et faire évoluer la sécurité de plateformes internes et d’applications SaaS B2B.

Ce rôle technique et opérationnel implique une collaboration étroite avec les équipes de développement et d’ingénierie tout au long du cycle de développement logiciel. Vous identifierez et validerez les vulnérabilités, accompagnerez leur correction et développerez les automatisations, outils et garde-fous nécessaires pour empêcher les problèmes de sécurité d’atteindre la production.

Le périmètre couvre la revue de code sécurisé, la sécurité de la chaîne d’approvisionnement logicielle, l’infrastructure en tant que code, le cycle de développement sécurisé, la modélisation des menaces, les tests de sécurité continus, la gestion des vulnérabilités et l’architecture de sécurité applicative.

Une part importante du poste consiste à explorer les usages de l’intelligence artificielle, de l’automatisation et des outils internes pour améliorer la détection, la validation, la priorisation, la correction et la prévention des vulnérabilités. L’objectif dépasse l’exécution d’outils et la production de rapports : il s’agit de résoudre les problèmes à leur source, aux côtés des équipes techniques.

**Missions principales**

**Sécurité applicative**
– Réaliser des revues de code sous l’angle de la sécurité et identifier les vulnérabilités avant la mise en production.
– Collaborer avec les développeurs pour valider les résultats, comprendre les causes profondes et proposer des recommandations de correction concrètes.
– Accompagner la conception sécurisée et la modélisation des menaces pour les fonctionnalités à risque élevé et les évolutions d’architecture.
– Contribuer à définir des standards de développement sécurisé et des modèles de mise en œuvre sécurisés, réutilisables à grande échelle.

**Gestion et correction des vulnérabilités**
– Qualifier les signalements issus des plateformes de bug bounty, des tests de sécurité et d’autres sources.
– Prioriser les vulnérabilités selon leur exploitabilité, le contexte technique et leur impact sur l’activité.
– Travailler directement avec les équipes d’ingénierie jusqu’à la correction et à sa vérification.
– Identifier les schémas de vulnérabilités récurrents et mettre en place des contrôles pour éviter leur réapparition.

**Outils et automatisation de la sécurité applicative**
– Développer et améliorer les automatisations, les contrôles de sécurité et les garde-fous destinés aux développeurs tout au long du cycle de développement.
– Maintenir et faire évoluer les outils internes de sécurité applicative, notamment les fonctionnalités fondées sur MCP et les contrôles alignés sur les recommandations de l’OWASP.
– Explorer les applications concrètes de l’IA pour la détection, la validation, la priorisation et la correction des vulnérabilités, ainsi que pour la revue de code sécurisé.
– Renforcer l’intégration de la sécurité dans les pipelines CI/CD et les processus de travail des développeurs.

**Sécurité de la chaîne d’approvisionnement logicielle et du cloud**
– Contribuer à sécuriser les dépendances tierces, les pipelines de compilation, les conteneurs, les secrets et les artefacts logiciels.
– Examiner l’infrastructure en tant que code et les configurations des applications cloud afin d’identifier les faiblesses de sécurité.
– Analyser les résultats pertinents des plateformes de gestion de la posture de sécurité cloud et des outils similaires, puis engager les actions nécessaires.
– Collaborer avec les équipes applicatives, plateformes et infrastructure sur les risques transversaux.

**Accompagnement des développeurs**
– Être un interlocuteur de confiance en sécurité applicative pour les équipes d’ingénierie.
– Conseiller sur le développement sécurisé, l’architecture et les bonnes pratiques de sécurité applicative.
– Aider les développeurs à comprendre l’origine des vulnérabilités et les moyens de les prévenir.
– Améliorer les pratiques de sécurité sans créer de contraintes inutiles ni ralentir les équipes.

**Compétences et expérience**
– Solide expérience pratique en sécurité applicative dans des environnements modernes d’ingénierie logicielle.
– Expérience dans l’identification et la validation de vulnérabilités d’applications web et d’API.
– Expérience en revue de code source et en collaboration directe avec les développeurs pour corriger les vulnérabilités.
– Bonne maîtrise des recommandations de l’OWASP, des pratiques de développement sécurisé et de la modélisation des menaces.
– Connaissance des approches SAST, DAST, SCA, de la détection de secrets et des autres méthodes de test de sécurité applicative.
– Expérience en sécurité de la chaîne d’approvisionnement logicielle, CI/CD, environnements cloud et infrastructure en tant que code.
– Expérience des programmes de gestion des vulnérabilités, de bug bounty ou de tests d’intrusion.
– Capacité à automatiser les processus de sécurité grâce à des compétences en scripting ou en développement logiciel.
– Capacité à distinguer les risques de sécurité significatifs du bruit généré par les outils d’analyse.
– Excellentes aptitudes à la communication et capacité à influencer les équipes d’ingénierie sans autorité hiérarchique directe.

**Critères de réussite**

La réussite ne se mesure pas uniquement au nombre de vulnérabilités détectées. Elle repose sur la correction des problèmes significatifs, la prévention des catégories de vulnérabilités récurrentes, l’amélioration des pratiques de développement sécurisé et l’utilisation de l’automatisation pour permettre à la sécurité applicative de passer à l’échelle.