DA39074148 – Servicii de audit calificat de securitate cibernetică

Servicii de audit calificat de securitate cibernetică

Ofertă pentru realizarea serviciilor de audit calificat pentru verificarea respectării cerinţelor minime de asigurare a securităţii reţelelor şi sistemelor informatice, conform Ordonanței de urgență a Guvernului nr. 155 din 30 decembrie 2024 și Legii nr. 124 din 7 iulie 2025 pentru aprobarea Ordonanței de urgență a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor şi sistemelor informatice din spațiul cibernetic național civil. Obiectul serviciului ofertat se referă la verificarea de către CERTINSPECT REGISTER SRL în calitate de auditor atestat, în cadrul OSE/FSD (Beneficiarul) a implementării „Normelor tehnice privind cerinţele minime de asigurare a securităţii reţelelor şi sistemelor informatice aplicabile operatorilor de servicii esenţiale”, aprobate prin Ordinul nr. 1323/2020. Verificarea, care constă într-un audit la fața locului cât și de la distanță, se realizează de către auditorii atestați de către Directoratul Național de Secutitate Cibernetică (DNSC) ai CERTINSPECT REGISTER SRL. Este de așteptat ca la momentul prestării serviciilor din prezenta Ofertă, cerințele legale să fie implementate de către Beneficiar, aceasta fiind o condiție prealabilă pentru desfășurarea auditului. I.1. Analiza inițială de securitate cibernetică Activitățile din această etapă vor consta în: a) Analiza serviciilor esențiale și a infrastructurii OSE/FSD necesare pentru prestarea acestor servicii; b) Analiza politicilor, procedurilor și a măsurilor tehnice și organizatorice implementate de către OSE/FSD. c) Identificarea procesului de comunicare cu CERT-RO (DNSC), a responsabilităților și atribuțiilor Responsabilului NIS în cadrul OSE/FSD. d) Gestionarea schimbărilor la nivelul serviciilor esențiale furnizate. I.2. Activitățile de audit tehnic de securitate cibernetică În funcție de solicitarea OSE/FSD din documentul „Chestionar în vederea ofertării serviciului de audit pentru verificarea respectării cerinţelor minime de asigurare a securităţii reţelelor şi sistemelor informatice, conform Ordonanței de urgență a Guvernului nr. 155 din 30 decembrie 2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil si Legii nr. 124 din 7 iulie 2025 pentru aprobarea Ordonanței de urgență a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor şi sistemelor informatice din spațiul cibernetic național civil sau a altui document pe baza caruia a fost elaborata prezenta oferta, auditul tehnic de securitate cibernetică poate consta în următoarele servicii: a) auditul arhitecturii [AS1] - constă în verificarea conformității măsurilor de securitate legate de alegerea, poziționarea și implementarea dispozitivelor hardware/software în rețelele și sistemele informatice, cerințele minime de securitate și politicile interne ale OSE/FSD. b) auditul de configurare [AS2] - constă în verificarea implementării măsurilor de securitate în conformitate cu stadiul tehnicii, cerințele minime de securitate și politicile de securitate în ceea ce privește configurația dispozitivelor hardware/software componente ale rețelelor și sistemelor informatice. c) auditul codului sursă [AS3] - constă în analiza totală sau parțială a codului sursă sau a condițiilor de compilare ale unei aplicații pentru a descoperi vulnerabilitățile legate de practicile de programare neadecvate sau erorile logice care ar putea avea un impact asupra securității rețelelor și sistemelor informatice; d) auditul de penetrare sau testarea de penetrare [AS4] - constă în identificarea vulnerabilităților din rețelele și sistemele informatice și verificarea posibilităților de exploatare a acestora, precum și a impactului exploatării acestora asupra rețelei, în condițiile reale ale unui atac cibernetic asupra rețelelor și sistemelor informatice. e) auditul securității organizației [AS5] - constă în auditul organizației cu privire la securitatea logică și fizică și urmărește să se asigure că politicile și procedurile de securitate definite. f) auditul sistemelor de control industrial [AS6] - constă în evaluarea nivelului de securitate al unui sistem de control industrial și a dispozitivelor de control asociate. I.2.1 Metode posibile in cazul auditului tehnic: ➢ Scanarea vulnerabilităților (ex: Nessus, OpenVAS); ➢ Testarea activă a exploatării vulnerabilităților identificate; ➢ Verificarea sistemelor de autentificare și acțiuni limitate de brute-force; ➢ Exploatarea vulnerabilității (Metasploit, Exploituri publice); ➢ Tehnici post-exploition (accesarea datelor și a sistemelor private). Procesul de identificare al vulnerabilităților implică scanarea infrastructurii IT a Beneficiarului în scopul identificării vulnerabilităților acesteia și a identificării unor soluții de remediere ulterioare. Obiectivele vizate in cadrul procesului de identificare a vulnerabilităților sunt următoarele: a. Descoperire infrastructura – identificare servere și alte dispozitive din rețea, folosind soluții standard in industrie. b. Detectare servicii – identificarea porturilor deschise si serviciilor disponibile pe fiecare sistem descoperit, cum ar fi: servicii de email, aplicații Web, servicii de partajare fișiere. c. Identificare vulnerabilități – efectuarea analizei bazate pe sistemul de operare, servicii, configurări și informații culese. d. Clasificare vulnerabilități – clasificarea vulnerabilităților descoperite și folosirea standardelor existente (CVE) pentru calcularea impactului riscurilor în funcție de vulnerabilitate. e. Raportare – centralizarea concluziilor, prioritizarea și organizarea în funcție de cerințele Beneficiarului. f. Managementul vulnerabilităților – sortarea și prioritizarea vulnerabilităților se va realiza în funcție de gradul de risc și numărul de echipamente afectate. Soluțiile se vor oferi pentru vulnerabilitățile “Critice” si “Înalte” descoperite. I.2.2. Testele de penetrare