Supply of an independent expert intermediation platform for bug bounty services and vulnerability disclosure program

Le Service de Lutte contre la Cybercriminalité (SLCC) de La Poste souhaite recourir à une plateforme en mode SaaS d’intermédiation permettant la gestion des campagnes de Bug Bounty et Vulnerability Disclosure Program (VDP) par des chercheurs en cybersécurité. La plateforme sous un format mode SaaS standard « clé en main ». Cette plateforme d’intermédiation devra proposer les fonctionnalités suivantes : -Création et gestion de campagnes indépendantes selon les applications de La Poste à analyser. Une campagne se caractérise par une description technique du périmètre à tester (URL concernées, exclusions). La plateforme d’intermédiation devra permettre de faire appel à des experts indépendants en cybersécurité pour faire des tests sur ce périmètre : il s’agit de campagnes privées. -Définition et lancement, suivi, modification ou arrêt complet de campagnes en cours. -Gestion de la relation avec les experts indépendants en cybersécurité inscrits auprès du prestataire : -Invitations des experts indépendants aux campagnes menées auprès de La Poste ; -Traitement des rapports de vulnérabilité et des échanges relatifs aux rapports établis par les experts indépendants; -Paiements éventuels des experts indépendants intervenus selon la criticité des vulnérabilités identifiées. -Fourniture de statistiques sur le fonctionnement de la plateforme (taux de disponibilité), l’activité du compte client et sur chaque campagne de manière autonome. Les statistiques devront être accessibles depuis la plateforme elle-même ou via une API spécifique fournie par le prestataire. -Création d’un tableau de bord sur l’activité globale au profit de La Poste depuis la plateforme. -Export des rapports de vulnérabilité depuis la plateforme ou via une API spécifique fournie par le prestataire. -Création de liste d’experts pour chaque campagne. Le cas échéant possibilité depuis la plateforme d’attribuer des identifiants d’accès aux applications de La Poste concernées -Accès différencié à la plateforme par des administrateurs de programmes La Poste publiant de manière autonome leurs campagnes. -Mise en place d’un canal de communication permettant le recueil de vulnérabilités, hors campagne de Bug Bounty, par les experts indépendants en cybersécurité sur les applications de La Poste. Les prestations comprendront également un support technique sur la plateforme et ses fonctionnalités ainsi qu’un support fonctionnel afin d'accompagner La Poste dans la mise en œuvre et le pilotage des campagnes de Bug Bounty au travers des prestations suivantes : -Conseils pour la rédaction des campagnes -Recommandation d’experts indépendants selon la pertinence de leurs travaux auprès des autres clients Le montant maximum du lot est fixé à 600 000 Euros HT, sur la durée totale du contrat, périodes de reconduction comprises. Le nombre d’attributaire est fixé à 1. La durée de l’offre est d’un an.