ERDF souhaite se doter d'un service de supervision de sécurité dit SOC (pour Security Operation Center) afin de surveiller, dans un premier temps, le système Linky, et à terme l'intégralité de ses domaines SI (en particulier, le SI Tertiaire et le SI Industriel).
Pour Linky, la mise en œuvre d'un SOC répond à 2 principales obligations:
— La couverture des risques majeurs de sécurité qui pèsent sur le système, en particulier, celui du Blackout;
— La mise en conformité du système vis-à-vis d'un référentiel de sécurité spécifique émis par l'ANSSI pour le protéger et le défendre contre les attaques cyber.
Il est entendu que pour ERDF l'acronyme SOC désigne à la fois une organisation, que représente l'entité SOC**, et un outillage, que constitue le socle technique, qui l'outille et lui permet d'agir.
(**) L'entité SOC est une équipe d'Analystes en Cyber-sécurité dont le rôle est, entre autres, le traitement des incidents de sécurité, la gestion des vulnérabilités, la veille sécurité et l'investigation numérique.
ERDF souhaite que l'outillage technique de son futur SOC soit un système de supervision de sécurité cohérent et intégré, constitué d'un « socle technique principal » et d'un « lot d'outils complémentaires ».
L'achat sollicité à travers le présent AM vise à faire l'acquisition de l'outillage technique du SOC tel que décrit ci-dessus et à assurer le support pour son intégration au sein du SI ERDF. Les prestations identifiées à cet effet sont les suivantes:
1) L'acquisition du « socle technique principal »
— acquisition du matériel, des logiciels et des licences, et maintenance associée
Il est entendu par « socle technique principal », l'ensemble composé:
— d'une solution de gestion d'événements de sécurité (SIEM),
À laquelle il faut ajouter:
— un outillage de collecte d'événements (logs, paquets…)
— une solution de gestion de vulnérabilités (scanner, manager...)
— un moteur d'analyse comportementale spécialisé**
— une solution de gestion d'incidents de sécurité (ticketing, SOC manager…)
— et une solution de surveillance de « endpoint »
(**) Par moteur d'analyse comportementale spécialisé, ERDF entend des solutions de type « Reevelium » ou « DarkTrace ». A noter que les solutions « Reevelium » et « DarkTrace » ne sont citées qu'à titre d'exemple; toute autre solution équivalente est acceptable
2) L'acquisition du « lot d'outils complémentaires »
— acquisition du matériel, des logiciels et des licences, et maintenance associée
Par « lot d'outils complémentaires », ERDF envisage l'ensemble composé:
— d'un outil de cartographie (asset discovery)
— d'un outil d'investigation (forensic)
— d'un outil de visualisation d'anomalies de sécurité
— et d'un outil de GRC (Governance, Risk and Compliance)
3) Le support à l'intégration de la solution au sein du SI ERDF
— support à la mise en œuvre de la solution technique dans l'infrastructure ZSE (Réseau dédié au système Linky),
— support à la collecte des événements et à l'implémentation des scénarios de détection associés au périmètre fonctionnel,
— formation des exploitants ERDF sur les différentes solutions techniques proposées
4) L'expertise ponctuelle en mode Run.
