Expert Remédiation Cybersécurité (H/F)

Lexfo , filiale du groupe Forward Global , est un cabinet d’audit délivrant une expertise technique complète sur les sujets de Cybersécurité. Avec une centaine de collaborateurs experts et passionnés à son bord, Lexfo intervient auprès de nombreux clients afin d'assurer la détection et l'exploitation de vulnérabilités, la recherche de fuites de données, la réponse à incident de sécurité ainsi que la formation.

Dans le cadre du développement de nos activités, nous recrutons un Expert Remédiation Cybersécurité .

Au sein de la division Réponse à Incident & Remédiation , vous rejoindrez le CSIRT en tant qu’expert technique de la remédiation. Vous interviendrez à la suite d’incidents de sécurité pour assainir, reconstruire et durcir les systèmes d’information de nos clients, mais également à l’issue d’audits techniques de sécurité (tests d’intrusion, audits Active Directory, d’architecture ou de configuration) pour transformer les constats en actions concrètes et accompagner leur mise en œuvre.

L’objectif est de permettre à nos clients de reprendre leur activité sur un socle de confiance après une compromission et de convertir les recommandations d’audit en gains de sécurité mesurables. Ce poste vise à doter le CSIRT d’une capacité de remédiation interne, dédiée et pérenne, au plus près de nos clients, tous secteurs d’activité confondus. L’activité de réponse à incident de Forward Cyber (Lexfo) est qualifiée PRIS (Prestataire de Réponse aux Incidents de Sécurité) par l’ ANSSI . Dans le contexte des travaux et réflexions menés par l’ ANSSI pour structurer et encadrer les activités de remédiation, ce recrutement revêt un caractère stratégique : il doit permettre au CSIRT d’anticiper ces évolutions et de proposer à ses clients une offre de remédiation de confiance, alignée sur les exigences de l’ Agence .

Missions :

Remédiation post-incident (CSIRT)

- Définir et mettre en œuvre les mesures d’endiguement (isolement, blocage des accès, rotation des secrets), puis d’éradication de la menace (suppression des mécanismes de persistance, des comptes et des accès illégitimes), en lien avec les analystes forensiques.
- Concevoir et piloter la reconstruction des briques critiques du SI (Active Directory, messagerie, virtualisation, sauvegardes) et accompagner le redémarrage maîtrisé des services métiers.
- Assainir les annuaires et environnements d’identité (Active Directory, Entra ID), réinitialiser les comptes à privilèges et les secrets sensibles (krbtgt, comptes de service), revoir les délégations et les droits.
- Proposer et déployer des mesures de durcissement immédiates pour limiter le risque de re-compromission (modèle d’administration en tiers, segmentation, filtrage, EDR, journalisation).
- Formaliser le plan de remédiation à court, moyen et long terme et contribuer aux retours d’expérience (RETEX).

Remédiation post-audit de sécurité

- Exploiter les livrables des audits (tests d’intrusion, Red Team, audits Active Directory, d’architecture, de configuration ou de code) pour qualifier et prioriser les vulnérabilités selon le risque et le contexte du client.
- Construire des plans d’actions priorisés, réalistes et chiffrés, en concertation avec les équipes IT et sécurité du client.
- Accompagner, voire réaliser directement, les corrections techniques (configurations, correctifs, durcissement Active Directory et systèmes, gestion des droits, segmentation réseau).
- Vérifier l’efficacité des corrections (contre-audit, tests de non-régression sécurité) et suivre l’avancement jusqu’à la clôture des constats.
- Travailler en étroite collaboration avec les auditeurs pour proposer une offre « audit + remédiation » cohérente et de bout en bout.

Expertise, capitalisation & avant-vente

- Formaliser et faire évoluer les méthodologies, procédures, scripts et modèles de livrables de remédiation du CSIRT, en cohérence avec le référentiel PRIS de l’ANSSI.
- Rédiger des livrables de qualité (plans de remédiation, guides de durcissement, comptes rendus d’intervention), adaptés aux interlocuteurs techniques comme aux directions.
- Contribuer aux phases d’avant-vente (cadrage technique, estimation des charges, rédaction de propositions techniques) et détecter les opportunités de cross-sell (audit, récupération de données, gestion de crise).
- Assurer une veille continue sur les menaces, les techniques d’attaque et les bonnes pratiques de sécurisation (guides ANSSI, CIS Benchmarks, recommandations éditeurs).
- Suivre les travaux de l’ANSSI relatifs à l’intégration de la remédiation dans le référentiel PRIS ainsi que l’évolution de son corpus doctrinal sur la remédiation et contribuer à la préparation du CSIRT à la qualification sur ce périmètre. Le cas échéant, se soumettre à l’évaluation individuelle requise dans le cadre de la qualification PRIS au titre de la portée « Remédiation ».

Votre profil

- Vous justifiez d’une expérience de 3 à 5 ans en sécurité opérationnelle, en ingénierie systèmes et réseaux sécurisés ou en remédiation, au sein d’un CSIRT, d’un cabinet de conseil en cybersécurité ou d’une DSI.
- Vous maîtrisez les environnements Microsoft : Active Directory (modèle d’administration en tiers, GPO, délégations, PKI), Entra ID et Microsoft 365.
- Vous avez de bonnes connaissances sur les environnements Linux, les technologies de virtualisation (VMware, Hyper-V), les solutions de sauvegarde et les infrastructures réseau (pare-feu, segmentation, VPN).
- Vous avez une bonne compréhension des techniques d’attaque (MITRE ATT&CK : persistance, mouvements latéraux, élévation de privilèges) et capacité à exploiter des rapports de tests d’intrusion.
- Vous avez des connaissances avancées sur des solutions de sécurité (EDR, SIEM, bastion, PAM) et des référentiels de durcissement (guides ANSSI, CIS Benchmarks).
- Vous avez des compétences en scripting (PowerShell, Python, Bash) pour automatiser les opérations de remédiation.
- Vous parlez anglais couramment .
- Une expérience en réponse à incident est un atout.
- Vous êtes idéalement titulaire de certifications techniques (ex. OSCP, GIAC, certifications Microsoft).
- Vous savez agir efficacement en situation d'urgence ou de crise et vous faites preuve de pragmatisme en proposant des solutions adaptées aux contraintes opérationnelles et budgétaires du client.
- Vous savez expliquer les enjeux techniques et faire adhérer les équipes aux plans de remédiation.
- Vous faites preuve de rigueur dans le suivi des actions et la qualité des livrables.

Poste à pourvoir en CDI à Paris - 43 Avenue de Clichy, 75017, Lyon - 20 rue de la Villette, 69003 ou Toulouse, 39 rue des Changes, 31000.

Interventions régulières sur site client en France métropolitaine, voire au sein de l’Union européenne en cas de besoins client et déplacements ponctuels au sein des entités du groupe Forward Global.

Pour en savoir plus sur Lexfo et Forward Global :

https://lexfo.fr/

https://forwardglobal.com/en/

Chez Forward Global toutes les candidatures qualifiées sont les bienvenues. En tant qu'employeur garantissant l'égalité des chances, le Groupe promeut la diversité et l'inclusion au sein de l'environnement de travail.