Beskrivelse av oppdraget/bistanden
Seksjon Sikkerhetsbrudd og sårbarheter har ansvaret for sikkerhetstesting i Sykehuspartner HF. Dette er kompetanse som vi per nå ikke har i seksjonen, og vi har derfor behov for å benytte innleie for å dekke dette behovet. Hensikten med oppdraget er å identifisere og avdekke sårbarheter i tjenestene og infrastrukturen vi drifter.
Konsulentenes oppgaver
Penetrasjonstesterne skal, i henhold til den konkrete oppdragsbestillingen, forsøke å kompromittere nettverk, applikasjoner og infrastruktur. Testene skal simulere fremgangsmåten til en målrettet angriper, med formål om å identifisere og verifisere sårbarheter og svakheter som kan utnyttes.
Der det er gjennomført forutgående sårbarhetstesting, skal penetrasjonstesterne forsøke å utnytte identifiserte sårbarheter for å bekrefte eller avkrefte funnene og vurdere den faktiske risikoen. Dette gir oppdragsgiver et bedre grunnlag for å forstå den reelle forretningsrisikoen og prioritere nødvendige tiltak før sårbarhetene eventuelt kan utnyttes av en reell angriper.
Utføre forskjellige typer penetrasjonstester, både i intern- og eksterneksponerte systemer. Eksempelvis, men ikke begrenset til, webapplikasjoner, telefoni, e-post, autentiseringstjenester, infrastruktur, nettverk, applikasjon, sky.
Etter gjennomført oppdrag skal penetrasjonstesterne utarbeide konkrete forslag til risikoreduserende tiltak og være tilgjengelige for spørsmål og avklaringer knyttet til disse. Resultater og anbefalinger skal presenteres for relevante interessenter.
Som en del av leveransen skal det utarbeides en skriftlig rapport som dokumenterer gjennomførte tester, identifiserte funn, vurdert risiko og anbefalte tiltak. Rapporten skal være egnet for deling med oppdragsgivers underleverandører og skal presenteres for risikoeiere og andre relevante aktører.
Erfaring og kompetanse
Må-ha-krav
Det må tilbys minimum to typer kompetanseprofiler
- Senior penetrasjonstester med lang erfaring og bred kompetanse som kan teste sammensatt infrastruktur og levere lettfattelige og gode rapporter som oppdragsgiver kan aksjonere på
- Penetrasjonstester som har noe erfaring, for eksempel på spiss-testing av enkeltkomponenter i infrastruktur. Det må leveres lettfattelige og gode rapporter som oppdragsgiver kan aksjonere på.
Det vil bli behov for både junior og seniorkompetanse på området avhengig av omfanget av testene.
- Ressursene må være selvgående og på egen hånd kunne gjennomføre testene uten stor medvirkning fra oppdragsgiver.
- Leverandør må kunne stille med kvalifisert ressurs innen 14 dager etter henvendelse fra Sykehuspartner HF.
- Oppdragsgiver forutsetter at kandidatene er godt oppdatert innenfor både IT og IT sikkerhet. Det er forventet at leverandøren kan dokumentere relevante kurs hos tilbudte kandidater og etterlevelse av beste praksis innenfor området.
- Konsulentene som tilbys må kunne utføre forskjellige typer penetrasjonstester, både i intern- og eksterneksponerte systemer. Eksempelvis, men ikke begrenset til, webapplikasjoner, telefoni, e-post, autentiseringstjenester, infrastruktur, nettverk, applikasjon, sky.
Ønsket erfaring/kompetanse
- Erfaring fra penetrasjonstesting i helsesektor
- Dokumentert kompetanse innen penetrasjonstesting
- Kunne formidle funn på en god måte, skriftlig og muntlig, både til teknisk og ikke-teknisk personell
Kriterier som blir lagt til grunn ved tildeling av avtale
- Timepris 30 %
- Tilgjengelighet 20 %
- Tilbyders evne til å levere etterspurt kapasitet innenfor en gitt tidsramme
- Tilstedeværelse hos Kunden
- Oppdragsforståelse og løsningsbeskrivelse 30%
- Hvordan forstår leverandøren hva Kunden ber om.
- Beskrivelse av hvordan problemet kan løses.
- Organisering og ressursutnyttelse
- Kompetanseoverføring
- Hvordan vil tilbyder sikre at all prosesskompetanse og sluttresultat overføres til Kunden på en hensiktsmessig måte
- Evaluering av CV 20 %
Oppstart og varighet: 21.09.2026 til 29.02.2028
Omfang: Oppdragsgiver ønsker konsulenter i ulik belastning (oppdragsbasert). Inntil 100% tilgjengelighet totalt. Konsulentene må medregne ulik belastning i perioden da behovet for pen tester vil variere. Tilbudte konsulenter må være tilgjengelige for kunde i hele perioden.
Opsjon: frem til 28.02.2029
Arbeidsted: Oslo/Grimstad/remote
Reisevirksomhet: Kan forekomme og må regnes med. Evt. reisers nullpunkt er Skøyen eller Grimstad.
Søknadsfrist: 09.08.2026