Expert Remédiation Cybersécurité

Lexfo, filiale du groupe Forward Global, est un cabinet d’audit délivrant une expertise technique complète sur les sujets de Cybersécurité. Avec une centaine de collaborateurs experts et passionnés à son bord, Lexfo intervient auprès de nombreux clients afin d'assurer la détection et l'exploitation de vulnérabilités, la recherche de fuites de données, la réponse à incident de sécurité ainsi que la formation.

Dans le cadre du développement de nos activités, nous recrutons un Expert Remédiation Cybersécurité.

Au sein de la division Réponse à Incident & Remédiation, vous rejoindrez le CSIRT en tant qu’expert technique de la remédiation. Vous interviendrez à la suite d’incidents de sécurité pour assainir, reconstruire et durcir les systèmes d’information de nos clients, mais également à l’issue d’audits techniques de sécurité (tests d’intrusion, audits Active Directory, d’architecture ou de configuration) pour transformer les constats en actions concrètes et accompagner leur mise en œuvre.

L’objectif est de permettre à nos clients de reprendre leur activité sur un socle de confiance après une compromission et de convertir les recommandations d’audit en gains de sécurité mesurables. Ce poste vise à doter le CSIRT d’une capacité de remédiation interne, dédiée et pérenne, au plus près de nos clients, tous secteurs d’activité confondus. L’activité de réponse à incident de Forward Cyber (Lexfo) est qualifiée PRIS (Prestataire de Réponse aux Incidents de Sécurité) par l’ANSSI. Dans le contexte des travaux et réflexions menés par l’ANSSI pour structurer et encadrer les activités de remédiation, ce recrutement revêt un caractère stratégique : il doit permettre au CSIRT d’anticiper ces évolutions et de proposer à ses clients une offre de remédiation de confiance, alignée sur les exigences de l’Agence.

Missions :

Remédiation post-incident (CSIRT)

• Définir et mettre en œuvre les mesures d’endiguement (isolement, blocage des accès, rotation des secrets), puis d’éradication de la menace (suppression des mécanismes de persistance, des comptes et des accès illégitimes), en lien avec les analystes forensiques.

• Concevoir et piloter la reconstruction des briques critiques du SI (Active Directory, messagerie, virtualisation, sauvegardes) et accompagner le redémarrage maîtrisé des services métiers.

• Assainir les annuaires et environnements d’identité (Active Directory, Entra ID), réinitialiser les comptes à privilèges et les secrets sensibles (krbtgt, comptes de service), revoir les délégations et les droits.

• Proposer et déployer des mesures de durcissement immédiates pour limiter le risque de re-compromission (modèle d’administration en tiers, segmentation, filtrage, EDR, journalisation).

• Formaliser le plan de remédiation à court, moyen et long terme et contribuer aux retours d’expérience (RETEX).

Remédiation post-audit de sécurité

• Exploiter les livrables des audits (tests d’intrusion, Red Team, audits Active Directory, d’architecture, de configuration ou de code) pour qualifier et prioriser les vulnérabilités selon le risque et le contexte du client.

• Construire des plans d’actions priorisés, réalistes et chiffrés, en concertation avec les équipes IT et sécurité du client.

• Accompagner, voire réaliser directement, les corrections techniques (configurations, correctifs, durcissement Active Directory et systèmes, gestion des droits, segmentation réseau).

• Vérifier l’efficacité des corrections (contre-audit, tests de non-régression sécurité) et suivre l’avancement jusqu’à la clôture des constats.

• Travailler en étroite collaboration avec les auditeurs pour proposer une offre « audit + remédiation » cohérente et de bout en bout.

Expertise, capitalisation & avant-vente

• Formaliser et faire évoluer les méthodologies, procédures, scripts et modèles de livrables de remédiation du CSIRT, en cohérence avec le référentiel PRIS de l’ANSSI.

• Rédiger des livrables de qualité (plans de remédiation, guides de durcissement, comptes rendus d’intervention), adaptés aux interlocuteurs techniques comme aux directions.

• Contribuer aux phases d’avant-vente (cadrage technique, estimation des charges, rédaction de propositions techniques) et détecter les opportunités de cross-sell (audit, récupération de données, gestion de crise).

• Assurer une veille continue sur les menaces, les techniques d’attaque et les bonnes pratiques de sécurisation (guides ANSSI, CIS Benchmarks, recommandations éditeurs).

• Suivre les travaux de l’ANSSI relatifs à l’intégration de la remédiation dans le référentiel PRIS ainsi que l’évolution de son corpus doctrinal sur la remédiation