Mourad Mehenni

Sécurisation des applications business critique de Generali et mise en conformité avec la réglementation Européenne NIS

Pilotage de programmes transverses de cybersécurité et de protection des données, dans un environnement international fortement réglementé (RGPD, NIS), impliquant des enjeux de gouvernance, de conformité et de sécurisation des usages numériques.

Pilotage de programme & gouvernance

▪ Pilotage de dispositifs multi-projets de sécurité, avec responsabilité de la cohérence globale, de la priorisation et du suivi des livrables.

▪ Mise en place et animation de la gouvernance (COPIL, comités de suivi, reporting exécutif).

▪ Coordination transverse entre Cybersécurité, IT, Métiers, DPO et Achats.

▪ Structuration des feuilles de route, lotissement des chantiers et gestion des dépendances.

Sécurisation des usages digitaux & données (approche par exigences)

▪ Contribution au cadrage des exigences de sécurité liées aux usages collaboratifs et à la protection des données, dans des environnements majoritairement Microsoft.

▪ Capacité à traduire des exigences de sécurité (RGPD, politiques internes) en objectifs opérationnels pilotables, sans être en position d’exécution technique.

Coordination conformité & contractualisation

▪ Interface avec le DPO et les Achats sur les enjeux de conformité, de contractualisation éditeurs et de validation des dispositifs de sécurité.

▪ Participation aux processus de validation et de décision sur des solutions de sécurité, via études, comparatifs et recommandations.

▪ Évolutions des dispositifs d’authentification :

o Cadrage fonctionnel.

o Structuration du lotissement.

o Mobilisation des équipes MOA et IT.

o Suivi des dépendances et des validations.

• • Traduction des préconisations techniques en recommandations opérationnelles compréhensibles par les métiers.

• • Validation des analyses de risques avec les équipes Risk et les responsables métiers et accompagnement à la mise en œuvre des plans d'action.

• • Mission confiée par le DPO et la DSRO dans le cadre de la conformité CNIL / RGPD et de la sécurisation applicative.

• • Réalisation d'une étude comparative d'éditeurs, identification d'une short list de solutions conformes et sécurisées.

• • Analyse des limites des solutions candidates, recommandations d'intégration et présentation aux parties prenantes (DSI, Sécurité, Juridique).

• • Pilotage du programme de mise en conformité réglementaire et sécurisation des applications critiques.

• • Coordination des projets de sécurisation (contrôle des accès, durcissement, mécanismes de protection).

• • Animation des comités de pilotage, gestion des risques, reporting stratégique vers le COMEX et le CISO.

• • Contribution à la formation et à la sensibilisation des utilisateurs à la cybersécurité et à la conformité.

Elaboration et pilotage des plans de remédiations en vue de sécuriser l'Active Directory et les composants s'y rattachant. Dans le cadre des analyses de risques et avec l'accompagnement de l'ANSSI pilotage du Hardening pour réduire les expositions aux risques et sources de compromissions majeures pour les métiers

• ➢ Programme STRATEGIQUE suivi par le DSI en directe avec des Steerco mensuels animés en collaboration avec les experts sécurités. SCOPE SG : 45 AD administrés par DWS et 600 DC, Env 1800 comptes à hauts privilèges, 670 k objects /accounts)

Objectifs du programme :

• ➢ Sécuriser et maintenir la sécurité de l'environnement critique Active Directory

• ➢ S'assurer de la disponibilité et de l'intégrité de l'AD pour les métiers

• ➢ Identifier et remédier des faiblesses de sécurité

• ➢ Détecter des actions malveillantes envers l'AD (contrôle permanent)

◼ Comités d'engagement et suivi Budgétaire du programme 4 800 K€ pour 2021 + Reporting et soutenance KPI.

◼ Realisation marquantes : Hardening et remédiation des mécanismes d'authentification (Kerberos, NTLM) : task force pour suppression de 45000 Comptes inactifs + Remédiation des comptes RC4 (cutoff)

◼ Définition des plans de test pour le rebuild des AD, mise en place de reconstruction et de bascule de l'Active Directory sur un environnement sain (reco interne + CYBERRESILIENCE)

Mise en place des sources et informations pour les process de migrations , structuration de la cellule de crise avec les experts Infra et équipes supports, mobilisation des managers de BU et des dispositifs de support et de communication , )

◼ Task force en coordination avec la Sécurité Groupe et le Service Gestion de crise du Groupe

◼ Realisation marquantes : Doublement des infrastructures en un temps record et Migration en Task Force de 36 000 utilisateurs et mise en place d'outils d'accès en complément des VPN (VDI, Accès Citrix)