Audit de l Infrastructure réseau et sécurité de l Université Hassan II de Casablanca

Transcription

1 CAHIER DES PRESCRIPTIONS SPECIALES (CPS) APPEL D OFFRES OUVERT N 02 FCUH2C/2014 ******************************** OBJET Audit de l Infrastructure réseau et sécurité de l Université Hassan II de Casablanca 1

2 Sommaire CHAPITRE I : CLAUSES ADMINISTRATIVES... 3 Article 01: Nature - objet et objectifs de l appel d offres... 4 Article 02: Consistance de l appel d offres... 4 Article 03: Maître d ouvrage... 4 Article 04 : Documents constitutifs du marché... 4 Article 05 : Textes généraux et spéciaux... 5 Article 06 : Election de Domicile du titulaire du marché... 5 Article 07: Validité et durée du marché... 5 Article 08: Sous-traitance... 6 Article 09: Nantissement... 6 Article 10 : Nature des prix... 6 Article 11 : Caractère des prix... 7 Article 12 : Pénalités des retard... 7 Article 13: Cautionnement provisoire - cautionnement définitif... 7 Article 14: Retenue de garantie... 7 Article 15 : Assurances... 7 Article 16 : Mode de règlement... 8 Article 17: Modification des prestations en cours d exécution... 8 Article 18: Frais de timbres et d enregistrement... 9 Article 19 : Résiliation du marché... 9 Article 20 : Litiges... 9 Article 21 : Visite des lieux Article 22 : Délai D exécution Article 23 : Réception Provisoire Article 24 : Réception Définitive CHAPITRE II : SPECIFICATIONS TECHNIQUES OBJET DE LA CONSULTATION: PERIMETRE DE L AUDIT DEMARCHE DE L AUDIT DETAIL DE LA PRESTATION ATTENDUE AUDIT INFRASTRUCTURE RESEAUX AUDIT WIFI AUDIT DE SECURITE AUDIT MATERIELS & LOGICIELS OUTILS LIVRABLES QUALIFICATION DU PERSONNEL AFFECTE AU PROJET CHAPITRE III : BORDEREAUX DES PRIX - DETAIL ESTIMATIF ANNEXES

3 CHAPITRE I : CLAUSES ADMINISTRATIVES 3

4 CAHIER DES PRESCRIPTIONS SPECIALES Article 01: Nature - objet et objectifs de l appel d offres 1-1 Nature et Objet de l appel d offres: La présidence de l université Hassan II de Casablanca lance un appel d offres ouvert sur offres de prix, ayant pour objet Audit de l Infrastructure réseau et sécurité de l Université Hassan II de Casablanca. 1-2 Objectifs: Cet appel d offres a pour objectifs: - L Optimisation de la gestion. - l Amélioration de la qualité des prestations. Les soumissionnaires s engagent à exercer cette gestion en conformité avec les instructions et les modalités arrêtées par le présent CPS. 1-3 Date d ouverture des plis: L ouverture des plis relatifs à cet appel d offres aura lieu le Mercredi 03 Décembre 2014 à 13h00, au siège de la présidence de l Université Hassan II de Casablanca, 19 Rue Tarik bnou Ziad Casablanca. Article 02: Consistance de l appel d offres Ce présent appel d offres consiste en un lot unique tel que spécifié au bordereau des prix détail estimatif du présent Cahier des Prescriptions Spéciales relatif à Audit de l Infrastructure réseau et sécurité de l Université Hassan II de Casablanca.. Article 03: Maître d ouvrage Le maître d ouvrage : Université Hassan II de Casablanca représentée par son Président. Article 04 : Documents constitutifs du marché Les documents constitutifs du marché sont ceux énumérés ci-après 1. L'acte d'engagement ; 2. Le présent Cahier des Prescriptions Spéciales ; 3. Le bordereau des prix-détail estimatif; 4. Le cahier des clauses administratives générales applicable aux marchés d Etudes et Maitrise d œuvre CCAG-EMO En cas de contradiction ou de différence entre les documents constitutifs du marché, ceux-ci prévalent dans l ordre où ils sont énumérés ci-dessus. 4

5 Article 05 : Textes généraux et spéciaux Le titulaire du marché qui découlera du présent appel d offres sera soumis aux textes de lois, règlements, arrêtés, instructions et circulaires en vigueur se rapportant à l exécution de ce dit marché, en particulier il est soumis au : 1- Règlement relatif aux conditions et formes de passation des marchés de l Université Hassan II de Casablanca ; 2- Cahier des clauses Administratives Générales applicables aux marchés de services portant sur les prestations d études et de maîtrise d œuvre. (C.C.A.G-EMO), défini par le décret du 22 Rabiaa I 1423 (04/06/2002); 3- Loi relative à l organisation de l enseignement supérieur 4- Le Dahir n du 7 Rabiaa II 1406 DU 20/12/85 portant promulgation de la loi relative à la TVA ; 5- Le Dahir du 28 Août 1948 relatif au nantissement des marchés, tel qu il a été modifié et complété; 6- Loi n relative au contrôle financier de l Etat sur les entreprises publiques et autres organismes; 7 - Le décret n du 13 Novembre 2003 relatif aux délais de paiement et intérêt moratoires; 8- Tous les Textes rendus applicables à la date de la signature du marché Le titulaire ne pourra en aucun cas exciper de l ignorance de ces documents pour se soustraire aux obligations qui en découlent. Article 06 : Election de Domicile du titulaire du marché A défaut pour le titulaire du marché d'avoir satisfait aux prescriptions de l'article 17 du C.C.A.G-EMO en ne faisant pas élection de domicile à proximité des travaux, toute notification relative à l'entreprise lui sera valablement faite à l'adresse indiquée dans Le CPS. Article 07: Validité et durée du marché Le marché issu de présent appel d offres ne sera valable, définitif et exécutoire qu après son approbation par le Président de l Université Hassan II de Casablanca son visa par le Contrôleur d Etat si le visa est requit. L'entrepreneur déclaré attributaire, et sauf prorogation du délai de validité de l offre, ne sera libre de renoncer à son offre que si l'approbation de son marché n'est pas notifiée dans un délai maximum de soixante quinze (75) jours à compter du jour de l'ouverture des plis. Les conditions de prolongation de ce délai sont fixées par les dispositions de l'article 136 du règlement fixant les conditions et formes de passation des marchés de l Université Hassan II de Casablanca. 5

6 Article 08: Sous-traitance Le titulaire ne peut sous-traiter tout ou partie des prestations sans l autorisation préalable et écrite du Maître d ouvrage. Celui-ci se réserve le droit de résilier le marché, sans indemnité ni préavis au cas où cette obligation n aurait pas été respectée. Cette autorisation ne peut être accordée qu à des sous-traitants ou groupements remplissant les conditions requises du titulaire. Les éléments sous traités seront fournis sous la responsabilité entière et absolue du titulaire initial, de manière à ce qu en aucun cas, le maître d ouvrage ne se trouve en face d un partage de responsabilité. Article 09: Nantissement Dans l éventualité d une affectation en nantissement du marché, il est précisé que: 1. La liquidation des sommes dues par L école supérieure de technologie de Casablanca en exécution du marché, sera opérée par les soins du Président de l Université Hassan II - Casablanca. 2. Le fonctionnaire chargé de fournir au titulaire du marché ainsi qu au bénéficiaire du nantissement ou subrogation les renseignements et états prévus à l article 7 du Dahir du 28 Août 1948 est le Président de l Université Hassan II - Casablanca. 3. Les paiements prévus au marché seront effectués par le Trésorier Payeur de l Université Hassan II - Casablanca seul qualifié pour recevoir les significations des créanciers du titulaire du marché. 4. Le maitre d ouvrage délivrera au fournisseur contre récépissé un exemplaire du marché en copie certifiée. Article 10 : Nature des prix Le marché qui découlera du présent appel d offres est à prix unitaires. Les sommes dues au titulaire du marché sont calculées par application des prix unitaires portés au bordereau des prix-détail estimatif, établi par ses soins, aux quantités réellement exécutées conformément au marché. Les prix du marché sont réputés comprendre toutes les dépenses résultant de la livraison des fournitures y compris tous les droits, impôts, taxes, frais généraux, faux frais et assurer au titulaire du marché une marge pour bénéfice et risques et d'une façon générale toutes les dépenses qui sont la conséquence nécessaire et directe de la livraison des fournitures. Prix en HT/HDD/HTVA : les prix sont des prix rendus tous droits acquittés, à l exclusion des droits et taxes à l importation et la TVA. s Prix en TTC : les prix sont des prix rendus droit acquittés, comprenant toutes les taxes exigibles, les droits de douanes et la TVA. 6

7 Article 11 : Caractère des prix En application de l article 12 du Règlement relatif aux conditions et formes de passation des marchés de l Université les prix du marché qui découlera du présent appel d offres sont fermes et non révisables. Article 12 : Pénalités des retard A défaut de livraison des équipements dans le délai prescrit (2 mois), il sera appliqué une pénalité pour chaque jour de retard. Cette pénalité est fixée à 1/1000 du montant initial du marché par jour calendaire de retard sans toutefois dépasser 10% du montant total du marché. Les pénalités seront déduites d office des décomptes des sommes dues à l entrepreneur et sans mise en demeure préalable. Article 13: Cautionnement provisoire - cautionnement définitif 1- Le cautionnement provisoire: Le cautionnement provisoire est fixé à (Huit Mille) Dirhams. Il peut être remplacé par une caution bancaire. Le cautionnement provisoire sera libéré immédiatement après constitution de la caution définitive. Pour les concurrents non retenus ladite caution sera restituée après adjudication du marché. Toutefois, les cas de saisie de la caution provisoire prévus par le CCAG-T sont appliqués. 2- Le cautionnement définitif: Le cautionnement définitif est fixé à 3% du montant maximal de l acte d engagement du marché qui aura été passé à la suite du présent appel d offres. Il peut être remplacé par une caution bancaire dont la limite de validité doit être portée à la durée du marché. Le cautionnement définitif ou la caution bancaire en tenant lieu seront restitués au prestataire trois (03) mois après l expiration de la durée du marché. Article 14: Retenue de garantie Aucune retenue de garantie n est prévue dans le cadre de cet appel d offres. Article 15 : Assurances Le titulaire du marché qui découlera du présent appel d offres est tenu de se soumettre aux dispositions de l article 20 du C.C.G.A-EMO portant sur «assurances et responsabilité». A cet effet, dans les quinze (15) jours qui suivent la notification de l'approbation du marché, le titulaire est tenu de produire, en particulier, une ou plusieurs attestations délivrées par un ou plusieurs établissements agréés à cet effet justifiant la souscription d'une ou de plusieurs polices d'assurances pour couvrir dés le début de l'exécution du marché et pendant toute la durée de celui-ci: 7

8 a) la responsabilité découlant de l utilisation de véhicules automobiles pour les besoins de l exécution du marché conformément à la législation et à la réglementation en vigueur ; b) la responsabilité d accidents du travail pouvant survenir au personnel du titulaire du marché qui doivent être couverts par une assurance conformément à la législation et à la réglementation en vigueur ; c) à la responsabilité civile incombant : au titulaire du marché, en raison des dommages causés aux tiers par les ouvrages objet du marché, jusqu'à la réception définitive, les matériaux, le matériel, les installations, le personnel du titulaire du marché, etc. quand il est démontré que ces dommages résultent d un fait du titulaire du marché, de ses agents ou d un défaut de ses installations ou de ses matériels ; au titulaire du marché, en raison des dommages causés sur le chantier et ses dépendances aux agents du maître d'ouvrage ou de ses représentants ainsi qu'aux tiers autorisés par le maître d'ouvrage à accéder aux chantiers, jusqu'à la réception définitive ; Le maître d'ouvrage ne peut être tenu pour responsable des dommages ou indemnités légales à payer en cas d'accidents survenus aux ouvriers ou employés du titulaire ou de ses sous-traitants. A ce titre, le titulaire du marché garantira le maître d'ouvrage contre toute demande de dommages-intérêts ou indemnités et contre toute réclamation, plainte, poursuite, frais, charge et dépense de toute nature relatifs à ces accidents. Le titulaire est tenu de renouveler les assurances prévues au paragraphe 1 du présent article de manière à ce que la période d'exécution du marché soit constamment couverte par les assurances prévues par le marché. Le titulaire est tenu de présenter au maître d'ouvrage la justification du renouvellement des assurances prévues ci-dessus. En outre, le titulaire devra garantir le maître d'ouvrage contre les conséquences de tout autre dommage ou préjudice causé par lui à l'occasion de l'exécution du marché à toute personne et/ou à toute propriété. Aucun paiement ne sera effectué tant que le titulaire du marché n'aura pas rempli cette obligation. Article 16 : Mode de règlement Les règlements seront exécutés par les soins du trésorier payeur de l Université Hassan II de Casablanca, comptable assignataire par le moyen d ordres de virement au compte bancaire du titulaire sur production de factures ou décomptes partiels ou globaux en trois exemplaires dûment signées par le titulaire du marché. Article 17: Modification des prestations en cours d exécution 8

9 Dans le cas de changement de modification des prestations en cours d exécution, les parties contractantes du marché seront soumises aux dispositions du cahier des clauses administratives générales applicables aux marchés de services portant sur les prestations d études et de maîtrise d œuvre passés pour le compte de l Etat, en particulier l article 36. Article 18: Frais de timbres et d enregistrement Les frais de timbres ou d enregistrement sont à la charge du titulaire du marché qui découlera éventuellement de cet appel d offres. Article 19 : Résiliation du marché La résiliation du marché peut être prononcée conformément aux dispositions prévues par le Règlement relatif aux conditions et formes de passation des marchés de l Université Hassan II de Casablanca et celles prévues par le C.C.A.G-EMO, en particulier celles édictées par l article 52 du C.C.A.G-EMO. La résiliation du marché ne fera pas obstacle à la mise en œuvre de l action civile ou pénale qui pourrait être intentée au titulaire du marché en raison de ses fautes ou infractions. En cas de présentation d une déclaration sur l'honneur inexacte ou de pièces falsifiées ou lorsque des actes frauduleux, de corruption, des infractions réitérées aux conditions de travail ou des manquements graves aux engagements pris ont été relevés à la charge d un concurrent ou du titulaire, selon le cas, des sanctions ou l'une d'entre elles seulement sans préjudice, le cas échéant, des poursuites pénales, sont prises: a) Par décision de l autorité compétente, après avis de la commission des marchés, l'exclusion temporaire ou définitive du concurrent des marchés passés par les services relevant de son autorité ; Cette mesure d'exclusion peut être étendue aux marchés lancés par l'ensemble des administrations de l Etat et des établissements publics par décision du Chef du gouvernement, sur proposition du Président du Conseil de l Université, après avis de la commission des marchés. b) Par décision de l'autorité compétente, la résiliation du marché, suivie ou non de la passation d'un nouveau marché, aux frais et risques du titulaire. Les excédents de dépenses résultant de la passation d un nouveau marché après résiliation sont prélevés sur les sommes qui peuvent être dues au défaillant sans préjudice des droits à exercer contre lui en cas d insuffisance. Les diminutions éventuelles des dépenses restent acquises au maître d ouvrage. Article 20 : Litiges Toutes contestations ou litige nés à l occasion de la conclusion ou de l exécution des marchés passés à la suite du présent appel d offres seront de la compétence du tribunal du ressort territorial du siège de la Présidence de l Université Hassan II de Casablanca statuant en matière administrative. 9

10 Article 21 : Visite des lieux La présidence organisera au profit des soumissionnaires une visite des lieux obligatoire qui seront affectés pour l exécution des prestations objet du présent CPS, tout en restant à leur disposition pour apporter tous les éclaircissements nécessaires sur les différents paramètres qui entrent en ligne de compte pour l établissement de leurs offres. La visite des lieux sera organisée pour l ensemble des concurrents à la date fixée sur l avis d appel d offres. La présidence établira un procès-verbal consigné par tous les concurrents présents lors de cette visite. Il mentionnera toutes les demandes d'éclaircissement des concurrents et les réponses formulées lors de cette visite. Ce procès-verbal est communiqué à l'ensemble des concurrents ayant retiré le dossier d appel d offres ainsi qu'à la commission d'appel d'offres. Pour les concurrents ayant retiré le dossier d appel d offres par voie électronique ils sont tenu de communiquer leurs adresses, leurs N de FAX et mails au maitre d ouvrage par FAX sur le n (212) , en précisant le numéro et l objet du présent appel d offres. Il est formellement stipulé que le prestataire est réputé avoir une parfaite connaissance de la nature et des conditions et difficultés d exécution des prestations pour les avoir personnellement examiné dans tous leurs détails du projet, s être entouré de tous les renseignements nécessaires à la composition du prix, et avoir obtenu toutes les précisions désirables pour que les prestations soient conformes à toutes les prescriptions du CPS et aux normes en vigueur. Article 22 : Délai D exécution Le délai d exécution des prestations faisant l objet du présent appel d offres est fixé à soixante (60) jours à compter du lendemain du jour de la notification de l ordre de service. Article 23 : Réception Provisoire La réception provisoire de chaque livrable est prononcée après la validation de l ensemble des livrables par le comité de pilotage et de suivi désigné à cet effet, et la présentation et la validation du rapport de synthèse global de l étude. Article 24 : Réception Définitive La réception définitive des livrables sera prononcée à l expiration du délai de (2) deux mois à partir de la date du procès verbal de réception provisoire. Pendant ce délai de deux mois, le prestataire sera tenu de procéder aux rectifications qui lui seront demandées, en cas d erreurs ou d insuffisances constatées, sans pour autant que ces travaux supplémentaires puissent donner lieu à paiement. 10

11 CHAPITRE II : SPECIFICATIONS TECHNIQUES 11

12 1. Objet de la consultation: L objet de cette consultation est d auditer La plate forme de sécurité informatique et l infrastructure réseau des établissements liés à l Université Hassan II de Casablanca. Les objectifs de la consultation sont déclinés comme suit : Evaluer le niveau d infrastructure réseaux, télécoms et de sécurité ; Proposer les recommandations d améliorations nécessaires ; Définir les architectures cibles qui seront en mesure de : 1. Mettre à niveau l existant selon les nouveaux besoins et les règles de l art, 2. Assurer et sécuriser les échanges à l intérieur des réseaux LAN et au niveau du réseau WAN de l Université Hassan II. Disposer d une feuille de route pour la mise en œuvre des architectures cibles et des recommandations pour des projets d optimisation de l existant. Cette consultation vise aussi la définition de la politique de sécurité. 2. Périmètre de l audit L ensemble des établissements afférents à l université Hassan II de Casablanca, seront inclues dans le périmètre de l étude. A savoir : - L Ecole Normale Supérieure, - La faculté des Sciences Juridiques économiques et sociales, - La faculté des Sciences, - La Faculté des Lettres et des Sciences Humaines, - La Faculté de Médecine et de Pharmacie, - La Faculté de Médecine Dentaire, - l École Supérieure de Technologie, - L École Nationale Supérieure d Électricité et de Mécanique, - La Bibliothèque Universitaire Mohammed Sekkat 12

13 3. Démarche de l audit L étude couvrira l ensemble des établissements de l université cités ci-dessus. Le prestataire doit faire une visite de l ensemble des sites et élaborer les recommandations d amélioration par site et entre site. L entreprise devra proposer un audit composé de plusieurs étapes qu il doit détailler dans son offre. Le titulaire, au démarrage de son action, devra prendre connaissance de l environnement, de leur organisation, de leurs missions et de la particularité de leurs champs d actions. 4. Détail de la prestation attendue 4.1 Audit Infrastructure Réseaux L entreprise devra indiquer le pourcentage de couverture des différents bâtiments en câblage informatique (préciser la catégorie -5/5e/6,...), en Wifi et en câblage téléphonique. Les bâtiments non-équipés devront être indiqués. Les pièces hébergeant les serveurs, les PABX, les différents switchs, routeurs, pare-feux, etc devront également être décrites, notamment les alimentations électriques, liens réseaux, fauxplanchers, climatisation, baie de brassage, armoires informatiques, onduleurs, étiquetage, accessibilité, sécurisation... Les liens entre sites et entre bâtiments du même site (FO, Câblage,...) feront également partie de ce descriptif. Etablir la cartographie du réseau (Emplacement machines, Hub, connectique, câblage, prises, identifications machines, tables des droits d accès, etc.) Faire l inventaire complet des serveurs (état machine, configuration détaillée exacte, logiciels installés et versions, trafic du réseau) Vérifier la qualité des raccordements pour s assurer du respect des normes en vigueur; Vérifier l utilisation et la performance des liens, des utilisateurs et des applications ; Rédiger un plan de recollement par établissement ; Définir le niveau de conformité du câblage informatique par rapport aux différentes normes ; Une Cartographie des flux sera réalisée : Elle permet de répondre à des questions comme : quelle est la nature des flux (données, voix, multimédia, fax...)? Quels chemins empruntent-ils (à l'intérieur du site, entre différents sites, vers le monde extérieur...)? Quels matériels les traitent (téléphones, ordinateurs, fax, terminaux mobiles...)? Sont-ils séparés ou associés... 13

14 Calcul de la bande passante nécessaire à chaque flux : Il s'agit d'estimer les besoins pour une transmission de bonne qualité de chaque type d informations. Mesure du débit de chaque lien : c est l'estimation de la capacité physique des liens : quelle quantité d'informations peuvent-ils transporter par unité de temps. L audit réseau devra s appuyer sur les points suivants : Isoler les problèmes de performance liés aux serveurs et aux réseaux ; Analyser, identifier et classifier les flux de trafic internes et externes ; Analyser les équipements (routeurs, switchs, baies de brassage...); Analyser l usage de la bande passante par machine et par service ; Analyser les besoins en bande passante ; Analyser les performances réseaux ; Faire un rapport de synthèse du réseau ; Etablir des recommandations d évolution, d optimisation d infrastructures. Etude approfondie et validation de l architecture Wan et Lan du réseau. Etude et évaluation des choix technologiques adoptés. Etude et validation du plan d adressage. Etude approfondie et validation du routage IP. Evaluation de la performance et capacités des équipements. Evaluation du paramétrage des équipements Evaluation des optimisations à faire au niveau architecture et configurations des équipements du réseau. Evaluation de l état du câblage informatique Etude visuelle de l état du câblage et vérification de la qualité de tous les raccordements pour s assurer qu ils ont été faits dans le respect des normes en vigueur en matière de longueur, du respect des pas de torsades et de l appairage, Procéder à un relevé quantitatif des connections en se basant sur le plan de câblage. Si celui-ci n en dispose pas ou si le plan de câblage est trop ancien et n a pas été mis à jour, l entreprise devra fournir un nouveau plan de câblage au terme de son Audit, Procéder à un contrôle qualitatif des connections aux deux extrémités, faire un état du repérage des liens, des platines et des autres équipements installés. Procéder à des tests de mesure soit sur l ensemble du réseau, soit par échantillonnage. Ces mesures seront effectuées par réflectométries et un testeur adapté à la catégorie des câbles concernés qui permettent d en valider : Le schéma de câblage et la présence de la masse, La longueur, L impédance, La paradiophonie, 14

15 Les limites de fréquence et de bande passante du câble, de s assurer ainsi de la conformité du câble pour que l ensemble du réseau puisse être qualifié et exploité au mieux de ses capacités. Tester grâce à des appareils de mesure adaptés l ensemble des liens ; FO, Liaison radio, LL, etc Respect des règles de l art et des normes de câblage, Métrologie et analyse de la charge réseau Etude de cohérences clients serveur LAN et WAN, Analyse de la charge du réseau et des temps de réponse, Qualité de service, Validation des redondances et du fonctionnement en mode dégradé, Etude de l aptitude du réseau à supporter de nouvelles charges, nouvelles applications, nouveaux utilisateurs, Les informations qui seront mises en évidence durant l audit seront : Cartographie logique et physique du réseau ; Analyse du trafic réseau ; Analyse des performances réseau et évolution ; Mesure de la charge réseau ; Effet des applications sur la bande passante ; Définition des protocoles ; Tracking des flux et temps de réponse ; Analyse des échanges entre stations, serveurs et routeurs ; Identification des stations générant des trafics importants ; Mesure de la longueur des trames ; Identifier et classer les flux grâce à des outils spécifiques (sondes) ; Analyse des sept couches du modèle OSI, par segment, anneau ou Vlan, Mise en évidence de la répartition Unicast, Multicast et Broadcast, Mise en évidence des différents types d erreurs et repérage des stations, serveurs ou matériels actifs qui les génèrent, 15

16 Lien principal entre le nœud principal et le nœud de backup L Université Hassan II de Casablanca, dispose de deux nœuds permettant la connectivité entre ses différentes entités : Nœud principal, au niveau de la Présidence de l Université ; Nœud backup, au niveau de la Bibliothèque universitaire Mohammed Sekkat Récemment, l Université a finalisé un projet portant sur une solution de virtualisation et de sauvegarde au niveau du nœud principal. Cette solution consistait aussi à déployer une plateforme de backup au niveau du deuxième nœud. L architecture actuelle de l Université ne permet pas un basculement entre la plateforme de production et celle de backup en cas de défaillance technique au niveau du nœud principal. Le prestataire sera amené à fournir les solutions possibles dans la nouvelle architecture proposée. 4.2 Audit WiFi Cet audit aura pour objectif de : Détecter l'ensemble des émissions WiFi dans le périmètre du réseau, déterminer leur position. Obtenir un «état des lieux», d identifier les problèmes de couverture et de qualité de service. Réaliser un ensemble de tests intrusifs en "aveugle" Mener une étude de site pour fixer précisément la zone de couverture utile & l'implantation des équipements. Rédaction d'un rapport d'audit précis, analyse des données et conseils pour la sécurisation de l'existant et l'intégration de façon simplifiée de la future architecture WiFi. Audit de sécurité Wifi Cette prestation permettra de faire le point sur l architecture actuelle, d identifier les éventuelles failles et de déterminer les nouveautés les plus adaptées pour faire évoluer l infrastructure actuelle dans de bonnes conditions. 4.3 Audit de sécurité Tous les points liés à la sécurité informatique sont systématiquement étudiés, l'objectif est d'assurer la disponibilité, la confidentialité et l'intégrité du système d'information. L'objectif de cette partie est de référencer l'ensemble des vulnérabilités du réseau afin de pouvoir proposer une solution répondant à la politique de sécurité de l université. L'Audit de sécurité s'attachera à détecter et à mettre en évidence une/des vulnérabilité(s) dans les domaines suivants. 16

17 La sécurité logique : Cela inclue la sécurité au niveau des données de l Université, les applications ou encore les systèmes d'exploitation. La sécurité des réseaux : L'architecture du réseau, la configuration des équipements réseaux qui le composent, les serveurs de l Universités, les réseaux d accès, etc La tolérance de pannes si nécessaire. L'administration, la gestion des logs, les remontées d'alertes... a- Méthodologie o Cette étude doit se référer à la norme organisationnelle ISO o Collecte d information via la consultation de la documentation existante, des entretiens avec les équipes IT, des visites des sites concernés, etc o Capture et analyse des échantillons du trafic o Tests actifs de mesure de temps de réponse et de taux de pertes sur le réseau o temps de réponse de quelques services. Cette étude a pour but d identifier les menaces qui sont pertinentes pour le système d information. Le prestataire effectuera une intervention technique sur l évaluation de la sécurité du système d information. Celle-ci peut se composer de trois étapes : b- Tests d intrusion: les tests d intrusions permettent d évaluer et de qualifier le niveau de vulnérabilité existant du système d exploitation, réseau, messagerie, progiciel et application spécifique, locaux, etc. Les tests doivent être effectués à partir de l extérieur (internet) et en interne à partir du réseau LAN et WAN de l université. Les tests intrusifs ne doivent en aucun cas altérer, modifier ou détruire les données appartenant au SI de l UH2C, ni perturber le bon fonctionnement du système d information. La réalisation des tests d intrusion sur l environnement de production doit être strictement accompagné par les responsables du SI de l UH2C; les horaires de tirs peuvent être aménagés afin d éviter toutes perturbations de la production. Il sera de la responsabilité du prestataire de mettre en garde, prévenir et conseiller les responsables de l4uh2c des risques encourus lors de la mise en oeuvre de ces tests. Ces tests seront de deux natures : 17

18 Tests d intrusion externes : Le test d intrusion externe devra se dérouler à partir d une connexion Internet, et s effectuera en deux étapes : - Etape N 1 en boite noire : Les experts du titulaire procéderont à ce test en disposant uniquement des informations publiques. - Etape N 2 en boite blanche : Dans ce cas, le maître d ouvrage communiquera plus de détails sur sa configuration au titulaire qui va procéder à un deuxième test d intrusion en prenant en considération ces détails. Tests d intrusion internes : Ce test devra se dérouler à partir d un poste connecté au réseau local du siège. Le titulaire présentera à l UH2C un rapport détaillé sur le résultat de ces tests. Le rapport devra inclure les différentes vulnérabilités exploitées lors des tests d intrusion ainsi que les recommandations pour l implémentation des mesures de sécurité avec explication des solutions de défense proposées ainsi que le détail technique complet pour le rejet des tests d intrusion. c- Audit de vulnérabilité : Le prestataire devra réaliser les tests de vulnérabilités permettant de ressortir les principales failles de sécurité visibles sur les systèmes et dispositifs de sécurité audités. Pour chaque faille et vulnérabilité, il est demandé au prestataire de détailler les points suivants: Niveau de compétence requis pour l exploitation de celle-ci. Probabilité d exploitation. Conséquence en cas d attaque réussie. Ces vulnérabilités devront être catégorisées selon l échelle des impacts : Critique, Sensible, Moyenne, Faible. S en suit l établissement d un plan d action sur les éléments de sécurité à améliorer ou à corriger. Ce plan d action devra prendre en compte notamment la politique de mise à jour et les recommandations pour la résolution des problèmes de sécurités les plus connus. Les tests de vulnérabilité sur l environnement de production doivent être réalisés dans des horaires bien aménagés afin d éviter toutes perturbations de la production. Il sera de la responsabilité du prestataire de mettre en garde, prévenir et conseiller les responsables de l UH2C des risques encourus lors de la mise en œuvre de ces tests. 18

19 d- Audit de configuration : Le prestataire devra réaliser un audit des configurations permettant de compléter la recherche des failles existantes par des points faibles liés à la configuration des équipements audités. Le titulaire devra faire une analyse complète de la configuration des différentes composantes, à savoir : plateforme de connexion à internet, serveurs, architecture réseau, L'infrastructure réseau (Switch, routeurs, câblage), outils de sécurité et de gestion de bande passante, et tout autre périphérique et les comparer à l état de l art en la matière. Le titulaire présentera un rapport détaillé de l audit de configuration qui intégrera les points faibles/points forts, les vulnérabilités détectés ainsi que les recommandations pour les corriger avec explication des solutions à mettre en œuvre. 2.5 Obligation du prestataire : Le prestataire devra réaliser les audits de type : tests d intrusion, audit des vulnérabilités et audit des configurations tel que décrit dans les paragraphes précédents. Prendre en charge les outils qui seront utilisés lors de l audit. Réaliser la prestation objet de l appel d offre sans jamais altérer, modifier ou détruire les données appartenant au SI de luh2c, ni perturber le bon fonctionnement du système d information. 4.4 Audit Matériels & Logiciels Tout le matériel informatique appartenant aux établissements (Serveurs, Ordinateurs (si possible), Moniteurs, switchs, routeurs, onduleurs, pare-feux) devra être inventorié. L audit portera aussi sur: - La performance des architectures et infrastructures réseaux (locaux et distants) - La performance des équipements réseaux tel que les switch, routeur, etc.; L entreprise devra également répertorier tous les logiciels utilisés dans les établissements notamment en ce qui concerne : Anti-Virus, Anti-Spam, Bases de données, etc. Pour chaque logiciel, il devra être indiqué les services les utilisant, le nombre de licences, le nombre d utilisateurs réels, les contraintes particulières s'y rapportant ainsi que la maintenance. 5. Outils L'auditeur devra mentionner dans son offre les différents types d outils sur lesquels il va s'appuyer pour analyser le réseau : 19

20 o des scanners de vulnérabilités pour identifier le nombre de failles présentes dans le réseau, o des sondes placées sur des points stratégiques du réseau de façon à mesurer les niveaux de performances et identifier les goulots d'étranglements par exemple, o des normes comme ISO 27000, COBIT ou Mehari. 6. Livrables Les livrables sont : o Rapport d audit de l infrastructure réseau (serveurs, switchs, routeurs, câblage, etc.) en plus des différents éléments de configuration (plan d Adressage, plan de routage, etc) o Recommandations et améliorations sous forme de best practices pour endiguer aux problèmes liés a l architecture actuelle réseau et actions à entreprendre pour mettre à niveau de l existant.l o Rapport d'audit incluant une analyse des données et conseils pour la sécurisation de l'existant et l amélioration de l architecture et de la QoS WiFi o Rapport de l audit de détection d intrusion, de vulnérabilité et de configuration afin de vérifier la capacité du réseau en termes de résistance à des intrusions et l efficacité de ses mesures actuelles de sécurisation de son Système d Information. o Rapport d Audit de la plateforme de sécurité avec les recommandations nécessaires sur l état du matériel/logiciel existant. o Rapport d audit des performances réseaux WAN de l Université. Avec une proposition de solution fiable et performante pour le basculement entre site principal (Présidence) et site de backup (BUMS). o Recommandations et améliorations sous forme de best practices pour endiguer aux problèmes et failles détectées et actions à entreprendre pour mettre à niveau l existant. o Définition d une politique déclinant les règles de sécurité à mettre en œuvre pour accroitre la sécurité des réseaux en interne et depuis l Internet. o Cahier de charge pour la mise à niveau des réseaux locaux de 10 établissements de l université en s appuyant sur les recommandations issues de la phase d audit d infrastructure réseau avec l estimation du budget de mise en place ainsi que le délai probable de réalisation. Les différents rapports d audit (présentant bilan et recommandations) doivent être livrés en version papier et électronique. 20