Public procurement notice: Contract Notice
Published: 2023-12-20
Buyer: Société nationale SNCF
Country: FR
Contract type: Services
Procedure: Negotiated procedure
CPV classification: 72500000 | 72590000
Submission deadline: 2024-01-16
Award criteria: The most economic tender

Technical requirements: Pour lui permettre d’accomplir ses nombreuses missions d’opérateur majeur de transports en France et à l’étranger, le Groupe Public Unifié SNCF s’appuie sur un ensemble de services et de technologies numériques, qu’ils soient proposés par le GPU lui-même ou par des prestataires externes.
Dans ce cadre, le projet de la Cellule de Recherche d’Information (CRI) de la Direction de la Cybersécurité du Groupe SNCF est engagé depuis plusieurs années dans une réduction de la surface d’attaque de son système d’information sur internet et une chasse à la fuite de données dans le but de réduire le risque d’attaque informatique.
Le SI du Groupe SNCF comprend plusieurs centaines d’applications structurées par Directions Métiers, et plusieurs centaines de milliers d’actifs numériques (terminaux, serveurs, …) répartis physiquement à travers tout le territoire et à l’étranger.
Le projet CRI vise à mettre en œuvre, au travers d’une approche coordonnée de manière centralisée, des moyens permettant de détecter des éléments vulnérables exposés sur internet et pouvant faire l’objet d’une attaque, des éléments pouvant porter atteinte à l’image du Groupe SNCF sur internet, les publications sur les forum et réseaux sociaux de revendication ou préparation d’attaque sur nos SI et les fuites d’information confidentielles (accidentelles ou intentionnelle).
L’approche stratégique retenue pour le projet consiste à utiliser des méthodes de renseignement en source ouverte afin de détecter ces éléments et d’alerter les équipes concernées pour chacun des éléments détectés.
Le Groupe SNCF recherche une prestation de service managée de Threat Intelligence, il ne s’agit pas de fournir une solution logicielle ou matérielle.  Le service fourni doit permettre d’anticiper, de détecter et d’alerter les équipes SNCF sur les menaces cyber liées à l’exposition de ressources et de données SNCF sur le Web.
Les principaux types de menaces identifiées à analyser sont les risques associés aux fuites de données liées à des marques SNCF et leur exposition publique, aux ressources exposées connues ou non connues (Shadow IT) par les équipes SI et leurs éventuels défauts de configuration, aux fraudes numériques ainsi que les risques associés à l’image des marques SNCF par une surveillance des réseaux sociaux et des forums.
Anticipation des risques de fraudes et d’usurpation de marque / identités sur tous les canaux possibles (réseaux anonymes, réseaux sociaux, …) ;
Détection de fuites d’informations (collaborateurs SNCF, clients SNCF, informations techniques ou confidentielles) ;
Rapport périodique sur l’état de la menace visant des entreprises françaises (entreprise de transports).
La prestation doit permettre de détecter des publications contenant des données confidentielles d’entreprise ou personnelles relatives à des clients ou des collaborateurs du Groupe SNCF.
La prestation doit permettre d’identifier les actifs informatiques d’un périmètre donné présentant une configuration à risque pour un système d’information.
MAUVAISE CONFIGURATION SSL, DONNEES ACCESSIBLES SANS AUTHENTIFICATION, SERVICE SENSIBLE EXPOSE ET VULNERABLE, PORTAIL D’ADMINISTRATION ET PUBLICATIONS WEB HORS-PRODUCTION, …
La prestation doit permettre d’identifier les actifs informatiques d’un périmètre donné présentés comme dangereux par un tiers ou bien présentant des vulnérabilités.
PUBLICATION D’UNE FAILLE SUR UN RESEAU SOCIAL OU SITE SPECIALISE, REVENDICATION D’UNE ATTAQUE OU ACTIF POTENTIELLEMENT COMPROMIS, …

Eligibility requirements: Les candidats doivent joindre à leur acte de candidature les documents et les renseignements suivants (En cas de candidature groupée, chacune des pièces exigées ci-après doit être transmise par chacun des membres du groupement) : - Justifier de l'existence légale de l'entreprise, avec le numéro d'immatriculation au Registre du Commerce et des Sociétés (ou équivalent) - L'imprimé DC1 intitulé "Lettre de candidature - Désignation du mandataire par ses cotraitants" dûment complété - L'imprimé DC2 intitulé "Déclaration du candidat individuel ou du membre du groupement" dûment complété Ces documents sont à se procurer par internet à l’adresse suivante : https://www2.economie.gouv.fr/daj/formulaires-declaration-du-candidat Pour les ESAT : l'agrément préfectoral relatif à la création de l'établissement ou pour les EA, le Contrat pluriannuel d’objectifs et de moyens (CPOM) ou le Contrat d’objectif triennal (COT) en cours de validité à la.date limite de remise des offres ou la preuve de la structure équivalente.