Prestations d’audit et d’expertise en cybersécurité

Le système d’acquisition dynamique permet de présélectionner des opérateurs, puis de les mettre en concurrence pour des marchés spécifiques portant sur des prestations et expertises cyber. Les besoins sont précisés au fil de ces consultations ; aucun protocole technique uniforme n’est défini pour tous les marchés spécifiques.

Les interventions susceptibles d’être commandées comprennent notamment :

• des tests d’intrusion (Pentest) internes ou externes ;
• l’analyse des risques métiers et l’analyse de code d’applicatifs internes ;
• de l’expertise sur des équipements ou technologies, par exemple Palo Alto, Office 365, Active Directory, Cisco, Ubika ou Linux ;
• de l’aide aux fonctions DPO ou RSSI et des prestations de cybersurveillance.

Organisation des marchés spécifiques

Les besoins donnent lieu à des consultations électroniques via PLACE. Le dossier propre à chaque consultation précise le contenu des prestations, les pièces attendues et, le cas échéant, les annexes techniques et financières. Les marchés spécifiques peuvent être des marchés simples ou être exécutés par bons de commande. Aucun commencement de prestation ne peut intervenir sans notification du marché spécifique, du bon de commande ou d’un ordre de service.

Un responsable de compte du titulaire sert d’interlocuteur au coordonnateur et aux entités. Une revue de contrat annuelle est organisée au plus tard à chaque date anniversaire ; le titulaire en établit le compte rendu et le remet aux participants dans les cinq jours ouvrés suivant la réunion.

Protection des données

Le titulaire doit limiter l’usage des données personnelles aux fins prévues, ne pas les divulguer à des tiers non autorisés, prévenir leur utilisation détournée ou frauduleuse et préserver leur sécurité. Si nécessaire, leur transfert doit utiliser des moyens de communication sécurisés. En fin de marché, les fichiers concernés doivent être restitués ou détruits selon les modalités prévues. Le titulaire signale sans retard injustifié les irrégularités et informe la CCI d’une violation de données au plus tard dans les 48 heures après sa déclaration à la CNIL.