Descriptif du poste:\n\nContexte\nNotre client conçoit et fabrique des systèmes de mesure et d'analyse du trafic routier déployés sur la voie publique, pour des donneurs d'ordre publics et des collectivités. PME d'une soixantaine de personnes, majoritairement des ingénieurs, elle maîtrise sa chaîne de bout en bout : conception hardware, algorithmie de traitement d'image et de flux vidéo, logiciel embarqué, applications de supervision de flotte.\nSes équipements sont des dispositifs connectés, déployés en extérieur, exploités en parc sur des cycles de vie longs, et qui produisent des données sensibles. L'entreprise est certifiée ISO 27001 et anticipe l'entrée en application du Cyber Resilience Act à l'horizon fin 2027.\nLe poste est créé. Son titulaire portera la sécurité des produits logiciels et l'industrialisation de la chaîne de développement, avec un périmètre transverse aux trois pôles software : innovation, développement (embarqué C++ et web Python/Django), test et validation.\nMissions\nSécurité produit et conformité\n* \nCartographier la surface d'attaque des produits et conduire l'analyse de risque\n* \nStructurer et porter la démarche de conformité au CRA : exigences essentielles, documentation technique, gestion des vulnérabilités sur la durée de support, processus de traitement et de déclaration\n* \nProduire et maintenir les SBOM sur l'ensemble des produits et des versions déployées\n* \nDéfinir la politique de sécurité produit : secure boot, chiffrement, gestion des secrets, durcissement des équipements et des IHM embarquées, mise à jour signée\n* \nInstruire les vulnérabilités remontées, arbitrer la criticité, piloter les plans de remédiation avec les équipes\n* \nContribuer au maintien de la certification ISO 27001 sur le périmètre produit\nDevSecOps et industrialisation\n* \nConcevoir et déployer la chaîne CI/CD sur les périmètres embarqué (C++), applicatif (Python/Django, front web) et algorithmique\n* \nAutomatiser le build, les tests, le packaging, la livraison et le déploiement en parc\n* \nIntégrer les briques de sécurité dans la chaîne : SAST, analyse de composition logicielle et de dépendances, scan de conteneurs, gestion des secrets, signature des artefacts\n* \nRendre les builds reproductibles et traçables\nTransverse\n* \nAcculturer et accompagner les équipes développement, innovation et test & validation\n* \nÊtre l'interlocuteur sécurité en interne et vis-à-vis des donneurs d'ordre\n\nProfil recherché:\n\nProfil recherché\nTechnique\n* \nExpérience confirmée en DevOps, sécurité applicative ou sécurité produit, dont une part significative sur du produit embarqué ou de l'objet industriel connecté : un parcours exclusivement SaaS ou infrastructure cloud ne correspondra pas\n* \nMaîtrise ISO 27001 : savoir travailler dans un SMSI existant, contribuer à l'analyse de risque, au plan de traitement et aux audits\n* \nSolide maîtrise CI/CD (GitLab CI, Jenkins ou équivalent), conteneurisation, infrastructure as code\n* \nSécurité applicative : outillage SAST/DAST/SCA, gestion des vulnérabilités, veille CVE, SBOM (CycloneDX, SPDX)\n* \nCompréhension réelle du logiciel embarqué Linux : cross-compilation, chaîne de build embarquée, mise à jour terrain\n* \nCryptographie appliquée : signature, PKI, gestion des certificats et des secrets\n* \nCapacité à lire du C++ et du Python : le poste n'est pas un poste de développement, mais il faut comprendre ce que l'on sécurise\nApprécié : connaissance du Cyber Resilience Act ou de l'IEC 62443 ; expérience de la relation avec des donneurs d'ordre publics ou des organismes de certification ; sensibilité aux enjeux RGPD dans un contexte de captation sur voie publique.\nCompétences humaines\n* \nPédagogie : le poste consiste largement à embarquer des équipes qui ont d'autres priorités\n* \nPragmatisme et sens de la priorisation : arriver avec un référentiel et l'imposer ne fonctionnera pas ici\n* \nAutonomie et capacité à construire un périmètre neuf\n* \nAisance à porter un sujet transverse sans lien hiérarchique sur les équipes\nInformations complémentaires\n* \nLocalisation : Viroflay (78)\n* \nTélétravail : 2 jours par semaine