DevSecOps- PaaS - Flex/Remote F/H

Scalingo est une startup technologique en pleine croissance, dédiée à la création d'une plateforme cloud souveraine européenne qui simplifie le quotidien des développeuses et développeurs. Notre solution permet de déployer et d'héberger des applications web et des bases de données rapidement, sans nécessiter de compétences en administration système ou en gestion de serveurs. Nous collaborons avec une clientèle diversifiée, allant des startups aux grandes entreprises et institutions publiques telles que le Ministère de l'Intérieur et ENGIE.

Dans ce cadre, le ou la DecSecOps joue un rôle structurant pour garantir la sécurité du socle technique de la plateforme : durcissement des composants critiques, conformité des environnements et intégration fluide des exigences de sécurité dans les pratiques d’ingénierie.

Ce rôle s’inscrit dans une démarche de sécurité opérationnelle avancée : diagnostic et durcissement des infrastructures, automatisation des contrôles de sécurité, formalisation des pratiques et accompagnement des équipes sur les réflexes sécurité tout au long du cycle de vie technique. Il ou elle a un impact direct sur la robustesse de l'infrastructure et la fiabilité des services rendus aux clients

Le ou la DevSecOps aura pour missions de :

• Diagnostic et durcissement des infrastructures
• Automatisation des contrôles de sécurité
• Formalisation des pratiques et accompagnement des équipes sur les réflexes sécurité tout au long du cycle de vie technique (ISO 27001, HDS, SecNumCloud).

D'un niveau technique confirmé et polyvalent, il ou elle sait à la fois avoir une vision d’ensemble de la sécurité, tout en étant capable d’entrer dans les détails techniques de la plateforme. Ses qualités humaines et rédactionnelles en font une actrice ou un acteur clé de la transmission et de l’amélioration continue de la sécurité.

Sécurité des infrastructures système

• Mise en œuvre du durcissement des systèmes Linux (Ubuntu/Debian), incluant l’application des standards internes et la configuration d’outils tels qu’auditd, journald, AppArmor, sysctl, PAM, etc.
• Conception, validation et maintien de configurations sécurisées sur les composants d'infrastructure critiques : bastions, hôtes système, VMs applicatives, environnements de base de données et services d’exécution, dans le respect des exigences de résilience et de conformité.
• Déploiement et tuning de la journalisation centralisée des systèmes, avec configuration d’alertes sécurité pertinentes, traçabilité des accès et production de logs exploitables dans le cadre des audits ou des post-mortems.
• Implémentation des exigences de cloisonnement, d’authentification forte, de durcissement système et de supervision, en cohérence avec les référentiels ISO 27001, HDS et SecNumCloud.

Automatisation sécurité dans les workflows CI/CD (DevSecOps)

• Réalisation de diagnostics de la chaîne CI/CD et des pratiques IaC (Terraform, Ansible), identification des leviers d'amélioration sécurité et proposition de solutions concrètes.
• Intégration d’outils de sécurité (SAST/DAST, scans d’images, gestion des secrets, linters IaC) dans les workflows existants de manière non bloquante et pérenne.
• Automatisation de contrôles dans les pipelines de déploiement, en veillant à préserver la fluidité, la maintenabilité et la performance des processus CI/CD existants.
• Réalisation d’une veille active sur les outils DevSecOps, expérimentation et sélection d’outils adaptés, contribution à l’élaboration de bonnes pratiques sécurisées dans les pipelines.

Accompagnement des équipes et culture sécurité

• Participation active aux revues de code, de plans d’architecture et de pipelines, en challengeant les choix techniques sous l’angle sécurité.
• Conception et animation de sessions pratiques de sensibilisation technique (revues de code, audits de configuration, bonnes pratiques IaC ou PAM), afin de faire progresser l’organisation sur les réflexes de sécurité au quotidien.

Conformité, documentation et rémanence

• Production et maintien des preuves techniques et documentaires permettant de satisfaire aux exigences des audits externes et internes (SecNumCloud, ISO 27001, HDS).
• Contribution à la mise à jour de tableaux de bord sécurité techniques (vulnérabilités, conformité, durcissement) et à la collecte d’indicateurs opérationnels exploitables en audit.

Vous disposez idéalement d'une première expérience réussie dans un poste similaire en alternnace ou en CDI (par exemple : Ingénierie Sécurité, DevOps, SRE) avec de bonnes connaissances techniques.
Les expériences personnelles et projets significatifs réalisés sont tout autant valorisés.

Vous connaissez plusieurs des technologies suivantes (ou équivalent) : Go, Docker, Ansible, Chef, Terraform, Packer, IaaS, Object Storage, CI/CD Pipelines.

Vous disposez d'une expérience sur un cloud managé (AZURE, AWS, GCP).

Vous avez une bonne maîtrise de Bash, et la connaissance de Ruby est un plus.

Vous avez une compréhension des concepts de sécurité en environnement PaaS, SaaS IaaC et IaaS, notamment : gestion des identités (IAM), sécurisation des API, gestion des secrets, hardening des systèmes, supervision de la sécurité (SIEM, NDR), et intégration de la sécurité dans les pipelines CI/CD.

Vous connaissez les bonnes pratiques de sécurité applicative et infrastructurelle, y compris la sécurisation des conteneurs (Docker), la gestion de la configuration sécurisée (Ansible, Chef), et l’automatisation des déploiements sécurisés.

Vous savez travailler en équipe et communiquer efficacement avec vos collègues des équipes techniques, produit, sécurité, ainsi qu’avec la direction.

Vous possédez d'excellentes aptitudes d'investigation, avec un esprit d'analyse affûté que vous êtes capable de mobiliser rapidement pour limiter l'impact des incidents potentiels sur nos clients.

Vous êtes à l'aise en anglais écrit : c'est notre langue de travail au sein de Scalingo, avec nos clients européens et tous nos fournisseurs.Vous faites preuve d'une grande rigueur dans votre travail, avec une attention particulière aux détails et à la qualité des livrables.

• Full remote ou hybride choisi selon la localisation
• Prime télétravail
• Ticket Restaurant carte Swile et ses avantages
• Complémentaire santé 100% prise en charge par Scalingo (BENEFIZ)
• Horaires flexibles
• Ordinateur portable sous Linux

Voici les étapes de notre processus de recrutement :

• Call de pré-qualification (30 min) : nous vous appellerons pour vous présenter l'offre et la clarifier si besoin. C'est vous qui décidez si vous passez à l'étape suivante.
• Test de pré-screening (30 min) : c'est un test standardisé type QCM à passer en ligne. Il permet d'évaluer les candidatures de la manière la plus objective possible en essayant d'éviter les biais de recrutement. Il y a une note minimale pour passer le test.
• Test Hard-skill (quelques heures sur 7 jours) : c'est un test technique à réaliser et à nous restituer à la date de votre choix apèrs avoir pris connaissance eds consignes. L'objectif est d'évaluer vos compétences, vos habitudes et bonnes pratiques dans le domaine de l'emploi proposé.
• Premier entretien structuré : skill and aptitude-fit (1,5 h) : c'est un entretien structuré avec les personnes de l'équipe qui effectuent le recrutement. L'objectif est de discuter de vos aptitudes et de votre expérience afin d'évaluer leur adéquation avec l'offre.
• Second entretien structuré : culture-fit and mutual confirmation (1,5 h) : c'est un entretien structuré avec un co-fondateur, ou un autre membre de l'équipe. L'objectif est de se confirmer à chacun que nous souhaitons travailler ensemble.

La vie chez Scalingo :

• Nous sommes un acteur de la tech à la pointe qui servons des acteurs institutionnels sans être une méga corporation.
• Nous sommes engagés sur le bien-être des équipes et leur développement : nous privilégions l'autonomie avec un suivi managérial hebdomadaire. Toute l'équipe est impliquée pour améliorer l'entreprise.
• Nous recrutons des individus, pas seulement des CV.
• Nous sommes dans l’amélioration en continu et le recul sur notre activité : nous nous demandons régulièrement si ce que nous faisons est assez bien et nous cherchons toujours des manières de nous améliorer.
• Nous sommes autonomes et responsables sur nos activités. Nous nous faisons tous et toutes confiance afin que chacun puisse travailler sur les points qui lui semblent les plus importants, et prendre les décisions qui sont nécessaires pour son travail.
• Nous n'aimons pas les silos : nous faisons attention à ce que tout le monde puisse voir et comprendre ce que les autres font, nous avons une culture de la transparence par défaut.