Cybersecurity Internal Penetration Tester — EFG International AG

Description complète

Informations générales

• Oui.

Département : Sécurité de l'information et BCM

• Oui.

Temps de travail Pourcentage : 100%

• Oui.

Lieu : Genève (préféré), Zurich ou Lugano

Description de l'emploi

Contexte

• La Sécurité de l'information et la BCM, sous la direction du chef de la sécurité de l'information du groupe (CISO) et d'une partie de l'organisation du chef de l'exploitation (COO), définit, dirige et coordonne les efforts de sécurité de l'information dans l'ensemble de EFG International et de ses entités à l'échelle mondiale. Il décrit la stratégie de sécurité de l'information, identifie et dirige des initiatives de sécurité et établit des normes.

Pour soutenir le Cadre de gestion des risques TIC, conformément aux exigences réglementaires (FINMA, DORA et règlements pertinents du secteur financier), nous recherchons un testeur de pénétration intermale de cybersécurité.

Le candidat retenu sera chargé d'effectuer des évaluations de sécurité offensives continues et internes de l'infrastructure, des applications et des contrôles de la Banque.

Ce rôle combine une expérience technique pratique en matière d'essais de pénétration et de simulation d'exercices d'attaques dans le monde réel sur des environnements d'entreprise, avec une collaboration étroite avec des équipes de sécurité, de TI, de développement et de risque pour identifier, exploiter et conseiller proactifs sur l'assainissement des vulnérabilités dans les systèmes bancaires critiques.

Les principales responsabilités comprennent

• Oui.

Planifier, étendre et exécuter des tests de pénétration interne sur les plateformes bancaires centrales et les applications commerciales, en mettant fortement l'accent sur les services qui soutiennent des fonctions essentielles et importantes

• Oui.

Scénarios d'essai de conception alignés sur des modèles réalistes de menaces de cuisson (fraude, exfiltration de données, escalade des privilèges, mouvements latéraux vers des systèmes critiques,...) et évaluations internes des risques

• Oui.

Exécuter des tests pratiques sur les réseaux internes, les serveurs, les terminaux, les applications web, les API, les charges de travail en nuage, les systèmes AD et autres systèmes d'infrastructure de base

• Oui.

Documenter les constatations dans des rapports clairs et fondés sur les risques, avec des preuves et des lignes directrices sur la remise en état à l'intention des publics techniques et non techniques

• Oui.

Travailler en étroite collaboration avec les équipes d'infrastructure, de développement, de développement et de gestion des risques afin d'appuyer les plans d'assainissement et de re-test, en veillant à ce que les constatations critiques soient suivies jusqu'à la clôture des processus de gestion des risques et de gouvernance des TIC.

• Oui.

Élaborer et tenir à jour des méthodes d'essai internes, des livres de lecture et des outils pour appuyer les évaluations répétables et efficaces

• Oui.

Collaborer avec SOC sur des exercices de style pourpre-équipe pour tester et améliorer les capacités de détection et de réponse

• Oui.

Restez à jour sur les menaces émergentes, les vulnérabilités, les TTP, etc., et intégrer dans les tests internes

Compétences et expérience

• Oui.

Contexte en matière de cybersécurité, d'informatique ou de domaines connexes

• Oui.

3-5 ans de tests de pénétration pratique ou d'expérience en équipe rouge, avec un travail démontrable sur le réseau interne, les applications Web et l'API; l'expérience des services bancaires ou financiers est un plus fort

• Oui.

Une bonne compréhension des protocoles réseau, des systèmes d'exploitation (Windows, Linux), des technologies web et cloud; la connaissance des architectures bancaires de base est un plus

• Oui.

Compétence avec des outils et des techniques offensifs communs (p. ex. Burp Suite, Metasploit, frameworks Cobalt Strike-like, outillage basé sur Kali) et capacité à effectuer des tests manuels au-delà des outils

• Oui.

Connaissance approfondie des concepts de codage sécurisé et vulnérabilités communes (p. ex., OWASP Top 10) pour évaluer les cibles Web et API

• Oui.

Certifications professionnelles telles que OCSP, GXPN ou titres de créance de sécurité offensifs similaires en règle

• Oui.

Fortes compétences en communication et capacité d'expliquer les découvertes techniques complexes à l'auditoire technique et non technique

Nos valeurs

• Oui.

Responsabilité : Prise en charge des tâches et des défis, et recherche d'amélioration continue

• Oui.

Hands-on : Être proactif pour obtenir rapidement des résultats de haute qualité

• Oui.

Passionné : Être engagé et chercher l'excellence

• Oui.

Solution : Se concentrer sur les résultats des clients et traiter les clients équitablement avec un état d'esprit conscient des risques

• Oui.

Partenariat : Promouvoir la collaboration et le travail d'équipe. Travailler ensemble avec un esprit d'entreprise.

Demande

Veuillez joindre une lettre d'accompagnement à votre CV au moment de remplir la demande.