Infogérance et maintenance du système d’information

Le titulaire assure l’exploitation et la maintenance préventive et corrective de l’environnement existant : infrastructure, postes et périphériques, réseau et sécurité, services hébergés, sauvegarde et assistance. Le périmètre évolue avec le système ; les variations cumulées restent intégrées au forfait dans la limite de 10 % du nombre de postes ou d’utilisateurs actifs. Au-delà, elles donnent lieu à un ajustement.

Le parc indicatif comprend environ 70 utilisateurs actifs, 50 postes, 4 serveurs physiques, 17 machines virtuelles, 3 à 4 baies et équipements de sauvegarde, 30 commutateurs, 3 pare-feux, 34 points d’accès sans fil et 23 périphériques d’impression/numérisation. L’annuaire compte environ 180 comptes, dont une part obsolète à rationaliser ; ces objets obsolètes ne constituent pas un périmètre de maintenance. L’hypothèse indicative est d’environ 10 postes installés ou renouvelés par an.

Exploitation, sécurité et support

• MCO des serveurs, de la virtualisation, du stockage, du réseau, des postes, des services collaboratifs et des applications métier : surveillance proactive, mises à jour, gestion des ressources, documentation et continuité des services existants. Le titulaire assure l’interface avec les éditeurs ; les développements spécifiques et la maintenance applicative relevant des contrats conclus directement avec les éditeurs sont exclus.
• Veille de sécurité, durcissement et correctifs dans un délai maximal de 72 h pour les vulnérabilités critiques (CVSS ≥ 9), 7 jours pour les élevées (CVSS 7,0 à 8,9) et 30 jours pour les moyennes. L’état des vulnérabilités résiduelles et leur plan de traitement sont communiqués mensuellement.
• Supervision automatisée des composants critiques 24 h/24 et 7 j/7, distincte des interventions humaines, avec accès en lecture à la console et conservation de l’historique pendant au moins 24 mois.
• Support N1/N2/N3 par téléphone, courriel et portail de tickets, comprenant assistance bureautique, diagnostic technique, escalade et suivi auprès des éditeurs et constructeurs. Les interventions courantes, à distance ou sur site, sont comprises sans limitation de nombre ni de durée pendant la plage de service du lundi au vendredi, de 8 h à 18 h, hors jours fériés. Il n’y a pas d’astreinte permanente ; une astreinte événementielle peut être commandée pour une journée, notamment lors d’un scrutin, de 7 h à 22 h.
• Gestion des identités et habilitations : mots de passe d’au moins 12 caractères, MFA généralisée aux accès à privilèges et recommandée pour tous les comptes, registre des comptes à privilèges et revues trimestrielles ; désactivation automatique des comptes inactifs au-delà de 90 jours. Les mouvements d’agents et opérations courantes sur les comptes et boîtes aux lettres sont pris en charge au forfait.

Sauvegarde, continuité et reprise
La stratégie suit le principe 3-2-1, avec une cible 3-2-1-1-0 : trois copies, deux types de supports, une copie externalisée hors site et protégée contre les rançongiciels, et, en cible, une copie immuable supplémentaire avec vérification d’intégrité sans erreur. Les données critiques sont sauvegardées quotidiennement et les sauvegardes complètes sont hebdomadaires. Les rétentions minimales sont de 35 jours pour les sauvegardes quotidiennes, 12 semaines pour les hebdomadaires et 12 mois pour les mensuelles ; les archives suivent les obligations réglementaires. La sauvegarde de Microsoft 365 est réalisée vers un NAS local indépendant de l’éditeur. Un rapport quotidien indique le statut de chaque tâche et signale les anomalies.

Un test de restauration semestriel obligatoire porte sur un périmètre critique tournant ; son procès-verbal rapporte notamment les RTO et RPO mesurés. Jusqu’à deux tests ponctuels par an peuvent être demandés au forfait, et un exercice annuel de reprise est réalisé. Le RPO maximal est de 24 h pour tous les niveaux ; après sinistre majeur, la remise en production des services essentiels est garantie sous 48 h si une copie de sauvegarde décorrélée est opérationnelle.

Les cibles de disponibilité annuelle sont de 99 % pour l’infrastructure critique, 98 % pour les applications importantes et 97 % pour les applications standard ; la complétude des sauvegardes visée est de 99,5 %, avec au plus 3 échecs par mois. Les délais maximaux GTI/GTR sont : criticité 1, 1 h/4 h ; criticité 2, 2 h/8 h ; criticité 3, 4 h/2 jours ouvrés ; criticité 4, 1 jour ouvré/5 jours ouvrés. Si le rétablissement complet est impossible dans le délai, une solution de contournement permettant un service minimum est mise en œuvre dans ce même délai. Pour un incident bloquant non résolu à distance, une intervention sur site est visée sous 4 h.

Prestations ponctuelles et fournitures accessoires
Sur devis préalable accepté, les prestations hors forfait comprennent notamment les interventions hors plage de service, installations de postes, imprimantes et périphériques, solutions de sauvegarde et demi-journées de présence sur site. L’installation d’un poste inclut son paramétrage, son intégration au domaine et au réseau, la reprise des données et la coordination avec les éditeurs ; le matériel demeure à la charge de l’acheteur.

Des petites fournitures informatiques et le renouvellement de licences existantes peuvent être commandés sans obligation d’achat. À titre de repères annuels estimatifs, les fournitures comprennent notamment 4 portables 14 pouces, 2 portables 16 pouces, 6 clients légers, 6 écrans 24 pouces Full HD, 2 écrans 27 pouces QHD et une station graphique mobile et fixe de chaque type. Les abonnements recensés comprennent notamment 86 Exchange Online P1, 50 protections EDR de postes, 17 instances de sauvegarde et 1 abonnement de sécurité de pare-feu. Des solutions équivalentes sont admises, sauf pour les abonnements liés au tenant Microsoft 365 existant. Ces quantités ne constituent pas un engagement de commande.

Le renouvellement de l’infrastructure et les investissements matériels ou logiciels sont hors périmètre. Par exception, si la défaillance d’un équipement critique compromet la continuité avant son renouvellement, le remplacement strictement nécessaire peut être fourni sur devis et après accord écrit ; sa mise en œuvre reste à la charge du titulaire même si l’équipement est acquis directement par l’acheteur.

Sécurité, pilotage et transfert
Les accès d’administration sont individualisés, renforcés et tracés ; les journaux sont conservés au moins 12 mois. Les flux d’administration et données sensibles sont chiffrés. Les données traitées par les systèmes et outils opérés par le titulaire sont stockées en France métropolitaine ; les accès depuis un pays tiers à l’UE nécessitent l’autorisation écrite préalable de l’acheteur. Les incidents de sécurité sont notifiés au plus tard sous 4 h, puis formalisés sous 24 h. Le titulaire agit comme sous-traitant RGPD et ne peut recourir à un sous-traitant ultérieur sans autorisation écrite préalable.

Le titulaire fournit un état des lieux contradictoire, un plan d’action correctif, un PAS, un plan qualité, un reporting mensuel et des bilans trimestriel et annuel. Le transfert de connaissances et la prise en main de l’environnement donnent lieu à un état des lieux et à un plan d’action. La réversibilité prévoit la remise de la documentation, des cartographies, inventaires, configurations, journaux et procédures en formats ouverts, ainsi que la restitution et la suppression sécurisée des données. Le CCTP prévoit un tuilage d’au moins 60 jours, tandis que le CCAP, pièce contractuelle de rang supérieur, indique 15 jours.