Auditeur cybersécurité technique / Pentester

Contexte de la mission

La mission est de réaliser ou de piloter les audits cybersécurité du SI et des plateformes de services de Client : tests d'intrusion, audits de configuration et de durcissement, audits d'accès, audits d'architecture et audits organisationnels.

Selon la nature du besoin, l'audit est conduit directement par le prestataire ou confié à un cabinet externe — la mission couvre alors le cadrage, la sélection du cabinet, le pilotage de l'intervention et le challenge du livrable. Dans les deux cas, elle inclut la restitution aux parties prenantes et le suivi de la remédiation.

Le périmètre est large : applications web et mobiles, API, infrastructures internes, exposition Internet, environnements Cloud et conteneurisés, briques d'identité et systèmes à base d'IA générative. La dominante est technique, sans se limiter au test d'intrusion.

Objectifs et livrables

Réalisation de tests d'intrusion

Cadrage technique des campagnes avec les équipes MOE, exploitants et métier : périmètre, scénarios d'attaque, règles d'engagement, fenêtres de tir et autorisations de test

Réalisation de tests d'intrusion en boîte noire, grise ou blanche sur applications web et mobiles, API (REST, GraphQL), infrastructures internes et périmètre exposé

Tests sur les briques d'authentification et de gestion d'identité (SSO, OIDC/OAuth2, SAML, parcours d'inscription et de récupération de compte)

Qualification de l'exploitabilité réelle des vulnérabilités, construction de preuves de concept et démonstration des chemins d'attaque de bout en bout

Cotation des vulnérabilités (Barème interne complété d'une appréciation du risque métier)

Rédaction du rapport de test d'intrusion : synthèse exploitable par un public non technique et détail technique reproductible

Réalisation d'audits de configuration et de durcissement

Audit de configuration de systèmes (Linux, Windows, Active Directory), de composants d'infrastructure (reverse proxies, WAF, équipements réseau, bases de données) et de services Cloud, au regard des référentiels internes, des CIS Benchmarks et des guides de l'ANSSI

Revue des droits et des configurations d'accès sur les SI sensibles

Réalisation d'audits d'architecture et d'audits organisationnels (activité ponctuelle)

Revue de sécurité d'architecture sur des projets structurants : analyse des dossiers d'architecture, identification des défauts de cloisonnement, des flux et expositions non maîtrisés et des points de rupture dans la chaîne d'authentification

Audits organisationnels ciblés auprès d'équipes techniques (ISP, développement logiciel) et d'équipes métier (usage du Data Lake, traitement de données personnelles) : conduite d'entretiens, collecte de preuves et évaluation des pratiques au regard des exigences internes et de ReCyF (NIS2)

Formalisation des constats avec leur niveau de risque et articulation avec les constats techniques issus des tests d'intrusion et des audits de configuration

Pilotage d'audits réalisés par un cabinet