Services professionnels sécurité de l’information dans le domaine de DevSecOps et de sécurité SAST

Les étapes du projet comprennent : • Configuration des plateformes d’intégration et de déploiement continu (CI/CD) : Mise en place de Microsoft Azure DevOps, Jenkins et GitHub dans les différents projets du réseau de la santé. • Déploiement et ajustements des pipelines de sécurité. • Configuration des outils de sécurité applicative dans l’ensemble du réseau : o Outils de scan SAST (Static Application Security Testing) avec Snyk et GitHub Advanced Security pour identifier les vulnérabilités dans le code source. o Outils de scan SCA (Software Composition Analysis) avec Snyk et GitHub Advanced Security pour sécuriser les dépendances open source. o Détection de secrets dans le code avec Snyk et GitHub Advanced Security. • Configuration du scan de code IaC (Infrastructure as Code) avec Snyk pour analyser la sécurité des fichiers de configuration d’infrastructure. • Déploiement de tests de sécurité DAST (Dynamic Application Security Testing) avec l'outil OWASP ZAP. • Mise en place de métriques et indicateurs de sécurité pour évaluer et suivre la posture de sécurité des différentes applications du réseau de la santé. • Formation des équipes de développement dans les établissements où ces outils et pratiques DevSecOps sont mis en œuvre. • Coordination avec les équipes de surveillance, de gouvernance, d’architecture, de sécurité et autres parties prenantes. • Documentation des processus et configurations. • Production d’une architecture de référence. De plus, en lien avec le présent mandat, l’adjudicataire devra : • Rédiger des directives et des exigences de développement sécuritaire et définir des exigences claires pour les fournisseurs de développement logiciel. • Rédiger des avis de sécurité applicative et des analyses de risques pour l'équipe d'architecture de sécurité en ayant une approche basée sur les risques de sécurité dans les projets et en utilisant des méthodologies reconnues. • Rédiger des analyses de risques de sécurité basés sur la méthodologie MEHARI. • Offrir des conseils stratégiques et techniques durant le cycle de développement des systèmes (SDLC) sur les projets. • Mettre en place une approche d’analyse de risque par la modélisation des menaces (threat modeling). • Mettre en place des solutions technologiques utilisant Azure Key Vault et rédiger des architectures de sécurité de référence. 1.2 CONTEXTE TECHNOLOGIQUE Le Ministère de la Santé et de des Services sociaux (MSSS), ses organismes publics et les établissements du réseau de la santé et des services sociaux (RSSS), constitué de trente-quatre (34) établissements situés dans la province de Québec, disposent des plateformes technologiques requises pour le fonctionnement des systèmes médico-administratifs, bureautiques et cliniques propres à chacune des régions. Certains actifs sont exposés sur l’Internet afin d’être accessible aux utilisateurs ciblés. 1.3 DURÉE DU MANDAT Le mandat expire après une période de DEUX (2) an(s) à compter de son entrée en vigueur, à moins qu’il y soit mis fin prématurément conformément aux autres dispositions du Contrat, il peut comporter une (1) année optionnelle selon les besoins du mandataire. Le mandat débutera vers le 15 décembre 2024. 1.4 LIEU DE RÉALISATION DES TRAVAUX Les travaux se réaliseront via une connexion sécurisée, à distance. Cette connexion est disponible à l’intérieur du territoire canadien seulement. Les ressources doivent parler français et l’intégralité des travaux doivent être exécutés en français selon les exigences de la Charte de la langue française. 1.5 HABILETÉS L’adjudicataire devra clairement démontrer son habileté à communiquer, à développer et à maintenir des relations interpersonnelles harmonieuses, à animer efficacement des rencontres et à faire preuve d’un grande d’autonomie. 1.6 EXIGENCES RELATIVES À L’EXÉCUTION DU MANDAT La liste des responsabilités spécifiées à la section 1.1 « Mandat » est non exhaustive. Elle pourrait se préciser en cours de mandat, tout en demeurant dans le domaine de l’architecture de sécurité du développement. 1.7 EXIGENCES EN REGARD DE L’OFFRE DE PRIX L’offre de prix doit être présentée sur la base de « forfait ». Les soumissionnaires de services doivent remplir le formulaire « Bordereau de prix » », joint avec la documentation requise afin d’appuyer son offre de services en fonction de l’expérience et des habiletés requises pour le présent mandat. Le taux horaire soumis au formulaire « Bordereau de prix » est à titre de référence en cas de modification des heures de travail et il sera applicable pour la durée de validité du mandat, et ce, en tout temps.

2. EXIGENCES MINIMALES REQUISES

2.1 EXPÉRIENCES Les ressources proposées par le prestataire de services doivent minimalement :

1. 1.
   Avoir une connaissance du réseau de la Santé et y avoir réalisé au moins un (1) mandat d’au minimum un (1) an;
2. 2.
   Savoir rédiger des documents techniques ;
3. 3.
   Avoir une connaissance poussée et une expérience significative dans le domaine du développement sécuritaire DevSecOps se traduisant par un 4 ans d’expérience dans le domaine;
4. 4.
   Détenir un minimum de dix (10) ans d’expérience en sécurité applicative et un minimum de quinze (15) années d’expérience en sécurité de l’information ;
5. 5.
   Maîtriser les solutions Snyk et Github Advance security et les avoir utilisées dans plusieurs mandats ;
6. 6.
   Posséder une connaissance approfondie des référentiels OWASP, ASVS, MASVS et OWASP SAMM v2.0.

Cette exigence sera validée lors de l’entrevue. Le CISSS-CA procédera à une entrevue avec les ressources proposées afin de valider que l’expérience et les connaissances requises sont conformes aux exigences signifiées. En cours de mandat, livrables réalisés pourront-être soumis à un audit de qualité par le Centre Opérationnel de Cyberdéfense. Dans le cas d’un niveau de qualité insuffisant, le CISSS CA se laisse le droit de se prévaloir de la clause d’annulation du contrat.

3. INSTRUCTIONS

Vous devez compléter le formulaire de soumission et joindre en annexe les références et curriculums vitae. Les curriculums vitae doivent démontrer clairement l’atteinte des exigences élaborées à la section 2.