Descriptif du poste:\n\nVous intégrez l'équipe Platform/ Delivery ; une équipe d'ingénieurs Linux très expérimentés, responsable de la livraison et de la maintenance de l'infrastructure de produits clés de l'entreprise.\nVous êtes le/la seul(e) Ingénieur Sécurité de l'équipe ; il y a d'autres ingénieurs sécurité intégrés dans d'autres équipes de développement.\nC'est le VP engineering qui porte les priorités sécurité et il y a déjà 2 priorités sur la roadmap ; Exposition CVE anticipée et Durcissement de leur distribution Linux maison.\n\n1. Exposition CVE anticipée\n* Construire un registre d'exposition par composant livré /release \n* Prioriser la joignabilité réelle du code vulnérable plutôt que sa simple présence\n* Travailler sur la détection continue des CVE\n* Optimiser l'intégration dans les pipelines SBOM/GitHub Actions existants\n* Mettre en place une boucle de remédiation dans Jira, assistée par IA quand c'est pertinent\n\n2. Élever le niveau de sécurité de base de la distribution Linux\n* Piloter le durcissement par défaut durcie et défendable pour la distribution\n* Continuer a faire progresser l'enforcement SELinux\n* Travailler sur l'intégrité supply-chain\n* Gérer les secrets et les identifiants à travers le pipeline de livraison\n* Posture crypto (FIPS 140-3, RHEL 9)\n* Conformité NIS2 / Cyber Resilience Act traduite en automatisation\n* Contribuer à la suite ; threat modeling de la plateforme, guides de durcissement pour les clients, et revue de sécurité des changements de conception significatifs\n\nHors scope : pas de SOC/réponse à incident, pas de pentest, pas de GRC/documentation conformité pure - c'est un rôle d'ingénierie logicielle à mandat sécurité.\n\nProfil recherché:\n\nIssu(e) d'une école d'ingénieurs ou équivalent, vous avez min. 3 ans d'expérience en tant qu'ingénieur système avec une expérience avérée en sécurité. \n\nCompétences requises : \n* Expertise Linux\n* Expérience précédente spécifiquement sur des sujets de sécurité : SE Linux / CVE\n* Scripting Python indispensable (Python/Bash en production)\n* Intérêt réel et démontrable pour la sécurité (CTF, home lab, veille CVE, blog...)\n* Git, lecture de code existant et être capable de distinguer un vrai risque (vrai positif) et une fausse alerte (faux positif) suite au scan\n\nCompétences appréciées :\nTriage CVE/CVSS, SBOM (SPDX/CycloneDX), Trivy/Grype/Syft, packaging RPM, SELinux, GitHub Actions, RHEL/Rocky 8-9, conteneurs, Ansible/Salt, NIS2/CRA/FIPS, S3, usage sérieux d'outils IA (Claude Code ou équivalent).