Solution de cybersurveillance managée SOC, EDR et XDR

Le marché associe le renouvellement de la protection antivirus/EDR à la fourniture et à l’exploitation d’une solution XDR et d’outils SIEM/SOAR, avec un SOC managé assurant une surveillance du système d’information 24 h/24. Le périmètre ferme comprend 900 licences — 600 utilisateurs et 300 serveurs — et couvre 600 personnes. Les environnements visés sont Windows et Linux, postes et serveurs.

La solution doit assurer la protection en temps réel, la détection comportementale, les mises à jour automatiques des signatures et moteurs, la supervision centralisée, la traçabilité et la réponse automatisée aux incidents. Elle doit notamment protéger contre les virus, malwares, ransomwares, spywares et menaces avancées, et fournir un portail de gestion accessible aux équipes de sécurité.

SIEM, alertes et hunting

Le SIEM collecte, analyse, corrèle et traite les événements de sécurité, y compris les journaux de l’EDR et de sources externes. Les intégrations attendues couvrent notamment :

• les infrastructures Microsoft : contrôleurs de domaine Active Directory, DNS, DHCP, Azure AD/Microsoft Entra ID, Radius/NPS, authentifications, événements d’administration, comptes à privilèges, modifications de GPO et créations, suppressions ou modifications de comptes ;
• les firewalls et proxys Fortinet, le reverse proxy F5 et les passerelles de filtrage Mimecast, avec journaux de navigation et de blocage, flux entrants et sortants, et événements de détection ou de filtrage applicatif.

Le service inclut la surveillance et l’analyse des alertes, leur qualification et contextualisation, l’escalade des incidents significatifs, l’identification des faux positifs, l’enrichissement par des informations de menace, la recherche proactive de comportements suspects, des recommandations d’actions correctives et des rapports d’activité. Le traitement du hunting porte sur le périmètre recommandé par les équipes SOC. La prestation est cogérée avec les équipes de BME ; les horaires de prise en charge, délais de qualification par criticité, modalités d’escalade, contacts et canaux de communication sont précisés dans l’offre.

Déploiement, suivi et livrables

La mise en œuvre comprend une réunion de lancement, la validation des prérequis, la planification et la définition des interlocuteurs techniques et sécurité, puis l’installation et le paramétrage de l’antivirus/EDR, des flux de logs, du raccordement SIEM, des règles de détection et des alertes. Une session de transfert de compétences couvre l’architecture, la consultation des alertes, la recherche dans les journaux, les tableaux de bord, les pratiques d’exploitation et les processus d’escalade.

Le titulaire assure installation, configuration, utilisation, support et maintenance en partenariat avec les équipes de sécurité. Il met à disposition une personne dédiée au suivi du contrat et organise un comité de suivi tous les trois mois. Les livrables comprennent le dossier d’architecture technique (DAT), le dossier d’exploitation (DEX), un tableau de bord de suivi, des rapports mensuels d’activité et l’état de sécurité, un bilan annuel de sécurité et une procédure de réversibilité. Les rapports mensuels sont remis dans les 10 jours ouvrés suivant la fin du mois.

En fin de marché, la réversibilité inclut la restitution des données disponibles, l’export des logs dans un format exploitable, la suppression des accès, la suppression ou désactivation des collecteurs, l’accompagnement technique à la sortie, la transmission de la documentation à jour et la suppression des données résiduelles selon les règles applicables. Des options chiffrées séparément peuvent porter sur des licences ou sources de logs supplémentaires, une réponse à incident complémentaire et de la formation complémentaire ; elles peuvent être commandées séparément pendant la durée du marché.