The posting
Spécialiste plateforme DevSecOps (Senior) Cybersécurité · Québec ou Montréal · Hybride
Ce que tu viens faire chez nous
Tu es la personne qui bâtit l’outil de sécurité et qui s’en sert. Plutôt que de lancer un scan, d’exporter un PDF de 400 constats et de souhaiter bonne chance aux devs, tu tries ce qui est vrai, tu écartes les faux positifs et tu montres à l’équipe comment corriger le reste. La moitié de ton temps, tu fais de la sécurité applicative sur les projets de Vooban. L’autre moitié, tu développes la plateforme de sécurité qu’on bâtit à l’interne : tu vois un constat qu’on trie encore à la main, tu l’automatises ; tu vois une frontière de confiance floue, tu la modélises et tu la fermes. Tu travailles main dans la main avec nos devs et l’équipe cyber, pas du haut d’une tour d’ivoire.
La plateforme réunit au même endroit le threat modeling, un graphe de sécurité, l’analyse de la composition des systèmes, le triage des vulnérabilités et le suivi de conformité, avec des agents d’IA qui font une bonne partie de l’analyse en arrière-plan. Personne ne va te tendre un ticket bien emballé : tu prends une fonctionnalité en charge, du modèle de données jusqu’à l’interface, et tu décides comment la sécuriser. C’est un environnement fait pour les gens qui préfèrent prouver qu’un contrôle fonctionne plutôt qu’affirmer qu’il existe. Et c’est un rôle rare, où le full-stack, la sécurité, la plateforme et l’IA appliquée se croisent souvent dans la même merge request.
Pssst : on travaille surtout à distance, mais tu dois pouvoir passer à nos bureaux de Québec ou de Montréal au besoin.
Ce que tu vas driver chez nous
- Sécurité applicative des projets. Tu analyses le code des projets de Vooban avec des outils comme Wiz ou Snyk, tu sépares les vrais risques du bruit et tu donnes aux équipes des instructions claires pour corriger.
- Livraison de bout en bout. Tu prends une fonctionnalité de la plateforme du modèle de données jusqu’à l’interface, en passant par l’API, avec les décisions d’accès réglées à chaque étape. TypeScript strict, React, PostgreSQL et une API contract-first.
- Gardien.ne de la posture de la plateforme. Threat modeling, autorisation qui échoue fermée, isolation stricte des données entre clients, secrets qui ne se retrouvent jamais dans un log. C’est un produit de sécurité, ses garanties sont le cœur de la game.
- Opérations cloud sans drame. Infra as code, GitOps sur Kubernetes, livraison continue gatée par des contrôles de qualité, observabilité. Tu privilégies les changements sûrs et réversibles, et un rollback qui ne fait suer personne.
- Supply chain qui se tient. Images signées, SBOM, provenance et politiques testées comme du code. Tu sais prouver que ce qui roule en prod est bien ce que la CI a bâti.
- Agents d’IA bien encadrés. Tu conçois les agents qui font l’analyse de sécurité en arrière-plan et les garde-fous autour d’eux : sandbox sans secret, entrées traitées comme hostiles, sorties validées. Chez nous, les scanners décident de la vérité et les LLM font le triage.
- Gouvernance concrète. Tu relies ce que le code fait pour vrai aux cadres reconnus (NIST CSF, SOC 2, ISO 27001) et aux preuves qu’ils demandent.
- Un système qui reste compréhensible. Décisions consignées, doc exacte, tests qui prouvent l’intention. Une leçon apprise devient un test ou une règle de lint, pas un paragraphe oublié dans un wiki.
Ton profil
- Au moins 5 ans en développement logiciel, dont 2 ans ou plus en sécurité applicative, en DevSecOps ou en opérations cloud.
- Du full-stack sérieux dans un langage typé : modèle de données, API et interface, avec du code que les autres ont envie de maintenir.
- De l’expérience concrète avec des outils de sécurité du code (Wiz, Snyk ou l’équivalent). Tu sais reconnaître un faux positif et expliquer à une équipe pourquoi l’autre constat, lui, est urgent.
- Des bases solides en identité et accès, en threat modeling et en protection des données et des secrets.
- De l’expérience à déployer et opérer des services conteneurisés, avec l’infra définie comme du code.
- Un bac en génie logiciel ou en informatique. T’as appris autrement et tu bâtis du logiciel solide ? Montre-nous ce que t’as fait.
- Tu utilises déjà l’IA dans ton travail au quotidien, et t’as une opinion sur ce qu’elle fait bien et moins bien.
- Le français et l’anglais au travail, à l’oral comme à l’écrit.
- Un parcours en entreprise de produit ou dans une organisation où t’as touché à tout le cycle, pas juste à une petite patente (un atout).
- LLM ou agents d’IA en production, sandboxing, GitOps, multi-cloud, cryptographie ou cartographie des contrôles SOC 2 / ISO 27001 (un atout).
- OSCP, GSEC, CISSP, ou un historique en CTF ou en recherche de sécurité (un atout).
