Services professionnels en sécurité de l’information (services achetés)

Plus spécifiquement : Effectuer la reconnaissance des points d’entrées possibles ; Effectuer des tests de sécurité automatisés ; Effectuer des tests manuels de sécurité à l’aide d’outils reconnus ; Procéder à la revue de code, si nécessaire ; Rédiger un rapport des vulnérabilités détectées avec les preuves de concept ; Identifier les correctifs à apporter ; S’assurer que les correctifs identifiés ont été appliqués par le détenteur de l’actif ; Produire un rapport technique avec un sommaire exécutif. 1.2CONTEXTE TECHNOLOGIQUE Santé Québec, ses organismes publics et les établissements du réseau de la santé et des services sociaux (RSSS), constitué de trente-quatre (34) établissements situés dans la province de Québec, disposent des plateformes technologiques requises pour le fonctionnement des systèmes médico-administratifs, bureautiques et cliniques propres à chacune des régions administratives du Québec. Certains actifs sont exposés sur l’Internet afin d’être accessible aux utilisateurs ciblés. 1.3 DURÉE DU MANDAT Le mandat débutera vers le 15 mai 2026 pour une durée approximative de vingt-quatre (24) mois. Un total de 3 000 heures est requis pour la durée du mandat. 1.4 LIEU DE RÉALISATION DES TRAVAUX Les travaux se réaliseront en télétravail, mais la ressource pourrait être appelée à se présenter à des rencontres en présentiel. 1.5 HABILETÉS L’adjudicataire devra clairement démontrer son habileté à communiquer, à développer et à maintenir des relations interpersonnelles harmonieuses, à animer efficacement des rencontres et à faire preuve d’autonomie. Langue exigée : Le français est obligatoire. 1.6 EXIGENCES RELATIVES À L’EXÉCUTION DU MANDAT L’adjudicataire devra utiliser et se conformer à l’encadrement méthodologique et normatif en vigueur au CISSS-CA. La liste des responsabilités spécifiées à la section 1.1 « Mandat » est non exhaustive. Elle pourrait se préciser en cours de mandat, tout en demeurant dans le domaine des tests de pénétration. 1.7 EXIGENCES EN REGARD DE L’OFFRE DE PRIX L’offre de prix doit être présentée sur la base de « taux horaire ». Les soumissionnaires de services doivent remplir le formulaire « Bordereau de prix » », joint avec la documentation requise afin d’appuyer son offre de services en fonction de l’expérience et des habiletés requises pour le présent mandat. Le taux horaire soumis au formulaire « Bordereau de prix » est applicable pour la durée de validité du mandat, et ce, en tout temps.

2. EXIGENCES MINIMALES REQUISES

2.1EXPÉRIENCES Toutes les ressources proposées (1 ressource demandée) par le prestataire de services doivent minimalement : 1.Détenir un minimum de trois (3) années d’expérience dans la réalisation de tests de pénétration applicatifs en sécurité de l’information ; 2.Posséder la connaissance de langages de programmation, tels que HTML, SQL, Python, PHP, etc. ; 3.Détenir une ou plusieurs certifications reconnues en réalisation de tests de pénétration. La détention d’une certification est requise et ne peut être substituée par un diplôme universitaire ou collégial. 4.Posséder une connaissance approfondie du OWASP top 10. Le CISSS-CA procédera à une entrevue avec la ou les ressources proposées afin de valider que l’expérience et les connaissances requises sont conformes aux exigences signifiées.

3. INSTRUCTIONS

Vous devez compléter le formulaire de soumission et joindre en annexe les références et curriculum vitae. Nous demandons des références clients pour les mandats exécutés par la ressource.