Suunnittelija Marjo Marjamäki (marjo.marjamaki@turku.fi) ja erityisasiantuntija Sanna Moisala
(sanna.moisala@turku.fi) 07.02.2020:

Hankinnan tausta ja perustelu

Turun kaupunki on ottanut käyttöönsä syksyn 2019 aikana kolme, alkujaan Helsingin kaupungin luomia avoimen lähdekoodin ratkaisua:

• Varaamo+Respa, https://varaamo.turku.fi
• Kerro kantasi, https://kerrokantasi.turku.fi
• Tunnistamo kahden viimeksi listatun palvelun kirjautuminen

Kerro kantasi ja Varaamo -palveluihin kirjaudutaan Tunnistamo-komponentin kautta ja Turussa kirjautumistapoina ovat vahva S uomi.fi-tunnistautuminen, kirjastokortti ja A ctivedirectory .

Palvelujen rajapintojen kautta liikkuu ja tietokantaan tallentuu henkilötietoja, joten on olennaista saada tietoon ja korjata mahdolliset palveluihin ja järjestelemiin liittyvät tarkoituksettomat toiminnot ja puutteet, jotka aiheuttavat riskin tietoturvan ja tietosuojan toteutumisen.

Kevennetyn kilpailutuksen mukaisesti tarjouspyyntö lähetettiin IT konsultointi- ja asiantuntijapalvelut

• puitesopimuksen (diaarinumero 8985-2018) korin 26. Tietoturvakonsultoinnin asiantuntijapalvelut
• puitesopimustoimittajille 12.122019. Määräaikaan 16.01.2020 mennessä yksi toimittaja, Fiarone Oy, antoi tarjouksen, joka jouduttiin hylkäämään teknisin perustein. Tämän jälkeen pyydetty ja saatu uusittu tarjous hyväksyttiin Fiarone Oy:ltä, joka on myös kyseisen korin ensimmäisellä sijalla.
  

Tarjouksen arvioivat kehittämispäällikkö Thorbjörn Andersson, IT-suunnittelija Timothy Hindmarsh, pääsuunnittelija Timo Koskinen, IT-projektipäällikkö Kristian Kummel, suunnittelija Marjo Marjamäki ja erityisasiantuntija Sanna Moisala.

Tilatun testauksen tarkoituksena on selvittää järjestelmien tietoturvan tila sekä tunnistaa mahdolliset haavoittuvuudet ja heikkoudet. Saman testauksen aikana tutkitaan rajapintojen toiminta ja mahdolliset väärinkäytösten mahdollisuudet.

Whitebox -testaus

• Verkkosivuston eri palveluiden kartoittaminen ja turvallisuus verkkotasolla
• Palveluiden ohjelmistoversioista ja lisäkomponenteista aiheutuvien tietoturvariskien kartoitus ja listaus priorisoiden tarvittavat korjaukset
• OWASP TOP Ten -haavoittuvuudet ilman käyttöoikeuksia, sekä peruskäyttöoikeuksien avulla
• Tunnistetut palvelut, jotka kuuntelevat vain http-liikennettä, tarkistaminen yksityiskohtaisemmin (lomakkeet, mahdolliset syötteet niiden kautta). Ei mahdollisten löydöksien hyväksikäyttöä.
• SSL-sertifikaattien tarkistus ja havaitut ongelmat: algoritmit, haavoittuvuudet, itse myönnetyt, ikääntyvät, vanhentuneet, status)
• Eri rajapintojen (esim REST API, SSH tunnelit, proxyt) tutkiminen väärinkäytösten ehkäisemiseksi
• Muut mahdolliset kartoituksessa esille tulevat asiat liitetään raporttiin

Käytettävät työkalut

• Alkukartoitus: NMAP & NSE, OpenVAS, Burpsuite Pro ja Fiaronen omat työkalut
• Varsinainen tietoturvatestaus: Manuaalinen käsin tehtävä testaus

Tulos

• Raportti järjestelmien tietoturvan tilasta sekä korjausehdotukset

Syntyvän arviointi- ja testausraportin tulee sisältää, miten testaus on suoritettu sekä havaittujen virheiden korjausehdotukset.

Arvioinnin ja testauksen perusteella saadaan myös tietoa puuttuville tietosuojan, hallinnollisen tietoturvan ja riskien arvioinnin dokumentaatioon, joka käydään läpi tarjottavan konsultin kanssa.

Arvioinnin piiriin ei kuulu S uomi.fi-, kirjastokortti- tai Activedirectory-järjestelmät. Ainoastaan niidet tuottama datan ja sen siirron kyseisiin palveluihin. 

Hankinnan kokonaiskustannus on 31 500 euroa.

Ennen työn aloittamista Turun kaupunki tekee kirjallisen tilaussopimuksen valitun toimittajan kanssa. Hankintapäätös sitoo kaupunkia vasta, kun sopimus on allekirjoitettu.

Esitämme, että Turun kaupunki hankkii Kerro kantasi –palvelun, Varaamon ja Respan sekä Tunnistamon tietoturva-auditoinnin Fiarone Oy:ltä.

Fiarone Oy oli ainoa puitesopimustoimittaja, joka vastasi tarjouspyyntöön ja tarjottujen asiantuntijoiden osaaminen sekä tarjouksessa esitetyt menetelmät mahdollistavat kattavasti työn toteuttamisen.

Tietoturva-auditoinnista syntyvät kustannukset 31 500 euroa jaetaan Digitaalisten palvelujen kehittämisen ja Smart & Wise –hankkeen asiakkuuksien ja palvelujen hallinnan kesken niin, että kustannuksista 1/3 kohdentuu Digitaalisten palvelujen kehittämiseen ja 2/3 Smart & Wise –hankkeen asiakkuuksien ja palvelujen hallintaan.

Digitaalisten palvelujen kehittämisen osalta kustannuspaikka on 11603, tilastollinen tilaus 102769 Digitaaliset palvelut investointiosa, ja asiakkuuksien ja palvelujen hallinnan osalta kustannuspaikka on 11612, tilastollinen tilaus 604423.

Johtaja Tuomas Heikkinen:

PäätösPäätin, että Turun kaupunki hankkii Kerro kantasi –palvelun, Varaamon ja Respan sekä Tunnistamon tietoturva-auditoinnin Fiarone Oy:ltä.

Fiarone Oy oli ainoa puitesopimustoimittaja, joka vastasi tarjouspyyntöön ja tarjottujen asiantuntijoiden osaaminen sekä tarjouksessa esitetyt menetelmät mahdollistavat kattavasti työn toteuttamisen.

Tietoturva-auditoinnista syntyvät kustannukset 31 500 euroa jaetaan Digitaalisten palvelujen kehittämisen ja Smart & Wise –hankkeen asiakkuuksien ja palvelujen hallinnan kesken niin, että kustannuksista 1/3 kohdentuu Digitaalisten palvelujen kehittämiseen ja 2/3 Smart & Wise –hankkeen asiakkuuksien ja palvelujen hallintaan.

Digitaalisten palvelujen kehittämisen osalta kustannuspaikka on 11603, tilastollinen tilaus 102769 Digitaaliset palvelut investointiosa, ja asiakkuuksien ja palvelujen hallinnan osalta kustannuspaikka on 11612, tilastollinen tilaus 604423.

Hankintayksikköä sitova sopimus ei synny päätöksen tiedoksiannolla, vaan vasta erikseen tehtävällä tilauksella. Päätös voi muuttua hankintaoikaisun tai ylemmän viranomaisen otto-oikeuden perusteella.

Tuomas Heikkinen

johtaja

Hankintaoikaisuohje ja valitusosoitus liitteenä