Maintenance du système d'information

Le titulaire assure l’exploitation, la supervision, l’administration, la maintenance préventive, corrective et évolutive ainsi que la sécurisation des infrastructures informatiques, des services Microsoft 365 et des composants du système d’information. Les interventions sont réalisées à distance ou sur site, avec prise en charge des incidents et demandes de niveaux 2 et 3, suivi des tickets jusqu’à leur clôture et respect des engagements GTI/GTR.

Le périmètre comprend notamment les systèmes, réseaux, virtualisation, postes de travail, équipements de sécurité, sauvegardes, services Microsoft 365, comptes, habilitations, applications relevant du périmètre, équipements réseau, pare-feux, Wi-Fi, imprimantes et scanners. La téléphonie fixe et les deux sites internet hébergés chez un prestataire sont exclus du marché.

Licences, messagerie et noms de domaine

Les licences Microsoft 365 peuvent être fournies à la demande, notamment Business Standard, Business Basic, Exchange Online Plan 1, E3, EMS E5, Visio Plan 2 et Planner/Project Plan 3. Elles doivent être proposées au tarif public de l’éditeur ou au tarif catalogue d’un distributeur agréé, sans majoration, commission ni rémunération additionnelle, avec justificatifs du tarif appliqué.

La solution de protection de la messagerie doit être fournie, déployée, administrée et maintenue. Elle couvre notamment l’antispam, l’antimalware, le phishing, l’usurpation d’identité, les courriels frauduleux, les règles de transport, le filtrage et la quarantaine. Un test de phishing est réalisé semestriellement.

La gestion des noms de domaine comprend la création, le transfert, la modification, la suppression, le renouvellement, la relation avec les registrars, l’administration des zones DNS publiques et des enregistrements A, AAAA, CNAME, MX, TXT, SRV et PTR. Les enregistrements MX, Autodiscover, SPF, DKIM et DMARC doivent notamment être maintenus pour les services Microsoft 365. Le titulaire surveille les échéances, alerte l’EPF et remet un état actualisé des domaines administrés.

Support, interventions et présence sur site

Le support couvre les demandes de service, incidents, installations, configurations ou remplacements d’équipements, machines virtuelles, accès aux ressources partagées, brassage réseau et assistance Microsoft 365. Les incidents critiques, majeurs et mineurs doivent respecter les engagements suivants :

• Critique : GTI de 15 minutes ouvrées et GTR de 4 heures ouvrées.
• Majeur : GTI de 2 heures ouvrées et GTR de 12 heures ouvrées.
• Mineur : GTI de 7 heures ouvrées et GTR de 24 heures ouvrées.

Les interventions programmées sont réalisées, sauf urgence ou accord particulier, dans un délai maximal de 3 jours ouvrés. Elles incluent l’administration courante, les mises à jour, les correctifs de sécurité, la maintenance préventive, les contrôles de sauvegarde, les tests de restauration et les redémarrages planifiés. Les interventions urgentes doivent privilégier la prise en charge à distance lorsqu’elle permet de respecter les délais.

Au moins un administrateur systèmes et réseaux dédié est présent 2 journées par mois, les jours ouvrés, de 8h00 à 17h00, principalement à Montpellier et selon les besoins à Toulouse ou sur un autre site du périmètre. Toute intervention sur site doit être confirmée au moins 15 jours à l’avance, sauf urgence. La continuité est assurée en cas d’absence par un intervenant de compétences et d’expérience au moins équivalentes.

Sécurité, sauvegarde et résilience

Le titulaire administre les droits et habilitations, Active Directory, Microsoft Entra ID, comptes, groupes, OU, GPO, mots de passe, pare-feux, VPN, filtrage réseau, solutions antivirus/EDR, MDM, journaux et flux LAN, WAN et Wi-Fi. Il applique les correctifs de sécurité après validation, traite les alertes et vulnérabilités, respecte la PSSI de l’EPF et les recommandations de l’ANSSI.

La sauvegarde comprend le contrôle quotidien, le chiffrement, les restaurations, le traitement des incidents, un test annuel de restauration documenté et un accès de l’EPF à la solution. La politique exigée prévoit :

• sauvegarde incrémentale quotidienne sur disque avec 15 jours de rétention ;
• sauvegarde complète en fin de semaine avec 5 semaines de rétention sur disque ;
• sauvegarde mensuelle sur disque avec 12 mois de rétention ;
• sauvegarde annuelle sur disque avec 5 ans de rétention ;
• réplication des sauvegardes sur une plateforme externe.

Les objectifs de continuité sont un RTO de 4 heures et un RPO de 24 heures. Le titulaire maintient un PRA, les procédures de reprise, les indicateurs associés et la documentation nécessaire.

Conseil, gouvernance et livrables

Le titulaire réalise des analyses de besoins, études d’opportunité et de faisabilité, scénarios d’évolution, recommandations d’architecture, accompagnement des projets et veille technologique, réglementaire et cybersécurité. Il assure la gouvernance, les comités de pilotage trimestriels, les comités techniques mensuels, les tableaux de bord et le suivi des SLA.

Il transmet un rapport quotidien chaque jour ouvré avant 9h00, un rapport mensuel d’activité et un rapport semestriel comprenant notamment les statistiques des tests de phishing. Il participe aux audits et fournit les éléments de preuve demandés.

La transition débute à la notification et ne peut excéder 1 mois sauf accord exprès. La réversibilité comprend un plan révisé au moins annuellement, la documentation technique et fonctionnelle, les procédures, configurations, scripts, inventaires, éléments d’administration, sauvegardes de configuration et procédures de restauration, dans des formats ouverts et exploitables.