Tietoturvan ja tietosuojan konsultointipalvelut

2M-IT Oy (jäljempänä myös "Hankintayksikkö" tai "Tilaaja") perustaa dynaamisen hankintajärjestelmän (DPS) koskien tietoturvan ja tietosuojan konsultointia ja niihin liittyviä asiantuntijapalveluita. Dynaamisen hankintajärjestelmän mukaisia palveluja tarjoavat organisaatiot voivat jättää osallistumishakemuksia dynaamiseen hankintajärjestelmään koko sen keston ajan. Dynaamiseen hankintajärjestelmään hyväksytään kaikki osallistumishakemuksen jättäneet ehdokkaat, jotka täyttävät ehdokkaille asetetut soveltuvuusvaatimukset. Perustettavan dynaamisen hankintajärjestelmän sisäisinä kilpailutuksina kilpailutetaan tietoturvaan ja tietosuojaan liittyvää konsultointia, ja niihin liittyviä ja asiantuntijapalveluja. Hankinnat tehdään dynaamisen hankintajärjestelmän sisällä erillisillä tarjouspyynnöillä.

Dynaamisen hankintajärjestelmän sisäisenä kilpailutuksena kilpailutettavien asiantuntijaresurssien tarve voi kohdistua esimerkiksi seuraaviin kokonaisuuksiin: Tietoturvan ja -suojan konsultointi • Hallinnollinen tietoturva: Sisältäen mm. tietoturvapolitiikan suunnittelun tukeminen, tietoturvastrategian kehittäminen, tietoturvan hallintamallin rakentaminen sekä toiminnan jatkuvuuden kehittäminen ja tietoturvariskien hallinta. • Vaatimustenmukaisuus: Tilaajan tukeminen tietoturvallisuuteen liittyvien lainsäädännöllisten ja muiden regulaatiovaatimusten tunnistamisessa. • Tietoturvakontrollien auditointi • Ohjelmistojen ja järjestelmien tietoturva-arviointi • Tietosuoja: esimerkiksi tietosuojariskien arviointi, henkilötietojen käsittelyn käytäntöjen ja prosessien kehittäminen sekä henkilötietojen suojan parantaminen organisaation toiminnassa. • TIA:t (Transfer Impact Assessment, siirtojen kohdemaan lainsäädännön arviointi) Muu konsultointi • Tietoturvallinen hankinta: konsultaatiopalvelut parhaiden käytäntöjen mukaisten tietoturva- ja tietosuojavaatimusten muodostamiseksi hankinnoissa. • Identiteetin- ja pääsynhallinta (IAM): identiteetin- ja pääsynhallintapalvelut, joiden avulla voidaan parantaa Tilaajan ympäristön tietoturvaa, täyttää vaatimustenmukaisuudet ja parantaa toiminnan tehokkuutta. • Fyysinen turvallisuus: fyysisen turvallisuuden arvioinnit Laitteiden ja järjestelmien tietoturva • Palveluiden ja järjestelmien tietoturva-arvioinnit: Sisältäen esim. järjestelmien ja palveluiden haavoittuvuuksien tunnistaminen, tietoturvariskien sekä mahdollisten konfigurointi- ja suunnitteluvirheiden arviointi ja suositusten antaminen tietoturvallisuuden parantamiseksi. • Pilven tietoturva: sisältäen esim. pilviturvallisuuden parhaiden käytäntöjen suositusten antamisen ja pilvipalveluiden tietoturva-arvioinnin. • IoT-laitteet: sisältäen esim. parhaat käytännöt IoT-laitteiden hallintaan, IoT-laitteiden havaitsemiseen Tilaajan ympäristöstä sekä suositukset IoT-laitteiden riskien ja uhkien tunnistamiseen. • Mobiililaitteiden tietoturva: esim. laitekohtaisten tietoturvaratkaisujen käyttöönotto, mobiililaitehallinnan (MDM) määritysten arviointi. Tietoturvatutkimukset ja -selvitykset ja digitaalinen forensiikka • Digitaalinen forensiikka ja tietoturvaloukkausten selvitys: digitaaliset tutkimukset tietoturvaloukkauksista, tapahtumaketjujen analysointi ja mahdollisten haavoittuvuuksien korjaaminen. Suositukset Tilaajan forensiikan kehittämiseksi. • Uhkamallinnus: esimerkiksi ohjelmistoihin, prosesseihin tai liiketoimintaan liittyvien potentiaalisten uhkien tunnistaminen ja arvioiti. • Tilannekuvan muodostaminen: tilannekuvan muodostamispalvelut, joiden avulla Tilaaja voi seurata ja ymmärtää tietoturvallisuuden tilaa reaaliajassa. Tietoturvapoikkeamien havainnointikyvyn kehittäminen. Sisältäen esim. tietoturvallisuuden mittaamiseen, seurantaan ja analysointiin liittyvien prosessien, työkalujen ja käytäntöjen käyttöönoton, joiden avulla voidaan havaita ja reagoida tietoturvallisuuteen liittyviä tapahtumia ja kehityskulkuja. • Murtotestaus, tietoturvatestaus: sisältäen esim. penetraatiotestaukset ja haavoittuvuusarvioinnit, joiden avulla voidaan tunnistaa ja korjata mahdolliset uhat ja haavoittuvuudet Tilaajan tietoturvassa. • Red Teaming-kokonaispalvelu: laaja-alainen simuloitu tietomurtohyökkäys erikseen määritellyin parametrein. Koulutus • Henkilöstön kyberharjoitukset ja koulutukset: kyberharjoituksia ja koulutuspalveluja, joiden tavoitteena on parantaa Tilaajan tietoturvatietoisuutta, tilannejohtokykyä ja valmiuksia reagoida poikkeamatilanteisiin. • Tietoturva-asiantuntijoiden koulutukset: teknisiä koulutuksia esim. SOC-analyytikoille, DFIR-asiantuntijoille jne.