Architecte d'application focus security

Architecte d'application focus security (JP )

Architecte d’application avec focus sur la sécurité

Contexte de la mission

L’aspect sécurité dans le développement de nouveaux logiciels constitue un élément essentiel de la nouvelle directive NIS2, entrée en vigueur en octobre 2024. Dans le cadre belge CyFun, élaboré par le Centre pour la Cybersécurité Belgique (CCB), plusieurs points de contrôle ont été définis afin d’assurer la conformité des entreprises et des institutions publiques à cette réglementation.

PR.IP-2 : Le processus de développement des systèmes et composants critiques doit couvrir l’ensemble du cycle de conception et inclure une description des propriétés fonctionnelles des contrôles de sécurité, ainsi que les informations de conception et d’exécution relatives aux interfaces système liées à la sécurité.

Au sein de la FOD Justitie, nous souhaitons que cette réglementation soit plus qu’une simple liste de contrôle (checklist) composée de procédures et de cases à cocher. Notre objectif est d’intégrer la sécurité du développement logiciel (secure development) dans nos procédures quotidiennes et notre manière de travailler. C’est dans cette optique qu’un projet de développement sécurisé est lancé, dont le présent document constitue le point de départ.

Description du profil

Le profil recherché est celui d’un architecte d’applications expérimenté possédant une solide connaissance en sécurité, ou d’un architecte sécurité ayant une bonne maîtrise du développement applicatif.

La personne dispose d’une expérience avérée dans la mise en œuvre et l’analyse des changements nécessaires dans un processus de développement, et est capable de les cartographier et de les documenter de manière claire et compréhensible. Elle doit pouvoir communiquer efficacement tant avec des profils très techniques qu’avec des collaborateurs moins spécialisés, et être en mesure de promouvoir les concepts de sécurité et de développement de façon convaincante.

Pour la mise en place d’une pratique de développement sécurisé au sein de la FOD Justitie, il a été décidé de s’appuyer sur le Software Assurance Maturity Model (SAMM) de l’OWASP — un cadre de référence qui aide les organisations à améliorer la sécurité de leurs logiciels grâce à des bonnes pratiques et des objectifs mesurables. Une connaissance de ce framework constitue donc un atout important.

Le profil accompagnera les équipes existantes dans l’intégration du développement sécurisé dans leurs activités quotidiennes, posant ainsi les fondations d’un programme de Secure Development au sein de la FOD Justitie. L’accent sera mis sur le SecDevOps et la mise en œuvre de pratiques de sécurité continues.

En décrivant, documentant et formant les équipes à ces méthodologies, la personne contribuera activement à renforcer la sécurité des applications développées au sein et pour la FOD Justitie, tout en augmentant la maturité globale en matière de sécurité des équipes de développement.

Le profil participera également à la mise en place de tableaux de bord de sécurité applicative et à la définition de routines et de processus permettant d’améliorer en permanence la sécurité des développements.

Un résultat clé de ce projet sera la création d’une directive standard décrivant comment appliquer concrètement le développement sécurisé, non seulement pour les projets internes, mais aussi pour les fournisseurs externes, ainsi qu’une matrice de sécurité permettant d’évaluer les projets externes.

Étant donné qu’il s’agit du lancement du projet, le profil doit disposer de l’expérience et de la maturité nécessaires pour agir en tant que chef de projet. Il participera aux réunions de suivi, rendra compte de la planification et de l’avancement, et rédigera la documentation relative aux méthodologies choisies et à leur mise en œuvre.

Dans le cadre de la mission, il pourra également être amené à concevoir et dispenser des formations sur le développement sécurisé aux équipes concernées.

En tant qu’architecte expert, il doit être capable d’évaluer et de commenter les conceptions techniques, et de fournir des conseils fondés tant sur le plan de l’infrastructure matérielle et logicielle que sur les méthodologies de travail.

Compétences requises

• Expérience démontrée dans des projets similaires, dans un environnement de taille comparable à celui de la FOD Justitie
• Minimum 3 ans d’expérience dans la revue d’architectures de sécurité
• Minimum 3 ans d’expérience dans la mise en place d’outils SCA, SAST et DAST dans une chaîne CI/CD
• Minimum 3 ans d’expérience en DevSecOps
• Connaissance en gestion de projet
• Frameworks de sécurité (CyFun, SAMM, …)
• Assurance qualité et tests (test-driven development)
• Sens du résultat, orientation client et sens des responsabilités
• Capacités de planification, d’organisatio