Full Job Description
Vos missions au quotidien
Rôle et responsabilités :
L'Auditeur TI et Cybersécurité - Piratage éthique (niveau Associé) fera partie de l'équipe d'Audit Interne TI, avec une couverture principalement axée sur les tests de cybersécurité, ainsi que sur les systèmes de technologies de l'information et les fonctions de gestion des données.
Le titulaire du poste doit faire preuve d'un haut niveau d'autonomie et d'indépendance, et participe à l'ensemble des étapes du processus d'audit sous la supervision du responsable de mission.
Principales responsabilités
Le candidat contribuera notamment à :
Participer à tous les types d'audits TI régionaux ou mondiaux, soit dans le cadre d'audits dédiés aux fonctions TI, soit dans le cadre d'audits intégrés réalisés conjointement avec les auditeurs métiers ou financiers.
Participer de manière autonome au processus d'audit :
élaborer des matrices de diagnostic comprenant les processus et contrôles proposés aux fins de révision;
identifier les cas d'utilisation pertinents pour les tests de qualité des données ainsi que les stratégies d'échantillonnage appropriées;
préparer des présentations de restitution claires et concises destinées à la direction d'IGAD et aux entités auditées.
Réaliser des activités techniques pratiques dans les domaines suivants :
tests de sécurité réseau et systèmes (hosts);
tests d'applications Web et d'API;
analyse des chemins d'attaque Active Directory et des identités infonuagiques;
sécurité des environnements Azure, AWS, Kubernetes et des chaînes CI/CD;
validation des vulnérabilités et exploitation contrôlée;
tests orientés menace (threat-led testing) et validation des contrôles de détection;
développement de scripts, automatisation et conception de procédures d'audit techniques réutilisables.
Ces activités sont réalisées uniquement avec les autorisations requises.
Informer en temps opportun la direction de l'Audit de toute problématique significative identifiée lors des missions ainsi que de tout événement susceptible d'avoir un impact sur l'organisation.
Rédiger des constats et des rapports d'audit clairs, pertinents et à forte valeur ajoutée pour l'organisation.
Assurer un suivi rigoureux des recommandations d'audit et des plans d'action.
Contribuer à l'élaboration des évaluations des risques, des revues de contrôle interne et des autres processus nécessaires à l'identification des zones de risque ou de faiblesse afin d'appuyer la définition du plan et de la stratégie d'audit.
Participer aux projets de transformation du département (analytique de données, transformation numérique, etc.) et contribuer activement à la communication, à la mise en œuvre des changements et à l'accompagnement des parties prenantes dans ces initiatives.
Et si c'était vous ?
Compétences et qualifications requises
Baccalauréat en informatique, en systèmes d'information, en technologies de l'information ou dans une discipline liée aux affaires.
Le candidat doit posséder au moins 3 ans d'expérience en systèmes d'information, idéalement au sein d'une institution bancaire ou financière.
Solide maîtrise des outils et méthodologies d'évaluation de la sécurité (p. ex. scanners de vulnérabilités, tests d'intrusion).
Compréhension pratique de la sécurité des réseaux, de la sécurité des applications et de la protection des données.
Connaissance des processus TI/SI tels que :
la gestion des incidents;
la gestion des changements;
la gestion des mises en production (release management);
la gestion de la configuration.
Bonne connaissance des concepts de sécurité de l'information, de la validation des vulnérabilités et des principaux vecteurs d'exploitation des failles de sécurité.
Connaissance pratique des environnements technologiques d'entreprise, notamment :
les systèmes d'exploitation Windows et Linux/UNIX;
les bases de données telles que SQL Server, Oracle et DB2;
les infrastructures réseau et les technologies de sécurité, incluant les pare-feu, routeurs et commutateurs;
la gestion des identités et des accès (IAM);
les plateformes de virtualisation et d'infonuagique (Microsoft Azure, AWS);
les applications Web et les API.
Connaissance des principaux cadres de référence en cybersécurité et en contrôle des TI ainsi que des lignes directrices d'évaluation, notamment :
NIST Cybersecurity Framework;
ISO/IEC 27001 et ISO/IEC 27002;
COBIT;
CIS Controls;
les lignes directrices du FFIEC;
ainsi qu'une compréhension des guides de tests OWASP pour les applications Web et les API.
Atouts pour le rôle :
Connaissance des activités et produits de banque d'investissement et de services financiers.
Certifications pertinentes en cybersécurité, telles que :
OSCP (Offensive Security Certified Professional);
GPEN (GIAC Penetration Tester);
CISSP (Certified Information Systems Security Professional);
ou toute autre certification équivalente.
Connaissance de langages de script tels que Python, PowerShell ou Bash afin de soutenir les activités de tests de sécurité, d'analyse de données et d'automatisation des audits.
COMPÉTENCES LINGUISTIQUES :
L'habilité de communiquer en anglais, tant à l'oral que par écrit, est une exigence puisque la personne occupant ce poste devra collaborer régulièrement avec des collègues et des partenaires situés aux États-Unis.
