CAHIER DES CHARGES D AUDIT DU SITE WEB DE L INSTITUT SUPERIEUR DES ETUDES APPLIQUEES AUX HUMANITES EL KEF ISEAH

Transcription

1 MINISTERE DE L ENSEIGNEMENT SUPERIEUR ET DE LA RECHERCHE SCIENTIFIQUE ---ooo--- UNIVERSITE DE JENDOUBA INSTITUT SUPERIEUR DES ETUDES APPLIQUES AUX HUMANITES EL KEF ISEAH CONSULTATION N 10/2013 CAHIER DES CHARGES D AUDIT DU SITE WEB DE L INSTITUT SUPERIEUR DES ETUDES APPLIQUEES AUX HUMANITES EL KEF ISEAH 1

2 PARTIE I : Cahier des Clauses Administratives 2

3 ARTICLE 1 - OBJET DE LA CONSULTATION L institut supérieur des études appliquées aux humanités el Kef ISEAH se propose de lancer une consultation auprès des sociétés de service et d ingénierie informatique pour effectuer une mission d audit de son Site web conformément au décret N , du 25 Mai 2004 et aux dispositions du présent cahier de charges, piloté par, au moins, un chef de projet certifié par l ANSI, conformément au décret N du 25 mai Le site web ( va être hébergé au niveau du Centre de Calcul Khawarizmi "CCK". Ce site est considéré par la ISEAH comme critique vu le nombre des utilisateurs connectés. ARTICLE 2 - DEFINITIONS ET INTERPRETATIONS Maître d Ouvrage : désigne ISEAH et englobe les structures ou personnes dûment mandatées pour la supervision de cette mission. Soumissionnaire : désigne toute personne morale ayant retiré les documents de la consultation et avoir soumis une offre en réponse à ces documents à titre individuel ou solidaire avec d autres personnes morales. Titulaire : désigne l entreprise dont la soumission a été retenue par le Maître d ouvrage et englobe les représentants, successeurs et ayants droit légaux d audit prestataire. Mission : signifie toute action d audit, de test, de vérification y compris la rédaction des rapports, les déplacements, la collecte de données, l analyse des tests, et toute autre action assurée par le titulaire pour le compte du Maître d Ouvrage dans le cadre de la bonne exécution du marché. ARTICLE 3 - SOUMISSIONNAIRES ADMIS À PARTICIPER Cette consultation s'adresse aux entreprises opérant dans le domaine des services et d ingénierie informatique de droit tunisien ayant une expérience dans le domaine de l audit et de la sécurité informatique et employant, un auditeur certifié par l Agence Nationale de sécurité Informatique. Le soumissionnaire peut désigner plus qu un chef de projet. Toutefois, la responsabilité de la mission vis-à-vis du maître d ouvrage doit être accordée à un seul chef de projet titulaire d une certification de l ANSI conformément au décret N du 25 mai ARTICLE 4 - SOUS-TRAITANCE et REGROUPEMENT Le soumissionnaire ne peut recourir à la sous-traitance pour l exécution de ce marché sans l accord préalable du Maître d Ouvrage. Il ne peut ni en faire apport à une société ni en confier l'exécution totale ou partielle à un ou plusieurs sous-traitants sans l'autorisation préalable du Maître d Ouvrage. Dans tous les cas le titulaire doit assurer sous son entière responsabilité toutes les missions afférentes à ce marché. A ce titre il demeure le seul responsable de la bonne exécution de ce marché. 3

4 Toutefois, le soumissionnaire pourrait être constitué par un regroupement de sociétés. Dans le cas de groupement, une seule société devrait assurer la vis à vis concernant toutes les missions afférentes à ce marché. A ce titre elle demeure le seul responsable de la bonne exécution de ce marché. La nature du groupement doit être indiquée clairement, tout en fournissant les pièces mentionnant la nature du groupement, ainsi que l habilitation de la société soumissionnaire à représenter le groupement. ARTICLE 5 - DEMANDES D ECLAIRCISSEMENTS Toute question qui pourrait se présenter concernant l'interprétation du document de la consultation, y compris les spécifications techniques ou toute autre demande d'information complémentaire nécessaire à la clarification du contenu de ce document, devra être demandée par écrit à l'adresse indiquée à l'article 15 du présent cahier des charges, au moins 10 jours ouvrables avant la date de clôture des soumissions. Les réponses fournies par écrit prendront la forme d'additifs aux documents du marché consultation et seront communiquées à l'ensemble des candidats ayant déjà retiré le cahier de charges. Les explications ou instructions fournies oralement n'ont aucune valeur contractuelle. ARTICLE 6 - MODIFICATIONS AUX DOCUMENTS DE LA CONSULTATION Le Maître d Ouvrage peut, à tout moment avant la date limite de réception des offres, soit à son initiative ou en réponse à une demande d'éclaircissements formulée par un soumissionnaire, apporter des modifications au dossier de la consultation par additif. L additif sera notifié par écrit à tous les candidats ayant reçu le dossier de la consultation. ARTICLE 7 - MODIFICATIONS AUX INTERVENANTS DE LA CONSULTATION Le soumissionnaire se réserve le droit de changer un (ou plusieurs) intervenant(s) à la mission d'audit en cas de circonstances imprévues indépendantes de sa volonté ou en cas de force majeure. Dans ce cas, le soumissionnaire devra le remplacer par un autre intervenant d un niveau au moins équivalent à celui de l'intervenant défaillant, après accord préalable du maître d'ouvrage. ARTICLE 8 - LANGUE DE L'OFFRE L'offre préparée par le soumissionnaire ainsi que toutes les correspondances, les plans et dessins, les caractéristiques techniques et tout document concernant l'offre, échangé entre le soumissionnaire et le Maître d Ouvrage seront obligatoirement rédigés en langue française ou arabe. Certaines fiches techniques pourront, toutefois, être présentées en langue anglaise. ARTICLE 9 - PRESENTATION DE L'OFFRE Les offres préparées par le soumissionnaire doivent être présentées obligatoirement en deux parties distinctes, offre technique et offre financière. L offre technique doit être mise sous enveloppe cachetée et anonyme portant l'adresse du Maître d Ouvrage. 4

5 Chaque partie comprendra les documents ci-après: A - ENVELOPPE TECHNIQUE Aucune pièce de l'enveloppe technique ne doit porter, sous peine de nullité, d'indications sur le coût d un ou de plusieurs éléments de l offre correspondante. Le dossier technique devra être composé des sections suivantes, dans l'ordre indiqué : Ordre Section 1 Présentation des références du soumissionnaire 2 Attestation fiscale prévue par la législation en vigueur. 3 Attestation d'affiliation à la Caisse Nationale de Sécurité Sociale. 4 Déclaration CNSS pour l équipe permanant à la société 5 Déclaration sur l'honneur de non faillite (voir modèle en annexe N 2). 6 L'agrément d'exercer des missions d'audit : la société doit être agrée auprès de l agence nationale de la sécurité informatique. 8 Le Cahier des Clauses Administratives signé avec la mention "Lu et approuvé"; chaque page doit être paraphée avec cachet humide du soumissionnaire à l'appui 9 Le Cahier des Clauses Techniques signé avec la mention "Lu et approuvé"; chaque page doit être paraphée avec cachet humide du soumissionnaire à l'appui. 10 Méthodologie(s) proposée(s) pour la conduite du volet audit organisationnel et physique de chaque composante du système d information, incluant le détail du planning estimatif d'exécution (équipe intervenante, charge H/J), et la spécification des outils logiciels d'accompagnement (traitement des enquêtes et calcul de risque), remplis, avec soin et précision. 11 Méthode(s) proposée(s) pour la conduite du volet audit technique, incluant la spécification des outils et scripts à utiliser lors de ce volet de l'audit et le détail du planning estimatif d'exécution, remplis, avec soin et précision. 12 Descriptif des opérations de sensibilisation, accompagnée des référence des intervenants et d'une description de la matière de sensibilisation (documents/maquettes, ) qui sera utilisée. 13 Le Tableau Récapitulatif, résumant la démarche d audit proposée 14 Le calendrier global d'exécution, spécifiant clairement toutes les phases d exécution. 15 Les détails des plannings d exécution (voir modèle en annexe N 6) 16 Les diplômes, les certificats valides à l'ouverture des plis, CV signés et références de l équipe d'audit proposée (voir modèle en annexe N 5) qui sera composée au moins d'un chef de projet et un autre auditeur qui doit être impérativement : 1) agréé auprès de l Agence Nationale de la Sécurité Informatique (ANSI). 2) ayant une expérience de 3 ans au minimum. 3) engagé en plein temps pour la réalisation de la mission. N.B : chaque condition doit être justifiée par les pièces nécessaires (fournir des pièces conformes à l originale). 17 Présentation des Outils techniques utilisés 18 La déclaration sur l honneur, de confidentialité, de la société et des auditeurs qui seront impliquées dans les réunions d éclaircissement, préliminaires à la soumission de l offre (voir modèles en annexes N 3-1, 3-2, 3-3 et 3-4) 19 Déclaration sur l honneur que le soumissionnaire n a pas fait soit par lui même soit 5

6 par une autre personne interposée des promesses, des dons ou des présents en vue d influencer sur les différentes procédures de conclusions du marché (voir modèle en annexe N 1). Remarque : Afin de faciliter le dépouillement, les soumissionnaires sont invités, sans y être obligés, de présenter une version électronique des principaux documents de synthèse fournis (tableaux, modèles ), en veillant à leur conformité à ceux soumis sous la forme de papier. B - ENVELOPPE FINANCIERE Le dossier commercial devra comprendre une offre détaillé TTC. Ordre Section 1 La lettre de soumission clairement remplie et dûment signée par le soumissionnaire (voir modèle en annexe N 7). 2 Eventuellement, la délégation de pouvoir et de signature. 3 Le bordereau des prix (voir modèle en annexe N 8). ARTICLE 10 REFERENCES Les références de l'équipe intervenante et du soumissionnaire constituent un critère d évaluation technique. Le Maître d Ouvrage ne tiendra compte que des références, dûment justifiées par des certificats ou des attestations. ARTICLE 11 - DUREE DE REALISATION DES MISSIONS La durée de réalisation des missions objet du présent cahier des charges, ne doit pas dépasser 20 Jours ouvrables. Le délai de finalisation de la mission devra être égal à la durée spécifiée dans le planning proposé dans l'offre, à moins d'un accord contraire établi lors de la phase préliminaire de démarrage. Ce délai ne tient pas compte délais additionnels éventuels pris pour la correction (validation) des différents livrables exigés dans le présent cahier des charges, ainsi que ceux spécifiés dans l'offre, et ce conformément à l'article 12. ARTICLE 12 RECEPTION La réception des missions d audit s effectuera pour la totalité du marché, suite à la rédaction d un Procès verbal de réunion de la clôture de la mission d audit du site web (voir modèle en annexe N 4-2). 6

7 Le Maître d Ouvrage appliquera deux phases de réception : 1- Première phase : La première phase consiste en l approbation par le Maître d Ouvrage du rapport préliminaire d audit du site web de la structure auditée portant le cachet et la signature du chef de projet. Le chef de Projet du Maître d Ouvrage donnera son avis quant à la consistance et la pertinence du rapport, en regard : A la qualité de réalisation des objectifs assignés à la mission et fixés dans le Cahier des Clauses Techniques et, le cas échéant, tel que raffinées lors de la phase de démarrage. De l'adéquation de la méthodologie mise en œuvre par le titulaire lors de la réalisation de la mission, avec celle consignée dans son offre. De la qualité des recommandations issues. Le cas échéant, de la qualité des mesures d'accompagnement consignées. Le Maître d Ouvrage se chargera de communiquer cet avis au titulaire dans un délai ne dépassant pas 15Jours ouvrables à partir de la date de réception du rapport. Dépassé ce délai, le dit rapport sera automatiquement considéré comme validé. Au cas où l avis consigne des réserves, le titulaire devra lever ces réserves, dans une période ne dépassant pas 10 jours ouvrables à partir de la date de leur notification, sauf accord contraire entre les deux parties, compte tenu du volume des corrections. 2- Deuxième phase : Cette phase consiste en la soumission du rapport final d audit portant le cachet et la signature du chef de projet à l approbation du Maître d Ouvrage. Ce rapport devra être remis par le soumissionnaire dans les délais impartis (en tenant compte de l'éventuel rallongement induit par la phase 1). Le chef de Projet du Maître d Ouvrage donnera son avis quant à la consistance et la pertinence du rapport, en regard (en sus des critères fixés dans la précédente phase) : De la qualité et complétude des livrables fournis. De la qualité (pertinence, pragmatisme) de recommandations issues des travaux d'audit et de leur complétude. De la qualité des plans d action et du plan d action cadre s étalant sur trois années. Le Maître d Ouvrage se chargera de communiquer cet avis au titulaire dans un délai ne dépassant pas 15 Jours ouvrables à partir de la date de réception du rapport. Dépassé ce délai, le dit rapport sera automatiquement considéré comme validé. Au cas où l avis consigne des réserves, le titulaire devra lever ces réserves, dans une période ne dépassant pas 10 jours ouvrables à partir de la date de leur notification, sauf accord contraire entre les deux parties, compte tenu du volume des corrections. ARTICLE 13 - DELAIS DE VALIDITE DES OFFRES Les offres doivent être valables pendant une durée minimale de 60 jours à compter du jour suivant la date limite de réception des offres. Toute offre dont la validité est inférieure à cette période sera écartée par le Maître d Ouvrage comme non conforme aux conditions de la consultation. 7

8 Pendant toute la période de validité de son offre, le soumissionnaire s engage expressément et sans réserve, à renoncer au droit de retirer son offre et de ne pas y apporter ni additif ni correction, à moins que le Maître d Ouvrage ne le lui demande par écrit. ARTICLE 14 - FORME ET SIGNATURE DE L'OFFRE L'offre établie par le soumissionnaire, avec les documents et les données s'y rapportant devra parvenir au Maître d Ouvrage en 2 exemplaires, complets dûment tamponnés, datés et signés par le soumissionnaire ou l ayant droit. Pour les soumissions, les correspondances, les réponses aux demandes d'éclaircissements éventuels, les documents contractuels et tout autre document relatif à la présente consultation, cas, toutes les obligations des soumissionnaires seront maintenues au nouveau délai. Seuls la signature et les paraphes de la (des) personne(s) dûment autorisée(s) par le gérant ou directeur général du soumissionnaire, comme ayant les pouvoirs de signer et de décider sont acceptés par le Maître d Ouvrage. En cas de changement de l'autorisation, le soumissionnaire doit immédiatement notifier au Maître d Ouvrage, sans délai, la nouvelle personne ayant les pouvoirs de signature et de décision. ARTICLE 15 - DATE LIMITE DE RECEPTION DES OFFRES Les offres doivent parvenir, par voie postale et recommandée, au bureau d ordre de l Institut Supérieur des Etudes Appliquées aux Humanités EL KEF à l adresse suivante : INSTITUT SUPERIEUR DES ETUDES APPLIQUES AUX HUMANITES cité eddir el Kef 7100 L enveloppe extérieure devra porter la mention : «NE PAS OUVRIR Consultation N 10/2013 Audit de sécurité du site web de la L INSTITUT SUPERIEUR DES ETUDES APPLIQUES AUX HUMANITES EL KEF(ISEAH)» La date limite de réception des offres est fixée à 20 jours de la date de publication de la consultation à la presses. Le cachet de la poste ou du bureau d ordre de la L INSTITUT SUPERIEUR DES ETUDES APPLIQUEES AUX HUMANITES faisant foi. Le Maître d Ouvrage se réserve le droit de prolonger le délai de réception des offres. ARTICLE 16 - OFFRES PARVENUES HORS DELAIS Toute offre parvenue après expiration du délai de réception des offres fixé par le Maître d Ouvrage, spécifié à l'article 15, sera automatiquement rejetée. 8

9 ARTICLE 17 - MODIFICATION ET RETRAIT DES OFFRES Aucune modification d'ordre administratif, financier ou technique concernant toute mission ne peut être apportée à l'offre de base après ouverture des plis sous peine de nullité. Aucune offre ne peut être retirée dans l'intervalle compris entre le délai de réception des offres et l'expiration de la période de validité de l'offre précisée par le soumissionnaire dans sa soumission. Le retrait d'une offre par le soumissionnaire, pendant cet intervalle de temps, peut entraîner la mise en jeu du cautionnement provisoire. ARTICLE 18 CONFORMITE DES OFFRES Le Maître d Ouvrage examinera si les offres répondent aux conditions des cahiers des charges. Les soumissionnaires sont tenus de s'aligner strictement aux dispositions de tous les articles du Cahier des Clauses Administratives et du Cahier des Clauses Techniques. Aucune réserve, ni restriction ne sont acceptées, sous peine de nullité de l offre. ARTICLE 19 - NOTIFICATION DE L'ATTRIBUTION Cahier des charges mission d audit de sécurité du Site Web de la l institut supérieur des études appliquées aux humanités el kef ISEAH Le Maître d Ouvrage notifiera au soumissionnaire retenu l'acceptation de son offre, avant l'expiration de la période de validité des offres. ARTICLE 20 REGLEMENTATION Le titulaire s'engage à respecter les dispositions des textes législatifs et réglementaires en vigueur ci-après énoncés : La loi n du 3 février 2004, relative à la sécurité informatique et portant sur l organisation du domaine de la sécurité informatique et fixant les règles générales de protection des systèmes informatiques et des réseaux. La loi 89/9 du 1er Février 1989 relative aux participations et entreprises publiques telle que modifiée et complétée par la loi N 94/102 du 1er août Le décret n du 17 Décembre 2002, portant réglementation des marchés publics tel qu'il a été modifié et complété par les textes subséquents. Le cahier des clauses administratives générales (CCAG) afférent aux marchés publics d études (arrêté du Premier Ministre du 12 octobre 1994). ARTICLE 21- DOCUMENTS CONTRACTUELS Les droits et obligations respectifs du titulaire et du Maître d Ouvrage au titre du présent marché sont définis par les documents suivants, prévalant par ordre décroissant : La soumission du fournisseur ; Le Cahier des Clauses Administratives ; Le Cahier des Clauses Techniques. Le bordereau des Prix Ces documents sont assujettis à l enregistrement. 9

10 ARTICLE 22 SECRET PROFESSIONNEL Le titulaire s engage à ne pas rendre public ou divulguer à qui que ce soit sous forme écrite, orale, ou électronique les résultats de l audit ou toute information relevant de la structure auditée et à laquelle il a eu accès dans l exécution de sa mission ou pour la soumission de son offre. Le Maître d Ouvrage interdit aux soumissionnaires et au titulaire de délivrer via n importe quel moyen de communication, toute information confidentielle relative au système d information et spécialement toute information pouvant : Donner une indication sur l architecture réseau, la configuration matérielle ou logicielle, les plates-formes, les serveurs, etc...et toute composante des systèmes d information et de communication. Donner une indication sur les mécanismes de contrôle d accès et de protection du système d information et des dispositifs de sécurité logique. Donner une indication sur tout type de faille organisationnelle ou technique décelée. Et d une façon générale, le titulaire est tenu au secret professionnel et à l obligation de discrétion pour tout ce qui concerne les faits, informations, études et décisions dont il aura eu connaissance au cours de l exécution du présent marché ou pour la soumission de son offre ; il s interdit notamment toute communication écrite, électronique ou verbale sur ces sujets et toute remise de documents à des tiers. Durant et au terme de la mission, le titulaire s engage à ne divulguer ou à déposer dans des lieux non sécurisés tout document, quelque soit sa forme (papier, magnétique, électronique ou autre), portant des informations concernant les parties audités. Il veillera à la fin de la mission à détruire les documents de travail utilisés ou à assurer leur stockage dans un lieu ou sous un format hautement sécurisé. Le maître d ouvrage se réserve le droit de vérifier le niveau de sécurité des endroits de stockage de documents relatifs à la mission et ce à tout moment, même postérieur à la mission. ARTICLE 23 - PROPRIETE DES DOCUMENTS Tous les rapports et documents produits en exécution de la présente consultation sont la propriété exclusive du Maître d Ouvrage. Le titulaire ne peut les distribuer, les diffuser, ou les communiquer sous quelque forme que ce soit sans le consentement écrit du Maître d Ouvrage. ARTICLE 24 - MODALITES DE PAIEMENT Le paiement des missions d audit objet de cette consultation s effectuera conformément à la réglementation relative aux marchés publics et ceci à la réception définitive. En cas de Phase d accompagnement (optionnel), le payement du montant relatif à cette opération se fera, à la fin de sa réalisation. 10

11 ARTICLE 25- RESILIATION Résiliation par le maître d ouvrage : Le marché peut être résilié par décision du Maître d Ouvrage aux torts du titulaire dans le cas où : Le titulaire déclare ne pas pouvoir exécuter ses engagements sans qu'il puisse invoquer un cas de force majeur, entre autres en modifiant la constitution des équipes proposées dans son offre, sans autorisation préalable du maître d ouvrage. Le titulaire se permet de violer les dispositions de l article 22 relatives au secret professionnel. Le titulaire a perturbé de manière très grave la continuité du service du système audité (plus de 6 heure de travail de perturbation de fonctionnement), en ayant procédé à des tests connus pour être dangereux, sans préavis et autorisation préalable. Le titulaire se livre, à l'occasion du marché, à des actes frauduleux portant sur la nature, ou la qualité de ses missions. Le titulaire a fait soit par lui même soit par une autre personne interposée des promesses, des dons ou des présents en vue d influencer les différentes procédures de conclusions du marché et/ou les étapes de sa réalisation. Le Maître d Ouvrage se réserve le droit de faire exécuter le marché par un tiers aux frais et risques de la partie aux torts de laquelle la résiliation est prononcée. La résiliation du marché ne fera pas obstacle à la mise en œuvre des actions civiles ou pénales qui pourraient être intentées contre le titulaire en raison de ses fautes. Le titulaire s'engage à ne plus procéder, dès réception de la décision de Maître d Ouvrage, qu'à des opérations de liquidation du marché. Résiliation par le titulaire : Le marché peut être résilié par décision du titulaire aux torts du maître d ouvrage dans le cas où : Le maître d ouvrage déclare ne pas pouvoir exécuter ses engagements sans qu'il puisse invoquer un cas de force majeur. Le maître d ouvrage se livre, à l'occasion du marché, à des actes d influence portant sur la complétude des résultats reportés. Le maître d ouvrage a fait soit par lui même soit par une autre personne interposée des actes de malversation ou des pressions en vue d influencer sur les différentes procédures de réalisation et de validation du marché. Le maître d ouvrage commet de graves négligences pour permettre le déroulement correct des missions d audit ou dans ses relations avec le titulaire. La résiliation du marché ne fera pas obstacle à la mise en œuvre des actions civiles ou pénales qui pourraient être intentées contre le maître d ouvrage en raison de ses fautes. 11

12 ARTICLE 26 - ENTREE EN VIGUEUR DU MARCHE L'entrée en vigueur du marché aura lieu suite à la signature du marché par le Maître d Ouvrage et le titulaire et suite à la rédaction du procès verbal de réunion de démarrage de la mission d audit de sécurité du site web de la L INSTITUT SUPERIEUR DES ETUDES APPLIQUEES AUX HUMANITES EL KEF ISEAH (voir modèle en annexe N 4-1). ARTICLE 27 EN CAS DE REFUS DE L AUDIT PAR L ANSI Le rapport final ainsi que tous les procès-verbaux et le planning réel d exécution de la mission doivent être remis à l Agence Nationale de la Sécurité Informatique conformément aux dispositions du décret Si le rapport d audit était refusé par l Agence Nationale de Sécurité Informatique, pour manquement grave aux prescriptions du décret , le titulaire est tenu de procéder à ses frais, à la correction des manques signalés. Lu et approuvé Signature et cachet du prestataire.. le,

13 PARTIE II : Cahier des Clauses Techniques 13

14 ARTICLE 1 - OBJET DE LA CONSULTATION Le Maître d ouvrage se propose de lancer une consultation pour l audit applicatif du site web de l institut supérieur des études appliquées aux humanités el Kef ISEAH L objet de cet audit devra se conformer, au minimum, aux dispositions énoncées dans le décret N et être, au moins, piloté par, au moins, un chef de projet certifié par l ANSI, conformément au décret N du 25 mai La mission d audit objet de cette consultation devra ainsi concerner les aspects : conformité, accessibilité, ergonomie, visibilité, Code de l applicatif, serveur et plateforme d hébergement. Cet audit devra donc prendre en considération l ensemble des composantes de l infrastructure technique, à savoir : La bande passante réseau disponible pour l accès au service ; Le dimensionnement des équipements réseaux ; Le dimensionnement matériel des serveurs web, serveurs d application et serveurs de bases de données ; La conception et l architecture de l application web ; La qualité et la performance du code source de l application web ; ARTICLE 2 CONDUITE ET DEROULEMENT DE LA MISSION Cette mission sera décomposée en trois phases : I-Phase de préparation de la mission : Au lancement de la mission, le titulaire devra solliciter auprès des structures à auditer tout détail, information ou document nécessaire pour l exercice de sa mission, entre autres la fourniture des rapports résultants du dernier audit réaliser. Une réunion préparatoire de la mission sera organisée au début de la mission, dont l objet sera de finaliser, sur la base des besoins et documents préparés par le soumissionnaire, les détails de mise en œuvre de la mission. Elle concernera, sans s y limiter, la finalisation des détails suivants : Désignation des chefs de projets et des interlocuteurs, côté maître d ouvrage et soumissionnaire. Fourniture des détails complémentaires, relatifs au domaine de l audit, Fourniture des documents requis pour l audit (Manuels d exploitation, schémas d architectures, manuelle développement, ) Examen des problèmes éventuels, relatifs à la mise à jour de la documentation, Affinement des plannings d exécution (planning des actions/site, plannings des réunions de coordination et de synthèse,.). Examen des détails logistiques nécessaires au déroulement de la mission octroi des autorisations d accès aux lieux où l audit devra être élaboré sur la base d études de terrain, octroi de locaux de travail au titulaire, ). Ainsi tous les détails de mise en œuvre seront examinés et validés. Cette réunion débouchera, entre autre, sur la synthèse des plannings précis et détaillés de mise en œuvre de la mission. 14

15 Les résultats de cette réunion seront consignés dans un PV, qui sera annexé au rapport final d audit. En cas de difficultés notoires rencontrées lors de cette phase de démarrage, le soumissionnaire devra faire recours au Maître d Ouvrage par écrit, pour permettre à celui-ci d intervenir efficacement et dans les délais. II-Audit : Diagnostic, stratégie et moyens : C est la phase d audit couvrira principalement 4 volets : La conformité du site Web aux standards du W3C L'accessibilité du site L'ergonomie (utilisation) du site La richesse et la pertinence du contenu La visibilité du site Internet A- Audit de conformité : Il s agit de procéder à une analyse très fine du site web pour vérifier est ce qu il est conforme aux standards du Web, c est une première étape indispensable vers un site de qualité. Le respect des normes du W3C induit des avantages pour le propriétaire du site et pour ses utilisateurs : Compatibilité avec tous les navigateurs Economie sur la maintenance et indépendance vis à vis des prestataires Evolutivité et pérennité Rapidité d'affichage des pages et économie sur la bande passante Amélioration de l'accessibilité Meilleur positionnement dans les moteurs de recherche,. B- Audit d accessibilité : Il s agit de procéder à une analyse à fin de révéler tous les problèmes d'accessibilité rencontrés ainsi que les recommandations techniques pour les résoudre et une hiérarchie des corrections à apporter. (Voir les dernières versions) Access Web 1.1 RGAA UWEM 1.0 WCAG 1.0 WCAG 2.0 C- Audit d utilisation : Il s agit de la Mesure de l'utilisabilité des interfaces en rappellent les principaux : Réduction du support utilisateurs Amélioration de la satisfaction Amélioration de la qualité Amélioration de l'apprentissage. 15

16 D- Audit de Visibilité : Il s agit d auditer la visibilité du site dans les moteurs de recherche et vérifier s il respecte les normes internationales qui garantissent un bon classement dans les moteurs. Plusieurs points à analyser à savoir : Meilleur positionnement dans les moteurs de recherche Augmentation du nombre de visiteurs Prise en compte de tout le contenu multimédia (Flash, vidéo, son...) Contenus textuels adaptés aux contraintes éditoriales du Web Meilleure lisibilité de l'information Qualité des contenus II-Audit : Diagnostic, stratégie et moyens : A- Audit de sécurité site web - Boîte Blanche Un audit de sécurité dit "boîte blanche" est un audit ou toutes les informations sur le site web sont fournies par l organisme. Il permet de réaliser d'une manière totalement transparente, une vue complète de la sécurité en place sur les plans développement et hébergement Détail de la procédure : L institut fournit à l équipe tous les documents de la cible (pages sources d'un site web, plan l'architecture, documents organisationnels...) Etude de code source du site web L'équipe d audit, étudie, test et vérifie la cible Elaborer dans le rapport d audit une série de préconisations hiérarchisées est établie afin de permettre au Client de sécuriser le site web Vérifier les procédures de mises à jour et les contrôles d accès : Vérification des paramètres Vérification des autorisations Droits sur les répertoires Bugs algorithmiques Problèmes de performance Vérification des accès aux bases de données Bien d autres points liés à notre pôle de compétence B- Audit de sécurité site web - Boîte Noire L'audit boîte noire est un audit de sécurité qui se fait à l'aveugle. L ISEAH ne donne pas d'information concernant son site web. Cet audit de sécurité va permettre de valider la sécurité de site web ou et du serveur hébergement. Il est essentiel pour garantir que l image de l organisme ne soit pas affectée par un acte de piratage. 16

17 L équipe d audit recherche toutes les faiblesses du site et du serveur qu un pirate peut exploiter. L institut ne met rien à la disposition de l'équipe d audit L'audit est réalisé en dehors du la ISEAH L'équipe d audit tente de pénétrer au site web et si elle rectifie, elle laissera des traces de sa visite. Toutes les faiblesses et les recommandations pour y remédier doivent être consignées dans le rapport d audit. ARTICLE 3 DELIVRABLES Le rapport d audit devra couvrir, au minimum, les aspects mentionnés dans le cahier des charges. Le document final devra inclure les chapitres ou rapports suivants : 1-Un rapport détaillé d audit couvrant les différents aspects spécifiés dans le Cahier de clauses techniques ainsi bien un plan d action à appliquer sur le court terme (jusqu'au prochain audit), comprenant des recommandations précises quant aux mesures à prendre dans le court terme, afin de pallier aux failles et insuffisances décelées 2-Un rapport de synthèse, destiné à l ISEAH, qui inclura d une manière claire (destiné décideurs) les importants résultats de l estimation des risques, un résumé succinct des importantes mesures techniques préconisées dans l immédiat et sur le moyen terme (jusqu au prochain audit), ainsi que les grandes lignes du plan d action cadre proposé. Lu et approuvé Signature et cachet du prestataire.. le,

18 ANNEXES 18

19 ANNEXE 1 19

20 ANNEXE 2 20