Infogérance, maintenance et sécurisation du système d'information

Le titulaire prend en charge l’exploitation, la maintenance préventive, curative et évolutive, la sécurisation et l’assistance des systèmes informatiques. Le marché couvre deux périmètres distincts, avec une séparation stricte des patrimoines, données, comptes, licences, tickets, facturations et responsabilités. Les ressources partagées font l’objet d’une coordination entre intervenants ; le titulaire qualifie les incidents de bout en bout et assure le suivi des éditeurs, opérateurs, constructeurs et autres prestataires.

Transition, audit et référentiel

La transition comprend l’audit de l’existant, le transfert de connaissances et la préparation des outils. Aucun système en production ne peut être modifié pendant cette phase sans autorisation écrite. L’audit porte notamment sur les serveurs et machines virtuelles, comptes et droits, données, réseaux, Wi-Fi, VPN, pare-feu, sauvegardes, licences, garanties, contrats, téléphonie, périphériques et dépendances externes.

Les livrables de préparation sont échelonnés : inventaire provisoire, risques et planning dans les 10 jours ouvrés suivant le début ; rapport d’audit, inventaire consolidé, schémas réseau, cartographie des sauvegardes et plan d’actions 15 jours calendaires avant la reprise ; accès vérifiés, procédures et outils opérationnels 5 jours ouvrés avant celle-ci. Le référentiel technique, accessible et exportable, est actualisé après chaque changement significatif.

Exploitation, assistance et niveaux de service

La maintenance comprend la supervision des serveurs, VM, annuaires, stockages, réseaux, pare-feu, VPN, commutateurs, onduleurs, routeurs et postes ; l’administration des comptes, droits, boîtes aux lettres, licences et périphériques ; les mises à jour compatibles ; le diagnostic et le rétablissement des incidents ; ainsi que le suivi des garanties et la documentation. Les logiciels métiers sont maintenus par leurs éditeurs : le titulaire assure le soutien technique et la relation avec eux. Il accompagne aussi les arrivées, mobilités et départs, y compris la révocation des accès et VPN.

Au moins 8 jours d’intervention de maintenance sur site sont prévus, selon une organisation indicative d’une journée trimestrielle principalement préventive et d’une journée trimestrielle principalement évolutive. Les journées non consommées peuvent être reportées sur l’année suivante. Un portail ou une adresse de support, un numéro d’urgence et un outil de suivi accessible au référent sont requis.

La plage normale est de 8 h 30 à 18 h les jours ouvrés ; la plage de service garanti (PSG) des SLA est du lundi au vendredi de 9 h à 18 h. Les délais courent pendant la plage normale. L’astreinte P1 hors plage est une option chiffrée séparément, exécutée uniquement si elle est retenue.

| Priorité | Garantie de temps d’intervention (GTI) | Garantie de temps de rétablissement (GTR) |
|---|---:|---:|
| P1 critique | 1 h | 4 h |
| P2 majeure | 4 h | 8 h |
| P3 standard | Téléadministration sous 48 h ou prochaine intervention sur site si nécessaire | Planification avec le référent informatique |
| P4 demande | Téléadministration sous 48 h ou prochaine intervention sur site si nécessaire | SEMA : selon le besoin ; SPL : planification avec le référent informatique |

Sauvegarde, cybersécurité et continuité

Les rapports de sauvegarde sont contrôlés chaque jour ouvré ; les échecs persistants doivent donner lieu à une alerte immédiate. Des tests documentés de restauration de fichiers ou dossiers sont réalisés chaque trimestre, ainsi qu’un test annuel plus complet. Le titulaire contrôle capacités, rétentions, chiffrement, destinations et comptes d’administration, et préconise une copie indépendante, hors ligne ou immuable pour les données critiques.

L’audit examine la couverture et la restaurabilité des données des serveurs et de Microsoft 365, notamment Exchange Online, OneDrive, SharePoint et Teams. Si la sauvegarde indépendante est insuffisante, une solution est chiffrée séparément et ne peut être déployée sans accord écrit. Les mesures de sécurité comprennent comptes nominatifs, moindre privilège, MFA sur les comptes compatibles, revue trimestrielle des accès sensibles, télémaintenance déclarée, connexions chiffrées et journalisées, traitement prioritaire des correctifs critiques et alerte de sécurité au plus tard dans l’heure après qualification.

Licences, parc et réversibilité

Les quantités indiquées dans les deux cadres de licences sont estimatives et ne constituent pas un minimum de commande :

• Un périmètre : 21 licences Microsoft 365 Business Standard, 7 Exchange Online, 33 équipements Trend Micro, 2 pare-feu Stormshield, 2 licences Veeam et 1 domaine.
• L’autre périmètre : 19 licences Microsoft 365 Business Standard, 6 Business Basic, 1 Exchange Online, 30 équipements Trend Micro, 2 pare-feu Stormshield, 2 licences Veeam et 1 domaine.

Le titulaire suit affectations, échéances, coûts connus et préavis, vérifie trimestriellement l’adéquation des licences et alerte au moins 90 jours avant leur renouvellement. Il tient l’inventaire du parc à jour, alerte 6 mois avant la fin de garantie d’un équipement critique et 3 mois avant celle des autres équipements, et remet chaque année un plan d’investissement glissant sur 3 ans. Les contrats d’abonnement sont souscrits au nom de l’entité concernée lorsque possible ; aucun renouvellement, engagement pluriannuel ou accroissement de quantité n’intervient sans accord écrit.

Les prestations comprises couvrent notamment l’administration et la maintenance courantes, le support et les déplacements nécessaires, les visites préventives, les contrôles de sauvegarde, le suivi du parc et la coordination des tiers. Après accord écrit, restent hors forfait les matériels, pièces, licences et services tiers, le câblage et les interventions spécialisées, les migrations majeures, changements d’architecture, projets structurants, développements, formations longues, astreintes non retenues et sinistres nécessitant des fournitures importantes. La réversibilité comprend le référentiel final, les inventaires, schémas, procédures, historiques, accès et configurations ; deux réunions de transfert sont incluses, sans rétention d’accès ou de données en cas de différend.