Souscription et gestion de marchés d'assurances en 4 lots sur 4 ans

Bonjour, Ce message concerne le dossier Brignoles_83_20250626W2_01 Objet : Souscription et gestion de marchés d'assurances en 4 lots sur 4 ans Le dossier est disponible sur la plateforme Marchés Sécurisés : https://www.marches-securises.fr/ Pour faire suite à la question d'un candidat concernant le lot n°03 "Parc automobile" et qui est la suivante : - Disposez-vous de véhicules de 9 places ou plus ? La réponse est : - La ville dispose de 5 minibus de 9 places - Le C.C.A.S. dispose d'une navette de 6 places. Cordialement, Direction de la Commande Publique Ville de Brignoles (83)

Bonjour, Ce message concerne le dossier Brignoles_83_20250626W2_01 Objet : Souscription et gestion de marchés d'assurances en 4 lots sur 4 ans Le dossier est disponible sur la plateforme Marchés Sécurisés : https://www.marches-securises.fr/ Lot n°4 : Assurance cyber risques Activités : Exercez-vous une activité dans les domaines suivants : - Plateformes de monnaie virtuelle et de crypto-monnaie ; NON - Organisations de jeux de hasard et d’argent ; NON - Transports aériens ou maritimes (y compris aéroports et ports) ; NON - Entreprises de production et de distribution d'eau ; NON - De gaz et d'électricité ; NON - Sociétés de télécommunications. NON Sécurité des applications : 1) Les logiciels et OS que vous utilisez sont-ils toujours maintenus par leurs éditeurs ? (ex : pas de version Windows antérieure à Windows 10) ? Si Non, pouvez-vous lister les éventuels systèmes non maintenus avec la politique de sécurité associée. OUI 2) Tous vos équipements sont-ils équipés d’un antivirus à jour ? ☐ Vos postes de travail Windows ? OUI ☐ Vos serveurs Windows ? OUI 3) Avez-vous mis en place une solution d'anti-phishing (ex : identification et blocage des emails de phishing) ? Si oui, précisez la solution utilisée. OUI avec Vade Cloud 4) Avez-vous activé un pare-feu sur tous vos systèmes exposés à l’extérieur de votre réseau ? Si oui, précisez la solution utilisée. OUI Stormshield 5) A quelle fréquence effectuez-vous les mises à jour de sécurité pour l'ensemble des logiciels que vous utilisez ? Précisions des logiciels qui ont une politique de mise à jour moins fréquente. Tous les mois Sauvegarde des données et restauration : 6) A quelle fréquence effectuez-vous des sauvegardes de vos données sur des supports déconnectés et isolés de votre réseau une fois les sauvegardes effectuées ? Précisions éventuelles sur votre système de sauvegarde. A minima toutes les semaines avec une rétention minimale de 2 semaines 7) A quelle fréquence effectuez-vous des tests de restauration à partir de vos sauvegardes ? Précisions éventuelles sur les tests de restauration. Régulièrement toutes les semaines Sécurité des systèmes : 8) Disposez-vous d’une journalisation (logs) des évènements de sécurité (ex : accès des utilisateurs aux applications, attribution de nouveaux droits d’accès, création de nouveaux utilisateurs, etc.) pour l’ensemble de vos ordinateurs et serveurs sur une durée d’au moins 15 jours ? OUI 9) Avez-vous mis en place une solution centralisée de remontée et de corrélation des évènements de sécurité (logs) pour vos ordinateurs et serveurs (ex : EDR, XDR, etc.) ? OUI Sécurité des accès : 10) Avez-vous mis en place une authentification multi facteurs (MFA) pour l'ensemble de vos systèmes critiques internes et externes et vos accès distants ? Si Non, listez les systèmes critiques qui ne disposent pas de MFA et la politique d'accès associée. NON 11) Avez-vous mis en place différents niveaux de droits d'accès en fonction des besoins métier de vos utilisateurs sur l'ensemble de vos systèmes critiques ? Si Non, listez les systèmes critiques sans droits d'accès limités et la politique de sécurité associée. OUI 12) Limitez-vous les privilèges "administrateurs" exclusivement aux utilisateurs qui en ont besoin ? Pas de droit d’Administrateur chez les Utilisateurs 13) Confirmez-vous que vos utilisateurs ne sont pas administrateurs de leurs postes de travail ? Pas de droit d’Administrateur chez les Utilisateurs 14) Chaque utilisateur dispose-t-il de compte nominatif pour se connecter au système d'information, aux applications métier et aux systèmes critiques de l'entreprise ? OUI 15) Imposez-vous une connexion par VPN pour tous les accès distants à vos systèmes critiques ? OUI 16) L'ensemble de vos mots passe sont-ils robustes (min 15 caractères incluant des capitales, minuscules, chiffres et caractères spéciaux.) ? OUI 17) Les ports RDP (Remote Desktop Protocol) de votre réseau sont-ils fermés ? OUI Gouvernance : 18) Avez-vous inventorié l'ensemble de votre parc informatique (équipements, logiciels, données, accès, interconnexions avec l'extérieur, etc.) ? OUI (GLPI) 19) Quel volume de données traitez-vous ? • Volumes donnés à caractère personnel sensibles ? ☐ Volume données bancaires ? ☐ Volume données de santé ? Estimation approximative du volume de données personnelles : État civil, listes électorales 20 000 Nom, prénom, adresse, Services scolaires et périscolaires 3 000 à 5 000 Données des enfants et des parents Action sociale (CCAS, aides, logement) 2 000 à 4 000 Revenus, situation familiale, santé Ressources humaines (agents communaux) 200 à 500 Données contractuelles, médicales, bancaires Urbanisme, permis, cadastre 5 000 à 10 000 Données des propriétaires, plans, adresses Vidéoprotection, contrôle d’accès Variable Images, horaires, plaques d’immatriculation Portail citoyen, téléservices 5 000 à 10 000 Comptes usagers, identifiants, historiques Bibliothèque, activités culturelles 1 000 à 3 000 Inscriptions, emprunts, coordonnées Total estimé : entre 50 000 et 150 000 données personnelles distinctes, voire plus selon les services numériques et les archives, Une commune de 20 000 habitants gère donc une volumétrie de données personnelles bien supérieure au nombre d'habitants, souvent dépassant les 50 000 et pouvant atteindre plusieurs centaines de milliers de jeux de données uniques si l'on intègre l'ensemble des historiques et les données collectées ponctuellement. C'est pourquoi la gestion RGPD et la cybersécurité sont des enjeux majeurs et permanents pour ces collectivités, Pourquoi le volume est-il élevé ? • Multiplicité des services : Une même personne peut être un électeur, un parent d'élève, un usager de la bibliothèque, et un demandeur d'acte d'état civil. Ses données apparaîtront dans plusieurs traitements. • Données historiques : La commune conserve des archives (état civil sur plusieurs générations, anciens dossiers RH, etc.), ce qui augmente considérablement le volume global de données traitées ou stockées. • Données indirectes : Les données de vidéoprotection ou de contrôle d'accès peuvent concerner des non-résidents ou des visiteurs occasionnels. 20) Listez les mesures de protection mises en place pour sécuriser vos données (DLP, chiffrement des données, classification des données, blocage des ports USB, etc.) DLP, Certificats, classification des données (RGPD), EDR Cordialement, Ville de Brignoles (83)

Bonjour, Ce message concerne le dossier Brignoles_83_20250626W2_01 Objet : Souscription et gestion de marchés d'assurances en 4 lots sur 4 ans Le dossier est disponible sur la plateforme Marchés Sécurisés : https://www.marches-securises.fr/ Pour faire suite aux questions d'un candidat concernant le lot n°04 "Cyber Risques", voici les réponses apportées par la collectivité : Q1/ Est-ce que votre Collectivité collecte, traite et stocke : • moins de 250 000 données à caractère personnel au sens du RGPD ; et • moins de 250 000 données bancaires (numéro de carte bancaire ou RIB) ; et • moins de 250 000 données à caractère sensible au sens du RGPD (notamment les données médicales) Si oui, merci de préciser le volume pour chacune de ces données. R1/ Pour une commune de 20 000 habitants, il est courant que le nombre de données à caractère personnel traitées dépasse largement ce chiffre, car chaque habitant peut être concerné par plusieurs traitements. Voici une estimation réaliste :