Fourniture et maintenance de serveurs DMZ et SIA

Le marché prévoit deux grappes de deux serveurs, avec des configurations adaptées aux besoins de capacité des environnements SIA et DMZ. Les serveurs doivent être compatibles avec VMware vSAN/vSphere V9.x, Proxmox et VEEAM. Les équipements et composants doivent rester supportés au minimum cinq ans après leur admission ; une garantie de cinq ans est demandée.

• SIA — 2 serveurs : chacun avec un processeur de dernière génération, 16 cœurs à 2,3 GHz, 256 Go de RAM DDR5 évolutive et environ 4 To utilisables en RAID par serveur pour les données, avec stockage évolutif. Disque système en RAID 1, SSD ou M.2, pour 240 Go utiles.
• DMZ — 2 serveurs : chacun avec un processeur de dernière génération, 8 cœurs à 2,3 GHz, 128 Go de RAM DDR5 évolutive et environ 2 To utilisables en RAID par serveur pour les données, avec stockage évolutif. Disque système en RAID 1, SSD ou M.2, pour 240 Go utiles.
• Chaque configuration prévoit 4 ports RJ45 1 Gb/s, 2 ports SFP 10 Gb/s, 2 câbles DAC SFP+ de 5 m, un port d’administration dédié et 2 alimentations redondées.

Installation, exploitation et maintenance

La prestation comprend le déploiement, le paramétrage et le durcissement des équipements selon les référentiels CIS Benchmark et les recommandations de l’ANSSI, puis la vérification de leur fonctionnement. Les interventions doivent limiter l’indisponibilité du service et se dérouler hors exploitation ; les accès aux zones réservées sont soumis aux titres de circulation requis. Le support comprend une assistance téléphonique ou en ligne et l’intervention d’un technicien sur site lorsque le problème ne peut être résolu à distance.

Les correctifs de sécurité doivent être déployés au plus tard dans les 7 jours ouvrés pour les vulnérabilités critiques et dans les 30 jours pour les autres. Le fournisseur doit également définir la fréquence des mises à jour logicielles et de sécurité pendant le support, proposer un plan de mise à jour périodique des firmwares (au minimum annuel), assurer une veille sur les vulnérabilités et communiquer les bulletins applicables et les délais de correction selon leur criticité. Lorsqu’aucun correctif n’est disponible, des mesures compensatoires sont attendues. Les journaux pertinents doivent être conservés au minimum 6 mois.

Exigences de sécurité et livrables

Les serveurs doivent notamment intégrer un TPM 2.0 exploitable, prendre en charge le démarrage sécurisé UEFI et disposer d’une racine de confiance matérielle vérifiant l’intégrité du BIOS/UEFI et des firmwares. Les firmwares doivent être signés par le constructeur ; leur procédure de mise à jour et de retour arrière doit être documentée. Une administration matérielle distante, indépendante du système d’exploitation et raccordée à un port réseau dédié, est requise.

Les interfaces d’administration doivent permettre des accès nominatifs, l’authentification LDAP/Active Directory et multifacteur, la gestion des droits par rôles et la restriction des adresses IP sources. Les protocoles non sécurisés doivent pouvoir être désactivés ; les protocoles sécurisés sont requis, avec TLS 1.2 au minimum. Les composants doivent être compatibles avec les hyperviseurs demandés et certifiés au VMware Compatibility Guide pour les versions cibles, selon une configuration vSAN ReadyNode ou équivalente certifiée. Le stockage doit permettre le chiffrement des données au repos et une gestion des clés compatible KMIP. La connectivité réseau doit être redondante ; les configurations matérielles doivent pouvoir être exportées et restaurées.

La supervision doit être possible au moyen de protocoles sécurisés, avec alertes. Les événements de sécurité doivent être journalisés et transmissibles au serveur interne de journalisation via un protocole standard ; les horloges doivent être synchronisées sur les sources de temps officielles. Le titulaire fournit les dossiers d’architecture technique et d’exploitation, le procès-verbal de recette, les exigences de cybersécurité réévaluées à la date d’admission, la documentation constructeur en français ou en anglais, les clés de licences et le support de formation des administrateurs. Une mise en service avec essais en présence de la CCI-NC et la formation de 3 personnes sont prévues.