Conseiller(ère) - GRC et projets, cybersécurité

Introduction

Deuxième plus important réseau de transport collectif dans la région métropolitaine de Montréal, exo exploite les services de train, d’autobus et de transport adapté des couronnes nord et sud de Montréal.

Chez exo vous retrouverez une organisation à dimension humaine, tournée vers l’avenir et l’innovation, au service des communautés. Un milieu de travail où, selon la nature de l’emploi, la flexibilité des horaires et le télétravail en mode hybride sont favorisés, facilitant la conciliation travail-vie personnelle.

Travailler chez exo c’est aussi bénéficier d’une foule d’avantages, tels que : carte Opus gratuite, assurances collectives, régime de retraite, vacances généreuses, congés fériés, congés maladie et personnels, programme d’aide aux employés, service gratuit de télémédecine pour vous et votre famille et un club social des plus dynamiques. Faites le saut chez exo!

Sous la responsabilité du Directeur – Sécurité des systèmes d’information, vous contribuez activement à la mise en œuvre, au suivi et à l’amélioration continue du cadre de gouvernance, risques et conformité de cybersécurité d’exo. De plus, vous agirez comme conseiller auprès des équipes de projets afin d'assurer l'intégration des principes de sécurité par conception, de gestion des risques technologiques et de protection de l'information dans l'ensemble du cycle de vie des projets et des acquisitions.

Responsabilités principales

Participer à l’élaboration, à la révision et à la diffusion des politiques, normes, pratiques et procédures de cybersécurité;

Réaliser les évaluations de risques cybersécurité;

Assurer le suivi de la conformité aux cadres de référence (PCI-DSS, ISO 27001, NIST CSF, CIS, Loi 25);

Coordonner ou supporter les audits internes et externes et le suivi des plans d’action;

Maintenir la cartographie des risques et le registre des exceptions;

Produire les indicateurs de performance et tableaux de bord de la direction cybersécurité;

Participer à l’élaboration des rapports et présentations destinés à la haute direction;

Animer des séances de sensibilisation et de formation en cybersécurité (campagnes, simulations de phishing, ateliers employés et gestionnaires, mesure d’efficacité);

Collaborer à la veille réglementaire et aux ajustements du programme cybersécurité;

Préparer les preuves et documents pour les audits internes et externes;

Coordonner et animer les exercices de simulation PCA cybersécurité (tabletop);

Assurer le suivi des plans d’action correctifs issus des audits et tests;

Collaborer dans le dossier de renouvellement de l’assurance cybersécurité;

Maintenir et faire évoluer le cadre d’intégration de la cybersécurité dans les projets (sécurité par conception, DevSecOps);

Assurer la revue des aspects cybersécurité des projets et émettre des recommandations visant l'acceptation ou la mitigation des risques avant leur mise en production;

Définir les exigences et clauses cybersécurité obligatoires pour tous les appels d’offres publics (SEAO);

Valider et enrichir les devis techniques et annexes de cybersécurité avant publication;

Conseiller les équipes de projets sur les risques cybersécurité liés aux projets et aux fournisseurs;

Participer aux différents comités d'architecture (CRA), de projets ou de gestion des risques afin de représenter les intérêts de la cybersécurité.

La liste des responsabilités et tâches énumérées précédemment est sommaire et indicative. Il ne s’agit pas d’une liste complète et détaillée des responsabilités et tâches susceptibles d’être effectuées par le titulaire du poste.

Exigences normales du poste

Scolarité

Baccalauréat en cybersécurité ou domaine connexe.

Expérience

Minimum 5 à 7 ans d'expérience en cybersécurité incluant une expérience significative en gouvernance, gestion des risques, conformité ou intégration des contrôles de sécurité dans les projets.

Compétences et aptitudes

Très bonne connaissance des cadres ISO 27001, NIST CSF, CIS, NIST 800-53/800-161;

Bonne connaissance des approches de gestion des risques, de sécurité par conception, de gouvernance des projets et de gestion des tiers;

Au moins une certification reconnue parmi le suivantes : CISSP, CISM, CRISC, CISA, CompTIA Security+ ou équivalent);

Expérience dans le secteur public ou en infrastructures critiques (atout important);

Capacité à vulgariser des enjeux complexes auprès d'auditoires techniques et non techniques;

Forte aptitude à la collaboration et à l'influence sans autorité hiérarchique;

Habileté à établir des relations de confiance avec les équipes de projets et les partenaires d'affaires;

Excellentes capacités rédactionnelles et de présentation exécutive;

Français et anglais courants à l’écrit et à l’oral.

Conditions de travail

Période d’emploi et horaire

Emploi régulier à temps plein, soit 37.5 heures par semaine