RSSI externalisé à temps partagé et cybersécurité

La prestation associe un RSSI externalisé à temps partagé et un chef de projet. Le titulaire pilote la gouvernance SSI, conseille les équipes et la direction, définit les exigences de sécurité et coordonne les interventions. Les déploiements, configurations, opérations de surveillance, tests d’intrusion et remédiations relèvent des équipes internes et/ou de prestataires spécialisés, sous le pilotage du titulaire.

Le périmètre couvre le système d’information, notamment réseaux LAN, WAN, DMZ et accès distants, serveurs physiques et virtualisés sur site ou dans le cloud, postes et équipements nomades, applications métiers, portails Web, messagerie et outils collaboratifs.

Gouvernance, risques et conformité

Le titulaire anime les instances de pilotage, élabore et actualise la PSSI, les procédures et les indicateurs, et maintient le SMSI. Les analyses de risques suivent la méthode EBIOS Risk Manager (ANSSI); elles s’appuient sur une cartographie des actifs et données sensibles et conduisent à des plans de traitement priorisés et suivis. Le titulaire évalue aussi la maturité SSI des fournisseurs et prestataires tiers.

L’accompagnement porte sur NIS2, HDS, ISO 27001 et les référentiels ANSSI, ainsi que sur l’homologation des téléservices (RGS), la préparation aux audits de certification et, si applicable, la qualification SecNumCloud. Il inclut la veille réglementaire, normative et technologique.

Pilotage de la sécurité opérationnelle et des incidents

Le titulaire définit les exigences et supervise leur mise en œuvre par les équipes opérationnelles, sans prendre en charge les déploiements techniques. Les domaines suivis comprennent :

• identités et accès (IAM), authentification multifacteur (MFA), comptes à privilèges (PAM) et revues périodiques des droits ;
• exigences EDR, gestion des correctifs, durcissement selon les guides ANSSI et chiffrement des données sensibles au repos et en transit ;
• configurations des pare-feu, proxy et VPN, segmentation et zones de confiance, protection DDoS et filtrage des flux entrants et sortants.

La surveillance SOC est assurée par les équipes internes et/ou un prestataire SOC dédié; le titulaire la pilote et exploite ses résultats. Les délais prévus sont :

| Événement | Prise en compte | Début d’intervention | Mode |
|---|---:|---:|---|
| Incident critique | 1 heure | 4 heures | Sur site ou à distance |
| Incident majeur | 4 heures | 8 heures | À distance |
| Incident mineur | 1 jour ouvré | 2 jours ouvrés | À distance |
| Demande standard | 2 jours ouvrés | 5 jours ouvrés | À distance |

Le titulaire coordonne la réponse aux incidents jusqu’à leur résolution, conseille la cellule de crise, maintient les procédures, organise des exercices et pilote les retours d’expérience. Il signale immédiatement toute vulnérabilité critique ou tout incident majeur. Le rapport d’incident est attendu sous 48 heures. La disponibilité prévue est du lundi au vendredi, de 8 h à 19 h; une astreinte renforcée optionnelle 24 h/24 et 7 j/7 est à préciser dans l’offre. En cas d’incident majeur, l’intervention sur site est requise dans un délai maximal de 48 heures après sollicitation.

Audits, formation et accompagnement mutualisé

Le titulaire conduit les audits organisationnels, les évaluations de maturité selon les référentiels ANSSI et les audits internes du SMSI; il définit le périmètre des audits, exploite les constats et suit les plans de remédiation. Il pilote les revues de configuration avec les équipes IT et encadre les audits techniques et tests d’intrusion réalisés par des prestataires spécialisés. Le CCTP prévoit ces prestataires, tandis que le CCAP interdit la sous-traitance et la cotraitance et impose l’exécution avec les moyens propres du titulaire; la répartition n’est pas explicitée.

La mission comprend la conception de campagnes de sensibilisation, des tests de phishing et exercices de simulation, des formations adaptées aux équipes IT, référents sécurité et collectivités, ainsi que le transfert de compétences. Elle prévoit aussi une offre mutualisée de prestations RSSI pour les collectivités adhérentes, leur accompagnement en matière de sécurité et de conformité et la coordination en cas d’incident.

Le titulaire assure une présence physique d’au moins 5 jours par mois, comprenant au minimum la réunion mensuelle de pilotage. Le mémoire technique nomme le RSSI et son suppléant; celui-ci doit rester disponible et connaître suffisamment le projet, les outils et l’infrastructure pour assurer la continuité. Le titulaire devra justifier d’au moins 5 ans d’expérience en cybersécurité. Le RSSI titulaire détient une certification CISSP, CISM ou équivalente justifiée; le titulaire et son suppléant disposent ensemble d’au moins deux certifications parmi ISO 27001 Lead Implementer ou Lead Auditor, EBIOS Risk Manager, CEH, certifications Microsoft ou Cisco, ou équivalentes selon l’environnement.

Livrables, outils et réversibilité

Les livrables comprennent notamment le diagnostic initial SSI (délai maximal de 30 jours), la cartographie des actifs (45 jours), l’analyse de risques et le plan d’actions cybersécurité (60 jours), la PSSI et les procédures associées (90 jours), un tableau de bord mensuel, un rapport trimestriel RSSI, les comptes rendus d’audits et de tests, les procédures de gestion des incidents et les supports de formation. Les délais indiqués sont ceux prévus pour les livrables initiaux; le tableau de bord est mensuel, le rapport RSSI trimestriel et le rapport d’incident est attendu sous 48 heures. Les livrables sont en français, en formats électroniques modifiables et PDF.

Les outils propres du titulaire sont soumis à l’accord préalable de l’acheteur et doivent éviter toute collecte non autorisée, respecter les exigences d’hébergement RGPD, sécuriser les échanges et permettre l’export des données et rapports. Les méthodes citées comprennent EBIOS RM, ISO/IEC 27001 et 27005, le référentiel DICT (II901), les guides ANSSI, CIS Controls et OWASP selon les besoins. En fin de marché, le titulaire remet les livrables à jour et leurs fichiers sources modifiables, documente les actions, fournit la liste des accès créés et confirme leur suppression, et transfère les connaissances au futur prestataire ou aux équipes internes dans un délai maximal de 30 jours.