Mời thầu Cung cấp dịch vụ đánh giá tuân thủ theo khung kiểm soát bảo mật với hệ thống Thanh toán Quốc tế Swift năm 2024

I

Yêu cầu năng lực nhà thầu

1

Tài liệu chứng minh tư cách pháp lý, tài chính

1.1

Vốn điều lệ (căn cứ vào bản sao y chứng thực bản Đăng ký kinh doanh/ chứng nhận đầu tư hiện hành)

Tối thiểu 2 tỷ VND. Trường hợp liên danh thầu, các thành viên liên danh phải có vốn điều lệ tối thiệu 1.5 tỷ VNĐ.

M

1.2

Thời gian thành lập tối thiểu 03 năm

Thành viên chào thầu hoặc thành viên liên danh thầu phải có thời gian thành lập tối thiểu 03 năm.

M

1.4

Nhà thầu phải có tối thiểu 1 hợp đồng cung cấp hàng hóa và triển khai dịch vụ tương tự cho khách hàng là các tổ chức tài chính, ngân hàng, công ty …. có quy mô tương tự SeABank.

Có tối thiểu 01 hợp đồng cung cấp dịch vụ đánh giá an toàn thông tin hệ thống ứng dụng SWIFT theo tiêu chuẩn CSP/CSCF. Giá trị Hợp đồng không nhỏ hơn 300,000,000 vnđ

M

1.5

Tài khoản thanh toán

Cam kết mở tài khoản thanh toán tại SeABank

M

1.6

Thanh toán

- Thanh toán tạm ứng 50.000.000 vnđ sau khi ký Hợp đồng.
'- Thanh toán giá trị còn lại của Hợp đồng sau khi nghiệm thu tổng thể.

O

2

Năng lực nhân sự

2.1

 Trưởng nhóm đánh giá bảo mật:

Có tối thiểu 7 năm kinh nghiệm trong lĩnh vực CNTT và tối thiểu 5 năm kinh nghiệm triển khai giải pháp/ dịch vụ an ninh bảo mật

 M

2.1.1

Yêu cầu về chứng chỉ

Có tối thiểu 2 trong các chứng chỉ bảo mật sau hoặc tương đương/cao hơn: GXPN – GIAC Exploit Researcher and Advanced Penetration Tester; LPT – Licensed Penetration Tester; CISSP - Certified Information Systems Security Professional; OSWE -Offensive Security Web Expert

M 

2.2.2

Kinh nghiệm nhân sự

Đã từng làm trưởng nhóm đánh giá bảo mật trong tối thiểu 2 dự án tương tự

 M

2.2

Chuyên viên đánh giá bảo mật:

Có tối thiểu 03 chuyên viên đánh giá bảo mật với điều kiện có tối thiểu 02 năm kinh nghiệm trong lĩnh vực CNTT và tối thiểu 2 năm kinh nghiệm triển khai giải pháp/ dịch vụ an ninh bảo mật, có tối thiểu một trong các chứng chỉ sau đây hoặc cao hơn: OSCE – Offensive Security Certified Expert, CISSP - Certified Information Systems Security Professional, CEH – Certified Ethical Hacker, CompTIA PenTest+

M 

2.2.1

Kinh nghiệm nhân sự

Đã từng thực hiện đánh giá bảo mật cho trong tối thiểu 2 dự án tương tự

M 

I

Yêu cầu chung

1.1

Cam kết bảo mật thông tin từ nhà thầu

Đơn vị thực hiện đánh giá cần ký cam kết bảo mật thông tin liên quan đến kế hoạch đánh giá cũng như các thông tin về hệ thống, lỗi bảo mật trong quá trình đánh giá.

M

1.2

Thực hiện đúng và đầy đủ phạm vi yêu cầu của Customer Security Framework phiên bản mới nhất (CSCF phiên bản mới nhất)

Nhà cung cấp thực hiện đúng và đầy đủ phạm vi yêu cầu của Customer Security Framework theo phiên bản mới nhất (CSCF phiên bản mới nhất)

M

1.3

Nhà cung cấp sẽ có khuyến nghị chi tiết cụ thể và phù hợp để có thể đáp ứng yêu cầu của SWIFT.

Đối với các thành phần không đáp ứng sẽ có khuyến nghị
chi tiết cụ thể và phù hợp để có thể đáp ứng yêu cầu của SWIFT.

M

1.4

Cam kết không ảnh hưởng tới hoạt động của SeABank trong quá trình đánh giá

Đơn vị thực hiện đánh giá có thể sử dụng bất cứ công cụ,
phương tiện gì để thực hiện, nhưng không được phép ảnh hưởng tới hoạt động của SeABank.

M

1.5

Bản quyền và các vấn đề liên quan tới sở hữu trí tuệ

Đơn vị thực hiện đánh giá tự chịu trách nhiệm về bản quyền và các vấn đề liên quan tới sở hữu trí tuệ đối với các công cụ, phương pháp thực hiện đánh giá.

M

II

Yêu cầu chi tiết

1

Đánh giá hệ thống ứng dụng SWIFT theo CSCF

1.1

Hạn chế tiếp cận Internet và tách vùng hệ thống quan trọng khỏi môi trường công nghệ chung (bao gồm tại DC và DR của SeABank)

Khảo sát, đánh giá môi trường SWIFT theo các tiêu chí:
- Bảo vệ hạ tầng công nghệ
- Kiểm soát tài khoản đặc quyền hệ điều hành
- Bảo vệ hạ tầng ảo hóa
- Giới hạn truy cập Internet

M

1.2

Giảm bề mặt tấn công và lỗ hổng

Khảo sát, đánh giá môi trường SWIFT theo các tiêu chí:
- Bảo mật luồng dữ liệu nội bộ
- Cập nhật bản vá an ninh bảo mật
- Bảo vệ an toàn dữ liệu truyền ra ngoài
- Bảo mật và toàn vẹn phiên kết nối

M

1.3

Đảm bảo an ninh cho môi trường vật lý (bao gồm tại DC và DR của SeABank)

Kiểm tra truy cập trái phép đến các máy chủ, PC, thiết bị ảo hóa...

M

1.4

Ngăn chặn việc đăng nhập trái phép (bao gồm tại DC và DR của SeABank)

Khảo sát, đánh giá môi trường SWIFT theo các tiêu chí
- Chính sách mật khẩu
- Xác thực đa yếu tố

M

1.5

Quản lý định danh và phân vùng ưu tiên

Khảo sát, đánh giá môi trường SWIFT theo các tiêu chí:
- Kiểm soát truy cập logic
- Quản lý token
- Lưu trữ mật khẩu mức logic và vật lý

M

1.6

Phát hiện hoạt động bất thường về hệ thống hoặc hồ sơ giao dịch

Khảo sát, đánh giá môi trường SWIFT theo các tiêu chí:
- Phòng chống mã độc
- Toàn vẹn phần mềm
- Toàn vẹn cơ sở dữ liệu
- Giám sát và nhật ký
- Phòng chống xâm nhập

M

1.7

Kế hoạch ứng phó với sự kiện bất ngờ và chia sẻ thông tin

Khảo sát, đánh giá môi trường SWIFT theo các tiêu chí:
- Kế hoạch ứng phó với sự cố an toàn thông tin
- Kịch bản đánh giá rủi ro

M

2

Dò quét lỗ hổng

2.1

Dò quét lỗ hổng bảo mật  cho các IP bên trong mạng liên quan đến hệ thống SWIFT (bao gồm tại DC và DR của SeABank)

- Khảo sát và lập danh sách đối tượng liên quan
- Dò quét phát hiện thông tin dịch vụ
- Dò quét tìm ra lỗ hổng bảo mật
- Kiểm tra và khai thác lỗ hổng
- Khuyến nghị cách thức khắc phục

M

3

Lập báo cáo tuân thủ

- Nhà thầu lập báo cáo tuân thủ

M

STT

Tên hàng hóa/ dịch vụ/ sản phẩm

Số lượng

Đơn vị tính

 Đơn giá (VND)

 Thành tiền trước thuế (VND)

 Thành tiền sau thuế (VND)

1

Dịch vụ đánh giá tuân thủ Swift Năm 2024

01

Gói

Thành tiền (trước VAT):

VAT:

Thành tiền (sau VAT):

(Bằng chữ: ……………….. ./.)