Infogérance réseau, sécurité et SOC managé

Le marché confie au titulaire le maintien en conditions opérationnelles et de sécurité, la supervision, l’administration, le support et le traitement des incidents et demandes sur les infrastructures réseau et les composants de sécurité du SI. Il comprend aussi la conception, la mise en service et l’exploitation d’un SOC, avec détection, qualification, investigation et réponse aux incidents cyber.

Périmètre et exploitation

Le réseau comprend les LAN et Wi-Fi des sites, les réseaux des datacenters, les interconnexions, les VPN IPsec, les pare-feu et les accès Internet. La fourniture des accès Internet est exclue, mais le titulaire en assure la supervision et la relation technique avec les fournisseurs. Le périmètre sécurité couvre notamment le VPN client, les fonctions reverse proxy/WAF, RADIUS, le filtrage Web, l’antispam, le PAM/bastion, la MFA, la Landing Zone Azure, les certificats et l’administration de l’EDR/XDR. Les postes de travail et l’infrastructure système ne relèvent pas de l’infogérance du titulaire ; leurs sources de journaux peuvent néanmoins contribuer à la surveillance SOC.

L’inventaire de référence comprend notamment 27 pare-feu, 14 switches de datacenter, 8 switches cœur, 53 switches d’accès, 25 accès Internet, 25 tunnels VPN IPsec, 120 bornes Wi-Fi, 16 hôtes ESXi et 250 VM. Il décrit 3 sites principaux et 18 sites régionaux. Ces quantités sont susceptibles d’évoluer. Les tickets inclus sont dimensionnés à 30 par mois (20 incidents et 10 demandes/changements) pour l’infogérance Réseau/Sécurité et à 30 par mois (20 incidents et 10 demandes/investigations/changements) pour le SOC, soit 90 tickets par trimestre dans chaque périmètre. Jusqu’à 15 tickets par année contractuelle peuvent être désignés prioritaires. Les dépassements sont suivis au trimestre et ne sont facturables qu’après justificatifs et validation de l’acheteur.

Le titulaire fournit et maintient les outils de ticketing et de supervision nécessaires, avec accès pour l’acheteur, ainsi que les outils SOC. Le SIEM proposé est destiné à être acquis ou souscrit pour le compte de l’acheteur. Sa base de dimensionnement est de 50 Go de journaux ingérés par jour ; les événements doivent être conservés au moins 12 mois. Le SIEM doit permettre la collecte, la normalisation, l’enrichissement, la corrélation, la recherche, la détection et l’investigation de sources on-premise, cloud et SaaS. Les données sont hébergées dans l’UE/EEE, sauf dérogation acceptée, et chiffrées au repos et en transit. Les règles, cas d’usage, configurations et données doivent pouvoir être restitués dans des formats standards et exploitables.

SOC, support et amélioration continue

Le SOC surveille les événements, traite les demandes d’investigation et levées de doute, maintient les règles et cas d’usage, suit les vulnérabilités et surveille les surfaces d’attaque interne et externe ainsi que le Dark Web. Il assure également la Threat Intelligence et le Threat Hunting. Une campagne planifiée de Threat Hunting est réalisée au moins une fois par mois ; une menace critique directement applicable est prise en compte sous 4 h. Une capacité CERT/CSIRT, notamment pour investigations approfondies, forensic, analyse de compromission ou accompagnement au confinement, est mobilisable à la demande.

La supervision et la qualification initiale sont assurées 24 h/24 et 7 j/7. Une alerte est prise en compte et qualifiée sous 15 min ; les incidents sont pris en charge sous 15 min et qualifiés sous 30 min. Les objectifs de rétablissement sont, selon la priorité, de 4 h pour P1 (24/7), 8 h pour P2 (heures ouvrées) et 2 jours ouvrés pour P3 (heures ouvrées). Les escalades ne suspendent pas les SLA. Le titulaire applique le patch management, tient les versions à jour (sauf exception justifiée et validée : pas plus d’une version majeure ni de deux versions mineures de retard) et vise au moins 95 % de composants conformes aux versions attendues.

La phase initiale reprend l’infogérance existante sans rupture de service et construit le nouveau SOC : revue des accès, configurations et inventaires, intégration des sources, déploiement du SIEM, premiers cas d’usage, procédures et tests. Les livrables comprennent notamment PAQ/PAS, organisation et RACI, référentiels techniques et de supervision, catalogue de cas d’usage, processus opérationnels, KPI/SLA et base de connaissances. En exploitation, le titulaire produit la météo quotidienne, les reportings et tableaux de bord, les bilans d’incidents et les mises à jour documentaires. La réversibilité prévoit la restitution des données, configurations, historiques, règles, cas d’usage, documentation et connaissances, ainsi que le transfert vers l’acheteur ou un tiers.

Les prestations complémentaires peuvent comprendre des projets sur le périmètre infogéré, audits Wi-Fi/performance/configuration/sécurité, conseil en cybersécurité et assistance post-incident. Le titulaire contribue également aux tests PRA, incluant des scénarios de bascule réseau et pare-feu sur les datacenters et sites ; sa disponibilité doit couvrir jusqu’à 3 jours par an pour les tests réguliers du PRA système et infrastructure.