Descriptif du poste:\n\nVos missions (activités, responsabilités)\nVous serez en charge de : \n* Réaliser et tenir à jour les SBOM pour chaque release, en veillant à leur exhaustivité et à leur traçabilité\n* Mettre en œuvre le cycle opérationnel de gestion des vulnérabilités (veille, triage, VEX, suivi de remédiation) selon les processus établis\n* Produire et maintenir la documentation technique de sécurité et les preuves associées, de manière à les rendre exploitables et auditables\n* Instruire et préparer les éléments factuels nécessaires aux décisions de notification réglementaire, dans les délais utiles, pour les soumettre à l'encadrement\n* Élaborer le reporting destiné à la commission sécurité et au SMQ (Système de Management de la Qualité), sur la base des indicateurs convenus\n* Alerter sans délai sa hiérarchie et le Process manager en cas de vulnérabilité critique, d'exploitation active ou d'incident grave \n* Solliciter l'encadrement pour tout arbitrage de priorisation, acceptation de risque ou décision dépassant son périmètre\n \nVos missions seront les suivantes :\nEn matière de sécurité applicative :\nConstruction et alimentation du SBOM (Software Bill Of Materials) :\n* Définir et maintenir la chaîne de génération du SBOM pour chaque produit et chaque version : génération automatisée à la production de l'artefact\n* Intégrer cette génération dans la chaîne CI/CD\n* Garantir l'exhaustivité et la mise à jour des inventaires\n* Tenir à jour la cartographie des composants tiers et open source utilisés\nGestion des vulnérabilités :\n* Assurer une surveillance en continu des vulnérabilités affectant les composants inventoriés (corrélation SBOM / CVE / VEX)\n* Réaliser le triage des alertes et évaluer l'exploitabilité réelle (VEX)\n* Suivre la remédiation avec les équipes de développement : priorisation, définition des délais et vérification de la correction\nProcessus réglementaire & divulgation :\n* Opérer le point d'entrée de la politique de divulgation coordonnée des vulnérabilités (CVD) : réception, qualification, suivi.\n* Instruire les éléments nécessaires aux notifications réglementaires (vulnérabilités activement exploitées, incidents graves) afin de permettre aux Directions de décider dans les délais imposés par le cadre réglementaire.\nDocumentation & preuves :\n* Contribuer et maintenir les éléments de documentation technique sur le périmètre vulnérabilités / SBOM\n* Suivre les engagements de mises à jour de sécurité sur la période de support annoncée\nReporting & animation :\n* Préparer les indicateurs et l'état des actions pour la commission sécurité (vulnérabilités, délais de remédiation, couverture SBOM, etc.)\n* Alimenter le Système de Management de la Qualité (SMQ) avec ces livrables\n \nEn matière de sécurité de l'infrastructure :\n* Contribuer au durcissement et à la surveillance de l'infrastructure\n* Participer à la gestion des vulnérabilités d'infrastructure dans la continuité du dispositif applicatif\n* Appuyer la mise à niveau de l'organisation vers les exigences relatives à l'ISO 27001 / NIS2 (preuves, contrôles, suivi)\n \n\nProfil recherché:\n\nProfil recherché\n* Bac + 5 en informatique / cybersécurité ou équivalent\n* 2 ans d'expérience minimum souhaitée en matière de sécurité applicative, DevSecOps, développement orienté sécurité.\n* Première expérience professionnelle appréciée dans un environnement réglementé (santé, industrie, etc.) \n* Forte motivation pour monter en compétences sur les sujets suivants : ISO 27001, NIS2, Cyber Resilience Act et, à terme, sur la sécurité d'infrastructure\n \nCompétences attendues \n \nTechniques \n* Bonne compréhension des principes de la sécurité applicative et de la supply chain logicielle \n* Maîtrise ou forte appétence pour les outils SBOM (SPDX, CycloneDX) \n* Compréhension des CVE, CVSS, du triage et de l'évaluation d'exploitabilité \n* Pratique des chaînes CI/CD et capacité à y intégrer des contrôles automatisés\n* Notions en sécurité d'infrastructure (systèmes, conteneurs) \n* Aisance avec le scripting (Python, Bash.) pour automatiser les tâches récurrentes\n \nMéthodologiques et qualité\n* Forte appétence pour la qualité : rigueur documentaire, traçabilité et sens de la preuve, en cohérence avec notre environnement réglementé (CE, ISO 13485)\n* Sensibilité aux cadres normatifs réglementaires (ISO 27001, NIS2, CRA - formation prévue) \n* Capacité à formaliser des procédures et à produire des indicateurs exploitables\n \nRelationnelles \n* Bonne communication avec les équipes techniques \n* Autonomie sur l'aspect opérationnel, tout en sachant escalader au bon niveau\n* Capacité à travailler en transverse (R&D, Technologie, Qualité) \n \nEnvironnement technique\n* Postes de travail sous Windows 7, 10 et 11\n* Outils de gestion de projet\n* Environnement systèmes et infrastructures : Linux, Windows Server, Docker, virtualisation, EntraId / Active Directory\n* Outils associés : machines virtuelles (VM), suite Microsoft Office,