Ingénieur·e sécurité

🔥 il y a 6 heures

Postuler Maintenant

Trouver des Emplois à Distance Similaires

Configurer une alerte email pour les nouveaux emplois

📊 Vérifiez votre score de CV pour ce poste

Améliorez vos chances d'obtenir un entretien en vérifiant votre score de CV avant de postuler.

Télécharger le CV

CINC Systems

Site WebLinkedInTous les Emplois

201 - 500 employés

Fondée en 2005

☁️ SaaS

🏠 Immobilier

🤝 B2B

💰 Private Equity Round - CINC Systems en 2023-12

SaaS • Real Estate • B2B

CINC Systems est une plateforme logicielle tout-en-un basée sur le cloud pour la gestion des associations communautaires (syndicats de copropriétaires et associations de propriétaires) qui aide les sociétés de gestion, les conseils d'administration et les propriétaires à simplifier les opérations et améliorer l'expérience des résidents. La plateforme propose une gestion et une supervision financière (y compris les paiements en ligne et un portail de paiement sécurisé), des rapports et prévisions pilotés par l'IA (Cephai), des outils de communication et d'engagement des résidents, des votes et sondages en ligne, la coordination de la maintenance/ordres de travail, le suivi de la conformité, ainsi que des données et insights centralisés. CINC cible les entreprises de gestion professionnelle des associations et les conseils d'administration des propriétaires grâce à l'automatisation, la sécurité et l'évolutivité; l'entreprise rapporte plus de 1 000 clients sociétés de gestion d'associations, plus de 51 000 associations de propriétaires servies, plus de 6 millions de portes, et plus de 11 milliards de paiements traités annuellement.

Description

• Piloter les revues de sécurité d’applications web, d’APIs, de microservices, de charges de travail AWS, de plateformes internes et de produits intégrant de l’IA. • Réaliser des tests avancés de sécurité applicative en utilisant SAST, DAST, SCA, revue de code manuelle, tests d’API et tests de logique métier. • Identifier les vulnérabilités liées à l’authentification, l’autorisation, la gestion de session, le contrôle d’accès, les injections, le SSRF, la désérialisation, la gestion de fichiers non sécurisée, l’exposition de données et la conception d’API non sécurisée. • Effectuer de la modélisation des menaces pour les nouveaux produits, les fonctionnalités critiques, les architectures AWS, les workflows IA, les systèmes d’identité et les flux de données à haut risque. • Concevoir et améliorer des processus SDLC sécurisés, incluant les exigences de sécurité, le scan de code, la revue des dépendances, des garde-fous CI/CD et des évaluations des risques avant publication. • Revoir des templates Infrastructure-as-Code tels que Terraform, CloudFormation, AWS CDK, charts Helm et manifests Kubernetes pour détecter des mauvaises configurations de sécurité. • Évaluer les environnements AWS pour détecter des faiblesses IAM, des services exposés, des réseaux non sécurisés, des buckets S3 publics, des fuites de secrets, des lacunes de journalisation, des problèmes de chiffrement, des risques applicatifs et des voies d’escalade de privilèges. • Examiner les politiques IAM AWS, les rôles, les relations de confiance, les limites de permissions, les Service Control Policies, la fédération d’identité et les modèles d’accès inter-comptes. • Évaluer des services AWS tels que EC2, S3, Lambda, ECS, EKS, RDS, API Gateway, CloudFront, WAF, KMS, Secrets Manager, Systems Manager, ECR, VPC, Route 53 et IAM Identity Center. • Mener des exercices de red team, des simulations d’adversaires, des analyses de chemins d’attaque et des exploitations contrôlées pour valider le risque en conditions réelles. • Développer des preuves de concept d’exploit, des scripts personnalisés et des automatisations pour reproduire des vulnérabilités et démontrer l’impact métier. • Évaluer les environnements conteneurisés et Kubernetes, y compris EKS, pour l’isolation des charges, les problèmes RBAC, les services exposés, les risques d’images, la gestion des secrets et les lacunes de sécurité au runtime. • Auditer les pipelines CI/CD pour détecter des workflows non sécurisés, des tokens sur-privilégiés, l’exposition de secrets, des risques de chaîne d’approvisionnement, l’intégrité des artefacts et des vecteurs d’abus de déploiement. • Réaliser des analyses de composition logicielle (SCA) pour identifier des dépendances vulnérables, des risques de licence, des packages malveillants, l’exposition de dépendances transitives et des faiblesses de la supply chain. • Utiliser des SIEM et la télémétrie de sécurité pour soutenir les investigations, valider les chemins d’attaque, améliorer les détections et mesurer l’efficacité des contrôles. • Concevoir des logiques de détection, des requêtes de threat hunting, des tableaux de bord et des workflows d’alerte sur des plateformes SIEM telles que Splunk, Microsoft Sentinel, Elastic, Chronicle ou la télémétrie native AWS. • Exploiter les services de sécurité AWS comme GuardDuty, Security Hub, CloudTrail, AWS Config, Inspector, Detective, Macie, IAM Access Analyzer, Security Lake et CloudWatch pour améliorer la visibilité et la couverture de détection. • Automatiser les workflows de sécurité en Python, Bash, PowerShell, Go ou autres langages de script similaires. • Développer des automatisations orientées menace pour l’enrichissement des vulnérabilités, le tri des alertes, les vérifications de posture AWS, la simulation d’attaques, la collecte de preuves et le suivi des remédiations. • Collaborer avec les équipes DevOps et plateformes pour améliorer la gestion des secrets, les contrôles d’identité, la segmentation réseau, la journalisation, la supervision et les modèles de déploiement sécurisés. • Évaluer les systèmes basés sur l’IA et les LLM pour des risques tels que l’injection de prompt, l’injection de prompt indirecte, la fuite de données, l’utilisation d’outils non sécurisée, une autonomie excessive, les jailbreaks, l’abus de modèle, le poisoning de retrieval et les comportements dangereux des agents. • Revoir les charges de travail IA utilisant des services AWS tels qu’Amazon Bedrock, SageMaker, Lambda, API Gateway, S3, KMS et IAM pour garantir une conception sécurisée, la protection des données et le contrôle d’accès. • Rédiger des rapports techniques clairs incluant preuves, exploitabilité, impact, probabilité, notation du risque et recommandations de remédiation exploitables. • Encadrer les ingénieurs et les membres de l’équipe sécurité sur le secure coding, la sécurité AWS, les tests offensifs, la modélisation des menaces et les risques liés à l’IA.

🎯 Exigences

• Expérience pratique solide en sécurité applicative, sécurité produit, sécurité cloud AWS, sécurité offensive ou ingénierie sécurité. • Compréhension approfondie des bonnes pratiques SDLC sécurisées et expérience d’intégration de la sécurité dans les workflows d’ingénierie. • Expérience opérationnelle avec SAST, DAST, SCA, tests d’intrusion manuels, revue de code et validation de vulnérabilités. • Excellente connaissance de l’OWASP Top 10, de l’OWASP API Security Top 10, de l’OWASP ASVS, des classes CWE courantes et des techniques d’attaque applicatives en conditions réelles. • Expérience de tests d’applications web, d’APIs, de microservices, de services cloud, de conteneurs et de systèmes distribués. • Bonne compréhension de l’authentification, de l’autorisation, de la fédération d’identité, OAuth, OIDC, SAML, JWT, de la sécurité des sessions et de la conception du contrôle d’accès. • Expérience pratique de sécurisation d’environnements AWS en production. • Solide connaissance d’AWS IAM, du réseau VPC, du chiffrement, de KMS, de Secrets Manager, de la sécurité S3, de CloudTrail, GuardDuty, Security Hub, AWS Config et du durcissement des workloads. • Expérience de revue d’Infrastructure-as-Code et d’identification des problèmes de sécurité dans Terraform, CloudFormation, AWS CDK, YAML Kubernetes, Helm, Dockerfiles ou technologies similaires. • Expérience de la sécurité CI/CD sur des outils tels que Bitbucket Pipelines, Jenkins, AWS CodePipeline ou plateformes similaires. • Expérience en red teaming, emulation d’adversaire, tests d’intrusion, développement d’exploits, cartographie de chemins d’attaque ou évaluations offensives. • Familiarité avec les plateformes SIEM et capacité à écrire des règles de détection ou des requêtes de chasse avec SPL, KQL, SQL, Lucene, YARA, Sigma ou langages similaires. • Forte capacité de scripting en Python, Bash, PowerShell, JavaScript ou langages similaires. • Aptitude à automatiser des tâches de sécurité répétitives et à développer des outils internes améliorant les tests, la visibilité et la réponse sécurité. • Connaissance de la sécurité des conteneurs et de Kubernetes, incluant ECS, EKS, RBAC, admission controls, le scan d’images, les contrôles runtime, les network policies et la gestion des secrets. • Capacité à relire du code dans des langages tels que Python, JavaScript, TypeScript, Java, Go, Kotlin, C# ou similaires. • Excellentes compétences rédactionnelles et orales, avec la capacité d’expliquer des risques techniques complexes aux équipes d’ingénierie et aux dirigeants.

🏖️ Avantages

• Horaires et modalités de travail flexibles • Opportunités de développement professionnel