Description du poste
Tests d'intrusion (Pentest) :
• Planifier et réaliser des tests d'intrusion applicatifs (web, API REST/GraphQL, mobile) en boîte noire, grise et blanche.
• Réaliser des audits de configuration et des revues de code sécurité ciblées.
• Exploiter les vulnérabilités de manière contrôlée pour en démontrer l'impact réel (preuve de concept).
• Couvrir les référentiels OWASP Top 10, OWASP ASVS, OWASP API Security Top 10 et OWASP Testing Guide.
• Rédiger des rapports d'audit clairs et hiérarchisés (synthèse managériale + détail technique), avec recommandations de remédiation.
• Effectuer les contre-audits pour vérifier la correction des vulnérabilités.
• Participer aux programmes de bug bounty et gérer les signalements externes le cas échéant.
Conformité et gouvernance :
• Piloter et maintenir la conformité aux référentiels : ISO 27001/27002, RGPD (et Loi marocaine 09-08 sur la protection des données personnelles).
• Réaliser les analyses de risques (EBIOS RM, ISO 27005) sur les projets et applications.
• Rédiger et faire vivre les politiques, normes et procédures de sécurité (PSSI, chartes, standards de développement sécurisé).
• Préparer et accompagner les audits internes et externes de certification.
• Suivre les plans d'action et de remédiation avec les équipes concernées.
• Intégrer la sécurité dans les projets dès la conception (Security by Design, revues d'architecture).
Sensibilisation et amélioration continue :
• Former et sensibiliser les développeurs à la sécurité applicative (secure coding, ateliers, CTF internes).
• Assurer une veille active sur les vulnérabilités (CVE, exploits, advisories) et les évolutions réglementaires.
• Contribuer à la réponse aux incidents de sécurité (analyse, containment, retour d'expérience).
Profil recherche
Hard Skills :
• Formation : Bac+5 en cybersécurité, informatique ou équivalent.
• Expérience : 3 ans minimum en tests d'intrusion et/ou audit de sécurité, avec exposition aux sujets de conformité.
• Certifications appréciées : OSCP, eWPT/eWPTX, BSCP (Burp Suite Certified Practitioner), CEH, ISO 27001 Lead Implementer/Auditor, CISA.
• Pentest web/API : maîtrise de Burp Suite Pro, OWASP ZAP, Nmap, Nuclei, sqlmap, Metasploit, ffuf/dirsearch.
• Vulnérabilités applicatives : injections (SQLi, XSS, SSTI, SSRF), IDOR/BOLA, failles d'authentification et de session, désérialisation, CSRF, misconfigurations.
• Développement : lecture de code (JavaScript/Node.js, Python), scripting d'exploitation (Python, Bash).
• Protocoles et web : HTTP/S, TLS, OAuth2/OIDC, JWT, SAML, WebSockets.
• Conformité : ISO 27001, RGPD/Loi 09-08, PCI-DSS ; méthodologies EBIOS RM / ISO 27005.
• Outils GRC : la maîtrise d'un outil de gestion des risques/conformité est un plus.
Soft Skills :
• Éthique irréprochable et respect strict du cadre légal des tests.
• Curiosité et créativité offensive (« attacker mindset »).
• Excellentes capacités rédactionnelles (rapports destinés à des publics techniques et non techniques).
• Pédagogie, diplomatie et capacité à dialoguer avec les métiers et la direction.