ประกวดราคาจ้างดำเนินงานตรวจสอบช่องโหว่และทดสอบเจาะระบบสารสนเทศ (Vulnerability Assessment and Penetration Testing) พร้อมจัดฝึกอบรมการสร้างความตระหนักด้านความมั่นคงปลอดภัยไซเบอร์ (Awareness Cyber Security)

• เพื่อวิเคราะห์และประเมินความเสี่ยงด้วยวิธีการหาช่องโหว่ (Vulnerability Assessment) ของระบบเครือข่ายภายใน เครือข่ายภายนอก เครือข่ายไร้สาย และระบบงานสารสนเทศ ที่ใช้งานอยู่ในปัจจุบัน
• เพื่อทดสอบการเจาะระบบ (Penetration Testing) ของระบบเครือข่ายภายใน เครือข่ายภายนอก เครือข่ายไร้สาย และระบบสารสนเทศ ที่ใช้งานอยู่ในปัจจุบัน
• เพื่อจัดทำการซ้อมรับมือกับภัยคุกคามทางไซเบอร์ในรูปแบบของการทำ Phishing Simulation Test
• เพื่อเสนอแนะแนวทางและวิธีเพิ่มประสิทธิภาพและป้องกันการโจมตีจากผู้บุกรุก ทั้งระบบเครือข่ายภายใน เครือข่ายภายนอก เครือข่ายไร้สาย และระบบงานสารสนเทศ ที่ใช้งานอยู่ในปัจจุบัน
• เพื่อสร้างการรับรู้และให้ความรู้ความเข้าใจเกี่ยวกับความปลอดภัยทางไซเบอร์ (Awareness Cyber Security) ให้กับเจ้าหน้าที่ สศช.

• ดำเนินการวิเคราะห์และประเมินความเสี่ยงด้วยวิธีตรวจสอบหาช่องโหว่ (Vulnerability Assessment) ของระบบเครือข่ายใน เครือข่ายภายนอก และระบบงานสารสนเทศ ที่ใช้งานอยู่ในปัจจุบัน รวมทั้งระบบเว็บไซต์ (Web Application Penetration Testing) แบบ Black-Box บนระบบ https://www.nesdc.go.th ตามรูปแบบการทดสอบ (Framework) เช่น Open Web Application Security Project (OWASP)
• จัดทำเอกสารรายงานการวิเคราะห์และประเมินความเสี่ยงด้วยวิธีตรวจสอบหาช่องโหว่ (Vulnerability Assessment)
• ดำเนินการทดสอบการเจาะระบบจากภายนอก (External Penetration Testing) ของหมายเลขไอพี (IP Address) หรือระบบสารสนเทศที่เข้าถึงได้จากภายนอกของสำนักงานฯ แบบ Black-Box โดยครอบคลุมจำนวนเป้าหมาย 30 หมายเลขไอพี (IP Address)
• จัดทำเอกสารรายงานผลการทดสอบการเจาะระบบ (Penetration Testing)
• จัดฝึกอบรมการสร้างความตระหนักด้านความมั่นคงปลอดภัยไซเบอร์ (Awareness Training) ให้กับเจ้าหน้าที่ สศช. อย่างน้อยจำนวน 1 ครั้ง ในรูปแบบ Onsite และ Online ครั้งละไม่น้อยกว่า 50 คน
• ดำเนินการทำการซ้อมรับมือกับภัยคุกคามทางไซเบอร์ในรูปแบบของการทำ Phishing Simulation Test อย่างน้อยจำนวน 1 ครั้ง ครั้งละไม่น้อยกว่า 50 คน
• การดำเนินงานของผู้รับจ้างต้องไม่ส่งผลกระทบหรือสร้างความเสียหายต่อระบบงานของผู้ว่าจ้าง
• ผู้รับจ้างจะดำเนินการจัดการประชุมเพื่อรายงานการดำเนินการและความคืบหน้าของโครงการต่อผู้ว่าจ้างภายในสัปดาห์ที่ 2 ของทุกเดือน
• ผู้รับจ้างต้องมีช่องทางในการติดต่อและให้การสนับสนุนในการแก้ไขปัญหาของระบบและการปิดช่องโหว่ที่ตรวจพบแบบ 7x24
• ขอบเขตการดำเนินงานในครั้งนี้ ไม่รวมถึงการแก้ไขปัญหาของระบบและการปิดช่องโหว่ที่ตรวจพบ
• ผู้รับจ้างต้องเก็บรักษาข้อมูลที่เป็นความลับ และลงนามใน “สัญญาการรักษาข้อมูลที่เป็นความลับ NDA (non-Disclosure Agreement)” พร้อมสัญญาจ้าง

• USB Flash Drive จำนวน 1 ชุด ที่บรรจุไฟล์อิเล็กทรอนิกส์รายงานการวิเคราะห์และประเมินความเสี่ยงด้วยวิธีตรวจสอบหาช่องโหว่ (Vulnerability Assessment) ในรูปแบบ DOC และ PDF
• USB Flash Drive จำนวน 1 ชุด ที่บรรจุไฟล์อิเล็กทรอนิกส์เอกสารรายงานผลการทดสอบการเจาะระบบ (Penetration Testing) ในรูปแบบ DOC และ PDF
• หลักฐานการฝึกอบรมการสร้างความตระหนักด้านความมั่นคงปลอดภัยไซเบอร์ (Awareness Training) ให้กับเจ้าหน้าที่ สศช.
• หลักฐานการซ้อมรับมือกับภัยคุกคามทางไซเบอร์ในรูปแบบของการทำ Phishing Simulation Test

ผู้รับจ้างต้องทำการส่งมอบงานตามขอบเขตของงานฯ ที่กำหนดให้เรียบร้อย ภายใน 180 วัน นับถัดจากวันลงนามในสัญญา โดยมีรายละเอียดการส่งมอบงานดังนี้:

• ภายใน 60 วัน นับถัดจากวันลงนามในสัญญา: ส่งมอบ USB Flash Drive ที่บรรจุไฟล์อิเล็กทรอนิกส์รายงานการวิเคราะห์และประเมินความเสี่ยงฯ
• ภายใน 120 วัน นับถัดจากวันลงนามในสัญญา: ส่งมอบ USB Flash Drive ที่บรรจุไฟล์อิเล็กทรอนิกส์เอกสารรายงานผลการทดสอบการเจาะระบบฯ
• ภายใน 180 วัน นับถัดจากวันลงนามในสัญญา: ส่งมอบหลักฐานการฝึกอบรมฯ และหลักฐานการซ้อมรับมือฯ

• ผู้ยื่นข้อเสนอต้องมีมูลค่าสุทธิของกิจการเป็นบวก 1 ปีสุดท้ายก่อนวันยื่นข้อเสนอ (สำหรับนิติบุคคลที่จัดตั้งขึ้นตามกฎหมายไทยซึ่งได้จดทะเบียนเกินกว่า 1 ปี)
• กรณีผู้ยื่นข้อเสนอเป็นบุคคลธรรมดา ให้พิจารณาจากหนังสือรับรองบัญชีเงินฝากไม่เกิน 90 วัน ก่อนวันยื่นข้อเสนอ โดยต้องมีเงินฝากคงเหลือในบัญชีธนาคารเป็นมูลค่า 1 ใน 4 ของมูลค่างบประมาณของโครงการ
• ผู้ยื่นข้อเสนอจะต้องมีบุคลากรที่เป็นผู้จัดการโครงการ ซึ่งมีวุฒิการศึกษาไม่ต่ำกว่าปริญญาตรี ด้านเทคโนโลยีสารสนเทศ หรือสาขาที่เกี่ยวข้อง มีประสบการณ์ในการเป็นผู้จัดการโครงการ ไม่น้อยกว่า 5 ปี นับถึงวันที่ยื่นข้อเสนอ มี Certificate ด้านความมั่นคงปลอดภัยไซเบอร์อย่างใดอย่างหนึ่ง ดังนี้ Certified Information Systems Security Professional: CISSP หรือ Certified Information Security Manager: CISM หรือ CREST Certified Infrastructure Tester: CCT INF หรือ CREST Fellowship จำนวน 1 คน
• ผู้ยื่นข้อเสนอจะต้องมีบุคลากรที่เป็นผู้เชี่ยวชาญเฉพาะด้านความมั่นคงปลอดภัยไซเบอร์ ซึ่งมีวุฒิการศึกษาไม่ต่ำกว่าปริญญาตรี ด้านเทคโนโลยีสารสนเทศ หรือสาขาที่เกี่ยวข้อง มีประสบการณ์ในการเป็นผู้เชี่ยวชาญเฉพาะด้านความมั่นคงปลอดภัยไซเบอร์ ไม่น้อยกว่า 5 ปี นับถึงวันที่ยื่นข้อเสนอ มี Certificate ด้านความมั่นคงปลอดภัยอย่างใดอย่างหนึ่ง ดังนี้ CREST Registered Penetration Tester: CRT PEN หรือ CREST Practitioner Security Analyst: CPSA และมี Certificate ด้านการละเมิดความมั่นคงปลอดภัยอย่างใดอย่างหนึ่ง ดังนี้ Offensive Security Certified Expert: OSCE หรือ Offensive Security Certified Professional: OSCP จำนวน 1 คน
• ผู้ยื่นข้อเสนอต้องมีผลงานที่เกี่ยวข้องกับการดำเนินงานตรวจสอบช่องโหว่และทดสอบเจาะระบบสารสนเทศ (Vulnerability Assessment and Penetration Testing) หรือที่เกี่ยวข้อง ในวงเงินไม่น้อยกว่า 400,000 บาท (สี่แสนบาทถ้วน) อย่างน้อย 2 ผลงาน โดยผลงานดังกล่าวเป็นผลงานภายในระยะเวลา 3 ปี นับจากวันที่งานแล้วเสร็จถึงวันที่ยื่นเอกสารประกวดราคา และเป็นผลงานที่เป็นคู่สัญญาโดยตรงกับส่วนราชการ หน่วยงานอื่นของรัฐ รัฐวิสาหกิจ หรือหน่วยงานเอกชนที่สำนักงานสภาพัฒนาการเศรษฐกิจและสังคมแห่งชาติเชื่อถือ

สำนักงานฯ จะพิจารณาตัดสินโดยใช้หลักเกณฑ์ราคา โดยสำนักงาน จะพิจารณาจากราคารวม

• การวิเคราะห์และประเมินความเสี่ยงด้วยวิธีตรวจสอบหาช่องโหว่ (Vulnerability Assessment) ต้องครอบคลุมระบบเครือข่ายใน เครือข่ายภายนอก และระบบงานสารสนเทศ ที่ใช้งานอยู่ในปัจจุบัน รวมทั้งระบบเว็บไซต์ (Web Application Penetration Testing) แบบ Black-Box บนระบบ https://www.nesdc.go.th ตามรูปแบบการทดสอบ (Framework) เช่น Open Web Application Security Project (OWASP)
• การทดสอบการเจาะระบบจากภายนอก (External Penetration Testing) ต้องครอบคลุมจำนวนเป้าหมาย 30 หมายเลขไอพี (IP Address)

• สำนักงานฯ จะชำระเงินเมื่อผู้รับจ้างได้ดำเนินการตามขอบเขตของงานฯ ที่กำหนด โดยแบ่งชำระเป็น 3 งวด
  • งวดที่ 1 จำนวนร้อยละ 30 ของมูลค่าตามสัญญา เมื่อผู้รับจ้างได้ทำการส่งมอบตามข้อ 5.1.1 และคณะกรรมการตรวจรับพัสดุได้ตรวจรับงานเรียบร้อยแล้ว
  • งวดที่ 2 จำนวนร้อยละ 50 ของมูลค่าตามสัญญา เมื่อผู้รับจ้างได้ทำการส่งมอบตามข้อ 5.1.2 และคณะกรรมการตรวจรับพัสดุได้ตรวจรับงานเรียบร้อยแล้ว
  • งวดที่ 3 จำนวนร้อยละ 20 ของมูลค่าตามสัญญา เมื่อผู้รับจ้างได้ทำการส่งมอบตามข้อ 5.1.3 และคณะกรรมการตรวจรับพัสดุได้ตรวจรับงานเรียบร้อยแล้ว
• กำหนดค่าปรับเป็นรายวันในอัตราร้อยละ 0.10 ของราคางานจ้างนั้น แต่จะต้องไม่ต่ำกว่าวันละ 100 บาท
• ราคาที่เสนอจะต้องเสนอกำหนดยืนราคาไม่น้อยกว่า 90 วัน นับแต่วันยื่นข้อเสนอ
• ผู้รับจ้างต้องใช้พัสดุประเภทวัสดุหรือครุภัณฑ์ที่จะใช้ในงานจ้างเป็นพัสดุที่ผลิตภายในประเทศโดยต้องใช้ไม่น้อยกว่าร้อยละ 60 ของมูลค่าพัสดุที่จะใช้ในงานจ้างทั้งหมดตามข้อตกลง
• คู่สัญญาต้องจัดทำแผนการทำงานมาให้ภายใน 30 วัน นับถัดจากวันลงนามในสัญญา

• Q: โครงการนี้มีเป้าหมายหลักอะไร?

  • A: เป้าหมายหลักของโครงการคือการประเมินความเสี่ยงและเสริมสร้างความมั่นคงปลอดภัยทางไซเบอร์ของระบบสารสนเทศของ สศช. ผ่านการตรวจสอบช่องโหว่, ทดสอบเจาะระบบ, และฝึกอบรมให้ความรู้แก่บุคลากร

• Q: ขอบเขตการทำงานของการทดสอบเจาะระบบครอบคลุมถึงส่วนใดบ้าง?

  • A: ขอบเขตการทำงานครอบคลุมถึงการทดสอบเจาะระบบจากภายนอก (External Penetration Testing) ของหมายเลขไอพี (IP Address) หรือระบบสารสนเทศที่เข้าถึงได้จากภายนอกของสำนักงานฯ แบบ Black-Box โดยครอบคลุมจำนวนเป้าหมาย 30 หมายเลขไอพี

• Q: ผู้รับจ้างต้องทำอะไรบ้างในการฝึกอบรม Awareness Cyber Security?

  • A: ผู้รับจ้างต้องจัดฝึกอบรมการสร้างความตระหนักด้านความมั่นคงปลอดภัยไซเบอร์ (Awareness Training) ให้กับเจ้าหน้าที่ สศช. อย่างน้อยจำนวน 1 ครั้ง ในรูปแบบ Onsite และ Online ครั้งละไม่น้อยกว่า 50 คน

• Q: การซ้อมรับมือกับภัยคุกคามทางไซเบอร์ (Phishing Simulation Test) ต้องทำอย่างไร?

  • A: ผู้รับจ้างต้องดำเนินการทำการซ้อมรับมือกับภัยคุกคามทางไซเบอร์ในรูปแบบของการทำ Phishing Simulation Test อย่างน้อยจำนวน 1 ครั้ง ครั้งละไม่น้อยกว่า 50 คน

• Q: ผู้รับจ้างต้องส่งมอบอะไรบ้างเมื่อสิ้นสุดโครงการ?

  • A: ผู้รับจ้างต้องส่งมอบรายงานการวิเคราะห์และประเมินความเสี่ยง, รายงานผลการทดสอบเจาะระบบ, หลักฐานการฝึกอบรม, และหลักฐานการซ้อมรับมือกับภัยคุกคาม

• Q: หากระบบของ สศช. ได้รับความเสียหายจากการดำเนินงานของผู้รับจ้าง ใครจะเป็นผู้รับผิดชอบ?

  • A: หากมีความเสียหายใด ๆ อันเกิดจากการดำเนินการของผู้รับจ้าง ผู้รับจ้างจะต้องเป็นผู้รับผิดชอบต่อความเสียหายนั้น รวมถึงต้องทำให้ระบบงานที่เสียหายกลับใช้งานได้เป็นปกติดังเดิมโดยไม่มีค่าใช้จ่ายใด ๆ

• Q: ผู้รับจ้างต้องรายงานความคืบหน้าของโครงการบ่อยแค่ไหน?

  • A: ผู้รับจ้างจะดำเนินการจัดการประชุมเพื่อรายงานการดำเนินการและความคืบหน้าของโครงการต่อผู้ว่าจ้างภายในสัปดาห์ที่ 2 ของทุกเดือน อย่างต่อเนื่องจนกระทั่งสิ้นสุดการปฏิบัติงานตามสัญญา

• Q: ผู้รับจ้างต้องให้การสนับสนุนด้านเทคนิคอย่างไร?

  • A: ผู้รับจ้างต้องมีช่องทางในการติดต่อและให้การสนับสนุนในการแก้ไขปัญหาของระบบและการปิดช่องโหว่ที่ตรวจพบแบบ 7x24

• Q: ขอบเขตงานนี้ครอบคลุมถึงการแก้ไขช่องโหว่ที่ตรวจพบหรือไม่?

  • A: ขอบเขตการดำเนินงานในครั้งนี้ ไม่รวมถึงการแก้ไขปัญหาของระบบและการปิดช่องโหว่ที่ตรวจพบ

• Q: ผู้ยื่นข้อเสนอต้องมีคุณสมบัติเกี่ยวกับบุคลากรอย่างไร?

  • A: ผู้ยื่นข้อเสนอจะต้องมีบุคลากรที่มีคุณสมบัติและประสบการณ์ตามที่กำหนด เช่น ผู้จัดการโครงการที่มีประสบการณ์ไม่น้อยกว่า 5 ปี และมี Certificate ด้านความมั่นคงปลอดภัยไซเบอร์