Cybersécurité : Renforcer la sécurité de toutes les solutions Flexee
Contribuer au renforcement de la sécurité des solutions Flexee : plateformes web, applications mobiles, API et infrastructure, vers le niveau attendu d'un acteur du paiement.
Durée : 4 à 6 mois, selon le calendrier de l'établissement
Objectif
Contribuer au renforcement de la sécurité de l'ensemble des solutions Flexee, vers le niveau attendu d'un acteur du paiement.
Contexte
Flexee traite des données de jeunes, de familles et des opérations de paiement. La sécurité conditionne la confiance des parents, des établissements et des partenaires financiers. Le périmètre couvre les plateformes web, les applications mobiles iOS et Android, les API et l'infrastructure.
Missions
- Réaliser une analyse de risques et un modèle de menaces par produit (OWASP Top 10, OWASP Mobile Top 10, API Security Top 10).
- Mener des audits de sécurité et tests d'intrusion, exclusivement sur des environnements de test, avec des données fictives.
- Industrialiser le DevSecOps : détection de secrets, analyse de dépendances, analyse statique du code, hooks git et contrôles dans la chaîne d'intégration.
- Renforcer l'authentification et la gestion des accès : authentification forte, gestion des sessions, droits par profil d'utilisateur.
- Contribuer à la protection des données personnelles : minimisation, chiffrement, durées de conservation, journalisation.
- Formaliser la réponse aux incidents : supervision, alertes, procédures, fiches incident et retours d'expérience.
- Préparer Flexee aux exigences de sécurité du secteur du paiement (référentiels type PCI DSS, attentes des partenaires financiers).
Livrables attendus
- Cartographie des risques et modèles de menaces par produit
- Rapports d'audit avec plan de remédiation priorisé et correctifs vérifiés
- Chaîne DevSecOps opérationnelle sur tous les dépôts
- Politique de sécurité et procédure de gestion des incidents
- Registre de conformité données personnelles
Compétences recherchées
Sécurité applicative web et mobile, outils d'audit (Burp Suite, OWASP ZAP, MobSF ou équivalents), Git et CI/CD, Linux, notions de cryptographie. Une certification (CEH, eJPT, Security+) ou des participations à des CTF sont un plus.
Indicateurs de réussite
Vulnérabilités critiques et hautes corrigées, couverture des contrôles automatiques sur les dépôts, délai de détection et de traitement des incidents.
Cadre du stage
Les stages portent sur des données de simulation et anonymes. Un encadrant dédié suit chaque stagiaire, et une proposition d'embauche est possible à l'issue du PFE.