Audits de sécurité, tests d’intrusion et réponse aux incidents

Le marché réunit des actions préventives, curatives et correctives pour Datadock, Welcome et Certifi@. Les trois applications sont incluses dans les campagnes, sous réserve des autorisations techniques de test sur les environnements concernés. Le périmètre de chaque intervention est défini par bon de commande et plan de test validé.

Campagnes d’audit et tests d’intrusion

Chaque campagne au forfait comprend le cadrage, une revue ciblée de l’architecture et des configurations accessibles, des tests d’intrusion applicatifs, un rapport, une restitution et un cycle de retests des vulnérabilités corrigées. L’audit examine notamment les composants et vulnérabilités connus, les versions et correctifs, la segmentation et l’exposition, les choix d’architecture, les dépendances, les protections applicatives et l’isolation des environnements. Il documente les contrôles et leurs limites, les constats et impacts, ainsi qu’un plan de remédiation priorisé distinguant mesures urgentes et améliorations structurelles.

Les tests comprennent des approches authentifiées et non authentifiées, en boîte noire ou grise selon les accès fournis. Une approche boîte blanche n’est réalisée que si les sources, documents et autorisations nécessaires sont fournis et si sa charge est explicitement décrite au bon de commande. Le périmètre peut inclure contrôles applicatifs et API, authentification et habilitations, sessions, dépendances vulnérables, journaux, sécurité des échanges et éléments d’architecture ou d’infrastructure directement liés aux applications. Aucun audit organisationnel exhaustif ni audit de code source n’est présumé inclus sans éléments fournis et accord préalable. Les tests suivent les bonnes pratiques ANSSI et OWASP, avec tests manuels documentés et outils automatiques si utiles ; les outils employés doivent être communiqués. L’exécution en production exige une autorisation écrite, un plan validé et une plage convenue. Les tests de déni de service, l’exfiltration, la modification de données de production et toute exploitation intrusive nécessitent une autorisation spécifique. Les composants ou infrastructures de tiers sont exclus sans leur autorisation explicite.

Le rapport de campagne est remis au plus tard 10 jours ouvrés après la fin des tests. Il présente l’état de vulnérabilité global, les forces et faiblesses, les vulnérabilités avec preuves et scénarios d’exploitation, leur score, criticité, impact métier, recommandations et complexité de correction, ainsi que les risques synthétiques, la priorisation des correctifs et des scénarios de remédiation. Deux restitutions sont prévues : un format « à chaud » pour la DSI et un format « à froid » pour la gouvernance.

Analyse et accompagnement curatif

Sur commande, le titulaire analyse et qualifie les incidents, mène les investigations, conseille sur le confinement et assiste la remédiation. La correction du code, l’administration des plateformes et les modifications d’infrastructure restent à la charge du GIE ou de ses prestataires, sauf stipulation expresse et valorisée au bon de commande. Toute action intrusive ou corrective requiert la validation préalable du GIE, sauf urgence explicitement définie. L’intervention comprend, selon l’incident, la recherche de preuves et traces, l’analyse des journaux, des mesures urgentes et des recommandations pour prévenir la récurrence ; elle peut inclure la participation aux cellules de crise, un point d’avancement quotidien, l’appui aux notifications et dépôts de plainte et un retour d’expérience. Les preuves doivent être conservées pour une éventuelle mise à disposition des autorités.

Les délais de première prise en compte et d’intervention, calculés depuis la même alerte initiale au canal d’urgence, varient selon la gravité :

• Critique : accusé de prise en compte sous 1 heure ouvrée ; début d’intervention sous 2 heures ouvrées ; expert confirmé ou senior au plus tard au début de l’intervention.
• Majeure : accusé sous 4 heures ouvrées ; début d’intervention sous 8 heures ouvrées ; expert confirmé ou senior mobilisé sous 8 heures ouvrées.
• Mineure : accusé sous 1 jour ouvré ; début d’intervention sous 2 jours ouvrés ; expert confirmé ou senior sur demande motivée sous 2 jours ouvrés.

Les heures ouvrées sont du lundi au vendredi, de 9 h à 18 h, heure de Paris, hors jours fériés en France ; une alerte hors plage est réputée reçue à l’ouverture suivante. Aucun engagement 24 h/24 et 7 j/7 n’est prévu. L’analyse approfondie est engagée au plus tard dans les 3 jours ouvrés suivant l’alerte. L’alerte d’une personne habilitée vaut demande à régulariser par un bon de commande écrit, au plus tard le jour ouvré suivant ; seuls les jours commandés et réalisés sont facturables.

Un plan de remédiation intermédiaire indique les actions prioritaires réalisées ou restant à réaliser et les impacts potentiels. Le rapport complet, remis au plus tard sous 2 semaines (10 jours ouvrés), couvre la gravité, le scénario d’attaque, les actions menées, les travaux forensiques et les renforcements préconisés.

Retests et responsabilités

Les retests vérifient chaque correction, l’absence de nouvelles vulnérabilités et la non-régression des fonctionnalités. Le relevé de corrections, fourni par le GIE ou son prestataire, décrit les corrections, impacts et cas de test ; il est transmis sous 3 jours ouvrés après correction. La préparation des tests intervient sous 5 jours ouvrés après réception du relevé ; leur exécution sous 7 jours ouvrés après préparation ; l’analyse des résultats sous 5 jours ouvrés après exécution ; le rapport détaillé sous 3 jours ouvrés après cette analyse. Il recense les anomalies validées, résiduelles ou nouvelles, les recommandations éventuelles et les risques résiduels. Un nouveau cycle peut être déclenché jusqu’à obtention d’un résultat conforme.

Le titulaire prépare et réalise les retests, sécurise puis restitue les accès et données de test, signale les vulnérabilités résiduelles ou nouvelles et propose des mesures compensatoires. Le GIE valide les cas de test, fait réaliser les corrections et met à disposition environnements et données ; il supervise les essais et accepte ou rejette les corrections. L’acceptation suppose des tests de revalidation et de sécurité concluants, sans anomalie bloquante ou critique. Un cycle de retests est inclus dans le forfait de campagne ; tout cycle supplémentaire nécessite une commande préalable selon l’unité de prix pertinente, ou n’est pas commandé.

Les prestations sont déclenchées par bons de commande écrits ; l’alerte urgente est régularisée selon les modalités ci-dessus. Le forfait de campagne couvre les trois applications, le cadrage, l’audit ciblé, les tests authentifiés et non authentifiés, le rapport technique, la synthèse de gouvernance, la restitution et le cycle de retests inclus. L’assistance curative est facturée par journée de 7 heures effectives d’un consultant senior ou expert ayant au moins 5 ans d’expérience pertinente ; les fractions de journée sont facturées au prorata des heures commandées et réalisées, avec accord préalable de l’acheteur. Les quantités du DQE sont indicatives et sans engagement de commande. Les tâches essentielles de direction des audits, de validation des rapports de sécurité et de conduite des interventions critiques sont exécutées directement par le titulaire.