Pentesting Services III

SURF B.V.

De Opdracht bestaat uit het leveren van pentestdienstverlening en Red en Purple Teaming Services. De aanbesteding is opgedeeld in zes (6) Percelen. De Opdracht omvat het, door gediplomeerde en/of gecertificeerde Pentesters, uitvoeren van een Pentest of Red- of Purple Teaming opdracht met als doel om het beveiligingsniveau van systemen vallend binnen de vastgestelde scope te bepalen. Hiervoor wordt getracht om kwetsbaarheden in het onderzochte systeem of
IT-infrastructuur te vinden en het systeem binnen te dringen op een manier die overeenkomt met de aanpak van een kwaadaardige hacker. Dit kan zowel technische als social enginering aanvallen omvatten, afhankelijk van de afspraken die hierover worden gemaakt.

Deadline

De termijn voor de ontvangst van de offertes was 2024-01-17. De aanbesteding werd gepubliceerd op 2023-10-24.

Wie?

• SURF B.V.

Wat?

• Systeem- en ondersteuningsdiensten › Testen van software

Waar?

• Utrecht › Utrecht

Aankoopgeschiedenis

Datum	Document
2023-10-24	Aankondiging van een opdracht

Aankondiging van een opdracht (2023-10-24)
Object
Toepassingsgebied van de aanbesteding
Titel: IT-diensten: adviezen, softwareontwikkeling, internet en ondersteuning
Korte beschrijving:

De Opdracht bestaat uit het leveren van pentestdienstverlening en Red en Purple Teaming Services. De aanbesteding is opgedeeld in zes (6) Percelen. De Opdracht omvat het, door gediplomeerde en/of gecertificeerde Pentesters, uitvoeren van een Pentest of Red- of Purple Teaming opdracht met als doel om het beveiligingsniveau van systemen vallend binnen de vastgestelde scope te bepalen. Hiervoor wordt getracht om kwetsbaarheden in het onderzochte systeem of IT-infrastructuur te vinden en het systeem binnen te dringen op een manier die overeenkomt met de aanpak van een kwaadaardige hacker. Dit kan zowel technische als social enginering aanvallen omvatten, afhankelijk van de afspraken die hierover worden gemaakt.

Aankondigingsmetadata
Originele taal: Nederlands 🗣️
Documenttype: Aankondiging van een opdracht
Aard van de opdracht: Diensten
Regelgeving: Europese Unie
Gemeenschappelijke woordenlijst overheidsopdrachten (CPV)
Code: IT-diensten: adviezen, softwareontwikkeling, internet en ondersteuning 📦
Aanvullende CPV-code: Testen van software 📦
Plaats van uitvoering
NUTS-regio: Nederland 🏙️

Procedure
Type procedure: Openbare procedure
Type bod: Inschrijving voor alle percelen
Gunningscriteria
Laagste prijs

Aanbestedende dienst
Identiteit
Land: Nederland 🇳🇱
Type aanbestedende dienst: Publiekrechtelijke instelling
Naam aanbestedende dienst: Surf b.v.
Postadres: Moreelsepark 48
Postcode: 3511EP
Poststad: Utrecht
Contact
Internetadres: http://www.surf.nl 🌏
E-mail: marco.wiese@surf.nl 📧
Telefoon: +31 644201087 📞
URL van de documenten: https://s2c.mercell.com/today/54206 🌏
URL voor deelname: https://s2c.mercell.com/today/54206 🌏

Referentie
Datums
Verzenddatum: 2023-10-24 📅
Indieningstermijn: 2024-01-17 📅
Publicatiedatum: 2023-10-27 📅
Identificatoren
Aankondigingsnummer: 2023/S 208-654613
PB-S nummer: 208

Object
Toepassingsgebied van de aanbesteding
Korte beschrijving:

IT-infrastructuur te vinden en het systeem binnen te dringen op een manier die overeenkomt met de aanpak van een kwaadaardige hacker. Dit kan zowel technische als social enginering aanvallen omvatten, afhankelijk van de afspraken die hierover worden gemaakt.

Geschatte totale waarde: 5 987 300 EUR 💰
Benaming van het perceel: Perceel 2
Perceelnummer: 1
Korte beschrijving:

Standaard pentestdienstverlening. Dit betreft het uitvoeren van Pentesten van o.a. volledige applicatie “stack” (waaronder maar niet gelimiteerd tot: Operating systemen, hypervisors, netwerken, firewalls, databases en webservers) op beveiligingsproblemen. Er kan sprake zijn van Black box, White box en Grey box testen.

Geschatte waarde exclusief BTW: 2 622 000 EUR 💰
Duur: 48 maanden
Benaming van het perceel: Perceel 3
Perceelnummer: 2
Korte beschrijving:

Hoog sensitieve pentestdienstverlening (bedrijfs- en/of staatsgeheimen) Dit betreft het uitvoeren van Pentesten van o.a. een volledige applicatie “stack” (waaronder maar niet gelimiteerd tot: Operating systemen, hypervisors, netwerken, firewalls, databases en webservers op beveiligingsproblemen met een bedrijfs-en/of staatsgeheim karakter).

Geschatte waarde exclusief BTW: 221 000 EUR 💰
Benaming van het perceel: Perceel 4
Perceelnummer: 3
Korte beschrijving:

Hoog sensitieve pentestdienstverlening (bedrijfs- en/of staatsgeheimen); incl. distributed systems: Dit betreft het uitvoeren van Pentesten voor een volledige applicatie “stack” (waaronder maar niet gelimiteerd tot: internet ontsluiting, applicatie server, database server) op beveiligingsproblemen.

Geschatte waarde exclusief BTW: 183 300 EUR 💰
Benaming van het perceel: Perceel 5
Perceelnummer: 4
Korte beschrijving:

Red of Purple Teaming: Dit betreft het uitvoeren van Pentesten op basis van een Red en/of Purple Teaming traject. Hierbij voldoet de Inschrijver aan de onderstaande kaders/uitgangspunten.

I. Red Teaming. Hierbij wordt de omgeving van de Deelnemer aangevallen en geexploiteerd met als doel om vooraf gestelde kroonjuwelen te compromitteren. De risico's in de huidige omgeving en de kroonjuwelen worden in een Threat Modeling sessie vooraf met de Deelnemer vastgesteld. Dit moet resulteren in het simuleren van een zo realistisch mogelijke cyberaanval waarbij meerdere aanvalspaden (bijv. phishing, social engineering, penetratietesten etc.) gebruikt worden.

II. Purple Teaming: Hieronder wordt verstaan het samenbrengen van het ‘rode team’ (zie hiervoor Red Teaming hierboven) met het ‘blauwe team’ waarmee de verdedigers van de Deelnemer bedoeld worden, soms aangevuld met medewerkers van opdrachtnemer. Hierbij wordt nauw samengewerkt waardoor het blauwe team inzicht krijgt in hoe het rode team precies te werk gaat. Hierdoor kan het blauwe team zien wat de typische bewegingen en procedures van hackers zijn en zo leren deze te voorkomen. Het rode team kan op deze manier leren hoe de aanvalspogingen geblokkeerd worden en hoe ze hun werkwijze moeten aanpassen om toch succesvol te kunnen zijn. Dit onder toezicht van het ‘witte’ team, dat het overzicht houdt over de teams en waar nodig actie onderneemt/ ingrijpt

Geschatte waarde exclusief BTW: 1 209 000 EUR 💰
Duur: 48 dagen
Benaming van het perceel: Perceel 6
Perceelnummer: 5
Korte beschrijving:

Red of Purple Teaming incl. distributed systems. Dit betreft het uitvoeren van Pentesten op basis van Red en/of Purple Teaming traject. Hierbij voldoet de Inschrijver aan de onderstaande kaders/uitgangspunten.

I. Red Teaming. Hierbij wordt de omgeving van de klant aangevallen en geëxploiteerd met als doel om vooraf gestelde kroonjuwelen te compromitteren. De risico's in de huidige omgeving en de kroonjuwelen worden in een Threat Modeling sessie vooraf met de klant vastgesteld. Dit moet resulteren in het simuleren van een zo realistisch mogelijke cyberaanval waarbij meerdere aanvalspaden (bijv. phishing, social engineering, penetratietesten etc.) gebruikt worden.

II. Purple Teaming: Hieronder wordt verstaan het samenbrengen van het ‘rode team’ (zie hiervoor Red Teaming hierboven) met het ‘blauwe team’ waarmee de verdedigers van de opdrachtgever bedoeld worden. Hierbij wordt nauw samengewerkt waardoor het blauwe team inzicht krijgt in hoe het rode team precies te werk gaat. Hierdoor kan het blauwe team zien wat de typische bewegingen en procedures van hackers zijn en zo leren deze te voorkomen. Het rode team kan op deze manier leren hoe de aanvalspogingen geblokkeerd worden en hoe ze hun werkwijze moeten aanpassen om toch succesvol te kunnen zijn.

Geschatte waarde exclusief BTW: 1 092 000 EUR 💰
Benaming van het perceel: Perceel 1
Perceelnummer: 6
Korte beschrijving:

Geschatte waarde exclusief BTW: 660 000 EUR 💰
Plaats van uitvoering
Hoofdlocatie of plaats van uitvoering:

Utrecht

Utrecht.

Juridische, economische, financiële en technische informatie
Voorwaarden voor deelname
Geschiktheid om de beroepsactiviteit uit te oefenen:

Inschrijver dient verzekerd te zijn. Inschrijver dient daarnaast te voldoen aan de referentievoorwaarden en in het bezit te zijn van een ISO 27001 certificaat of gelijkwaardig.

Procedure
Rechtsgrondslag: 32014L0024
Tijdstip van ontvangst van inschrijvingen: 23:59
Talen waarin inschrijvingen of aanvragen tot deelneming kunnen worden ingediend: Nederlands 🗣️
Geldigheidsduur van de inschrijving: 2024-07-17 📅
Datum opening inschrijvingen: 2024-01-18 📅
Tijdstip van opening inschrijvingen: 09:00
Plaats: Utrecht

Aanbestedende dienst
Identiteit
Nationaal registratienummer: 50277375
Contact
Contactpunt: Marco Wiese
Internetadres: www.surf.nl 🌏
Adres van het kopersprofiel: https://s2c.mercell.com/buyer/2428 🌏
Documenten URL: https://s2c.mercell.com/today/54206 🌏

Aanvullende informatie
Beoordelingsorgaan
Naam: Surf bv
Postadres: Moreelsepark 48
Poststad: Utrecht
Postcode: 3511 EP
Land: Nederland 🇳🇱
E-mail: inkoop@surf.nl 📧
Internetadres: www.surf.nl 🌏
Informatie over termijnen voor beroep: Zie beschrijvend document voor procedures
Bron: OJS 2023/S 208-654613 (2023-10-24)

Nieuwe aankopen in verwante categorieën 🆕

IT-diensten: adviezen, softwareontwikkeling, internet en ondersteuning (>20 nieuwe aankopen)

Advies inzake hardware (1)
Computeraudit- en testdiensten (1)
Computernetwerkdiensten (2)
Diensten voor computerbackup en converteren van computercatalogus (1)
Diensten voor computerondersteuning en -advies (4)
Informaticadiensten (6)
Internetdiensten (4)
Softwareprogrammering en -advies (>20)
Uitwerken van gegevens (11)