Spécialiste principal, Sécurité des applications

ID de la demande d'emploi : 12213  

À propos du rôle   

Joignez-vous à l’équipe de Technologie et transformation des affaires, au poste de spécialiste principal bilingue, sécurité des applications. Vous serez responsable du programme de sécurité des applications (AppSec) à l’échelle de l’organisation, incluant la définition de contrôles obligatoires, de normes et de mécanismes de gouvernance afin d’assurer que les applications et services logiciels sont conçus, développés, testés et exploités conformément à la tolérance au risque organisationnelle, à la stratégie de sécurité et aux exigences réglementaires tout au long du cycle de vie des systèmes (SDLC/SSDLC).

Ce que vous ferez :

• assurer la responsabilité du cadre de contrôle de la sécurité des applications à l’échelle de l’entreprise, incluant les politiques, normes et exigences minimales pour la conception, le développement, les tests, le déploiement et l’exploitation des applications, en assurant l’alignement avec l’architecture d’entreprise, la posture de sécurité infonuagique, les obligations de confidentialité et les cadres réglementaires;
• définir et encadrer les exigences de sécurité obligatoires du SDLC/SSDLC et les activités d’assurance, incluant les revues de conception sécurisée, les tests de sécurité des applications (SAST, DAST, SCA, IAST, tests d’intrusion), les normes de configuration sécurisée, ainsi que les processus formels d’acceptation des risques et de gestion des exceptions avec contrôles compensatoires et gestion du cycle de vie;
• assumer la responsabilité à l’échelle de l’entreprise de la posture de risque en matière de sécurité des applications, incluant l’identification, l’évaluation et la communication des risques en termes d’affaires; fournir des orientations expertes sur la sélection des contrôles, la classification de la gravité des vulnérabilités, la priorisation des correctifs et les stratégies de traitement des risques, incluant l’acceptation et les contrôles compensatoires;
• établir et faire respecter les exigences de sécurité dans les modèles de livraison Agile et DevSecOps, incluant les points de contrôle (« security gates ») et les attentes en matière d’assurance, afin d’assurer une intégration cohérente et mesurable de la sécurité dans le cycle de développement logiciel, sans assumer directement la responsabilité de l’exécution des livraisons;
• agir à titre d’autorité principale et de point d’escalade pour les vulnérabilités complexes, les risques de sécurité au niveau de la conception et les différends liés aux décisions de risque ou d’exception, en fournissant des orientations décisionnelles dans le cadre des pouvoirs délégués;
• assumer la responsabilité de l’assurance et de la performance du programme de sécurité des applications, incluant la définition et le suivi des indicateurs clés de risque (KRI/KPI), la supervision de la qualité de l’assurance (interne et tierce partie) et la communication de la posture de risque, des enjeux systémiques et des tendances à la haute direction et aux instances de gouvernance;
• exercer un pouvoir décisionnel délégué concernant les exigences minimales de contrôle, l’alignement de la gravité des vulnérabilités et les attentes en matière de traitement, ainsi que formuler des recommandations sur l’acceptation des risques ou les exceptions aux politiques, avec escalade des décisions dépassant son autorité vers les instances de gouvernance formelles.

Les compétences que vous devriez posséder :

• un diplôme de premier cycle en technologies de l’information, en informatique, en cybersécurité ou dans un domaine connexe, ou une combinaison équivalente de formation et d’expérience pertinente;
• au moins sept années (7) d’expérience progressive en sécurité des applications, incluant la gouvernance à l’échelle de l’entreprise et l’intégration DevSecOps;
• un expertise démontrée en développement sécurisé, en tests de sécurité des applications, en architectures infonuagiques (cloud-native), en pipelines CI/CD ainsi que dans l’application de cadres reconnus (ISO, NIST, ITSG-33);
• une capacité éprouvée à influencer des parties prenantes de haut niveau et à traduire des risques techniques en décisions fondées sur le risque, défendables, dans des environnements complexes ou réglementés;
• des excellentes compétences en communication et en gestion des parties prenantes dans les deux langues officielles (anglais et français), avec expérience confirmée dans des environnements complexes et multifonctionnels.

Ce serait formidable que vous possédiez aussi ces compétences : 

• de l'expérience dans des environnements de grande envergure, complexes ou réglementés;
• des certifications professionnelles (ex. : CISSP, CSSLP, GIAC).

Date de fermeture : Ce poste sera affiché jusqu’à ce qu’une candidature soit retenue. 

Notre engagement envers la diversité, l’équité et l’inclusion

Nous sommes déterminés à assurer l’équité en matière d’emploi et encourageons les femmes, les Autochtones, les personnes handicapées, les anciens combattants et les personnes de tous les groupes raciaux et de toutes les ethnicités, religions, capacités, orientations sexuelles et identités et expressions de genre à poser leur candidature. Nous acceptons également les candidatures de personnes qui ne sont pas canadiennes, mais qui ont le droit de travailler au Canada. 

La SCHL est un milieu de travail inclusif où la diversité de pensée ‒ et des personnes ‒ est reconnue, valorisée et jugée essentielle à la réalisation de notre mission.

Apprenez-en plus sur notre engagement envers la diversité et l’inclusion.

Prochaines étapes après le dépôt de votre candidature 

Nous vous remercions de poser votre candidature; nous sommes conscients que c’est une étape à la fois emballante et intimidante. Apprenez-en plus sur notre processus d’embauche.  Si vous êtes l’une des personnes convoquées à une entrevue ou appelées à passer un test, veuillez nous indiquer si vous avez besoin d'un accommodement. 

Si vous avez déjà posé votre candidature, mais que cette dernière n’a pas été concluante, ne vous en faites pas. Nous affichons toujours de nouveaux postes, alors n’hésitez pas à retenter votre chance. Nous avons hâte de voir quelle sera votre contribution cette fois-ci!