Contexte

Dans le cadre du renforcement de sa gouvernance cybersécurité et de la mise en conformité avec plusieurs exigences réglementaires et normatives, la STIB recherche un(e) Security Compliance Consultant.

Le consultant interviendra au sein du programme cybersécurité afin de construire, maintenir et faire évoluer le référentiel de conformité permettant de répondre aux exigences de plusieurs cadres réglementaires et normatifs, notamment :

• NIS2
• PCI DSS
• Cyber Resilience Act (CRA)
• Toute autre exigence réglementaire ou normative applicable à l’organisation

La mission est principalement orientée vers la construction du cadre de conformité, la formalisation des exigences et la définition des contrôles. Le consultant ne sera pas responsable de l’exécution opérationnelle des contrôles, qui restera du ressort des équipes métiers et IT concernées.

Le consultant sera chargé de traduire les exigences réglementaires, normatives et de cybersécurité en un dispositif de conformité cohérent, mesurable, auditable et durable.

À ce titre, il assurera la définition et le maintien des référentiels de contrôle, des méthodologies d’évaluation, des exigences de preuve ainsi que des mécanismes de reporting associés.

Responsabilités principales

Construction et maintien des référentiels de contrôle

• Analyser les exigences réglementaires et normatives applicables.
• Traduire ces exigences en contrôles concrets et mesurables.
• Construire et maintenir les référentiels de contrôle associés à :
• NIS2
• PCI DSS
• CRA
• autres cadres réglementaires applicables.
• Définir pour chaque contrôle :
• l’objectif ;
• les critères d’évaluation ;
• les exigences de preuve ;
• les rôles et responsabilités ;
• les indicateurs de suivi ;
• le niveau de maturité attendu.

Gouvernance de la conformité

• Maintenir la traçabilité entre :
• exigences réglementaires ;
• risques cybersécurité ;
• contrôles ;
• plans de remédiation ;
• éléments de preuve.
• Définir les mécanismes de gouvernance permettant le suivi de la conformité.
• Participer à la définition des processus de monitoring et d’escalade.