À propos
STEP UP est une société d'ingénierie experte en pilotage de projets industriels et informatiques (+ 250 collaborateurs sur 11 agences en France), plaçant le potentiel humain comme 1er vecteur d'excellence et de performance en entreprise.
Oubliez les sociétés d'ingénierie qui ne valorisent que vos seules compétences, chez STEP UP, nous visons également l'adéquation entre votre personnalité et la culture d'entreprise de nos clients. Cela se traduit pour vous par une différence fondamentale en termes de bien être, d'épanouissement au travail et de succès dans vos missions.
Ce que nous vous proposons :
- Un cadre de travail épanouissant, stimulant et collaboratif, nous sommes certifiés entreprise où il fait bon vivre !
- Des projets innovants et variés.
- La possibilité de se perfectionner continuellement avec des formations internes.
- Des perspectives d'évolution de carrière.
- Un accompagnement individualisé avec un programme de développement du potentiel humain.
- Un programme de cooptation.
Et bien sûr, nous prenons en charge 70% de votre mutuelle santé et encourageons financièrement la mobilité douce.
Le poste
Dans le cadre du programme stratégique de mise en conformité au Cyber Resilience Act (CRA), cette mission vise à renforcer la cybersécurité des produits connectés du client en intégrant les meilleures pratiques de développement sécurisé, de validation de conformité et de tests de sécurité avancés.
Notre intervention couvre l'ensemble du cycle d'évaluation et de démonstration de conformité CRA, depuis la définition des méthodologies de test jusqu'à la mise en œuvre d'outillages spécialisés et la production des preuves de conformité attendues.
Principales contributions
- Définition et exécution des campagnes de tests CRA et cybersécurité
o Élaboration des stratégies et plans de tests de conformité.
o Conception et exécution des suites de tests permettant de démontrer le respect des exigences réglementaires CRA.
o Validation des mécanismes de sécurité embarqués et évaluation de leur niveau de robustesse.
- Sélection et intégration des outils de conformité et de sécurité
o Réalisation de Proofs of Concept (PoC) pour identifier les solutions les plus adaptées à l'environnement DevSecOps du client.
o Intégration d'outils d'analyse statique et dynamique du code (SAST/DAST).
o Mise en place de la génération de SBOM, de scanners de vulnérabilités (CVE) et des artefacts de preuve requis pour les audits CRA.
- Analyse, reporting et recommandations
o Formalisation des résultats des évaluations de sécurité.
o Identification des risques, vulnérabilités et axes d'amélioration.
o Production de recommandations pragmatiques et priorisées pour renforcer la résilience cyber des produits.
- Développement d'outils et de frameworks de test pour systèmes embarqués
o Conception, développement et maintenance d'outillages dédiés aux évaluations de sécurité.
o Automatisation des analyses de conformité et de cybersécurité sur les plateformes embarquées.
Domaines d'expertise couverts
- Vérification de la conformité des fonctions de sécurité (authentification, contrôle d'accès, signature logicielle).
- Évaluation de la robustesse des mécanismes de protection.
- Analyse de vulnérabilités liées à la conception, à l'architecture et à la nomenclature logicielle (BOM).
- Analyse de sécurité des interfaces, protocoles et communications.
- Évaluation de la résistance des mécanismes cryptographiques.
- Analyse de la qualité des générateurs aléatoires et de l'entropie.
- Audit et analyse de sécurité des firmwares embarqués.
Animation et coordination transverse
- Pilotage et animation de la Communauté de Pratique (CoP) Cybersécurité dédiée aux tests de sécurité.
- Capitalisation et harmonisation des retours d'expérience sur l'ensemble du portefeuille produits.
- Coordination avec les équipes de développement, d'architecture, de validation et les différentes parties prenantes afin d'assurer une approche cohérente et efficace de la conformité CRA.
Moyens mis à disposition
Pour les activités de tests d'intrusion et d'analyses DAST, le client met à disposition une plateforme de référence intégrant des outils de fuzzing et de sniffing compatibles avec les protocoles de communication IO-homecontrol, permettant d'accélérer les phases de validation et d'évaluation de la sécurité.
Profil recherché
Vous êtes diplômé(e) d'un Bac+5 en développement informatique et disposez d'une expertise d'au moins 3 ans dans les domaines des systèmes embarqués, de la cybersécurité et du développement sécurisé.
- Maîtrise du cycle de développement sécurisé
Vous intervenez tout au long du cycle de vie des produits en appliquant les meilleures pratiques de Secure Development Life Cycle (SDLC), notamment selon les référentiels IEC 62443-4-1, afin de garantir des solutions conformes aux exigences les plus élevées en matière de cybersécurité. »
- Expertise en systèmes embarqués
Vous possédez une excellente maîtrise des environnements matériels et logiciels embarqués :
- Développement en C/C++
- Architectures MCU, mémoire Flash, transceivers radio
- Outils de débogage (JTAG)
- Environnements Yocto, Linux embarqué et RTOS
- Sécurité des plateformes connectées et applications mobiles
Vous maîtrisez les enjeux de sécurité des infrastructures connectées :
- Gestion des identités et des accès (IAM)
- Infrastructures à clés publiques (PKI)
- Protocoles sécurisés (TLS, DTLS)
Vous disposez également de compétences en développement mobile :
- iOS et Android
- Java, Kotlin, Go
- Authentification et sécurisation des échanges via JWT
- Sécurité applicative avancée
Votre expertise couvre l'identification et la prévention des vulnérabilités logicielles :
- Analyse de code statique et dynamique (SAST / DAST)
- Détection des vulnérabilités critiques telles que les buffer overflows et race conditions
- Sécurisation des développements en C/C++
- CI/CD et automatisation de la sécurité
Vous évoluez dans des environnements DevSecOps modernes et maîtrisez les outils clés du marché :
- Git, Jenkins, IAR
- SonarQube, Trivy, MobSF
- Nexus, Doxygen, Proguard
Vous êtes également familier avec la gestion de la conformité logicielle et des composants tiers grâce aux standards SBOM (CycloneDX, SPDX).
- Protocoles IoT et Smart Building
Vous possédez une connaissance approfondie des technologies de communication pour objets connectés et bâtiments intelligents :
- Zigbee 3.0 / 4.0
- IEEE 802.15.4
- BLE 4.x
- KNX
- DTLS, TLS 1.3
- Protocoles radio basse consommation et bas débit
Enfin, votre profil se distingue par :
- Une expérience significative dans le développement d'outils de sécurité dédiés aux équipements radio.
- Une excellente connaissance des référentiels et réglementations Cyber Resilience Act (CRA), EN 40000-X et OWASP IoT.
- Des références récentes sur des missions de tests de sécurité embarquée, démontrant votre capacité à intervenir sur des produits connectés critiques et innovants.
