ACQUISITION D UN LOGICIEL DE PRÊT DE VEHICULES CAHIER DES CLAUSES PARTICULIERES

Transcription

1 ACQUISITION D UN LOGICIEL DE PRËT DE VEHICULES MARCHE DE FOURNITURES AMIENS METROPOLE Centre Technique Métropolitain Hôtel de Ville BP AMIENS CEDEX 1 ACQUISITION D UN LOGICIEL DE PRÊT DE VEHICULES CAHIER DES CLAUSES PARTICULIERES N de marché CAHIER DES CLAUSES PARTICULIERES

2 SOMMAIRE Article 1 : OBJET DE LA CONSULTATION 1.1 OBJET DU MARCHE 1.2 DECOMPOSITION EN TRANCHES ET LOTS Article 2 : PIECES CONSTITUTIVES DU MARCHE Article 3 : DELAIS D EXECUTION DES PRESTATIONS Article 4 : LIEU D INSTALLATION DU LOGICIEL Article 5 : NATURE DES DROITS ET OBLIGATIONS 5.1 GARANTIE TECHNIQUE 5.2 MAINTENANCE ET EVOLUTION TECHNOLOGIQUE Article 6 : MARCHANDISES REMISES AU TITULAIRE Article 7 : AVANCE Article 8 : PRIX DU MARCHE Article 9 : MODALITES DE REGLEMENT DES COMPTES 9.1 PRESENTATION DES DEMANDES DE PAIEMENTS 9.2 MODE DE REGLEMENT Article 10 : PENALITES 10.1 PENALITES DE RETARD 10.2 PENALITES D INDISPONIBILITE Article 11 : ASSURANCES Article 12 : VERIFICATIONS ET ADMISSIONS Article 13 : RESILIATION DU MARCHE Article 14 : OBLIGATIONS EN MATIERE DE LUTTE CONTRE LE TRAVAIL DISSIMULE ANNEXE TECHNIQUE ET FONCTIONNELLE ANNEXE SECURITE CAHIER DES CLAUSES PARTICULIERES 2

3 Article 1 : OBJET DE LA CONSULTATION 1.1 OBJET DU MARCHE Acquisition d une solution progicielle et matérielle d un système de gestion de prêt de véhicules. Les prestations attendues concernent la fourniture des éléments suivants : - Le(s) progiciel(s) de la solution - Les armoires nécessaires ainsi que les clefs - la documentation en français - l'installation et le paramétrage, - la reprise des données existantes, - la formation des utilisateurs, - le transfert de compétences aux techniciens de la Direction des Systèmes d'information, - l assistance fonctionnelle et technique aux utilisateurs en phase d exploitation, La formation assurée par le prestataire concernera 4 à 5 personnes au Centre Technique Métropolitain et à la Direction des Technologies de l Information. Une annexe technique et fonctionnelle au présent cahier des charges décrit les fonctions attendues du logiciel et son environnement. 1.2 DECOMPOSITION EN TRANCHES ET LOTS Il n est pas prévu de décomposition en tranches ou en lots. 1.3 VARIANTES ET OPTIONS Il n y a ni variantes ni options. Le candidat répond obligatoirement au minimum aux fonctionnalités demandées. CAHIER DES CLAUSES PARTICULIERES 3

4 Article 2 : PIECES CONSTITUTIVES DU MARCHE Les pièces constitutives du marché sont les suivantes par ordre décroissant d importance : A Pièces particulières 1. L acte d engagement, dont l exemplaire unique conservé dans les archives de la collectivité fait seul foi ; 2. Le présent cahier des clauses particulières, dont l exemplaire unique conservé dans les archives de la collectivité fait seul foi ; 3. Le mémoire technique, dont l exemplaire unique conservé dans les archives de la collectivité fait seul foi ; 4. La décomposition du prix global et forfaitaire, dont l exemplaire unique conservé dans les archives de la collectivité fait seul foi ; B Pièces générales Le cahier des clauses administratives générales applicables aux marchés publics de fournitures courantes et de services, approuvé par arrêté du 19 janvier Article 3 : DELAIS D EXECUTION DES PRESTATIONS La date d exécution de la prestation devra permettre une utilisation du logiciel dans les 6 mois suivant la notification du marché. Article 4 : LIEU D INSTALLATION DU MATERIEL ET DU LOGICIEL L installation du logiciel se fera pour partie à la Direction des Technologies de l Information et pour partie au Centre Technique Métropolitain. L installation des armoires à clefs se fera dans les 6 lieux définis dans le CCP. Le système devra pouvoir être évolutif. Un transfert de compétences et les procédures d installation sur les postes seront également demandés pour les techniciens du Service Informatique. Article 5 : NATURE DES DROITS ET OBLIGATIONS 5.1 GARANTIE TECHNIQUE Le titulaire s engage à une obligation de résultat. CAHIER DES CLAUSES PARTICULIERES 4

5 5.2 MAINTENANCE ET EVOLUTION TECHNOLOGIQUE La maintenance n est pas comprise dans le présent marché. Toutefois le questionnaire en annexe technique y fait référence à titre d information. Article 6 : MARCHANDISES REMISES AU TITULAIRE Aucune marchandise appartenant à la collectivité publique ne sera remise au titulaire. Article 7 : AVANCE Conditions de versement et de remboursement Une avance est accordée en une seule fois au titulaire, sauf indication contraire dans l acte d engagement, lorsque le montant du marché est supérieur à HT et dans la mesure où le délai d exécution est supérieur à 2 mois. Le montant de l avance est fixé à 5,00 % du montant du marché si la durée du marché est inférieure ou égale à douze mois ; si cette durée est supérieure à douze mois, l avance est égale à 5,00 % d une somme égale à douze fois le montant divisé par cette durée exprimée en mois. Le montant de l avance ne peut être affecté par la mise en oeuvre d une clause de variation de prix. Le remboursement de l avance commence lorsque le montant des prestations exécutées par le titulaire atteint ou dépasse 65,00 % du montant du marché. Il doit être terminé lorsque ledit montant atteint 80,00 % du montant, toutes taxes comprises. Ce remboursement s effectue par précompte sur les sommes dues ultérieurement au titulaire à titre d acompte ou de solde. Nota : Une avance peut être versée, sur leur demande, aux sous-traitants bénéficiaires du paiement direct suivant les mêmes dispositions (taux de l avance et conditions de versement et de remboursement...) que celles applicables au titulaire du marché, avec les particularités détaillées à l article 115 du Code des marchés publics Garanties financières de l avance Le titulaire, sauf s il s agit d un organisme public, doit justifier de la constitution d une caution personnelle et solidaire ou d une garantie à première demande à concurrence de 100,00 % du montant de l avance. Article 8 : PRIX DU MARCHE Le prix est forfaitaire, définitif, ferme et non actualisable. Le prix comprend le droit d usage, l installation et l assistance au paramétrage, la formation pour un groupe de 6 utilisateurs. CAHIER DES CLAUSES PARTICULIERES 5

6 Il comprend tous les frais et charges inhérents à l installation du logiciel sur le site, y compris les frais liés aux déplacements de la société. Article 9 : MODALITES DE REGLEMENT DES COMPTES Les paiements interviendront sur présentation des factures, aux conditions fixées aux articles 91 et suivants du Code des Marchés Publics. 9.1 PRESENTATION DES DEMANDES DE PAIEMENTS Le paiement s effectuera suivant les règles de la comptabilité publique dans les conditions suivantes. Les factures afférentes au paiement seront établies en 3 exemplaires portant, outre les mentions légales, les indications suivantes : Le nom et l adresse du créancier Le numéro du compte bancaire ou postal tel qu il est précisé sur l acte d engagement Le numéro du marché La prestation exécutée Le montant hors taxes Le taux et le montant de la TVA Le montant total de la prestation livrée ou exécutée La date de facturation Les factures devront parvenir à l adresse suivante : Amiens Métropole Direction des Technologies de l Information Place de l Hôtel de ville BP AMIENS CEDEX MODE DE REGLEMENT Les prestations, objet du présent marché, seront rémunérées dans les conditions fixées par les règles de comptabilité publique. Les sommes dues au titulaire seront payées dans un délai global de 40 jours à compter de la date de réception des factures. CAHIER DES CLAUSES PARTICULIERES 6

7 Article 10 : PENALITES 10.1 PENALITES DE RETARD ACQUISITION D UN LOGICIEL DE PRET DE VEHICULES Par dérogation aux stipulations de l article 11.1 du C.C.A.G F.C.S., s appliquera la formule suivante : P = V * R / 500, dans laquelle : P = le montant de la pénalité ; V = la valeur sur laquelle est calculée la pénalité, cette valeur étant égale à la valeur de règlement de la partie des prestations en retard ou de l'ensemble des prestations si le retard d'exécution d'une partie rend le logiciel inutilisable. R = le nombre de jours de retard PENALITES D INDISPONIBILITE Il n est pas prévu de pénalités d indisponibilité. Article 11 : ASSURANCES Le titulaire doit être couvert par un contrat d assurances au titre de la responsabilité civile découlant des articles 1382 et 1384 du Code Civil ainsi qu au titre de la responsabilité professionnelle, en cas de dommage occasionné lors de l exécution du marché. Article 12 : VERIFICATIONS ET ADMISSION Les modalités de vérifications et d admission sont celles prévues au CCAG fournitures courantes et services. Article 13 : RESILIATION DU MARCHE Seules les stipulations du C.C.A.G F.C.S., relatives à la résiliation du marché, sont applicables. CAHIER DES CLAUSES PARTICULIERES 7

8 Article 14 : OBLIGATIONS EN MATIERE DE LUTTE CONTRE LE TRAVAIL DISSIMULE Le titulaire devra produire lors de la conclusion du marché et tous les 6 mois jusqu à la fin de l exécution du marché les pièces suivantes : - les certificats attestant de sa régularité vis-à-vis des ses obligations fiscales et sociales, datant de moins de six mois, - un justificatif d'inscription au registre du commerce et des sociétés, ou au répertoire des métiers, ou au registre de la profession - une attestation sur l'honneur certifiant que le travail est réalisé avec des salariés employés régulièrement au regard des articles L , L et R du Code du Travail. Après mise en demeure restée infructueuse, le marché peut être résilié aux torts du titulaire sans que celuici puisse prétendre à indemnité et, le cas échéant, avec exécution des prestations à ses frais et risques, lorsqu il a contrevenu à l article D du code du travail. La mise en demeure doit être notifiée par écrit et assortie d un délai. A défaut d indication du délai, le titulaire dispose d un mois à compter de la notification de la mise en demeure, pour satisfaire aux obligations de celle-ci ou pour présenter ses observations. CAHIER DES CLAUSES PARTICULIERES 8

9 ANNEXE TECHNIQUE ET FONCTIONNELLE A. Le contexte : Système actuel : La Communauté d Agglomération Amiens Métropole utilise depuis environ 12 ans le logiciel CONTACT de la société FG Systèmes Industriels et Tertiaires pour son automate de distribution de clefs. Ce logiciel permet d assurer l identification de l utilisateur, la vérification de l accès au parc banalisé ainsi que les fonctions de pilotage du présentoir de clefs au moment des sorties et des retours de véhicule, il permet de gérer les index kilométriques des véhicules du parc, les anomalies signalées par les utilisateurs et les références du service auquel doit être facturé le mouvement du véhicule. Mais cet automate ne gère qu une partie du parc métropolitain c'est-à-dire environ une centaine de véhicules et il n existe qu une seule armoire de distribution de clefs située dans le parking sous la Maison de la Culture en centre-ville. Les réservations de véhicules et la visualisation du parc disponible ne peuvent se faire qu à partir de 2 postes, l un situé près de l armoire et l autre situé dans le service, les 2 postes sont reliés par une liaison ADSL. Volumétrie à ce jour : Le Centre Technique Métropolitain gère à ce jour 600 véhicules dont seuls 90 sont stationnés à la Maison de la Culture et donc concernés par le logiciel actuel. Les véhicules sont classés en catégorie et sous-catégorie. Il y a 1000 utilisateurs susceptibles d emprunter ces véhicules et ces utilisateurs sont répartis dans une centaine de services. Les véhicules peuvent être empruntés plusieurs fois par jour. Attentes de la Communauté d Agglomération Amiens Métropole : Outre l'adéquation aux besoins fonctionnels et aux orientations techniques de la Communauté d Agglomération, le Centre Technique Métropolitain souhaite : Créer 6 pools distincts avec chacun leur automate de clefs et répartis sur le territoire de la Ville d Amiens mais avec la possibilité d une gestion centralisée Permettre aux utilisateurs de retirer les clefs des véhicules grâce à leur badge d employé (carte Sytel de type «Marin en 128K») Permettre à n importe quel utilisateur autorisé de consulter la disponibilité du parc et de faire une réservation depuis son ordinateur Facturer l utilisation des véhicules aux services en fonction du temps d utilisation ou des kilomètres parcourus ou un mélange des 2, ou de ne pas facturer lorsqu un véhicule est affecté à un service donné CAHIER DES CLAUSES PARTICULIERES 9

10 B. Les fonctionnalités du logiciel : 1 la partie mécanique et électronique : ACQUISITION D UN LOGICIEL DE PRET DE VEHICULES Les armoires seront situées aux endroits suivants : - à la Maison de la Culture - au Service de l Eau - au garage Vallée Saint-Ladre - dans l espace rue Legrand d Aussy pour les secteurs Amont et Somme - à Montières pour le secteur Aval - chez Curver pour le secteur Rive Gauche Les armoires seront installées à l intérieur de bâtiments qui ne seront pas forcément chauffés, elles doivent donc pouvoir supporter des températures négatives. Chaque armoire devra pouvoir gérer 100 clefs au départ mais ce nombre de clefs étant susceptible d évoluer au fil des ans, le système proposé devra être évolutif de manière à pouvoir augmenter la capacité de chaque armoire de manière simple. L écart entre les différentes rangées de l armoire devra être réglable pour s adapter à la longueur des clefs. Les clefs devront âtre accrochées au porte-clefs électronique de telle manière qu on ne puisse pas prendre les clefs en laissant le porte-clefs électronique en place. Pour la partie identification de l utilisateur, la technologie retenue sera SYTEL de type «Marin en 128k» afin d être compatible avec les badges actuellement utilisés par l ensemble des agents de la Collectivité pour son contrôle d accès existant : un essai préalable sera d ailleurs obligatoire afin de valider la compatibilité. Un ensemble écran/clavier permettra à l utilisateur de choisir un véhicule, de consulter et de saisir certaines données (voir la partie logiciel de gestion). Lorsque l utilisateur aura validé la prise ou la remise des clefs un signal lumineux lui indiquera à quelle place prendre ou remettre le porte-clefs électronique. 2 la partie logiciel de gestion : Les véhicules : Pour chaque véhicule on veut pouvoir disposer au minimum des informations suivantes : - n de parc - n d immatriculation - catégorie (berline, fourgon, aspiratrice, balayeuse, etc ) - nombre de kilomètres - nombre d heures d utilisation - nombre de kilomètres moyen par plein Lors de la saisie d un véhicule dans le parc des contrôles de cohérence doivent être effectués à la validation (Unicité du numéro de parc, etc ) La recherche d un véhicule dot pouvoir se faire par numéro d immatriculation ou par numéro de parc. CAHIER DES CLAUSES PARTICULIERES 10

11 Les Chauffeurs : Pour chaque chauffeur on veut pouvoir disposer au minimum des informations suivantes : - Nom - Prénom - Numéro de badge - Numéro de matricule - Service de rattachement (code service) - Heures à laquelle il est autorisé à prendre un véhicule - Liste des catégories de véhicules qu il peut utiliser - Liste des immatriculations de véhicules qu il peut utiliser - Accès direct à tout véhicule - Date et heure de la dernière sortie - Durée de la dernière sortie - Dernier véhicule utilisé Lors de la saisie d un utilisateur des contrôles de cohérence doivent être effectués à la validation (Unicité du matricule, etc ) On doit pouvoir interdire momentanément à l utilisateur de sortir un véhicule. On doit également pouvoir lui adresser un message particulier au moment où il veut sortir un véhicule en indiquant le nombre d apparitions du message et/ou sa date limite de lecture. La recherche d un utilisateur doit pouvoir se faire par nom/prénom et par numéro de matricule. Lors des modifications sur les utilisateurs il doit être possible de les faire pour un utilisateur donné ou pour tout un groupe d utilisateur (par exemple par service ou dans un intervalle de n de badge) Les réservations : La réservation d un véhicule doit pouvoir se faire via l Intranet pour les personnes autorisées et pour cela il doit être possible de consulter toutes les réservations qui existent pour un véhicule entre 2 dates données et de consulter tous les véhicules disponibles dans un créneau date/heure donné L authentification à l application devra être compatible aux normes LDAP. Une architecture orientée Services (S.O.A.) sera appréciée. Seules les personnes autorisées pourront faire une réservation longue durée avec éventuellement la validation d un N+1. La proposition doit permettre un accès simultané de 30 personnes pour le module de réservation. La sortie et le retour des véhicules : L emprunteur du véhicule doit pouvoir choisir un véhicule parmi ceux qui lui sont autorisés et disponibles en indiquant sa préférence : - Essence, diesel, GPL, électrique ou Indifférent - Sur la catégorie de véhicule (Berline, Fourgon, Matériel Professionnel, ) Avant de prendre le véhicule, le système doit obliger l utilisateur à saisir sa destination en la choisissant dans une liste déroulante : Amiens, Amiens Metropole ou Hors Métropole. En ramenant le véhicule il doit pouvoir saisir le nombre de kilomètres parcourus, l heure d emprunt et l heure de retour étant stockées automatiquement par le système. Il doit également pouvoir signaler un défaut sur le véhicule en sélectionnant le problème dans une liste d anomalies prédéfinies. CAHIER DES CLAUSES PARTICULIERES 11

12 Lorsqu un utilisateur ramène un véhicule qu il avait réservé avant l heure de fin de réservation, il doit pouvoir indiquer s il maintient sa réservation pour pouvoir reprendre le véhicule ou s il ne la maintient pas. Un emprunteur quelconque ne doit pouvoir sortir qu un seul véhicule à la fois, tant que celui-ci n est pas rentré, il ne peut pas en emprunter un autre. Par contre il faut prévoir des catégories d utilisateurs qui pourront sortir plusieurs véhicules par exemple pour «révision» ou autres raisons. Administration du logiciel : A tout moment les personnes autorisées (à priori les administrateurs) doivent pouvoir afficher l état du parc à savoir le nombre de véhicules présents, le nombre de véhicules sortis, le nombre de véhicules immobilisés-absents, le nombre de véhicules immobilisés-présents et le nombre de véhicules sur lesquels il y a une réservation pour une utilisation à venir et cela sur un écran de synoptique représentant le garage où sont stationnés les véhicules L historique des réservations validées ou non (c est à dire que le véhicule soit sorti ou non suite à la réservation??) doit être conservé et doit être consultable par les personnes autorisées. La facturation : Le logiciel doit également permettre la facturation soit par durée, soit par distance, soit avec un mixte des deux et pour un service donné. L édition de la facturation doit prévoir un saut de page à chaque changement d imputation : l imputation correspond au service et est une concaténation de 5 champs alpha numériques (ex : DIS , la 1 ère zone = 3 caractères alpha numériques, la 2 ème zone = 2 caractères numériques, la 3 ème zone = 2 caractères numériques, la 4 ème zone = 7 caractères numériques, la 5 ème zone = 5 caractères numériques) Par contre il doit être possible de définir des catégories de véhicules non facturées Les Requêtes et Editions : Le logiciel doit intégrer un système de requête qui permettra au Centre Technique Métropolitain de faire des éditions ou des extractions de données vers Excel de manière simple et autonome à partir des données enregistrées. Toutefois certaines éditions doivent être prévues et paramétrées dès le départ : - Liste des observations/anomalies par véhicule - le carnet de bord (A préciser) - Tableau ou graphique sur le taux d utilisation d un véhicule ou d un groupe de véhicules Autres : Le Centre Technique Métropolitain disposant d un logiciel à part qui gère les réparations et l entretien des véhicules, la solution proposée doit pouvoir faire remonter le nombre de kilomètres parcourus dans ce logiciel afin d éviter la ressaisie. Le module de réservation doit permettre l accès simultané de 30 utilisateurs. Les autres modules seront installés sur 8 à 10 micro-ordinateurs. CAHIER DES CLAUSES PARTICULIERES 12

13 C. L environnement technique : 1 le contexte technique Le système informatique dessert : 1620 postes de travail PC et quelques MAC 250 sites (voir schéma technique joint) Il est organisé comme suit : Sur chaque site : un réseau ETHERNET / les postes de travail En central : les serveurs d application (Windows 2000 et 2003, Escala sous AIX), les serveurs de données (Windows 2000 et 2003, Escala sous AIX), les serveurs d administration, quatre serveurs CITRIX metaframe pour travailler en client léger sur certains sites et / ou applications. Ces serveurs sont sous W2003. Un réseau au protocole TCP/IP o Des liaisons hautes débit par fibres optiques (de 100 Mo à 1 Go) o Des liaisons ADSL (pour les sites non raccordés au réseau fibre optique) 1,2Mo Sur les postes clients, Windows XP. Les postes de travail sont au minimum des Celeron, doté de 256 Mo de RAM, équipés de cartes Ethernet. Les imprimantes sont en majorité de marque HP. En standard, les postes sont dotés des couches logicielles suivantes : Suite bureautique OFFICE 2003 Internet explorer 6 ou 7 Antivirus SOPHOS De nombreux postes sont dotés en sus de Client ORACLE : standard édition ( majorité en V8i) CITRIX client Outils communs Serveur Exchange, client Outlook L intranet développé en interne en PHP, base de données MYSQL sur serveur IIS. Tous les postes de travail ont accès à INTERNET, moyennant une identification. Bases de données La Métropole utilise Oracle pour le majorité de ses applications. CAHIER DES CLAUSES PARTICULIERES 13

14 2 les contraintes techniques ACQUISITION D UN LOGICIEL DE PRET DE VEHICULES La solution proposée par le prestataire devra être compatible avec l architecture et les orientations techniques de la collectivité. A cet effet, le candidat indiquera dans son offre : l ensemble des pré-requis concernant la configuration des postes de travail de développement et du serveur hébergeant les différents outils ainsi que l entrepôt de données. Les postes clients pour le développement et l administration sont des machines de type Windows XP. Les serveurs seront des machines Windows Server 2003 (version française). les adaptations nécessaires à un fonctionnement optimal et conforme en terme de performance aux demandes de la collectivité. La Ville d Amiens favorise la mise en place des solutions applicatives de type Full-Web. Le prestataire indiquera les contraintes de capacité réseau en mode développement et en mode production. Les serveurs de données et des serveurs applicatifs sont, pour la plupart, centralisés dans une salle machine de l Hôtel de ville d Amiens. CAHIER DES CLAUSES PARTICULIERES 14

15 Généralité ANNEXE ELEMENTS TECHNIQUES A COMPLETER PAR LE CANDIDAT Référence précise de la base de donnée : Systèmes d exploitation du serveur de données : et Pré-requis mémoire centrale : en terme d espace disque : Systèmes d exploitation du serveur d application : et Pré-requis mémoire centrale : en terme d espace disque : Le réseau RESEAU : Type de liaison préconisée : Pour les postes en local : Pour les sites distants : Les postes utilisateurs POSTES UTILISATEURS : systèmes d exploitation préconisés : Maintenance Mémoire centrale minimum : LA MAINTENANCE : CAHIER DES CLAUSES PARTICULIERES 15

16 Délais d intervention : Amplitude horaire d intervention : Assistance Téléphonique directe, vocal ou autre? répondeur Moyens mis en œuvre : Télémaintenance? INTRANET : Existe t il un module Web?: Navigateurs supportés (version) Principales fonctionnalités : Technologie utilisée : CAHIER DES CLAUSES PARTICULIERES 16

17 CAHIER DES CLAUSES PARTICULIERES 17

18 ANNEXE SECURITE Sécurité des systèmes d information : Cadre de référence Aspects juridiques Organisation et sécurité Prise en compte de la sécurité Protection de l information et des supports d information Habilitations des prestataires Mots de passe Gestion des accès Accès par les tiers Audit, preuve et contrôle Logiciels et systèmes : généralités Applications et systèmes applicatifs Infrastructures et réseaux Protection de l intégrité et de la confidentialité Support informatique Relations contractuelles avec les prestataires Interventions Maintenance Qualité Sauvegardes Gestion des incidents Continuité des activités Secours informatique Sécurité physique CAHIER DES CLAUSES PARTICULIERES 18

19 Aspects juridiques L attention des candidats est attirée sur les dispositions des lois : - loi «Informatique et Libertés» n du 6 janvier 1978, et en particulier son article 34 ; - loi dite «Godfrain» codifiée dans les articles à 323-6, et et du Code Pénal. Les exigences légales sur l'utilisation de produits pour lesquels il pourrait y avoir des droits de propriété intellectuelle et sur l'utilisation de logiciels propriétaires doivent être respectées. Organisation et sécurité Le prestataire devra désigner et indiquer quel est -parmi son personnel- l interlocuteur chargé des questions de protection des informations ainsi que des aspects techniques afférents. Cette personne désignée devra être en contact permanent avec le responsable de la sécurité des S.I. d Amiens Métropole, et tout particulièrement : - durant le projet ou la prestation; - au moment du recettage ; - lors du bilan post-installation. La mise en application de la politique de sécurité des systèmes d information d Amiens Métropole fera l'objet de revues indépendantes régulières (audits à la demande d Amiens Métropole), pour lesquelles le prestataire devra fournir toutes informations nécessaires, pour ce qui le concerne. Toute action du prestataire sur le système d information d Amiens Métropole devra respecter le processus suivant : - prendre contact avec le RSSI d Amiens Metropole ; - formalisation de la demande d intervention et de sa description, précisant la durée prévue en vue de sa planification; - validation et / ou approbation de l intervention et de sa planification, prévoyant une démarche de retour arrière en cas de problème ; - après validation, déroulement de la prestation conformément à sa description, en présence des administrateurs informatiques d Amiens Métropole, avec retour arrière en cas d incident; - recettage de l intervention avec établissement d un rapport de recette détaillé ; - fourniture d une copie de ce rapport au responsable des infrastructures ; - validation de ce rapport par le responsable des infrastructures ; - transmission de ce rapport validé au responsable sécurité des S.I. d Amiens Métropole. CAHIER DES CLAUSES PARTICULIERES 19

20 Prise en compte de la sécurité Le prestataire doit être conscient des risques pesant sur le système d'information, des méthodes d'attaque, des problèmes de sécurité potentiels et des mesures pour couvrir les risques ou en limiter les impacts. En conséquence, son personnel est réputé avoir eu connaissance du présent document, et doit en respecter les dispositions. La violation manifeste des dispositions de sécurité par le prestataire ou ses commettants fera l objet de pénalités (les différents contrats seront rédigés en conséquence). Protection de l information et des supports d information L accès des employés du prestataire à un local technique informatique ou à tout autre local ayant des besoins de sécurité spécifiques doivent faire l'objet d'une autorisation préalable. Les intervenants doivent veiller à ce que le matériel sans surveillance ait une protection sécuritaire appropriée. Aucun matériel, aucune information ni aucun logiciel ne doivent être ajoutés, modifiés ou enlevés sans autorisation. Des procédures et des mesures de maîtrise de sécurité doivent être utilisées afin de sécuriser le matériel utilisé à l'intérieur et à l extérieur des locaux d'amiens Métropole. Les données exploitables pour localiser un matériel doivent être considérées comme des données sensibles et protégées comme telles en confidentialité Le prestataire devra intégrer les risques de sécurité créés par le courrier électronique : en particulier pour ce qui concerne les envois automatiques en masse -par des automates- en direction des usagers d Amiens-Métropole, le risque de déni de service en cas de dysfonctionnement du système. Les supports amovibles doivent être inventoriés et protégés contre le vol et les accès non autorisés (stockage dans une armoire fermée dont seules les personnes habilitées ont la clé, restriction d'accès pour les locaux d'utilisation...) Les supports en transit doivent être protégés contre tout accès non autorisé, toute utilisation abusive ou toute altération. Les supports informatiques doivent être mis au rebut d'une manière sûre lorsqu'ils sont devenus inutiles Les informations contenues sur un matériel doivent être effacées avant : - sa mise au rebut ; - sa réutilisation. CAHIER DES CLAUSES PARTICULIERES 20

21 La nécessite de procéder -à intervalles réguliers- à des sauvegardes des logiciels essentiels et des données applicatives, impose au prestataire de fournir toute information sur les fichiers utilisés au sein de ses systèmes, et les modalités de restauration. Les supports en fin de vie contenant des informations internes ou confidentielles à Amiens Métropole doivent être mis au rebut et rendus aussitôt inutilisables par les agents habilités d Amiens Métropole. Habilitations des prestataires Les employés du prestataire doivent être habilités par le responsable sécurité des S.I. d Amiens Métropole à consulter et / ou modifier les éléments du système d information en fonction des besoins liés à leur prestation. Cette habilitation doit être la moins élevé possible, mais suffisante pour mener à bien leurs activités (principe du «moindre privilège»). Mots de passe L'organisation mise en place au sein d Amiens Métropole et envers ses partenaires doit favoriser l'identification individuelle des utilisateurs. Tous les utilisateurs doivent avoir un couple identificateur unique (code utilisateur et mot de passe) pour leur utilisation personnelle exclusive, de sorte que les activités puissent être associées rétrospectivement à l'individu responsable. Les systèmes de gestion des mots de passe doivent être conformes à la politique de sécurité d Amiens Métropole et fournir une fonction interactive efficace qui assure la qualité des mots de passe (pas de mots de passe trop courts ou trop simples, pas de réutilisation de mots de passe immédiatement précédents...), soit : - au moins 8 caractères. - mots de passe à blanc non autorisés - utilisation d au moins 3 formes différentes de caractères: majuscules, minuscules, chiffres, caractères spéciaux - rotation sur 4 mots de passe Gestion des accès Le système doit permettre de limiter les possibilités d'opérations illicites ou frauduleuses, et l'accès aux services d'information doit se faire par l'intermédiaire d'un processus de connexion sûr. L authentification des utilisateurs s effectue sur l annuaire «Active Directory» d Amiens Métropole, à l exception de la partie publique des serveurs web, et des bornes d information (pour lesquelles des mécanismes de sécurité spécifiques seront prévus). CAHIER DES CLAUSES PARTICULIERES 21

22 Certaines fonctions sensibles : - administration du logiciel ; - utilisation professionnelle doivent automatiquement faire l'objet d'une authentification forte (par certificat, «token», ou équivalent). Les utilisateurs, y compris professionnels, ne doivent pouvoir accéder directement qu'aux services spécifiques qu'ils ont été autorisés à utiliser. Le logiciel applicatif fourni par le prestataire doit permettre de mettre en œuvre ce principe de façon fiable. Si le prestataire utilise un dispositif spécifique de télémaintenance par Internet, il devra en expliciter le fonctionnement. Ce dispositif devra intégrer toute les fonctions de sécurité nécessaires : - protection de l intégrité et de la confidentialité ; - authentification forte. A défaut de telles caractéristiques, le prestataire utilisera IPSEC ou SSL. L'accès aux ports de diagnostic doit pouvoir être réservé aux personnes habilitées. Une session interactive doit être verrouillée à la suite d'une durée(15 à 30 minutes à définir) d'inactivité d'un utilisateur en rendant le contenu des écrans d'affichage illisibles et en désactivant tout moyen d'accès aux données excepté le déverrouillage de la session. L'utilisateur doit pouvoir verrouiller sa propre session interactive en rendant le contenu des écrans d'affichage et en désactivant tout moyen d'accès aux données excepté le déverrouillage de la session. Les accès aux systèmes applicatifs doivent être journalisées au même titre que les accès aux systèmes avec au minimum l'identité de l'utilisateur, le système concerné et la date et l'heure de l'accès ainsi que l action demandée ou réalisée. Accès par les tiers A chaque fois que les employés du prestataire interviendront sur le système d'information, un responsable d Amiens Métropole devra disposer des moyens de contrôler les opérations réalisées. Audit, preuve et contrôle Des journaux d audit (système ou applicatif) doivent être générés en permanence, en intégrant toutefois le dispositif de «rotation de log»adéquat (fréquence à déterminer). Les enregistrements d'audit doivent comprendre au minimum la date, l'heure, le type d'événement, l'identité du sujet ou du programme automatique à l origine de l action, l opération ou transaction effectuée et les paramètres, le résultat (succès ou échec) de l'événement. CAHIER DES CLAUSES PARTICULIERES 22

23 Les traces ainsi relevées doivent au moins bénéficier du même niveau de protection que les opérations sur lesquelles elles portent et éventuellement d'un niveau plus élevé si elles comportent des données nominatives Chaque événement sur le S.I. d Amiens Métropole étant auditable, doit pouvoir être associé de façon irréfutable avec sa chronologie (date et heure) et l'identité de l'utilisateur qui est l'origine de l'événement. Les enregistrements d'audit stockés doivent être protégés contre: - toute modification ; - toute suppression non autorisée. Logiciels et systèmes : généralités L'accès aux licences et aux versions installables des logiciels doit être restreint aux personnes autorisées par le Responsable Sécurité d Amiens Métropole. L'authenticité des codes doit être garantie. Leur intégrité doit être protégée contre les modifications non autorisées. Le prestataire devra faire procéder à un audit de recherche des vulnérabilités des systèmes et logiciels proposés, dans une configuration représentative de celle qui serait fournie à Amiens Métropole. Cet audit sera conduit par un prestataire dont la compétence est reconnue, et certifié CISA. Les logiciels utilisés doivent être exempts de failles de sécurité connues (telles que signalées par le CERT américain, ou le CERTA français [site à la date de l installation du système. En particulier, si la solution logicielle inclut des accès des utilisateurs via HTTP, elle devra être exempte des vulnérabilités permettant les attaques suivantes contre les serveurs Web et les «Web Services» : - «cross scripting» ; - injection de code SQL ; - acceptation d URL mal formées ; - attaques sur les identifiants de session ; - saisie de données non contrôlées ; - «cross-site request forgery» ; - attaques en rebond vers d autres machines ou sites ; - etc. Note : les serveurs Web pourront être protégés contre ces attaques par une solution de sécurité externe adéquate. L'utilisation de programmes utilitaires doit être restreinte et étroitement maîtrisée : le prestataire produira la liste des utilitaires dont il a besoin et qu il emploiera pour effectuer les prestations demandées, à l exclusion de tous autres. CAHIER DES CLAUSES PARTICULIERES 23

24 La configuration des logiciels doit prendre en compte l'aspect sécurité, et ne pas introduire des failles de sécurité supplémentaire. L'aptitude de changer les valeurs par défaut dans les logiciels, d'interroger, d y modifier ou supprimer certaines valeurs ou paramètres doit être restreinte aux administrateurs ou utilisateurs autorisés et notifié dans une fiche d intervention transmis au Responsable Sécurité d Amiens Métropole. La gestion des droits au niveau du logiciel devra pouvoir s appuyer sur Active Directory (par exemple : en créant des groupes). Des critères de recette pour les nouveaux systèmes d'information, les mises à niveau et les nouvelles versions doivent être : - établis et des essais adéquats du système doivent être effectués avant sa recette, - transmis au Responsable Sécurité d Amiens Métropole. Les recettes et tests de bon fonctionnement des logiciels doivent être effectués sur l'ensemble des plates-formes sur lesquelles ils sont susceptibles d'être installés et notifiées sur une fiche ad hoc transmis au Chef de Projet et au Responsable Sécurité d Amiens Métropole. Toute modification des configurations matérielles ou logicielles doit prendre en compte la compatibilité avec le reste du système d'information et les anciennes sauvegardes ou archives et prévoir une procédure de retour arrière en cas d'anomalie et notifiées sur une fiche ad hoc transmis au Responsable de l Infrastructure Informatique et au Responsable Sécurité d Amiens Métropole. Applications et systèmes applicatifs La pérennité doit être un facteur de choix majeur lors de la sélection des technologies pour le système d'information (matériels, applications, langages de développement, éléments de sécurité...). Une revue et un essai des systèmes d'applications doivent être effectués lorsque des modifications sont apportées et notifiées sur une fiche ad hoc transmis au Responsable de l Infrastructure Informatique et au Responsable Sécurité d Amiens Métropole. L'authentification d'une application doit être basée sur un système garantissant qu'il n'y a pas d'usurpation d'application (certificat de signature par exemple). L'implantation de logiciels sur les systèmes opérationnels doit être contrôlée, en particulier par les administrateurs informatiques d Amiens Métropole. Les données des jeux d essai, qui devront être fictifs ou anonymes, doivent être protégées et maîtrisées et sous la responsabilité du Responsable Fonctionnel. Les données d'entrée des systèmes d'applications doivent être validées par le Chef de Projet et le Responsable Fonctionnel pour faire en sorte qu'elles soient correctes et appropriées (en particulier dans les cas d homonymie) en ayant recours à des référentiels (fichiers de rues, lieux, codes postaux ) ou à différents contrôles, tels que par exemple : CAHIER DES CLAUSES PARTICULIERES 24

25 - valeur au-delà des limites ; - caractères non valides dans des champs de données ; - dépassement des limites supérieures ou inférieures de volume de données ; - données de commande interdites ou incohérentes. Les traitements doivent faire l objet des mécanismes de supervision adéquats : - compteurs des nombres d éléments traités ; - totaux de contrôle ; - conformité de l enchaînement des traitements à l ordonnancement prévu. Les données de sortie d'un système d'applications doivent faire l objet des contrôles appropriés par le Chef de Projet et le Responsable Fonctionnel pour faire en sorte que le traitement des informations stockées soit correct et approprié aux circonstances, par exemple : - des contrôles de vraisemblance ; - calcul de balance carrée des montants traités, etc. Le système devra intégrer des journaux transactionnels dans son fonctionnement, de manière à minimiser la perte d information en cas d arrêt total de fonctionnement ou de dysfonctionnement grave. Un système d archivage permettra de conserver les informations dont la présence dans les bases de données en production ne se justifie plus, mais dont la conservation s impose conformément à la législation en vigueur. S ils existent, les échanges d informations entre un serveur Web, placé en DMZ («zone démilitarisée») et la base de données hébergée sur un serveur interne (sur le LAN d Amiens Métropole) s effectueront de manière sécurisée. En particulier, il devra par exemple être possible : - qu après la saisie des informations par l usager sur la page Web, et la génération de la /des requête(s) SQL correspondante(s), ce soit le serveur interne qui vienne «récupérer» cette requête sur le serveur Web, l ensemble constituant en quelque sorte un «sas» ; - de vérifier que la requête SQL est bien générée dans le cadre d un fonctionnement du programme et d un usage normaux ; - de la bloquer et d alerter immédiatement si ce n est pas le cas. Aucune base d information contenant des données sensibles ne devra se trouver dans un sousréseau (DMZ ou autre) accessible depuis les réseaux publics (Internet ou autre). S il existe, le site web de vente en ligne devra être conforme à la Loi n du 21 juin 2004 (Loi pour la confiance dans l'économie numérique), et respecter la norme simplifiée n 48 de la C.N.I.L. (Commission Nationale Informatique et Libertés). S il existe, le système de paiement sera sécurisé. Le prestataire prendra toutes les mesures techniques appropriées conformes à l état de l art et à la réglementation applicable, afin de préserver la sécurité, l'intégrité et la confidentialité des informations utilisées, et en particulier informations personnelles -et le cas échéant bancaires-, contre tout accès, utilisation, détournement, communication ou modification non autorisés. L utilisation de SSL constitue un minimum. CAHIER DES CLAUSES PARTICULIERES 25

26 Infrastructures et réseaux Les solutions proposées par le prestataire devront être : - cohérentes avec l architecture informatique et réseau d Amiens Métropole, en particulier avec l architecture de sécurité, en n introduisant aucun dispositif matériel ou logiciel ayant pour effet de la contourner, - notifiées sur une fiche spécifique et transmise au Responsable Infrastructure Informatique et au Responsable Sécurité d Amiens Métropole. La documentation et les informations relatives aux systèmes et réseaux doit être protégée contre tout accès non autorisé Les horloges des ordinateurs doivent être synchronisées afin d'obtenir un enregistrement exact Les modifications apportées aux infrastructures de traitement de l'information et aux systèmes informatiques doivent être contrôlées et validées par les responsables des infrastructures concernées. Les modifications apportées aux infrastructures de traitement de l'information et aux systèmes informatiques y compris les configurations et les paramètres doivent être documentées, en particulier pour ce qui concerne l installation des logiciels (par exemple : base de registre Windows). Le prestataire ou ses employés signaleront sans délai toute anomalie aux responsables d Amiens Métropole qui leur auront été indiqués. Les demandes en capacité doivent être surveillées et des prévisions sur les besoins de capacité futurs doivent être faites afin d'assurer la disponibilité d'une puissance de traitement et d'un stockage adéquats. L'administration des machines doit permettre de détecter les consommations excessives de ressources ou toute utilisation abusive («squat de l espace disque», ) La configuration de la messagerie électronique ainsi que son utilisation doivent permettre de maîtriser les flux réseaux générés, en particulier en matière d émissions automatiques vers des listes de diffusion, de manière à ne pas causer de déni de service ou d autres perturbations. L'ensemble des services réseaux doit être configuré de manière à ne pas pouvoir être utilisé pour d'autres fonctionnalités que celles prévues Les systèmes doivent être et rester dimensionnés de manière à offrir des services adaptés et de qualité y compris lors des éventuelles périodes de pointe. Les espaces dédiés au partage ou à l'échange d'information doivent être protégés au même titre que les autres espaces du système d'information contre les accès non autorisés (habilitation, droit d'accès, authentification...) Le lancement automatique de programmes lors de l insertion de supports amovibles (CD- ROM, DVD, clé USB, etc.) devra être désactivé. CAHIER DES CLAUSES PARTICULIERES 26

27 Les services, fonctions et interfaces informatiques qui ne sont pas utilisés doivent être désactivés et documentés. Les services, fonctions et interfaces qui ne sont utilisés que ponctuellement doivent être désactivés quand ils ne sont pas utilisés et documentés. Seul le personnel autorisé et habilité doit être en mesure de modifier le système ou les logiciels installés Protection de l intégrité et de la confidentialité Des signatures numériques doivent être utilisées pour protéger l'authenticité et l'intégrité de l'information électronique. Les données doivent être contrôlées à la recherche d'erreurs d'intégrité. Les administrateurs informatiques ou les utilisateurs professionnels autorisés doivent avoir la capacité de déclencher à la demande ce contrôle. En cas de détection d'erreurs d'intégrité, les actions appropriées doivent pouvoir être entreprises. La suppression de doublons ne doit pas occasionner de pertes d intégrité. Les bases de données décentralisées présentes sur des matériels installés dans des espaces publics doivent être protégées contre une éventuelle divulgation en cas de vol de ces matériels. Support informatique Un support doit être disponible chez le prestataire pour les matériels et les logiciels concernés. La procédure d'intervention du support doit être connue des utilisateurs du système d'information, et des responsables d applications d Amiens Métropole. Les responsables du support et leurs remplaçants doivent : - avoir bénéficié d'une formation approfondie sur les installations, matériels et/ou logiciels dont ils ont la charge - être connus et habilités par le Responsable Sécurité d Amiens Métropole Les documentations techniques des installations, matériels et / ou logiciels concernées, en particulier : - manuels d administration et d utilisation ; - manuel d exploitation ; - documentations techniques complémentaires ; - ainsi que leurs mises à jour, dans le cadre de la maintenance du logiciel ou matériel, doivent être à disposition des administrateurs informatiques d Amiens Métropole, des responsables d applications et du responsable fonctionnel, et être accessibles à leurs remplaçants. CAHIER DES CLAUSES PARTICULIERES 27

28 Cette documentation devra en particulier intégrer : - les modalités de traitement des erreurs et autres procédures exceptionnelles d administration, d utilisation ou d exploitation ; - les coordonnées de contact et les procédures à appliquer en cas d incident (résolution, reprise après incident). Relations contractuelles avec les prestataires Le contrat précisera les responsabilités attribuées à chaque partie signataire. Les sanctions et pénalités seront définies relativement aux impacts potentiels, en particulier dû à un niveau de service insuffisant, se situant au-delà du tolérable. Exemple : pénalités calculées sur les recettes perdues par l établissement suite à une indisponibilité trop longue du système. Un tableau sera fourni au prestataire définissant les objectifs à atteindre, et les niveaux considérés comme intolérables, en matière de Disponibilité, Intégrité, Confidentialité, Preuve et contrôle (DICP) Dépôt des sources du programme Les sources du logiciel (et tout élément permettant de parvenir à un logiciel complet et opérationnel après compilation) doivent être déposés auprès de la personne morale adéquate (APP...), et rendus contractuellement accessibles au client en cas de disparition ou défaillance avérée du fournisseur. Interventions Chaque visite de prestataire pour intervention doit être planifiée et annoncée : - au responsable fonctionnel de l application ; - aux agents concernés du Pôle Traitement de l Information, sauf circonstances exceptionnelles (urgence, cas de force majeure ). Le déroulement de l intervention doit être compatible avec les niveaux de services définis cidessus. Les supports informatiques, quels qu ils soient : - ordinateurs portables ou non ; - tout support de mémoire de masse magnétique ou optique (CD-Rom, DVD) ; - mémoire amovible ; - etc., utilisés par les intervenants ne devront contenir aucun programme malveillant (ver, virus, Cheval de Troie, rootkit ou autre ). Ils devront avoir été vérifiés par deux anti-virus à jour, l un choisi par le prestataire, l autre par Amiens Métropole. CAHIER DES CLAUSES PARTICULIERES 28

29 Amiens Métropole mettra à la disposition des intervenants les moyens de se connecter de manière sécurisée au Web, dans la mesure où cela serait nécessaire. Aucun autre type de connexion ne sera admis. Toutes dispositions (de sensibilisation, organisationnelles et techniques) seront prises par le prestataire pour que les matériels utilisés en intervention soient réservés aux seuls usages prévus avec Amiens Métropole. Les opérations effectuées au niveau informatique seront tracées et enregistrées selon les critères de la politique de Sécurité d Amiens Métropole. Les intervenants devront avoir reçu la formation technique permettant de mener à bien leurs interventions, et -en particulier pour le niveau le plus élevé- détenir la certification adéquate de l éditeur concerné (Microsoft, Oracle, ou autres ). Une intervention doit être clôturée par une recette d'intervention permettant de contrôler les opérations effectuées et les résultats obtenus, en particulier qu aucune dégradation des performances des systèmes n est constatée. Le procès verbal de recette d'intervention doit préciser : - le nom de l'intervenant ; - son entreprise : - le jour et les horaires de l'intervention ; - l objet de l intervention ; - les opérations effectuées - le cas échéant, la liste des éléments ajoutés ou retranchés, remplacés ou réparés ; - les résultats obtenus ; - les problèmes éventuels ; - le nom de l'interlocuteur interne. Le procès verbal de recette d'intervention doit être signé par le ou les intervenants, par l'interlocuteur interne concerné et par le responsable de la recette d'intervention s'il est différent de l'interlocuteur interne. Les identifiants de connexion (quels qu ils soient) fournis aux personnels habilités du prestataire seront nominatifs. Les activités du prestataire et de ses commettants (personnels, sous-traitants, etc.) feront ou auront fait l objet de la souscription du contrat d assurance responsabilité civile adéquat («tous risques sauf»). Maintenance Un contrat de maintenance est proposé pour chaque composant du système. Pour chaque composant logiciel, il inclut forfaitairement : - la fourniture de ses mise à jours majeures et mineures ; - ainsi que celle du logiciel (généralement de nom commercial différent) qui le remplacerait, le moment venu, au catalogue du prestataire. CAHIER DES CLAUSES PARTICULIERES 29