Servicii de evaluare și de analiză a asigurării calității sistemelor (servicii de testare a securității sistemului informatic al BNM)

6 окт 2021, 12:59

Clarificare 1

Bună ziua, Vă rugăm să ne comunicați următoarele: 1. Numărul de experți (5 persoane) este un număr maxim sau un număr recomandabil de experți? 2. În contextul unei testări a securității sistemului informatic, calitatea serviciilor și a rezultatului testării ține de experiența, aptitudinile și certificările experților. Cerința din pct. 14 a Anunțului referitoare la ISO 9001 și ISO 27001 poate fi clasificată ca una opțională? Or, experții care dețin aptitudini de a exploata breșe de securitate și a genera Rapoarte autentice, nu au nevoie de certificări de standardizare a sistemelor de management al calității. Mulțumesc.

7 окт 2021, 10:57

Clarificare 2

Buna ziua, va adresam urmatoarea solicitare de clarificari: 1. Referitor la certificarile solicitate pentru experti: se accepta ca mai multi experti sa detina certificarile solicitate cumulat? Spre exemplu: - un expert cu CISA, 27001, CISSP - UN expert cu CSSLP - un expert cu CEH, CISSP, etc astfel incat sa fie acoperite toate certificarile. 2. Pot participa si companii din afara Republicii Moldova? 3. Cum se poate plati garantia pentru oferta in cazul in care compania nu are un cont de MDL?

7 окт 2021, 11:15

Intrebare

Același expert poate participa pentru 2 poziții cheie dacă deține certificatele solicitate?

7 окт 2021, 11:21

Clarificare 3

Va rugam sa oferiti clarificari despre atragerea expertilor straini (cetateni straini) in evaluarea și analiza securitatii cibernetice a sistemelor informationale ale BNM care s-ar putea să conțină date financiare, date sensibile, date cu caracter personal ale cetățenilor din Republica Moldova. Or, accesul cetatenilor straini la resursele informationale și sistemele informaționale de importanță strategică de stat, prezinta riscuri de securitate informațională respectiv securitate națională.

8 окт 2021, 11:43

Clarificare 4

In urma testului de penetrare expertii (cetateni straini aflindu-se dupa hotare in context pandemic) ar putea obtine acces catre date confidentiale si sisteme de importanta statala din infrastructura BNM. Din aceasta perspectiva rugam sa ne spuneti daca atragerea expertilor straini (cetăteni straini) ar genera incalcarea prevederilor: a. politicii de securitate informationala a BNM precum si a Regulamentului intern de securitate cibernetica din cadrul BNM ? b. normelor de securitate nationala a Republicii Moldova și a HOTĂRÎRII PARLAMENTULUI Nr. 257 din 22-11-2018 ? c privind transmiterea transfrontalieră a datelor cu caracter personal stocate in sisteme informationale locale si interbancare – această transmitere poate avea loc în în momentul accesarii sistemelor de catre expertii cetateni straini.

10 окт 2021, 22:52

Ofertant 2

În baza licitatiei publice precedente (ocds-b3wdp1-MD-1575037022084) din anul 2019 cu acelasi obiect al achizitiei "Servicii de penetrare și evaluare a vulnerabilităților informatice în cadrul sistemului informatic al BNM prin teste specifice de penetrare", constatam ca anterior nu ati inaintat solicitarea privind ISO 27001/9001. Prin urmare, solicitam să modificati in criteriu OPTIONAL filtrul impertinent acestui tip de achizitiei privind cerinta (ISO27001/9001). Acesta modificare ar asigura o competitie corecta si transparenta ca fiind o continuitate a achizitiilor cu acest obiect. Implicarea doar a expertilor certificati international din start presupune deja un nivel superior de calitate a serviciilor de penetrare. Includerea filtrului respectiv ISO 270001/9001 in cadrul acestei licitatii afecteaza concurenta libera.

11 окт 2021, 10:30

Cazier

În licitația publică din 31.01.2017 organizată de BNM, cu servicii similare de ”Servicii de penetrare și evaluare a vulnerabilitatilor informatice în cadrul Sistemului Informatic al BNM prin teste specifice de penetrare”, a fost solicitat în mod obligatoriu cerințe de prezentare a ”Informaţiilor despre neaplicarea sancţiunilor penale pe parcursul ultimilor 3 ani” prin ”Certificat care confirmă neaplicarea sancţiunilor penale (cazier juridic) faţă de funcţionarii Participantului – eliberat de Ministerul Afacerilor Interne/Organul competent din țara de origine a Participantului”. 1. Pentru procedura actuală solicităm motivul excluderii acestei cerinte. 2. Există alte cerințe impuse de autoritate privind identificarea riscurilor de securitate informațională și națională în cazul accesării sistemelor informaționale ale BNM de către experți neverificați? Considerăm că pentru contractarea unor astfel de servicii, această cerință trebuie să fie una obligatorie pentru a evita implicarea persoanelor cu antecedente penale în sistemele de importanță națională.

11 окт 2021, 10:55

Volumul de lucru

Va rugam sa ne oferiti informatii despre volumul de lucru care urmeaza a fi planificat. Testare din exterior/Internet: Cîte IP-uri publice sunt? Cîte sisteme active? Cîte aplicatii disponibile sunt din exterior? Cine detine dreptul de proprietate asupra aplicatiilor? Unde sunt gazduite: Local, MCloud sau alta locație? Testare din exterior/retea interbancara: Cate aplicatii sunt disponibile? Cine detine dreptul de proprietate asupra aplicatiilor? Unde sunt gazduite: Local, MCloud sau alta locație? Testare din interior/Grey box: Numarul total de utilizatori? Numarul de IP-uri active? Numarul total de servere fizice și virtuale? Numarul de aplicatii active.

12 окт 2021, 11:33

Clarificare 5

Va rugam sa explicati in detalii si cu argumente clare DE CE la licitatia cu acelasi obiect de achizitie nr. ocds-b3wdp1-MD-1575037022084 din 2019, cerinta privind calitatea serviciilor prestate prin prisma standardului ISO 9001/27001 - NU a fost obligatorie si acum a devenit o cerinta obligatorie?

12 окт 2021, 12:03

Clarificare 5

La 3 decembrie 2019 in cadrul clarificarilor pentru procedura cu acelasi obiect al achizitie nr. . ocds-b3wdp1-MD-1575037022084 din 2019 la intrebarea despre posibilitatea participarii companiilor straine ati oferit urmatorul raspuns: ”Autoritățile naționale propun următoarele posibilități de participare a operatorilor economici nerezidenți: - De a depune oferta prin intermediul unui reprezentant național împuternicit; - De a participa la procedura de achiziție publică prin asociere”. La aceeasi intrebare din Clarificarea nr. 2 a licitatiei curente din 7 oct 2021, 10:57 ati raspuns : ”Pot participa companii inclusiv din afara RM”. In acest context dorim sa aflam daca se aplica aceleasi rigori obligatorii privind depunerea ofertei prin intermediul unui reprezentant național împuternicit sau prin asociere pentru companiile din afara Republicii Moldova?

13 окт 2021, 11:55

Semnare oferta cu semnatura electronica prin procura

Referitor la posibilitatea unui ofertant din afara Republicii Moldova “De a depune oferta prin intermediul unui reprezentant național împuternicit (procură)”, va rugam confirmati daca imputernicirea va fi data unei persoane fizice care detine semnatura electronica recunoscuta in Moldova si nu unei societati (persoana juridica) in vederea semnarii ofertei in numele ofertantului nerezident. De asemenea, va rugam confirmati daca imputernicirea trebuie sa fie semnata in fata unui notar sau document sub semnatura privata .

13 окт 2021, 12:00

Test de penetrare a aplicațiilor web - Informații necesare

- Este aplicația în prezent în producție? - Unde este găzduită aplicația? (Rețea internă țintă, furnizor de servicii contractat sau rețea externă independentă) - Listați toate adresele IP relevante, numele de gazdă și adresele URL de pornire. - Aplicația se integrează cu orice componente găzduite de terți? - Aplicația partajează componente cu producția (baze de date, magazine de autentificare, altele)? - Alți utilizatori vor accesa mediul vizat în timp ce acest test este programat să aibă loc? - Câte formulare de date sunt prezente în cadrul aplicației? Notă: Un formular este orice pagină web care acceptă introducerea de date de către utilizator. - Câte niveluri de utilizator vor fi testate? Exemple de niveluri de utilizator: • Utilizator administrativ • Utilizator manager • Utilizator autoînregistrat - Are aplicatia componente Web 2.0? Exemple de componente Web 2.0: • AJAX • Flash • HTML 5 • NodeJS - Aplicația utilizează servicii web? - Dacă da, câte metode acceptă? - Vă rugăm să enumerați protocoalele de servicii web utilizate, în secțiunea separată de mai jos. - Va exista un test de validare a vulnerabilitatilor? - Testarea de validare se face pentru a determina dacă vulnerabilitățile identificate anterior au fost remediate. - Există sisteme de prevenire a intruziunilor (IPS) instalat? - Există o aplicație de tip firewall web instalată ? - Aplicația poate fi testată din mediul internet? (vă rugăm să răspundeți, în cazul în care se utilizează un furnizor) - Dacă este necesară testarea internă, este posibil să se efectueze printr-o conexiune VPN? (vă rugăm să răspundeți, în cazul în care se utilizează un furnizor) - Dacă este necesară testarea internă, din ce locație va avea loc testarea? (vă rugăm să răspundeți, în cazul în care se utilizează un furnizor) - Testarea automată poate fi efectuată împotriva aplicației țintă? - Se știe că aplicația sau serverul web este sensibil sau instabil?

13 окт 2021, 12:01

Evaluarea vulnerabilităților infrastructurii - Informații necesare

- Subrețea Ex: 10.10.10.0/28 - Adresă IP Ex: 10.10.10.1 - Numărul de servicii care rulează pe server - VLAN Ex: 10 Tipul de dispozitive Ex: Server / Router / Firewall etc - Sistem de operare Ex: * NIX / Win / BSD / iOS, etc - Virtualizat Da/Nu - Zonă Ex: Internet / DMZ / Intern - Rol Ex: Baza de date / Web / AD etc

13 окт 2021, 15:43

Clarificare 6

Termenul pe prestare a serviciilor poate fi majorat la 45 zile lucratoare?

13 окт 2021, 16:16

Răspunsuri incomplete

În contextul în care răspunsurile Dvs. la solicitările privind: ”Test de penetrare a aplicațiilor web - Informații necesare”, ”Volumul de lucru”, ”Evaluarea vulnerabilităților infrastructurii - Informații necesare” sunt neclare, incomplete (faceți aceeași trimitere la art 36 Legea BNM) și nu sunt descrise în caietul de sarcini, vă rugăm să descrieți aspectele tehnice ce țin de clarificările menționate pentru ca să fie posibilă o evaluare prealabilă a resursei ”ore-om” pentru a oferi un serviciu calitativ raportat la timpul de execuție.

13 окт 2021, 16:50

Semnatura persoanei fizice

Ați mentionat că oferta poate fi semnată de o persoană fizică rezidentă din Republica Moldova în interesul unei companii din afara Republicii Moldova. Oferiti va rog clarificarea: ce rol trebuie sa dețină în compania nerezidentă această persoană fizică cu semnatura electronică recunoscută în Republica Moldova? La care raport juridic suntem obligati să facem trimitere? Contract individual de muncă? Ceritificare de Expert independent? Reprezentant oficial în baza comodatului? Reprezentant teritorial? Este necesară prezentarea unui contract dintre părți în acest sens ?

13 окт 2021, 16:58

Raspunderea persoanei fizice

Vă rugăm să confirmați că poate semna orice persoana fizică (indiferent de statutul cazierului judiciar) din Republica Moldova care deține semnătură electronică și poate să o aplice în interesul companiei/companiilor străine? Deasemnea rugăm să ne confirmați în acest sens că pentru erori și informații eronate din documentația depusă la procedura de achiziție persoana fizică împuternicită - nu poartă răspundere.

13 окт 2021, 16:59

Acces neautorizat

Accesul persoanei fizice terțe (neimplicate în proiect) la documetele de proiect, planuri de actiuni, planuri de testare, plan de proiect pe care trebuie sa le semneze formal nu incalca confidentialitatea datelor si politica de securitate cibernetica?

15 окт 2021, 12:30

Model contract de servicii

În raport cu prevederile Contractului de prestare servicii aferent procedurii și având în vedere faptul ca activitatea Prestatorului trebuie să respecte standardele profesionale aplicabile și legislația în vigoare specifică acestei activități, facem următoarele propuneri de completare a clauzelor, în scopul îmbunătăţirii cadrului contractual: 1. Se include art. 6.3 dupa cum urmeaza: 6.3 Până la limita maxima permisă de lege, Prestatorul exclude orice alte garanții, fie prevazute în mod expres sau implicite. Beneficiarul este unicul responsabil pentru următoarele și nu numai: (A) luarea tuturor deciziilor la nivel de management și îndeplinirea tuturor funcțiilor de conducere; (B) desemnarea uneia sau mai multor persoane care posedă o capacitate adecvată, cunostințe și/sau experientă, de preferință din categora top managementului, de a supraveghea Serviciile prestate de Prestator; (C) evaluarea adecvării și a rezultatelor Serviciilor; (D) asumarea răspunderii cu privire la punerea în aplicare a rezultatelor Serviciilor și orice demers întreprins pe baza rezultatelor Serviciilor; (E) stabilirea și menținerea controlului intern, incluzând, fără limitare, monitorizarea activitaților în curs de desfășurare. 2. Se include art. 9.5 dupa cum urmeaza: 9.5 Contractul poate înceta și prin notificare scrisă de încetare a oricăreia dintre părţile contractante, expunând sau nu motivul încetării, cu un termen de preaviz de 30 zile, care începe să curgă în ziua următoare transmiterii notificării celeilalte părţi contractante. Încetarea Contractului nu va afecta obligaţia Beneficiarului de a plăti Prestatorului onorariile pentru serviciile îndeplinite în baza Contractului până la data încetării efective a Contractului. 3. Se include art. 9.6 dupa cum urmeaza: 9.6 Prestatorul va avea dreptul de a se retrage din Contract cu efect imediat prin predarea unei înștiințări scrise către Beneficiar dacă Prestatorul determină că circumstanțele s-au schimbat (inclusiv, fără limitare, schimbări ale legislației aplicabile sau ca urmare a unei decizii a unei autorități de stat sau a unei alte instituții profesionale relevante sau a unei structuri de proprietate a Beneficiarului sau afiliaților săi sau Prestatorul descoperă, după executarea Contractului, că unele informații importante pentru furnizarea Serviciilor nu au fost cunoscute de Prestator sau nu au fost divulgate și/sau partajate cu Prestatorul la momentul executării Contractului), în care executarea oricărei părți a Contractului de către Prestator ar fi ilegală sau altfel nelegală sau contradictorie cu regulile de independență sau etica profesională. 4. Articolul 10.2 se modifica dupa cum urmeaza: 10.2 Pretenţiile privind calitatea Serviciilor prestate sunt înaintate Prestatorului în termen de 5 zile lucrătoare de la depistarea deficienţelor de calitate. Aceste deficiente de calitate presupun faptul ca Serviciile nu au fost prestate in conformitate cu conditiile agreate in prezentul Contract, descrise in Anexa 3. 5. Se include art. 11.7 dupa cum urmeaza: 11.7 Plafonul maxim al răspunderii Prestatorului (inclusiv al partenerilor, directorilor şi angajaţilor acestuia) față de Beneficiar, pentru orice acţiuni, pierderi, despăgubiri, pretenţii, costuri sau cheltuieli provenite în orice mod din sau in legatura cu prezentul contract, va fi limitat la o sumă egală cu preţul Contractului, iar acest plafon maxim se va aplica inclusiv pentru pierderi ori pagube cauzate terţilor de către Prestator ori ca urmare a abaterilor săvârşite. 6. Se include art. 11.8 dupa cum urmeaza: 11.8 Beneficiarul va despagubi şi va garanta înlaturarea răspunderii Prestatorului, împotriva oricaror daune suferite ca urmare a unor solicitari ale terţilor, exceptând măsura în care se stabileşte definitiv pe cale judiciară că daunele respective au rezultat în principal din intenţia Prestatorului. 7. Se include art. 12.11 dupa cum urmeaza: 12.11 Pentru evitarea oricărui dubiu și în completarea prevederilor de mai sus, în cazul în care acesta este aplicabil, Beneficiarul admite prin prezenta că Prestatorul poate dezvălui Informaţii Confidenţiale: (a) oricărui afiliat, societate din grupul Prestatorului; (b) daca e cazul, subcontractorilor care furnizează servicii în legătură cu acest contract şi care au agreat să fie ţinuţi de obligaţii similare privind confidenţialitatea; (c) consultanţilor juridici ai Prestatorului, asigurătorilor sau altora după cum poate fi prevăzut prin lege, procese juridice sau administrative sau în conformitate cu standardele profesionale aplicabile sau în legătură cu litigii sau pentru protejarea intereselor legitime ale Prestatorului. Fara a duce atingere prevederilor art. 12.9, Prestatorul are dreptul de a păstra copii sau înregistrări ale acestor informații confidențiale în măsura prevăzută de orice legi, reglementări aplicabile sau de politica sa internă (inclusiv în legătură cu înregistrări și fișiere pe calculator care au fost create conform sistemelor automate de arhivare electronică și a procedurilor IT de back-up). 8. Se include art. 12.12 dupa cum urmeaza: 12.12 Livrabilele si orice rapoarte intocmite de catre Prestator vor fi pregatite pentru uzul confidential al Beneficiarului si vor putea fi folosite doar pentru scopul mentionat in acest Contract. Beneficiarul va avea dreptul de a transmite aceste livrabile ori rapoarte catre autoritati sau instiutii indreptatite prin lege sa aiba acces la acestea. Livrabilele si orice rapoarte intocmite de catre Prestator nu pot fi mentionate sau folosite pentru orice alt scop decat cu permisiunea scrisa obtinuta in prealabil din partea Prestatorului si semnarea in prealabil a unei scrisori de exonerare de raspundere, in forma agreata de Prestator, de catre terta parte care primeste acces la informatie. 9. Articolul 13.2 se modifica dupa cum urmeaza: 13.2. Toate drepturile de autor şi alte drepturi de proprietate intelectuală cu privire la orice este creat de Prestator înainte sau pe perioada prestării serviciilor, inclusiv fără limitare rapoarte, consultanţa scrisă, adrese, recomandări sau alte livrabile ale serviciilor furnizate Beneficiarului (în cele ce urmează în acest articol denumite de asemenea “Livrabilele Serviciilor”) vor rămâne in proprietatea Prestatorului. La plata integrală a serviciilor prestate, Prestatorul furnizează Beneficiarului dreptul de folosire a Livrabilelor Serviciilor în scopul prevăzut în prezentul Contract sau specificat în Livrabilele Serviciilor, în conformitate cu celelalte prevederi ale Contractului. 10. Se include un nou capitol „Prelucrarea datelor cu caracter personal” Părțile confirmă faptul că Datele cu Caracter Personal furnizate de către Beneficiar sau de către membrii personalului și reprezentanții săi vor fi prelucrate de către Prestator în calitate de Operator, în scopul sau în legătură cu: (i) furnizarea de Servicii; (ii) respectarea cerințelor legale, de reglementare sau profesionale aplicabile; (iii) soluționarea cererilor și abordarea comunicărilor din partea autorităților competente; (iv) administrarea contractelor, contabilitatea financiară, conformitatea internă și analiza riscurilor, precum și în scopurile relațiilor cu clienții; (v) utilizarea sistemelor și aplicațiilor (găzduite sau interne) pentru serviciile de tehnologie a informației și sistemelor de informații ("Scopurile"). În Scopurile indicate mai sus, Datele cu Caracter Personal pot fi dezvăluite / transferate și prelucrate de către Beneficiarii Datelor cu Caracter Personal (inclusiv Operatorii de Date cu Caracter Personal și Persoanele Împuternicite pentru Prelucrarea de Date cu Caracter Personal), conform indicațiilor din Declarația de Confidențialitate a Prestatorului aplicabilă. Transferurile de Date cu Caracter Personal pot include transferuri în afara Spațiului Economic European (SEE), dar numai cu condiția îndeplinirii obligațiilor legale prevăzute prin Legislația privind Protecția Datelor pentru astfel de transferuri . Clauza de mai sus este un rezumat al Declarației de confidențialitate a Prestatorului ("Declarația de Confidențialitate") și nu este o reflectare completă a Declarației de Confidențialitate, care este disponibilă la https://www......... În măsura în care nu implică un efort disproporționat, Beneficiarul se va asigura că Declarația de Confidențialitate este adusă la cunoștința persoanelor vizate (membrii personalului său, reprezentanții, contractanții și clienții săi).

15 окт 2021, 16:28

licitatie electronica si garantie de participare

Buna ziua. Va rugam confirmati ca la licitatia electronica vor fi invitati toti ofertantii ale caror oferte vor fi declarate admisibile in urma evaluarii. Va rugam confirmati daca garantia de participare, in cazul unei garantii emisa de o banca, va fi depusa doar in cadrul platformei - scanat si semnata electronic de ofertant sau trebuie transmisa la autoritatea contractanta si in original. Va multumim