Solution de protection des données et des points terminaux

BESOIN :

Le ministère de la Justice du Canada (JC) souhaite acquérir les
biens indiqués ci-dessous dans la section Contexte. Le présent
préavis d'adjudication de contrat (PAC) vise à signaler
l'intention de l'État d'attribuer un marché pour ces biens à ACT
Inc., le détenteur de l'arrangement en matière
d'approvisionnement (AMA) pour le logiciel McAfee. Avant
d'attribuer un marché, l'État souhaite toutefois donner aux
autres fournisseurs la possibilité de démontrer leur capacité de
satisfaire aux exigences stipulées dans le présent avis, en
soumettant un énoncé des compétences pendant la période
d'affichage de 15 jours civils.

Advenant que d'autres fournisseurs potentiels soumettent des
énoncés de compétences pendant la période de publication de
quinze jours civils et satisfassent aux exigences établies dans
le PAC, le ministère ou l'organisme doit tenir une procédure
complète d'appel d'offres à l'aide du service électronique de
soumission du gouvernement ou par des moyens conventionnels en
vue de l'attribution du marché. .

Si, à la date de clôture, aucun autre fournisseur n'a présenté
d'énoncé détaillé de capacités répondant aux exigences établies
dans le PAC, le contrat sera octroyé au fournisseur
présélectionné.

CONTEXTE :

Le ministère de la Justice du Canada souhaite améliorer la
sécurité de son réseau, plus particulièrement en ce qui a trait
à la protection des points terminaux et au contrôle des données.
Le ministère de la Justice du Canada croit que la manière la
plus efficace de fournir la protection est par le biais d'une
solution logicielle gérée centralement.

Travaux publics et Services gouvernementaux Canada, au nom de
son client, le ministère de la Justice du Canada, a l'intention
de conclure un marché exclusif avec McAfee Limited pour
l'approvisionnement des éléments suivants :

Besoin initial

1) 100 - McAfee Endpoint Protection Suite (Suite de protection
des points terminaux de McAfee)

1. 2)
   100 - Logiciel de prévention de perte des données hôtes
2. 3)
   24 - Contrôle des changements pour les serveurs de McAfee
3. 4)
   16 - Surveillance des activités de McAfee

EXIGENCES OBLIGATOIRES MINIMALES

Tout fournisseur intéressé doit démontrer au moyen d'un énoncé
de capacités qu'il satisfait à toutes les exigences obligatoires
énoncées à l'annexe A.

JUSTIFICATION DU FOURNISSEUR PRÉSÉLECTIONNÉ

Vous trouverez les motifs de la procédure d'appel d'offres
unique à l'annexe A.

L'article 6 du Règlement sur les marchés de l'État est invoqué
dans le présent marché puisqu'on estime que celui-ci ne peut
être exécuté que par une seule personne ou entreprise.

Les articles 506.12a) et 506.12b) de l'annexe de l'Accord sur le
commerce intérieur (ACI) s'appliquent en fonction d'appels
d'offres restreints pour assurer la compatibilité avec des
produits existants, pour assurer le respect de droits exclusifs
tels des droits d'auteur ou des droits fondés sur une licence ou
un brevet, ou encore pour l'entretien de produits spécialisés,
lorsque cet entretien doit être effectué par le fabricant ou son
représentant, et lorsque, pour des raisons d'ordre technique, il
y a absence de concurrence et que les produits ou services ne
peuvent être fournis que par un fournisseur donné et qu'il
n'existe aucune solution de rechange ou encore de produits ou
services de remplacement.

Les alinéas 1016.2b) et 1016.2d) de l'ALENA sont applicables.
L'appel d'offres est limité du fait qu'il s'agit de travaux
d'art ou pour des raisons liées à la protection de brevets, de
droits d'auteur ou d'autres droits exclusifs ou de
renseignements de nature exclusive, ou en l'absence de
concurrence pour des raisons techniques, les produits ou
services ne pourront être fournis que par un fournisseur
particulier et qu'il n'existera aucun produit ou service de
rechange ou de remplacement raisonnablement satisfaisant, et
lorsqu'il s'agira de livraisons additionnelles à assurer par le
fournisseur initial et portant sur le remplacement de pièces ou
la prestation de services continus à l'égard de fournitures, de
services ou d'installations déjà livrés, ou visant à compléter
ces fournitures, services ou installations, et qu'un changement
de fournisseur obligerait l'entité à acheter des équipements ou
des services ne répondant pas à des conditions
d'interchangeabilité avec des équipements ou des services déjà
existants, y compris les logiciels, dans la mesure où l'achat
initial s'inscrit dans le cadre du présent chapitre.

DURÉE DU CONTRAT

Le contrat proposé vise l'achat de logiciels de McAfee ainsi que
les services de soutien et de maintenance connexes pour une
période d'un (1) an, à partir de la date d'attribution du
contrat.

La solution devra être livrée dans les 10 jours suivant
l'attribution du contrat.

ANNEXE A

Les motifs de l'achat du logiciel de sécurité requis au moyen
d'un processus à fournisseur unique sont énumérés ci-après. Le
ministère de la Justice du Canada exige une solution conforme
aux fonctionnalités suivantes :

Exigences techniques générales

1. Les quatre produits logiciels doivent utiliser un même outil
commun de gestion et de production de rapports. On doit pouvoir
gérer et configurer entièrement toutes les facettes du logiciel
à partir d'une console de gestion de la sécurité. Cette console
doit offrir une connaissance de la situation de la sécurité et
des positions de risque par une interaction avec les éléments de
sécurité aux points terminaux.

2. Le logiciel doit avoir la capacité de se déployer
graduellement au sein d'un environnement de développement ou de
début de production sans nuire aux applications ou à
l'environnement.

3. La solution ne doit pas être basée sur un appareil.

Exigences techniques relatives à la prévention de la perte
d'informations aux points terminaux

1. Le logiciel doit satisfaire aux exigences du Conseil du
Trésor visant à éviter la perte d'informations sensibles,
notamment les exigences relatives aux pertes financières, aux
dommages à l'image de marque, aux risques pour la sécurité
nationale, à la perte de crédibilité et aux pénalités de
non-conformité associées à la divulgation accidentelle ou au vol
de données par des personnes autorisées ou des pirates
informatiques.

2. Le logiciel doit protéger toutes les couches de
l'infrastructure et assurer la protection de l'information
confidentielle sur tout le réseau, dans les serveurs, les bases
de données et l'ensemble des points terminaux.

3. Le logiciel doit contrôler les transferts de données et
veiller à ce que le Ministère surveille et contrôle le
transfert d'information sensible sur des dispositifs de stockage
amovible ou par courriel même lorsque les données sont
maquillées.

4. Le logiciel doit prendre en charge un ensemble complet de
définitions du matériel et assurer la mise en place de
mécanismes de protection des données sensibles, même lorsque ces
données sont modifiées, copiées, collées ou comprimées. Tous les
mécanismes de protection doivent couvrir les définitions des
matériels suivants : USB, interface SCSI, PCMCIA, bus PCI,
IDE/SATA, FireWire, système Bluetooth, MP3, CD, DVD, iPod et
téléphones intelligents à mémoire de stockage.

5. Le logiciel doit offrir un contrôle des détails relatifs aux
dispositifs USB ainsi que des méthodes de protection pour les
dispositifs de type USB, tel que les clés USB, et pouvoir être
contrôlé (blocage, surveillance, alerte) en fonction de critères
relatifs aux détails tels que l'ID du fournisseur, le numéro de
série du dispositif USB ainsi que le nom de domaine de
l'utilisateur. La solution proposée doit pouvoir générer des
politiques axées sur les rôles afin de contrôler l'utilisation
de dispositifs amovibles et les données qu'on peut y copier.

6. La gestion du logiciel doit s'effectuer à partir d'une
console de gestion de la sécurité.

7. Le logiciel doit pouvoir déceler les données sensibles se
trouvant sur les disques durs locaux. Les politiques balayage
des données sensibles doivent prévoir un niveau de détail
suffisant pour un filtrage par utilisateur et/ou par groupe
Active Directory. Les résultats doivent être conservés dans la
console de gestion de la sécurité de manière à ce qu'on puisse
s'en servir pour établir le profil de l'utilisation des données
ministérielles. On doit aussi pouvoir utiliser les résultats
afin de compiler un inventaire de données ministérielles pouvant
servir dans des affaires telles que les communications
juridiques.

8. Le logiciel doit pouvoir prévenir la perte d'informations en
bloquant les actions interdites en temps réel, que le point
terminal soit branché au réseau d'entreprise ou pas. Lorsqu'une
action de blocage se produit en dehors du réseau d'entreprise,
les données de l'événement doivent être conservées en sécurité
sur l'ordinateur portatif et transmises à la console de gestion
de la sécurité au moment où le point terminal est de nouveau
branché au réseau d'entreprise.

9. Le logiciel doit offrir des politiques détaillées en matière
de sécurité et prendre en charge l'établissement de règles de
réaction détaillées. Les règles de réaction doivent permettre de
définir les mesures à prendre pour exécuter la protection contre
la perte d'informations et les politiques de contrôle du
matériel, par exemple le blocage, la surveillance, l'alerte, la
quarantaine, le signalement ou le chiffrement.

10. Le logiciel doit fournir de l'information critique sur
l'utilisation, tel que le nom du matériel, l'heure et la date et
des détails sur les données. Le logiciel doit pouvoir produire
des rapports réglementaires et juridiques afin de prouver aux
vérificateurs la présence de mesures de conformité internes et
réglementaires.

Exigences techniques relatives à la surveillance de l'activité
des bases de données

1. À des fins de vérification, le logiciel proposé doit pouvoir
consigner l'accès aux bases de données et fournir tous les
détails des transactions. Le logiciel doit pouvoir retracer le
nom de l'utilisateur, l'heure et la date ainsi que les champs de
données ayant été modifiés.

2. Le logiciel doit utiliser un capteur à faible empreinte afin
de surveiller toute l'activité des bases de données. Le capteur
doit utiliser un processus autonome fonctionnant à partir du
serveur hôte et non pas de chaque utilisation de la base de
données pour réduire au minimum l'incidence sur les bases de
données.

3. On doit utiliser une seule console de surveillance de
l'activité des bases de données, peu importe le nombre de
capteurs d'activité de base de données lancés dans différentes
bases de données. La solution doit pouvoir être adaptable afin
de couvrir des centaines de bases de données. Cette console sera
la même que celle utilisée pour la gestion de tous les autres
éléments requis par le présent PAC.

4. Le logiciel doit assurer une surveillance détaillée de toutes
les transactions des bases de données, y compris les
interrogations, les objets des bases de données ainsi que les
procédures conservées et offrir une capacité d'alerte en temps
réel afin de prévenir les fuites.

5. Le logiciel proposé doit assurer une protection immédiate
contre les vulnérabilités nouvellement cernées tout en
maintenant à zéro le temps d'arrêt du système de gestion de base
de données.

6. Le logiciel proposé doit avoir la capacité d'exécuter les
retouches nécessaires et de corriger les erreurs de
configuration décelées par le logiciel de surveillance de
l'activité des bases de données.

Exigences techniques relatives à une liste blanche du contrôle
des changements

1. Le logiciel proposé doit pouvoir bloquer tous les logiciels
malveillants connus et inconnus en empêchant tout logiciel non
autorisé d'être exécuté sur un point terminal. La solution doit
pouvoir définir ce qu'est un logiciel autorisé et prévoir un
moyen de modifier la bibliothèque des logiciels autorisés.

2. Le logiciel proposé ne doit pas avoir besoin d'un fichier
signature, d'un script ou d'une mise à jour quelconque pour
continuer à protéger le point terminal.

3. Le logiciel doit protéger le point terminal, qu'il soit
branché ou pas au réseau d'entreprise.

4. Le logiciel proposé doit pouvoir protéger la mémoire vive
(RAM) afin d'assurer que les attaques misant sur la surcharge de
la mémoire tampon ne porteront pas atteinte à l'intégrité du
système.

5. Le logiciel doit pouvoir reconnaître toutes les applications
utilisées au point terminal et les classifier comme
bonnes/malveillantes ou inconnues. Le logiciel doit aussi
prévoir une fonction d'adaptation de la classification de
l'inventaire.

6. Le logiciel proposé doit accepter les changements aux
programmes autorisés par divers mécanismes, notamment par un
certificat d'application, un utilisateur de confiance, un
emplacement de fichier connu, l'heure du jour et un
actualisateur de confiance. On doit pouvoir avoir accès à ces
mécanismes et les adapter à partir d'une console de gestion.

7. Le logiciel proposé doit prévoir une option permettant aux
utilisateurs finaux d'installer un logiciel à des fins
opérationnelles tout en effectuant un suivi à partir de la
console de gestion. Il doit avoir la capacité, suite à
l'installation, de refuser ou d'accepter les exceptions en
fonction des politiques.

Exigences techniques relatives à la suite logicielle de
protection des points terminaux

1. Le logiciel proposé doit offrir une protection antivirus, la
protection d'un pare-feu au poste de travail, une protection Web
et un filtre Web aux points terminaux, être capable de bloquer
les logiciels malveillants connus et inconnus, les virus, les
logiciels publicitaires, les logiciels espions, les programmes
malveillants furtifs et les logiciels s'attaquant au registre
des clés tout en atteignant un taux de détection supérieur à 99
%.

2. Le logiciel doit réduire au minimum les pertes d'informations
et les temps d'arrêt découlant des menaces du jour zéro et
réduire les signatures d'antivirus en ayant recours à
l'informatique en nuage pour obtenir de l'information sur les
menaces. Cette information en nuage doit fonctionner dans le
contexte de tous les vecteurs de menace, y compris les fichiers,
le Web, les messages et le réseau.

3. Le logiciel doit pouvoir bloquer de manière proactive au
point terminal les logiciels espions et les autres programmes
possiblement indésirables.

4. Le logiciel de protection du point terminal doit protéger
celui-ci des pourriels et des logiciels malveillants.

5. Le logiciel proposé doit prendre en charge une solution de
sécurité Web intégrée afin d'empêcher les utilisateurs de
visiter des sites Web malveillants et éviter ainsi des menaces
provenant du Web. La solution doit prendre en charge une
classification active des sites Web afin de renseigner
l'utilisateur sur les dangers de l'accès au site Web visé. Ces
solutions de sécurité intégrées doivent pouvoir avertir
l'utilisateur et possiblement l'empêcher d'avoir accès à des
sites contenant des logiciels espions, de l'hameçonnage ou des
agents de pollupostage, ou offrir l'option de bloquer l'accès de
l'utilisateur en fonction de la politique de classification des
sites Web.

6. Le logiciel proposé doit utiliser plusieurs moteurs
travaillant de concert pour protéger le point terminal; sur le
plan architectural, cela signifie que le Ministère ne peut
déployer que les composantes requises, au fur et à mesure des
besoins, plutôt que le lot complet de composantes. Les
composants doivent correspondre aux groupes d'utilisateurs
Active Directory, aux produits (moteurs) et on doit pouvoir les
déployer à partir de la console de gestion logicielle.

7. Le logiciel antivirus proposé doit prendre en charge une
fonction de cache persistante, de manière à ce que les données
balayées mises en cache demeurent intactes même à la suite d'une
réinitialisation.

8. Le logiciel antilogiciels malveillants proposé doit protéger
un large éventail de systèmes d'exploitation, y compris diverses
plateformes d'ordinateur et de serveur Windows ainsi que les
plateformes Macintosh et Linux.

9. Le logiciel proposé doit prendre en charge un pare-feu de
poste de travail basé sur l'emplacement et sensible à la
connexion. Cela fournit aux utilisateurs se branchant via le
réseau d'entreprise un ensemble de règles de pare-feu (un accès
essentiellement sans restriction); cependant, si l'utilisateur
n'est pas branché au réseau d'entreprise (c.-à-d. s'il se trouve
dans un café ou à l'hôtel), une politique de pare-feu plus
restrictive entre en jeu, ne donnant accès par exemple qu'à une
adresse IP de RVP ministériel.

10. Le pare-feu de point terminal proposé doit pouvoir empêcher
l'établissement au point terminal de connexions simultanées à
deux réseaux distincts. Il doit par exemple empêcher qu'une
connexion Ethernet au réseau d'entreprise s'établisse pendant
qu'on tente simultanément de se brancher à un réseau externe au
moyen de l'adaptateur sans fil. Le logiciel doit
désactiver/bloquer la connexion sans fil dans ce cas.

11. La solution proposée doit prendre en charge les utilisateurs
en déplacement en facilitant l'utilisation d'une interface DMZ
permettant à la console unique de gestion de la sécurité
d'interagir avec les systèmes mobiles gérés de l'extérieur.

12. Le logiciel proposé doit être pleinement capable de
fonctionner dans un environnement virtuel, en offrant la même
protection contre les logiciels malveillants que celle assurée à
un point terminal physique. La gestion des points terminaux
virtuels doit être identique à celle des points terminaux
physiques.

CLÔTURE DATE ET HEURE DE RÉPONSES DES FOURNISSEURS CONTESTANT
cette exigence est 2:00 pm EST , 15 novembre 2013 .

Vous êtes avisé que le gouvernement a l'intention de solliciter
une offre et négocier avec une entreprise que comme indiqué
ci-dessus .

Si vous souhaitez soumettre une réponse écrite montrant que vous
êtes capable de répondre à cette exigence, il doit être fait au
plus tard à la date de clôture et l'heure spécifiées . Le numéro
de dossier , sous-traitance le nom de l'agent, ainsi que la date
de clôture du PAC doivent figurer à l'extérieur de l'enveloppe
en lettres moulées ou, dans le cas d'une transmission par
télécopieur, sur la page couverture. Comme il est prévu de
procéder en temps opportun , les réponses reçues après la date
limite ne sera pas prise en considération.

Les réponses reçues avant la date de clôture seront pris en
compte uniquement dans le but de décider s'il convient ou non de
procéder à un appel d'offres . L'information fournie sera
utilisée par la Couronne à des fins d' évaluation technique et
ne doit pas être interprété comme une demande concurrentielle .
Votre réponse doit contenir des preuves ( spécifications,
données techniques , dessins ou autre preuve) qui démontre
clairement que votre produit ou service est susceptible de
remplir cette exigence.
Les fournisseurs qui ont présenté une réponse seront avisés par
écrit de la décision de TPSGC de continuer avec le marché non
concurrentiel ou de concourir à cette exigence.
Date de livraison : Indiquée ci-dessus

L'État fait savoir par la présente qu'il a l'intention de
n'inviter à soumissionner que l'entreprise susmentionnée et de
ne négocier qu'avec elle. Pour de plus amples renseignements
concernant ce marché, communiquer avec l'agent de négociation
des marchés dont le nom est indiqué ci-dessus.

Un préavis d'adjudication de contrat (PAC) permet aux ministères
et aux organismes de publier un avis, pendant un minimum de
quinze (15) jours civils, pour informer la collectivité des
fournisseurs de leur intention de passer un marché pour un bien,
un service ou des travaux de construction à un fournisseur
sélectionné d'avance. Si pendant la période d'affichage, aucun
fournisseur ne présente d'énoncé de compétences répondant aux
exigences précisées dans le PAC, l'agent de négociation des
marchés pourra alors procéder à l'attribution du marché. S'il
est jugé, toutefois, qu'un énoncé de compétences répond aux
exigences précisées dans le PAC, l'agent de négociation des
marchés doit lancer le processus complet d'appel d'offres.

Les fournisseurs qui estiment être pleinement qualifiés et prêts
à fournir les produits ou les services décrits dans cet avis
peuvent présenter un énoncé de compétences à la
personne-ressource dont le nom figure dans le présent avis d'ici
la date de clôture, laquelle est aussi précisée dans l'avis.
L'énoncé de compétences doit démontrer clairement la façon dont
le fournisseur compte s'y prendre pour répondre aux exigences
indiquées dans le préavis.

Le numéro de dossier de TPSGC, le nom de l'agent de négociation
des marchés et la date de clôture du préavis d'adjudication de
contrat (PAC) doivent figurer en lettres moulées sur
l'enveloppe, ou sur la feuille d'accompagnement, s'il s'agit
d'un envoi par télécopieur.

L'État se réserve le droit de négocier les conditions de tout
marché avec les fournisseurs.

Les documents peuvent être présentés dans l'une ou l'autre des
langues officielles du Canada.