Sikkerhetsanalyse av webapplikasjoner – to konsulenter

Bakgrunn: Tilbudsinvitasjonen beskriver en minikonkurranse for konsulentbistand innen IKT-sikkerhet og sikkerhetsgjennomgang av webapplikasjoner på Sikre Plattformer i sikkerhetsgradert miljø hos Statsbygg. Statsbygg ønsker tilbud på 2 faglige ressurser presentert som et team. Oppdraget krever sikkerhetsklarering i kategori KONFIDENSIELT og gjennomføres i et lukket nettverk med fysisk oppmøte i Statsbyggs lokaler.

Behov: Statsbygg ønsker tilbud på 2 faglige ressurser presentert som et team. Den ene ressursen skal være i kategorien mer enn 8 års relevant erfaring, og den andre ressursen skal være i kategorien mellom 3 - 8 års relevant erfaring.

Arbeidsoppgaver:

1. Sikkerhetsanalyse av et utvalg webapplikasjoner som ligger på Statsbyggs Sikre Plattformer (SSP) sikkerhetsgraderte datasone. Leveransen skal være i form av en rapport og tilhørende presentasjon, og foreligge senest 1. juni 2026.
2. De aktuelle applikasjonene: Elements; Main Manager Facility Management MMFM; FDVU - applikasjon for drifts planlegging og oppfølging av drifts- og vedlikeholdstiltak på eiendommene; Omega365; PIMS; Asta; Administrasjonsdatabasen; Streambim. Miljøet er et lukket nettverk og oppdraget må løses fysisk til stede i Statsbyggs lokaler.
3. Leveransen skal omfatte en beskrivelse av arbeidsmetodikk, sentrale funn fra analyse av hver applikasjon og samlet, årsaksforklaring av funn, og anbefalinger til tiltak på kort sikt og lang sikt. Leverandøren skal også utarbeide en presentasjon som visualiserer rapporten og som kan presenteres for et bredt publikum i Statsbygg. Planlagt presentasjon i juni 2026.

Krav til konsulent:

Obligatoriske krav:

1. Bachelor-nivå eller tilsvarende utdanning innen IT, informasjonssikkerhet eller tilsvarende; teknisk bakgrunn og erfaring fra teknisk testing av IT-systemer.
2. Forståelse for on-premise miljøer uten tilkobling til Internett.
3. Forståelse for hvordan sikkerhetsgraderinger stiller krav til teknisk sikring av informasjonssystemer.
4. Sikkerhetsklarering i kategori KONFIDENSIELT.
5. Rutiner for bakgrunnssjekk av ansatte i kritiske posisjoner.
6. Sikkerhetskonfigurasjon for utstyr og komponenter iht beste praksis for herdning og patching.
7. Signere taushetserklæring ved avtaleinngåelse.
8. Alle underleverandører følger samme krav til informasjonssikkerhet.
9. Redegjøre og dokumentere hvordan kundens data blir forvaltet, herunder delt med eller gjort tilgjengelig for tredjeparter og underleverandører.

Ønskede kvalifikasjoner:

1. Relevante sertifiseringer innen teknisk sikkerhetstesting som OSCP, OSEP, OSWA, CRTO, GPEN eller tilsvarende.

Oppdragsdetaljer:

1. Oppstart: ca. 1. mars 2026
2. Varighet: ca. 2 måneder
3. Arbeidssted: Statsbyggs hovedkontor i Byporten, Oslo sentrum
4. Omfang: Estimert 1 ukesverk per webapplikasjon (totalt ca. 6 ukesverk); oppdraget krever fysisk oppmøte i Statsbyggs lokaler og har ingen hjemmekontor-mulighet