Le marché porte sur la réalisation de prestations d'assistance technique dans le domaine de la sécurité des systèmes d'information couvrant les domaines suivants : conseils en sécurité, analyses de risques ou audits, expertise en mise en oeuvre en cryptographie.

Conseil et expertise en sécurité des SI

Il s’agit de réaliser des prestations et études sécurité pouvant concerner : o La définition et la mise en place de politiques de sécurité, o Des tableaux de bord de sécurité, o L’élaboration ou l’analyse d’architectures de sécurité, o Les infrastructures PKI et notamment l’écriture de politiques de certification, o La réalisation de formations et de supports de formation sécurité, o La mise en œuvre de composants sécurité de type Bastion, Reverse-proxy, serveur d’authentification (type RSA Access Manager), serveur SSO o La réalisation d’une expertise ou étude sur un composant, un protocole, ou une réglementation sécurité, o La réalisation de prestations relatives au Plan de Continuité d’activité du GIE SESAM-Vitale o Analyse des dossiers sécurité et Informatique et libertés d’éditeurs candidats à un processus de référencement o Fournir un dossier de réversibilité permettant à un nouveau Titulaire de continuer les travaux sur un sujet complexe. Le lot 1 est attribué à un opérateur. Un opérateur titulaire du lot 1 peut également être attributaire des lots 2 et 4, mais ne peut pas se voir attribuer le lot 3. Le marché est passé sous la forme d’une procédure avec négociation au sens des articles L2124-1, L2124-3, R2124-3, R2142-17 et R2161-12 à R2161-20 du Code de la commande publique.

Analyses de risques et vie privée

Il s'agit de réaliser des prestations pouvant concerner : o Analyses de risques selon la méthodologie (EBIOS ou préconisée par le GIE SESAM-Vitale) adaptée au contexte du GIE SESAM-Vitale, l'accompagnement des équipes projet ou avant-projet pour identifier, suivre et traiter les risques résiduels. Ces analyses de risques pourront être réalisées sur des applications en phase d'avant-projet ou en phase de réalisation et également sur des applications en production. o Réaliser ou mettre à jour des Analyses d'impact sur la protection des données (AIPD). o Réaliser ou mettre à jour les politiques de gestion de données à caractère personnel. o Fournir un dossier de réversibilité permettant à un nouveau Titulaire de continuer les travaux sur un sujet complexe. Le lot 2 est attribué à un opérateur. Un opérateur titulaire du lot 1 2 peut également être attributaire des lots 2 1 et 4, mais ne peut pas se voir attribuer le lot 3. Le marché est passé sous la forme d'une procédure avec négociation au sens des articles L2124-1, L2124-3, R2124-3, R2142-17 et R2161-12 à R2161-20 du Code de la commande publique.

Audits sécuritaires et tests d'intrusion

Il s'agit de réaliser des prestations sécuritaires visant à la préparation et la réalisation d'audits de Sécurité. Les prestations attendues sur les audits pourront porter sur : o Des audits de sécurité physique de site (audit environnemental), o Des audits de conformité à un référentiel, o Des audits organisationnels o Des audits de configuration système ou applicatif, o Des audits des pratiques d'exploitation, o Des audits de codes source, o Des audits d'offres de sécurité d'industriels (participation à l'évaluation dans le cadre des marchés publics) o L'élaboration des référentiels correspondants à ces types d'audits o Des tests d'intrusion réseaux et applicatifs sur des applications Internet, des serveurs connectés à Internet ou à des réseaux TCP-IP privés, des infrastructures de flux TCP-IP (routeur, proxy, reverse proxy, firewall, portail) o Des tests de vérification des correctifs. o Le suivi des plans d'actions associés aux différents audits o Des analyses d'appels d'offres o Des audits de code source embarqué o Des audits sur des dispositifs embarqués o Fournir un dossier de réversibilité permettant à un nouveau Titulaire de continuer les travaux sur un sujet complexe. Le lot 3 est attribué à deux opérateurs. Un opérateur titulaire du lot 3 ne peut pas se voir attribuer les lots 1 et/ou 2 et/ou 4. Le marché est passé sous la forme d'une procédure avec négociation au sens des articles L2124-1, L2124-3, R2124-3, R2142-17 et R2161-12 à R2161-20 du Code de la commande publique.

Expertise et mise en œuvre en cryptographie

Il s’agit de réaliser des prestations pouvant concerner : o La réalisation d’une expertise ou étude sur un algorithme cryptographique (ou son implémentation) o Les infrastructures PKI et notamment l’écriture de politiques de certification, o La définition d’une architecture cryptographique et/ou de l’outillage associé o La spécification et/ou le développement de l’outillage (pour la gestion des clés, le pilotage des HSM et les opérations de recette/validation) nécessaire à l’équipe de la gestion des clés. o La recette des outils et mécanismes cryptographiques. o Réalisation d’inventaire cryptographique o Mise en conformité Cryptographie Post Quantique o Définition de politique cryptographique o Fournir un dossier de réversibilité permettant à un nouveau Titulaire de continuer les travaux sur un sujet complexe. Le lot 4 est attribué à un opérateur. Cet opérateur peut également se voir attribuer le lot 1 et le lot 2 et non le lot 3. Le marché est passé sous la forme d’une procédure avec négociation au sens des articles L2124-1, L2124-3, R2124-3, R2142-17 et R2161-12 à R2161-20 du Code de la commande publique.