Chief Information Security Officer – France (H/F)

Once For All est un éditeur SaaS européen, premier acteur du sourcing responsable dans le secteur du BTP. Notre mission : sécuriser les relations entre donneurs d'ordre et sous-traitants grâce à la technologie et à l'intelligence collective.

Présents dans cinq pays européens, nous accompagnons aujourd'hui un chantier sur deux en France et continuons à étendre notre couverture sur le continent. Notre plateforme aide les acteurs de la construction à fiabiliser leur écosystème de sous-traitance, à respecter leurs obligations réglementaires et à travailler avec des partenaires conformes.

Pourquoi nous rejoindre

Environnement technique

Vous rejoignez un environnement SaaS multi-plateformes, avec une infrastructure française complexe et une vraie matière à travailler côté sécurité. Concrètement, vous interviendrez sur :

• Des plateformes cloud AWS, Azure et GCP, avec les enjeux de sécurité réseau, applicative et identité associés.

• Une stack outillée côté sécurité : SIEM, EDR/XDR, gestion des vulnérabilités, CSPM, IAM, et tooling GRC pour la collecte de preuves ISO 27001 et SOC 2.

• Des méthodologies de gestion des risques reconnues : MAGERIT, NIST Risk Management Framework, EBIOS Risk Manager, appliquées à un contexte SaaS.

• Des programmes de conformité actifs : ISO 27001, SOC 2, NIS2, RGPD, recommandations ANSSI.

• Des chantiers concrets sur la sécurité applicative, les pentests et les workflows de remédiation.

Environnement de travail

Vous rejoignez l'équipe ISCO du Groupe, internationale et distribuée : le Group CISO au Royaume-Uni, un CISO en Espagne, un ISO côté UK. Le mode de fonctionnement est collaboratif, en peer-to-peer, avec des points hebdomadaires entre pairs. Vous êtes le référent sécurité pour la France, sans équipe locale au démarrage, avec une autonomie réelle sur le périmètre.

L'anglais est la langue de travail avec le Groupe. Au quotidien, vous interagissez avec les équipes Tech, IT, Légal et commerciales, ainsi qu'avec le Comex sur les sujets de gouvernance et de reporting. L'exposition C-level est forte, côté interne comme côté clients.

À moyen terme, le poste ouvre la perspective de structurer une équipe sécurité française si l'activité le justifie, ainsi qu'une exposition concrète à un contexte private equity et à des opérations M&A.

Missions principales

En tant que CISO France, vous portez la stratégie sécurité sur le périmètre français et les chantiers du master plan cybersécurité Groupe qui relèvent de la France. Vos missions s'articulent autour de cinq axes :

1. Référent cybersécurité France : porter la sécurité sur le périmètre français, piloter les workstreams du master plan Groupe attribués à la France, et représenter la sécurité auprès des équipes locales.

2. Sécurité customer-facing : prendre en charge les questionnaires sécurité clients et prospects en français, intervenir sur les appels sécurité avec les équipes commerciales, et revoir les clauses sécurité contractuelles.

3. Gouvernance, risques et conformité : faire vivre le modèle de gouvernance, les politiques et les processus de gestion des risques (MAGERIT, NIST RMF, EBIOS) ; assurer la conformité ISO 27001, NIS2, RGPD, ANSSI et SOC 2, et accompagner les audits associés.

4. Architecture et opérations sécurité : travailler avec les équipes Tech et IT pour intégrer la sécurité dans l'architecture SaaS (cloud, réseau, applicatif) et superviser la détection, la surveillance et la réponse à incident sur la région.

5. Vendors, budget et reporting : piloter les relations avec les prestataires sécurité, gérer le budget sécurité régional, animer les programmes de sensibilisation et produire un reporting régulier au Comex.

Côté projets, vos premiers chantiers porteront notamment sur la livraison des workstreams France du master plan, la construction avec le Group CISO et le CISO Espagne de la roadmap sécurité de l'année suivante, le renforcement de la couverture sécurité sur l'infrastructure française et la structuration des réponses sécurité côté clients.

Profil recherché

Compétences techniques

• Diplôme universitaire (Master ou Ingénieur) en informatique, systèmes d'information, cybersécurité ou domaine équivalent.

• Minimum 3 ans dans un rôle de leadership cybersécurité, et 5 à 8 ans d'expérience globale en sécurité de l'information.

• Maîtrise de la gouvernance sécurité : politiques, frameworks, processus de gestion des risques.

• Expertise sur au moins une méthodologie de gestion des risques : MAGERIT, NIST Risk Management Framework ou EBIOS Risk Manager.

• Connaissance solide des référentiels de conformité : ISO 27001, NIS2, RGPD, recommandations ANSSI, SOC 2, avec une expérience d'audits et de remédiation.

• Bonne compréhension de l'architecture SaaS et de la sécurité cloud sur AWS, Azure et GCP, sur les volets réseau, applicatif et identité.

• Expérience concrète des opérations sécurité : monitoring, détection, réponse à incident et amélioration continue post-incident.

• Connaissance des méthodologies de pentest et des workflows de remédiation associés.

• Pratique de la gestion de prestataires sécurité et du pilotage budgétaire.

• Au moins une certification parmi CISSP, CISM, CEH ou CompTIA Security+.

• Français courant ou natif et anglais courant à l'écrit comme à l'oral.

Compétences comportementales

• Posture senior et crédibilité, avec la capacité de dialoguer avec des dirigeants et des clients.

• Discrétion et éthique dans le traitement d'informations sensibles.

• Pédagogie et influence, pour diffuser une culture sécurité côté business comme côté technique.

• Diplomatie et capacité à challenger de manière constructive, sur des publics techniques et non techniques.

• Orientation client : capacité à rassurer prospects et clients sur les sujets sécurité.

• Pragmatisme : recommandations proportionnées à la réalité business.

• Autonomie et proactivité, dans un rôle sans équipe locale au démarrage.

• Aisance dans un environnement SaaS rythmé, distribué et international.

• Disponibilité ponctuelle hors heures ouvrées en cas d'incident.

Atouts

• Expérience d'un environnement SaaS et idéalement d'une structure soutenue par un fonds private equity.

• Expérience de due diligence M&A, en buy ou sell side.

• Pratique des programmes de conformité SOC 2, NIS2 et ISO 27001.

• Certifications complémentaires en risk management ou audit (CRISC, CISA ou équivalent).

• Espagnol niveau B1 pour fluidifier les échanges avec l'équipe espagnole.

Ce que nous offrons

• Statut : Cadre

• Type de contrat : CDI

• Rémunération : 90000 euros par an

• Localisation : Lyon, France.

• Mode de travail hybride avec trois jours minimum par semaine sur site.

• Package Lyon : titres-restaurant, mutuelle et avantages standards.

• Déplacements ponctuels en Espagne, au Royaume-Uni, à Paris et sur les autres sites du Groupe.

Processus de recrutement

Le processus se déroule à distance, en plusieurs étapes :

Échange de qualification avec notre Talent acquisition

Premier entretien en visio avec le Group CISO et le CISO Espagne, sur le fit du poste, le parcours technique et les motivations.

Étude de cas sécurité, pour évaluer la profondeur technique et l'approche de prise de décision.

Second entretien avec l'équipe sécurité, axé fit culturel et dynamique d'équipe.

Validation RH et formulation de l'offre.

Once For All s'engage en faveur de la diversité et de l'inclusion. Toutes nos offres sont ouvertes aux personnes en situation de handicap.