Ingénieur Sécurité - GRC

La santé ne peut pas attendre.
Pas pour que les symptômes s’aggravent. Pas pour un rendez-vous de six mois. Pas pour qu’un système rattrape son retard. Mais c’est exactement ainsi que fonctionnent les soins de santé aujourd’hui. Vous attendez, jusqu'à ce que vous ne puissiez plus.
Alan existe pour mettre fin à l'attente.
La santé est un droit universel, et nous pensons que ce droit ne peut devenir réalité que s’il est associé à la prévention. Nous devons cesser de considérer la santé comme quelque chose que nous réparons et commencer à la traiter comme quelque chose que nous construisons chaque jour. Ce n’est pas seulement une question de volonté. C’est le système de santé lui-même qui doit fonctionner pour tous, de manière durable.
Nous construisons ainsi le nouveau standard de l’assurance prévention. Alan est la première entreprise qui intègre l'assurance, la prévention et les soins dans une expérience utilisateur unique et plébiscitée.
Nous sommes engagés dans un voyage incroyable pour bâtir une entreprise leader mondial, dotée d’une culture unique. Nous travaillons déjà en partenariat avec plus de 40 000 entreprises de toutes tailles, au service de plus d'un million de membres, et avons atteint plus de 800 millions d'euros en ARR.
La prévention comme nouvelle norme. C'est ce que nous construisons avec notre équipe de plus de 1000 personnes. Si cela vous parle : nous recrutons partout en France, en Espagne, en Belgique et au Canada. Et au-delà.
Alan opère à l'intersection de l'assurance maladie, de la prévention et des données réglementées. La personne occupant ce rôle possède la gouvernance de sécurité et la posture de risque d'une entreprise qui gère les données de santé sensibles de plus d'un million de membres, opère sous les exigences de certification DORA et HDS et est réglementée par l'ACPR. Ils travaillent en étroite collaboration avec les services juridiques, l'audit interne et la fonction risque au sens large. C'est un rôle hautement collaboratif.

🛡️ Votre mission : Gouvernance, risque & conformité
Posséder et exploiter le SMSI ISO 27001. Vous êtes le propriétaire responsable du système de gestion de la sécurité de l'information : définition du périmètre, déclaration d'applicabilité, programme d'audit interne et revue de direction. Vous avez mené au moins un cycle complet de certification ou de recertification et savez ce qui se passe au cours des mois entre les audits.
Soyez l’expert en sécurité sur les questions de réglementation et de confidentialité. Responsables juridiques sur les relations DORA, HDS, RGPD, PGSSI-S et réglementaires. Votre rôle est d'apporter le contenu technique et opérationnel de la sécurité : traduire les exigences réglementaires en contrôles, signaler les lacunes de mise en œuvre et vous assurer de la solidité du programme de sécurité lorsque l'équipe réglementaire négocie avec l'ACPR ou l'ANS.
Gérer les risques dans le cadre d’un programme continu, en partenariat avec la fonction risque plus large. Vous dirigez la cartographie des risques de sécurité à l'aide d'EBIOS RM et vous assurez qu'elle alimente et est informée par le cadre de risque à l'échelle de l'entreprise. Vous animez des ateliers sur les risques, produisez des plans de traitement et apportez le point de vue de la sécurité sur les forums où les risques non liés à la sécurité sont également sur la table. Vous savez quand un risque de sécurité est réellement un risque commercial.
Posséder le cadre de contrôles, mais répartir la propriété des contrôles eux-mêmes. Vous définissez le cadre, fixez les normes et suivez la couverture, mais les contrôles appartiennent aux équipes qui construisent et gèrent les éléments qu'elles protègent. Vous travaillez en étroite collaboration avec l'infrastructure, la plate-forme et l'ingénierie pour garantir que les éléments de base (identité, réseau, gestion des secrets, journalisation) sont conçus avec des exigences de sécurité intégrées dès le départ. Vous travaillez aux côtés de ces équipes en tant que partenaire.
Mener les cycles d'audit avec rigueur, en partenariat étroit avec l'Audit Interne. Vous gérez le programme d’audit de sécurité et vous coordonnez avec les organismes de certification. Vous travaillez avec l'audit interne pour aligner les périmètres, éviter les duplications et présenter au conseil d'administration une image cohérente de l'efficacité des contrôles. Vous avez participé à des séances conjointes de planification d'audit et savez comment faire en sorte que cette relation fonctionne bien.
Gérer le risque tiers. Vous réalisez des évaluations de sécurité des fournisseurs et définissez les exigences contractuelles de sécurité (annexes de sécurité, DPA). Vous travaillez en partenariat avec notre équipe Risques, qui supervise les risques liés aux tiers, et possédez la dimension sécurité.
Apporter le contexte du secteur de la santé. Vous comprenez le cadre ANS, les exigences du CERT Santé et ce que signifie gérer des données de santé sensibles dans les opérations quotidiennes. Vous êtes un partenaire utile du service juridique lorsque la question est « qu'est-ce que cette réglementation nous oblige réellement à faire techniquement ? »
Posséder une gouvernance des incidents et prendre en charge les rapports DORA. Vous classez et faites remonter les incidents TIC en interne, êtes propriétaire de la gouvernance BCP et DRP et fournissez la substance de sécurité pour les rapports d'incidents DORA.

🚀 Ce que vous construirez et avec qui vous travaillerez
Cadre de conformité : ISO 27001, DORA, HDS, NIS2. Plusieurs régulateurs, plusieurs pays, une seule structure de gouvernance cohérente. Créez le système qui permet à Alan de passer d'un million à plusieurs millions de membres sans rétablir la conformité à chaque fois.
Moteur automatisé d'audit et de preuves : remplacez la collecte manuelle de preuves par des pipelines scriptés connectés directement aux systèmes d'ingénierie. Transformez les cycles d’audit en une capacité continue au lieu d’une précipitation trimestrielle.
Cartographie des risques : le risque est traité comme un signal opérationnel qui alimente directement les décisions commerciales et techniques, avec EBIOS RM au cœur.
Vous travaillerez en étroite collaboration avec les services juridiques, le DPO, l'audit interne et la fonction risque au sens large, et travaillerez en partenariat quotidien avec l'infrastructure, la plate-forme, l'ingénierie, les produits et les opérations. Vous êtes le pont entre la complexité réglementaire et la simplicité opérationnelle.

⚡Pourquoi ce rôle est spécial
Impact direct : vous possédez la fondation de confiance qui permet à Alan de gérer les données de santé de plus d'un million de membres et d'opérer sur des marchés hautement réglementés. Votre travail est la condition préalable à tout ce que fait Alan.
Problèmes complexes : 4 régulateurs dans 4 pays, des données de santé sensibles et un paysage réglementaire en constante évolution (DORA, NIS2, AI Act), le tout à modéliser dans un système de contrôle unique et cohérent.
Propriété et croissance : exposition au conseil d'administration et à la direction, influence réelle sur les décisions en matière de risques à l'échelle de l'entreprise et autonomie nécessaire pour façonner la culture de sécurité d'Alan au sein de plus de 800 personnes.…

Source : Arbeitnow (https://www.arbeitnow.fr/jobs/companies/alan/security-engineer-grc-anywhere-in-france-2281)