FR

Applications Architect avec focus sur la sécurité

Contexte de la mission :

L’aspect sécurité dans le développement de nouveaux logiciels est un élément important dans la nouvelle réglementation NIS2, en vigueur depuis octobre 2024. Dans le cadre belge CyFun – élaboré par le Centre pour la Cybersécurité de Belgique, il sert de point de contrôle pour garantir que les entreprises et les institutions publiques sont conformes à la réglementation.

PR.IP-2 : Le processus de développement pour les systèmes critiques et les composants système doit couvrir l’ensemble du cycle de conception et prévoir une description des propriétés fonctionnelles des contrôles de sécurité, ainsi que des informations de conception et de mise en œuvre pour les interfaces système pertinentes en matière de sécurité.

Au sein du SPF Justice, nous souhaitons que cette réglementation soit plus qu’une simple checklist de procédures et de cases à cocher, et voulons intégrer le secure development dans nos procédures quotidiennes et notre manière de travailler. À cet effet, nous lançons un projet autour du secure development dont ceci constitue le point de départ.

Le profil que nous recherchons est un architecte applicatif expérimenté avec une connaissance approfondie de la sécurité ou un architecte sécurité avec une connaissance approfondie du développement applicatif. Il/elle a de l’expérience dans la mise en œuvre et l’analyse des modifications nécessaires dans un processus de développement, et sait les cartographier et les documenter de manière compréhensible. Ce profil peut communiquer aussi bien avec des profils très techniques qu’avec des profils moins techniques, et est capable de promouvoir de manière convaincante les concepts nécessaires autour de la sécurité et du développement.

Pour la mise en place d’une pratique Secure Development au sein du SPF Justice, il a été choisi de se baser sur le Software Assurance Maturity Model (SAMM) de l’Open Worldwide Application Security Project (OWASP), un framework qui aide les organisations à améliorer la sécurité de leur logiciel via des best practices et des objectifs mesurables. Une connaissance de ce framework est donc recommandée.

Le profil viendra en aide aux équipes existantes pour incorporer le secure development dans leurs missions quotidiennes et posera ainsi les bases des fondations d’un programme secure development au sein du SPF Justice. L’accent est mis sur le SecDevOps et son introduction.

En décrivant, documentant et enseignant ces méthodologies, le profil contribue activement à renforcer la sécurité des programmes développés au sein et pour le SPF Justice. De plus, l’objectif est d’augmenter la maturité globale en matière de sécurité au sein des équipes de développement. Le profil participera à la mise en place de dashboards pour l’application security, et à l’établissement et la documentation des routines nécessaires pour améliorer en permanence la sécurité des développements.

Un résultat important de ce projet est une directive standard sur la façon d’appliquer activement le secure development, non seulement pour les projets internes mais aussi pour les fournisseurs, ainsi qu’une security matrix pouvant être utilisée pour évaluer des projets externes.

Étant donné qu’il s’agit du début du projet, le profil doit posséder l’expérience et la maturité nécessaires pour assumer le rôle de project-lead. En outre, il/elle devra participer aux réunions nécessaires pour rapporter sur la planification et l’avancement du projet, et assurer la documentation requise sur la méthodologie choisie et la manière dont elle peut être mise en œuvre.

Dans le cadre de la mission, le profil pourra également être sollicité pour développer et dispenser les formations nécessaires sur le secure development aux équipes concernées.

En tant qu’expert architect, le profil est capable d’évaluer et de commenter les conceptions techniques, et de fournir des conseils fondés aussi bien sur l’infrastructure de base (hardware), que sur le software et la méthodologie.

Expertise requise :

• Expérience démontrable dans des trajectoires similaires dans un environnement de taille équivalente à celui du SPF Justice
• Minimum 3 ans d’expérience dans la revue d’architectures de sécurité
• Minimum 3 ans d’expérience dans la mise en place d’outils SCA, SAST et DAST dans une chaîne CI/CD
• Minimum 3 ans d’expérience en DevSecOps
• Connaissance de Project Management
• Agile / Lean Software Development
• Security Frameworks (CyFun/SAMM/…)
• Quality Assurance & Testing (test-driven development)
• Sens du résultat, orientation client, sens des responsabilités
• Capacité de planification et d’organisation, capacité à diriger, contrôler et