Infogérance et hébergement cloud

Le titulaire reprend et exploite deux machines virtuelles dédiées, assure leur hébergement, leur maintenance en conditions opérationnelles et de sécurité, ainsi que la continuité d’activité. Les données et sauvegardes sont hébergées et traitées dans l’Union européenne ; l’annuaire Active Directory est séparé du serveur applicatif. L’hébergeur proposé doit disposer au minimum de la certification ISO/IEC 27001.

Le dimensionnement minimal comprend :

• un serveur applicatif RDS de 8 vCPU et 64 Go de mémoire, stockage SSD ou NVMe redondé, volumes système et données séparés, au moins 500 Go utiles et 10 sessions simultanées ;
• un serveur distinct pour l’annuaire et les services d’infrastructure (AD DS, DNS, DHCP) de 4 vCPU, 16 Go de mémoire et 200 Go de stockage SSD ou NVMe.

Windows Server 2025 ou une version ultérieure est requis. Les licences Windows Server et les CAL Windows Server/RDS pour 10 utilisateurs sont fournies en mode service, sans surcoût jusqu’à 12 utilisateurs. L’accès distant et l’administration passent par une passerelle sécurisée avec MFA, sans exposition directe de RDP sur Internet. La capacité mémoire, stockage ou vCPU doit pouvoir être augmentée sous 5 jours ouvrés sur demande, aux prix du BPU.

Reprise, sauvegardes et reprise d’activité

La reprise de l’infrastructure existante se fait par import des machines virtuelles restituées par le prestataire sortant ou par reconstruction des serveurs, selon l’option retenue. La reprise peut aussi inclure l’annuaire, les profils, les données, la réinstallation des logiciels métiers avec coordination de l’éditeur Progisem, l’administration Microsoft 365/SharePoint/OneDrive et la reconfiguration des postes. Le retour arrière vers l’infrastructure sortante est garanti pendant 7 jours après la bascule, tant qu’elle reste disponible.

Les sauvegardes de l’ensemble des machines virtuelles et des données sont quotidiennes, chiffrées, immuables et conservées 30 jours sur un stockage objet distinct de la production. Le titulaire réalise un test de restauration chaque trimestre et un exercice annuel de bascule. La réplication permanente vers un second site géographiquement distinct vise un RTO maximal de 4 heures et un RPO maximal de 15 minutes. Un équipement physique de reprise est installé et maintenu dans les locaux de la SPL : il doit permettre un redémarrage en réseau local en moins de 4 heures en cas de perte prolongée d’Internet ou de défaillance de l’hébergeur, puis une resynchronisation sans perte des saisies locales. Une procédure de reprise écrite doit pouvoir être exécutée par un technicien tiers.

La mise en service comprend une recette contradictoire, des tests fonctionnels, de restauration et de bascule dans les 7 jours suivant celle-ci, puis 30 jours calendaires de vérification de service régulier. En cas d’échec, cette période est prolongée jusqu’à 30 jours consécutifs conformes.

Infogérance du système d’information

Le forfait récurrent comprend la surveillance 24 h/24 et 7 j/7 des serveurs, du stockage, des sauvegardes et de la réplication, sur au moins 20 indicateurs ; l’installation mensuelle des correctifs ; l’administration de l’annuaire et du tenant Microsoft 365 ; ainsi que la gestion des sauvegardes, des licences et des contrats de maintenance.

La prestation couvre aussi le réseau local (routeur, pare-feu, commutateurs, Wi-Fi, adresses IP, VLAN, routage), les 10 postes de travail et leurs périphériques. Elle inclut l’installation et les mises à jour des systèmes et applications, l’EDR des postes, la surveillance proactive, la maintenance des imprimantes, copieurs, scanners et kits de visioconférence, ainsi que la préparation et l’installation des postes remplacés — le matériel étant acquis par la SPL.

Le support est accessible par téléphone, courriel et portail de tickets du lundi au vendredi de 7 h 30 à 17 h (heure de La Réunion), hors jours fériés ; les incidents critiques disposent d’une astreinte joignable 24 h/24 et 7 j/7. Une prise en main à distance sécurisée et, si nécessaire, une intervention sur site à Ravine des Cabris sont prévues. Le titulaire assure également la protection par pare-feu, EDR, filtrage antispam et antihameçonnage, MFA, suivi des vulnérabilités, conservation des journaux pendant au moins 6 mois, sensibilisation annuelle et assistance en cas d’incident cyber.

La disponibilité mensuelle garantie de l’infrastructure hébergée est de 99,9 %, hors fenêtres de maintenance planifiées et notifiées au moins 72 heures à l’avance. Les délais maximaux de prise en charge/rétablissement sont : P1, 1 heure 24/7 / 4 heures ; P2, 4 heures ouvrées / 1 jour ouvré ; P3, 1 jour ouvré / 3 jours ouvrés ; P4, 2 jours ouvrés / 5 jours ouvrés. Une alerte de sécurité critique doit être prise en charge en 1 heure 24/7 et donner lieu à un confinement immédiat. Les correctifs critiques sont déployés sous 72 heures après publication, les autres correctifs mensuels dans le mois de publication.

Le titulaire fournit un rapport mensuel au plus tard le 10 du mois suivant, tient des comités semestriels et réalise des revues semestrielles des licences et contrats ainsi que des recommandations d’investissement. Il désigne un responsable de compte et un suppléant. La documentation d’architecture et d’exploitation, l’inventaire, le registre des accès privilégiés, le coffre des secrets et le plan de réversibilité sont tenus à jour en français.

Prestations complémentaires et fin de marché

Des bons de commande peuvent porter sur des interventions techniques ou de conseil hors forfait, des journées d’expertise (audit, étude, accompagnement d’un projet numérique), la maintenance de postes ou d’utilisateurs supplémentaires, l’extension des ressources hébergées, des formations supplémentaires et l’assistance à la réversibilité au-delà de la restitution incluse. Les incidents P1/P2 et les interventions nécessaires à la correction d’un manquement du titulaire restent au forfait.

Le plan de réversibilité est remis dans les 3 mois suivant la mise en service et actualisé chaque année. À la fin du marché ou en cas de résiliation, les données, machines virtuelles et documents sont restitués dans des formats standards et ouverts, sous 30 jours et sans frais. Le titulaire assure la continuité et l’assistance au transfert ; après validation de la restitution, il efface les données et remet un certificat. À la demande de la SPL, le poste 2 peut être maintenu au-delà de l’échéance jusqu’à 3 mois, au prorata du forfait mensuel.