Paris, Île-de-France, France
Directeur Cybersécurité avec plus de 20 ans d'expérience dans la définition et le déploiement de stratégies de cybersécurité au sein de grands groupes internationaux. Après plusieurs années en tant que consultant indépendant, j'ai rejoint Veolia, groupe du CAC 40 et acteur mondial de référence dans les domaines de l'eau, de l'énergie et de la gestion des déchets. J'y ai successivement occupé les fonctions de Responsable Sécurité Opérationnelle Groupe puis de Directeur Adjoint Cybersécurité Groupe. À ce titre, j'ai participé à la définition et à la mise en œuvre de la stratégie cybersécurité d'un groupe de plus de 350 000 collaborateurs présent sur les cinq continents. J'animais notamment un réseau mondial d'une cinquantaine de RSSI et coordonnais les initiatives de sécurité opérationnelle à l'échelle du Groupe. J'ai également assuré pendant plusieurs mois la fonction de Directeur Cybersécurité Groupe par intérim, en lien direct avec les directions métiers, IT et exécutives. J'occupe aujourd'hui le poste de Directeur Cybersécurité au sein d'un groupe agroalimentaire international. Dans ce cadre, je pilote la stratégie cybersécurité pour plus de 30 entités à travers le monde et accompagne les transformations numériques du Groupe sur des sujets couvrant à la fois les systèmes d'information (IT) et les environnements industriels (OT). Mes responsabilités incluent notamment : • Définition et pilotage de la stratégie cybersécurité • Gouvernance, gestion des risques et conformité réglementaire • Cybersécurité des environnements cloud et industriels • Accompagnement des projets de transformation numérique • Développement et management d'équipes pluridisciplinaires (25 collaborateurs) • Construction des indicateurs, reporting exécutif et aide à la décision • Sensibilisation et développement de la culture cybersécurité Au cours de ma carrière, j'ai développé une expertise particulière dans les domaines du cloud (AWS, GCP, Azure), des environnements Microsoft, de la gestion des vulnérabilités, de la cybersécurité industrielle et de la gouvernance de la sécurité. Passionné par les nouvelles technologies et la transmission des connaissances, j'ai été Microsoft MVP Sécurité et AD durant une dizaine d'années. J'ai également coécrit 11 ouvrages techniques consacrés aux technologies Microsoft et à la cybersécurité, ainsi que de nombreux articles spécialisés publiés dans la presse informatique professionnelle.
𝐆𝐑𝐎𝐔𝐏 𝐂𝐘𝐁𝐄𝐑𝐒𝐄𝐂𝐔𝐑𝐈𝐓𝐘 𝐃𝐈𝐑𝐄𝐂𝐓𝐎𝐑 Définition et pilotage de la stratégie cybersécurité Groupe dans un contexte international, en partenariat étroit avec les métiers, la DSI et les instances dirigeantes. Conseil auprès des directions exécutives sur les enjeux de Cyber Risk Management, de résilience opérationnelle et de protection des actifs stratégiques du Groupe. • Élaboration et exécution de la feuille de route cybersécurité alignée sur les objectifs business et les programmes de transformation digitale. • Définition de la gouvernance cybersécurité, des indicateurs de pilotage et du reporting auprès du COMEX Groupe, CODIR et Comité d'Audit. • Structuration et développement de la fonction cybersécurité Groupe, des équipes et des communautés de pratique. • Gestion budgétaire, optimisation des investissements et pilotage des partenaires stratégiques. • Mise en œuvre d'une approche Enterprise Risk Management permettant de couvrir les activités représentant plus de 80 % du chiffre d'affaires du Groupe. • Pilotage de la cybersécurité sur des environnements mêlant IT, OT/ICS, industrie, supply chain, retail, e-commerce, cloud et négoce international. • Développement d'une communauté cybersécurité IT à l'échelle du Groupe. 𝐂𝐘𝐁𝐄𝐑 𝐓𝐑𝐀𝐍𝐒𝐅𝐎𝐑𝐌𝐀𝐓𝐈𝐎𝐍 & 𝐑𝐈𝐒𝐊 𝐌𝐀𝐍𝐀𝐆𝐄𝐌𝐄𝐍𝐓 • Évaluation de la maturité cybersécurité et définition de la feuille de route de transformation. • Recrutement et développement de l'équipe cybersécurité. • Déploiement d'un programme Groupe de Vulnerability Management basé sur les risques. • Intégration de la sécurité dans les programmes Cloud et Digital Transformation. • Définition des politiques, standards et contrôles de sécurité basés sur NIST et NIS2. • Pilotage des audits, tests d'intrusion, exercices de Crisis Management et plans de résilience. • Déploiement d'un programme mondial de sensibilisation. • Veille stratégique sur les menaces émergentes (IA, deepfakes, nouveaux usages numériques).
𝐆𝐎𝐔𝐕𝐄𝐑𝐍𝐀𝐍𝐂𝐄 : • Définition du plan stratégique et des priorités pour 2023 alignées sur les objectifs stratégiques métiers et IT • Rédaction du plan stratégique 2024-2026 • Suivi budgétaire 2022 et définition du budget 2023 • Reporting régulier au COMEX/CODIR/CCA/Directions (métiers, contrôle interne, etc.) • Pilotage de la gestion des risques cybersécurité à l’échelle du Groupe (basée sur le framework NIST, avec self-assessment, intégration aux processus internes, évaluation des tiers, etc.) • Mise en place de campagne d’audits • Suivi et assistance des entités les plus à risques (IT et OT) • Sensibilisation du TOP Management aux risques cybersécurité • Adaptation des priorités aux risques géopolitique et construction d’une taskforce IT et OT pour optimiser la résilience (PCA/PRA) • Collaboration avec la Direction des risques sur le choix de l’assurance cyber Groupe • Définition de dashboard cybersécurité avec indicateurs cloud (à la fois opérationnel et pour les Directions) • Gestion de la partie cybersécurité dans le cadre de la fusion/acquisition de Suez (intégration des équipes, évaluations de la maturité cyber, sortie des TSAs, SOW, Carve-Out etc.) • Management et pilotage de l’activité du service (28 personnes) • Gestion et Référent d’une communauté “Cybersécurité” (400 membres à travers le Groupe) 𝑷𝑹𝑶𝑱𝑬𝑻 : • Définition d’un programme “Fix the Basics” avec lettre de synthèse et d'engagement envoyées aux DSI • Révision des politiques et guidelines Groupe • Etude et choix d’un “Global SOC” à l'échelle du Groupe avec choix stratégique (évolution d'équipes) et technologique (MSSP/SIEM/SOAR) • Définition d’un processus global de réponse à incident à l’échelle du Groupe (avec astreinte, IRT,etc.) • Organisation de tests d'intrusion et d'audit et restitution des résultats (avec challenge des entités concernées pour évaluer leur capacité d’investigation post-incident) • Programme de sécurisation des 25 usines (OT/ICS) les plus critiques du Groupe
Directeur Cybersécurité Groupe (par interim). Durant cette période, voici une partie des sujets traités avec mon équipe : 𝑮𝑶𝑼𝑽𝑬𝑹𝑵𝑨𝑵𝑪𝑬 : • Gouvernance et définition de la stratégie cybersécurité Groupe pour les 80 entités du Groupe Monde • Définition et gestion du budget + pilotage du budget des entités • Communication régulière auprès de la Direction Générale • Mise en place de campagne d’audit, suivi et assistances des BUs (IT et OT) • Échange régulier avec l’ensemble des Directions du Groupe (contrôle interne, IT, Business, etc.) • Création d’un questionnaire de Due Diligence Cyber et intégration à un processus global • Réflexion autour du Zero Trust (SASE, ZTNA) • Organisation d’un séminaire Cybersécurité avec l’ensemble de la communauté (80 RSSIs) • Pilotage de l’activité de l’équipe CyberSécurité IT et OT (25 personnes). 𝑷𝑹𝑶𝑱𝑬𝑻 : • Définition d'un service "d'exercice de crise à la demande" pour sensibiliser les Directions du Groupe • Choix d'une solution de formation pour tous les RSSIs du Groupe et leurs équipes • Campagne de phishing ciblant le "TOP 500 Managers" et présentation des résultats au COMEX et aux RSSIs. • Lancement d’un programme de Bug bounty Groupe • Choix d’une solution de sandboxing • Intégration de la sécurité dans un projet (qualification, intégration aux processus existants, etc.)
Responsable Sécurité Opérationnelle pour les 60 entités du Groupe Veolia • Rédaction, diffusion de politique de sécurité (AWS, GCP, Audit Policy, AD, etc.) • Etude et mise en place d’un EDR pour l’ensemble du Groupe • Référent Groupe et leader “Réponse à incident” avec l’ensemble des 60 entités du Groupe (worldwide) • Mise en place d’une méthodologie de réponse à incident. • Création d'un question de Due Dilligence • Amélioration de la détection sur incident • Projet de segmentation des réseaux à l’échelle du Groupe • Optimisation annuelle du service de Cyber Threat Intelligence (CTI) • Surveillance active de l'OT exposés sur Internet • Choix d’un outil de blocklist de mot de passe Active Directory • Choix d’une solution de surveillance des CVEs. • Recrutement et management de l’activité de l’équipe Sécurité opérationnelle (5 personnes).
Administrateur du forum du laboratoire Microsoft, spécialisé dans l'aide et le conseil auprès d'autres professionnels de l'informatique.
Elu MVP Windows Server - Active Directory (Directory Services) depuis 2007.
• Rédaction de plusieurs articles techniques pour le magasine IT Pro.