Accompagnement à la maturité en cybersécurité

Le marché prévoit des prestations à la demande pour des collectivités, EPCI, syndicats, établissements publics locaux et autres entités publiques membres du GIP RECIA. Les interventions sont adaptées à trois profils de bénéficiaires : Type A (pas de compétences cyber internes), Type B (service informatique restreint, de 1 à 3 agents) et Type C (DSI constituée, SI multisite et enjeux de conformité). Les prestations peuvent être commandées séparément ou regroupées en parcours.

Évaluer et réduire les risques

Le diagnostic de maturité s’appuie sur un référentiel explicité et adapté au bénéficiaire : questionnaire préparatoire, analyse documentaire, entretiens avec la direction, l’informatique et les métiers, identification des écarts et risques, puis plan d’actions priorisé, phasé et budgété. Les livrables comprennent une synthèse de direction de 2 à 4 pages, un rapport détaillé, une matrice de maturité et un plan d’actions avec estimations de charge et de coût.

Les audits couvrent notamment :

• l’inventaire des actifs visibles sur Internet et l’analyse non intrusive de leur exposition, avec constats classés par criticité et plan de remédiation;
• les audits de configuration, scans de vulnérabilités standards ou approfondis, audits applicatifs ou web, tests d’intrusion externes, internes ou mixtes. La méthode est validée par RECIA et les vulnérabilités qualifiées selon CVSS ou un référentiel équivalent justifié. Les livrables incluent charte de test, rapports technique et de synthèse, et plan de correction;
• la recherche de fuites d’informations sur Internet (RIFI), avec veille sur un périmètre défini, alertes, recommandations, historique et bilan. Elle doit suivre la méthode CNIL; la convention préalable délimite les recherches. Le titulaire ne peut ni contourner une protection ou restriction d’accès, ni acquérir des données issues d’une fuite.

La revue de sauvegarde et de continuité examine les politiques et procédures, la fréquence, la rétention, l’externalisation et le chiffrement des sauvegardes, ainsi que les pratiques et délais de restauration et la capacité de reprise. Elle donne lieu à une grille d’évaluation, un rapport de constats par criticité, des scénarios de renforcement et une feuille de route.

Gouvernance, règles et compétences

L’assistance à la politique de sécurité formalise ou actualise une feuille de route cybersécurité sur 2 à 3 ans, priorise les actions et leur financement, et prévoit tableau de bord, comptes rendus périodiques et, le cas échéant, notes d’arbitrage. L’assistance à la charte informatique analyse les usages et règles existants, puis produit une synthèse, un projet de charte, une version finalisée et un support de restitution.

L’analyse de risques est conduite selon une méthode reconnue, telle qu’EBIOS Risk Manager ou ISO 27005, ou une méthode équivalente justifiée; elle aboutit à un dossier de risques ou rapport d’écarts, un plan de traitement ou de mise en conformité et une synthèse exécutive. Les exercices de crise comprennent un scénario adapté et validé par RECIA, l’animation, l’observation des décisions et un débriefing. Les formats proposés vont de l’atelier de 2 heures aux simulations de 3 heures, 6 heures ou 1 à 2 jours; les livrables incluent scénario, supports, grille d’observation, compte rendu et plan d’amélioration.

La sensibilisation et le transfert de compétences visent agents, encadrants, élus et référents SSI : kits, sessions pour agents ou décideurs, ateliers de transfert et formation à la gestion documentaire SSI. Les sessions sont prévues en demi-journée et les ateliers ou formations concernés en journée. Supports pédagogiques, attestation ou feuille d’émargement, bilan et recommandations de suites sont attendus.

Réponse aux crises et continuité d’activité

Les prestations de crise et de reprise peuvent comprendre :

• une solution temporaire de coordination en mode dégradé, indépendante du SI habituel, avec authentification et accès sécurisés, messagerie ou chat horodaté, tâches, décisions, journal de crise, partage documentaire contrôlé, assistance à l’activation, puis réversibilité et effacement des données;
• l’activation et l’appui à la cellule de crise : organisation des rôles, points de situation, journal horodaté, priorisation des actions urgentes, liaison avec les intervenants techniques et recommandations de clôture;
• des moyens temporaires pour maintenir les processus essentiels : postes, accès réseau alternatifs, connexions sécurisées, services applicatifs temporaires et mesures de sécurité minimales, dont authentification, chiffrement et sauvegarde temporaire;
• des services ou logiciels temporaires pour fonctions critiques, avec protection des données, interfaçage limité, modalités de mise en service, reprise et export des données;
• un plan de redémarrage priorisé et séquencé, coordonnant dépendances, ressources, responsabilités et mesures de sécurité à maintenir pendant la reprise.

Les livrables comprennent, selon la prestation, les fiches d’activation et d’organisation, journaux et points de situation, inventaires de moyens, modes opératoires, rapports de mise en service ou de fin d’intervention, procédures d’arrêt et d’effacement, plans de reprise et comptes rendus. Une assistance horaire ou d’astreinte peut être activée selon les plages, délais et heures incluses proposés; chaque intervention fait l’objet d’une fiche et une synthèse mensuelle peut être remise. L’expertise ponctuelle, à distance ou sur site, peut porter sur la relecture d’architectures ou de livrables, les cahiers des charges, le conseil technique ou réglementaire, la formation et la participation à une réunion; elle donne lieu à une note ou un compte rendu.

Cadrage et suivi des missions

RECIA est l’interlocuteur contractuel et opérationnel des bénéficiaires : ceux-ci ne commandent pas directement au titulaire. Pour les missions longues ou sensibles, le dispositif prévoit note de cadrage, suivi renforcé, points d’avancement, comité intermédiaire et validation des livrables par RECIA avant restitution. Le CCTP utilise le seuil de 7 jours ou plus pour certaines étapes, mais définit aussi la mission longue comme une charge prévisionnelle externalisée supérieure à 7 jours ouvrés. Chaque prestation donne lieu à des livrables formalisés. Les données collectées et traitées sont hébergées en France.

Quantités estimatives par profil

Les quantités ci-dessous sont celles du DQE; elles sont estimatives et ne constituent pas un engagement minimum.

| Prestation | Type A | Type B | Type C |
|---|---:|---:|---:|
| Diagnostic de maturité (forfait) | 4 | 4 | 4 |
| Audit de surface d’exposition (forfait) | 1 | 1 | 1 |
| Audit de configuration — périmètre indicatif : 1 pare-feu, 3 commutateurs, 2 serveurs Linux et 2 serveurs Windows | 1 | 1 | 1 |
| Scan de vulnérabilités externe standard (forfait) | 1 | 1 | 1 |
| Scan de vulnérabilités approfondi (forfait) | 1 | 1 | 1 |
| Audit applicatif ou web (forfait/application ou site) | 1 | 1 | 1 |
| Test d’intrusion externe (forfait) | 1 | 1 | 1 |
| Test d’intrusion interne (forfait) | 1 | 1 | 1 |
| Test d’intrusion mixte (forfait) | 1 | 1 | 1 |
| Recherche de fuites d’informations (forfait) | 2 | 2 | 2 |
| Revue de sauvegarde et de continuité (forfait) | 2 | 2 | 2 |
| Atelier de sensibilisation — exercice de crise (forfait/intervention) | 4 | 4 | 4 |
| Simulation d’incident — demi-journée | 3 | 3 | 3 |
| Simulation d’incident — journée | 2 | 2 | 2 |
| Simulation d’incident multi-acteurs | 1 | 1 | 1 |
| Assistance à la politique de sécurité (forfait) | 1 | 3 | 5 |
| Assistance à la charte informatique (forfait) | 3 | 2 | 1 |
| Analyse de risques et conformité (forfait) | 1 | 1 | 3 |
| Kit de sensibilisation (forfait/intervention) | 4 | 4 | 4 |
| Session de sensibilisation des agents | 4 | 4 | 4 |
| Session de sensibilisation des encadrants ou élus | 4 | 4 | 4 |
| Atelier de transfert de compétences | 1 | 3 | 5 |
| Formation à la gestion documentaire SSI | 1 | 1 | 1 |
| Solution de coordination de crise en mode dégradé (forfait) | 2 | 4 | 6 |
| Appui à la cellule de crise (forfaits horaires) | 20 | 30 | 40 |
| Continuité numérique minimale (jours) | 10 | 30 | 60 |
| Moyens temporaires — services ou logiciels (mois) | 2 | 4 | 6 |
| Appui au redémarrage priorisé (forfait) | 2 | 4 | 6 |
| Appui opérationnel ou astreinte (forfaits horaires) | 20 | 30 | 40 |
| Expertise à distance — demi-journée | 20 | — | — |
| Expertise à distance — journée | 30 | — | — |
| Expertise en présentiel — demi-journée | 20 | — | — |
| Expertise en présentiel — journée | 30 | — | — |