Hébergement de serveurs

La prestation comprend l’hébergement physique, dans les locaux du prestataire, des sites internet, de la messagerie et des applications de la CINOR, ainsi que l’accès à ces services. Le marché prévoit une solution globale : migration de l’existant, location et maintien en condition opérationnelle des infrastructures, sécurisation, sauvegarde et services associés. Le périmètre pourra évoluer à la hausse ou à la baisse.

La migration porte sur les machines existantes, récupérées notamment aux formats .qcow2 ou .raw. Le titulaire fournit les ressources techniques et humaines nécessaires au transfert et doit organiser la bascule pour préserver la continuité des services. Pour la messagerie KERIO du Réseau de Lecture Publique, le transfert des messages doit être réalisé avec l’équipe de la CINOR et sans perte de données.

Serveurs et environnements

Le socle forfaitaire comprend 20 serveurs dédiés. Les configurations indiquées sont les suivantes :

| Serveur et usage | Site ou application indiqué | Système | vCPU | RAM (Go) | Disque (Go) |
|---|---|---:|---:|---:|---:|
| 1 — messagerie RLP | cinorrlp.cinor.fr | Ubuntu | 2 | 8 | 300 |
| 2 — applicatif | papang.cinor.org | Windows 2022 | 4 | 16 | 300 |
| 3 — applicatif | DImomaint.cinor.org | Windows 2022 | 2 | 8 | 50 |
| 4 — applicatif | risques.cinor.org | Windows 2022 | 4 | 8 | 150 |
| 5 — applicatif | WAD02-SRV.cinor.int | Windows 2019 | 2 | 8 | 150 |
| 6 — site internet | www.cinor.org | Ubuntu 2204 | 2 | 4 | 100 |
| 7 — applicatif | Libre Cinor | Ubuntu Fiscalis | 2 | 4 | 50 |
| 8 — applicatif | av.cinor.org | Windows 2012 R2 | 4 | 6 | 100 |
| 9 — site internet | requiem.cinor.org | Windows 2019 | 4 | 4 | 100 |
| 10 — applicatif | APPREQUIEM | Windows 2019 | 2 | 4 | 100 |
| 11 — sites internet | transition.cinor.org | Debian 11 | 2 | 4 | 250 |
| 12 — sites internet | sba.cinor.org ; telepherique-urbain.cinor.org | Ubuntu 2204 | 2 | 4 | 200 |
| 13 — applicatif | sigb.cinor.org | Windows 2019 | 4 | 32 | 2 050 |
| 14 — site internet | lecturepublique.cinor.org | Windows 2019 | 4 | 4 | 250 |
| 15 — site internet | signaletiquetouristique.cinor.re | Debian 12 | 2 | 3 | 50 |
| 16 — site internet | emib.cinor.re | Windows 2022 | 2 | 16 | 150 |
| 17 — site internet | rhapsodie.cinor.re | Windows 2022 | 4 | 32 | 250 |
| 18 — site internet | geo3d.cinor.re | Debian 12 | 2 | 4 | 150 |
| 19 — site internet | elus.cinor.re | Ubuntu 2204 | 4 | 4 | 50 |
| 20 — applicatif | Sig2.cinor.re | Debian 13.4 | 4 | 16 | 100 |

Les applications métier mentionnées comprennent FinIndev (12 utilisateurs et 12 accès simultanés, usage quotidien), GMAO (8 sites, environ 300 équipements par site, 5 utilisateurs et 5 accès simultanés, usage hebdomadaire), la gestion des risques (2 utilisateurs et 2 accès simultanés, usage quotidien, nombre susceptible d’évoluer), SIG Papang, Active Directory, l’antivirus Symantec Endpoint Protection, l’applicatif Requiem et le SIGB. Le document annonce « 7 » applications, mais en énumère huit. La liste des sites et applications peut évoluer.

Le titulaire configure, paramètre, met en service et maintient les serveurs, fournit les licences de systèmes d’exploitation prévues au forfait et maintient à jour l’environnement logiciel d’hébergement, en informant préalablement la CINOR. La configuration et la maintenance de la partie applicative restent à la charge de la CINOR ou d’un tiers qu’elle désigne. Les ressources additionnelles — serveurs, disque, mémoire, vCPU, licences, noms de domaine et bande passante — peuvent faire l’objet de commandes selon les besoins.

Réseau, domaines et sécurité

La prestation inclut une liaison fibre sécurisée à débit garanti entre l’hébergement et le siège de la CINOR, un accès administrateur sécurisé aux serveurs et la gestion des noms de domaine et sous-domaines : renouvellement, achat, enregistrement, transfert, création, modification, suppression ou abandon, ainsi que les services DNS. Les certificats SSL des serveurs web sont également gérés par le titulaire.

Les exigences de débit ne concordent pas entièrement et sont à clarifier : le CCTP indique un besoin initial de liaison de 10 Mbit/s, susceptible d’augmentation, tandis que le DPGF décrit une liaison symétrique garantie d’au moins 150 Mbit/s ; le BPU comporte aussi une ligne de location de bande passante de 20 Mb/s. Pour les serveurs dédiés, le CCTP demande au minimum 150 Mbit/s pour l’ensemble des 20 serveurs. Il demande une latence réseau inférieure à 50 millisecondes, des accès SFTP illimités et une bande passante à indiquer pour les sites et les applications. Pour les sites web, il mentionne une bande passante minimale de « 1 go » — unité telle qu’écrite — et estime à 36 000 les visites annuelles de www.cinor.org, pour un volume de données d’environ 1 Go.

La sécurité couvre les équipements et les logiciels : pare-feu à inspection avec état, détection d’intrusion, filtrage antispam et antivirus, protection contre les attaques (dont flooding, spoofing et déni de service), mises à jour régulières, sécurisation des locaux et des accès physiques, alimentation de secours, protection incendie, gestion des incidents, authentification et traçabilité. Les données doivent être hébergées exclusivement sur le territoire français. Après une attaque ayant détruit totalement ou partiellement les sites, le titulaire doit s’engager à remettre les sites en service sous 4 heures.

Sauvegarde, supervision et assistance

Les sauvegardes comprennent une sauvegarde quotidienne avec une rétention minimale d’une semaine, des sauvegardes complètes hebdomadaires avec une rétention minimale d’un mois et des sauvegardes complètes mensuelles avec une rétention minimale d’un mois. La capacité utile doit couvrir l’ensemble des données et pouvoir être étendue ; la méthode incrémentale est privilégiée. Le candidat décrit aussi les procédures et délais de restauration.

L’infrastructure physique et applicative est sous supervision active. Un outil statistique dynamique, accessible en ligne, doit fournir des statistiques détaillées de bande passante et d’usage par serveur, consultables à tout moment ; les données minimales comprennent les jours et tranches horaires de visite et les 30 pages les plus consultées. Sont également souhaitées la provenance géographique des internautes, les listes de fichiers consultés, la conservation des statistiques sur 3 mois et la liste des incidents majeurs. Le titulaire remet un rapport au moins semestriel ou à la demande, portant notamment sur les charges réseau, processeur et mémoire. Un accès statistique dynamique est annoncé comme disponible 24 h/24 et 365 jours par an.

La hotline est disponible de 8 h à 16 h 30 par téléphone ou courriel. Chaque demande donne lieu à un accusé de réception avec numéro, site, date et heure, objet et coordonnées du demandeur, puis à un suivi et à un rapport de clôture décrivant la panne, sa cause et la solution. Un interlocuteur unique compétent est désigné.

Le candidat doit préciser son dispositif de PRA et les éléments de continuité d’activité. Le taux de disponibilité est formulé comme supérieur à 97 % dans le CCTP ; l’annexe indique également un taux mensuel de 97 %. Les GTR demandées sont inférieures à 4 heures : GTR1 pour l’hébergement et les liaisons sécurisées du lundi au vendredi, de 6 h à 21 h (heure de La Réunion) ; GTR2 pour l’hébergement du samedi au dimanche, de 8 h à 18 h (heure de La Réunion). L’annexe fixe un plafond de 4 heures consécutives pour chacune.

Migration, évolutions et réversibilité

Le candidat expose les étapes et la durée de la migration, les interruptions éventuelles et les moyens de préserver la continuité et l’interopérabilité. Des vérifications et opérations de réception sont prévues pour valider le fonctionnement des infrastructures. Les délais plafonds indiqués sont de 20 jours calendaires pour la mise en service initiale des serveurs, 6 jours calendaires pour créer un serveur dédié et 10 jours calendaires pour restituer l’ensemble des données hébergées.

Les données restent la propriété exclusive de la CINOR et doivent être intégralement restituées en fin de contrat, sur demande, dans le délai plafond fixé. Le titulaire utilise des solutions standards pour la réversibilité. La destruction des données ne peut intervenir que sur demande de la CINOR ou selon les délais légaux ; un procès-verbal de destruction peut être exigé.