Pružanje usluge identifikacije sigurnosnih ranjivosti

CEJN ID

124857

Поступак

Отворени поступак

Врста уговора

Услуге

CPV класификација

72254100ИТ услуге

PREDMET NABAVKE 1. CENTRALNA BANKA CRNE GORE - Identifikacija sigurnosnih ranjivosti CPV: 72254100 Procijenjena vrijednost: 41322 EUR USLOVI UČEŠĆA 1. U postupku javne nabavke može da učestvuje samo privredni subjekat koji nije pravosnažno osuđivan i čiji izvršni direktor nije pravosnažno osuđivan za neko od krivičnih djela sa obilježjima: a) kriminalnog udruživanja; b) stvaranja kriminalne organizacije; c) davanje mita; č) primanje mita; ć) davanje mita u privrednom poslovanju; d) primanje mita u privrednom poslovanju; dž) utaja poreza i doprinosa; đ) prevare; e) terorizma; f) finansiranja terorizma; g) terorističkog udruživanja; h) učestovanja u stranim oružanim formacijama; i) pranja novca; j) trgovine ljudima; k) trgovine maloljetnim licima radi usvojenja; l) zasnivanja ropskog odnosa i prevoza lica u ropskom odnosu, što se dokazuje se na osnovu uvjerenja, potvrde ili drugog akta nadležnog organa izdatog na osnovu kaznene evidencije, u skladu sa propisima države u kojoj privredni subjekat ima sjedište, odnosno u kojoj ovlašćeno lice tog privrednog subjekta ima prebivalište. 2. U postupku javne nabavke može da učestvuje samo privredni subjekat koji je izmirio sve dospjele obaveze po osnovu poreza i doprinosa za penzijsko i zdravstveno osiguranje, o kojima evidenciju vodi organ uprave nadležan za naplatu poreskih prihoda, odnosno nadležni organ države u kojoj privredni subjekat ima sjedište, što se dokazuje se na osnovu uvjerenja, potvrde ili drugog akta koji izdaje organ uprave nadležan za naplatu poreskih prihoda, odnosno nadležni organ države u kojoj privredni subjekat ima sjedište. 3. Izjava privrednog subjekta. 4. Rok važenja ponude je 90 dana od dana otvaranja ponuda. 5. Ponuđač je dužan dostaviti bezuslovnu i na prvi poziv naplativu garanciju ponude u iznosu od 2 % procijenjene vrijednosti javne nabavke, kao garanciju ostajanja u obavezi prema ponudi u periodu važenja ponude i 10 dana nakon isteka važenja ponude. Garancija ponude će se aktivirati ako ponuđač: 1) odustane od ponude u roku važenja ponude i/ili 2) odbije da potpiše ugovor o javnoj nabavci. U skladu sa članom 122 Zakona o javnim nabavkama, garancija ponude podnosi se u elektronskom obliku putem ESJN. Izuzetno, ako ponuđač ne može da garanciju ponude podnese u elektronskom obliku, dužan je da putem ESJN dostavi kopiju garancije ponude, a da original garancije ponude dostavi, odnosno uruči naručiocu neposredno ili putem pošte, preporučenom pošiljkom najkasnije prije isteka roka za podnošenje ponuda. 6. Rok za izvršenje ugovora je ukupno 120 kalendarskih dana od dana zaključenja ugovora, i to: - Rok za testiranje i dostavljanje inicijalnog izvještaja iznosi do 60 kalendarskih dana od dana zaključivanja ugovora. - Naručilac ima do 30 kalendarskih dana od prihvatanja inicijalnog izvještaja da sprovede remedijaciju i pisanim putem obavijesti izvršioca da su ispunjeni uslovi za follow-up test. - Izvršilac je dužan da follow-up test i završni izvještaj završi u roku do 30 kalendarskih dana od prijema obavještenja iz prethodnog stava. 7. Objekat Centralne banke Crne Gore u Podgorici za aktivnosti koje zahtijevaju pristup internoj mreži; ostale aktivnosti mogu se izvršavati udaljeno, pod uslovima bezbjednog pristupa utvrđenim tenderskom dokumentacijom i pravilima naručioca. 8. Rok plaćanja je: Plaćanje se vrši u roku od 15 dana od prijema pravilno ispostavljene fakture, nakon prihvatanja završnog izvještaja i potvrde ovlašćenog lica naručioca da su sve ugovorene obaveze uredno izvršene. Faktura, prije plaćanja, mora biti ovjerena i odobrena od ovlašćenog lica Sektora za IT. 9. Način plaćanja je: virmanski. 10. Ponuđač je dužan u ponudi dostaviti sledeće: - Tehnički plan za realizaciju penetracionog testiranja. - izjavu ponuđača i članova tima da će prilikom izvršenja predmetne usluge poštovati dokumenta naručioca: „Politiku bezbjednosti informacija CBCG“ i „Pravila bezbjednosti informacija CBCG“. - Izjavu ponuđača da će izvještaj o procijenjenoj sigurnosti informacionog sistema Banke dostaviti u elektronskoj formi, kao kriptovani fajl, i prezentovati ga naručiocu. - Izjavu ponuđača da će izradu i prezentovanje tehničkog izvještaja vršiti pod odgovornošću članova tima koji posjeduje važeće tražene sertifikate. 11. Ponuđač je dužan dostaviti izjavu kojom prihvata sledeće uslove bezbjednost i povjerljivost prilikom realizacije nabavke: Pružalac usluga mora podatke, dokaze, snimke ekrana, rezultate skeniranja i izvještaje čuvati šifrovano i učiniti ih dostupnim isključivo ovlašćenim članovima tima. Podaci se ne smiju prenositi trećim licima bez prethodne pisane saglasnosti naručioca. Izvršilac je dužan da, po prihvatanju završnog izvještaja i pisanom zahtjevu naručioca, bez odlaganja bezbjedno izbriše sve kopije podataka i naručiocu dostavi pisanu potvrdu o brisanju, osim podataka čije je čuvanje obavezno po zakonu. Pružalac usluga mora obezbijediti: • Potpisivanje sporazuma o povjerljivosti (NDA) • Primjenu odgovarajućih organizacionih i tehničkih mjera za zaštitu povjerljivih informacija Banke. • Udaljeni pristup informacionom sistemu Banke može se omogućiti samo uz prethodno odobrenje naručioca, na ograničen vremenski period i isključivo preko rješenja i uređaja koje odobri naručilac. Pristup mora biti zaštićen savremenim protokolima i kriptografskim mehanizmima, višefaktorskom autentifikacijom, evidentiranjem aktivnosti i primjenom načela najmanjih privilegija. Ugovorne strane dužne su da u potpunosti poštuju „Politiku bezbjednosti informacija CBCG“ i „Pravila bezbjednosti informacija CBCG“, kao i sve relevantne interne procedure i zahtjeve naručioca koji se odnose na bezbjednost informacionih sistema i udaljeni pristup. 12. Privredni subjekat je dužan da posjeduje minimum iskustva na kvalitetnom i uspješnom izvršavanju istih ili sličnih poslova iz oblasti predmeta nabavke, i to: - iskustvo u uspješnom izvršenju pet usluga (projekata) penetracionog testiranja, što se dokazuje potvrdama o uredno i kvalitetno izvršenim uslugama izdatih od strane investitora, odnosno korisnika o pruženim uslugama, tokom prethodnih godina ali ne duže od pet godina, računajući i godinu u kojoj je započet postupak javne nabavke, koje sadrže opis i vrijednost predmeta nabavke, vrijeme realizacije ugovora i konstataciju da je ugovor blagovremeno i kvalitetno izvršen. Od pet referentnih projekata, najmanje dva moraju biti realizovana u centralnim banakama ili finansijskim institucijama (poslovne banke, mikrokreditne finansijske institucije (MFI), lizing društva, faktoring društva, društva za otkup potraživanja, kreditno-garantne institucije, osiguravajuća društva ili investicioni fondovi). 13. Privredni subjekat je dužan da posjeduje: minimum stručnih i kadrovskih kapaciteta koji su potrebni za izvršenje ugovora, i to: tim angažovan na izvršenju ugovora mora se sastojati od najmanje tri (3) zaposlena stručnjaka, od kojih najmanje jedan mora posjedovati sertifikat OSCP ili CREST CRT. Ostali članovi tima moraju posjedovati važeće međunarodno priznate profesionalne sertifikate iz oblasti penetracionog testiranja, kao što su OSEP, OSWE, GPEN, GWAPT, GXPN, CEH, CREST CCT INFRA ili CREST CCT APP. Dokazivanje: u ponudi navesti ime i prezime, konkretnu ulogu i aktivnosti koje će obavljati članovi tima u realizaciji predmeta nabavke, naziv sertifikata i njegovog izdavaoca, period važenja kada je sertifikat vremenski ograničen i dostaviti dokaz o posjedovanju sertifikata i dokaz o načinu angažovanja radne snage (prijava na osiguranje zaposlenog, ugovor o radu, sporazum o preuzimanju zaposlenog, ugovor o korišćenju sposobnosti drugog subjekta ili drugi akt u skladu sa zakonom). 14. Posebni osnovi za isključenje iz postupka javne nabavke: Naručilac će isključiti privrednog subjekta iz postupka javne nabavke, koji: 1) u periodu od tri prethodne godine do isteka roka za podnošenje prijava, odnosno ponuda ima sa Centralnom bankom Crne Gore ili drugim naručiocem raskinut ugovor o javnoj nabavci, ugovor o javno-privatnom partnerstvu ili ugovor o koncesiji ili kojem je aktivirano sredstvo finansijskog obezbjeđenja ugovora, naplaćena šteta ili druga sankcija u skladu sa zakonom, zbog značajnih i trajnih nedostataka tokom sprovođenja ključnih zahtjeva iz prethodnog ugovora o javnoj nabavci, ugovora o javno-privatnom partnerstvu ili ugovora o koncesiji; 2) je u periodu od tri prethodne godine do isteka roka za podnošenje prijava, odnosno ponuda u ranijim postupcima javnih nabavki Centralne banke Crne Gore dostavio neistinite podatke koji su potrebni za provjeru ispunjenosti uslova za učešće u postupku, odnosno nepostojanje osnova za isključenje iz postupka ili nije dostavio zahtijevane dokaze. 15. Ponuđač je dužan dostaviti sertifikat kojim se potvrđuje da ima uspostavljen sistem upravljanja bezbjednošću informacija u skladu sa standardom ISO/IEC 27001:2022 ili ekvivalentnim standardom. KRITERIJUMI ZA IZBOR Partija 1: cijena 40 bodova; kvalitet 60 bodova. 1. Cijena 2. Kvalitet - K1 - Dodatno iskustvo ponuđača kao pravnog lica – najviše 30 bodova Boduje se dodatno iskustvo ponuđača u realizaciji penetracionih testiranja centralnih banaka ili finansijskim institucijama (poslovne banke, mikrokreditne finansijske institucije (MFI), lizing društva, faktoring društva, društva za otkup potraživanja, kreditno-garantne institucije, osiguravajuća društva ili investicioni fondovi) i koji nijesu korišćeni za dokazivanje minimalnog uslova stručno-tehničke sposobnosti. - Za svaki dodatni projekat koji ispunjava navedene uslove dodjeljuje se 5 bodova. - Maksimalno se boduje šest dodatnih projekata, odnosno najviše 30 bodova. Dodatnim projektom smatra se projekat koji nije korišćen za dokazivanje bilo kojeg od dva projekata zahtijevanih kao minimalni uslov sposobnosti. Isti projekat može biti bodovan samo jednom. Dodatno iskustvo dokazuje se potvrdom koja sadrži opis i vrijednost predmeta nabavke, vrijeme realizacije ugovora i konstataciju da je ugovor blagovremeno i kvalitetno izvršen. 3. K2 - Stručne kvalifikacije dodatnih članova tima – najviše 30 bodova Za svakog dodatnog zaposlenog člana tima, iznad minimalno zahtijevana tri člana, koji posjeduje važeći OSCP ili CREST CRT sertifikat kojim se dokazuju odgovarajuće praktične kompetencije iz oblasti penetracionog testiranja, dodjeljuje se 10 bodova, a najviše 30 bodova. Boduju se isključivo dodatni stručnjaci koji nijesu korišćeni za ispunjenje minimalnog broja i strukture obaveznog tima. Isti stručnjak boduje se samo jednom, bez obzira na broj sertifikata koje posjeduje. Ponuđač je dužan da za svakog bodovanog člana tima u ponudi navede ime i prezime, konkretnu ulogu i aktivnosti koje će obavljati u realizaciji predmeta nabavke, naziv sertifikata i njegovog izdavaoca, period važenja kada je sertifikat vremenski ograničen, kao i da dostavi dokaz o posjedovanju sertifikata i dokaz o načinu angažovanja radne snage (prijava na osiguranje zaposlenog, ugovor o radu, sporazum o preuzimanju zaposlenog, ugovor o korišćenju sposobnosti drugog subjekta ili drugi akt u skladu sa zakonom). Boduju se samo dodatni članovi tima koji su navedeni u ponudi, za koje su dostavljeni zahtijevani dokazi i koji će neposredno učestvovati u izvršenju najmanje jedne ugovorene aktivnosti penetracionog testiranja u prijavljenoj ulozi. Njihovo angažovanje predstavlja obavezu izvršioca tokom realizacije ugovora. TEHNIČKA SPECIFIKACIJA 1. Identifikacija sigurnosnih ranjivosti Cilj: Sprovesti sveobuhvatno penetraciono testiranje informacionog sistema radi identifikacije, verifikacije i procjene bezbjednosnih ranjivosti na mrežnom, sistemskom i aplikativnom nivou, procjene otpornosti sistema na realne napadačke scenarije i utvrđivanja potencijalnih vektora napada i nivoa rizika identifikovanih nalaza, uz dostavljanje preporuka za otklanjanje ranjivosti i unapređenje ukupnog nivoa sajber bezbjednosti organizacije. Tehnički izvještaj mora sadržati detaljan opis svakog nalaza, pogođene komponente, dokaz o eksploataciji gdje je primjenljivo i gdje je takva aktivnost prethodno odobrena Pravilima izvođenja penetracionog testiranja, procjenu vjerovatnoće i uticaja, ocjenu rizika prema unaprijed definisanom industrijskom standardu, prioritet i preporuku za remedijaciju. - Izradu i prezentovanje detaljnog izvještaja mora izvršiti član tima koji posjeduje OSCP ili CREST CRT sertifikat. Izvršilac je dužan da sprovede follow-up test radi potvrde remedijacije svih nalaza kritičnog i visokog rizika, kao i drugih nalaza koje naručilac označi za verifikaciju. Završni izvještaj mora za svaki ponovo testirani nalaz navesti status: otklonjen, djelimično otklonjen, nije otklonjen ili nije bilo moguće izvršiti verifikaciju, uz odgovarajuće obrazloženje i dokaz. Predmet nabavke: • Sprovođenje eksternog i internog penetracionog testiranja ICT infrastrukture Banke. Opseg testiranja: Penetraciono testiranje obuhvata: Eksterno mrežno penetraciono testiranje primjenom Gray Box pristupa obuhvata najmanje 16 javnih IP adresa i najmanje tri javno dostupne veb-aplikacije. Javni veb-sajt Banke testira se dodatno i ne računa se u navedene tri aplikacije. Testiranje se sprovodi udaljeno ili na lokaciji Banke, prema dogovoru sa naručiocem. - Interno mrežno penetraciono testiranje primjenom White Box pristupa može obuhvatiti radne stanice, servere sa operativnim sistemima Windows i Linux i sisteme specijalizovane namjene, uključujući sigurnosne sisteme. Obavezni opseg obuhvata testiranje najmanje četiri interne aplikacije. Testiranje se izvodi isključivo na lokaciji Banke. -Test segmentacije obuhvata testiranje najmanje pet mrežnih segmenata Testiranje se izvodi isključivo na lokaciji Banke. Količina: 1 komplet 2. Procjena sigurnosti IS Centralne banke Crne Gore – eksterno penetraciono testiranje Cilj: Identifikovati ranjivosti dostupne sa javne mreže – interneta, koje bi zlonamjerni korisnik mogao iskoristiti za zaobilaženje kontrola na nivou operativnog sistema, mreže, javno dostupnog veb-sajta i aplikacija Banke, radi neovlašćenog pristupa podacima ili preuzimanja kontrole nad komponentama informacionog sistema Banke. Kategorija: - eksterno penetraciono testiranje servisa i aplikacija dostupnih putem javnih IP adresa. Metodologija: - „Gray box“ Opseg: • Najmanje 16 javnih IP adresa, najmanje tri javno dostupne veb-aplikacije i javni veb-sajt Banke, koji se testira dodatno i ne računa se u navedene tri aplikacije. Testiranje se sprovodi udaljeno ili na lokaciji Banke, u dogovoru sa naručiocem. Količina: 1 komplet 3. Procjena sigurnosti IS Centralne banke Crne Gore - interno penetraciono testiranje Cilj: Procjena sigurnosti se izvodi sa ciljem identifikovanja ranjivosti i prepoznavanja mogućih napada, koje bi neovlašćena osoba mogla da izvede u internoj mreži IS CBCG. Takođe, cilj predmetne procjene sigurnosti je identifikovanje mogućih napada koje bi mogli sprovesti legitimni korisnici sistema i partneri, koji povremeno ili trajno dobijaju pristup sistemu. Kategorija: - Interni test kritičnih servisa i aplikacija. Metodologija: - „White box“ - tip penetracijskog testiranja u kojem će tester, prije početka testiranja, dobiti dovoljno informacija za nesmetano i djelotvorno sprovođenje penetracijskog testa. Predmet i opseg testiranja: Predmet internog testiranja može obuhvatiti radne stanice, servere sa operativnim sistemima Windows i Linux i sisteme specijalizovane namjene. Obavezni minimalni opseg obuhvata testiranje najmanje četiri interne aplikacije i najmanje pet mrežnih segmenata. Konačan spisak ciljeva testiranja biće utvrđen u povjerljivom dijelu tenderske dokumentacije. Pružalac usluge je dužan da testiranje planira i realizuje primjenom međunarodno priznatih metodologija za penetraciono testiranje i ocjenu bezbjednosti informacionih sistema. Testiranje mora obuhvatiti provjeru ranjivosti definisanih u OWASP Top 10 i OWASP API Security Top 10, te biti izvedeno u skladu sa principima PTES i NIST SP 800-115 metodologija Testiranje se sprovodi isključivo na lokaciji Banke. Količina: 1 komplet 4. Procjena sigurnosti IS Centralne banke Crne Gore – Test segmentacije mreže Test segmentacije mreže fokusirati na kontrolu segmentacije i provjeru da li je neovlašćen pristup između segmenata moguć. 1. Opseg testiranja Minimalno 5 mrežnih segmenata koji će biti uključeni u test. U test će biti uključeni DMZ, korisnički LAN-ovi, serverski segmenti i segment za administraciju. 2. Ciljevi Potvrditi da mrežna segmentacija funkcioniše u skladu sa dobrom praksom. Identifikovati potencijalne propuste koji omogućavaju lateralno kretanje između segmenata. Validirati da firewall, ACL-ovi i VLAN konfiguracije sprječavaju neautorizovan saobraćaj. 3. Metodologija Testiranje mrežne segmentacije mora biti sprovedeno u skladu sa smjernicama NIST SP 800‑115 i PTES standarda, ili ekvivalentnim međunarodno priznatim metodologijama. Testovi će biti izvođeni sa unaprijed definisanih tačaka (npr. test mašina u svakom segmentu). 4. Rules of Engagement (RoE) Zabranjeno izvođenje DoS napada. Testovi se rade samo u definisanom vremenskom okviru. Svi pokušaji prelaska granica segmenata moraju biti dokumentovani. 5. Izvještavanje Tehnički izvještaj sa: Detaljima o pokušajima prelaska između segmenata. Dokazima (logovi, snimci ekrana, network captures). Količina: 1 komplet NAPOMENE Dio tenderske dokumentacije koji se odnosi na specifikaciju predmeta i opsega testiranja za pentest, sadrži tajne podatke i isti se može preuzeti od službenika za javne nabavke naručioca od strane lica koje podnese pisano punomoćje ovlašćenog lica, zainteresovanog lica da može u ime zainteresovanog lica preuzeti taj dio tenderske dokumentacije i izjavu ovlašćenog lica, zainteresovanog lica da će preuzeti dio tenderske dokumentacije biti čuvan i štićen u skladu sa Zakonom o tajnosti podataka. DOKUMENTI 1. Tenderska dokumentacija.docx https://cejn.gov.me/api/common/downloadFile/3555578 2. Izjava naručioca o nepostojanju sukoba interesa.pdf https://cejn.gov.me/api/common/downloadFile/3555579