La présente consultation porte sur la fourniture d’une plateforme, en mode SaaS, d’intermédiation permettant la mise en relation de La Poste avec une communauté d’experts indépendants en cybersécurité pour des prestations de prime aux bogues (Bug Bounty) et programme de divulgation des vulnérabilités (Vulnerability Disclosure Program). Cette prestation est à destination interne du Service de Lutte contre la Cybercriminalité (SLCC) de La Poste. Le SLCC est le CERT (Computer Emergency Response Team) de La Poste et exerce les activités suivantes : -Analyse et traitement de la menace -Détection des Incidents de Sécurité -Avis et tests de Sécurité Le SLCC gère les opérations de Bug Bounty en vue de sécuriser les applications exposées sur Internet de La Poste et de ses filiales. La plateforme d’intermédiation entre La Poste et les experts indépendants en cybersécurité devra permettre de réaliser des campagnes de Bug Bounty et la mise en place de Vulnerability Disclosure Program (VDP) qui visent à identifier les vulnérabilités des applications, services et systèmes d'information de La Poste, dans un cadre sécurisé et maîtrisé. Les campagnes de Bug Bounty visent à identifier des vulnérabilités. La « Vulnerability Disclosure Program (VDP) » vise à permettre le recueil des signalements spontanés de vulnérabilités, y compris en dehors de toute campagne spécifique. Les experts indépendants en cybersécurité seront rémunérés par La Poste via la plateforme SaaS selon la criticité des vulnérabilités identifiées. Les prestations comprennent également l'animation de la communauté d’experts indépendants en cybersécurité, l'accompagnement de La Poste dans la définition de ses besoins et le pilotage des campagnes. La consultation est composée d’un seul lot. Le périmètre géographique du marché global est l’ensemble du territoire français.

Fourniture d’une plateforme d’intermédiation d’experts indépendants pour des prestations de prime aux bogues (Bug Bounty) et programme de divulgation des vulnérabilités (Vulnerability Disclosure Program)

Le Service de Lutte contre la Cybercriminalité (SLCC) de La Poste souhaite recourir à une plateforme en mode SaaS d’intermédiation permettant la gestion des campagnes de Bug Bounty et Vulnerability Disclosure Program (VDP) par des chercheurs en cybersécurité. La plateforme sous un format mode SaaS standard « clé en main ». Cette plateforme d’intermédiation devra proposer les fonctionnalités suivantes : -Création et gestion de campagnes indépendantes selon les applications de La Poste à analyser. Une campagne se caractérise par une description technique du périmètre à tester (URL concernées, exclusions). La plateforme d’intermédiation devra permettre de faire appel à des experts indépendants en cybersécurité pour faire des tests sur ce périmètre : il s’agit de campagnes privées. -Définition et lancement, suivi, modification ou arrêt complet de campagnes en cours. -Gestion de la relation avec les experts indépendants en cybersécurité inscrits auprès du prestataire : -Invitations des experts indépendants aux campagnes menées auprès de La Poste ; -Traitement des rapports de vulnérabilité et des échanges relatifs aux rapports établis par les experts indépendants; -Paiements éventuels des experts indépendants intervenus selon la criticité des vulnérabilités identifiées. -Fourniture de statistiques sur le fonctionnement de la plateforme (taux de disponibilité), l’activité du compte client et sur chaque campagne de manière autonome. Les statistiques devront être accessibles depuis la plateforme elle-même ou via une API spécifique fournie par le prestataire. -Création d’un tableau de bord sur l’activité globale au profit de La Poste depuis la plateforme. -Export des rapports de vulnérabilité depuis la plateforme ou via une API spécifique fournie par le prestataire. -Création de liste d’experts pour chaque campagne. Le cas échéant possibilité depuis la plateforme d’attribuer des identifiants d’accès aux applications de La Poste concernées -Accès différencié à la plateforme par des administrateurs de programmes La Poste publiant de manière autonome leurs campagnes. -Mise en place d’un canal de communication permettant le recueil de vulnérabilités, hors campagne de Bug Bounty, par les experts indépendants en cybersécurité sur les applications de La Poste. Les prestations comprendront également un support technique sur la plateforme et ses fonctionnalités ainsi qu’un support fonctionnel afin d'accompagner La Poste dans la mise en œuvre et le pilotage des campagnes de Bug Bounty au travers des prestations suivantes : -Conseils pour la rédaction des campagnes -Recommandation d’experts indépendants selon la pertinence de leurs travaux auprès des autres clients Le montant maximum du lot est fixé à 600 000 Euros HT, sur la durée totale du contrat, périodes de reconduction comprises. Le nombre d’attributaire est fixé à 1. La durée de l’offre est d’un an.