Assistance à la sécurité des systèmes d’information

Le titulaire accompagne la SPL Eau du Bassin Rennais dans l’homologation de sécurité de ses systèmes d’information et dans la définition, la mise en œuvre et l’animation d’une politique globale de sécurité. La responsabilité de la sécurité interne et externe reste portée par la DSI.

Gouvernance, conformité et risques

La prestation comprend notamment :

• L’établissement, la priorisation et la mise à jour d’une feuille de route de conformité NIS 2 / Référentiel Cyber France et, le cas échéant, LPM
• La conduite complète des procédures d’homologation des SI et la constitution des dossiers réglementaires de mise en production
• La rédaction, la validation auprès de la direction générale et l’animation des PSSI
• Le déploiement d’une méthode outillée d’analyse des risques, de type EBIOS RM
• Une veille réglementaire et technologique continue ainsi qu’un devoir d’alerte formel en cas de dérive ou de menace critique

Sécurité industrielle et résilience

Le titulaire étudie et définit avec les partenaires techniques les solutions de cloisonnement réseau, de protection des comptes, de journalisation et de sécurisation des interconnexions dans les environnements industriels. Il définit également les mesures de durcissement propres aux systèmes SCADA.

Il élabore, complète et teste les plans de continuité et de reprise d’activité, avec une attention particulière à la résilience de l’environnement industriel.

SOC / SIEM et gestion opérationnelle des incidents

La mission couvre la définition de la stratégie de collecte des journaux sur les périmètres IT et OT, l’identification des sources d’événements critiques et la rédaction des spécifications techniques nécessaires au choix d’un prestataire SOC, avec recours privilégié à un prestataire qualifié PDIS par l’ANSSI lorsque nécessaire.

Le titulaire supervise le maintien en condition de sécurité, suit les alertes externes, définit les scénarios de corrélation, qualifie les incidents et orchestre la chaîne de levée de doute.

Maintien en condition de sécurité et sensibilisation

Le titulaire met en place, alimente et présente régulièrement à la direction les tableaux de bord et indicateurs clés de performance de la sécurité des SI. Il conçoit, planifie et anime les actions de sensibilisation de l’ensemble des collaborateurs, notamment sur le phishing et les bonnes pratiques informatiques.

Les missions sont réalisées au sein de la DSI, principalement dans les locaux du siège, avec des déplacements ponctuels en usines si nécessaire. Une présence hebdomadaire moyenne de 2 jours est requise.

Organisation, sécurité et livrables

La prestation est organisée autour d’un interlocuteur opérationnel unique, habilité à prendre les décisions nécessaires. Des compétences complémentaires peuvent intervenir ponctuellement avec l’accord de la SPL. Certaines activités peuvent nécessiter une habilitation au secret de la Défense Nationale ; l’impossibilité de l’obtenir peut entraîner l’arrêt de la mission.

Les exigences minimales de sécurité applicables au SI du titulaire et à la prestation RSSI doivent être respectées. Le titulaire déploie également une veille sur les menaces, vulnérabilités, produits, technologies et moyens de renforcement de la sécurité des systèmes industriels, notamment à partir des informations des CSIRT et des équipementiers.

Les prestations et livrables font l’objet de vérifications quantitatives et qualitatives conformément aux articles 28 à 31 du CCAG-PI. Les résultats peuvent notamment être publiés, évalués, archivés, maintenus, adaptés ou transférés à des tiers dans les conditions contractuelles.

Réversibilité sortante

La réversibilité comprend quatre étapes : continuité des activités jusqu’à la désignation d’un repreneur, prise de connaissance par celui-ci, réalisation des activités en double, puis maintien d’un support à la demande de la SPL.

Le titulaire établit avec la SPL et le repreneur un planning et un plan de réversibilité comprenant l’organisation, les rôles, la continuité des prestations, le transfert des connaissances, données et livrables, la coordination, le suivi, les contrôles, les formations et les conditions de lancement et de fin.

À la désignation du repreneur, il remet les livrables à jour, les documents, programmes sources, exécutables, configurations, paramétrages, données de la SPL dans un format numérique exploitable et un bilan de réversibilité. En fin de réversibilité, l’OSSI du titulaire remet un certificat formel de destruction des données ou supports appartenant à la SPL.