Expert en architecture de sécurité

Chez CN, chaque journée apporte son lot de défis nouveaux et stimulants. Vous évoluerez dans un environnement dynamique où vous contribuerez à assurer le fonctionnement optimal et sécuritaire de nos activités, tout en aidant à maintenir l’économie sur la bonne voie. Nous offrons de la formation rémunérée et des occasions de carrière à long terme, tout en reconnaissant les personnes qui travaillent fort et cherchent à avoir un impact positif. Vous pourrez vous épanouir dans notre culture collaborative, axée sur la sécurité, où nous travaillons ensemble comme UNE SEULE ÉQUIPE. Les carrières que nous offrons sont porteuses de sens, parce que le travail que nous accomplissons compte réellement. Joignez-vous à nous!

Ce rôle consiste à évaluer les solutions technologiques, les configurations et les conceptions en fonction des exigences de sécurité, ainsi qu’à définir les architectures de référence et les normes en cybersécurité dans l’ensemble des environnements de l’entreprise chez CN (y compris le nuage, les infrastructures sur site, les données et les technologies émergentes comme l’intelligence artificielle). La personne titulaire du poste favorisera l’intégration de la sécurité dès la conception (« secure by design ») au sein des équipes d’ingénierie et d’exploitation en intégrant la sécurité aux pratiques d’architecture, aux processus de développement et aux décisions technologiques de l’entreprise.

• Définir et mettre en œuvre les contrôles d’architecture de sécurité de l’entreprise afin de gérer les risques tout en soutenant les capacités d’affaires dans des domaines tels que les plateformes infonuagiques, les applications d’entreprise, les données, l’IA et l’apprentissage automatique (ML), les systèmes industriels, les réseaux et les technologies destinées aux utilisateurs finaux.
• Veiller à ce que l’architecture de sécurité des environnements d’entreprise soit maintenable, durable et adéquatement documentée.
• Définir et appliquer des modèles de conception sécurisés et des contrôles de sécurité pour les charges de travail liées à l’intelligence artificielle (IA) et à l’IA générative, notamment la sécurité du cycle de vie des modèles, la protection des données et l’utilisation responsable.
• Évaluer les solutions intégrant l’IA afin d’identifier les risques émergents, comme l’injection de requêtes (prompt injection), la manipulation de modèles, les fuites de données et l’utilisation non autorisée des données de l’entreprise.
• Collaborer avec les équipes responsables de l’IA responsable, des données et de l’architecture pour intégrer les contrôles de sécurité aux solutions d’IA et d’apprentissage automatique. Définir les normes et garde-fous de sécurité pour les technologies d’IA en harmonie avec les politiques de l’entreprise, les exigences réglementaires et la tolérance au risque. Contribuer à l’élaboration de lignes directrices et de cadres de gouvernance pour une utilisation sécuritaire de l’IA.
• Maintenir et développer l’expertise de l’équipe en architecture de sécurité afin de tirer parti des infrastructures et processus existants de cybersécurité, lorsque pertinent, et de promouvoir les normes de configuration tout en soutenant la transformation numérique au sein de l’environnement TI.
• Faciliter les décisions clés liées à l’architecture et aux technologies. Influencer les décisions d’architecture d’entreprise en fournissant des conseils autorisés en matière de sécurité dans l’ensemble des programmes et portefeuilles.
• Agir à titre de conseiller(ère) de confiance auprès des parties prenantes de niveau supérieur concernant les compromis architecturaux et les décisions liées aux risques de sécurité.
• Contribuer au développement et à la performance de l’équipe de sécurité en planifiant la livraison des solutions, en répondant aux questions techniques et procédurales des membres moins expérimentés, en enseignant des processus améliorés et en offrant du mentorat.
• Produire des artéfacts d’architecture prêts pour les audits et conformes aux exigences de gouvernance et de conformité de l’entreprise.

• Relever du gestionnaire principal, Architecture de sécurité, et soutenir l’exécution de la stratégie d’architecture de sécurité de l’entreprise définie par l’organisation du CISO (chef de la sécurité de l’information).
• Agir comme contributeur(trice) principal(e) au sein de l’équipe Architecture de sécurité, en fournissant un leadership technique et en influençant les équipes multidisciplinaires.
• Définir les orientations et les stratégies d’investissement appropriées en élaborant des analyses de rentabilisation (business cases) et des feuilles de route en matière de sécurité.
• Collaborer avec l’écosystème des fournisseurs de technologies et de cybersécurité afin de comprendre leurs capacités et de renforcer la posture globale de sécurité.
• Collaborer avec les fournisseurs de cybersécurité afin de comprendre les capacités offertes, les mesures compensatoires et les options d’atténuation des risques, dans le but de sélectionner des partenaires qui s’intègrent à l’architecture globale.
• Assurer une surveillance continue de l’environnement par l’intermédiaire d’autoévaluations et d’examens de sécurité indépendants. Permettre à la direction d’identifier les lacunes et les inefficacités et de mettre en œuvre des mesures d’amélioration au moyen des stratégies et feuilles de route de sécurité.

• Déplacements d’affaires occasionnels au Canada et aux États-Unis, conformément à la politique de CN.

• Minimum de 12 ans d’expérience professionnelle.
• Minimum de 8 ans d’expérience en technologies de l’information.
• Minimum de 5 ans d’expérience en architecture de sécurité dans des environnements d’entreprise (incluant le nuage, les applications, les données ou les infrastructures).
• Expérience démontrée dans l’application d’une approche structurée à la résolution de problèmes au sein de grandes organisations géographiquement dispersées fonctionnant 24 heures sur 24, 7 jours sur 7.
• Expérience dans des environnements multinuages comprenant AWS, Microsoft Azure et Google Cloud Platform, un atout.
• Expérience des méthodologies Agile et DevOps, un atout.
• Expérience dans les secteurs ferroviaire, du transport ou de l’industrie mondiale, un atout important.

• Baccalauréat en informatique, en génie informatique, en génie électrique, en analyse des systèmes ou dans un domaine connexe.
• Au moins une certification reconnue en sécurité (p. ex. CISSP, CISM, CISA, CCSP, CCSK, GIAC ou équivalent), démontrant une solide compréhension des principes de sécurité de l’information dans des environnements d’entreprise.
• Les certifications liées à l’architecture (TOGAF, Zachman, CISSP-ISSAP, etc.) constituent un atout.

• Capacité à définir et organiser un cadre d’architecture de sécurité sous forme de blocs réutilisables : modèles, services, composants, modèles de capacités, etc.
• Capacité démontrée à comprendre les implications de sécurité d’opérations commerciales complexes et leur lien avec des solutions technologiques permettant une atténuation efficace des risques tout en soutenant les objectifs d’affaires.
• Capacité à traduire des besoins d’affaires formulés de manière imprécise en exigences de sécurité.
• Capacité à interagir avec un large éventail d’intervenants afin d’expliquer et de faire respecter les mesures de sécurité.
• Excellentes aptitudes en communication écrite et verbale.
• Grande autonomie, souci du détail et niveau élevé d’engagement et de motivation personnelle.
• Aptitude à prioriser efficacement les tâches et à travailler dans un environnement rapide et dynamique.

• Solide connaissance des processus, méthodologies, outils et techniques utilisés dans la conception de systèmes informatiques de grande envergure.
• Connaissance des normes, règlements et lois encadrant la sécurité de l’information, notamment NIST, ISO 27001 et OWASP.
• Connaissance de l’architecture et des technologies générales de sécurité TI, notamment :
  • architectures orientées services (SOA);
  • technologies mobiles et gestion des appareils mobiles (MDM);
  • conception centrée sur les données;
  • analytique avancée;
  • intelligence artificielle;
  • cycles de gestion des identités et des accès (IAM);
  • informatique judiciaire numérique;
  • protection des postes de travail;
  • chiffrement et gestion des clés de chiffrement;
  • sécurité des bases de données;
  • services d’annuaire d’entreprise;
  • IDS, IPS;
  • pare-feu de nouvelle génération;
  • pare-feu applicatifs;
  • coffres-forts de mots de passe d’entreprise;
  • sécurité infonuagique SaaS, PaaS et IaaS;
  • SIEM, etc. (un atout).
• Connaissance des domaines d’architecture de sécurité d’entreprise, notamment la sécurité des applications, des données, la gestion des identités et des accès, la sécurité des réseaux et la sécurité des technologies opérationnelles (OT).
• Compréhension de la sécurisation des API ainsi que des protocoles OpenID Connect et OAuth, un atout.
• Compréhension des réseaux, y compris les réseaux définis par logiciel (SDN) et les service meshes, un atout.
• Connaissance des enjeux liés à la sécurité des conteneurs, particulièrement Kubernetes, un atout.

Pour les candidats internes, veuillez noter que le niveau du poste sera déterminé en fonction de l’expérience du candidat.

CN est un chef de file mondial du transport et un facilitateur du commerce. Essentiel à l’économie, à ses clients et aux collectivités qu’il dessert, CN transporte en toute sécurité plus de 300 millions de tonnes de ressources naturelles, de produits manufacturés et de marchandises finies partout en Amérique du Nord chaque année. Seul réseau ferroviaire reliant les côtes Est et Ouest du Canada à l’extrémité sud des États-Unis grâce à un réseau de 19 500 milles de voie ferrée, CN et ses filiales contribuent à la prospérité des communautés et au commerce durable depuis 1919. CN est engagée envers des programmes favorisant la responsabilité sociale et la gestion environnementale. Chez CN, nous travaillons comme UNE SEULE ÉQUIPE, centrés sur la sécurité, la durabilité et nos clients, en offrant l’excellence opérationnelle et de la chaîne d’approvisionnement afin de produire des résultats exceptionnels.