Sécurité des systèmes d’information
Ville de Meaux
Etude de conformité RGPD – Accompagnent DPD phase 1
Date de la réunion de qualification : 19/05/2022
Date et version de la proposition : V1.0 – 19/05/2022
Chrono du projet :U12.ESEC.PRO.2022.303
1
Contacts
| Vos contacts :
ADVENS
Karly Langa – Responsable du marché UGAP
UGAP
Stephanie AULIAC -Chef De Département
Adjoint Appui Commercial Central
[email protected]
06 70 85 22 56
[email protected]
06 37 60 81 98
Capgemini
Claire BARON– Responsable commerciale
[email protected]
06 33 62 80 81
Ville de Meaux
Thierry SMOLEN RSSI
0677897384
[email protected]
Hôtel de Ville - BP 227 - 77107 MEAUX Cedex
Capgemini
Benoit ANICET – Responsable technique national
marché UGAP SSI
[email protected]
07 82 39 74 20
2
Sommaire
1
Présentation des sociétés
Contexte et enjeux
2
Compréhension du besoin
3
4
5
6
7
Prestations attendues
Démarche : activités et livrables
Planning prévisionnel et dispositif humain
Évaluation en Unités d’Œuvre
3
Présentation des sociétés
Une offre unique sur le marché français
Advens s’appuie sur 3 acteurs de référence du marché français de la
Cybersécurité, ensemble nous rassemblons plus de
1200 experts.
| Un catalogue de services complet pour
une réponse de bout-en-bout
| Une forte connaissance des
problématiques sectorielles de
bénéficiaires UGAP
| Des prestations de confiance labellisées
par l’ANSSI
7
Ans d’expérience aux
côtés de l’UGAP sur ce
marché
3
des 11 sociétés
PASSI*-LPM (audit)
Advens, Sogeti, Wavestone
1
des 4 sociétés
PDIS* (SOC)
Sogeti (Advens en cours)
2
des 10 sociétés en
cours de PRIS*
(CSIRT)
Sogeti, Wavestone
| Une approche moderne, pragmatique et
efficace de la Cybersécurité
1
Centre d’entrainement
unique en France
- PASSI, PRIS PDIS sont des qualifications de confiance accordées par l’ANSSI
4
Présentation des sociétés
➔ Advens, le titulaire du marché
| En tant que titulaire du lot « Conseil Sécurité des SI » du marché P2I, Advens est le garant du bon déroulement des
prestations confiées à ses sous-traitants. Ainsi Advens assure le pilotage du marché (la relation, le suivi et le pilotage de
tous ces sous-traitants), ce qui se traduit dans le cycle de vie d’une prestation par :
➔ Gestion de la relation avec l’UGAP et ses bénéficiaires pour la qualification des besoins ;
➔ Suivi de l’exécution des prestations réalisées via le marché et de la satisfaction des bénéficiaires ;
➔ Contrôle de la qualité et de l’homogénéité des prestations délivrées dans le cadre du marché.
5
L’offre UGAP : Sécurité des Systèmes d'Information – Cybersécurité
OFFRE DE VALEUR
| Ce marché permet aux
bénéficiaires de créer,
conserver, rétablir et
garantir la sécurité et
cybersécurité de leurs
systèmes d’information.
| Les 18 unités d'œuvre
permettent d'adresser
toutes les facettes d'une
démarche de sécurité :
➔ sensibilisation ;
➔ définition de la
stratégie ;
➔ mise en conformité,
➔ audit du niveau de
sécurité ;
➔ déploiement des
mesures de protection ;
➔ supervision et réaction
en cas d'incident.
Les unités d’œuvres pour vous accompagner
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
Test d'intrusion « boite blanche » (dans les locaux du bénéficiaire)
Test d'intrusion « boite grise » (dans les locaux du bénéficiaire)
Test d'intrusion « boite noire »
Test de vulnérabilité automatisé
Audit de sécurité d'une application informatique
Accompagnement à la mise en conformité réglementaire du système d'information
Accompagnement à la définition d'une politique de sécurité du système d'information
Accompagnement à la définition d'un Plan de Continuité d'Activité (PCA)
Accompagnement à la définition d'un Plan de Reprise d'Activité (PRA)
Accompagnement à la définition d'un Plan de Gestion de Crise (PGC)
Analyse de risque du système d'information du bénéficiaire (méthode EBIOS ou équivalent)
Préparation de la sensibilisation à la sécurité des systèmes d'information
Sensibilisation à la sécurité des systèmes d'information
Analyse des solutions du marché pour un outil relatif à la sécurité à partir de l'expression de besoin
Intégration d'une solution de sécurité
Cadrage d’un projet de SOC
Intégration et déploiement d’un SOC sur site du bénéficiaire
Intégration et déploiement d’un SOC en mode MSSP
6
Sommaire
1
Présentation des sociétés
Contexte et enjeux
2
Compréhension du besoin
3
4
5
6
7
Prestations attendues
Démarche : activités et livrables
Planning prévisionnel et dispositif humain
Évaluation en Unités d’Œuvre
7
Contexte et enjeux
| La Ville de Meaux est une commune française située dans le département de Seine-et-Marne en région Île-de-France. La
commune de Meaux est la plus peuplée du département Seine-et-Marne recensant 55 750 habitants.
| A travers le marché UGAP SSI, la Ville de Meaux sollicite Sogeti-Capgemini en vue d’un accompagnement pour le rôle de
Délégué à la Protection des Données : DPD.
| S’inscrivant dans le cadre de sa feuille de route sur ses enjeux en matière de sécurité SI, la Ville de Meaux souhaite
entamer sa conformité face à la règlementation européenne sur la protection des données personnelles à travers un
accompagnement DPD.
| Il apparaît que le seul chantier en conformité RGPD est la nomination du DPD auprès de la CNIL, en la qualité de
Monsieur Thierry SMOLEN. Dans le cadre de cette prestation, La Ville de Meaux conservera ce titre déclaré auprès de la
CNIL.
| Dans cette offre Capgemini réalisera une étude du niveau de conformité RGPD.
| Puis Capgemini portera et réalisera dans une seconde proposition commerciale l’ensemble des actions attendues
(gestion des réclamations et des demandes d’exercice de droits des personnes concernées, sensibilisation, cartographie
des traitements, complétion des registres d’activités de traitements, analyse d’impact : AIPD…).
| L’absence de pratiques uniformes en matière de conformité au RGPD impliquera d’entamer un projet de mise en
conformité complet sans pouvoir capitaliser sur un éventuel existant.
8
Sommaire
1
Présentation des sociétés
Contexte et enjeux
2
Compréhension du besoin
3
4
5
6
7
Prestations attendues
Démarche : activités et livrables
Planning prévisionnel et dispositif humain
Évaluation en Unités d’Œuvre
9
Compréhension du besoin
| Objectifs de l’étude :
Sensibiliser la Direction aux enjeux de la mise en conformité RGPD, la faire adhérer aux chantiers et aux efforts à fournir.
➔ Etudier le niveau de maturité et conformité RGPD au sein de la Ville de Meaux.
➔ Identifier puis macro-cartographier les activités incombant de la responsabilité de la Ville de Meaux de ceux de
l’Agglomération du Pays de Meaux.
➔ Proposer en sortie une feuille de route jalonnée dans le temps servant de base à la prise de décision sur l’adressage des
sujets les plus sensibles et pallier aux écarts de conformité identifiés.
➔
| Livrables attendus :
Rapport d’état des lieux de la conformité au RGPD et synthèse managériale (proposition de feuille de route avec
priorisation des chantiers à la suite de ce livrable) ;
➔ Rapport d’état des lieux des pratiques en matière de protection des données et synthèse managériale ;
➔ Macro-cartographie des activités dont la Ville de Meaux est responsable de traitement ;
➔ Supports des réunions de lancement/clôture ainsi que des ateliers de travail, Comptes-rendus éventuels des réunions
de lancement/clôture, ateliers de travail, et échanges complémentaires.
➔
10
Sommaire
1
Présentation des sociétés
Contexte et enjeux
2
Compréhension du besoin
3
4
5
6
7
Prestations attendues
Démarche : activités et livrables
Planning prévisionnel et dispositif humain
Évaluation en Unités d’Œuvre
11
Prestations attendues
| Hypothèses de travail :
➔
Le niveau de détail de l’étude se limitera à celui des traitements métiers et fonctions supports pour la Ville de Meaux,
au niveau de maille permettant la prise de décision quant au plan d’action à venir.
➔
La rédaction des documents de mise en conformité (registre des activités de traitements, mentions d’information,
AIPD, Contrats, Processus, Gestion des exercices de droits des personnes concernées…) n’est pas incluse à la
prestation mais pourra faire l’objet d’une seconde proposition (Accréditation DPD qui sera proposée en sortie d’étude
de conformité RGPD).
➔
L’étude ne visera pas à une exhaustivité complète, elle a pour objet de réaliser un état des lieux permettant dans une
seconde étape, un niveau de conformité au RGPD requis à travers l’initialisation du registre des activités de
traitements et doit également permettre de dimensionner et prioriser les chantiers de mise en conformité.
➔
La présente proposition d’accompagnement s’articulera en une étude d’état des lieux de la conformité au sein de la
Ville de Meaux avec présentation des éléments en sortie.
12
Sommaire
1
Présentation des sociétés
Contexte et enjeux
2
Compréhension du besoin
3
4
5
6
7
Prestations attendues
Démarche : activités et livrables
Planning prévisionnel et dispositif humain
Évaluation en Unités d’Œuvre
13
Démarche : activités et livrables
➔ Pilotage du projet
Objectifs
Activités
Livrables
| L’activité de pilotage projet va
permettre à la Ville de Meaux d’être
accompagnée sur le déroulement
de la prestation afin d’en assurer sa
bonne réalisation selon les attentes
et le planning établi conjointement
au démarrage du projet.
Réunion de lancement
Formaliser les éléments structurants de la prestation sur les aspects
opérationnels, logistiques et techniques :
| Présentation : des acteurs, du périmètre, de la méthodologie et
de l’organisation de la gestion de la prestation.
| Validation :
| Calendrier prévisionnel mis à jour et
identification des participants aux
ateliers
| Supports de présentation pour la
réunion de lancement et de clôture
| Comptes-rendus éventuels des
réunions de lancement et clôture ainsi
que des points intermédiaires
➔
➔
➔
➔
Prérequis
| Disponibilité des interlocuteurs de
la Ville de Meaux.
| La ville de Meaux désigne un
interlocuteur projet unique,
correspondant de Capgemini, en
charge de la validation des livrables
réalisés dans le cadre de la présente
prestation.
du planning et du phasage des différentes étapes
Des moyens de communication et de protection de la confidentialité des
informations traitées ;
De la structure de suivi et coordination de la prestation (comité de suivi, groupes
de travail restreint, …) ;
des livrables attendus
| Prise en compte : documents de nature organisationnelle,
fonctionnelle et technique relatifs au sujet d’étude.
Réunion de débriefing à chaud
| Point d’étape formalisé permettant de donner de la visibilité
avant les résultats complets et définitifs.
Réunion de clôture
| Bilan permettant de valider que l’ensemble des objectifs de la
prestation et livrables (PVSF et CSE)
Hypothèses et dimensionnement
| Durée des réunions de lancement et de
clôture : 1H30
| Durée des réunions de suivi
intermédiaires : 1H00
14
Démarche : activités et livrables
➔ Etat des lieux de la conformité au RGPD et prise de contexte
Activités
Objectifs
| Fournir une vision consolidée de la
maturité en matière de conformité
au RGPD et de protection des
données à caractère personnel.
| Restituer aux parties prenantes
concernées les résultats de l’état
des lieux et les mettre en
perspective vis-à-vis du contexte
d’intervention.
| Valider les résultats de l’état des
lieux.
Prérequis
| Identification par le client des
sachants à interroger dans le cadre
de chaque atelier.
| Disponibilité
des
différents
interlocuteurs de la Ville de Meaux
pour la conduite des ateliers.
| Transmission des documents et
éléments de contexte en amont
des ateliers .
Prise de contexte et adaptation des outils d’intervention
| Adaptation de la trame d’état des lieux et des livrables au
contexte.
| Prise de connaissance de la documentation fournie en
préparation des ateliers de travail.
| Organisation d’ateliers de travail thématiques.
| Préparation et animation de 4 ateliers de travail thématiques :
➔
➔
➔
➔
Atelier : Gouvernance de la conformité au RGPD
Atelier : Politiques et processus RGPD
Atelier : Pratiques contractuelles et gestion des relations de soustraitance
Atelier : Organisation de la gestion de la conformité au RGPD
Identification des traitements de la Ville de Meaux en qualité de
Responsable de traitement
| Identification des traitements incombant de la Ville de Meaux par
rapport à ceux de l’Agglomération du Pays de Meaux.
Formalisation du rapport et validation de l’étude
| Formalisation du rapport d’état des lieux de la conformité au
RGPD et synthèse managériale.
| Validation des livrables par le client.
Livrables
| Rapport d’état des lieux de la
conformité au RGPD et synthèse
managériale.
| Macro-cartographie des traitements de
la Ville de Meaux en qualité de
responsable de traitement (sous forme
de tableau).
| Comptes-rendus éventuels.
Hypothèses et dimensionnement
| 4 ateliers de travail thématiques sont
prévus dans le cadre de l’intervention.
| Durée des ateliers de travail
thématiques : 2H30.
| Des ateliers complémentaires avec des
sachants sur l’organisation interne afin
de délimiter les traitements incombant
de la responsabilité de la Ville de
Meaux : 2 ateliers de 2H00.
15
Sommaire
1
Présentation des sociétés
Contexte et enjeux
2
Compréhension du besoin
3
4
5
6
7
Prestations attendues
Démarche : activités et livrables
Planning prévisionnel et dispositif humain
Évaluation en Unités d’Œuvre
16
Planning prévisionnel
Juin 2022
S23
S24
S25
Juillet 2022
S26
S27
S28
S29
Août 2022
S30
S31
S32
S33
Livrables
S34
➢ Supports d’ateliers
➢ Rapport d’état des lieux de la conformité au
RGPD et synthèse managériale
➢ Macro-cartographie des traitements de la Ville de
Meaux en qualité de responsable de traitement
➢ Comptes-rendus éventuels
Etat des lieux de la conformité et prise de contexte
Pilotage et revue qualité
Légende
Points d’avancement
Livrables
Réunion de
lancement
Gouvernance de
la conformité au
RGPD
Politiques et
processus
RGPD
Pratiques
contractuelles et
sous-traitance
Organisation de la
gestion de la
conformité au RGPD
Macrocartographie
Réunion de clôture
et présentation de
l’étude
Date de démarrage estimée de la prestation : 07/06/2022.
Cette date est sous réserve de la réception par l’UGAP du bon de commande du bénéficiaire.
Le planning définitif du projet sera présenté au lancement effectif de la mission.
17
Dispositif humain
Nombre d’intervenants : 2 à 3 consultants
Lieu d’exécution de la prestation : Dans les locaux de la mairie de Meaux et à distance
Profils :
- Manager de projet :
Il assume la responsabilité fondamentale du projet dans toutes ses dimensions (stratégiques, commerciales, financières,
humaines, juridiques, organisationnelles, techniques…). Son rôle sera de manager et veiller à la bonne exécution des
prestations. - Consultants Sénior RGPD :
Il maitrise les techniques et normes RGPD, prépare et anime les ateliers. Il réalise ses missions sur le périmètre cible
établi. Il consolide et restitue les résultats de l’étude.
18
Sommaire
1
Présentation des sociétés
Contexte et enjeux
2
Compréhension du besoin
3
4
5
6
7
Prestations attendues
Démarche : activités et livrables
Planning prévisionnel et dispositif humain
Évaluation en Unités d’Œuvre
19
Evaluation en Unité d’Œuvre
Phase (n°-Libellé)
Etat des lieux de la
conformité au RGPD et
prise de contexte
Libellé UO
Accompagnement à la mise en
conformité réglementaire du système
d'information, UO niveau complexe
Référence
UO
Quantité
UO
Délai de livraison
à partir de T0
(jours ouvrés) *
Date livraison
prévisionnelle*
Consultants
sénior
Manager / Chef
de projet
Charge
(jours)**
5568068
4
T0 + 60 jours
31/08/2022
27
3
30
Total
30
Nous rappelons que la date de démarrage de la prestation est T0 correspond à la date de réception de la commande. La date de livraison est donc
précisée ici à titre indicatif et sera modifiée en fonction de la date effective T0.
* Ces éléments sont donnés à titre indicatif et restent un estimatif. L’engagement de résultat porte sur les livrables et non sur le dispositif humain.
20