Security Operations Engineer (Senior+ / Staff) — SOC RUN & BUILD - CDI
CDI Paris (Paris)
Description de l'offre
Contexte
Pour un acteur international de la tech évoluant dans un environnement à forte exigence de sécurité, nous recherchons un Security Operations Engineer expérimenté.
L'équipe Security Operations protège les environnements corporate, cloud, SaaS et datacenter : anticipation, détection, investigation et réponse aux menaces sur les endpoints, workloads, identités et l'infrastructure. Équipe réduite, senior et exigeante, qui construit en continu son propre SOC : intégration de sources de logs, qualité de la donnée, couverture de détection, dashboards, workflows et un SOC agentique développé en interne.
Stack : Splunk (SIEM) · CrowdStrike (EDR) · Wiz (CSPM/CNAPP) · Torq (SOAR) · AWS (dont EKS/Kubernetes) · SOC agentique interne
Missions
- Renforcer immédiatement la capacité opérationnelle en absorbant le RUN du SOC, tout en contribuant au BUILD dès que la charge le permet. Cible indicative : ~60 % RUN / ~40 % BUILD.
- Opérer le SOC (priorité) :
- Triage, classification et priorisation des alertes (Splunk, CrowdStrike, Wiz, AWS)
- Investigations de bout en bout : endpoints, cloud, identités, SaaS, workloads, infra — collecte de preuves, timeline, root cause
- Pilotage de la réponse à incident : containment, remediation, post-mortems
- Point d'escalade pour les analystes juniors (revue d'analyses, partage de connaissance)
- Exploitation du SOC agentique pour absorber le volume de signaux faibles
- Documentation rigoureuse de chaque investigation
- Faire progresser le SOC :
- Detection engineering : conception et optimisation de recherches Splunk (SPL), nouveaux use cases (AWS/IAM, EKS/K8s, workloads), réduction du bruit
- Qualité de la donnée & pipeline : intégration de sources de logs, parsing, normalisation (CIM), data models, performance
- Automatisation : workflows Torq/SOAR, scripts et intégrations API (Python, Bash, GitHub Actions)
- SOC agentique : contribution à son évolution (workflows d'investigation, corrélation, enrichissement)
- Reporting & dashboards, cloud security (Wiz, AWS/EKS), threat hunting (CTI/OSINT), capitalisation (runbooks, playbooks, standards)
Conditions de travail
- Lieu de la mission : Paris
- Démarrage ASAP
- 2 jours de télétravail
- Anglais professionnel obligatoire
- Séniorité requise : 8 à 10 ans d’expérience minimum
Profil recherché
- 8 à 10 ans d’expérience minimum en SecOps / SOC / incident response / CSIRT
- Historique de construction et d'amélioration de capacités SOC (détections, dashboards, runbooks) et d'investigations menées en autonomie
- Autonomie totale sur des investigations complexes, y compris sous pression
- SIEM : Splunk (SPL avancé, data models, CIM) — investigation et détection
- EDR : CrowdStrike
- Cloud : AWS security (IAM, CloudTrail, GuardDuty, réseau, workloads, containers, EKS/Kubernetes) ; CSPM/CNAPP, Wiz idéalement
- Automatisation : Python, Bash, API, GitHub Actions, SOAR (Torq idéalement)
- Infra : cloud / réseau / containers / CI/CD, pipelines de logs et intégrations
- IA appliquée à la sécurité : intérêt fort ou expérience des workflows agentiques
- Soft skills : rigueur, discipline de process, documentation claire, escalade au bon niveau de contexte, confidentialité, pédagogie
- Anglais professionnel (environnement international)
- 10 à 12 ans minimum d'expérience en exécution autonome du RUN et du BUILD, référent technique
- Pour le niveau Staff : influence sur l'architecture (pipeline de détection, SIEM, SOC agentique), définition de standards/playbooks et mentoring
À propos de Collective.work
Collective.work est la plateforme de recrutement nouvelle génération pour trouver votre prochain emploi.
Fort d'une grande expertise dans l'IA, Collective.work permet de mieux cibler les offres et leurs candidats correspondants, créant ainsi un système beaucoup plus fluide que les acteurs traditionnels.
Plus de 10,000 recruteurs utilisent Collective, permettant à des dizaines de milliers de candidats de trouver leur futur emploi chaque jours