Ingénieur sécurité infrastructure et applicatif F/H

Vos missions (activités, responsabilités) Vous serez en charge de :
* Réaliser et tenir à jour les SBOM pour chaque release, en veillant à leur exhaustivité et à leur traçabilité
* Mettre en œuvre le cycle opérationnel de gestion des vulnérabilités (veille, triage, VEX, suivi de remédiation) selon les processus établis
* Produire et maintenir la documentation technique de sécurité et les preuves associées, de manière à les rendre exploitables et auditables
* Instruire et préparer les éléments factuels nécessaires aux décisions de notification réglementaire, dans les délais utiles, pour les soumettre à l’encadrement
* Élaborer le reporting destiné à la commission sécurité et au SMQ (Système de Management de la Qualité), sur la base des indicateurs convenus
* Alerter sans délai sa hiérarchie et le Process manager en cas de vulnérabilité critique, d’exploitation active ou d’incident grave
* Solliciter l’encadrement pour tout arbitrage de priorisation, acceptation de risque ou décision dépassant son périmètre Vos missions seront les suivantes : En matière de sécurité applicative : Construction et alimentation du SBOM (Software Bill Of Materials) :
* Définir et maintenir la chaîne de génération du SBOM pour chaque produit et chaque version : génération automatisée à la production de l’artefact
* Intégrer cette génération dans la chaîne CI/CD
* Garantir l’exhaustivité et la mise à jour des inventaires
* Tenir à jour la cartographie des composants tiers et open source utilisés Gestion des vulnérabilités :
* Assurer une surveillance en continu des vulnérabilités affectant les composants inventoriés (corrélation SBOM / CVE / VEX)
* Réaliser le triage des alertes et évaluer l’exploitabilité réelle (VEX)
* Suivre la remédiation avec les équipes de développement : priorisation, définition des délais et vérification de la correction Processus réglementaire & divulgation :
* Opérer le point d’entrée de la politique de divulgation coordonnée des vulnérabilités (CVD) : réception, qualification, suivi.
* Instruire les éléments nécessaires aux notifications réglementaires (vulnérabilités activement exploitées, incidents graves) afin de permettre aux Directions de décider dans les délais imposés par le cadre réglementaire. Documentation & preuves :
* Contribuer et maintenir les éléments de documentation technique sur le périmètre vulnérabilités / SBOM
* Suivre les engagements de mises à jour de sécurité sur la période de support annoncée Reporting & animation :
* Préparer les indicateurs et l’état des actions pour la commission sécurité (vulnérabilités, délais de remédiation, couverture SBOM, etc.)
* Alimenter le Système de Management de la Qualité (SMQ) avec ces livrables En matière de sécurité de l’infrastructure :
* Contribuer au durcissement et à la surveillance de l’infrastructure
* Participer à la gestion des vulnérabilités d’infrastructure dans la continuité du dispositif applicatif
* Appuyer la mise à niveau de l’organisation vers les exigences relatives à l’ISO 27001 / NIS2 (preuves, contrôles, suivi)

Profil recherché
* Bac + 5 en informatique / cybersécurité ou équivalent
* 2 ans d’expérience minimum souhaitée en matière de sécurité applicative, DevSecOps, développement orienté sécurité…
* Première expérience professionnelle appréciée dans un environnement réglementé (santé, industrie, etc.)
* Forte motivation pour monter en compétences sur les sujets suivants : ISO 27001, NIS2, Cyber Resilience Act et, à terme, sur la sécurité d’infrastructure Compétences attendues Techniques
* Bonne compréhension des principes de la sécurité applicative et de la supply chain logicielle
* Maîtrise ou forte appétence pour les outils SBOM (SPDX, CycloneDX)
* Compréhension des CVE, CVSS, du triage et de l’évaluation d’exploitabilité
* Pratique des chaînes CI/CD et capacité à y intégrer des contrôles automatisés
* Notions en sécurité d’infrastructure (systèmes, conteneurs)
* Aisance avec le scripting (Python, Bash…) pour automatiser les tâches récurrentes Méthodologiques et qualité
* Forte appétence pour la qualité : rigueur documentaire, traçabilité et sens de la preuve, en cohérence avec notre environnement réglementé (CE, ISO 13485)
* Sensibilité aux cadres normatifs réglementaires (ISO 27001, NIS2, CRA — formation prévue)
* Capacité à formaliser des procédures et à produire des indicateurs exploitables Relationnelles
* Bonne communication avec les équipes techniques
* Autonomie sur l’aspect opérationnel, tout en sachant escalader au bon niveau
* Capacité à travailler en transverse (R&D, Technologie, Qualité) Environnement technique
* Postes de travail sous Windows 7, 10 et 11
* Outils de gestion de projet
* Environnement systèmes et infrastructures : Linux, Windows Server, Docker, virtualisation, EntraId / Active Directory
* Outils associés : machines virtuelles (VM), suite Microsoft Office, VPN
* Utilisation de l’outil métier DIANE (Delphi, Golang, JAVA,...) BOW MEDICAL conçoit et développe, depuis