Haavoittuvuuspalkinto-ohjelmien hallinnointipalvelu ’UM BugBounty’

Hankinnan kohteena on Toimittajan palveluna tarjottava haavoittuvuuspalkinto-ohjelmien (ns. Bug Bounty-ohjelmat) hallinnointipalvelu ulkoministeriön käyttöön.

Hankinnan kohteena on yhteisöllisen tietoturvatestauksen eli haavoittuvuuspalkinto-ohjelmien hallinnointipalvelu. Hallinnointipalveluun kuuluu haavoittuvuuspalkinto-ohjelmien suunnittelu, järjestelyt ja ohjelmien aikainen tuki. Haavoittuvuusohjelmien voittajille maksetut palkkiot eivät kuulu hankinnan kohteeseen. Hallinnointipalvelun tuottaja ja tämän läheiset tahot eivät voi osallistua ulkoministeriön haavoittuvuuspalkinto-ohjelmiin sopimuksen voimassaoloaikana. Hankinnan taustat ja tavoite Ulkoministeriön tarkoituksena on järjestää ulkoministeriön tietoturvahaavoittuvuuksien kartoitukseen liittyviä ns. haavoittuvuuspalkinto-ohjelmia (Bug Bounty-ohjelmat). Haavoittuvuuspalkinto-ohjelmassa esitetään julkinen ja kaikille avoin kutsu osallistua määritellyn toiminnon, palvelun tai tietojärjestelmän tietoturvahaavoittuvuuksien testaamiseen tai kartoitukseen. Toiminnan tarkoituksena on kehittää ulkoministeriön tietoturvatestaustoimintaa ja parantaa palveluiden ja järjestelmien tietoturvallisuutta. Tietoturvatestaukseen kuuluu käytettävyyden, eheyden ja luottamuksellisuuden menetykseen liittyviä riskejä, joiden hallintaan valittavalla palveluntuottajalla tulee olla valmiita malleja ja keinoja. Työn tai hankkeen tavoitteet Joukkoistetun tietoturvatestauksen tavoitteena on saada testaukseen mukaan toimijoita eri erikoistumisaloilta ja kehittyvien tekniikoiden piiristä. Tavoitteena on saada laaja-alaisesti ja nopeasti palautetta haavoittuvuushavainnoista. Hankinnan tavoitteena on tehdä testaustoiminnasta kiinnostavaa, hallittua ja kohdentaa se ulkoministeriön kannalta tärkeisiin palveluihin. Ulkoministeriön tarkoituksena on järjestää haavoittuvuuspalkinto-ohjelmia yhdelle tai useammalle järjestelmälle samanaikaisesti. Tämän lisäksi voidaan tarpeen mukaan järjestää erillisiä ns. hackday-kutsukilpailuja kohdennettuun haavoittuvuuksien testaamiseen. Haavoittuvuustestaus-hankinnan toteutusvaiheet ovat - Hallintajärjestelmätoimittajan valinta - Hallintajärjestelmän pystyttäminen, sisältäen toimittajan valmistelevat toimenpiteet ja perehdytyksen sekä hallintamahdollisuuksien järjestämisen asiakkaalle - Haavoittuvuusohjelmien suunnittelun ja valmistelu - Varsinaisten ohjelmien toteutus