Tierce maintenance applicative des prestations colis GMN

La consultation porte sur une mission d’expertise en tierce maintenance applicative appliquée aux prestations colis GMN. Les pièces disponibles ne détaillent pas le périmètre fonctionnel, les applications concernées, les niveaux de service, les volumes, les livrables ni les opérations de maintenance attendues ; ces éléments sont annoncés dans le cahier des charges de la phase offre.

Exigences de sécurité des systèmes d’information

La réponse et l’exécution impliquent le traitement d’informations ou de supports sensibles portant la mention « diffusion restreinte » (DR). Le marché est classifié Secret (S), sans détention d’informations ou de supports classifiés dans les locaux du titulaire. Les administrateurs personnes physiques du titulaire doivent être habilités au niveau Secret (S).

Les systèmes d’information utilisés par le titulaire, ses cotraitants ou ses sous-traitants pour traiter ou élaborer les documents DR doivent être homologués, ou respecter les conditions transitoires prévues : système dédié à la bureautique de l’entreprise, sans connexion à Internet et conforme aux règles de configuration applicables.

• Système informatique propre à l’entreprise, non externalisé et non hébergé par un tiers ; absence de solution bureautique en nuage.
• Réseau isolé de classe 2 en l’absence de passerelle d’interconnexion homologuée ; transferts par diode agréée par l’ANSSI ou supports amovibles contenant des informations chiffrées.
• Antivirus efficace mis à jour au minimum chaque semaine ; accès limité aux personnes autorisées au moyen de comptes nominatifs et de mots de passe robustes.
• Sauvegardes localisables et identifiables ; les supports de sauvegarde DR sont remis ou détruits selon les règles applicables.

Communications et supports

Aucun message DR, corps ou pièce jointe, ne doit être transmis en clair sur Internet. Les documents DR échangés par voie électronique doivent être placés dans des conteneurs chiffrés ACID, Zed ou ZoneCentral selon les modalités prévues.

Les supports amovibles autorisés sont les clés USB, CD-ROM ou disques amovibles neufs ou reformatés avec un outil approuvé par l’ANSSI, identifiés et dédiés à l’affaire. Les fichiers DR déposés sur ces supports doivent être chiffrés ; les clés USB ne doivent pas servir au stockage ou à l’archivage des données.

Les règles minimales de mots de passe comprennent notamment une longueur de 12 caractères, 3 catégories de caractères, un historique de 6 mots de passe, 3 tentatives avant blocage, une durée de vie maximale d’un an, une durée minimale de 5 jours et une préannonce d’expiration de 15 jours. Les mots de passe ne doivent notamment pas contenir 5 caractères consécutifs issus de l’identité ou du dernier mot de passe, ni de mots de dictionnaire ou de combinaisons triviales.

Restitution et contrôle

À la fin de la consultation, les candidats non retenus doivent retourner ou détruire les informations et supports DR, supprimer de manière sécurisée les fichiers, dossiers de travail et sauvegardes DR, puis transmettre une attestation sur l’honneur de destruction ou d’effacement. Les supports amovibles sont détruits ou remis. Les conditions de restitution applicables au titulaire sont celles des documents du marché.

Des audits peuvent être réalisés sur les conditions de protection des informations DR. Le recours à la sous-traitance totale est interdit ; les sous-traitants identifiés doivent faire l’objet d’un formulaire DC4 signé. Les variantes ne sont pas autorisées.