فراخوان شناسایی و احراز صلاحیت متقاضیان ارائه خدمات مدیریت وصله‌های امنیتی و به‌روزرسانی سامانه‌ها
(انتخاب شرکت‌های دارای صلاحیت به‌منظور ارائه خدمات مدیریت وصله‌های امنیتی و به‌روزرسانی سامانه‌ها به بخش‌های دولتی و غیردولتی)
سازمان فناوری اطلاعات ایران در راستای توسعه زیست‌بوم امنیت سایبری کشور، مدیریت آسیب‌پذیری‌های امنیتی، کاهش سطح حمله و پیشگیری از سوءاستفاده از ضعف‌های شناخته‌شده در سامانه‌ها و زیرساخت‌های فناوری اطلاعات، ارتقای اعتماد در خدمات دیجیتال، کاهش سطح حمله و پیشگیری از سوءاستفاده از ضعف‌های شناخته‌شده در سامانه‌ها و زیرساخت‌های فناوری اطلاعات، افزایش امنیت تبادلات الکترونیکی، حمایت از توانمندی‌های بخش خصوصی و ساماندهی ارائه‌دهندگان خدمات امنیت سایبری، در نظر دارد نسبت به شناسایی و احراز صلاحیت شرکت‌های توانمند و دارای قابلیت ارائه خدمات مدیریت وصله‌های امنیتی و به‌روزرسانی سامانه‌ها به بخش‌های دولتی اقدام نماید.
این فراخوان با هدف شناسایی شرکت‌های واجد شرایط به‌منظور همکاری در ارائه خدمات مدیریت وصله‌های امنیتی و به‌روزرسانی سامانه‌ها به بخش‌های دولتی مورد استفاده دستگاه‌های اجرایی، سازمان‌های دولتی و سایر متقاضیان منتشر می‌شود.
شرکت‌های متقاضی پس از ارزیابی فنی، مدیریتی، امنیتی و حقوقی و احراز شرایط تعیین‌شده، در فهرست شرکت‌های دارای صلاحیت سازمان فناوری اطلاعات ایران قرار خواهند گرفت.
- مبانی قانونی
این فراخوان بر اساس قوانین و مقررات ذیل منتشر می‌شود:
- قانون برنامه پنج‌ساله هفتم پیشرفت جمهوری اسلامی ایران، به‌ویژه احکام مرتبط با توسعه امنیت سایبری و خدمات اعتمادپذیر
- اهداف فراخوان
اهداف اصلی این فراخوان عبارت است از:
- شناسایی و احراز صلاحیت شرکت‌های توانمند در ارائه خدمات مدیریت وصله‌های امنیتی و به‌روزرسانی سامانه‌ها به بخش‌های دولتی و غیردولتی
- توسعه ظرفیت داخلی کشور در ارائه خدمات اعتمادپذیر و امنیت ارتباطات الکترونیکی
- افزایش سطح امنیت وبگاه‌ها، سامانه‌ها و خدمات الکترونیکی کشور
- حمایت از توسعه بازار خدمات امنیت سایبری و استفاده از ظرفیت بخش خصوصی
- ایجاد فهرست شرکت‌های دارای صلاحیت جهت بهره‌برداری دستگاه‌های اجرایی و سایر متقاضیان
- دامنه خدمات
شرکت‌های متقاضی باید توان ارائه خدمات مرتبط با موارد زیر را داشته باشند:
- شناسایی و طبقه‌بندی دارایی‌های فناوری اطلاعات.
- شناسایی وضعیت فعلی Patch سامانه‌ها و تجهیزات.
- شناسایی وصله‌های امنیتی موردنیاز.
- اولویت‌بندی وصله‌ها بر اساس ریسک.
- طراحی فرآیند رسمی Patch Management.
- ایجاد فرآیند آزمون، تأیید و استقرار وصله.
- کاهش تعداد سیستم‌های فاقد وصله‌های امنیتی مهم.
- ایجاد قابلیت گزارش‌گیری و داشبورد مدیریتی.
- پایش مستمر وضعیت وصله‌ها.
- تعریف فرآیند Exception برای سیستم‌هایی که امکان وصله فوری ندارند.
- ارائه گزارش‌های دوره‌ای به مدیریت.
- ایجاد قابلیت سنجش شاخص‌های امنیتی و عملکردی.
- پشتیبانی فنی و امنیتی خدمات
- رعایت استانداردها و الزامات فنی و امنیتی مرتبط
- شرایط عمومی متقاضیان
متقاضیان باید حداقل شرایط زیر را دارا باشند:
- شخصیت حقوقی ثبت‌شده در جمهوری اسلامی ایران
- موضوع فعالیت مرتبط با فناوری اطلاعات، امنیت اطلاعات یا امنیت سایبری در اساسنامه شرکت
- برخورداری از توان فنی، مدیریتی و اجرایی متناسب با ارائه خدمات
- بهره‌مندی از نیروی انسانی متخصص و دارای صلاحیت
- نداشتن منع قانونی برای انعقاد قرارداد با دستگاه‌های اجرایی
- تعهد به رعایت الزامات امنیتی، محرمانگی اطلاعات و مقررات ابلاغی سازمان
- مدارک مورد نیاز
متقاضیان موظفند مدارک زیر را از طریق سامانه اعلام‌شده بارگذاری نمایند:
- درخواست رسمی شرکت برای حضور در فراخوان
- روزنامه رسمی تأسیس و آخرین تغییرات
- اساسنامه شرکت
- معرفی اعضای هیئت‌مدیره و مدیرعامل
- ساختار سازمانی شرکت
- رزومه شرکت و سوابق اجرایی مرتبط
- معرفی کارشناسان کلیدی و سوابق تخصصی آنان
- مستندات مربوط به زیرساخت‌های فنی
- گواهینامه‌ها، مجوزها و استانداردهای اخذ شده
- اظهارنامه مربوط به صحت اطلاعات ارائه شده
- شاخص‌های ارزیابی
صلاحیت متقاضیان بر اساس شاخص‌های زیر ارزیابی خواهد شد:
الف) شاخص‌های عمومی
- وضعیت حقوقی شرکت
- سوابق فعالیت
- دانش بنیان بودن محصول
- ساختار مدیریتی
- توان اجرایی
- ثبات سازمانی
ب) شاخص‌های فنی
- توانمندی فنی در حوزه مدیریت وصله
- معماری و زیرساخت فنی
- نیروی انسانی متخصص
- فرآیندهای امنیتی
- خدمات پشتیبانی
- مجوزهای معتبر امنیتی
ج) شاخص‌های امنیتی
- رعایت الزامات امنیت اطلاعات
- مدیریت مخاطرات
- کنترل دسترسی
- ثبت و نگهداری رویدادها
- مدیریت رخدادهای امنیتی
- محرمانگی اطلاعات
د) شاخص‌های سوابق اجرایی
- پروژه‌های انجام‌شده
- مشتریان سازمانی
- تجربه ارائه خدمات مشابه
- کیفیت خدمات پشتیبانی
- فرآیند ارزیابی
فرآیند بررسی متقاضیان شامل مراحل زیر خواهد بود:
- ثبت درخواست در سامانه سازمان
- بررسی اولیه مدارک
- ارزیابی فنی و تخصصی
- ارزیابی امنیتی در صورت نیاز
- درخواست ارائه مستندات تکمیلی یا برگزاری جلسه فنی
- اعلام نتیجه نهایی.
بدیهی است صرف ارسال درخواست یا شرکت در این فراخوان هیچ‌گونه حقی برای متقاضی ایجاد نکرده و تنها شرکت‌هایی که موفق به احراز شرایط و کسب امتیاز لازم شوند، در فهرست شرکت‌های دارای صلاحیت قرار خواهند گرفت.
- مدت و نحوه ثبت‌نام
متقاضیان می‌توانند از تاریخ انتشار این فراخوان به مدت دو هفته با مراجعه به درگاه سازمان فناوری اطلاعات ایران به نشانی https://ito.gov.ir و از طریق بخش ورود به درگاه خدمات الکترونیک سازمان، نسبت به تکمیل فرم‌ها و بارگذاری مدارک اقدام نمایند.
درخواست‌هایی که پس از پایان مهلت مقرر ارسال شوند، در این مرحله مورد بررسی قرار نخواهند گرفت.
- نکات مهم
- ارائه اطلاعات یا مدارک خلاف واقع موجب حذف متقاضی از فرآیند ارزیابی خواهد شد.
- سازمان فناوری اطلاعات ایران در هر مرحله مجاز به درخواست مدارک تکمیلی، انجام ارزیابی‌های تخصصی، بازدید فنی یا برگزاری جلسات کارشناسی است.
- هزینه تهیه و ارسال مدارک بر عهده متقاضی است.
- شرکت در این فراخوان هیچ‌گونه تعهدی برای سازمان فناوری اطلاعات ایران جهت انعقاد قرارداد، اعطای مجوز، اعطای نمایندگی یا ایجاد هرگونه حق مکتسبه برای متقاضی ایجاد نمی‌کند.
- سازمان فناوری اطلاعات ایران در رد یا قبول درخواست‌ها، مطابق ضوابط و مقررات، مختار است.
- نحوه بهره‌گیری از شرکت‌های دارای صلاحیت در پروژه‌ها و خدمات آتی، تابع مقررات، ضوابط و نیازهای سازمان و دستگاه‌های ذی‌ربط خواهد بود.
- راه‌های ارتباطی
جهت کسب اطلاعات بیشتر و پاسخگویی به سؤالات احتمالی، متقاضیان می‌توانند در ساعات اداری با دبیرخانه فراخوان تماس حاصل نمایند.
تلفن : 88115970
پست الکترونیکی: Report@cert.ir
سازمان فناوری اطلاعات ایران
معاونت امنیت فضای تولید و تبادل اطلاعات
مرداد ۱۴۰۵
