0. Contexte, Organisation de CA-GIP et glossaire

CA-GIP (Crédit Agricole Group Infrastructure Platform) est une société du Groupe Crédit Agricole qui fournit des services de production informatique à l’ensemble des sociétés du Groupe.
CA-GIP comprend 1600 collaborateurs internes répartis sur 17 sites.
CA-GIP est composée de 8 directions « socles », 6 directions « clusters » et plusieurs directions « support ».
- Socle : Direction au sein de laquelle est construite et exploitée une offre de production informatique
- Cluster : Direction prenant en charge la livraison et le suivi d’un service de production (basée sur une offre socle) à une ou plusieurs entités du Groupe
- COC : Centre Opérationnel de Cyberdéfense (MOE Sécurité, socle exploitant des offres de sécurité)
- Risques IT : Fonction support, MOA Sécurité
Le présent appel d’offres vise à trouver un référent sécurité pour le cluster « Grandes Clientèles » et dont le client est CACIB.

1. Rôle global du référent sécurité

Le référent sécurité est un coordinateur de la sécurité globale du Cluster. Il est le point d’entrée unique des fonctions centrales de sécurité (COC, Risques IT) et des entités sécurité des clients vers le Cluster.
Il intervient en tant que coordinateur et facilitateur dans la mise en œuvre de la sécurité du Cluster.

2. Missions du référent

- Coordination des actions sécurité liées au Cluster (liées à un projet Risques IT, un projet COC, des recommandations IGL, de l’audit interne, etc.)
o Point d’entrée des demandes aux cluster par Risques IT, COC, du client (notamment des recommandations IGL)
o Coordination des contributions nécessaires du cluster
- Correspondant des fonctions centrales sécurité
o Remontée d’évènements sécurité (en détail ou en synthèse) à Risques IT
o Contributeur de Risques IT sur l’implémentation de certaines thématiques en Cluster (sensibilisation, dérogations, politique de sécurité, cartographie des risques, PCA, etc.)
- Suivi des vulnérabilités / non conformités
o Etude des vulnérabilités / non conformités détectées sur le périmètre du Cluster
o Contextualisation client / priorisation
o Pour chaque action à réaliser qui le nécessite, obtenir l’accord du client et si nécessaire un créneau de remédiation
o Coordination de la remédiation à réaliser (qui peut être faite par un socle et/ou le cluster et/ou le COC)
o Présentation la situation contextualisée aux entités
- Tableaux de bord / indicateurs
o Récupération des indicateurs et du tableau de bord générique établi par le COC
o Contextualisation pour présentation aux CISO des entités clientes
o Remontée d’éventuels nouveaux besoins au COC (le COC arbitrera ensuite la mise en place ou non de ces indicateurs)
o Négociation avec les entités des indicateurs indiqués dans la convention de service si besoin (ex : impossibilité de les produire ou de respecter les délais)
- Tests d’intrusion réalisés par le client
o Présence à la restitution des audits / tests d’intrusion réalisés par le client et qui concernent CA-GIP
o Prise en compte et coordination des travaux de remédiation (à réaliser par le Cluster / le COC / les socles, etc.)
- SOC / Gestion des incidents de sécurité
o Le COC garde son point de contact unique (SPOC) chez le client pour la gestion des incidents de sécurité
o Le référent sécurité est informé mais n’est pas bloquant dans la communication et la chaine de traitement de l’incident.

3. Comitologie

Le référent sécurité participe notamment aux comités suivants :
o CRS : Comité Run Sécurité (mensuel)
 Animation COC
 Fréquence mensuelle
 Parle des indicateurs de sécurité de CA-GIP
 Comité interne uniquement
o Comité sécurité CA-GIP / Client
 Animation référent sécurité
 Comité dans lequel le référent anime et reporte de la sécurité à l’équipe CISO entité, remonte également les besoins des CISO entités
 1 comité par client (fréquence à définir selon les prestations de CA-GIP au client, a priori mensuelle ou bimestrielle)
o Comité des référents sécurité
 Animation Risques IT
 Fréquence mensuelle
 Point de partage entre les référents sécurité sur la méthodologie, leur rôle, les difficultés

4. Rattachement du référent sécurité
- Rattachement hiérarchique du référent :
o Risques IT / MRI
- Rattachement fonctionnel
o Dans le cluster

5. Localisation géographique
Le référent sécurité sera basé sur le campus de SQY Park (Guyancourt) mais il pourra également travaillera également dans les bureaux du Cluster qui sont basés à Montrouge.