Maintenance et renouvellement de l’infrastructure réseau et serveurs

Le titulaire assure l’exploitation et le maintien en conditions opérationnelles de l’infrastructure réseau et serveurs comprise au marché, sans limitation de volume sur ce périmètre. Sont notamment inclus les commutateurs, le pare-feu, le Wi-Fi, les serveurs physiques et virtuels, le stockage et les sauvegardes. Les licences et garanties du périmètre sont à gérer et à suivre, avec alertes d’échéance et propositions de renouvellement. Le titulaire prend également en charge les licences Wi-Fi et le certificat SSL, ainsi que la gestion des comptes administrateurs locaux des postes de travail.

Les opérations courantes couvrent l’application des correctifs de sécurité sur les équipements réseau et hyperviseurs, le suivi des sauvegardes et de leur rétention, la tenue à jour de la documentation technique (architecture, adressage IP, configurations) et le suivi du cycle de vie des licences. La solution de gestion des comptes administrateurs locaux de type LAPS est à mettre en place. Le candidat doit aussi proposer une authentification à double facteur pour toutes les connexions VPN, en complément du couple identifiant/mot de passe.

Le traitement des incidents s’appuie sur un outil de ticketing accessible par courriel et interface web, avec prise en charge N1, diagnostic et résolution standard N2, puis résolution experte et escalade éditeur ou constructeur N3. Il comprend l’analyse des causes et le suivi des problèmes récurrents. Les demandes courantes incluent notamment les règles de pare-feu, les VLAN, les accès Wi-Fi et la maintenance planifiée. Un comité de pilotage est organisé au minimum une fois par an. Le reporting porte notamment sur les tickets et interventions, les délais, la disponibilité des composants critiques et le suivi des sauvegardes et tests de restauration.

Le titulaire réalise au minimum une visite préventive de site par an : contrôle visuel et physique des équipements, baies, câblage, ventilation et alimentation, avec compte rendu. Le candidat propose les horaires de couverture, l’organisation des interventions à distance et/ou sur site, ainsi que les engagements GTI/GTR. Les références données — environ 4 heures de GTI et 8 heures de GTR en jours ouvrés, sur une plage de 8 h à 18 h — sont indicatives et ne constituent pas une exigence minimale opposable. Une offre d’heures de téléconsulting hors forfait et leurs modalités de valorisation sont attendues. Des ressources peuvent aussi être commandées à la demande : technicien infrastructure, architecte systèmes et réseaux, expert cybersécurité.

Renouvellement des serveurs et du stockage

À la charge du titulaire, le renouvellement comprend le remplacement de la baie de stockage, du serveur de sauvegarde classique et des deux hôtes de virtualisation. Le dimensionnement proposé doit assurer la continuité et les performances des services hébergés, avec une marge d’évolution raisonnable. Les valeurs ci-dessous sont indicatives et ne constituent pas des spécifications imposées :

• Baie de stockage de capacité utile et niveau de service au moins équivalents à l’existant ; référence indicative d’environ 17 To utiles, support constructeur de 5 ans avec intervention sur site sous 4 heures.
• Serveur de sauvegarde classique : 1 processeur, 64 Go de RAM, 2 disques NVMe pour le système et environ 58 To SAS pour les sauvegardes ; support indicatif de 5 ans avec intervention sur site le jour ouvré suivant.
• Deux serveurs de virtualisation : 2 processeurs, 384 Go de RAM par serveur et 4 ports réseau 10 Gb ; support indicatif de 5 ans avec intervention sur site le jour même.
• Le tableau de dimensionnement mentionne également, à titre indicatif, un serveur de dépôt de sauvegarde immuable doté d’1 processeur, de 32 Go de RAM et de 2 disques de 20 To, avec support de 5 ans et intervention sur site le jour ouvré suivant.

Les licences nécessaires à la nouvelle infrastructure (système d’exploitation, virtualisation et sauvegarde) sont fournies par le titulaire. Une étude doit comparer le maintien de VMware à une migration vers Hyper-V ou une solution équivalente, et articuler son calendrier avec le renouvellement afin d’éviter, si possible, un double investissement.

Résilience, cybersécurité et messagerie

Le titulaire réalise l’état des lieux de la résilience, formalise un PRA/PCA adapté, avec objectifs RTO et RPO par type de service, et effectue au minimum un test annuel de reprise comprenant la restauration complète d’une ou plusieurs machines virtuelles critiques, assortie d’un compte rendu. Plusieurs scénarios sont à présenter, notamment une solution hébergée ou une restauration sur site avec prêt d’un serveur. Le candidat précise si le test est inclus au forfait MCO ou proposé comme prestation activable. L’audit de cybersécurité, activable selon les besoins de la Ville, couvre notamment cartographie du SI, audit de configuration et d’architecture (réseau, pare-feu, Active Directory), vulnérabilités et plan de remédiation ; tests d’intrusion et sensibilisation peuvent également être proposés. Le remplacement du pare-feu Stormshield en fin de vie relève, à ce stade, d’une recommandation et non d’une prestation ferme.

La migration concerne la messagerie Exchange 2019 hébergée localement, soit environ 300 boîtes limitées actuellement à 1 Go chacune, vers une solution en ligne. La proposition présente la solution et, le cas échéant, une comparaison, la migration des courriels, contacts et calendriers, les alias et listes de diffusion, la coexistence éventuelle, le dimensionnement des boîtes, ainsi que les impacts sur Active Directory, PKI, Citrix NetScaler et Sophos. Le calendrier comprend préparation, pilote, bascule générale et accompagnement au changement. Pour les services hébergés, les centres de données doivent être situés dans l’Union européenne au minimum ; l’hébergement en France est privilégié. Le chiffrement au repos et en transit, les certifications et la réversibilité des données doivent être précisés.

Les exigences transversales incluent la gestion des privilèges et la traçabilité des accès, le cloisonnement et la journalisation des accès distants, la sécurisation de la PKI, le suivi des journaux et une procédure spécifique de détection, remontée, confinement et remédiation des incidents de sécurité. Toute violation de données personnelles doit être notifiée à la Ville dans un délai maximal de 48 heures après sa connaissance. En fin de marché, les données doivent être restituées ou supprimées selon le choix de la Ville, et les données conservées sur les systèmes du titulaire faire l’objet d’un effacement sécurisé.

La transition d’entrée comprend une prise de connaissance de l’infrastructure ; le cadre de réponse prévoit à titre indicatif un mois en trois phases — observation, coresponsabilité, autonomie. La réversibilité de fin de marché prévoit notamment la remise de la documentation, la restitution des éléments d’authentification et la révocation des accès.

Sont hors périmètre les postes de travail, sauf la gestion de leurs comptes administrateurs locaux, les imprimantes et copieurs, le support utilisateur N1, les applications métiers, les onduleurs, la vidéoprotection, les alarmes, la téléphonie IP et la solution Sophos de sécurisation de la messagerie, antivirus et anti-spam.