Rahmenvertrag Penetrationstests 2020

Das Land Rheinland-Pfalz und das Saarland, beide vertreten durch den Landesbetrieb Daten und Information (LDI), beschaffen im Rahmen dieser Ausschreibung Personaldienstleistungen zur Durchführung netz basierter Penetrationstests. Durch die netzbasierten Penetrationstests sollen die aus einem Quellnetz (Internet, WAN, LAN) erreichbaren IT-Komponenten (z. B. Router, Firewallsysteme, Mailserver, DMZ-Systeme, Webserver, Datenbankserver, aber auch Clientsysteme) eines ITVerbundes auf technische Sicherheitslücken hin untersucht werden. Die Penetrationstests stellen daher eine netz basierte Überprüfung dar, wobei grundsätzlich zwischen unterschiedlichen Angriffsquellen und daher auch zwischen verschiedenen Angriffscharakteristiken unterschieden werden soll. Zwei wesentliche Unterschiede in der Vorgehensweise, die der Bieter zu beachten hat, werden durch die Begriffe „Black-Box-" bzw. „White-Box-Penetrationstests" widergespiegelt. Die mit den Begriffen verbundenen Charakteristiken werden in den Folgenden Unterkapiteln beschrieben und stellen Vorgaben an den Bieter dar. Die netzbasierte Sicht kann grundsätzlich nach Auftragserteilung optional erweitert bzw. in ein umfassenderes Security-Audit einbezogen werden. Die Option eines Security-Audits kann beispielsweise die Überprüfung von Systemen über direkten Konsolen-Zugriff oder ggf. unter Zuhilfenahme von systembasierten Tools umfassen. Weitere Punkte, die optional beauftragt werden könnten, sind die eingehende Analyse der Sicherheitspolitik, der vorhandenen Sicherheitskonzepte sowie die Überprüfung der praktischen Umsetzung der Sicherheitsmaßnahmen. Einzelheiten im Hinblick auf die ausgeschriebenen Leistungen ergeben sich aus Teil B_Leistungsbeschreibung der Vergabeunterlagen.