Conseiller·ère senior en cybersécurité
Cybersécurité · Québec ou Montréal · À distance, présence au bureau au besoin
Chez Vooban, on conçoit des systèmes sur mesure et des solutions d’IA pour de grandes entreprises qui n’ont pas droit à l’erreur en sécurité. Finance, aéronautique et défense, manufacturier, commerce de détail, infrastructures. Chaque projet amène son lot de données sensibles et de connexions aux systèmes du client.
On ne cherche pas une personne de conformité qui coche des cases. On cherche quelqu’un qui a déjà été attitré·e à des projets de développement logiciel. Un backlog, une story, un poker planning, tu connais. Tu suis le projet sprint après sprint, tu identifies les bons risques au bon moment, et tu lèves le drapeau avant la mise en ligne. Pas après l’incident.
Un exemple concret. Un client veut un système qui se connecte aux données d’un aéroport pour prévoir l’arrivée des vols et planifier le dégivrage des avions. Toi, tu vois tout de suite que notre solution pourrait devenir une porte d’entrée vers le réseau de l’aéroport. Tu nommes le risque d’intrusion, tu recommandes une mesure claire à l’équipe et tu t’assures qu’elle est en place avant le sprint de mise en production. C’est ça, le job.
Ce que tu feras tous les jours
- Accompagner les équipes de projet (dev, IA, infra) de l’avant-vente à la livraison pour intégrer la sécurité dès la conception ;
- Évaluer les risques de chaque projet (menaces, vulnérabilités, impact, probabilité) et recommander le bon traitement ;
- Définir les mesures de mitigation avec les chargés de projet, les architectes, les développeurs et les clients, puis les suivre jusqu’à la fermeture ;
- Tenir les registres de risques à jour (responsables, échéances, risque résiduel, acceptation formelle) ;
- Traduire les normes (ISO 27001, NIST CSF, OWASP) en contrôles concrets que les équipes peuvent vraiment appliquer ;
- Revoir les exigences de sécurité des contrats clients et clarifier qui est responsable de quoi entre Vooban et le client ;
- Évaluer les risques propres aux solutions d’IA (données d’entraînement, fuite d’information, injection de requêtes, fournisseurs tiers) ;
- Expliquer les risques autant à un dev qu’à la direction, en français comme en anglais.
Voici les forces qu’on cherche
- Pour toi, la sécurité est un partenariat avec les équipes, pas un contrôle ;
- Tu proposes des mesures proportionnées au risque. Pas une forteresse pour protéger un formulaire de contact ;
- Tu parles business. Si la direction te demande pourquoi investir 100 000 $ dans une mesure, tu réponds en impact, pas en acronymes ;
- Tu amènes tes dossiers jusqu’à la fermeture, même sans autorité hiérarchique sur les équipes ;
- Tu as l’autonomie et le jugement d’un rôle senior, et tu restes curieux·se face aux menaces émergentes ;
- Tu communiques de façon proactive, même à distance.
Les incontournables pour joindre notre équipe
- Au moins 5 ans d’expérience en cybersécurité, dont une bonne partie à accompagner des projets de développement logiciel ;
- Un parcours varié. Tu as touché à plusieurs types de projets, pas juste à une petite pièce du casse-tête ;
- Une solide maîtrise de la gestion des risques (ISO 27005 ou l’équivalent) et des référentiels ISO 27001/27002, NIST CSF et OWASP Top 10 ;
- Un diplôme collégial ou universitaire (DEC, certificat, baccalauréat) en informatique, en sécurité de l’information ou dans un domaine connexe, ou une expérience équivalente. Ici, le terrain compte plus que le papier ;
- Tu utilises l’IA dans ton travail au quotidien et tu sais en parler concrètement ;
- Tu es bilingue, à l’oral comme à l’écrit ;
- Tu résides au Québec et tu peux te déplacer à nos bureaux de Québec ou de Montréal au besoin.
Ce qui ferait la différence
- Certifications CISSP, CISM, CRISC, ISO 27001 Lead Implementer ou Auditor, CCSK ;
- Connaissance des cadres propres à l’IA (ISO/IEC 42001, NIST AI RMF, OWASP Top 10 for LLM) ;
- Expérience avec SOC 2, CMMC ou ITSP.10.171 ;
- Connaissance de la Loi 25 et des évaluations des facteurs relatifs à la vie privée (ÉFVP) ;
- Expérience en gestion des incidents, en gestion des identités et des accès ou en prévention des fuites de données (DLP) ;
- Expérience en services-conseils ou en mandats clients.