Mời thầu Cung cấp Dịch vụ đánh giá tuân thủ theo khung kiểm soát bảo mật với hệ thống Thanh toán Quốc tế Swift năm 2022

I

Năng lực nhà cung cấp

1.1

Cung cấp đăng ký kinh doanh

Có giấy chứng nhận đăng ký doanh nghiệp, quyết định thành lập hoặc

tài liệu có giá trị tương đương do cơ quan có thẩm quyền cấp;

Hồ sơ giấy

M

1.2

Doanh nghiệp đang hoạt động

liên tục

Nhà cung cấp không đang trong quá trình giải thể, cưỡng chế hoạt động,

tạm dừng hoạt động; không bị kết luận đang lâm vào tình trạng phá sản

hoặc nợ không có khả năng chi trả theo quy định của pháp luật;

Hồ sơ giấy

M

1.3

Yêu cầu về ngành nghề

kinh doanh

Có ngành nghề đăng ký kinh doanh phù hợp với phạm vi, yêu cầu của gói

mua sắm này;

Hồ sơ giấy

M

1.4

Ủy quyền ký Báo giá trong

trường hợp không phải đại

diện pháp luật

Tài liệu, giấy tờ để chứng minh tư cách hợp lệ của người được ủy quyền ký

hồ sơ chào giá (nếu có);

Hồ sơ giấy

O

1.5

Yêu cầu về Hợp đồng

tương đương

Có tối thiểu 02 hợp đồng cung cấp dịch vụ đánh giá an toàn thông tin hệ thống

ứng dụng SWIFT theo tiêu chuẩn CSP/CSCF tính từ năm 2021.

Hồ sơ giấy

M

II

Năng lực nhân sự

1

 Trưởng nhóm đánh giá bảo mật:

Có tối thiểu 7 năm kinh nghiệm trong lĩnh vực CNTT và tối thiểu 5 năm kinh

nghiệm triển khai giải pháp/ dịch vụ an ninh bảo mật

Hồ sơ giấy/Cam kết

M

1.1

Yêu cầu về chứng chỉ

Có tối thiểu 2 trong các chứng chỉ bảo mật sau hoặc tương đương/cao hơn:

GXPN – GIAC Exploit Researcher and Advanced Penetration Tester;

LPT – Licensed Penetration Tester; CISSP - Certified Information Systems

Security Professional; OSWE -Offensive Security Web Expert

Hồ sơ giấy

M

1.2

 Kinh nghiệm nhân sự

Đã từng làm trưởng nhóm đánh giá bảo mật trong tối thiểu 2 dự án tương tự

Hồ sơ giấy/Cam kết

M

2

Chuyên viên đánh giá bảo mật:

Có tối thiểu 03 chuyên viên đánh giá bảo mật với điều kiện có tối thiểu 02

năm kinh nghiệm trong lĩnh vực CNTT và tối thiểu 2 năm kinh nghiệm triển

khai giải pháp/ dịch vụ an ninh bảo mật, có tối thiểu một trong các chứng chỉ

sau đây hoặc cao hơn: OSCE – Offensive Security Certified Expert,

CISSP - Certified Information Systems Security Professional, CEH – Certified

Ethical Hacker, CompTIA PenTest+

Hồ sơ giấy

M

2.1

 Kinh nghiệm nhân sự

Đã từng thực hiện đánh giá bảo mật cho trong tối thiểu 2 dự án tương tự

Hồ sơ giấy/Cam kết

M

I

Yêu cầu chung

1.1

Cam kết bảo mật thông tin từ nhà thầu

Đơn vị thực hiện đánh giá cần ký cam kết bảo mật thông tin liên quan đến kế hoạch đánh giá cũng như các thông tin về hệ thống, lỗi bảo mật trong quá trình đánh giá.

Cam kết của nhà thầu

M

1.2

Thực hiện đúng và đầy đủ phạm vi yêu cầu của Customer Security Framework for 2022

(CSCF v2022)

Nhà cung cấp thực hiện đúng và đầy đủ phạm vi yêu cầu của Customer Security Framework for 2022 (CSCF v2022)

Cam kết của nhà thầu

M

1.3

Nhà cung cấp sẽ có khuyến nghị chi tiết cụ thể và phù hợp để có thể đáp ứng yêu cầu

của SWIFT.

Đối với các thành phần không đáp ứng sẽ có khuyến nghị
chi tiết cụ thể và phù hợp để có thể đáp ứng yêu cầu của SWIFT.

Cam kết của nhà thầu

M

1.4

Cam kết không ảnh hưởng tới hoạt động của SeABank trong quá trình đánh giá

Đơn vị thực hiện đánh giá có thể sử dụng bất cứ công cụ,
phương tiện gì để thực hiện, nhưng không được phép ảnh hưởng tới hoạt động của SeABank.

Cam kết của nhà thầu

M

1.5

Bản quyền và các vấn đề liên quan tới sở hữu trí tuệ

Đơn vị thực hiện đánh giá tự chịu trách nhiệm về bản quyền và các vấn đề liên quan tới sở hữu trí tuệ đối với các công cụ, phương pháp thực hiện đánh giá.

Cam kết của nhà thầu

M

II

Yêu cầu chi tiết

1

Đánh giá hệ thống ứng dụng SWIFT theo CSCF

1.1

Hạn chế tiếp cận Internet và tách vùng hệ thống quan trọng khỏi môi trường công nghệ chung

Khảo sát, đánh giá môi trường SWIFT theo các tiêu chí:
- Bảo vệ hạ tầng công nghệ
- Kiểm soát tài khoản đặc quyền hệ điều hành
- Bảo vệ hạ tầng ảo hóa
- Giới hạn truy cập Internet

Cam kết của nhà thầu

M

1.2

Giảm bề mặt tấn công và lỗ hổng

Khảo sát, đánh giá môi trường SWIFT theo các tiêu chí:
- Bảo mật luồng dữ liệu nội bộ
- Cập nhật bản vá an ninh bảo mật
- Bảo vệ an toàn dữ liệu truyền ra ngoài
- Bảo mật và toàn vẹn phiên kết nối

Cam kết của nhà thầu

M

1.3

Đảm bảo an ninh cho môi trường vật lý

Kiểm tra truy cập trái phép đến các máy chủ, PC, thiết bị ảo hóa...

Cam kết của nhà thầu

M

1.4

Ngăn chặn việc đăng nhập trái phép

Khảo sát, đánh giá môi trường SWIFT theo các tiêu chí
- Chính sách mật khẩu
- Xác thực đa yếu tố

Cam kết của nhà thầu

M

1.5

Quản lý định danh và phân vùng ưu tiên

Khảo sát, đánh giá môi trường SWIFT theo các tiêu chí:
- Kiểm soát truy cập logic
- Quản lý token
- Lưu trữ mật khẩu mức logic và vật lý

Cam kết của nhà thầu

M

1.6

Phát hiện hoạt động bất thường về hệ thống hoặc hồ sơ giao dịch

Khảo sát, đánh giá môi trường SWIFT theo các tiêu chí:
- Phòng chống mã độc
- Toàn vẹn phần mềm
- Toàn vẹn cơ sở dữ liệu
- Giám sát và nhật ký
- Phòng chống xâm nhập

Cam kết của nhà thầu

M

1.7

Kế hoạch ứng phó với sự kiện bất ngờ và chia sẻ thông tin

Khảo sát, đánh giá môi trường SWIFT theo các tiêu chí:
- Kế hoạch ứng phó với sự cố an toàn thông tin
- Kịch bản đánh giá rủi ro

Kế hoạch/cam kết của nhà thầu

M

2

Dò quét lỗ hổng

2.1

Dò quét lỗ hổng bảo mật  cho các IP bên trong mạng liên quan đến hệ thống SWIFT

- Khảo sát và lập danh sách đối tượng liên quan
- Dò quét phát hiện thông tin dịch vụ
- Dò quét tìm ra lỗ hổng bảo mật
- Kiểm tra và khai thác lỗ hổng
- Khuyến nghị cách thức khắc phục

Cam kết của nhà thầu

M

3

Lập báo cáo tuân thủ

- Nhà thầu lập báo cáo tuân thủ

Cam kết lập Báo cáo tuân thủ

M

Người được ủy quyền

[Ký, ghi rõ họ tên, chức danh]

Người ủy quyền

[Ký, ghi rõ họ tên người đại diện theo pháp luật của nhà thầu, chức danh và đóng dấu]

1

Dịch vụ đánh giá tuân thủ Swift năm 2022

1

Gói

Tổng chi phí đã bao gồm các loại thuế phí liên quan