Réalisation de programmes de BugBounty - RFI

L'Agence de Services et de Paiement (ASP) dispose depuis janvier 2023 d'une plateforme de Bug Bounty visant à créer des programmes de tests de sécurité encadrés permettant la détection proactive des vulnérabilités dans ses systèmes d'information, applications et sites web.

Les prestations envisagées sont décrites dans le document joint.

Compte tenu de la sensibilité des informations traitées par les dispositifs de l'Agence, l'ASP souhaite bénéficier d'un service opéré sur une infrastructure qualifiée SecNumCloud, offrant des garanties renforcées en matière de sécurité, de souveraineté numérique et de maîtrise des risques, conformément aux exigences définies par l'ANSSI.

Par ailleurs, l'ASP étant certifiée ISO 27001 et le périmètre de recherche étant soumis à cette certification, l'Agence demande également à ce que la société réalisant les prestations soit titulaire des certificats ISO 27001.

L'ASP disposant d'une architecture hybride associant des infrastructures On-Premise, Cloud et IaaS qualifiées SecNumCloud, le prestataire devra être certifié ISO 27017.

De plus, au regard du caractère sensible des données traitées par nos applications, nous demandons d'interdire le recours à la sous-traitance, notamment concernant le triage des bulletins d'alertes.

Sur les aspects budgétaires, le coût annuel des prestations demandées est estimé à 100 000 € HT.

Nous entamons donc une recherche d'opérateurs économiques en mesure de répondre aux exigences décrites ci dessus et précisées dans le document joint pour organiser des rencontres de type sourcing pour définir le type de procédure d'achat la plus adaptée.