Leping

Saatja: Mehis Hakkaja <[email protected]> Saaja: Bret Rand Teema: Re: TEISi sõidukijuhtide järelvalve mooduli turvatestimise tellimine Tähelepanu! Tegemist on väljastpoolt asutust saabunud kirjaga. Tundmatu saatja korral palume linke ja faile mitte avada. Tere Bret, Saadan soovitud pakkumuse digitaalselt allkirjastatuna. Kuna me oleme TEISi ja selle arendusi varem 2x testinud, siis küsimusi ei ole. Kuni 142h töötunni mahus põhitestidega kahes veebiliideses/vaates (iseteenindus ja ametnik) saab funktsionaalsuse kaetud vastavalt ASVS tasemele 2 ning 24 jääb siis võimalike turvaparanduste ületestide mahuks, kokku maksimaalselt 166h. PS! Kuna turvaparanduste tarnetega läheb kohati väga pikalt, siis sooviks töid üldiselt akteerida kahes osas, 1) põhitestide järel ja 2) pärast turvaparanduste ületeste. Sama moodi teevad ka RMIT ja RIA ning nii oleme varasemate TEHIK raamhanke lepingute tellimustega ka tihti nii teinud. Igaks juhuks selgitan veel üle, et Tehniline Kirjeldus mainib väga vana ASVS standardi versiooni, mida ei ole mõtet enam kasutada ning nagu ka pakkumuses maisin, siis me teeksime turvateste ikka värskeima ASVS versiooni põhjal. Selleks, et 23.09 lõpliku raportini jõuda, on vaja hiljemalt 26.08 kõik testimiseks vajalik ära korraldada ja võib ka varem alustada. Märkisin selle pakkumuse põhjale ka ära ning testijate nimekirja tegin lühemaks, neile võib juurdepääse hakata korraldama kui pakkumuse sobib. Parimat, Mehis Hakkaja Clarified Security OÜ - "We break security to bring clarity" CEO/Owner/Founder [email protected] <mailto:[email protected]> mobile: (+372) 56244264 phone: (+372) 603 66 44 Lõõtsa 12, Tallinn 11415, Estonia www.clarifiedsecurity.com <http://www.clarifiedsecurity.com> On Mon, Aug 8, 2022 at 3:57 PM Bret Rand <[email protected] <mailto:[email protected]> > wrote: Tere! Oleme tellimas TEISi sõidukijuhtide järelvalve mooduli turvatestimist. Täpsema info saab dokumendist Lisa 1 – Tehniline kirjeldus.docx. Lisadena on wiki-s olevad dokumendid, millele on vaja ligipääs tellida. Palun anda infot, kellele on vaja ligipääsu tellida. Oodatava pakkumuse maksimaalne eeldatav maksumus on 20 000 eur km-ta. Tellime raamlepingu Infosüsteemide turvalisuse testimine II DHS 4.2-3/2266-1 ja RHR 246996 alusel. Tervitades <https://www.tehik.ee/> <https://www.tehik.ee/> <https://www.tehik.ee/> Bret Rand Testimise juht +372 7943 900 [email protected] <mailto:[email protected]> Usume, et meie töö suudab säästa inimeste aega, et nemad saaksid keskenduda olulisele Pakkumus Tervise ja Heaolu Infosüsteemide Keskus (TEHIK) TEISi sõidukijuhi järelvalve mooduli turvatestimine Riigihanke (viitenumber 246996) raamlepingu nr 4.2-3/2266-1 alusel Pakkuja: Clarified Security OÜ Registrikood: 12164540 Aadress: Lõõtsa 12, 11415 Tallinn Telefon: +372 6036644 E-post: [email protected] Kontaktisik: Mehis Hakkaja Ametinimetus: Juhatuse esimees (sh lepingu allkirjastaja ning kontaktisik / meeskonna juht) E-post: [email protected] Tallinn 08 august 2022 1/3 Vastavalt RIA ja ühishankijate (RMIT, TEHIK, EIS) raamlepingu (nr 4.2-3/2266-1) tingimustele ja TEHIK 08.08.2022 tellimiskirja lisades Tehniline kirjeldus ja TEISi Arhitektuur välja toodule, pakume: Manuaalset läbistustestimist OWASP ASVS v4.0.3 (või uuema) standardi Tase 2 verifikatsiioninõuete põhjal ning „white box” meetodil. [Töö etapp] Eeldused: Dokumentatsiooni olemasolu, ligipääsud infosüsteemidele (sh admin ja sisuhalduse testkontod), ligipääs rakenduse koodile, ligipääs logidele ja konfiguratsioonile. Tööde ulatus: OWASP ASVS tase 2 alusel manuaalne turvatestimine „TEIS sõidukijuhtide järelvalve mooduli ulatuses” nii iseteeninduse kui ametnikurakenduse vaates. Logide ja turvalogimise tesimine ei ole otseselt skoobis, aga juurdepääs rakenduste ja veebiteenuste logidele on soovitav turvatestimist abistaval eesmärgil. Tulemid: Korrektses eesti keeles vormistatud raport rakenduse puudustest ja vigadest ning ettepanekud nende puuduste ja vigade parendamiseks. Töödes osalevad: (T) turvatestijad: Silvia Väli, Andres Liiver, Anti Räis, Mait Peekma, Elar Lang; üle vaatab: Mehis Hakkaja Viited: sõidukijuhtide järelvalve mooduli lähtekood: https://koodivaramu.eesti.ee/tehik/teis/driversinspections-service sõidukijuhtide järelvalve analüüs: https://wiki.sm.ee/pages/viewpage.action?pageId=96668631 Tööde algus: Põhitestide algus on ajavahemikus 15.08.2022 - 26.08.2022 Tööde üleandmise Põhitestide kestvus 4 nädalat tööde algamise kuupäevast, sooviga tähtaeg: lõplik, v1.0 raport valmis saada hiljemalt 23.09.2022 Märkused: Tööde mahud Töö nimetuste (iteratsioonide), teostajate ja rollide lõikes. Töö nimetus Teostaja Roll Tundide arv Maksumus Põhitestid (T) turvatestija 142 17 040 eur Turvaparanduste ületestid (T) turvatestija 24 2 880 eur (vastavalt vajadusele) Kokku käibemaksuta 166 19 920 eur Kokku koos käibemaksuga 166 23 904 eur 2/3 Kordustestid / turvaparanduste ületestid – Kui tellija avaldab selleks soovi, siis põhitestidest tulenevate leidude turvaparanduste ületestimine tellija poolt määratud ulatuses ning raamlepingu tunnihinna alusel (120 eur/h +km). Kinnitame, et: Pakkumuse jõusoleku tähtaeg on 3 kuud esitamise tähtajast. Antud Pakkumus ei sisalda ärisaladust. / allkirjastatud digitaalselt / Mehis Hakkaja, Clarified Security OÜ juhatuse esimees 3/3 Saatja: Mehis Hakkaja <[email protected]> Saaja: Bret Rand Teema: Re: TEISi sõidukijuhi järelvalve mooduli turvatestimise tellimise muudatuse vajadus Tähelepanu! Tegemist on väljastpoolt asutust saabunud kirjaga. Tundmatu saatja korral palume linke ja faile mitte avada. Jah, kinnitame, et muudatus sobib. Parimat, Mehis Hakkaja Clarified Security OÜ - "We break security to bring clarity" CEO/Owner/Founder [email protected] <mailto:[email protected]> mobile: (+372) 56244264 phone: (+372) 603 66 44 Lõõtsa 12, Tallinn 11415, Estonia www.clarifiedsecurity.com <http://www.clarifiedsecurity.com> On Thu, Aug 11, 2022 at 1:49 PM Bret Rand <[email protected] <mailto:[email protected]> > wrote: Tere! Tellimuse „TEISi sõidukijuhtide järelvalve mooduli turvatestimise tellimuskiri, 09.08.2022“ nr 3-9/3179-2 Lisa 1 Tehnilises kirjelduses punktis 3.5 on väljatoodud: Turvatestimised viiakse läbi arendus- või testkeskkonnas, kui ei ole kokkulepitud teisiti. Vajadus on muuta Lisa 1 Tehnilises kirjelduses punkti 3.5, et turvatestimised viiakse läbi pre-live keskkonnas kuna pre-live keskkond on sarnane keskkond toodangu keskkonnale. Muudatus on kooskõlas RHS § 123 lg 1 p 7. Palun kinnitage, et muudatus sobib. Tervitades <https://www.tehik.ee/> <https://www.tehik.ee/> <https://www.tehik.ee/> Bret Rand Testimise juht +372 7943 900 [email protected] <mailto:[email protected]> Usume, et meie töö suudab säästa inimeste aega, et nemad saaksid keskenduda olulisele