Usluge penetracijskog testiranja (PEN TEST) - Ponovljeni postupak

CEJN ID

104831

Процедура

Упрощённая закупка

Тип контракта

Услуги

Классификация CPV

72222300ИТ-услуги

PREDMET NABAVKE 1. AGENCIJA ZA NADZOR OSIGURANJA - Usluge penetracijskog testiranja (PEN test) CPV: 72222300 Procijenjena vrijednost: 10000 EUR USLOVI UČEŠĆA 1. Privredni subjekat treba da je upisan u Centralni registar privrednih subjekata ili drugi odgovarajući registar u državi u kojoj privredni subjekat ima sjedište, i to se dokazuje dostavljanjem dokaza o registraciji u Centralnom registaru privrednih subjekata ili drugom odgovarajućem registaru sa podacima o ovlašćenom licu privrednog subjekta, radi utvrđivanja ispunjenosti uslova iz člana 102 stav 1 tačka 1 Zakona o javnim nabavkama. 2. Ispunjenost obaveznih uslova utvrđenih Zahtjevom za dostavljanje ponuda za jednostavne nabavke ponuđač dokazuje pisanom izjavom čiji je sadržaj određen Obrascem 2 Pravilnika za sprovođenje jednostavnih nabavki („Službeni list CG“, br. 16/23, 20/23, 36/23, 114/23, 49/24 i 114/24). 3. Rok izvršenja ugovora je 30 dana od dana zaključivanja ugovora. 4. Mjesto izvršenja ugovora su prostorije Agencije za nadzor osiguranje, ulica Moskovska 17A. 5. Način plaćanja je: na žiro račun Dobavljača. Žiro račun:__________________ Banka:______________________ (Ponuđač je obavezan navesti broj žiro računa i banke). 6. U roku od 30 dana nakon dostavljanja zaključaka o trenutnom nivou bezbjednosti i predloga tehničkih i organizacionih mjera za njihovo poboljšanje, i uredno ispostavljene fakture. 7. Rok važenja ponude je 60 dana od dana otvaranja ponuda. 8. Minimum jedno stručno lice (stalno zaposleno ili na drugi način radno angažovano) sa važećim sertifikatom: • GIAC certified Penetration tester GPEN ili ekvivalentni sertifikat istog nivoa. Kao potvrdu da je navedeni uslov zadovoljen, potrebno je u ponudi dostaviti dokaz o angažovanju stručnih lica (kopija radne knjižice, ugovor o radu ili ugovor o drugom načinu angažovanja) i traženi sertifikat za stručno lice. Uslovi su zadovoljeni i ukoliko jedno lice posjeduje više nabrojanih sposobnosti i sertifikata. 9. Minimum jedno stručno lice (stalno zaposleno ili na drugi način radno angažovano) sa važećim sertifikatom: • CompTIA Network Vulnerability Assessment Professional ili ekvivalentni sertifikat istog nivoa. Kao potvrdu da je navedeni uslov zadovoljen, potrebno je u ponudi dostaviti dokaz o angažovanju stručnih lica (kopija radne knjižice, ugovor o radu ili ugovor o drugom načinu angažovanja) i traženi sertifikat za stručno lice. Uslovi su zadovoljeni i ukoliko jedno lice posjeduje više nabrojanih sposobnosti i sertifikata. 10. Minimum jedno stručno lice (stalno zaposleno ili na drugi način radno angažovano) sa važećim sertifikatom: • EC-Council Certified Ethical Hacker Master (ECC-CEH) ili ekvivalentni sertifikat istog nivoa. Kao potvrdu da je navedeni uslov zadovoljen, potrebno je u ponudi dostaviti dokaz o angažovanju stručnih lica (kopija radne knjižice, ugovor o radu ili ugovor o drugom načinu angažovanja) i traženi sertifikat za stručno lice. Uslovi su zadovoljeni i ukoliko jedno lice posjeduje više nabrojanih sposobnosti i sertifikata. 11. Minimum jedno stručno lice (stalno zaposleno ili na drugi način radno angažovano) sa važećim sertifikatom: • CompTIA Pentest ili ekvivalentni sertifikat istog nivoa. Kao potvrdu da je navedeni uslov zadovoljen, potrebno je u ponudi dostaviti dokaz o angažovanju stručnih lica (kopija radne knjižice, ugovor o radu ili ugovor o drugom načinu angažovanja) i traženi sertifikat za stručno lice. Uslovi su zadovoljeni i ukoliko jedno lice posjeduje više nabrojanih sposobnosti i sertifikata. 12. Minimum jedno stručno lice (stalno zaposleno ili na drugi način radno angažovano) sa važećim sertifikatom: • CWL CRTA - Certified Red Team Analyst ili Certified Red Team Operator ili ekvivalentni sertifikat istog nivoa. Kao potvrdu da je navedeni uslov zadovoljen, potrebno je u ponudi dostaviti dokaz o angažovanju stručnih lica (kopija radne knjižice, ugovor o radu ili ugovor o drugom načinu angažovanja) i traženi sertifikat za stručno lice. Uslovi su zadovoljeni i ukoliko jedno lice posjeduje više nabrojanih sposobnosti i sertifikata. 13. Minimum jedno stručno lice (stalno zaposleno ili na drugi način radno angažovano) sa važećim sertifikatom: • Burp Suite Practitioner ili ekvivalentni sertifikat istog nivoa. Kao potvrdu da je navedeni uslov zadovoljen, potrebno je u ponudi dostaviti dokaz o angažovanju stručnih lica (kopija radne knjižice, ugovor o radu ili ugovor o drugom načinu angažovanja) i traženi sertifikat za stručno lice. Uslovi su zadovoljeni i ukoliko jedno lice posjeduje više nabrojanih sposobnosti i sertifikata. 14. Minimum jedno stručno lice (stalno zaposleno ili na drugi način radno angažovano) sa važećim sertifikatom: • CompTIA Security+ ili ekvivalentni sertifikat istog nivoa. Kao potvrdu da je navedeni uslov zadovoljen, potrebno je u ponudi dostaviti dokaz o angažovanju stručnih lica (kopija radne knjižice, ugovor o radu ili ugovor o drugom načinu angažovanja) i traženi sertifikat za stručno lice. Uslovi su zadovoljeni i ukoliko jedno lice posjeduje više nabrojanih sposobnosti i sertifikata. 15. Minimum jedno stručno lice (stalno zaposleno ili na drugi način angažovano) sa važećim sertifikatom: • Certified Network Pentester (CNPen) with Merit ili ekvivalentni sertifikat istog nivoa. Kao potvrdu da je navedeni uslov zadovoljen, potrebno je u ponudi dostaviti dokaz o angažovanju stručnih lica (kopija radne knjižice, ugovor o radu ili ugovor o drugom načinu angažovanja) i traženi sertifikat za stručno lice. Uslovi su zadovoljeni i ukoliko jedno lice posjeduje više nabrojanih sposobnosti i sertifikata. 16. Minimum jedno stručno lice (stalno zaposleno ili na drugi način angažovano) sa važećim sertifikatom: iz oblasti upravljanja IT uslugama (ITIL ili odgovarajući). Kao potvrdu da je navedeni uslov zadovoljen, potrebno je u ponudi dostaviti dokaz o angažovanju stručnih lica (kopija radne knjižice, ugovor o radu ili ugovor o drugom načinu angažovanja) i traženi sertifikat za stručno lice. Uslovi su zadovoljeni i ukoliko jedno lice posjeduje više nabrojanih sposobnosti i sertifikata. 17. Ponuđač treba da u ponudi dostavi dokaz o posjedovanju sertifikata o ispunjenosti standarda ISO 9001 za upravljanje kvalitetom. 18. Ponuđač treba da u ponudi dostavi dokaz o posjedovanju sertifikata o ispunjenosti standarda ISO 27001 za bezbjednošću informacija. 19. Ponuđač treba da u ponudi dostavi dokaz o posjedovanju sertifikata o ispunjenosti standarda ISO 20000-1 za upravljanje IT uslugama. KRITERIJUMI ZA IZBOR Partija 1: cijena 100 bodova; kvalitet 0 bodova. 1. Cijena TEHNIČKA SPECIFIKACIJA 1. Usluga penetracijskog testiranja (PEN TEST) Testiranje je potrebno sprovesti primjenom standardizovanih metoda i najboljih praksi u oblasti sajber bezbjednosti, u skladu sa važećim međunarodnim i domaćim propisima. Ugovor podrazumijeva angažovanje tehničkog tima sa validiranim sertifikatima (GPEN, ECC-CEH Master, CompTIA Network Vulnerability Assessment Professional, CompTIA pentest, CWL CRTA ili CRTO, CompTIA Security+...). Penetraciono testiranje treba da obuhvati: • Penetraciono testiranje dvije aplikacije • Penetraciono testiranje eksterne mreže • Penetraciono testiranje interne mreže • Ponovno testiranje (Retesting) Penetraciono testiranje dvije aplikacije: Metodologija: Gray-box pristup, uz korišćenje testnih naloga koje dostavlja Klijent. Pristup testiranju aplikativnih interfejsa i veb servisa treba da se zasniva na priznatim svjetskim standardima i smjernicama za bezbjednost, pri čemu su preporuke i čekliste koje nudi OWASP (Open Web Application Security Project) ključne za kvalitetnu provjeru. Primjena ovih smjernica treba da obuhvati sve aspekte interakcije između korisničkog okruženja i pozadinskih servisa, uključujući validaciju ulaznih podataka, bezbjedno upravljanje sesijama, zaštitu od injektovanja zlonamjernog koda i pravilnu kontrolu pristupa. Provjera bezbjednosti treba da uključi i detaljnu analizu API krajnjih tačaka, sa posebnim akcentom na autentikaciju i autorizaciju, kao i zaštitu osjetljivih podataka koji se razmjenjuju s klijentskim okruženjem. Korišćenjem OWASP referentnih materijala, kao što su OWASP Web Security Testing Guide i OWASP Top 10 API Security, omogućava se sistematičan i sveobuhvatan pristup identifikaciji ranjivosti, što rezultira preciznijim nalazima i efikasnim prijedlozima za unaprjeđenje. Ovakav pristup obezbjeđuje da se, pored standardnih provjera, uoče i potencijalni propusti u poslovnoj logici, te procijeni postojanje alternativnih puteva koje bi napadači mogli iskoristiti. Penetraciono testiranje eksterne mreže Metodologija: Black-box pristup, radi identifikacije ranjivosti iz ugla potencijalnog spoljnjeg napadača. Cilj testiranja bezbjednosti eksterne mrežne infrastrukture je da se identifikuju potencijalne ranjivosti i provjere zaštitni mehanizmi postavljeni na svim nivoima mrežnog saobraćaja. Poseban akcenat stavlja se na segmentaciju mreže, konfiguraciju pristupnih tačaka i kontrolu protoka informacija. Analiza uključuje testiranje mrežnih servisa, aktivnih uređaja i komunikacionih protokola, sa ciljem otkrivanja otvorenih portova i servisa izloženih neovlašćenoj upotrebi. Proces uključuje simulaciju potencijalnih napada i analizu puteva lateralnog kretanja unutar mreže, uz korišćenje savremenih alata i tehnika koji se redovno ažuriraju. Na osnovu dobijenih rezultata donose se zaključci o trenutnom nivou bezbjednosti i predlažu tehničke i organizacione mjere za njegovo poboljšanje. Penetraciono testiranje interne mreže: white box pristup White-box pristup pentestu interne mreže podrazumijeva da testeri imaju kompletne informacije, mrežne dijagrame, konfiguracije, kredencijale i arhitekturu. Takav pristup treba da omogući dublju, bržu i ciljaniju analizu ranjivosti, uključujući greške u konfiguraciji i privilegije koje bi napadač mogao iskoristiti. Izvršilac treba pripremiti i dostaviti završni izvještaj o realizovanom penetracijskom testu koji treba da uključi rezultate sa oba testa: eksternog penetracijskog testa i internog penetracijskog testa. Na osnovu rezultata ovog testiranja, pored izvještaja, Izvršilac treba da dostavi predlog plana konkretnih korektivnih mjera koje se trebaju preduzeti radi uspješnog otklanjanja identifikovanih ranjivosti i unapređenje sigurnosnih mehanizama. Izvršilac je takođe dužan da izvrši validaciju sanacije svih kritičnih i visoko rizičnih ranjivosti nakon obavještenja od strane naručioca da su korektivne mjere sprovedene. Količina: 1 test NAPOMENE Agencija za nadzor osiguranja ima potrebu za sprovođenjem penetracionog testiranja dvije aplikacije i eksterne i interne mreže. Cilj ovog testiranja je provjera sigurnosti i otpornosti aplikacije i eksterne i interne mreže ANO na potencijalne bezbjednosne prijetnje, kao i identifikacija eventualnih ranjivosti koje bi mogle ugroziti integritet, dostupnost i povjerljivost sistema. DOKUMENTI 1. 20251204130126_Pregled_postupka_104831.pdf https://cejn.gov.me/api/common/downloadFile/2829289 2. Obavještenje o ishodu postupka jednostavne nabavke.pdf https://cejn.gov.me/api/common/downloadFile/2874066 3. Ugovor o jednostavnoj nabavci za usluge penetracijskog testiranja.pdf https://cejn.gov.me/api/common/downloadFile/2893918

Платежи казначейства нельзя связать с этим контрактом: CEJN не опубликовал PIB поставщика, а платежи сопоставляются по PIB. Поэтому сумма и покрытие здесь не показаны.