DigiFinland Oy - IT-konsultointi 2023-2028 (DPS) - Tietoturvatestaus

Hankinnan kohteena on DigiFinland Oy:n hankkeiden ja palveluiden tietoturvan tarkastukset ja auditoinnit, joka sisältää teknisen tietoturvatestauksen sekä arkkitehtuurikatselmoinnit (alustapalvelut/infra, järjestelmäintegraatiot). Auditoinnissa käytetään mm. turvallisuuden auditointikriteeristöjä PiTuKri, Katakri ja GDPR, sekä soveltuvin osin kansainvälisiä viitekehyksiä ja parhaita käytäntöjä, kuten OWASP (esim. OWASP Top 10) ja CIS Controls. Työ tehdään noudattaen DigiFinlandin sisäisiä tiedon käsittelyohjeita (julkinen, sisäinen ja salainen). Tarvittaessa työssä voidaan käsitellä myös turvaluokiteltua tietoa (TL) asiakkaan ohjeiden sekä soveltuvan lainsäädännön mukaisesti. Auditointi toteutetaan siten, että auditoitavan palvelun tai palvelukokonaisuuden tietoturvan taso kyetään määrittelemään. Valittu toimittaja eli auditoija tekee palvelulle ns. eettisen hakkeroinnin, jossa auditoija etsii ohjelmallisesti palvelun haavoittuvuuksia ja muita tietoturvaongelmia DigiFinlandin osoittamasta kohteesta tai arvioi palvelun arkkitehtuuria tietoturvan näkökulmasta. Auditoija tekee tietoturvaselvityksen, jossa mahdolliset palvelun haavoittuvuudet ja muut tietoturvaan liittyvät ongelmat on yksilöity ja niiden ratkaisemiseen annetaan ohjeet. Tämä selvitys käydään läpi DigiFinlandin edustajien ja palvelun rakentaneiden IT-toimittajien kanssa. Auditoinnit kohdistuvat DigiFinlandin olemassa oleviin palveluihin (tällä hetkellä Omaolo, Navigaattoripalvelut sekä hoidon perusteet) sekä mahdollisiin tuleviin palveluihin. Hankintayksikön sitoumuksettoman arvion mukaan kukin palvelu auditoidaan kerran kalenterivuodessa. Hankinnan arvioitu kokonaisarvo on noin 300 000 €.