Responsabilités principales
- Effectuer des tests de sécurité des applications statiques et dynamiques (SAST/DAST) sur des applications web et mobiles, en identifiant les vulnérabilités telles que les failles d'injection, l'authentification défaillante et la désérialisation non sécurisée.
- Conduire des sessions de modélisation des menaces aux côtés des équipes de développement pour identifier les surfaces d'attaque, définir les limites de confiance et prioriser les contrôles de sécurité dès le début du cycle de vie du développement logiciel.
- Examiner le code source pour détecter les faiblesses de sécurité dans les classes de vulnérabilités courantes (OWASP Top 10, CWE/SANS Top 25) et fournir des conseils de remédiation exploitables aux développeurs.
- Assister aux exercices de test de pénétration — y compris la reconnaissance, l'exploitation et l'analyse post-exploitation — sur les applications internes et les API, et documenter les résultats dans des rapports structurés.
- Intégrer les outils de sécurité (scanners SAST, vérificateurs de dépendances, détecteurs de secrets) dans les pipelines CI/CD et aider à définir des portes de sécurité qui empêchent le code vulnérable d'atteindre la production.
- Trier et valider les rapports de vulnérabilité entrants, reproduire les résultats dans des environnements contrôlés, évaluer la gravité CVSS et suivre la progression de la remédiation jusqu'à la résolution.
- Rechercher les CVE émergentes, les zéro-days et les techniques d'exploitation pertinentes pour la pile technologique de l'organisation, et informer l'équipe des risques applicables et des atténuations.
- Contribuer au développement et à la maintenance des directives de codage sécurisé, des runbooks de sécurité et de la documentation de la base de connaissances interne.