Titre du poste : Développeur senior sécurité applicative (AppSec)
Référence : 26-04-7716-001
Lieu : Genève
Date de début souhaitée : Février 2027
Taux d'occupation : 80 à 100%
Rémunération : à partir de 125'000 CHF / an (base 100%)
Description du poste et contexte :
Nous recherchons pour un client, une administration publique à Genève, un(e) développeur(se) senior en sécurité applicative (AppSec) afin de renforcer son service de développement sur mesure pendant toute la phase de déploiement de sa stratégie de sécurité applicative (« Security by design »). Ce service déploie cette stratégie auprès des équipes produit, avec l'appui d'un consultant expert AppSec déjà en place, dans l'objectif d'embarquer le maximum d'applications dans le processus AppSec.
La personne retenue définira et documentera les bonnes pratiques AppSec, intégrera les outils de sécurité (SAST, DAST, SCA) dans les chaînes CI/CD, assurera le triage des vulnérabilités, formera et accompagnera les équipes et les référents AppSec, et suivra les indicateurs de maturité. Elle interviendra en build comme en run, y compris dans une optique de publication open source, avec une exigence forte de confidentialité des données. Mission de longue durée (jusqu'à 5 ans).
Responsabilités :
- Renforcer le déploiement de la démarche AppSec auprès des équipes produit, avec pour objectif d'embarquer le maximum d'applications dans le processus.
- Intégrer et configurer les outils de sécurité (SAST, DAST, SCA) dans les chaînes CI/CD des applications et former les équipes à leur usage.
- Trier, hiérarchiser et qualifier les résultats de sécurité par application, accompagner les équipes et contribuer à la remédiation.
- Former et accompagner les développeurs et les référents (champions) AppSec, animer des ateliers et contribuer aux contenus pédagogiques et aux guides de mise en œuvre.
- Intégrer la sécurité dans les rituels et pratiques des équipes (conception, revue de code, definition of done), en build comme en run.
- Suivre les indicateurs AppSec par application et par équipe (couverture des scans, vulnérabilités, formations) et alimenter les tableaux de bord et le reporting.
- Contribuer à la gouvernance AppSec et à la communauté des référents, en coordonnant ses actions avec le consultant en place et les équipes Dev, SecOps et qualité.
- Documenter les bonnes pratiques de sécurité, y compris pour la gestion des dépôts et la publication open source, et veiller à la protection des données personnelles et sensibles.
Formation :
- Diplôme HES ou licence en informatique, diplôme d'ingénieur EPF ou diplôme fédéral.
Compétences primordiales :
- 5 années d'expérience et plus dans la fonction.
- Solide expertise en sécurité applicative : OWASP Top 10 / ASVS, modélisation des menaces, sécurisation des API (OAuth2 / OIDC), gestion des secrets, protection des données personnelles (LIPAD, LPD).
- Maîtrise démontrée des approches SAST, DAST et SCA et de leur intégration dans les chaînes CI/CD (ex. SonarQube, Checkmarx, OWASP ZAP, Burp Suite, Snyk, Dependency-Check, GitLab CI).
- Gestion des vulnérabilités par le risque : triage et traitement des faux positifs, scoring CVSS et environnemental, exploitabilité (EPSS, KEV), capacité à argumenter une priorisation ou une acceptation de risque, suivi d'un backlog de vulnérabilités, respect des délais et indicateurs de remédiation.
- Expérience du développement Java / Spring et des pratiques d'ingénierie (tests, revues de code, Git) suffisante pour accompagner les développeurs sur leur code.
- Expérience en threat modeling, tests d'intrusion applicatifs et sécurité de la chaîne logicielle (SBOM).
- Compétences avérées en conduite du changement : accompagner l'appropriation des pratiques AppSec et faciliter l'adoption des outils et processus.
Compétences importantes :
- 3 années d'expérience et plus dans la fonction.
- Expérience de pilotage d'activités de sécurité : définition de KPI, suivi opérationnel, reporting auprès d'instances de gouvernance.
- Conception et animation de formations et d'ateliers de sensibilisation adaptés aux rôles (développeurs, tech leads, product owners).
- Capacité à intervenir auprès de plusieurs équipes en parallèle, en environnement matriciel et Agile, à apprécier la criticité d'une situation et à décider ou escalader.
- Bonnes pratiques de sécurité des dépôts de code, y compris dans une logique open source (secrets, historique, licences).
Compétences optionnelles :
- Expérience de publication de code en open source : licence, hygiène de dépôt, documentation, nettoyage des secrets et des données avant publication.
- Pratique de l'IA dans le développement logiciel et connaissance de ses risques de sécurité (fuite de données, code généré non sûr, injection de prompt).
- Connaissance de l'ISO/IEC 27034, du plan qualité logicielle (PQL) et des indicateurs DORA.
- Connaissance des environnements conteneurisés (Docker, Kubernetes / OpenShift) et de leur sécurisation.
- Connaissance du contexte organisationnel et des applications du client.
Qualités requises :
- Communication : s'adapter aux interlocuteurs (sécurité, développement, produit, direction), vulgariser et présenter des résultats.
- Pédagogie et conduite du changement : convaincre sans lien hiérarchique, faire adhérer plutôt qu'imposer.
- Rigueur et discrétion : traiter les vulnérabilités et les informations confidentielles avec la plus grande prudence.
- Pragmatisme : prioriser par le risque et choisir des remédiations réalisables par les équipes.
- Esprit d'équipe, transparence sur les risques et problèmes, ouverture au changement.
- Autonomie et sens des responsabilités : prendre des initiatives et prioriser sans supervision constante.