Omar El Hachimi / Projets / Centre de pilotage de la sécurité
Projet 05 · LCL · groupe Crédit Agricole · 2023 – cette annéeOmar El Hachimi a proposé, conçu et construit le centre de pilotage de la sécurité de LCL : il rassemble les résultats de tous les scanners de sécurité, les classe selon le risque réel et suit la correction équipe par équipe. Il est devenu le standard de sécurité de la banque.
Ce que je publie : l'architecture, les choix de conception et des chiffres arrondis. Jamais de code, de document interne ni de nom de personne.
LCL faisait tourner plusieurs scanners de sécurité, chacun sur une couche : code, dépendances, conteneurs, artefacts. Chacun produisait sa liste de résultats, dans son format, avec sa propre idée de la gravité. Personne ne pouvait répondre à trois questions simples : quelles vulnérabilités comptent le plus, qui doit les corriger, et à quelle vitesse sont-elles corrigées ? Pendant ce temps, le régulateur demandait des preuves de remédiation.
Un seul modèle des vulnérabilités de la banque, et une raison de les corriger. J'ai proposé un centre de pilotage de la sécurité et je l'ai construit : des connecteurs vers chaque scanner alimentent des pipelines ETL qui consolident, normalisent et dédoublonnent les résultats dans un modèle unique, par application et par équipe.
Chaque vulnérabilité est notée selon sa gravité multipliée par la criticité de l'application : une faille critique dans un système exposé aux clients remonte en tête, la même faille dans un petit outil interne non. Chaque équipe voit sa propre liste priorisée ; les responsables sécurité voient toute la banque. Un mode ludique et des classements sur la vitesse de correction ont fait de la remédiation une compétition entre équipes. L'historique des corrections est conservé.
Le centre de pilotage couvre plus de 700 applications et plus de 100 équipes, et a été adopté comme standard de sécurité de la banque, l'outil de référence des responsables sécurité et de la conformité. L'historique des corrections donne à la banque des preuves de remédiation auditables au titre de DORA.
La même faille compte davantage dans une application exposée aux clients que dans un petit outil interne. Noter la gravité multipliée par la criticité de l'application place le bon travail en haut de chaque liste.
Les classements sur la vitesse de correction font de la remédiation quelque chose que les équipes voient et comparent, plutôt qu'un backlog que personne ne regarde.
Réunir les résultats de tous les scanners dans un seul modèle, noter chaque vulnérabilité selon sa gravité multipliée par la criticité de l'application, et montrer à chaque équipe sa propre liste priorisée. Le centre de pilotage de la sécurité qu'Omar El Hachimi a construit chez LCL le fait pour plus de 700 applications.
Je prends des missions freelance et je suis aussi ouvert aux CDI. Envoyez-moi une courte description du besoin.
Comment je travaille sur ce type de mission : L'IA générative pour la banque et l'assurance, sous contrôle.