Développeur Sécurité Applicative (AppSec)

Sword Services recherche pour le compte d'un client basé à Genève un Développeur·se senior en sécurité applicative (AppSec). Le poste vise à impulser une démarche Security by Design et à étendre les bonnes pratiques de sécurité à travers plusieurs équipes produit, afin d’intégrer durablement la sécurité dès la conception, puis tout au long du développement et de la maintenance des applications. Le candidat idéal appréciera travailler dans un cadre collaboratif et en mode Agile, avec une forte culture sécurité.

Ce rôle est destiné à quelqu’un qui aime transformer des exigences de sécurité en solutions concrètes et qui sait faire le lien entre les product owners, les équipes de développement et les référents AppSec. Si vous avez une sensibilité à la confidentialité des données et que vous cherchez à influencer des projets à grande échelle, ce poste peut vous convenir.

Le quotidien de la sécurité des applications

Vous déployez une démarche AppSec et vous intégrez progressivement les applications au dispositif de sécurité existant, en collaboration avec les équipes produit. Vous configurez les outils SAST, DAST et SCA au sein des pipelines CI/CD et vous accompagnez les équipes dans leur utilisation au quotidien.

Votre travail consiste à analyser les vulnérabilités, à les qualifier et à les prioriser selon le risque et leur potentiel d’exploitation, afin d’aider les équipes à cibler les remédiations les plus impactantes. Vous conseillez les développeurs sur la remédiation des failles et sur l’amélioration générale de la sécurité du code, tout en assurant le partage des bonnes pratiques grâce à des ateliers et des supports pédagogiques.

Vous intégrez les pratiques de sécurité dans les rituels Agile, participerez aux revues de code et contribuerez aux critères de validation des livrables. Vous suivez les indicateurs AppSec, alimentez les tableaux de bord et participez aux instances de gouvernance. Enfin, vous formalisez les bonnes pratiques relatives aux dépôts de code, à l’open source et à la protection des données sensibles.

Des exigences incontournables

• Un diplôme équivalent à HES, ou une licence en informatique, ou un diplôme d’ingénieur EPF ou titre fédéral équivalent.
• Au moins cinq années d’expérience en sécurité des applications, avec une maîtrise des cadres OWASP Top 10 et ASVS, du threat modeling, d’OAuth2/OIDC et de la gestion des secrets.
• Une pratique avérée des solutions SAST, DAST et SCA telles que SonarQube, Checkmarx, OWASP ZAP, Burp Suite, Snyk ou Dependency-Check.
• Une solide expérience dans l’intégration de contrôles de sécurité dans des pipelines GitLab CI ou dans des environnements CI/CD similaires.
• Une gestion des vulnérabilités fondée sur le risque, couvrant CVSS, EPSS, KEV, le traitement des faux positifs et le suivi de la remédiation.
• Une expérience du développement Java/Spring, des tests et revues de code, de Git, des tests d’intrusion applicatifs et des SBOM.
• La capacité à piloter plusieurs activités en parallèle, à définir des KPI et à intervenir dans un cadre Agile et matriciel.
• Excellentes aptitudes en communication, pédagogie et conduite du changement, associées à une grande autonomie, de la rigueur et de la discrétion. La connaissance d’ISO/IEC 27034, de Docker, Kubernetes ou OpenShift représente un avantage.

Éléments qui seraient un plus

• Connaissance d’ISO/IEC 27034 et expérience avec des environnements conteneurisés ou orchestrés comme Docker, Kubernetes ou OpenShift.

Conditions pratiques

Poste à temps plein sur site à Genève, GE.

Conseils pour les candidat·e·s

Placez d’emblée sur votre CV les expériences qui démontrent votre maîtrise des pratiques AppSec et de l’intégration sécurité dans les chaines de livraison, en citant les cadres OWASP Top 10, ASVS et threat modeling et en précisant vos réalisations autour d’OAuth2/OIDC et de la gestion des secrets.

Pour prouver vos compétences clés, donnez des exemples concrets d’intégration de SAST, DAST et SCA dans des pipelines CI/CD, et montrez comment vous avez priorisé des vulnérabilités selon le risque et l’exploitabilité tout en coordonnant des actions de remédiation avec des équipes de développement.

Préparez-vous pour les entretiens en articulant des scénarios où vous avez introduit Security by Design dans des projets et comment vous avez mesuré l’impact via des KPI et des rapports de gouvernance AppSec, tout en décrivant la formation et le soutien que vous avez apportés aux développeurs.

Enfin, posez une question claire sur la manière dont l'entreprise mesure l’efficacité de lAppSec et sur les priorités de la démarche Security by Design, ainsi que sur les opportunités de formation et de mentorat autour des pratiques AppSec dans un cadre Agile.