HANKELEPING nr 3-9/3179-100
Tervise ja Heaolu Infosüsteemide Keskus (edaspidi tellija), registrikood 70009770, aadress
Pärnu mnt 132, 1317 Tallinn, keda esindab põhimääruse alusel direktor Margus Arm
ja
Clarified Security OÜ (edaspidi täitja), registrikood 12164540, asukoht Lõõtsa 12, 11415,
Tallinn, keda esindab seaduse ja põhikirja alusel juhatuse esimees Mehis Hakkaja, edaspidi ka pool
või pooled, sõlmisid käesoleva hankelepingu (edaspidi leping) alljärgnevas:
1 Lepingu sõlmimise alus ja ese
1.1 Leping sõlmitakse riigihangete seaduse § 30 alusel, lähtudes täitjaga sõlmitud raamlepingust
nr 4.2-3/2266-1.
1.2 Tööde detailsem kirjeldus on toodud lepingu lisas 1 „Teenuse kirjeldus“.
1.3 Lepingu lahutamatuteks osadeks on tellija „Infosüsteemide turvalisuse testimine II“
(viitenumber 246996) riigihanke alusdokumendid, tellija tellimus Jira keskkonnas
TURVPLAN-20, täitja pakkumus ning arvestades antud lepingus kokkulepitud erisused.
1.4 Kõik lepingu muudatused sõlmitakse lepingu lisadena, mis jõustuvad pärast nende
allkirjastamist mõlema poole poolt või poolte määratud tähtajal.
2 Lepingu maksumus ja maksetingimused
2.1 Lepingu maksimaalne kogumaksumus on 24 960 (kakskümmend neli tuhat üheksasada
kuuskümmend) eurot, millele lisandub käibemaks (edaspidi lepingu maksumus). Lepingu
maksumus sisaldab kõiki lepingu täitmiseks vajalikke kulusid.1
2.1.1 Ühe töötunni maksumus on 120 (sada kakskümmend) eurot, millele lisandub
käibemaks.
2.2 Lepingut rahastatakse tellija eelarvest.
2.3 Tööd antakse üle hiljemalt 29.05.2026.
3 Lepingu kehtivus ja lõpetamine
3.1 Leping jõustub hetkel, mil pooled on lepingu allkirjastanud ning kehtib kuni 29.05.2026.
3.2 Tellija võib lepingu 10 (kümne) kalendripäevase etteteatamistähtajaga olenemata põhjusest
üles öelda ning sellisel juhul on täitjal õigus nõuda tasu vaid lepingu ülesütlemise hetkeks
faktiliselt tehtud tööde eest.
3.3 Täitjal on õigus lõpetada leping ennetähtaegselt, teatades sellest tellijale kirjalikult ette
vähemalt 2 (kaks) nädalat, kui tellija keeldub nõuetekohaselt valmistatud tööde eest tasu
maksmisest.
3.4 Ülaltoodud alustel lepingu ennetähtaegsel lõpetamisel on täitjal õigus tellijalt sisse nõuda
tasu lepingu lõpetamise hetkeks faktiliselt tehtud tööde eest.
4 Kontaktisikud
4.1 Tellija kontaktisik Janika Gutmann (e-post:
[email protected]);
4.2 Täitja kontaktisik on Mehis Hakkaja (e-post:
[email protected]).
1
Punktid 2.1 – 2.3 täpsustatakse tellimuse käigus.
1
5 Lõppsätted
5.1 Kõik lepingu muudatused sõlmitakse lepingu lisadena, mis jõustuvad pärast nende
allkirjastamist mõlema poole poolt.
5.2 Käesoleva lepingu täitmisel tekkivad vaidlused ja lahkarvamused lahendavad pooled
läbirääkimiste teel. Kokkuleppe mittesaavutamisel lahendatakse vaidlused Harju Maakohtus.
5.3 Leping on allkirjastatud digitaalselt.
6 Lisad
6.1 Käesoleva lepingu lahutamatuteks lisadeks on :
6.1.1 lisa 1 „Teenuse kirjeldus“;
6.1.2 lisa 2 „Tehniline kirjeldus“;
6.1.3 lisa 3 „Pakkumus“.
2
Lisa 1
TEENUSE KIRJELDUS
Hanke eesmärgiks on tellija poolt tellitavate, olemasolevate ja valitud infosüsteemide turvalisuse
testimine OWASP (Open Web Application Security Project) ASVS (Application Security
Verification Standard) versioon 3.0.1 (või juhul kui sõlmitava raamlepingu kehtivuse perioodil
peaks eksisteerima uuem versioon, siis uuemale) tasemetele 2 ja 3 vastavate turvatestide
teostamine.
Turvatestimise käigus tuleb metoodiliselt testida ja hinnata kõiki potentsiaalseid turvavigu
(sealhulgas OWASP Top Ten) ning need tuleb testiraportis detailselt välja tuua koos võimalike
lahenduste ja soovitustega, st leitud vigade puhul välja tuua võimalikud ohustsenaariumid.
Testimisel tuleb kontrollida, et testitavate infosüsteemide võimalike haavatavuste kaudu ei oleks
võimalik juurde pääseda andmetele, mis asuvad väljaspool testitava rakenduse funktsionaalsust.
Testimine hõlmab ka kasutajate horisontaalset ja vertikaalset õiguste ületamise turvatestimist.
Kõik testimised ja lähtekoodi kontrollid tuleb teostada ka käsitsi, sest testitavad süsteemid ei pruugi
automaatsete vahenditega testimisel tõepäraseid tulemusi anda. Testimise lõppedes edastab täitja
testitavate toodete/lahenduste testiraportid, krüpteerituna tellijale.
Turvatestimised viiakse läbi arendus- või testkeskkondades, kui ei ole kokku lepitud teisiti.
Vajadusel luuakse tellija ja testija süsteemide vahele turvatud kanal infosüsteemidele
ligipääsemiseks.
Testimise läbiviimiseks peab täitja esitama tellijale IP aadressid, millelt hakatakse turvateste läbi
viima. Tellija avab ligipääsu vastavatelt IP aadressidelt testitavatele süsteemidele. Vajadusel teeb
tellija ka vajalikud testkasutajad.
Lõppraport tuleb vormistada vastavalt OWASP ASVS reeglitele.
3