Testy penetracyjne platformy MSIM – Województwo małopolskie

Jednoczęściowa usługa polegająca na przeprowadzeniu zewnętrznych, kompleksowych testów penetracyjnych i testów bezpieczeństwa regionalnej Platformy Małopolskiego Systemu Informacji Medycznej (MSIM) w podejściu grey-box. W zakres wchodzą:

• opracowanie Planu testów oraz projektu i uzgodnienie Rules of Engagement (RoE);
• realizacja testów w 10 obszarach: bezpieczeństwo aplikacji i mechanizmów uwierzytelniania, autoryzacja i kontrola dostępu (w tym IDOR/BOLA i break-glass), podatności aplikacyjne (SQLi, XSS, CSRF, XXE, SSRF, deserializacja, path traversal, bezpieczeństwo Walidatora dokumentów CDA/XML), bezpieczeństwo interfejsów API (uwierzytelnianie, Mass Assignment, rate limiting, walidacja JSON/XML), mechanizmy kryptograficzne i ochrona danych (TLS/HSTS, JWT/OIDC/cookies, maskowanie danych), konfiguracja i komponenty (nagłówki HTTP, podatne biblioteki, ekspozycja plików), odporność i dostępność (kontrolowane DoS, throttling), skuteczność mechanizmów monitorowania i rejestrowania zdarzeń (SIEM/IPS/WAF, integralność logów ATNA/Syslog), zgodność z wymogami bezpieczeństwa i prywatności (mechanizmy zgód, retencja, eksport EDM) oraz warstwa ekspozycji (rekonesans, IPS/CDN/WAF, IPsec/SSL-VPN);
• testy komponentów Platformy MSIM: Portalu Pacjenta, Portalu Pracownika Medycznego, Modułu Administracyjnego, Regionalnej bazy pacjentów (MPI), Walidatora dokumentów, Regionalnego rejestru i repozytorium dokumentów medycznych oraz Regionalnego repozytorium zdarzeń (moduł audytu);
• dostarczenie 1 zbiorczego Raportu końcowego z opisem podatności, oceną w skali CVSS v4.0, dowodami istnienia (PoC) i rekomendacjami naprawczymi;
• przeprowadzenie prezentacji wyników (Exit Meeting) oraz przekazanie dokumentacji pomocniczej (logi, zrzuty, materiały dowodowe) na żądanie Zamawiającego.

Testy prowadzone są na dedykowanym środowisku testowym wiernie odwzorowującym produkcyjne, na danych testowych, z wyłączeniem z testów aktywnych centralnej Platformy P1 (CeZ), Krajowego Węzła Identyfikacji Elektronicznej oraz lokalnych systemów Partnerów Projektu (HIS, LIS, RIS, PACS).

Złożony zakres techniczny obejmujący 10 obszarów testowych platformy medycznej przetwarzającej dane szczególnej kategorii (art. 9 RODO), wymagający doświadczonego zespołu z certyfikatami (OSCP/OSWE/OSCP+, CISA/CISM/CISSP itp.), wysokiej staranności w zachowaniu ciągłości działania systemu produkcyjnego oraz dotrzymania 90-dniowego terminu.

Wagi punktowe, według których zamawiający oceni oferty.

Sygnały, na które warto zwrócić uwagę przed startem.

Brak istotnych sygnałów ostrzegawczych.

• Zabezpieczenie należytego wykonania umowy: 3% ceny ofertowej brutto, przed podpisaniem umowy.
• Kary umowne: w projekcie umowy (zał. nr 9).

Wyodrębnione z wyjaśnień treści SWZ.

Zamawiający nie opublikował pytań ani odpowiedzi