En un coup d'œil
- Missions: Réaliser des audits cybersécurité et des tests d'intrusion sur divers systèmes.
- Entreprise: Entreprise innovante spécialisée en cybersécurité avec une culture collaborative.
- Avantages: Salaire compétitif, avantages santé, télétravail et développement professionnel.
- Autres infos: Environnement stimulant avec de nombreuses opportunités de croissance de carrière.
- Pourquoi ce job: Rejoignez une équipe dynamique et impactez la sécurité numérique avec vos compétences techniques.
- Qualifications: Expérience en tests d'intrusion et compétences en collaboration d'équipe.
Le salaire estimé est compris entre 59400 - 72600 € par an.
La mission est de réaliser ou de piloter les audits cybersécurité du SI et des plateformes de services du client : tests d'intrusion, audits de configuration et de durcissement, audits d'accès, audits d'architecture et audits organisationnels. Selon la nature du besoin, l'audit est conduit directement par le prestataire ou confié à un cabinet externe ; la mission couvre alors le cadrage, la sélection du cabinet, le pilotage de l'intervention et le challenge du livrable. Dans les deux cas, elle inclut la restitution aux parties prenantes et le suivi de la remédiation.
Le périmètre est large : applications web et mobiles, API, infrastructures internes, exposition Internet, environnements Cloud et conteneurisés, briques d'identité et systèmes à base d'IA générative. La dominante est technique, sans se limiter au test d'intrusion.
Objectifs et livrables
- Réalisation de tests d'intrusion
- Cadrage technique des campagnes avec les équipes MOE, exploitants et métier : périmètre, scénarios d'attaque, règles d'engagement, fenêtres de tir et autorisations de test
- Réalisation de tests d'intrusion en boîte noire, grise ou blanche sur applications web et mobiles, API (REST, GraphQL), infrastructures internes et périmètre exposé
- Tests sur les briques d'authentification et de gestion d'identité (SSO, OIDC/OAuth2, SAML, parcours d'inscription et de récupération de compte)
- Qualification de l'exploitabilité réelle des vulnérabilités, construction de preuves de concept et démonstration des chemins d'attaque de bout en bout
- Cotation des vulnérabilités (Barème interne complété d'une appréciation du risque métier)
- Rédaction du rapport de test d'intrusion : synthèse exploitable par un public non technique et détail technique reproductible
- Réalisation d'audits de configuration et de durcissement
- Audit de configuration de systèmes (Linux, Windows, Active Directory), de composants d'infrastructure (reverse proxies, WAF, équipements réseau, bases de données) et de services Cloud, au regard des référentiels internes, des CIS Benchmarks et des guides de l'ANSSI
- Revue des droits et des configurations d'accès sur les SI sensibles
- Réalisation d'audits d'architecture et d'audits organisationnels (activité ponctuelle)
- Revue de sécurité d'architecture sur des projets structurants : analyse des dossiers d'architecture, identification des défauts de cloisonnement, des flux et expositions non maîtrisés et des points de rupture dans la chaîne d'authentification
- Audits organisationnels ciblés auprès d'équipes techniques (ISP, développement logiciel) et d'équipes métier (usage du Data Lake, traitement de données personnelles) : conduite d'entretiens, collecte de preuves et évaluation des pratiques au regard des exigences internes et de ReCyF (NIS2)
- Formalisation des constats avec leur niveau de risque et articulation avec les constats techniques issus des tests d'intrusion et des audits de configuration
- Pilotage d'audits réalisés par un cabinet
- Cadrage de l'audit avec les différents acteurs et sélection d'un cabinet quand nécessaire (audit spécialisé, audit d'architecture, campagne à forte volumétrie)
- Rédaction du cahier des charges pour la réalisation de l'audit par le cabinet (optionnel selon l'audit)
- Diffusion de l'appel d'offres et coordination avec les différents soumissionnaires
- Aide à la décision pour le choix du cabinet d'audit
- Contractualisation avec le prestataire
- Identification et mise en œuvre des prérequis à l'audit par le cabinet : collecte documentaire, prérequis d'exploitation, accès et moyens de tests
- Organisation du projet, animation des réunions nécessaires avec les différents acteurs (lancement, suivi, entretiens, restitution), pilotage de son avancement dont reporting
- Challenge du cabinet sur la qualité et la reproductibilité des constats, la cohérence de la cotation, l'absence de faux positifs et le caractère actionnable des recommandations
- Restitution et suivi de la remédiation
- Contextualisation des failles détectées en relation avec la gouvernance cybersécurité, la MOE et les exploitants
- Définition des actions associées aux recommandations avec leur priorité et leur échéance (optionnel)
- Accompagnement des équipes de développement et d'exploitation jusqu'à la correction, et réalisation des contre-audits de vérification
- Rédaction d'une présentation destinée au management de restitution de l'audit (optionnel)
Compétences
- Niveau de compétence
- Réalisation de tests d'intrusion sur applications web et mobiles, API, infrastructure interne et Active Directory (méthodologies OWASP WSTG/ASVS, PTES, MITRE ATT&CK,...) - Confirmé
- Anglais technique lu, écrit et parlé - Avancé
- Sécurité des environnements Cloud et conteneurisés (AWS, GCP ou Azure, Docker, Kubernetes) et des protocoles d'identité et d'accès (OIDC, OAuth2, SAML, SSO, fédération) - Avancé
- Connaissance des normes, procédures et techniques d'audit, cotation des vulnérabilités et formulation de recommandations priorisées et réalistes (une certification offensive de type OSCP, OSWE, PNPT, CRTO ou GPEN est souhaitable) - Confirmé
- Fort niveau d'autonomie, capacité de synthèse et de reporting (rapports d'audit rédigés en français sans retouche) - Confirmé
- Pilotage d'audits externalisés (cahier des charges, analyse d'offres, recette de livrable) et conduite d'audits d'architecture et organisationnels (revue de dossier d'architecture, entretiens, collecte de preuves) - Avancé
- Maîtrise de l'outillage offensif (Burp Suite, Nmap, BloodHound, Impacket, Metasploit, Nuclei) et capacité de scripting (Python, Bash, PowerShell) - Confirmé
- Forte capacité à travailler en équipe et en transverse, et à porter un constat de sécurité en situation de désaccord - Confirmé
- Audit de configuration, de durcissement et des accès sur systèmes, middlewares, équipements réseau et services Cloud (CIS Benchmarks, guides d'hygiène ANSSI,...) - Confirmé
- Tests d'intrusion sur les systèmes à base d'IA générative - souhaitable (injection de prompt directe et indirecte, exfiltration de données via agents et RAG, abus d'outillage et de connecteurs, référentiels OWASP Top 10 for LLM Applications et MITRE ATLAS) - Avancé
Auditeur cybersécurité technique / Pentester employeur : R&S TELECOM
Rejoindre notre entreprise à Courbevoie, c'est intégrer une équipe dynamique où l'innovation et la collaboration sont au cœur de notre culture. Nous offrons des opportunités de développement professionnel, un environnement de travail stimulant et des avantages compétitifs, tout en favorisant un équilibre entre vie professionnelle et personnelle. En tant qu'employeur, nous valorisons chaque contribution et encourageons nos employés à s'épanouir dans leur carrière.
Conseils d'expert StudySmarter🤫
Voici comment nous pensons que tu pourrais décrocher Auditeur cybersécurité technique / Pentester
✨Plonge dans les forums de cybersécurité
Rejoins des forums comme Reddit ou des communautés comme OWASP pour échanger sur les tendances en cybersécurité. Ces plateformes sont idéales pour se rendre visible et nouer des contacts avec des pros du secteur.
✨Participe aux conférences et ateliers
Assiste à des événements comme le HackInParis ou le FIC pour faire du networking. Tu y rencontreras des experts du domaine, et ça peut vraiment t'aider à décrocher des opportunités de stage ou de boulot.
✨Montre ton expertise à travers un projet
N’hésite pas à créer un projet personnel en cybersécurité, que ce soit un blog, un outil open-source ou une étude de cas. Cela peut impressionner les recruteurs et montrer que tu es proactif.
✨Postule directement sur notre site !
Si tu vois une offre spéciale chez R&S TELECOM, ne perds pas de temps ! Postule directement sur notre site. Cela montre ton intérêt et ta motivation à rejoindre leur équipe.
Nous pensons qu'il te faut ces compétences pour exceller en tant que Auditeur cybersécurité technique / Pentester
Quelques conseils pour ta candidature 🫡
Mets en avant tes certifications:Dans le domaine de la cybersécurité, les certifications comme CISSP, CEH ou CompTIA Security+ peuvent vraiment faire la différence. Assure-toi de les mentionner dans ton CV et de décrire comment elles t’ont préparé au poste chez R&S TELECOM.
Démontre tes compétences techniques:Ton CV doit refléter tes compétences techniques en matière de cybersécurité. Mentionne des outils spécifiques que tu maîtrises, comme Wireshark, Metasploit ou des compétences en pén-tests. Cela montre que tu es déjà dans le bain et prêt à contribuer chez R&S TELECOM.
Soigne ta lettre de motivation:Prends le temps de personnaliser ta lettre pour R&S TELECOM. Explique pourquoi tu es passionné par la cybersécurité et comment tu envisages de grandir avec eux dans ce domaine. N’hésite pas à mentionner des tendances actuelles qui te motivent.
Sois clair sur ta disponibilité:Pour un poste à plein temps, précise ta disponibilité. Mentionne ton délai pour commencer et ce qui te motive à rejoindre R&S TELECOM. Cela montre ton engagement et ta transparence dès le départ.
Comment te préparer à un entretien d'embauche chez R&S TELECOM
✨Montre tes compétences techniques
Dans le domaine de la cybersécurité, tes compétences techniques seront scrutées de près. Prépare-toi à approfondir des sujets comme le chiffrement, le pare-feu et l'analyse de menaces. Prépare quelques exemples concrets où tu as utilisé ces compétences pour résoudre des problèmes.
✨Prépare-toi aux scénarios de cas
Les entretiens en cybersécurité incluent souvent des études de cas ou des mises en situation. Soyons réalistes, il peut s'agir d'analyser une brèche de sécurité hypothétique. Entraîne-toi à penser à haute voix pendant que tu résous ces scénarios pour montrer ta méthodologie.
✨Parle de tes projets personnels
Pour un poste à temps plein, les recruteurs aiment voir que tu es passionné. N'hésite pas à parler de tes projets ou de tes contributions à des forums de cybersécurité. Montre que tu es proactif et que tu te tiens informé des dernières tendances dans le secteur.
✨Sois prêt à discuter d'outils de sécurité
Familiarise-toi avec les outils couramment utilisés dans la cybersécurité, comme Wireshark ou Metasploit. Lors de l’entretien chez R&S TELECOM, tu pourrais être interrogé sur tes expériences avec ces outils. Assure-toi de pouvoir expliquer comment tu les as utilisés dans tes précédentes expériences ou projets.
