Renouvellement du filtrage réseau

Le marché porte sur le remplacement complet des pare-feux des plateformes de production de Saverne et de préproduction/plan de reprise d’activité de Nantes. Il comprend la fourniture des matériels actifs, accessoires et licences, la conception détaillée, la migration, l’installation, la mise en exploitation, la recette, la bascule, la documentation, la formation, le transfert de compétences et le maintien en conditions de sécurité.

Le parc existant comprend 11 paires de pare-feux, soit 22 boîtiers, en haute disponibilité actif/passif, avec 49 zones VLAN, 458 flux documentés et 51 équipements rattachés au plan de filtrage. Les fonctions concernent notamment les zones internes, l’administration, l’exploitation, l’infrastructure, les frontaux Internet, RPVJ et partenaires, ainsi que le périmètre TMA AMALFI à Nantes.

Architecture cible et exigences de sécurité

La cible doit maintenir une défense en profondeur avec au moins deux solutions distinctes de filtrage, dont au moins une solution qualifiée ANSSI sur les frontaux Internet. Tous les couples de pare-feux doivent fonctionner en actif/passif avec bascule automatique transparente. Les plans de données, de contrôle et d’administration doivent être séparés, avec des réseaux d’administration dédiés et isolés.

Le déchiffrement TLS et l’inspection profonde de paquets ne sont pas attendus. Tout flux provenant d’Internet doit traverser au moins deux marques différentes de pare-feux. Le titulaire doit prendre position sur trois pistes de consolidation :

• mutualisation de certaines fonctions FIREXT03/FIREXT04 ou FIRINT02/FIREXT03 ;
• fusion des fonctions FIRINT01 et FIRINT07 ;
• intégration de FIRTMA00 en domaine virtuel TMA au sein du cluster FIREXT04 de Nantes, avec maintien de son isolation logique.

Toute alternative doit être justifiée au regard de la sécurité, de la capacité, de la disponibilité, du coût et de l’exploitabilité.

Fourniture, migration et intégration

Les équipements, alimentations, modules, transceivers, câblages spécifiques, licences, souscriptions et abonnements doivent être fournis. Les outils de migration des règles sont mobilisés par le titulaire. La transposition complète des règles actives est réalisée vers la nouvelle architecture ; aucun flux non validé par l’EPELFI ne doit être ouvert.

L’authentification multifacteur est obligatoire pour les accès administrateurs CLI, GUI et API, au moyen de comptes locaux et d’un dispositif de type AIR GAP. L’administration s’effectue exclusivement depuis Saverne ; aucun accès distant n’est ouvert au titulaire. Les équipements de Nantes sont administrés depuis Saverne via le plan inter-sites.

Les journaux doivent être conservés pendant au moins 12 mois, être immuables, horodatés sur une référence de temps unique et exportables vers un système de corrélation ou de centralisation dans des formats et protocoles standard. La métrologie doit également être exportable pour la charge processeur, la mémoire, la bande passante et l’état de santé.

Le dimensionnement doit intégrer la charge mesurée sur 12 mois, une croissance organique de 5 % par an et la capacité de montée en charge. Les calculs détaillés de sessions, débit et CPS sont fournis par équipement cible. Les flux Message Queuing et Reverse Proxy doivent être explicitement traités.

Phases, déploiement et recettes

Le titulaire commence par un plan d’assurance qualité, puis conduit les phases suivantes :

• analyse du contexte, inventaire des règles, cartographie des flux, identification des contraintes RPVJ, TMA AMALFI, journalisation et plages CGNAT ;
• conception de l’architecture cible, de la matrice des flux, du plan de migration, du plan de bascule et des procédures de retour arrière ;
• fourniture, livraison, préparation, configuration, installation, câblage, migration, recette et bascule en production ;
• documentation d’exploitation, d’installation, de sécurité et de câblage ;
• formation et transfert opérationnel ;
• préparation de la réversibilité.

À Saverne, le titulaire assure la fourniture, l’installation et la mise en baie. À Nantes, il fournit, livre, prépare et configure les équipements, tandis que l’installation physique et la mise en baie sont réalisées par les équipes de l’EPELFI, sous la responsabilité du titulaire et selon ses procédures écrites ; le titulaire n’intervient pas en présentiel à Nantes dans le périmètre prévu.

La recette est conjointe et prononcée site par site. Elle comprend une recette unitaire, une recette d’intégration, une phase de vérification de service régulier et un procès-verbal de VSR. Le titulaire doit maintenir des moyens de retour arrière pendant toute la bascule.

Documentation, formation et MCS

Les livrables comprennent notamment le PAQ, la note d’analyse, l’architecture cible, le DAT, la matrice des flux et le plan de migration, le plan de recette, les procès-verbaux de VSR, les dossiers d’installation et de câblage de Saverne et Nantes, le DEX, le DIN, le DSE, la matrice des flux documentée, le DAT finalisé, les supports de formation, l’attestation de transfert et le fonds documentaire de réversibilité. Les documents sont remis en français, en formats éditables et PDF.

La formation couvre au minimum l’administration, l’exploitation, la sécurité et la journalisation, sur l’architecture réellement déployée. Le transfert accompagné porte sur la gestion des règles, l’exploitation des journaux, les incidents et les correctifs, en binôme avec les équipes de l’EPELFI sur des cas réels.

Le MCS comprend la supervision des pare-feux et des journaux, le reporting, la veille CVE, l’analyse d’impact, l’application des correctifs et les montées de version nécessaires. Il n’inclut ni le MCO, assuré par l’EPELFI, ni la gestion courante des flux, ni les changements majeurs traités hors marché. La réversibilité couvre les configurations, journaux historiques, licences, documents et accompagnement pendant une période maximale de 3 mois.