Recruitment of a security detection and supervision expert for ANSSI

**Project:** Digital Transformation for Africa/ Western Africa Regional Digital Integration Program SOP1

                                                   

                                        REPUBLIQUE DE GUINEE

                                           Travail-Justice-Solidarité

                                           …………………………………

           MINISTERE DE LA COMMUNICATION, DE L’ECONOMIE                             NUMERIQUE ET DE L’INNOVATION (MCENI)

                                        ………………………………..

            PROJET DE TRANSFORMATION NUMERIQUE POUR                         L’AFRIQUE/PROJET REGIONAL D’INTEGRATION NUMERIQUE                    EN AFRIQUE DE L’OUEST (WARDIP-GUINEE)

                           AVIS A MANIFESTATIONS D’INTERET

                        SERVICES DE CONSULTANT (Individu)

Client : Ministère de la Communication, de l’Economie Numérique et de l’Innovation (MCENI) représenté par le Projet Régional d’Intégration Numérique en Afrique de l’Ouest (WARDIP-GUINEE).

Référence de l’accord de financement : IDA : Crédit N° 74440GN

           L’APPEL A MANIFESTATION D’INTERET POUR LE                          RECRUTEMENT D’UN (1) EXPERT EN DETECTION ET                  SUPERVISION DE SECURITE DANS LE CADRE DU PROJET        DU PROJET DE MISE EN PLACE ET D’OPÉRATIONNALISATION DU CERT/SOC NATIONAL EN RÉPUBLIQUE DE GUINÉE

Date début : 14 Septembre 2026                 Date limité : 05 Octobre 2026

1. CONTEXTE GÉNÉRAL

Dans le cadre du Programme WARDIP – Composante Guinée, le Gouvernement de la République de Guinée a engagé plusieurs actions prioritaires visant à renforcer la cybersécurité nationale et la protection des Infrastructures d’Importance Critique (IIC).

Le Plan de Travail et Budget Annuel (PTBA) du projet prévoit notamment la mise en place et l’opérationnalisation du CERT/SOC National, structure stratégique chargée d’assurer la surveillance, la détection, l’analyse et la coordination de la réponse face aux incidents de sécurité informatique affectant les systèmes d’information nationaux.

Afin d’assurer une mise en production efficace, durable et conforme aux standards internationaux, le projet prévoit le recrutement d’un Expert en Détection et Supervision de Sécurité, chargé de renforcer les capacités opérationnelles du Security Operations Center (SOC) national.

Cet expert contribuera notamment :

• À l’industrialisation des capacités de supervision continue ;
• Au déploiement et à l’optimisation des mécanismes de détection ;
• À la qualification des alertes de sécurité ;
• À l’amélioration continue des règles de corrélation et des cas d’usage SOC ;
• Au transfert de compétences vers les équipes nationales du CERT/SOC.

L’expert travaillera sous la coordination du Management du CERT/SOC National afin d’assurer l’exploitation efficace des capacités de surveillance, leur appropriation progressive par les équipes nationales et la pérennisation des acquis conformément aux bonnes pratiques internationales.

2. OBJECTIFS DE LA MISSION

Sous l’autorité du Manager du CERT/SOC National, l’Expert en Détection et Supervision de Sécurité contribuera à la mise en œuvre, à l’exploitation et à l’optimisation des capacités de supervision, de détection et d’analyse des événements de sécurité du CERT/SOC National.

Son intervention s’inscrit dans les cinq piliers stratégiques du programme d’opérationnalisation du CERT/SOC National, avec une contribution particulière au renforcement des capacités SOC.

Pilier 1 — Industrialisation du SOC

Objectif :
Mettre en production, optimiser et pérenniser les capacités de surveillance continue, de détection et de qualification des alertes de sécurité à travers le déploiement de sources de données, de règles de corrélation, de cas d’usage et de tableaux de bord opérationnels.

Objectifs opérationnels :

• Assurer la surveillance continue des systèmes, réseaux et services critiques supervisés par le CERT/SOC National ;
• Déployer, configurer et maintenir les sources de logs nécessaires à la couverture des actifs critiques ;
• Concevoir, développer, tester et maintenir les règles de détection et de corrélation dans les plateformes SIEM ;
• Développer et maintenir les cas d’usage SOC alignés sur les référentiels MITRE ATT&CK ;
• Réaliser les activités de tuning afin d’améliorer la pertinence des alertes et réduire les faux positifs ;
• Concevoir et maintenir les tableaux de bord opérationnels permettant le suivi des performances du SOC ;
• Conduire des activités de Threat Hunting basées sur les IOC, TTP et anomalies comportementales.

KPI de succès :

Indicateur	Cible M3	Cible M6	Cible M12
Taux de couverture des sources de logs	50–60 % des actifs critiques intégrés	≥ 70 %	≥ 85 %
Nombre de cas d’usage SOC actifs et documentés (MITRE ATT&CK)	≥ 15	≥ 20	≥ 50
Réduction du taux de faux positifs	Baseline établie	-20 %	-40 %
Délai moyen de détection (MTTD)	Baseline définie (≤ 12h)	≤ 8h	≤ 4h
Nombre de campagnes de Threat Hunting documentées	Méthodologie définie	≥ 2/mois	≥ 2/mois

 

Pilier 2 — Contribution à la structuration du CSIRT

Objectif :
Appuyer la capacité de réponse aux incidents du CERT/SOC National par la fourniture d’éléments techniques issus des activités de supervision et de détection.

Objectifs opérationnels :

• Assurer le triage initial, la qualification et la priorisation des alertes de sécurité ;
• Identifier les événements susceptibles de constituer des incidents et assurer leur escalade conformément aux procédures établies ;
• Fournir au CSIRT les éléments techniques nécessaires aux investigations :
  • Journaux d’événements ;
  • Chronologie des activités suspectes ;
  • Indicateurs techniques ;
  • Éléments de compromission ;
• Contribuer à l’élaboration et à l’amélioration des playbooks liés aux activités SOC (détection, qualification et escalade) ;
• Participer aux exercices de simulation d’incidents et de crise cyber en apportant les capacités de supervision et d’analyse nécessaires.

KPI de succès :

Indicateur	Cible M3	Cible M6	Cible M12
Procédure de triage et qualification des alertes	Mise en place et validée	Utilisation opérationnelle	Optimisation continue
Taux d’alertes critiques qualifiées selon procédure	≥ 60 %	≥ 80 %	≥ 95 %
Contribution aux rapports techniques d’incidents	Modèle établi	Rapports produits pour incidents majeurs	100 % des incidents majeurs documentés
Playbooks SOC liés à la détection et qualification	≥ 10 disponibles	≥ 15 testés	≥ 25 validés et utilisés

 

Pilier 3 — Intégration du renseignement sur la menace (CTI)

Objectif :
Transformer les renseignements sur les menaces en capacités opérationnelles de détection et d’anticipation des attaques.

Objectifs opérationnels :

• Intégrer les IOC, TTP et informations issues des activités CTI dans les outils de supervision et de détection ;
• Développer des règles de détection basées sur les menaces identifiées ;
• Contribuer à la mise à jour des cas d’usage SOC selon l’évolution des techniques d’attaque ;
• Exploiter les informations issues des plateformes CTI (MISP, OpenCTI ou équivalentes) pour améliorer les capacités de détection ;
• Contribuer aux analyses de couverture MITRE ATT&CK du SOC ;
• Participer aux campagnes de Threat Hunting basées sur les renseignements disponibles.
• KPI de succès :

Indicateur	Cible M3	Cible M6	Cible M12
IOC intégrés dans les outils SOC	≥ 50/mois	≥ 100/mois	≥ 200/mois
Taux d’IOC exploitables intégrés dans les outils de détection	≥ 60 %	≥ 70 %	≥ 80 %
Cas d’usage de détection enrichis par la CTI	Mise en place	Déploiement progressif	Intégration systématique
Cartographie de couverture MITRE ATT&CK	Initialisée	Mise à jour	Maintenue et complète
Rapports de Threat Hunting basés sur CTI	≥ 1 rapport	≥ 2 rapports/mois	≥ 2 rapports/mois

Pilier 4 — Gouvernance et pilotage opérationnel

Objectif :
Contribuer à la structuration du pilotage opérationnel du SOC à travers des indicateurs, procédures et mécanismes d’amélioration continue.

Objectifs opérationnels :

• Produire les indicateurs opérationnels relatifs à la supervision :
  • Couverture des logs ;
  • Nombre d’alertes traitées ;
  • Taux de faux positifs ;
  • MTTD ;
  • Tendances de détection ;
• Alimenter les tableaux de bord de pilotage du CERT/SOC National ;
• Participer aux revues périodiques de performance et aux actions d’amélioration continue ;
• Contribuer à la formalisation et à la mise à jour des procédures opérationnelles SOC ;
• Participer aux exercices de gestion de crise cyber afin de valider les capacités de surveillance et d’alerte.

KPI de succès :

Indicateur	Cible M3	Cible M6	Cible M12
Tableau de bord SOC opérationnel	Disponible	Exploité en pilotage	Maintenu et optimisé
Catalogue des cas d’usage SOC versionné	Disponible	Mis à jour	Maintenu
Rapports mensuels SOC	Produits	Produits régulièrement	Produits régulièrement
Rapports de tuning des règles de détection	Premier rapport établi	Suivi trimestriel	Amélioration continue
Matrice MITRE ATT&CK du SOC	Initialisée	Évaluation de couverture	Mise à jour finale

 

Pilier 5 — Transfert de compétences et autonomisation nationale

Objectif :
Garantir l’appropriation durable des capacités de supervision et de détection par les équipes nationales du CERT/SOC.

Objectifs opérationnels :

• Élaborer et mettre en œuvre un plan de transfert de compétences relatif aux activités SOC ;
• Assurer le travail en co-traitement avec les analystes nationaux ;
• Organiser des sessions pratiques régulières portant notamment sur :
  • L’analyse des alertes ;
  • La création de règles SIEM ;
  • Le développement de cas d’usage ;
  • Le tuning ;
  • Le Threat Hunting ;
• Documenter les procédures, configurations, règles de détection et bonnes pratiques ;
• Constituer et maintenir une base de connaissances SOC exploitable de manière autonome par les équipes nationales ;
• Accompagner progressivement la prise en charge autonome des activités de supervision et de détection.

KPI de succès :

Indicateur	Cible M3	Cible M6	Cible M12
Plan de transfert de compétences	Validé avant J+30	Mis en œuvre	Évalué et consolidé
Sessions pratiques de transfert	≥ 4/mois	≥ 4/mois	≥ 4/mois
Matrice de compétences SOC	Établie	Évaluation intermédiaire	Évaluation finale
Niveau d’autonomie des équipes nationales	≥ 30 %	≥ 50 %	≥ 80 %
Documentation technique et base de connaissances	Initialisée	≥ 50 % complétée	100 % complétée

 

 

 

 

 

 

3. QUALIFICATIONS ET EXPÉRIENCES REQUISES

Le candidat devra satisfaire aux exigences minimales suivantes :

Formation académique

• Être titulaire d’un diplôme de niveau Bac+5 en cybersécurité, réseaux, systèmes d’information ou domaine équivalent.

Expérience professionnelle

Le candidat devra justifier :

• D’au moins trois (03) années d’expérience professionnelle dans la détection, l’analyse et la qualification des alertes de cybersécurité ;
• D’une expérience opérationnelle dans un environnement SOC, CERT, CSIRT ou centre de supervision de sécurité ;
• D’une expérience démontrée dans la mise en production ou la montée en charge d’une solution SIEM :
  • Intégration de sources ;
  • Création de règles de corrélation ;
  • Tuning ;
  • Création de tableaux de bord ;
  • Développement de cas d’usage.

Compétences techniques requises

Le candidat devra maîtriser :

• Les solutions SIEM telles que :
  • Splunk ;
  • ELK ;
  • IBM QRadar ;
  • Microsoft Sentinel ;
  • Ou solutions équivalentes ;
• L’analyse des sources suivantes :
  • Logs systèmes ;
  • Logs réseaux ;
  • EDR ;
  • Pares-feux ;
  • Équipements réseaux ;
• Les mécanismes de normalisation des journaux :
  • CEF (Common Event Format) ;
  • LEEF (Log Event Extended Format) ;
• Les mécanismes de parsing et d’intégration de sources hétérogènes dans un SIEM ;
• Les techniques de Threat Hunting basées sur :
  • Les IOC ;
  • Les TTP ;
  • MITRE ATT&CK ;
  • Les anomalies comportementales.

Compétences SOAR

• Le candidat devra avoir une connaissance des plateformes SOAR incluant :
• La conception de playbooks automatisés ;
• L’intégration avec les outils de ticketing ;
• L’orchestration des actions de réponse.

Certifications souhaitées

• Les certifications suivantes seront fortement appréciées :

• CySA+ ;                                                    CEH ;
• GCIA ;                                                      CISSP ;
• GMON ;                                                   OSCP ;
• GCIH ;                                                 ou certifications équivalent.

    4. Responsabilités Principales

L’expert aura notamment pour responsabilités :

Supervision et analyse des alertes

• Assurer la surveillance permanente des événements de sécurité ;
• Analyser et qualifier les alertes issues du SIEM et des outils associés ;
• Identifier les incidents critiques et assurer leur escalade conformément aux procédures établies ;
• Réaliser les investigations initiales nécessaires à la qualification des incidents.

Détection et amélioration continue

• Concevoir, développer et maintenir les règles de détection ;
• Développer les cas d’usage SOC alignés sur MITRE ATT&CK ;
• Effectuer le tuning régulier des règles afin de réduire les faux positifs ;
• Optimiser les tableaux de bord et indicateurs SOC.

Threat Hunting

• Réaliser des activités régulières de recherche proactive de menaces ;
• Identifier des comportements suspects non détectés automatiquement ;
• Exploiter les IOC, TTP et informations CTI disponibles.

Documentation et reporting

• Produire les rapports d’analyse d’alertes ;
• Maintenir la documentation technique SOC ;
• Produire les tableaux de bord opérationnels ;
• Contribuer aux rapports mensuels d’activité.

Transfert de compétences

L’expert devra :

• Élaborer et mettre en œuvre un plan de transfert de compétences ;
• Travailler en co-traitement avec les analystes nationaux ;
• Assurer au minimum une session pratique hebdomadaire documentée ;
• Constituer une base documentaire comprenant :
  • Procédures ;
  • Fiches techniques ;
  • Règles de détection ;
  • Playbooks ;
  • Guides opérationnels.

Livrables attendus

• Rapports mensuels d’activités incluant le nombre d’alertes traitées, les incidents détectés et les faux positifs réduits.
• Tableaux de bord de supervision mis à jour et validés par le management et exploitables avec définition des indicateurs et sources associés
• Règles de corrélation et playbooks de réponse pleinement documentés, testés, validés et déployés en production (opérationnels et maintenables).
• Rapports d’investigation initiale pour chaque incident critique.
• Documentation technique sur les procédures de détection et d’analyse.
• Un catalogue formel et versionné des cas d'usage de détection devra être produit, maintenu et mis à jour tout au long de la mission. Pour chaque cas d'usage, le catalogue précisera : l'objectif de sécurité visé, les sources de logs mobilisées, la logique de détection appliquée, le niveau de criticité associé, le mapping avec le framework MITRE ATT&CK, les procédures de triage et les règles d'escalade correspondantes.
• Catalogue formel des use cases SOC
  • Document listant l’ensemble des cas d’usage actifs, avec description, logique de détection, sources de logs utilisées, indicateurs associés et mapping sur MITRE ATT&CK.
  • Permet de démontrer la couverture fonctionnelle du SOC et de capitaliser sur les scénarios de détection.
  • Normes de référence : NIST SP 800-55 (Security Metrics), ISO/IEC 27035 (Incident Detection).
• Matrice de couverture MITRE ATT&CK
  • Tableau croisant les TTP (Tactics, Techniques, Procedures) du framework MITRE ATT&CK avec les cas d’usage du SOC.
  • Permet de mesurer la couverture réelle du SOC face aux techniques d’attaque connues.
  •       Normes de référence : MITRE ATT&CK, FIRST Best Practices (Threat Intelligence Integration).
• Rapports de tuning trimestriel
  • Rapports détaillant les ajustements réalisés sur les règles de corrélation, les parsers et les Dashboard pour réduire les faux positifs et améliorer la pertinence des alertes.
  • Inclut des métriques avant/après tuning (taux de faux positifs, MTTD, volumétrie des alertes).
  • Normes de référence : ISO/IEC 27035 (Amélioration continue), NIST CSF (Detect – Continuous Improvement).

5. RÉSULTATS ATTENDUS

À l’issue des douze (12) mois de mission, les résultats suivants devront être atteints :

Résultat 1 : Capacité SOC opérationnelle

Indicateur	Cible M6	Cible M12
Couverture des sources de logs	≥70 %	≥85 %
Cas d’usage actifs	≥20	≥50
Disponibilité SOC	5j/7	7j/7 avec astreinte

Résultat 2 : Détection améliorée

Indicateur	Cible M6	Cible M12
Réduction MTTD	≥30 % vs baseline	≥67 % vs baseline
Réduction faux positifs	≥20 %	≥40 %
Cas d’usage documentés	≥20	≥50

Résultat 3 : Autonomisation des équipes nationales

Indicateur	Cible M6	Cible M12
Sessions pratiques réalisées	≥4/mois	≥4/mois
Activités réalisées en autonomie	≥50 %	≥80 %
Documentation disponible	≥50 %

 

6. MÉTHODOLOGIE DE SUIVI ET D’ÉVALUATION

Le suivi et l’évaluation des experts recrutés seront assurés conformément aux exigences professionnelles et aux objectifs opérationnels du CERT/SOC National. La méthodologie repose sur les éléments suivants :

1. Rapports périodiques

Chaque expert devra produire des rapports réguliers pour documenter l’état d’avancement des activités, les résultats obtenus et les difficultés rencontrées.

Les types de rapports attendus comprennent notamment :

• Rapports mensuels d’activités résumant l’ensemble des travaux réalisés et les résultats obtenus au cours du mois.
• Rapports trimestriels consolidés, incluant l’analyse des performances, la mesure des indicateurs, les leçons apprises et les recommandations d’amélioration.

Les rapports devront être validés par le Manager du CERT/SOC National et transmis au projet WARDIP pour suivi.

1. Indicateurs clés de performance (KPI)

Les performances des experts seront évaluées sur la base d'indicateurs mesurables et vérifiables, orientés résultats. Les indicateurs marqués sont des ajouts introduits pour renforcer la mesurabilité de la performance CTI.

Domaine	KPI indicatifs
Supervision (SOC)	- Taux de couverture des logs et sources de données (cible : ≥ 80 % à M12) - Délai moyen de détection des incidents — MTTD (cible : réduction ≥ 50 % vs baseline) - Nombre d'alertes analysées / qualifiées par mois (tendance croissante) - Taux de réduction des faux positifs (cible : ≥ 40 % vs baseline à M12) - Nombre de cas d'usage actifs et documentés en production (cible : ≥ 20 à M12)
Capitalisation	- Respect des délais de production des livrables - Contribution à la mise à jour des procédures internes - Sessions de transfert de compétences réalisées - Nombre de sessions pratiques animées par mois (cible : ≥ 4 par expert) - Taux d'activités traitées en autonomie par les équipes nationales à M9 (cible : ≥ 60 %) - Taux d'activités traitées en autonomie à M12 (cible : ≥ 80 %) - Niveau de compétence atteint vs. baseline (matrice J+0 → M6 → M12)
Discipline & collaboration	- Assiduité, disponibilité et capacité à travailler en équipe - Réactivité en cas d'alerte majeure (cible : ≤ 1h ouvrable / ≤ 2h en astreinte

 

Note : Un rapport d'évaluation semestriel sera établi par le management du CERT/SOC pour confirmer le renouvellement ou non du contrat des experts. L'ensemble des indicateurs sera mesuré par rapport à la baseline établie à J+30.

7. Modalités de travail

• Lieu d’exercice : siège du CERT/SOC National et partout où le besoin sera.
• Durée : 12 mois renouvelables.
• Disponibilité :
  • Horaires administratifs ;
  • Participation aux astreintes en cas d’incident majeur ou à la demande du Manager (directeur) du CERT/SOC National.
• Délai de mobilisation :
  • Maximum 1 heure en heures ouvrables ;
  • Maximum 2 heures hors heures ouvrables.

L’expert sera soumis à une obligation stricte de confidentialité couvrant :

• Les incidents de sécurité ;
• Les vulnérabilités ;
• Les données des infrastructures critiques ;
• Les informations opérationnelles du CERT/SOC.

Un accord de confidentialité (NDA) sera signé avant la prise de fonction.

8. DOSSIER DE CANDIDATURE

Le dossier devra comprendre :

• CV détaillé ;
• Copies des diplômes ;
• Copies des certifications ;
• Attestations de missions similaires ;
• Références professionnelles vérifiables.

9. CRITÈRES D’ÉVALUATION

Critère	Pondération
Diplômes et formation	10 %
Certifications cybersécurité	10 %
Expérience professionnelle pertinente	40 %
Entretien technique / étude de cas	20 %
Connaissance environnement CERT/SOC national	5 %
Épreuve pratique

10. BUDGET ESTIMATIF

Le budget couvrira :

1. Les honoraires de l’expert sur 12 mois ;
2. Les activités opérationnelles associées ;
3. Les actions de transfert de compétences ;
4. Les activités de suivi et d’évaluation.

11. CONCLUSION

Le recrutement de l’Expert en Détection et Supervision de Sécurité constitue un élément essentiel de l’opérationnalisation du CERT/SOC National de Guinée.

À travers son expertise en supervision, détection, analyse des événements de sécurité et amélioration continue des mécanismes SOC, l’expert contribuera directement au renforcement de la posture nationale de cybersécurité et à la protection des infrastructures critiques.

12. PROCEDURE DE SELECTION

Les critères d’éligibilité, l’établissement de la liste restreinte et la procédure de sélection seront conformes aux directives de sélection de consultants individuels de la Banque mondiale « Règlements pour la Passation des Marchés pour les Emprunteurs sollicitant le FPI » de la Banque mondiale édition septembre 2025.

Les candidats intéressés peuvent obtenir des informations supplémentaires au sujet des documents de référence (TDR) à l’adresse mentionnée ci-dessous et aux heures suivantes :

Du lundi au jeudi : de 9 heures à 16 heures 30 mn     Le vendredi : de 9 heures à 13 heures.

Les expressions d'intérêt doivent être déposées ou transmises par courriel à l'adresse mentionnée ci-dessous au plus tard le 05 Octobre 2026 à 16 h 00 mn GMT. Les enveloppes doivent porter expressément la mention « Manifestation d’intérêt pour le Recrutement d’un Expert en Détection et Supervision de Sécurité, chargé de renforcer les capacités opérationnelles du Security Operations Center (SOC) national ».

À l'attention de : Monsieur le Coordonnateur par intérim du Projet Régional d’Intégration Numérique en Afrique de l’Ouest (WARDIP-GN).

L’adresse dont il est fait mention ci-dessus est : Projet Régional d’Intégration Numérique en Afrique de l’Ouest (WARDIP-GN), Quartier Kaporo, Commune de Ratoma-Conakry, Immeuble BAH Kadiatou, référence la Société Easycom et à proximité du pont Kiridi, E-mail : coordonnateur@wardip.gn cc spm@wardip.gn avec copie obligatoire à : assistant.spm@wardip.gn

                                                         Fait à Conakry, le 11 Septembre 2026

                                                    M. Fodé YOULA

                                                    Coordonnateur du Projet WARDIP