Réalisation de prestations d'expertise et de conseil en sécurité du système d'information ainsi que réalisation de prestations d'audits en sécurité du système d'information

[La Poste] DHA-C — hébergement / exploitation / prestations informatiques

La direction de la sécurité si de la branche services courrier colis (BSCC) de La Poste souhaite confier à un prestataire les prestations définies ci-après découpées en deux volets.
Volet 1 — missions d'expertise et de conseil en sécurité du système d'information
Les prestations relevant de ce volet comprennent notamment les missions suivantes:
— assistance à maîtrise d'ouvrage en sécurité SI,
— assistance à la spécification de configurations ou à la spécification des dispositifs techniques de sécurité (pattern d'architecture par exemple),
— assistance des équipes projet MOE à la rédaction et à la formalisation des exigences de sécurité,
— assistance à la définition de processus liés à la Sécurité SI (processus de gestion des incidents SSI, processus de mise à jour de correctifs, expertise en reporting de cartographie des risques, …),
— assistance à la rédaction de chartes ou de guides à destination de population identifiée comme des administrateurs locaux, maîtres d'œuvre SI ou les utilisateurs,
— assistance dans la déclinaison ou dans la mise à jour de directives fonctionnelles de sécurité,
— assistance à la demande du comité de veille sécurité (avis sur le risque d'une vulnérabilité, le risque de pénétration ou de dénis de service d'un exploit public sur le SI de la BSCC),
— valider/commenter les rapports de mission d'expertise ou d'audit de sécurité internes ou externes,
— réalisation de contrôle permettant de vérifier la conformité aux spécifications techniques de sécurité (règles, normes et préconisations) des solutions mises en œuvre,
— assistance à la définition, qualification et formalisation des règles d'intégration/configuration et des principes d'administration / exploitation des outils techniques de sécurité,
— participer à la promotion de l'offre de service sécurité du SI courrier: présentations, démonstration et formalisation sur différents sujets liés à la sécurité,
— formation sur des principes de sécurité liés au développement d'applications.
Volet 2 — prestations d'audits en sécurité du système d'information.
Les prestations relevant de ce volet comprennent notamment les prestations suivantes:
— tests d'intrusion sur des applications (boîte noire et/ou boîte blanche),
— tests d'intrusion sur des infrastructures sécurisées,
— audits d'architecture technique,
— audits de configuration des systèmes d'exploitation et des services techniques,
— audits de code d'une application.
Les prestations de ces deux volets seront réalisées en France et principalement sur les sites de la direction de la sécurité SI situés en Île-de-France et sur les sites situés à Montpellier ou Châlons-en-Champagne.
Le contrat sera passé pour une durée de 60 mois, par période ferme ou par prorogation. Le contrat sera passé avec un opérateur.

Date limite

Le délai de réception des offres était de 2015-06-30. L'appel d'offres a été publié le 2015-06-09.

Fournisseurs

Les fournisseurs suivants sont mentionnés dans les décisions d'attribution ou dans d'autres documents relatifs aux marchés publics :

• Solucom

Qui ?

• [La Poste] DHA-C — hébergement / exploitation / prestations informatiques

Qu'est-ce que c'est ?

• Services de maintenance et de réparation de logiciels › Maintenance de logiciels de technologies de l'information

Où ?

• France

Historique des marchés publics

Date	Document
2015-06-09	Avis de marché
2015-06-15	Informations complémentaires
2016-03-21	Avis d'attribution de marché

Avis de marché (2015-06-09)
Objet
Champ d'application du marché
Titre: Maintenance de logiciels de technologies de l'information
Quantité ou étendue:

Concernant le volet 1, le candidat sera principalement amené à intervenir dans les domaines suivants:— expertise en sécurité des architectures SI exposées ou non sur internet.— expertise en infrastructure réseau physique ou virtuelle,— expertise en sécurité des terminaux mobiles,— expertise en sécurité vis-à-vis de l'intranet,— expertise en environnements Unix, Linux et Windows,— expertise en politique de sécurité, procédures et règles de sécurité,— expertise en conseils et en assistance à MOA sécurité.Concernant le volet 2, le candidat sera principalement amené à intervenir dans les domaines suivants:— expertise en sécurité vis-à-vis d'internet (OWASP, …), de l'intranet, des WS, …,— expertise en sécurité des réseaux informatiques, en environnements Unix, Windows, Linux, …,— expertise en sécurité des réseaux informatiques, en informatique distribuée, en sécurité vis-à-vis d'internet (OWASP), de l'intranet, des WS, …,— expertise en environnements Unix, Windows, Linux ... et des services techniques,— expertise des différents langages de programmation.3 750 000

Valeur totale du marché: 3 750 000 💰
Métadonnées de l'avis
Langue originale: français 🗣️
Type de document: Avis de marché
Nature du marché: Services
Réglementation: Union européenne, avec participation des pays de l'AMP
Vocabulaire commun pour les marchés publics (CPV)
Code: Maintenance de logiciels de technologies de l'information 📦

Procédure
Type de procédure: Procédure négociée
Type de soumission: Soumission pour tous les lots
Critères d'attribution
Offre la plus économique

Pouvoir adjudicateur
Identité
Pays: France 🇫🇷
Type de pouvoir adjudicateur: Service d'utilité publique
Nom du pouvoir adjudicateur: [La Poste] DHA-C — hébergement / exploitation / prestations informatiques
Adresse postale: parc Euromedecine, 796 rue de la Croix de Lavit
Code postal: 34391
Commune postale: Montpellier Cedex 5
Contact
Adresse Internet: http://www.laposte.fr 🌏
Courrier électronique: josiane.vogt@laposte.fr 📧
Téléphone: +33 467047832 📞

Référence
Dates
Date d'envoi: 2015-06-09 📅
Date limite de soumission: 2015-06-30 📅
Date de publication: 2015-06-13 📅
Identifiants
Numéro d'avis: 2015/S 113-205745
Numéro JO-S: 113
Informations complémentaires

La demande de participation ainsi que les renseignements et documents demandés aux rubriques III.2.1 à III.2.3 devront être remis à La Poste (sur questionnaire d'information ou sous format libre) par courrier recommandé avec accusé de réception ou déposé contre récépissé à l'adresse du point de contact — rubrique Adresse à laquelle les offres ou demandes de participation doivent être envoyées — avant la date et heure limites de réception mentionnées à la rubrique IV.3.4. Le candidat souhaitant répondre via le questionnaire d'information pourra l'obtenir auprès de l'acheteur en utilisant le formulaire de déclaration d'intérêt mis à disposition sur le site Internet de La Poste (espace fournisseurs: http://www.laposte.fr/fournisseurs). Conformément aux dispositions de l'article 18-IV du décret n° 2005-1308 du 20.10.2005, le candidat n'est pas tenu de fournir les documents et renseignements demandés dans le cadre du présent avis qui peuvent être obtenus via un système électronique de mise à disposition d'information administré par un organisme officiel ou d'un espace de stockage numérique accessible gratuitement par La Poste et ses filiales. Dans ce cas, le candidat précisera dans le dossier de réponse toutes les informations nécessaires à la consultation de ce système ou de cet espace. Le classement des candidats s'effectuera sur le fondement des critères déterminés ci-dessus. Le nombre maximum de candidats retenus à l'issue de la sélection est fixé à 6 sous réserve de l'obtention d'une note supérieure ou égale à 12/20.

Objet
Champ d'application du marché
Catégorie de service: 7
Brève description:

La direction de la sécurité si de la branche services courrier colis (BSCC) de La Poste souhaite confier à un prestataire les prestations définies ci-après découpées en deux volets.

Volet 1 — missions d'expertise et de conseil en sécurité du système d'information

Les prestations relevant de ce volet comprennent notamment les missions suivantes:

— assistance à maîtrise d'ouvrage en sécurité SI,

— assistance à la spécification de configurations ou à la spécification des dispositifs techniques de sécurité (pattern d'architecture par exemple),

— assistance des équipes projet MOE à la rédaction et à la formalisation des exigences de sécurité,

— assistance à la définition de processus liés à la Sécurité SI (processus de gestion des incidents SSI, processus de mise à jour de correctifs, expertise en reporting de cartographie des risques, …),

— assistance à la rédaction de chartes ou de guides à destination de population identifiée comme des administrateurs locaux, maîtres d'œuvre SI ou les utilisateurs,

— assistance dans la déclinaison ou dans la mise à jour de directives fonctionnelles de sécurité,

— assistance à la demande du comité de veille sécurité (avis sur le risque d'une vulnérabilité, le risque de pénétration ou de dénis de service d'un exploit public sur le SI de la BSCC),

— valider/commenter les rapports de mission d'expertise ou d'audit de sécurité internes ou externes,

— réalisation de contrôle permettant de vérifier la conformité aux spécifications techniques de sécurité (règles, normes et préconisations) des solutions mises en œuvre,

— assistance à la définition, qualification et formalisation des règles d'intégration/configuration et des principes d'administration / exploitation des outils techniques de sécurité,

— participer à la promotion de l'offre de service sécurité du SI courrier: présentations, démonstration et formalisation sur différents sujets liés à la sécurité,

— formation sur des principes de sécurité liés au développement d'applications.

Volet 2 — prestations d'audits en sécurité du système d'information.

Les prestations relevant de ce volet comprennent notamment les prestations suivantes:

— tests d'intrusion sur des applications (boîte noire et/ou boîte blanche),

— tests d'intrusion sur des infrastructures sécurisées,

— audits d'architecture technique,

— audits de configuration des systèmes d'exploitation et des services techniques,

— audits de code d'une application.

Les prestations de ces deux volets seront réalisées en France et principalement sur les sites de la direction de la sécurité SI situés en Île-de-France et sur les sites situés à Montpellier ou Châlons-en-Champagne.

Le contrat sera passé pour une durée de 60 mois, par période ferme ou par prorogation. Le contrat sera passé avec un opérateur.

Quantité ou étendue:

Concernant le volet 1, le candidat sera principalement amené à intervenir dans les domaines suivants:

— expertise en sécurité des architectures SI exposées ou non sur internet.

— expertise en infrastructure réseau physique ou virtuelle,

— expertise en sécurité des terminaux mobiles,

— expertise en sécurité vis-à-vis de l'intranet,

— expertise en environnements Unix, Linux et Windows,

— expertise en politique de sécurité, procédures et règles de sécurité,

— expertise en conseils et en assistance à MOA sécurité.

Concernant le volet 2, le candidat sera principalement amené à intervenir dans les domaines suivants:

— expertise en sécurité vis-à-vis d'internet (OWASP, …), de l'intranet, des WS, …,

— expertise en sécurité des réseaux informatiques, en…

… environnements Unix, Windows, Linux, …,

… informatique distribuée, en sécurité vis-à-vis d'internet (OWASP), de l'intranet, des WS, …,

— expertise en environnements Unix, Windows, Linux ... et des services techniques,

— expertise des différents langages de programmation.

Description des options:

Les options sont les périodes de prorogations éventuelles du contrat. Les prestations pourront être commandées pendant ces prorogations éventuelles, qui sont décrites, à titre indicatif, à la rubrique II.2.3 — Reconductions.

Nombre de reconductions possibles: 2
Durée de l'accord: 60 mois
Numéro de référence: EUR_2015-000360
Lieu d'exécution
Site principal ou lieu d'exécution: FR.

Informations juridiques, économiques, financières et techniques
Conditions de participation
Habilitation à exercer l'activité professionnelle:

Le candidat remettra, en même temps que la demande de participation, les documents indiqués ci-dessous:

1. Un extrait K-bis ou équivalence.

2. S'il est en redressement judiciaire, la copie du ou des jugements prononcés.

3. Une déclaration dûment datée et signée sur papier à en-tête du fournisseur, pour justifier qu'il n'entre dans aucun des cas mentionnés à l'article 8 de l'ordonnance 2005-649 du 6.6.2005 (document disponible sur http://www.legifrance.gouv.fr).

La non remise des documents sus mentionnés entrainera l'élimination de l'entreprise candidate.

L'ensemble des renseignements demandés aux rubriques III.2.1 à III.2.3 sera fourni via le «Questionnaire d'informations» ou sous format libre. En cas de groupement, chaque membre du groupement devra fournir l'ensemble des renseignements.

Si le candidat se présente en groupement, il devra fournir une lettre de constitution du groupement, signée par chacun des membres du groupement précisant les dénominations, adresses, téléphones, télécopies et adresses électroniques de chacun des membres, l'identité du mandataire, et les pouvoirs qui lui sont donnés.

Situation économique et financière:

Pérennité financière (critère pondéré à 30 %).

La notation de la pérennité financière sera fondée sur l'analyse des bilans et comptes de résultat du candidat.

Le candidat devra fournir les liasses fiscales (aussi appelées liasses CERFA) ou documents équivalents, des trois derniers exercices clôturés.

Capacité technique et professionnelle:

— Critère 1: Certification ANSSI (critère éliminatoire):

Le candidat doit être titulaire de la qualification «Prestataire d'audit de la sécurité des systèmes d'information (PASSI)» délivrée par l'ANSSI.

À ce titre, le candidat fournira une copie de son attestation justifiant de sa qualification PASSI par l'ANSSI en cours de validité.

— Critère 2: Compétences (critère pondéré à 30 %):

Le candidat indiquera le nombre de ressources dont il dispose ayant des compétences sur les domaines d'intervention de chacun des volets tels que précisés à la rubrique II.2.1 du présent avis de marché.

— Critère 3: Références clients (critère pondéré à 35 %):

Le candidat décrira de préférence 3 références clients significatives, de moins de 2 ans, ayant pour objet la réalisation de prestations similaires à celles décrites dans le présent avis de marché.

Pour chacune des références, le candidat précisera les éléments suivants dans un tableau:

— le nom du client et son secteur d'activité,

— le chiffre d'affaires en EUR HT du client,

— description détaillée du projet réalisé chez le client (notamment, description des prestations fournies, des livrables remis et année de réalisation),

— description de l'environnement et des technologies dans laquelle s'inscrit la prestation,

— freins et clés de succès de la mission,

— chiffre d'affaires global généré par l'affaire,

— ancienneté de la relation contractuelle avec le client,

— contact chez le client, fonction de cette personne, numéro de téléphone, adresse e-mail.

— Critère 4: Développement durable (critère pondéré à 5 %)

Le candidat décrira sa politique en matière de développement durable en répondant aux questions suivantes:

Thème politique générale:

1) Avez-vous formalisé des objectifs en lien avec vos principaux enjeux développement durable? Si oui, veuillez préciser lesquels (quantitatifs et/ou qualitatifs).

2) Une personne et/ou une équipe est-elle officiellement responsable du déploiement de la politique développement durable? Si oui, veuillez préciser ses fonctions et sa place dans l'organisation.

3) Avez-vous noué des relations de partenariats avec des parties prenantes (associations, ONG, …)? Si oui, veuillez citer les partenariats les plus significatifs et leurs finalités.

4) Disposez-vous en interne, d'un code ou référentiel consacré à l'éthique et la déontologie? Si oui, merci d'indiquer le % de collaborateurs concernés? Avez-vous formé les collaborateurs aux pratiques à respecter (notamment en matière de lutte contre la corruption et les conflits d'intérêt).

Thème aspects sociaux et sociétaux:

1) Intégrez-vous une dimension de management responsable dans la gestion des ressources humaines? Si oui, comment (formation au développement durable, objectifs d'évaluation, etc.)? Quel est le % de vos collaborateurs formés aux HA responsables? Quel est le % de collaborateurs objectivés sur ce sujet?

2) Avez-vous mis en place une politique «diversité» et/ou «égalité»? Si oui, sous quelles formes et sur quel périmètre?

3) Avez-vous mis en place une politique «handicap» et/ou de recours à «l'insertion»? Si oui, veuillez indiquer les chiffres clés sur les 2 dernières années.

Thème politique achats:

1) Le développement durable est-il pris en compte dans la politique achats de votre entreprise? Si oui, quelle est cette politique, y a-t-il des objectifs associés et un système de pilotage mis en place pour atteindre ces objectifs?

2) Avez-vous mis en place des outils spécifiques aux achats responsables (questionnaire fournisseur, référentiel, etc.) et des formations pour accompagner les acheteurs dans leur mission? S'il y a des formations, veuillez indiquer le pourcentage d'acheteurs formés.

3) Prenez-vous en compte le développement durable dans les relations avec vos fournisseurs et vos sous-traitants? Si oui, veuillez indiquer comment (questionnaire, plan de progrès, etc.).

4) Avez-vous recours à des prestataires du secteur protégé et adapté et/ou des entreprises d'insertion? Si oui, veuillez préciser les chiffres et vos objectifs dans le domaine.

5) Avez-vous mis en place une politique pour travailler avec les PME / TPE? Si oui, veuillez préciser les chiffres (% du CA achats) et vos objectifs dans le domaine.

Exécution du marché
Dépôts et garanties exigés:

Le candidat devra fournir à La Poste avant la signature du contrat une attestation d'assurance (RC exploitation, RC professionnelle, RC produit).

Principales conditions de financement et modalités de paiement et/ou référence aux dispositions pertinentes qui les régissent:

Financement du marché par les ressources propres de La Poste.

La Poste procède au paiement, sauf disposition légale contraire ou accord spécifique entre les parties, dans un délai de 60 jours à compter de la date d'émission de la facture.

L'euro est l'unité monétaire choisie pour le paiement des prestations, fournitures ou travaux.

Les sous-traitants bénéficieront du paiement direct dans les conditions de la loi n° 75-1334 du 31.12.1975 modifiée.

Forme juridique que devra revêtir le groupement d'opérateurs économiques attributaire du marché:

Dans le cas où le candidat répondrait en co-traitance, celle-ci sera contractualisée sous forme de co-traitance conjointe avec un mandataire solidaire.

Procédure
Langues
Langue: français 🗣️

Pouvoir adjudicateur
Contact
Point de contact: Josiane Vogt
Adresse du profil d'acheteur: http://www.laposte.fr/fournisseurs 🌏
URL des documents: http://espacefournisseurs.inter.laposte.fr/Pages/Details.aspx?mail=1&IDOP=11827 🌏

Informations complémentaires
Organe de révision
Nom: Tribunal de grande instance de Paris
Adresse postale: 4 boulevard du Palais
Commune postale: Paris
Code postal: 75001
Pays: France 🇫🇷
Téléphone: +33 144325151 📞
Fax: +33 144327856 📠
Service auprès duquel des informations sur la procédure de recours peuvent être obtenues
Nom: Greffe du TGI de Paris
Commune postale: Paris Cedex 01
Code postal: 75055
Source: OJS 2015/S 113-205745 (2015-06-09)

Informations complémentaires (2015-06-15)
Objet
Métadonnées de l'avis
Type de document: Informations complémentaires

Référence
Dates
Date d'envoi: 2015-06-15 📅
Date de publication: 2015-06-19 📅
Identifiants
Numéro d'avis: 2015/S 117-212212
Se réfère à l'avis: 2015/S 113-205745
Numéro JO-S: 117
Source: OJS 2015/S 117-212212 (2015-06-15)

Avis d'attribution de marché (2016-03-21)
Objet
Métadonnées de l'avis
Type de document: Avis d'attribution de marché

Procédure
Type de soumission: Sans objet

Pouvoir adjudicateur
Identité
Nom du pouvoir adjudicateur: [La Poste] DHA-C — Hébergement / exploitation / prestations informatiques
Adresse postale: Parc Euromédecine, 796 rue de la Croix de Lavit

Référence
Dates
Date d'envoi: 2016-03-21 📅
Date de publication: 2016-03-24 📅
Identifiants
Numéro d'avis: 2016/S 059-100363
Numéro JO-S: 59
Source: OJS 2016/S 059-100363 (2016-03-21)

Nouveaux marchés dans des catégories connexes 🆕

Services de technologies de l'information, conseil, développement de logiciels, internet et appui (>20 nouveaux marchés)

Services de programmation et de conseil en logiciels (>20)

Services relatifs aux logiciels (>20)

Services de maintenance et de réparation de logiciels (14)