Diplômé en 2027 · ouvert aux échanges
Segmentation, identités, durcissement : je conçois la sécurité de systèmes critiques chez Alstom, couche après couche.
Défense en profondeur
Chaque couche part du principe que la précédente a cédé. Faites défiler : on les ouvre une à une.
01 Pare-feu le périmètre
Tout ce qui n'est pas explicitement autorisé est refusé, en entrée comme en sortie.
02 Segmentation zones et flux
Des zones étanches et des flux listés : une compromission reste confinée là où elle a commencé.
03 Identité MFA, moindre privilège
Chaque accès est authentifié et réduit au strict nécessaire. C'est elle qui garde le seul passage ouvert.
04 Chiffrement au repos, en transit
Une donnée interceptée ou copiée reste illisible.
05 Données le cœur
Ce qu'on protège. On ne l'atteint qu'au bout d'un chemin vérifié à chaque couche.
Défense en profondeur
Les flux hostiles s'arrêtent au périmètre. Ceux qui tentent le seul passage ouvert butent sur le contrôle d'identité.
La couche sécurité de systèmes de signalisation ferroviaire critiques, de la segmentation réseau à la livraison. Cinq projets menés en parallèle, en France et à l'international.
Apprenti ingénieur cybersécurité — Systèmes, réseaux & automatisation · Septembre 2024 — septembre 2027
≈450
tests de validation cyber exécutés et suivis jusqu'à correction
50VM
provisionnées depuis un seul fichier JSON
5
projets menés en parallèle, en France et à l'international
Conçu et développé seul. Devenu le standard des projets.
Une application Python et PyQt qui met en conformité à distance, par WinRM et SSH, les systèmes Windows et Linux avant leur livraison. Aucun secret en clair sur disque, un rapport à la fin.
Segmentation (VLAN, ouverture de ports, filtrage pare-feu), analyse des flux, isolation du réseau d'administration, Active Directory, certificats, protection des postes.
Une méthode pour dériver les cas de test cyber directement des exigences d'architecture, sur un projet ferroviaire d'envergure nationale.
Scripts d'audit des comptes et des mots de passe, étude d'une gestion centralisée des secrets, sécurisation de systèmes en fin de vie.
VMware vSphere automatisé avec PowerCLI, Docker, Kubernetes, Harvester, et une interface pilotant l'API d'une plateforme d'hyperconvergence.
Avant Société Générale, 2023 · Stage — documentation normative cybersécurité. Refonte des standards et guides cyber, mise à jour des références croisées, correction des incohérences.
2022 — 2027
Diplôme d'ingénieur, filière Réseaux et sécurité
En apprentissage, filière labellisée SecNumedu par l'ANSSI.
Noisy-le-Grand
Sept. — déc. 2026
DESS en cybersécurité, double diplôme
Un semestre de spécialisation avancée, en complément du cursus d'ingénieur.
Gatineau, Canada
Obtenue · Octobre 2026
CompTIA · SY0-701
Risque, architecture sécurisée, réponse à incident, gouvernance.
Obtenue · Décembre 2025
Cisco Networking Academy
Module Enterprise Networking, Security & Automation : routage avancé, WAN, sécurité réseau.
Visée · 2027
Microsoft
Porter dans le cloud l'identité et la sécurité pratiquées aujourd'hui sur site.
B1
Allemand · Niveau intermédiaire
819
Projet Voltaire · Rédaction professionnelle
Vérifier — Projet Voltaire · Rédaction professionnelle
Homelab
Trois machines tournent jour et nuit, cloisonnées et documentées comme en production. Faites défiler pour les ouvrir.
Un hyperviseur pour le laboratoire, un NAS pour les données et les services, un contrôleur pour la maison. Allumées 24 h/24, documentées comme en production.
UDP 51820, réservé à l'administration par WireGuard. Tout le reste est publié par un tunnel Cloudflare initié depuis l'intérieur, derrière l'authentification unique d'Authentik.
Proxmox VE
OPNsense, virtualisé, isole le laboratoire en 10.1.1.0/24. Les VM Windows, Active Directory et CTF n'ont qu'une sortie NAT. Les échantillons analysés, aucune interface réseau.
TrueNAS SCALE
Pools ZFS en miroir, snapshots réguliers et 2 To chiffrés côté client avant de partir hors site. La règle 3-2-1, appliquée à la maison.
Zones, flux, choix assumés et limites connues. Les dépôts documentent chaque machine.
Socle & administration
LAN 192.168.1.0/24
Règle de flux : Aucune interface d'administration n'est publiée. L'hyperviseur, le NAS, le pare-feu et les accès SSH ne sont joignables que depuis le VPN WireGuard.
Services publiés
Docker · tunnel sortant
Règle de flux : Seule zone publiée, et uniquement par un tunnel qui s'initie depuis l'intérieur : aucun port entrant. Chaque service dans son conteneur, derrière un reverse proxy unique et l'authentification centralisée.
Laboratoire
10.1.1.0/24 · OPNsense
Règle de flux : Derrière le pare-feu virtualisé, avec pour seule sortie du NAT vers Internet. Le laboratoire n'initie aucun flux vers le LAN domestique et n'est joignable ni depuis l'extérieur, ni depuis les services.
IoT & domotique
Zigbee · traitement local
Règle de flux : Les capteurs parlent Zigbee, pas IP : ils ne joignent que leur contrôleur. Vidéo et automatisations sont traitées sur place, aucun flux ne part vers un cloud tiers.
Hyperviseur : conteneurs LXC de service, pare-feu virtualisé, environnements de test jetables.
Stockage redondé et hébergement des services conteneurisés du quotidien.
Alarme, automatisations et vidéosurveillance, traitées entièrement en local.
Publier les services ?
Tunnel sortant, sauf WireGuard.
Aucun port à exposer. WireGuard reste en direct : c'est l'accès de secours si le tunnel tombe.
Le pare-feu ?
Virtualisé.
Souple et réversible par snapshot, faute de place pour un boîtier. Le prix : un point unique de défaillance.
L'administration ?
Par VPN uniquement.
Une interface d'administration exposée change une faille d'authentification en compromission totale.
Un VLAN pour l'IoT ?
Pas encore.
Les capteurs Zigbee sont hors du réseau IP, pas les objets connectés : c'est la prochaine étape.
Une architecture qu'on présente sans ses angles morts n'est pas une architecture, c'est une brochure. Voici ce que celle-ci ne couvre pas.
Concevoir, instrumenter et animer un exercice de réponse à incident : une autre équipe prend le quart d'analyste SOC d'une PME acéricole et doit détecter, qualifier et contenir un incident qui progresse en temps réel, sans mettre la production à l'arrêt.
UQO · Projet d'équipe en laboratoire
2 h
de quart SOC, en temps réel, au maximum
5
sources de journaux centralisées dans Splunk
6 sem.
de saison des sucres, quand chaque arrêt coûte le plus cher
Zones, flux autorisés, réseau d'administration isolé. Sur des systèmes critiques comme à la maison.
Active Directory, PKI, audits de comptes, SSO et MFA. Le moindre privilège, vérifié.
Pentest, réponse à incident, DFIR, renseignement sur la menace, environnements IT/OT.
Python, PowerShell, PowerCLI : ce qui se répète devient un outil.
Analyse de risque et conformité, pour décider où la sécurité compte vraiment.
Cinq ans aux côtés d'une personne dyslexique, pour la prise de notes et l'écriture.
Un jeu, une équipe, un week-end. Une bonne école pour livrer sous contrainte.
Cybersécurité industrielle, IA locale, OSINT, cryptographie. Et l'horlogerie, qui me fascine : comprendre comment un mécanisme tient.
Diplômé en septembre 2027, ouvert aux échanges dès maintenant.
Gatineau (Québec) jusqu'en décembre 2026, Île-de-France ensuite
