APPEL D OFFRES OUVERT SUR OFFRES DE PRIX N 07/2013 SEANCE PUBLIQUE

Transcription

1 ROYAUME DU MAROC FONDATION MOHAMMED VI POUR LA PROMOTION DES ŒUVRES SOCIALES DE L ÉDUCATION FORMATION APPEL D OFFRES OUVERT SUR OFFRES DE PRIX N 07/2013 SEANCE PUBLIQUE REALISATION D UN AUDIT GLOBAL DE SECURITE DU SYSTEME D INFORMATION DE LA FONDATION MOHAMMED VI ET ASSISTANCE A SA MISE EN CONFORMITE À LA LOI 09/08 RELATIVE A LA PROTECTION DES DONNEES A CARACTERE PERSONNEL CAHIER DE PRESCRIPTIONS SPÉCIALES Passé en application des dispositions de l alinéa 2 ( ) 1 de l Article 16, de l alinéa 2 ( ) 3 de l article 17 et l article 6 du règlement particulier des marchés de la Fondation Mohammed VI de Promotion des Œuvres Sociales de l Education Formation. 1

2 ROYAUME DU MAROC LA FONDATION MOHAMMED VI DE PROMOTION DES ŒUVRES SOCIALES DE L ÉDUCATION - FORMATION MARCHE N /2013 PASSE PAR APPEL D OFFRES OUVERT SUR OFFRE DE PRIX N 07/2013 REALISATION D UN AUDIT GLOBAL DE SECURITE DU SYSTEME D INFORMATION DE LA FONDATION MOHAMMED VI ET ASSISTANCE A SA MISE EN CONFORMITE À LA LOI 09/08 RELATIVE A LA PROTECTION DES DONNEES A CARACTERE PERSONNEL Passé en application de l alinéa 2 du paragraphe 1 de l article 16 et l alinéa 2 du paragraphe 3 de l article 17 du règlement particulier des marchés de la Fondation Mohammed VI de Promotion des œuvres Sociales de l Education Formation. ENTRE La Fondation Mohammed VI de Promotion des Œuvres Sociales de l Education Formation représentée par son Directeur Administratif et de la Logistique en vertu des pouvoirs qui lui sont conférés et désignés ci-après par «la Fondation». d une part, ET Monsieur Agissant au nom et pour le compte de. Au capital de. Adresse du siège social de la société Adresse du domicile élu.. Affilié à la CNSS sous le N... Inscrit au registre de commerce de (localité) sous le N N de patente Titulaire du compte bancaire N ouvert à la banque.. En vertu des pouvoirs qui lui sont conférés et désignés ci-après par «le Soumissionnaire». d autre part IL A ÉTÉ CONVENU ET ARRÊTÉ CE QUI SUIT : 2

3 CLAUSES ADMINISTRATIVES ET FINANCIERES ARTICLE 1 : OBJET DU MARCHE Le Marché issue de la consultation a pour objet : La réalisation d un audit global de sécurité du Système d Information de la Fondation Mohammed VI et l assistance à sa mise en conformité à la Loi 09/08 relative à la protection des données à caractère personnel. ARTICLE 2 PIÈCES CONSTITUTIVES DU MARCHÉ ET TEXTES APPLICABLES Les documents et pièces incorporés au marché sont énumérés ci-après : Le Marché Le bordereau des prix - détail estimatif L autorisation d exercice Le titulaire du présent marché reste soumis aux textes généraux suivants : Le Cahier des Clauses Administratives Générales C.C.A.G-EMO. Le Décret Royal N du 21 avril 1967 portant règlement général de la comptabilité publique. Le règlement particulier des marchés de la Fondation. Ainsi que les textes et les règlements en vigueur. Le titulaire ne pourra en aucun cas se prévaloir de l'ignorance de ces documents pour soustraire aux obligations qui en découlent. ARTICLE 3 : PRESENTATION DU PROJET Le présent projet consiste à améliorer deux volets importants dans le Système d Information de la Fondation à savoir : Audit et amélioration de la Sécurité ; La conformité à la Loi relative à la protection des données personnelles. 1 Audit et amélioration de la sécurité : L objectif est de cerner les différentes composantes de la sécurité du SI pour atteindre un niveau de sécurisation répondant aux objectifs organisationnels et techniques de la Fondation, et ceci en réalisant les missions suivantes: 3

4 Auditer le niveau de sécurité du Système d Information, en prouvant l efficacité des dispositifs de protection mis en place et en relevant les failles et les éventuelles vulnérabilités; Définir et mettre en œuvre une politique de sécurité intégrée ; Elaborer les recommandations et un plan d action clair et planifié visant à améliorer la sécurité du SI ; Définir et mettre en œuvre une charte utilisateur et des procédures de sécurité SI modélisables et conformes aux normes en vigueurs. Le champ de la prestation s étend à toutes les composantes (serveurs, logiciels, systèmes d exploitation, bases de données, applications...etc.) du Système d Information de la Fondation, ainsi que la messagerie, les serveurs publics (WEB, DNS), les contrôleurs de domaines et l infrastructure réseaux ou tout autre composant complémentaire. Cette mission d audit devra couvrir tous les aspects de la sécurité des systèmes à savoir la confidentialité des informations, l intégrité, la disponibilité et la traçabilité des systèmes et des données Elle devra concerner aussi les aspects organisationnels, relatifs à la sécurité de l ensemble des entités et moyens (outils logiciels, équipements de traitement, équipements réseaux, équipements de sécurité, structures, personnel ainsi que la sécurité physique. 2 Conformité à la Loi relative à la protection des données personnelles La Loi N sur la protection des personnes physiques à l'égard du traitement des données à caractère personnel est une Loi qui introduit, pour la première fois, dans le paysage juridique marocain, un ensemble de dispositions légales dont l'interprétation ne peut se faire que par rapport à un principe énoncé dans son article premier selon lequel : " L'informatique est au service du citoyen et évolue dans le cadre de la coopération internationale. Elle ne doit pas porter atteinte à l'identité, aux droits et aux libertés collectives ou individuelles de l'homme. Elle ne doit pas constituer un moyen de divulguer des secrets de la vie privée des citoyens"... La protection de la vie privée est désormais garantie par l article 24 de la constitution du 1 er Juillet La Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP), instituée par la Loi 09-08, veille au respect des règles auxquelles doivent se conformer les organismes publics et privés avant et lors du traitement des données à caractère personnel. 4

5 Par le présent marché, la Fondation Mohammed VI envisage de se conformer à cette Loi et s inscrire dans la démarche de l Etat pour la protection des données personnelles des citoyens. ARTICLE 4 : PRESTATIONS DEMANDEES Cette étude doit se référer à la norme de gestion de la sécurité du Système d Information et à son annexe et respectera, le référentiel COBIT dans sa version 4 (en terme de gouvernance de la sécurité des SI), et celui d ITIL V3 par rapport à la gestion des incidents liés à la sécurité SI, et se déroulera selon les Phases suivantes : Phase 1: Cadrage Phase 2: Audit de la sécurité du Système d Information Phase 3 : Elaboration des recommandations et du plan d action Phase 4 : Elaboration des procédures de sécurité du SI Phase 5 : Accompagnement de la Fondation à la conformité à la Loi Phase 6 : Elaboration du Plan de Reprise d Activité Informatique (PRAI) 1 Phase 1 : Cadrage Dans le cadre de cette phase, le titulaire du marché devra : Tenir des réunions en interne (prise de contact et lancement du projet) et en établir les PV qui devront être validés par toutes les parties. Prendre connaissance du contexte organisationnel et technique de la Fondation, Présenter la méthodologie détaillée qui sera appliquée dans le cadre du marché. Collecter la documentation technique, organisationnelle ainsi que les informations relatives à l audit et définir les autres documents à collecter au cours de l audit, Elaborer, fournir et présenter le Plan de Management de Projet (PMP), Elaborer, fournir et présenter le Plan d Assurance Qualité (PAQ), Livrables de la Phase : Plan d Assurance Qualité Plan de Management de Projet Planning de la mission PVs des réunions Séminaire de sensibilisation pour la Direction Générale 5

6 1 Phase 2 : Audit du de la sécurité du SI Il s agit de recueillir l existant (opérationnel et en cours de mise en place) des différentes composantes du Système d Information en matière de sécurité du SI. Etape 1 : Audit organisationnel Cette étape consiste à établir un état des lieux complet et objectif du niveau actuel de la sécurité de l ensemble du Système d Information sur les plans stratégique, organisationnel et technologique. Elle permettra, d'une part, de faire un bilan des différents dispositifs déjà mis en place en précisant aussi bien leurs points forts que leurs points faibles. Cette Phase permettra, d'autre part, d évaluer tous les éléments (techniques, organisationnels, opérationnels, etc ) nécessaires au renforcement du niveau de sécurité du Système d Information notamment : En évaluant les aspects organisationnels de gestion de la sécurité relative à l'ensemble de l'activité, en traitant les axes suivants : Politique de sécurité de l'information Organisation de sécurité de l'information Gestion des actifs Sécurité liée aux ressources humaines Sécurité physique et environnementale Exploitation et gestion des communications Contrôle d'accès aux applicatifs et aux bases de données Acquisition, développement et maintenance des systèmes d'informations Gestion des incidents Gestion de la continuité d'activité. Conformité En appréciant l efficacité de l organisation des équipes de sécurité (périmètre de responsabilité, qui fait quoi). En auditant la conformité de la Fondation Mohammed VI par rapport à la Loi marocaine relative à la protection des données à caractère personnel. Cette Phase permettra aussi d identifier les différents scénarios de risque, le prestataire devra fournir pour chaque scénario de risque : Les facteurs identifiés d atténuation et de réduction des risques ; 6

7 La potentialité réelle et l impact résiduel de ces risques ainsi que leur facteur de gravité. Aussi, le prestataire doit : Etablir une étude sur les faiblesses et failles du Système d Information de La Fondation afin d'évaluer les risques potentiels du SI en se basant sur la méthode MEHARI, et élaborer une cartographie des risques SI Définir les scenarios de réduction des risques Evaluer le niveau de maturité de la sécurité du SI de la Fondation par rapport au référentiel COBIT Evaluer le niveau de maturité de la sécurité du SI de la Fondation par rapport au référentiel ITIL Etape 2 : Audit environnemental Le but de cet audit est d élaborer les recommandations nécessaires pour fournir une protection environnementale adaptée qui protège les équipements informatiques et les personnes contre les risques humaines et naturels et faire coïncider l infrastructure de la sécurité physique avec celle du Système d Information. La démarche souhaitée passera par une évaluation de l existant qui devrait couvrir les points majeurs de la sécurité physique des installations, le mode d accès physique du personnel et les visiteurs, les procédures d authentification, la santé et la sécurité du personnel. La conformité souhaitée, au travers de cet audit, est de cerner la protection du périmètre des équipements informatiques. A ce niveau, on évoquera : La protection du périmètre des ressources informatique (protection de proximité) et celle des bâtiments (protection des environs) ; La politique d accès au siège (accès des personnes, des voitures, limitation des accès, etc.) ; La conformité des Datacenter (Salles machines) aux normes internationales de la sécurité environnementale ; L étude devra prendre en compte la sécurité physique des «salles machines» et électrique en particulier ; La norme de conception des salles (mur, plafond, porte,...) ; La norme de sécurité incendie et d'alarme incendie; 7

8 La norme de climatisation et de l'humidité, etc Le prestataire est tenu de lister les points de contrôle ainsi que les normes et les méthodes qui seront utilisées dans le cadre de cette étape. Etape 3 : Audit technique de la sécurité Cette Phase consiste à procéder à une analyse très fine de l infrastructure sécuritaire permettant de : Faire apparaître les failles et les risques conséquents d intrusions actives (tentatives de fraude, accès et manipulation illicites de données, interception de données critiques ), ainsi que celles virales ou automatisées Evaluer l herméticité des frontières du réseau, contre les tentatives d'exploitation des plates-formes de service par des attaquants externes (sites d amplification d attaques, relais de spam, indisponibilité de sites Web,..). Apprécier la robustesse de la sécurité des infrastructures internet et sa capacité à préserver les aspects de confidentialité, d intégrité, de disponibilité et d autorisation. Dégager les écarts entre les procédures techniques de sécurité supposées être appliquées et celles réellement mise en œuvre. Pour assurer cet audit technique, le soumissionnaire est tenu de proposer deux scénarios: Scénario «Boite Noire»: Le soumissionnaire procédera dans cette option à des tests techniques à distance et depuis l intérieur de la Fondation avec un accès au réseau local).dans ce cas de figure, le soumissionnaire ne connaît rien de la structure de la plateforme SI de la Fondation, et il procédera donc à des tests et analyses pour rechercher les éventuelles vulnérabilités en se basant sur son bon sens et ses expériences, comme s il était un «Pirate» de haut niveau technique. Scénario «Boite Blanche»: Le prestataire se chargera de faire des tests techniques depuis l extérieur et de l intérieur avec un maximum d information sur la Fondation (Architecture et organisation de la plateforme, Annuaire, Trombinoscope). Le prestataire effectuera une intervention technique sur l évaluation de la sécurité du Système d Information. Celle-ci peut se composer de : 8

9 1 Tests automatisés : il s agit de détecter les éventuelles failles de sécurité du Système d Information, de l infrastructure réseaux et l infrastructure de gestion des clés publics (PKI). Grâce à des scanners de vulnérabilités qui s appuient sur une base d attaques connues, le prestataire essaiera ces attaques sauf celles qui pourraient neutraliser les systèmes évalués. L idée est de détecter les failles connues régulièrement découvertes dans les serveurs WEB, DNS et autres applications. 2 Tests d intrusions : Test avec des outils : ces tests exigeront l implication d un expert qui va tenter de pénétrer les systèmes à l aide de toutes les astuces, les informations et les outils dont il dispose. Test manuel : Permet de vérifier l existence des vulnérabilités détectées par des outils utilisés (cas d Injection SQL). 3 Tests et détection des failles: Le prestataire procédera à une série de tests internes (simulant un utilisateur interne avec plus ou moins de privilèges et plus ou moins d expertise technique ou plus ou moins d outils spécifiques à sa disposition) et externes (simulant des attaques depuis Internet ou d autres réseaux partenaires) dans le système pour en évaluer la résistance. 4 Audit de vulnérabilité : L audit a pour objectif de faire un état des lieux des vulnérabilités du Système d Information, et des dispositifs de sécurité, en cohérence avec les pratiques et les exigences de la sécurité adoptées au sein de la Fondation. Ces tests devraient être ciblés sur l infrastructure (attaque de l architecture réseau et des serveurs) et ciblés également sur des applications (attaque sur le service rendu et ou sur les informations manipulées). Le prestataire devra ensuite corriger ces failles avant qu elles ne soient exploitées par de véritables pirates. Le prestataire doit veiller à ce que ces tests ne mettent pas en cause la continuité du service du système audité et que les tests critiques, pouvant provoquer des effets de bord, soient notifiés au Chef de Projet (coté Fondation) et devront, si nécessaire, être réalisés sous sa supervision, conformément à un planning préalablement établi et validé, et qui pourra concerner des horaires de non charge. Aussi, durant cette phase, le prestataire est tenu d identifier les menaces qui sont pertinentes pour le Système d Information, le prestataire devra donc : 9

10 Procéder à une série de tests internes sur l infrastructure (BDD, serveurs, applications, ) hébergeant les données à caractère personnel (simulant un utilisateur interne avec plus ou moins de privilèges et plus ou moins d expertise technique ou plus ou moins d outils spécifiques à sa disposition) Faire apparaître les failles et les risques conséquents d intrusions actives sur l infrastructure hébergeant les données à caractère personnel (accès et manipulation illicites de données, interception de données critiques ), ainsi que celles virales ou automatisées. Identifier les objectifs stratégiques de sécurité en mettant en évidence les vulnérabilités et les dysfonctionnements susceptibles de nuire à l activité du système ; Evaluer la gravité de ces dysfonctionnements sous la forme d une échelle de valeurs, Livrables de la phase: Proposer une démarche de classification des ressources informationnelles suivant les critères de disponibilité, d intégrité, et de traçabilité. Rapport d audit de la sécurité organisationnelle du SI Rapport d audit de la sécurité environnemental du SI Rapport d audit technique de la sécurité (interne et externe). 2 Phase 3 : Elaboration des recommandations et plan d action Le prestataire est invité à réaliser une synthèse, permettant l établissement de la liste des failles (classées par ordre de gravité et d impact), ainsi qu une évaluation de leurs risques et une synthèse des recommandations conséquentes. Une évaluation du système permet de s assurer que les mesures mises en œuvre peuvent garantir une couverture suffisante des risques pesant sur le système. Cette évaluation permettra de préparer les éléments du plan d action qui doit proposer pour chaque vulnérabilité identifiée, une recommandation corrective, qui doit viser à mettre l organisation et le système en adéquation avec les objectifs identifiés. Le prestataire devra détailler les actions organisationnelles et techniques urgentes à mettre en œuvre dans l immédiat pour pallier aux défaillances les plus graves, ainsi que la proposition de la mise à jour : 10

11 De l Architecture technique, Des Systèmes, Du Matériel, Des Locaux, etc. Aussi, le prestataire devra proposer les actions organisationnelles et techniques à mettre en œuvre sur le court terme englobant entre autres les aspects : Organisation liée à la sécurité SI Amélioration de la sécurité SI de La Fondation par rapport aux bonnes pratiques SI (COBIT, ITIL) Outils et mécanismes de sécurité à mettre en œuvre, avec estimation de leurs coûts. L objectif est de formuler les recommandations qui visent à corriger les lacunes et vulnérabilités des dispositifs actuels de protection, identifiées lors de la mission 2. Le prestataire devra proposer des priorités entre ces différents projets et sous projets en tenant compte de leur impact sur la gravité des scénarios de risques auxquels ils répondent et de leur coût et contraintes éventuels de mise en place. A la fin de cette étape, une planification des différents projets retenus suite à l étude, sera réalisée avec une estimation des budgets et charges en Jours/ Homme. Livrable de la Phase : Rapport de recommandation et plan d action détaillé 3 Phase 4 : Elaboration des procédures du SI Le prestataire est tenu d assurer l accompagnement et l assistance nécessaire pour la mise en œuvre des actions afin de renforcer la sécurité au sein de la Fondation. Il doit en particulier: Elaborer une politique sécurité du SI Elaborer une charte d utilisation des ressources informatiques de la Fondation. Elaborer un manuel des procédures SI : Gestion des habilitations Gestion des incidents de sécurité SI (Support informatique) Politique de gestion des sauvegardes Procédure d accès aux systèmes d exploitation Procédure de gestion des droits d accès Procédure de gestion des accès aux «salles machines» 11

12 Procédure de gestion des mots de passe Fiches d exploitation Ces procédures doivent obligatoirement se baser sur les bonnes pratiques du SI (COBIT, ITIL, et ISO 27002). Elaboration d un guide de sécurité du SI en langue française. Le prestataire doit proposer une méthodologie de suivi opérationnel de la sécurité ainsi que les indicateurs et outils qu il jugera pertinents. Ceci devrait notamment aboutir à la mise en place d un Tableau de Bord de la sécurité du SI de la Fondation. Ce Tableau de Bord sera constitué à partir : Des objectifs de sécurité issus d une norme internationale d analyse de risques; De règles de sécurité issues de la politique de sécurité et de la norme ISO 27001, ainsi que son annexe ISO ; Des actions de sécurité issues de mesures de sécurité et des contrôles définis. Le prestataire doit assurer des sessions de sensibilisation pour tout le personnel de la Fondation sur l aspect sécurité. Cette sensibilisation devrait permettre de : Expliquer les enjeux et les concepts liés à la sécurité; Mettre en relief le rôle du personnel dans le système de management de la sécurité ; Sensibiliser le personnel aux menaces et aux risques qui guettent l activité et à la nécessité de minimiser leurs impacts ; Expliquer les meilleures pratiques dans le domaine de la sécurité. Communiquer autour de l optimisation de l utilisation des ressources du Système d Information ; Vulgariser la stratégie d action pour se prémunir contre les risques de sécurité. Le nombre des participants est de 20 à 30 personnes par groupe. Les frais d organisation des séminaires (logistique, salles, pause-café ) seront à la charge de La Fondation. Livrables : Politique de sécurité du SI Charte d utilisation des ressources informatiques Manuel des procédures SI 12

13 Tableau de Bord de la sécurité SI Support de formation Synthèse de la formation Guide de sécurité du SI en langue française 4 Phase 5 : Accompagnement de la Fondation Mohammed VI à la conformité à la Loi : 1 Introduction Le prestataire doit accompagner la Fondation Mohammed VI à se conformer aux exigences de la Loi 09/08 relative à la protection des données à caractère personnel en instaurant les principes suivants : 1 Le principe de finalité : les informations qui concernent les adhérents de la Fondation Mohammed VI ne peuvent être recueillies et traitées que pour un usage déterminé et légitime conforme aux statuts et règlements de la Fondation ainsi qu aux dispositions juridiques en vigueur. 2 Le principe de pertinence des données : Seules doivent être traitées les informations pertinentes et nécessaires au regard des objectifs poursuivis par le traitement pour la réalisation des missions de la Fondation. 3 Le principe d une durée limitée de conservation des informations : Les informations ne peuvent être conservées pour une durée illimitée. Elles doivent être conservées pendant une durée précise et déterminée en fonction de l objet de chaque fichier. 4 Le principe de sécurité et de confidentialité des données : la Fondation Mohammed VI, ainsi que ces utilisateurs des données confidentielles des adhérents, sont astreints à une obligation de sécurité : ils doivent prendre les mesures nécessaires pour garantir la confidentialité des informations et éviter leur divulgation à des tiers non autorisés. 5 Le principe du respect des droits des personnes : la Fondation sera tenue d observer ce principe en : a Information des personnes (adhérents) Lors de la collecte des informations qui concernent la Fondation Mohammed VI, les personnes doivent être clairement informées des objectifs poursuivis, 13

14 b c du caractère obligatoire ou facultatif de leurs réponses, des destinataires et des modalités d exercice de leurs droits. Droits d accès et de rectification Toute personne peut demander au détenteur d un fichier de lui communiquer toutes les informations qui la concernent. Elle a également le droit de faire rectifier ou supprimer les informations erronées. Droit d opposition Toute personne a le droit de s opposer, pour des motifs légitimes à ce que des données qui la concernent, soient enregistrées dans un fichier informatique. Sauf si cet enregistrement résulte d une obligation légale ou réglementaire. Livrable : Rapport détaillé contenant les éléments suivants : a b Identification des informations à caractère personnel. Classification des actifs informationnels de la Fondation. 2 Analyse de l existant: Le prestataire devra recenser les différentes informations à caractère personnel, les actifs informationnels et les différents flux d information. Le prestataire devra faire apparaître les différents résultats de l audit élaboré dans les Phases précédentes relatifs aux risques et vulnérabilités touchant la protection des données à caractère personnel ainsi que les recommandations émises. Livrable : Rapport détaillé contenant les éléments suivants : a b c d Identification des informations à caractère personnel. Classification des actifs informationnels de la Fondation. Flux des informations circulant au sein de la Fondation et avec les tiers. Et toutes informations complémentaires afférentes aux objectifs de la mission. 3 Proposition d un référentiel de conformité Le prestataire doit dans cette Phase élaborer pour la Fondation un référentiel de conformité avec les dispositions de la Loi contenant notamment : a b c d Les métriques de conformité (KPI). Le processus de traitement des données à caractère personnel. L intégration des textes juridiques dans les matrices de correspondance de conformité. Les modèles bien remplis de déclaration du traitement et demandes d autorisations préalables exigées par CNDP. 14

15 e Et en général, toutes les règles, dispositions et supports indispensables à la mise en œuvre et à l application des dispositions de la Loi Livrable : Support (Papier et électronique) détaillé contenant le référentiel et les procédures à mettre en œuvre. 4 Mesures d accompagnement Le prestataire doit proposer des mesures d accompagnement notamment : a b c Des recommandations et normes de sécurité à observer. Un Système de veille et de Reporting périodique Un Guide électronique et manuel en la matière Le prestataire doit à cette Phase animer au moins 3 séances d Information et de sensibilisation au profit de tout le personnel de la Fondation. En sus de ce qui a précédé, le Titulaire doit proposer toutes recommandations ou mesures juridiques, procédurales ou informatiques nécessaires pour la conformité à la Loi Phase 6 : Elaboration d un plan de reprise informatique Durant cette mission, le prestataire doit élaborer un plan de continuité des activités de la Fondation aussi bien au niveau technique (haute disponibilité et backup des équipements, ) que fonctionnel (définition des composants critiques et détermination du degré de disponibilité requis pour chacune d elle). Le prestataire devra élaborer également les documents suivants : Plan de Sécurité Informatique (PSI) Plan de Reprise d Activité Informatique (PRAI) Aussi, Le prestataire doit présenter les différents documents aux membres du comité SI et animer les ateliers de partage, de communication et de validation des différents livrables. ARTICLE 5 RECEPTIONS ET VALIDATIONS 5.1 : Réception des travaux La réception provisoire et définitive des Phases 1, 2, 3, 4, 5 et 6 peut être prononcée après la validation par la Fondation des livrables de chaque Phase moyennant l établissement d un Procès-Verbal de réception provisoire et définitive. Durant la Phase 6, la Fondation pourrait procéder à des réceptions partielles des travaux moyennant l établissement d un Procès-Verbal de réception partielle. A la fin de cette Phase la Fondation procédera à la réception provisoire et définitive des travaux réalisés. 15

16 ARTICLE 6 VALIDITE DU MARCHÉ - DELAI D'APPROBATION Le présent marché ne sera valable et définitif qu'après notification de son approbation par l autorité compétente L'approbation du marché doit intervenir avant tout commencement d'exécution des prestations objet du marché. Elle doit être notifiée à l'attributaire dans un délai maximum de quatre-vingt-dix (90) jours à compter de la date d ouverture des plis Si la notification de l'approbation n'est pas intervenue dans ce délai, l'attributaire est libéré de son engagement vis-à-vis de la Fondation Toutefois, la Fondation peut, dans un délai de dix (10) jours avant l'expiration du délai visé au paragraphe 5.2 ci-dessus, proposer à l'attributaire, par lettre recommandée, de maintenir son offre pour une période déterminée. L'attributaire dispose d'un délai de dix (10) jours à compter de la date de réception de la lettre de la Fondation pour faire connaître sa réponse. ARTICLE 7: MODALITE D EXECUTION, DÉLAI D EXÉCUTION ET PÉNALITÉS POUR RETARD Les différentes Phases Chef de Projet. doivent s exécuter séquentiellement sauf demande explicite par le Les travaux à exécuter au titre de la Phase 7 doivent être commandés par une demande du Chef de Projet précisant la nature des travaux, la charge en Jours/Hommes (estimée lors des autres Phases d audit) et les compétences des consultants exigées. Le prestataire dispose de 15 Jours ouvrables pour commencer l exécution de ces travaux. Le délai d exécution global du marché est fixé à 1 an calendaire, Il prendra effet à compter du lendemain du jour de la notification de l'ordre de service prescrivant de commencer la livraison de la solution. Toutefois, le délai global des Phases 1, 2, 3, 4, 5 et 6 ne devra pas dépasser 4 mois calendaires. Le délai du marché ne tient pas en compte les délais de validation des livrables par la Fondation. Le titulaire est tenu à respecter ces engagements de délais sous peine de subir des pénalités de retard de un pour mille (01%) du montant initial de l ensemble du marché par jour de retard, plafonnés cependant à (10%) dix pour cent du montant total du marché. ARTICLE 8: MODE DE PAIEMENT ET MODALITÉS DE RÈGLEMENT Le paiement des Phases 1, 2 et 3 ne peut se faire qu après la réception provisoire et définitive de toutes ces 3 Phases. Le paiement de chacune des Phases 4, 5 et 6 peut se faire dès la réception provisoire et définitive des livrables de ces phases. 16

17 ARTICLE 9: CAUTIONNEMENT PROVISOIRE ET DÉFINITIF En application de l'article 12 du CCAG-EMO. : a) Le cautionnement provisoire est fixé à (5.000,00 DHS) Cinq Mille Dirhams; b) Le cautionnement définitif est fixé à 3% (Trois pour Cent) du montant du marché. Le cautionnement définitif de 3 % est à constituer dans les 30 jours à compter de la date de la notification de l'approbation du marché, faute de quoi, la caution provisoire sera définitivement acquise à l'etat, conformément aux dispositions de l'article 12 du CCAG-EMO. Le titulaire et dispensé de fournir une retenue de garantie. ARTICLE 10 : RÉVISION DES PRIX Les prix du présent marché sont fermes et non révisables. ARTICLE 11 : TAXES Tous les prix du présent marché seront établis en tenant compte de toutes les taxes et charges diverses. Toutefois, les paiements s effectueront en hors taxe, la Fondation étant exonérée de tous les impôts et taxes conformément à la Loi de Finance 2009, notamment son article 7, relatif aux amendements apportées au code général des impôts «article 92», une attestation d exonération de la TVA sera remise au titulaire au moment du règlement de chaque mission sur la base d une facture pro-forma établie par celui-ci après notification de l approbation du marché. La facture définitive de chaque mission sera établie et fournie à la Fondation en hors taxe en mentionnant la référence de l attestation d exonération sus-indiquée. ARTICLE 12 : NANTISSEMENT Dans l'éventualité d'une affectation au nantissement du marché, il est précisé que : 1 La liquidation des sommes dues par la Fondation en exécution du présent marché sera opérée par les soins de Monsieur le Directeur Administratif et de la Logistique de la Fondation Mohammed VI de Promotion des Œuvres Sociales de l Education Formation. 2 Le fonctionnaire chargé de fournir au titulaire du marché, ainsi qu aux bénéficiaires des nantissements ou subrogations, les renseignements et états prévus à l'article 7 du Dahir du 28 août 1948, est Monsieur le Directeur Administratif et de la Logistique de la Fondation Mohammed VI de Promotion des Œuvres Sociales de l Education Formation. 3 Les paiements prévus au marché seront effectués par l Agent Comptable de la Fondation Mohammed VI de Promotion des Œuvres Sociales de l Education Formation, seul qualifié pour recevoir les significations des créanciers du titulaire de ce marché. 17

18 La Fondation délivrera sans frais un exemplaire spécial du marché portant la mention «Exemplaire Unique» et destiné à former un titre de nantissement. Les frais de timbres et d enregistrement de cet exemplaire sont à la charge du titulaire. ARTICLE 13 : LITIGE OU CONTESTATION Tout litige ou contestation pouvant survenir entre le Soumissionnaire et l administration dans le cadre du présent marché seront la compétence des tribunaux Administratifs du Royaume. ARTICLE 14 : FRAIS DE TIMBRES ET D ENREGISTREMENT Le Soumissionnaire devra supporter les frais de timbres et s il y a lieu des frais d enregistrement des différentes pièces du marché. ARTICLE 15 : SOUS-TRAITANTS Les conditions de sous-traitance sont régies par les dispositions de l article 84 du Règlement Particulier des marchés de la Fondation Mohammed VI de Promotion des Œuvres Sociales de l Education Formation. ARTICLE 16 : SECRET PROFESSIONNEL Le Soumissionnaire sera soumis pour tout ce qui concerne son activité découlant du présent marché au secret professionnel dans les mêmes conditions que les agents de la Fondation. ARTICLE 17 : RÉSILIATION DU MARCHÉ Les dispositions prévues par le CCAG-EMO restent applicables au présent marché. ARTICLE 18 ASSURANCES Le titulaire du marché est tenu d'adresser à la Fondation dans les trois semaines qui suivent la notification du marché une assurance responsabilité civile et accident de travail pour pertes et dommages causés par les personnes dont l assurée est civilement responsable. Dans tous les cas, les dispositions de l article 20 du CCAG-EMO restent applicables au présent marché. ARTICLE 19 FORCE MAJEURE Les dispositions de l article 32 du CCAG-EMO restent applicables au présent marché. Lu et accepté, le : Le Concurrent Le Maître d ouvrages 18

19 APPEL D OFFRES OUVERT SUR OFFRES DE PRIX N 07/2013 BORDEREAU DES PRIX-DÉTAIL ESTIMATIF: Désignation de la prestation Unité de mesure Quantité Prix unitaire en DH (HT) En Chiffres En Lettres Prix Total en DH (HT) Phase 1: Cadrage Phase 2: Audit de la sécurité du Système d Information Phase 3 : Elaboration des recommandations et du plan d action Phase 4 : Elaboration des procédures de sécurité du SI Phase 5 : Accompagnement de la Fondation à la conformité à la Loi Phase 6 : Elaboration du plan de reprise informatique Total HT TVA (20%) Total T.T.C Arrêté le présent bordereau des prix à la somme de, Toutes Taxes Comprises. 19