Ramavtal avseende konsulttjänster inom it-säkerhetsgranskning

Omfattning

Öppet förfarande enligt LOU, utan förhandling. Upphandlingen avser ett ramavtal för konsulttjänster inom it-säkerhetsgranskning: oberoende granskning, analys, testning, dokumentation, utbildning och rapportering av säkerhetsförhållanden i befintliga och planerade it-system, produkter och tjänster. Behovet har hittills täckts via statliga ramavtal. Under de senaste två åren har cirka 12–15 system per år säkerhetsgranskats, och vissa av dem flera gånger. Löpande drift, support och förvaltning, systemutveckling, inköp av mjuk- och hårdvara samt resursförstärkning utanför säkerhetsgranskning ingår inte.

Tjänsten

Exempel på uppdrag som kan avropas: Tekniska säkerhetsgranskningar och penetrationstester Källkodsgranskningar Granskning och rådgivning kring säkerhetsarkitektur och säkerhetskravställning Identitets- och behörighetshantering Nätverks- och infrastruktursäkerhet samt sårbarhetsanalyser Logghantering, övervakning och intrångsdetektering Kryptografiska lösningar och certifikathantering Kunskapsöverföring och utbildning, till exempel inom säker programmering Granskningar kan avse både Riksdagsförvaltningens egna system och externa parter. Även närliggande tjänster inom informations-, it- och cybersäkerhet kan avropas. It-miljön består huvudsakligen av Microsoft- och Linuxbaserade servrar, klienter och integrationsplattformar. Mobila enheter kör iOS, standardwebbläsaren är Edge och Microsoft 365 används som gemensam plattform.

Genomförande

Arbetet sker i Riksdagsförvaltningens lokaler i Stockholm. Annan plats kräver godkännande. Konsulten ska kunna avsätta 80–100 procent av heltid under uppdraget. Arbetet utförs med utrustning och verktyg som Riksdagsförvaltningen tillhandahåller eller godkänner. Kommunikation och rapportering sker på svenska. Vid behov ska konsulten även kunna rapportera och presentera på engelska. Konsulten ska presentera resultat, slutsatser och rekommendationer för beställaren och berörda parter. Konsulten ska vid behov underteckna sekretessavtal med den granskade parten.

Avrop

Avrop sker enligt rangordning. Leverantören som är rangordnad etta tillfrågas först. Svarstiden är normalt fem arbetsdagar. Leverantören ska styrka att den föreslagna konsulten uppfyller kraven, genom CV eller motsvarande. Leverantören ska ha en funktionsbrevlåda för avrop.

Säkerhetsskydd

Säkerhetsskyddsavtal nivå 2 tecknas med samtliga ramavtalsleverantörer. Säkerhetsprövning krävs av leverantörens vd, eventuell säkerhetschef och den personal som ska utföra uppdrag. Prövningen kan omfatta registerkontroll. Konsulter får inte påbörja uppdrag innan prövningen är godkänd. Underleverantörer omfattas av samma krav och kräver förhandsgodkännande. Leverantören ska utse en kundansvarig med minst tre års erfarenhet av uppdragsledning, leveransansvar eller kundansvar inom konsulttjänster för it-, cyber- eller informationssäkerhet.

Konsulter/Kompetenser

Specialistkonsult (senior konsult)

Vid varje avrop ska leverantören erbjuda en specialistkonsult. Kontroll sker genom CV och/eller referenser. Konsulten ska ha expertkompetens och dokumenterad spetskompetens inom aktuellt område och vara erkänd specialist. Konsulten ska ha omfattande erfarenhet av säkerhetsgranskningar och penetrationstester av komplexa eller verksamhetskritiska system. Konsulten ska självständigt kunna planera, genomföra, analysera, dokumentera och redovisa uppdrag. Normalt krävs minst nio års relevant yrkeserfarenhet. Kortare erfarenhet godtas om kompetensen kan styrkas på annat sätt. Konsulten ska ha erfarenhet av white box-, grey box- och black box-metodik i både traditionella it-miljöer och molnmiljöer. Konsulten ska behärska de programmeringsspråk som förekommer i det aktuella uppdragets system.

Kompetensområden

Leverantören ska ha tillgång till kompetens inom samtliga områden nedan. Kompetensen behöver inte finnas hos en och samma konsult. - Klientapplikationer och webbtjänster - Mobila applikationer - API:er och integrationslösningar - Databaser - Virtuella miljöer och virtualiseringsplattformar, samt molntjänster - Operativsystem (Windows, Linux, macOS, Android, iOS) - Nätverksinfrastruktur, nätverkskomponenter och säkerhetskonfigurationer - Hårdvarubaserade system, teknisk utrustning och operativ teknik (OT) Efter avtalstecknande ska leverantören redovisa de konsulter som troligast kommer att utföra uppdrag. Syftet är att de ska kunna säkerhetsprövas i förväg.

Referenser

Referenserna används för kvalificering. Minst sex separata externa uppdrag inom informationssäkerhet, säkerhetsgranskning, penetrationstester eller motsvarande. Varje uppdrag ska ha genomförts under de senaste tre åren av konsulter på senior- eller specialistnivå. Varje uppdrag ska ha omfattat minst fem arbetsdagar eller 50 timmar. För varje uppdrag anges uppdragsgivare, kort beskrivning, tidsperiod och kontaktperson. Varje uppdrag kopplas till ett primärt kompetensområde. Samma uppdrag får inte användas för flera områden. Sammantaget ska referenserna täcka minst sex av åtta kompetensområden. Underlaget är otydligt på denna punkt. Listan i referenskravet innehåller bara sju områden, och en kompletterande informationsfråga talar om “åtta av tio” områden.

Utvärdering

Ramavtal tilldelas enligt bästa förhållandet mellan pris och kvalitet. Riksdagsförvaltningen använder en mervärdesmodell där kvalitetsmervärden dras av från anbudspriset. Lägst utvärderingssumma vinner.

Pris

Timpris för senior konsult i SEK exklusive moms, inklusive samtliga kostnader. Kvalitet – steg 1: skriftlig uppdragsbeskrivning Anbudsgivaren beskriver arbetssätt, metodik och kvalitetssäkring utifrån ett scenario. Beskrivningen får vara högst fyra A4-sidor. Scenariot gäller en oberoende säkerhetsgranskning av ett nytt webbaserat HR-system innan det tas i drift: Granskningen omfattar källkodsgranskning och penetrationstest. Systemet har mer än en miljon rader kod. Totalt finns 80 timmar avsatta, inklusive planering och rapportering. Arkitektur: RHEL och Nginx, MS SQL med krypterad lagring, REST API mot lönesystem samt SSO med SAML 2.0 via ADFS. Klienter: webbklient i Edge och en iOS-app. Språk: Java 21, PHP, SQL, JavaScript och Swift. Rollerna är anställd, chef och HR-administratör. Beskrivningen ska besvara fyra delar, var för sig: Planering, genomförande och rapportering Kompetensförsörjning och kvalitetssäkring Samverkan och riskhantering Verktyg, automatisering och AI-stöd, inklusive kvalitetssäkring av AI-genererade resultat och eventuella licenskostnader

Mervärdesavdrag för den skriftliga beskrivningen

Utmärkt: 1 000 kr Bra: 700 kr Acceptabel: 350 kr Otillräcklig: 0 kr Anbud som når minst Acceptabel går vidare till steg 2. Kvalitet – steg 2: muntlig presentation Presentationen genomförs i Riksdagsförvaltningens lokaler, preliminärt under vecka 48, och får vara högst 60 minuter inklusive frågor. Minst en tänkt specialistkonsult ska medverka aktivt. Riksdagsförvaltningen ser gärna att även den tänkta kundansvarige deltar. Ingen ny information som ändrar anbudet får lämnas.

Presentationen bedöms på

Tydlighet och resonemang kring risker, prioriteringar och avvägningar Pedagogiskt upplägg Hur väl den verifierar arbetssättet i den skriftliga beskrivningen

Mervärdesavdrag för presentationen

Utmärkt: 700 kr Bra: 500 kr Acceptabel: 250 kr Otillräcklig: 0 kr Maximalt mervärdesavdrag är totalt 1 700 kr: 1 000 kr för den skriftliga beskrivningen och 700 kr för presentationen. Underlaget är otydligt här, eftersom Kommers anger 1 450 som maxvärde för presentationen.