Testy penetracyjne

Usługi informatyczne: konsultacyjne, opracowywania oprogramowania, internetowe i wsparcia, w tym dostawy

Tryb zamówienia	Zapytanie ofertowe
Rodzaj zamówienia	Usługi
Tytuł	Testy penetracyjne
Zamawiający	Dostępne dla zalogowanych
Miejsce realizacji	Choszczno
Data publikacji	2025-10-15
Data składania ofert	24/10/2025, Godzina 10:00
Dokumenty do pobrania	Dostępne dla zalogowanych
Kod CPV	728000008 Usługi audytu komputerowego i testowania komputerów 722222009 Usługi w zakresie systemów informacji lub usługi w zakresie planowania technologii
Numer przetargu	6621286

<div>
 <h1>Cyberbezpieczny Samorząd</h1>

<h2>Załączniki</h2>
 <ul>
 <li>Zapytanie_ofertowe.pdf</li>
 <li>Załącznik nr 1 Formularz oferty.doc</li>
 <li>Załącznik nr 2 Oświadczenie o braku powiązań z Zamawiającym i braku podstaw do wykluczenia.doc</li>
 <li>Załącznik nr 3 Wykaz usług.doc</li>
 <li>Załącznik nr 4 Wykaz osób przeznaczonych do realizacji zamówienia.docx.doc</li>
 <li>Załącznik nr 5 Projektowane postanowienia umowy (2).doc</li>
 </ul>
 
 <h2>Części zamówienia</h2>

<h3>Testy penetracyjne</h3>
 Przedmioty zamówienia
 Przedmiotem zamówienia jest wykonanie testów penetracyjnych w Starostwie Powiatowym w Choszcznie i w Domu Pomocy Społecznej w Brzezinach oraz badanie bezpieczeństwa w formach audytów (audyty socjotechniczne, szacowania ryzyka) w Starostwie Powiatowym w Choszcznie (SP) i w 5 jednostkach organizacyjnych: 
1.	Powiatowym Centrum Pomocy Rodzinie w Choszcznie (PCPR), 
2.	Powiatowym Zarządzie Dróg w Choszcznie (PZD), 
3.	Poradni Psychologiczno-Pedagogicznej w Choszcznie (PPP), 
4.	Domu Pomocy Społecznej w Brzezinach (DPS), 
5.	Specjalnym Ośrodku Szkolno-Wychowawczym im. Kawalerów Orderu Uśmiechu w Suliszewie (SOSW). 
Przedmiot zamówienia jest podzielony na 2 części. 
Ocena ofert zostanie przeprowadzona dla każdej części z osobna. 
Wykonawcy mogą składać oferty na dowolną liczbę części. 
 
W ramach realizacji części 1. zamówienia Wykonawca zobowiązany będzie do przeprowadzenia testów penetracyjnych sieci i infrastruktury IT w Starostwie Powiatowym w Choszcznie i w Domu Pomocy Społecznej w Brzezinach. 
Testy mają na celu identyfikację słabości (podatności) systemów informatycznych Zamawiającego i wykrycie ewentualnych luk w zabezpieczeniach, które mogłyby być wykorzystywane do niepożądanych aktywności. Testy zostaną każdorazowo zakończone raportem końcowym i rekomendacjami. 
Jednostki objęte częścią 1. zamówienia: SP, DPS. 
Przebieg testów 
Usługa obejmuje (dla każdej jednostki): 
1.	przeprowadzenie testów penetracyjnych (pentestów) sieci oraz infrastruktury, 
2.	analiza wyniku testów celem identyfikacji potencjalnych podatności i zagrożeń, 
3.	sporządzenie raportu wstępnego z wykonanych testów zawierających dowody istnienia podatności (PoC) wraz z oceną realnego zagrożenia z nimi związanego oraz rekomendacje dla Zamawiającego w zakresie zwiększenia poziomu bezpieczeństwa sieci oraz infrastruktury, 
4.	przeprowadzaniu ponownych testów (retestów) po realizacji rekomendacji z raportu, 
5.	analiza wyniku retestów celem stwierdzenia, czy rekomendacje zostały poprawnie zrealizowane i czy podatności zostały usunięte, 
6.	sporządzenie raportu końcowego z wykonanych testów. 
Celem zlecanych prac jest identyfikacja możliwie jak największej liczby podatności stanowiących lub mogących stanowić zagrożenie dla bezpieczeństwa przetwarzanych i przechowywanych informacji oraz danych, a także usług biznesowych realizowanych przez systemy teleinformatyczne Zamawiającego. 
Wymagania dotyczące testów 
1.	Testy bezpieczeństwa (testy automatyczne i manualne) obejmować będą co najmniej następujące elementy: 
̶	Testy penetracyjne punktu styku z Internetem, 
̶	Kontrolowana próba obejścia zabezpieczeń, 
̶	Testy uwierzytelniania sieciowego, 
̶	Testy szczelności VLAN-ów i poufności przesyłanych informacji, 
̶	Testy penetracyjne systemów operacyjnych. 
2.	Testy bezpieczeństwa powinny umożliwić wykrycie co najmniej: 
̶	obecności znanych błędów i luk bezpieczeństwa w stosowanych urządzeniach sieciowych i oprogramowaniu, 
̶	możliwości omijania wdrożonych systemów zabezpieczeń, 
̶	możliwości uzyskania nieautoryzowanego dostępu do sieci wewnętrznej Zamawiającego, 
̶	możliwości nieautoryzowanego zwiększenia uprawnień przez użytkowników usług, 
̶	możliwości destabilizacji i zablokowania pracy serwerów, 
̶	możliwości przejęcia nieautoryzowanej kontroli nad usługami lub serwerami, 
̶	zagrożeń dla dostępności, poufności oraz integralności przetwarzanych danych i informacji, 
̶	możliwości manipulacji usługami świadczonymi przez serwery, 
̶	podatności sieci na propagację złośliwego oprogramowania, 
̶	możliwości wykorzystania sieci Zamawiającego do przeprowadzania ataków na inne sieci. 
3.	Testom zostaną poddane w szczególności: 
̶	serwery i systemy operacyjne, 
̶	sieciowe urządzenia brzegowe (routery, przełączniki), 
̶	firewalle, 
̶	urządzenia obsługujące połączenia VPN, 
̶	inne urządzenia sieciowe. 
4.	Testy powinny być przeprowadzone zgodnie z przynajmniej jedną, wybraną przez Wykonawcę metodyką, spośród wskazanych: 
̶	PTES (Penetration Testing Execution Standard), 
̶	OSSTM Manual (Open Source Security Testing Methodology Manual), 
̶	NIST SP 800-115 (Technical Guide to Information Security Testing), 
̶	ISSAF (OISSG Penetration Testing Framework). 
5.	Realizacja przedmiotu zamówienia odbywać się będzie co do zasady zdalnie, niemniej jednak w uzasadnionych przypadkach Zamawiający zakłada realizację testów w siedzibie Zamawiającego. Realizacja testów będzie wymagać obecności Wykonawcy w siedzibie Zamawiającego, jeżeli zdalna realizacja będzie niemożliwa do realizacji lub może negatywnie wpływać na jakość wykonania testów. 
6.	Wszystkie testy bezpieczeństwa będą przeprowadzane za pomocą narzędzi Wykonawcy. 
Wymagania dotyczące raportu z testów 
1.	Wykonawca zobowiązany jest wskazać w raporcie z realizacji zlecenia wszystkie miejsca występowania podatności powszechnie znanych na dzień wykonania zlecenia jednostkowego, jeżeli takie podatności występują w sieci lub infrastrukturze. Za powszechnie znane podatności uznaje się co najmniej te wymienione bazie CVE (Common Vulnerabilities and Exposures) – https://cve.mitre.org. 
2.	Raport z testów (zarówno wstępny, jak i końcowy) powinien zawierać co najmniej: 
̶	opis procedury testowania, daty i czas przeprowadzenia testów, informacje o użytych narzędziach i oprogramowaniu, datę sporządzenia, nazwiska autorów, ze wskazaniem posiadanych przez nich certyfikatów, 
̶	listę zidentyfikowanych podatności, wraz ze szczegółowym opisem zawierającym ich charakterystykę, wpływ na inne elementy i potencjalne konsekwencje występowania, 
̶	tam gdzie to możliwe każda podatność powinna być oznaczone kodem z bazy CVE (Common Vulnerabilities and Exposures), 
̶	dowody istnienia podatności (PoC) wraz z oceną realnego zagrożenia (ryzyka) z nimi związanego; dowody istnienia podatności mają umożliwiać Zamawiającemu samodzielne potwierdzenie zgodności treści raportu ze stanem faktycznym, 
̶	rekomendacje dla Zamawiającego w zakresie zwiększenia poziomu bezpieczeństwa sieci oraz infrastruktury, 
̶	syntetyczną ocenę bezpieczeństwa sieci oraz infrastruktury Zamawiającego, przygotowaną na podstawie przeprowadzonych testów. 
3.	Raport nie może wyłącznie być zrzutem danych automatycznie wygenerowanych z narzędzi wspierających przeprowadzania testów penetracyjnych. Informacje zawarte w raporcie muszą być efektem interpretacji wyników testów bezpieczeństwa, dokonanej przez eksperta z dziedziny bezpieczeństwa systemów informatycznych. 
4.	Raport powinien być zabezpieczony przed możliwością przejęcia i odczytania zawartości przez osoby i podmioty nie biorące udziału w realizacji przedmiotu umowy. 
5.	Każda z osób uczestniczących w realizacji zamówienia zobligowana będzie do złożenia oświadczenia o zachowaniu poufności informacji. 
6.	Raport, powinien być sporządzany w formie elektronicznej, w języku polskim. Raport powinien zostać przekazany w formie elektronicznej w ciągu maksymalnie 7 dni od dnia zakończenia testów (raport wstępny) lub retestów (raport końcowy). 
Szczegółowe informacje zamówienia znajdują się w załączonym zapytaniu ofertowym.

<h2>Kryteria oceny</h2>
 Przy wyborze oferty Zamawiający będzie się kierował następującym kryterium: 
cena brutto - 100%
 <h3>Testy socjotechniczne</h3>
 Przedmioty zamówienia
 Przedmiotem zamówienia jest wykonanie testów penetracyjnych w Starostwie Powiatowym w Choszcznie i w Domu Pomocy Społecznej w Brzezinach oraz badanie bezpieczeństwa w formach audytów (audyty socjotechniczne, szacowania ryzyka) w Starostwie Powiatowym w Choszcznie (SP) i w 5 jednostkach organizacyjnych: 
1.	Powiatowym Centrum Pomocy Rodzinie w Choszcznie (PCPR), 
2.	Powiatowym Zarządzie Dróg w Choszcznie (PZD), 
3.	Poradni Psychologiczno-Pedagogicznej w Choszcznie (PPP), 
4.	Domu Pomocy Społecznej w Brzezinach (DPS), 
5.	Specjalnym Ośrodku Szkolno-Wychowawczym im. Kawalerów Orderu Uśmiechu w Suliszewie (SOSW). 
Przedmiot zamówienia jest podzielony na 2 części. 
Ocena ofert zostanie przeprowadzona dla każdej części z osobna. 
Wykonawcy mogą składać oferty na dowolną liczbę części. 
W ramach realizacji części 2. zamówienia Wykonawca zobowiązany będzie do przeprowadzenia badania bezpieczeństwa w formach audytów (audyty socjotechniczne, szacowanie ryzyka). Przez audyt socjotechniczny (testy socjotechniczne) rozumiany jest proces oceny poziomu bezpieczeństwa organizacji poprzez testowanie podatności pracowników na różne techniki manipulacyjne, które są stosowane przez cyberprzestępców w celu uzyskania dostępu do poufnych informacji lub systemów informatycznych. Jego głównym celem jest sprawdzenie, jak dobrze pracownicy potrafią rozpoznać próby oszustwa i reagować na nie, oraz identyfikacja słabych punktów w procedurach bezpieczeństwa organizacji. 
Starostwo Powiatowe w Choszcznie oraz podległe mu jednostki powinny regularne dokonywać analizy ryzyka, wykonywać wszelkie testy bezpieczeństwa, aby ocenić potencjalne zagrożenia i słabości w związku z danymi przetwarzanymi w systemach. 
Jednostki objęte częścią 2. zamówienia: SP, PCPR, PZD, PPP, DPS, SOSW. 
Analiza ryzyka – warsztaty 
W pierwszym kroku Wykonawca przeprowadzi warsztaty dla specjalistów Starostwa Powiatowego i jednostek organizacyjnych, mających określone obowiązki w ramach wdrożonego Systemu Zarządzania Bezpieczeństwem Informacji. W ramach warsztatów przeprowadzona zostanie analiza ryzyka mająca na celu określenie jakie zagrożenia socjotechniczne są najbardziej prawdopodobne w ich środowisku pracy (np. phishing, phishing, baiting, oszustwa i wyłudzenia z uwzględnieniem oszustwa typu Business E-mail Compromise, oszustwa telefoniczne, spoofing, atak odwrócony – zmuszenie ofiary do szukania pomocy u atakującego, przekręt nigeryjski, wyłudzenia BLIK, oszustwo na dyrektora/prezesa), stwierdzenie które z nich są potencjalnie najbardziej niebezpieczne oraz jakie środki można zastosować w celu ich minimalizacji. Analiza ma pozwolić na zidentyfikowanie słabych punktów w procesach i codziennych zadaniach. 
Wstępem do warsztatów powinien być krótki tutorial na temat analizy ryzyka, które obejmie podstawowe pojęcia, takie jak identyfikacja ryzyk, ocena ich prawdopodobieństwa i potencjalnych konsekwencji oraz sposoby zarządzania ryzykiem. 
Celem warsztatów jest przygotowanie pracowników mających określone obowiązki w ramach SZBI do przeprowadzania samodzielnej analizy ryzyka w przyszłości. 
Analiza socjotechniczna (testy socjotechniczne) 
Następnie Wykonawca przeprowadzi testy socjotechniczne, które będą sprawdzać świadomość zagrożeń i reakcje personelu na najbardziej prawdopodobne ataki oraz sposób postępowania specjalistów mających odpowiednie obowiązki w ramach Systemu Zarządzania Bezpieczeństwem Informacji, wdrażanego w SP i jednostkach organizacyjnych w ramach grantu. 
Testy socjotechniczne powinny obejmować realistyczne symulacje ataków, które w ramach warsztatów zostały zidentyfikowane jako potencjalne ryzyka. Uczestnicy audytu mogą być oceniani pod kątem ich zdolności do oceny ryzyka związanego z każdym incydentem i podjęcia odpowiednich kroków w celu minimalizacji zagrożenia. 
Testy powinny zostać wykonane zdalnie, co najmniej dwoma kanałami (np. email phishing i vishing) oraz osobiście (onsite pretexting/physical pretexting). 
Testy mają weryfikować świadomość zagrożeń i reakcji pracowników zgodnie z przyjętymi procedurami. Testy muszą obejmować co najmniej: 
̶	znajomość obowiązków wynikających z SZBI, 
̶	umiejętność wykorzystania posiadanej wiedzy w praktyce, 
̶	zdolność do identyfikacji prób ataków socjotechnicznych i podejmowania odpowiednich kroków w celu ich zneutralizowania, 
̶	postępowanie zgodnie z procedurami i rolami w SZBI, 
̶	analizę wyników testów i wyciąganie wniosków z popełnionych błędów w celu poprawy przyszłych reakcji. 
Podsumowanie wyników testów – warsztaty 
Po zakończeniu testów Wykonawca przeprowadzi ponowne warsztaty, w których specjaliści mający określone obowiązki w ramach SZBI wspólnie przeanalizują wyniki testów z punktu widzenia analizy ryzyka. Uczestnicy powinni wspólnie zidentyfikować słabe punkty w systemach bezpieczeństwa i ocenić ryzyko związane z niewłaściwymi reakcjami na ataki socjotechniczne. Analiza powinna dać odpowiedź, jak efektywnie działają procedury SZBI w kontekście zarządzania ryzykiem. W szczególności należy przeanalizować, czy procedury były wystarczająco skuteczne, aby zminimalizować ryzyko wycieku danych. Specjaliści powinni porównać wyniki testów z pierwotną analizą ryzyka i zidentyfikować, które zagrożenia były poprawnie ocenione, a które wymagałyby bardziej szczegółowej analizy i weryfikacji ich oceny (zarówno w zakresie prawdopodobieństwa, jak i skutków). 
Celem warsztatów jest przygotowanie pracowników mających określone obowiązki w ramach SZBI do przeprowadzania samodzielnej analizy ryzyka w przyszłości, wyciągania wniosków oraz samodoskonalenia w zakresie cyberbezpieczeństwa. 
Raport końcowy 
Wyniki audytu socjotechnicznego muszą zostać podsumowane w raporcie końcowym, zawierającym m.in. ocenę podatności organizacji na ataki socjotechniczne i omówienie czy procedury bezpieczeństwa są skutecznie przestrzegane, oraz rekomendacje dotyczące przyszłej analizy ryzyka oraz możliwości poprawy procedur bezpieczeństwa, jak również tematów przyszłych szkoleń w celu zmniejszenia podatności pracowników na ataki socjotechniczne (raport będzie udostępniony wykonawcy szkoleń). Raport ten będzie później wykorzystywany jako narzędzie do ciągłego doskonalenia zarządzania ryzykiem w SP i jednostkach organizacyjnych. 
Testami socjotechnicznymi powinni zostać objęci wszyscy pracownicy SP i jednostek organizacyjnych, posiadający dostęp do komputerów i telefonów (w tym telefonów komórkowych) ok. 190 osób. 
Liczba osób uczestniczących w warsztatach – max. 14. 
Czas trwania warsztatów (zarówno dot. analizy ryzyka, jak i podsumowania testów) – min. 4 godziny. 
Wymagana forma przeprowadzenia warsztatów: warsztaty stacjonarne. Warsztaty odbędą się w Starostwie Powiatowym, ul. Nadbrzeżna 2, 73-200 Choszczno. Zamawiający zapewni salę do przeprowadzenia warsztatów z ekranem, rzutnikiem i flipchartem. Wykonawca musi zapewnić komputery do ćwiczeń praktycznych, jeśli takie będą przewidziane. Część testów socjotechnicznych może zostać przeprowadzona zdalnie. 
Zamawiający może dopuścić zmianę miejsca realizacji warsztatów i tutorialu lub jego formy w przypadku sytuacji nadzwyczajnych (pandemia, klęska żywiołowa, wprowadzenie stanu wyjątkowego, wojny, itp.), uniemożliwiających przeprowadzenie warsztatów stacjonarnych w Starostwie Powiatowym w Choszcznie. 
Warsztaty i tutorial muszą odbywać się w godzinach pracy SP i jednostek organizacyjnych. 
Wykonawca nie jest zobowiązany do zapewnienia uczestnikom wyżywienia podczas warsztatów i tutorialu. 
Każdy uczestnik warsztatów otrzyma od Wykonawcy imienny certyfikat z podpisem prowadzącego, potwierdzający ukończenie warsztatów i ich zakres. 
Z przeprowadzonych warsztatów Wykonawca musi przedstawić listy obecności z podpisami uczestników warsztatów. 
Warsztaty dot. podsumowania testów muszą być zakończone anonimową ankietą wśród uczestników, oceniającą co najmniej przydatność warsztatów, zakres przeprowadzonych ćwiczeń, adekwatność przekazanych informacji do potrzeb uczestników i komunikatywność prowadzącego warsztaty. Wykonawca przedstawi Zamawiającemu podsumowanie wyników ankiety. 
Szczegółowe informacje zamówienia znajdują się w załączonym zapytaniu ofertowym.

<h2>Kryteria oceny</h2>
 Przy wyborze oferty Zamawiający będzie się kierował następującym kryterium: 
cena brutto - 100%
 
 <h2>Warunki zmiany umowy</h2>

Zamawiający przewiduje możliwość zmian postanowień umowy w przypadku: 
a)	gdy, nastąpi zmiana powszechnie obowiązujących przepisów prawa w zakresie mającym wpływ na realizację przedmiotu Umowy, 
b)	opóźnień mających przyczynę po stronie Zamawiającego w związku z niedotrzymaniem przez niego terminów określonych w Umowie, 
c)	w zakresie dotyczącym terminu realizacji przedmiotu umowy, jeśli wynika to z uwarunkowań organizacyjnych po stronie Zamawiającego, 
d) zmiany regulaminu konkursu grantowego pn. „Cyberbezpieczny samorząd”.
 </div>