Observatoire
des métiers
et des qualifications

Description du poste

Intitulé

Responsable sécurité systèmes informations F/H

Contrat

CDI

Description de la mission

APICIL -

Gouvernance, stratégie et PSSI

• Elaborer, faire valider par les instances dirigeantes et piloter le schéma directeur de la sécurité du SI
• Rédiger, maintenir et diffuser la Politique générale de sécurité des systèmes d’information (PSSI) ainsi que les directives opérationnelles associées
• Définir et suivre le tableau de bord de la sécurité SI (KPI / KRI). Présenter régulièrement le niveau d’exposition aux risques au comité d’audit, au comité des risques et à la direction générale
• Préparer et animer les comités dédiés à la sécurité (ex. Comité permanent de sécurité)
• Animer le réseau des relais sécurité au sein des entités et filiales du groupe

Analyse des risques et conformité réglementaire

• Piloter la démarche d’analyse des risques cyber (méthodes EBIOS RM, ISO 27005) sur le SI communautaire et les SI spécifiques
• Intégrer les exigences de sécurité dès la phase amont des projets (Security by design) via la participation au comité de portefeuille projets
• Garantir la conformité aux réglementations et normes sectorielles applicables (DORA, NIS 2, Solvabilité II, HDS / données de santé, Agirc-Arrco, RGPD, ISO 27001) et appliquer les guides et doctrines de l’ANSSI et de l’ACPR
• Contribuer aux volets SI des exercices prudentiels (notamment l’ORSA pour le secteur assurantiel et mutualiste) et évaluer les risques IT des projets majeurs de transformation

Contrôle, audit et gestion des vulnérabilités

• Piloter le plan d’assurance sécurité, élaborer et exécuter le programme annuel de contrôles internes et d’audits de sécurité opérationnels (revue des habilitations, conformité aux politiques de sécurité, configurations critiques)
• Evaluer périodiquement le niveau de maturité cyber du Groupe APICIL
• Gérer les audits techniques et organisationnels, sélectionner et piloter les prestataires externes spécialisés (notamment pour les tests d’intrusion, les audits d’architecture ou de code, revue de configuration, audits de code, audits tiers/fournisseurs)
• Coordonner les relations avec les auditeurs externes, commissaires aux comptes et autorités de contrôle lors des contrôles périodiques
• Suivre la remédiation en consolidant les constats d’audit, formalisant les plans d’action correctifs et en assurant le suivi auprès des équipes techniques et des directions métiers jusqu’à leur clôture
• Evaluer et encadrer le risque cyber de la chaîne d’approvisionnement et des tiers de confiance (audits de sécurité fournisseurs, revue contractuelle des clauses de sécurité DORA, gestion des risques de concentration)

Sensibilisation et culture cyber

• Définir et déployer le programme de sensibilisation et d’acculturation à la cybersécurité auprès de l’ensemble des collaborateurs du groupe (campagnes d’ingénierie sociale / phishing, ateliers, chartes informatiques)
• Accompagner et conseiller les directions métiers et techniques sur les enjeux de sécurité de l’information

Veille et écosystème

• Assurer une veille technologique, réglementaire et sur les menaces (Cyber Threat Intelligence)
• Développer des partenariats et échanger avec les pairs du secteur (ANSSI, CLUSIF, AFAI, Cigref, etc.)

Résilience, gestion de crise et continuité d’activité

• Participer activement à l’élaboration, au maintien en conditions opérationnelles et aux tests du Plan de continuité IT (PCIT), en cohérence avec le Plan de continuité d’activité métier (PCA)
• Mettre en place et tester le dispositif de gestion de crise cyber (scénarios d’attaque, escalade, exercices de crise)
• Piloter la gestion des incidents majeurs de sécurité de l’information et formaliser les retours d’expérience (RETEX)
• Définir la stratégie de détection et piloter la performance du service de détection / réponse aux incidents (SOC / CERT / CSIRT) et le traitement des alertes critiques

Activités de management

• Recueillir et diffuser l’information (ascendante et descendante) auprès de l’équipe, éventuellement en collaboration avec d’autres responsables d’équipe ou le responsable de service.
• Participer à la gestion des ressources humaines au sein de l’équipe : recrutement, gestion administrative, évaluation, rémunération, développement des compétences, etc.
• Accompagner le changement auprès de l’équipe.
• Contribuer à la qualité du climat social (dialogue, prévention des conflits, etc.).
• Veiller au respect des procédures internes
• Piloter les prestataires extérieurs : suivi de la production et de la qualité, transmission de statistiques, formation, participation à des réunions mensuelles.

Profil souhaité

Profil recherché

BAC + 5 (école d'ingénieurs, master universitaire spécialisé en informatique / cybersécurité)
7 à 10 ans d'expérience professionnelle minimum dans l’IT et la sécurité des SI, idéalement acquise dans le secteur banque assurance / protection sociale ou dans un environnement multi-entités complexe

Compétences techniques

• Maitrise des standards et référentiels de sécurité : ISO/IEC 27001/27002, EBIOS RM, NIST
• Connaissance approfondie des architectures SI, du cloud, des réseaux et des mécanismes de défense (SOC, SIEM, EDR, IAM, etc.)
• Maitrise des contraintes réglementaires financières / assurantielles (Solvabilité II, DORA, NIS 2)
• Certifications du marché appréciées : CISM, CISSP, CISA, ISO Lead Implementer/Auditor
• Pratique courante de l’anglais technique et professionnel

Localisation du poste

Lieu

69003 Lyon 51 Boulevard Marius Vivier Merle