Hébergement cloud et infogérance du système d’information

Le marché porte principalement sur l’hébergement cloud en PaaS, avec une évolution possible vers l’IaaS ou le SaaS, et sur l’infogérance des applications et infrastructures associées. Le titulaire fournit et maintient trois environnements — tests, formation et production — et assure les changements demandés, le dimensionnement des ressources et la continuité des services, notamment des interfaces applicatives.

Le périmètre comprend le SI RH (ASTRE, MyMetrics, GECCO, HOROQUARTZ), le SI financier (PEP, Immo.Net, Regies.Net, INFINOE, GFD et interface Chorus Pro), le décisionnel SAP BO4, les sites epide.fr et jeune-epide.fr, l’intranet ainsi que JADE et SIREPA conservées en lecture seule. Les interfaces avec Azure Active Directory, Chorus Pro, NAME et les prestataires de TMA doivent être prises en compte.

MCO, supervision et exploitation

Le titulaire configure et met à disposition le stockage, en assure les changements et suit les ressources (CPU, mémoire, réseau, disques, bases de données et certificats) afin de préserver disponibilité et temps de réponse. Il fournit des outils de suivi des indicateurs, des journaux consultables et exportables en texte avec paramétrage de leur durée de conservation, ainsi que les accès nécessaires aux équipes de l’EPIDE et aux tiers autorisés, notamment via un bastion.

La supervision de l’infrastructure physique est prévue en temps réel, 24 h/24 et 7 j/7, 365 jours par an. Elle couvre au minimum les équipements réseau, serveurs et stockage. L’administration inclut l’analyse des journaux, les mises à jour et correctifs des équipements réseau, de sécurité, serveurs et baies de stockage. Le titulaire informe la DSIN au moins 5 jours ouvrés avant les interventions ou maintenances, réalisées en heures non ouvrées, et prévient au moins 2 semaines à l’avance de changements DNS ou d’infrastructure concernés.

Les outils et livrables comprennent notamment un extranet de supervision, des indicateurs graphiques et alertes sur seuils, les comptes rendus et supports de comités, la documentation technique actualisée, le rapport d’activité d’hébergement, les PV de service fait et le planning mensuel des changements à venir.

Sauvegarde, disponibilité et sécurité

Les sauvegardes sont quotidiennes, suivent une stratégie 3-2-1 et disposent d’une rotation minimale de 30 jours calendaires. Pour le SI-FIN, une sauvegarde annuelle conservée 10 ans est incluse. Une sauvegarde immuable peut être proposée en prestation supplémentaire. Une anonymisation des données lors des copies de production vers les environnements de test ou de formation peut également être proposée en prestation supplémentaire.

Les niveaux minimaux d’engagement distinguent les applications critiques (PEP et ASTRE : disponibilité ≥ 99,95 %), importantes (décisionnel, sites web et intranet : ≥ 99,9 %) et standards (JADE, SIREPA et environnements legacy/non opérationnels : ≥ 99,5 %). Les délais maximaux RTO/RPO sont respectivement de 4 h/1 h pour les applications critiques, 8 h/4 h pour les importantes et 24 h/24 h pour les standards. Les GTI/GTR demandées sont de 15 min/4 h pour SLA1, 30 min/8 h pour SLA2 et 4 h ouvrées/3 jours ouvrés pour SLA3 ; la couverture est 24/7 pour les incidents critiques, 24/7 pour SLA1 et en heures ouvrées pour SLA2 et SLA3, et en heures ouvrées pour SLA3. Une astreinte hors heures ouvrées ou le week-end peut être commandée avec un préavis minimal de 15 jours calendaires. La latence LAN/VLAN doit être inférieure à 1 ms.

Le datacenter doit respecter le niveau Tier III et disposer d’un site de reprise, d’accès Internet redondants via des opérateurs différents, de protections électriques et incendie, d’une alimentation par deux sous-stations distinctes et d’une protection contre les attaques DDoS. L’hébergement des serveurs est exclusivement en France ; les infrastructures de sauvegarde doivent être physiquement séparées des serveurs et du SAN. Les mots de passe utilisateurs comportent au moins 12 caractères et ceux des administrateurs au moins 16, avec les exigences de complexité indiquées ; l’authentification forte est requise pour les administrateurs. Les actions d’administration et des utilisateurs doivent être journalisées et accessibles aux profils habilités. Le marché prévoit également les exigences RGPD, la confidentialité, la gestion des accès et la possibilité d’audits par l’EPIDE.

Migration, évolutions et réversibilité

La réversibilité entrante comprend le cadrage, le plan de migration chiffré et un planning de mise en œuvre sur 30 jours ouvrés maximum. Elle prévoit l’installation et la configuration des équipements et des trois environnements, la rédaction du dossier d’architecture, du dossier de recette et du guide d’exploitation, puis la récupération des machines virtuelles et des données, y compris les sauvegardes, la configuration réseau et pare-feu et le diagnostic des incidents. Les tests fonctionnels sont réalisés par l’EPIDE ou ses prestataires.

Les évolutions de capacité (vCPU, mémoire, disque ou architecture) et les licences des systèmes d’exploitation sont chiffrées par composant applicatif. Le décommissionnement comprend le guide de désinstallation, la remise des données et bases de production, les PV correspondants et l’engagement de ne plus conserver les données concernées.

La réversibilité sortante inclut le transfert de compétences, l’état des lieux et la documentation complète, ainsi que les éléments nécessaires à la restauration des données, notamment clés de chiffrement et comptes. Elle démarre dans un délai ne dépassant pas 10 jours ouvrés après le bon de commande et dure au minimum 30 jours ouvrés à périmètre constant. Le titulaire assure par ailleurs la gouvernance avec l’EPIDE et les prestataires de TMA ; des journées d’assistance technique à distance peuvent être commandées sur devis.