Eidgenössisches Departement des Innern EDI Bundesamt für Statistik BFS Abteilung Statistische Infrastruktur Classification * Non classé Statut ** Approbation Nom du projet Review der Sicherheitskonzepte und Berechtigungen Abréviation du projet Numéro du projet Chef de projet Yann Chalon Donner d ordre Auteur Yann Chalon Initi ale Coauteurs Vérificateurs Approbateurs - Pour information - Version Date Description, remarques Nom ou rôle 1.5 19.05.2011 - Offertanfrage Offertanfrage zu Review der Sicherheitskonzepte und Be- rechtigungen (Einladungsverfahren) In diesem Text wird der Einfachheit halber die männliche Form verwendet. Die weibliche Form ist selbstverständlich immer mit eingeschlossen. 1 Ausgangslage Im BFS wird eine grössere Anzahl von Anwendungen benutzt, mit welchen die vielfältigen statisti- Integrität und Datenschutz sind dabei schen Auswertungen durchgeführt und unterstützt werden. wichtige Schutzmerkmale. Im Rahmen einer übergeordneten Sicherheitsinitiative müssen nun die Sicherheitskonzepte und Berechtigungen der kritischen Anwendungen analysiert und kontrolliert wer- das eigene den. Der Aufwand für diese Review-Tätigkeit kann aus Ressourcengründen nicht durch Personal abgedeckt werden. Aus diesem Grund wird ein Sicherheitsspezialist gesucht, welcher die Review-Tätigkeit im Rahmen eines Projektes selbstständig durchführen und dokumentieren kann. Das Projekt wird im Zeitraum Juli 2011 gestartet und bis Q2 2012 abgeschlossen werden. 2 Zu erbringende Leistungen 2.1 Allgemeine Vorgehensweise Die durchzuführenden Reviews müssen formell nicht nach einem Audit/Sicherheits-Standard durchgeführt werden. Trotzdem muss der Sicherheitsexperte sich an Best Practice wie ISO 27001 und dem IT Grundschutzhandbuch orientieren. Die Arbeitsweise muss nachvollziehbar, dokumentiert, die Beurteilungen und Empfehlungen objektiv durchgeführt werden.
Als normative Anforderungen gelten die in der Bundesverwaltung gültigen Sicherheitsvorgaben: Weisungen des IRB über die Informatiksicherheit in der Bundesverwaltung IKT-Sicherheitsleitbild der Bundesverwaltung BIT-Weisung über die IT-Sicherheit Leitbild Informationssicherheit des EDI Weisung IT-Sicherheit EDI Der Sicherheitsspezialist muss zu Beginn des Projektes einen Vorgehensplan vorlegen, in welchem festgelegt ist, zu welchem Zeitpunkt (+-/ 2 Wochen) welche Anwendungen geprüft werden. Damit lässt sich im vornherein die Verfügbarkeit der erforderlichen Personen (z.b. Anwendungs- durchführen. Aus fachlicher Perspektive Verantwortliche) sicherstellen und eine Fortschrittskontrolle ist der Sicherheitsspezialist dem ISBO des BFS, aus operationeller Perspektive dem Chef des Diens- der Sektion CODAM unterstellt. tes IT-Architekturen, -Projekte, -Sicherheit Es werden folgende Arbeitsmittel zur Verfügung gestellt: BFS Mail-Account mit Zugriff auf OWA BFS Badge PC-Arbeitsplatz 2.2 Review und Verifikation der Sicherheitskonzepte In der schweizerischen Bundesverwaltung muss für jede Anwendung mit erhöhtem Schutzbedarf ein sogenanntes ISDS-Konzept 1 erstellt werden. Das Dokument legt fest, welche Sicherheitsmassnah- sind und angewendet men zusätzlich zum Grundschutz für den erhöhten Schutzbedarf erforderlich werden müssen. Das BFS hat um die 30 Anwendungen identifiziert, welche einen erhöhten Schutzbedarf aufweisen und somit den Umfang für diese Leistung definieren. Der Sicherheitsspezialist muss für jede Anwendung folgende Aktivität vornehmen: ISDS-Konzepte einfordern, inventarisieren und ablegen Überprüfung und Beurteilung der Schutzbedarfseinschätzung sowie deren Begründung Beurteilung der im ISDS-Konzept definierten Schutzmassnahmen - Adressieren die Schutzmassnahmen die konkreten Schutzbedürfnisse? - Entsprechen die Massnahmen den aktuellen Best-Practice Ansätzen? - Decken die Schutzmassnahmen den Schutzbedarf vollständig ab? Verifikation der Umsetzung der definierten Schutzmassnahmen auf Basis von Stichproben Nachvollziehbare Dokumentation der Aktivitäten, der Befunde sowie allfälliger Empfehlungen Zur Erfüllung dieser Leistung stehen dem Sicherheitsspezialisten die jeweiligen Anwendungs- Verantwortlichen, sowie weitere für die Beantwortung der jeweiligen Fragen notwendigen Personen zur Verfügung. Die für den Review identifizierten Anwendungen sowie die dafür vorgesehenen Kon- bekannt gegeben. taktpersonen werden dem Sicherheitsspezialisten bei Projektbeginn Das Lieferobjekt dieser Leistung stellt der Prüfbericht dar. Er enthält folgende Informationen: Zusammenfassung der Befunde und Empfehlungen Für jede Anwendung sind folgende Punkte zu dokumentieren - Kurze Bewertung der Schutzbedarfseinschätzung 1 Die Abkürzung ISDS bedeutet Informationssicherheits- und Datenschutz 2/6
- Kurze Bewertung der definierten Schutzmassnahmen - Kurze Bewertung der Wirksamkeit - Resultat einer allfälligen Stichprobe - Befunde und Empfehlungen 2.3 Review und Verifikation der Berechtigungen Eine wichtige Massnahme zur Einhaltung des Datenschutzes sowie der Datenintegrität ist die Zuein Zugriffskon- griffskontrolle in der Anwendung. Bei sämtlichen Anwendungen, deren Zugriffe über trollsystem kontrolliert werden können (z.b. keine Einzelplatz Desktop-Anwendungen), müssen daher die Vergabe und Kontrolle der Berechtigungen überprüft werden. Das BFS geht von etwa 40 Anwen- definieren. dungen aus, bei welchen diese Bedingung erfüllt ist und die den Umfang für diese Leistung Der Sicherheitsspezialist muss für jede Anwendung folgende Aktivitäten vornehmen: Allfällige Dokumente, Beschreibungen und Berechtigungskonzepte einfordern, inventarisieren und ablegen Berechtigungskonzept überprüfen und bewerten, ob dieses den Vorgaben der Sicherheit ge- folgende nügend Rechnung trägt. Umsetzung des Berechtigungskonzeptes verifizieren. Dabei müssen mindestens Punkte geprüft werden: - Entsprechen die zugewiesenen Berechtigungen dem Least Privilege Prinzip? - Sind die Berechtigungen für die Durchführung der Geschäftsprozesse notwendig (Prin- sind? zip des Need to know) - Haben Benutzer Berechtigungen, welche seit langer Zeit ungenutzt geblieben - Gibt es Benutzerkonten von Personen, welche nicht mehr im BFS arbeiten? - Gibt es einen funktionierenden Prozess, der die geschäftlichen Veränderungen (Funkti- und die Berech- onswechsel, Hierarchiewechsel, Verlassen des BFS, etc.) identifiziert tigungen entsprechend anpassen kann? Nachvollziehbare Dokumentation der Aktivitäten, der Befunde sowie allfälliger Empfehlungen Zur Erfüllung dieser Leistung stehen dem Sicherheitsspezialisten die jeweiligen Anwendungs- der jeweiligen Fragen notwendigen Personen Verantwortlichen, sowie weitere für die Beantwortung zur Verfügung. Die für den Review identifizierten Anwendungen, sowie die dafür vorgesehenen Kon- bei Projektbeginn bekannt gegeben. taktpersonen werden dem Sicherheitsspezialisten Das Lieferobjekt dieser Leistung stellt der Prüfbericht dar. Er enthält folgende Informationen: Zusammenfassung der Befunde und Empfehlungen Für jede Anwendung sind folgende Punkte zu dokumentieren - Kurze Bewertung des Berechtigungskonzepts - Kurze Bewertung der Umsetzung - Befunde und Empfehlungen 3/6
3 Erwartete Kompetenzen Der Sicherheitsspezialist hat eine formelle Ausbildung im Bereich der Informationssicherheit oder kann eine mehrjährige Erfahrung (> 3 Jahre) in demselben aufweisen. Er hat ein gutes Verständnis für Anwendungen sowie Berechtigungskonzepte. Die analytischen Fähigkeiten erlauben ihm rasch den Umfang, die Sicherheitsprobleme aber auch die Geschäftsanforderungen der Anwendungen zu erund notwendige Sicherheitsanforderungen zu identifizieren. Gute Kenntnisse von Best- kennen Practice (ISO 27001, IT-Grundschutzhandbuch, etc.) sowie Anwendungssicherheit sind ebenfalls er- forderlich. Durch sorgfältige, sachliche, vertrauensvolle und selbstständige Arbeitsweise führt er die vorgegebe- Aktivitäten nen Leistungen in regelmässiger Absprache mit dem Auftraggeber durch und dokumentiert und Erkenntnisse auf verständliche Weise. Der Spezialist soll mündlich wie schriftlich in Deutsch und Französisch kommunizieren können sowie deutsche wie französische Sicherheitskonzepte verstehen. Aufgrund der Vertraulichkeit muss sich die vorgeschlagene Person einer vom Bund akzeptierten Per- Der Auftragnehmer verpflichtet sich, bei negati- sonensicherheitsprüfung (Art. 10 PSPV) unterziehen. vem Befund, eine Ersatzperson mit gleichen Kompetenzen zur Verfügung zu stellen. 4 Vertragsform und Projektumfang Das Angebot soll in Form eines Dienstleistungsvertrages erfolgen. Der geleistete Aufwand ist zwei wöchentlich ihm Rahmen eines Projekt-Controllings zu rapportieren und monatlich zu verrechnen. Die Verrechnung geschieht nach Aufwand mit dem hier offerierten Kostendach. Es sind folgende Aufwände zu berücksichtigen: - Review der Konzepte: 30 Konzepte à ~2PT = 60 PT - Review der Berechtigungen: 40 relevante Anwendungen à ~2PT = 80 PT - Zu offerierender Aufwand: 140 PT - Reserve/Option: 20 PT Der Aufwand soll während der Projektdauer regelmässig verteilt werden. 5 Abgrenzung Fehlen Dokumente oder Informationen, ohne welche das Review einer Anwendung nicht oder nur eingeschränkt möglich ist, so ist dies als Befund zu dokumentieren. Der Anbieter soll für allfällige Un- zur Behebung der Befunde eine zusätzliche Option von 20 Tagen offerieren. Am terstützungsarbeiten Schluss des Projektes entscheidet der Auftraggeber wie mit diesen Befunden umgegangen werden soll und ob für die Unterstützung der Behebung die Option aktiviert werden soll oder nicht. 6 Erfüllungsort Bundesamt für Statistik Espace de l Europe 10 2010 Neuchâtel Sowie in Absprache mit dem Auftraggeber remote 7 Erfüllungstermine Beginn des Projektes: Juli 2011 Projektdauer: Erste Ergebnisse bis September 2011, Abschluss Q2 2012, Umsetzung der optionalen Unterstützung Q3 2012 4/6
8 Frist für die Offerterstellung und Kontaktadresse Eingabefrist der Offerte: 4. Juli 2011 Offerte, welche nach diesem Termin eintreffen werden nicht mehr berücksichtigt. Kontakt: Bundesamt für Statistik Abteilung Statistische Infrastruktur Sektion CODAM Kontakt: Herr Yann Chalon Espace de l Europe 10 2010 Neuchâtel e-mail : yann.chalon@bfs.admin.ch 9 Allgemeines 9.1 Zuschlagskriterien A) Preis B) Erfahrung im Bereich IT-Sicherheit (in Anzahl Jahren) C) Auflisten von 2 Referenzprojekten zur Darstellung der Erfahrungen des Mitarbeiters unter An- mit Kontaktperson(en) und Telefonnummern zur Einholung gabe von: a. Firmenname und Anschrift von Referenzen. b. Zeitpunkt der Durchführung des Projektes. c. Projektinhalt und Anzahl der involvierten Personen. d. Wahrgenommene Rolle. e. Projektumfang in Stunden. f. Durchgeführte Arbeiten und erstellte Ergebnisse. D) Ausbildung in IT-Sicherheit (erworbene Abschlüsse, Zeitpunkt, etc.) E) Kenntnisse der Best-Practice im Bereich IT-Sicherheit (u.a. welche Best-Practice und ob The- vorliegen mit Angaben von Anzahl Jahren für die orie und oder Praxis Praxis) F) Kenntnisse der Sprachen D/F (u.a. von mündlich: Konversationsniveau oder Verhandlungsniveau; schriftlich: Privatbriefniveau oder Geschäftsbriefniveau) 9.2 Struktur der Offerte Die Offerte muss folgende Struktur aufweisen: i. Beschreibung des Leistungserbringers Rechtsform Anzahl Mitarbeiter 5/6
Kompetenzbereiche ii. offerierte Leistungen mit Vorgehensvorschlag iii. Stundensatz, Preis (inkl. MwSt., direkte und indirekte Dienstleistungskosten sowie Spesen) iv. Option für 20 PT gemäss Abschnitt 4 v. Anhänge Mitarbeiterprofil Diplomen und Referenzen gemäss Abschnitt 9.1 weitere Dokumentation 9.3 Sprache der Offerte Die Offerte kann in deutscher oder in französischer Sprache eingereicht werden. 9.4 Vergütung für die Erstellung der Offerte Für die Erstellung des Angebots stehen dem Anbieter keine Vergütungen zu. 9.5 Allgemeine Geschäftsbedingungen Es gelten die allgemeinen Geschäftsbedingungen des Bundes für Informatikdienstleistungen. http://www.bbl.admin.ch/bkb/02617/02618/02626/index.html?lang=de Allfällige allgemeine Geschäftsbedingungen des Offerenten gelten als wegbedungen. 6/6