Ingénieur infrastructure & sécurité H / F

Contexte

Banque régulée, Delubac opère ses plateformes applicatives dans le cloud et fournit à ses équipes techniques un parc de postes de travail Linux et macOS.

Le poste fonctionne en binôme avec un second ingénieur infrastructure & sécurité. Il porte en propre les domaines décrits ci-dessous.

Mission

Concevoir, exploiter et sécuriser les socles d'infrastructure (virtualisation, réseau, identité, supervision, collecte des journaux de sécurité) et le parc de postes de travail des équipes techniques ; outiller la sécurité opérationnelle ; traiter les demandes de service et les incidents.

Activités principales

Virtualisation et serveurs

• Exploite les grappes d'hyperviseurs et le serveur de sauvegarde : montées de version, placement et migration des machines virtuelles, sauvegardes quotidiennes et contrôles de restauration.

• Assure le maintien en condition opérationnelle des serveurs Linux : correctifs, montées de version, migration vers l'image durcie.

• Durcit les serveurs selon les référentiels CIS et en contrôle la conformité.

• Administre les services hébergés hors Kubernetes (gestionnaire de mots de passe, gestion des adresses IP, partage de secrets), les serveurs SFTP de dépôt de fichiers des partenaires et les passerelles de données sous Windows.

• Gère l'autorité de certification interne et le cycle de vie des certificats.

Réseau

• Administre les pare-feux, organisés en couples actif/passif : règles de filtrage, NAT, tunnels IPsec entre environnements, routage dynamique OSPF, montées de version.

• Exploite le VPN des postes nomades et diagnostique les problèmes de connectivité des collaborateurs à distance.

• Traite les demandes de service des équipes DevOps et des développeurs : ouvertures de flux, entrées DNS, accès.

Identité et accès

• Exploite l'annuaire FreeIPA (LDAP, Kerberos, DNS interne, règles d'accès HBAC) et sa réplication. L'annuaire porte l'authentification des postes de travail.

• Gère les habilitations : revues trimestrielles des comptes, fiches d'habilitation, désactivation des comptes.

Postes de travail

• Maintient la configuration et la conformité des postes Linux par une automatisation continue : durcissement, confinement applicatif, contrôle des périphériques USB, journalisation d'audit, politiques des navigateurs, logiciels.

• Administre les postes macOS par MDM : authentification par carte à puce, profils de configuration, déploiement d'applications, mises à jour du système.

• Pilote le prestataire de support Mac et tient le cahier des charges sécurité macOS.

• Assure le support de niveau 2 et 3 des utilisateurs de ces postes.

Sécurité opérationnelle

• Exploite le SIEM : cluster Elasticsearch, agents de collecte sur les serveurs, les postes et les clusters Kubernetes, snapshots et durées de conservation légales, montées de version.

• Déploie et exploite les outils de sécurité des hôtes et des postes : EDR, scan de vulnérabilités, sonde réseau des postes (NDR).

• Assure la veille et l'analyse des vulnérabilités (images du registre de conteneurs, parc de serveurs et de postes) et en pilote la remédiation.

• Traite les incidents de sécurité : qualification, investigation dans le SIEM, remédiation, application de la procédure d'alerte.

• Relit les changements (merge requests, tickets, mises en production) sous l'angle de la sécurité.

• Rédige et tient à jour les procédures SSI opérationnelles : gestion des alertes SSI du périmètre cloud, fiche d'habilitation, encadrement des usages de l'IA sur les postes.

Exploitation et automatisation

• Développe et maintient les rôles Ansible et les jobs AWX qui configurent les serveurs et les postes.

• Administre la supervision Zabbix : modèles, déclencheurs, proxies, alertes par mail et SMS.

• Traite les incidents d'exploitation, en heures ouvrées comme en astreinte : diagnostic, rétablissement, retour d'expérience.

• Rédige la documentation technique : architecture, procédures d'exploitation.

Contribue également à

• exploitation des clusters Kubernetes côté nœuds, et leur sécurité : politiques d'admission, RBAC, NetworkPolicies, scan continu des images ;

• déploiement GitOps (ArgoCD) des composants d'infrastructure dont il a la charge ;

• authentification unique des outils internes (Authentik) et coffre de secrets (Vault) ;

• construction des cas d'usage de détection et de la chaîne d'alerte du SIEM ;

• infrastructure as code (Terraform/OpenTofu) et chaîne CI/CD : GitLab, registres Harbor et Nexus, modèles de CI sécurité ;

• exposition des URL publiques derrière le WAF, pilotée par le second ingénieur infrastructure & sécurité ;

• remédiation des constats de tests d'intrusion et d'audits ;

• achats et renouvellements des licences éditeurs ;

• image d'installation des postes Linux et livraison des postes aux nouveaux arrivants.

Profil

• Bac+5 (école d'ingénieur, master en informatique ou en sécurité) ou expérience équivalente.

• Au moins 8 ans d'expérience en infrastructure et en sécurité, dont l'exploitation d'environnements de production.

• Anglais technique lu et écrit.

Compétences

Socle exigé

• Administration Linux avancée (Ubuntu, RHEL).

• Réseau et pare-feu : filtrage (pf / OPNsense), IPsec, routage OSPF, VPN WireGuard, NAT.

• Virtualisation Proxmox VE / KVM et sauvegarde Proxmox Backup Server.

• Automatisation Ansible : rôles, inventaires, AWX.

• Sécurité des systèmes : durcissement CIS, gestion des vulnérabilités, EDR.

• Annuaire et authentification : LDAP, Kerberos, FreeIPA.

• PKI et TLS : autorité de certification interne, cycle de vie des certificats.

• SIEM Elasticsearch : exploitation d'un cluster, Fleet, requêtes d'investigation.

• Supervision Zabbix : modèles, déclencheurs, proxies.

• macOS et MDM Jamf Pro : profils de configuration, PPPC, déploiement d'applications.

• Infrastructure as code et CI : Terraform / OpenTofu, GitLab CI, Git.

Conditions d'exercice

• Astreinte hors heures ouvrées, 7 jours sur 7 toute l'année, par rotation au sein du binôme : une semaine sur deux.