ΠΡΟΣΚΛΗΣΗ ΕΚΔΗΛΩΣΗΣ ΕΝΔΙΑΦΕΡΟΝΤΟΣ ΓΙΑ ΤΗΝ ΠΑΡΟΧΗ ΥΠΗΡΕΣΙΩΝ ΑΞΙΟΛΟΓΗΣΗΣ ΕΥΠΑΘΕΙΩΝ (VULNERABILITY ASSESSMENT) ΚΑΙ ΔΟΚΙΜΩΝ ΠΑΡΕΙΣΔΥΣΗΣ (PENETRATION TESTING) ΣΤΑ ΠΛΗΡΟΦΟΡΙΑΚΑ ΣΥΣΤΗΜΑΤΑ ΤΟΥ ΕΔΟΕΑΠ

Αθήνα, 15 Οκτωβρίου 2026

Ο ΕΔΟΕΑΠ είναι ο Ασφαλιστικός Οργανισμός επικούρησης, περίθαλψης και πρόνοιας των απασχολουμένων στα Μέσα Μαζικής Ενημέρωσης και Ψυχαγωγίας, επιχειρήσεων και εκμεταλλεύσεων που δραστηριοποιούνται σε όλη τη χώρα, καθώς και των συνταξιούχων του. Ο Οργανισμός ιδρύθηκε το έτος 1968, είναι Νομικό Πρόσωπο Ιδιωτικού Δικαίου και διέπεται από τις διατάξεις του Αναγκαστικού Νόμου 248/1967, όπως αυτός έχει τροποποιηθεί και ισχύει σήμερα καθώς  και του Καταστατικού του.

ΓΕΝΙΚΑ

Ο ΕΔΟΕΑΠ, προκηρύσσει πρόχειρο διαγωνισμό, για την παροχή υπηρεσιών αξιολόγησης ευπαθειών και δοκιμών παρείσδυσης στα πληροφοριακά του συστήματα, με κριτήριο ανάθεσης την πλέον συμφέρουσα από οικονομική άποψη προσφορά.

ΣΚΟΠΟΣ ΤΟΥ ΕΡΓΟΥ

Σκοπός του έργου είναι ο εντοπισμός, η τεκμηρίωση και η ιεράρχηση των ευπαθειών των πληροφοριακών συστημάτων του ΕΔΟΕΑΠ, η επιβεβαίωση του πραγματικού κινδύνου μέσω ελεγχόμενης προσομοίωσης επιθέσεων, η παροχή συγκεκριμένων προτάσεων αποκατάστασης και η επαλήθευση της αποκατάστασης.

ΥΦΙΣΤΑΜΕΝΗ ΥΠΟΔΟΜΗ

• Δύο (2) κτήρια στην Αθήνα (Σισίνη 18 και Ορμινίου 38), διασυνδεδεμένα μεταξύ τους, με δύο αίθουσες εξυπηρετητών.
• Περίπου 250 σταθμοί εργασίας Windows και περίπου 250 λογαριασμοί χρηστών σε ενιαίο τομέα Active Directory.
• Περίπου 10 εξυπηρετητές Windows Server σε εικονικό περιβάλλον Hyper-V, με βάσεις δεδομένων Microsoft SQL Server.
• Microsoft 365 (Exchange Online, Entra ID).
• Περιμετρική προστασία με τείχος προστασίας και 2 δημόσιες διευθύνσεις IP.

Ο έλεγχος θα διεξαχθεί σε παραγωγικό περιβάλλον. Τα αναλυτικά τεχνικά στοιχεία (διευθύνσεις, ονόματα και εκδόσεις συστημάτων, αρχιτεκτονική) θα δοθούν στον ανάδοχο, μετά την υπογραφή συμφωνητικού εμπιστευτικότητας.

Οι ενδιαφερόμενοι μπορούν να ζητήσουν διευκρινιστική τηλεδιάσκεψη έως πέντε (5) ημέρες πριν από τη λήξη της προθεσμίας υποβολής, ώστε να διαμορφώσουν τεκμηριωμένη προσφορά.

ΠΡΟΫΠΟΛΟΓΙΣΜΟΣ

Ο προϋπολογισμός του έργου ανέρχεται σε 10.000,00 € (δέκα χιλιάδες ευρώ), μη συμπεριλαμβανομένου του αναλογούντος ΦΠΑ. Προσφορές που υπερβαίνουν τον προϋπολογισμό απορρίπτονται.

ΖΗΤΟΥΜΕΝΕΣ ΥΠΗΡΕΣΙΕΣ

Ο υποψήφιος ανάδοχος υποβάλλει προσφορά για το σύνολο των παρακάτω υπηρεσιών, με ξεχωριστή τιμή για καθεμία. Δεν γίνονται δεκτές προσφορές για μέρος του έργου.

Από τον έλεγχο εξαιρούνται η ιστοσελίδα του Οργανισμού και κάθε σύστημα που φιλοξενείται σε τρίτους παρόχους.

1. Εξωτερική αξιολόγηση ευπαθειών και δοκιμές παρείσδυσης

• Αναγνώριση και καταγραφή όλων των υπηρεσιών του Οργανισμού που είναι εκτεθειμένες στο διαδίκτυο (δημόσιες IP, domains και subdomains).
• Αξιολόγηση ευπαθειών και χειροκίνητη επιβεβαίωσή τους, με προσπάθεια εκμετάλλευσης όπου αυτό είναι ασφαλές.
• Έλεγχος υπηρεσιών απομακρυσμένης πρόσβασης (VPN, απομακρυσμένη επιφάνεια εργασίας κ.λπ.) και ρυθμίσεων ασφάλειας ηλεκτρονικού ταχυδρομείου.

2. Εσωτερική αξιολόγηση ευπαθειών

• Σάρωση ευπαθειών με διαπιστευτήρια (authenticated scanning) στο σύνολο των εξυπηρετητών και σε αντιπροσωπευτικό δείγμα τουλάχιστον 10 σταθμών εργασίας και δικτυακών συσκευών.
• Εντοπισμός ελλείψεων ενημερώσεων ασφαλείας, μη υποστηριζόμενων λογισμικών και λανθασμένων ρυθμίσεων, με ιεράρχηση βάσει κινδύνου και όχι μόνο βάσει βαθμολογίας.

3. Εσωτερικές δοκιμές παρείσδυσης (σενάριο παραβιασμένου χρήστη)

• Προσομοίωση επιτιθέμενου που έχει αποκτήσει φυσική πρόσβαση στο δίκτυο, αρχικά χωρίς διαπιστευτήρια και στη συνέχεια με λογαριασμό απλού χρήστη που θα παραχωρήσει ο ΕΔΟΕΑΠ.
• Έλεγχος του Active Directory (κλιμάκωση δικαιωμάτων, προνομιούχοι λογαριασμοί, πολιτικές κωδικών, αδύναμες ρυθμίσεις, διαδρομές προς τον ρόλο Domain Admin).
• Έλεγχος πλευρικής κίνησης και διαχωρισμού δικτύου, με ιδιαίτερη έμφαση στην πρόσβαση στις βάσεις δεδομένων και στα αντίγραφα ασφαλείας.

4. Έλεγχος ρυθμίσεων ασφάλειας Microsoft 365 / Entra ID

• Έλεγχος ρυθμίσεων ταυτοποίησης (MFA, Conditional Access, legacy authentication), διαχειριστικών ρόλων, ρυθμίσεων ασφάλειας ηλεκτρονικού ταχυδρομείου και κοινής χρήσης, σε σύγκριση με αναγνωρισμένο πρότυπο αναφοράς.

5. Επανέλεγχος (retest)

• Επανέλεγχος όλων των ευρημάτων κρίσιμου, υψηλού και μεσαίου κινδύνου, κατόπιν αιτήματος του ΕΔΟΕΑΠ εντός ενενήντα (90) ημερών από την παράδοση των αναφορών, και έκδοση αναφοράς επανελέγχου.

6. Αναφορές και παρουσίαση

• Σύνταξη των παραδοτέων της ενότητας ΠΑΡΑΔΟΤΕΑ και παρουσίαση των αποτελεσμάτων στη Διοίκηση και στην τεχνική ομάδα του Οργανισμού.

ΜΕΘΟΔΟΛΟΓΙΑ ΚΑΙ ΚΑΝΟΝΕΣ ΔΙΕΞΑΓΩΓΗΣ

• Ο έλεγχος ακολουθεί αναγνωρισμένες μεθοδολογίες (ενδεικτικά NIST SP 800-115, PTES, OSSTMM). Η βαθμολόγηση των ευρημάτων γίνεται με CVSS (v3.1 ή v4.0), συνοδευόμενη από εκτίμηση του πραγματικού κινδύνου για τον ΕΔΟΕΑΠ.
• Πριν από την έναρξη υπογράφεται από τα δύο μέρη έγγραφο «Κανόνων Διεξαγωγής» (Rules of Engagement), που ορίζει το ακριβές εύρος, τα χρονικά παράθυρα, τις διευθύνσεις IP προέλευσης του αναδόχου, τους υπεύθυνους επικοινωνίας και τη διαδικασία κλιμάκωσης.
• Απαγορεύονται επιθέσεις άρνησης υπηρεσίας (DoS), ενέργειες που μπορεί να προκαλέσουν απώλεια ή αλλοίωση δεδομένων και η εγκατάσταση μόνιμων μηχανισμών πρόσβασης. Κάθε αλλαγή ή αρχείο που δημιουργείται κατά τον έλεγχο αφαιρείται με την ολοκλήρωσή του.
• Η εκμετάλλευση ευπαθειών περιορίζεται στο ελάχιστο αναγκαίο για την απόδειξη του κινδύνου. Δεν εξάγονται πραγματικά δεδομένα προσωπικού χαρακτήρα. Η απόδειξη γίνεται με ελάχιστα, ανωνυμοποιημένα στοιχεία.
• Κρίσιμα ευρήματα, καθώς και ενδείξεις προηγούμενης παραβίασης από τρίτους, γνωστοποιούνται στον ΥΑΣΠΕ του ΕΔΟΕΑΠ αμέσως και πάντως εντός είκοσι τεσσάρων (24) ωρών, με διακοπή του σχετικού ελέγχου εφόσον ζητηθεί.
• Ο ανάδοχος τηρεί αρχείο καταγραφής των ενεργειών του (ημερομηνία, ώρα, πηγή, στόχος) και το παραδίδει στον ΕΔΟΕΑΠ, ώστε να αξιολογηθεί και η ικανότητα ανίχνευσης των συστημάτων παρακολούθησης του Οργανισμού.

ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ, ΕΜΠΙΣΤΕΥΤΙΚΟΤΗΤΑ ΚΑΙ ΠΡΟΣΤΑΣΙΑ ΔΕΔΟΜΕΝΩΝ

• Ο ανάδοχος υπογράφει συμφωνητικό εμπιστευτικότητας πριν από τη λήψη οποιασδήποτε τεχνικής πληροφορίας, καθώς και συμφωνητικό επεξεργασίας δεδομένων προσωπικού χαρακτήρα σύμφωνα με τον ΓΚΠΔ, ως παραρτήματα της σύμβασης.
• Το έργο εκτελείται αποκλειστικά από τα ονομαστικά δηλωμένα μέλη της ομάδας έργου. Αντικατάσταση μέλους ή χρήση υπεργολάβου επιτρέπεται μόνο με την προηγούμενη έγγραφη συναίνεση του ΕΔΟΕΑΠ και με ισοδύναμα προσόντα.
• Όλα τα στοιχεία του έργου (αποτελέσματα σαρώσεων, αποδεικτικά, αναφορές, διαπιστευτήρια) αποθηκεύονται κρυπτογραφημένα, σε συστήματα εντός της Ευρωπαϊκής Ένωσης, και ανταλλάσσονται μόνο με κρυπτογραφημένα μέσα.
• Εντός τριάντα (30) ημερών από την οριστική παραλαβή, ο ανάδοχος καταστρέφει με ασφαλή τρόπο κάθε στοιχείο του ΕΔΟΕΑΠ που έχει στην κατοχή του και παραδίδει σχετική έγγραφη βεβαίωση.
• Ο ανάδοχος ενημερώνει τον ΕΔΟΕΑΠ εντός είκοσι τεσσάρων (24) ωρών για κάθε περιστατικό ασφάλειας στα δικά του συστήματα που αφορά ή ενδέχεται να αφορά στοιχεία του ΕΔΟΕΑΠ.

ΠΑΡΑΔΟΤΕΑ

ΧΡΟΝΟΔΙΑΓΡΑΜΜΑ

• Εναρκτήρια συνάντηση και παράδοση σχεδίου ελέγχου: εντός δέκα (10) εργάσιμων ημερών από την υπογραφή της σύμβασης.
• Ολοκλήρωση των ελέγχων: εντός τριάντα (30) ημερολογιακών ημερών από την εναρκτήρια συνάντηση.
• Παράδοση αναφορών: εντός δεκαπέντε (15) εργάσιμων ημερών από την ολοκλήρωση των ελέγχων.
• Παρουσίαση: εντός δέκα (10) εργάσιμων ημερών από την παράδοση των αναφορών.
• Επανέλεγχος: εντός δέκα (10) εργάσιμων ημερών από το αίτημα του ΕΔΟΕΑΠ.
• Συνολική διάρκεια σύμβασης: έξι (6) μήνες από την υπογραφή.

ΔΙΚΑΙΩΜΑ ΣΥΜΜΕΤΟΧΗΣ – ΕΛΑΧΙΣΤΕΣ ΠΡΟΫΠΟΘΕΣΕΙΣ

Δικαίωμα συμμετοχής έχουν φυσικά ή νομικά πρόσωπα που δραστηριοποιούνται στην παροχή υπηρεσιών ελέγχου ασφάλειας πληροφοριακών συστημάτων και πληρούν, επί ποινή αποκλεισμού, τις παρακάτω προϋποθέσεις:

• Έχουν ολοκληρώσει τουλάχιστον τρία (3) έργα δοκιμών παρείσδυσης παρόμοιου αντικειμένου κατά την τελευταία τριετία, εκ των οποίων ένα τουλάχιστον σε οργανισμό του δημόσιου ή του ευρύτερου δημόσιου τομέα ή σε φορέα του χρηματοπιστωτικού, ασφαλιστικού ή υγειονομικού τομέα.
• Διαθέτουν ομάδα έργου τουλάχιστον δύο (2) ατόμων, εκ των οποίων ένα τουλάχιστον κατέχει αναγνωρισμένη πιστοποίηση δοκιμών παρείσδυσης (ενδεικτικά OSCP, OSEP, OSWE, CREST CRT/CCT, GIAC GPEN/GWAPT, eCPPT ή ισοδύναμη).
• Δεν έχουν συμμετάσχει, κατά την τελευταία διετία, στον σχεδιασμό, την εγκατάσταση, την υποστήριξη ή τη συντήρηση πληροφοριακών συστημάτων του ΕΔΟΕΑΠ.
• Δηλώνουν ανεπιφύλακτα ότι έλαβαν γνώση όλων όσων αναφέρονται στην παρούσα πρόσκληση, ότι αποδέχονται όλους τους όρους της και ότι δύνανται να υλοποιήσουν το έργο όπως περιγράφεται.

ΠΕΡΙΕΧΟΜΕΝΟ ΤΕΧΝΙΚΗΣ ΠΡΟΣΦΟΡΑΣ

1. Σύντομο προφίλ της εταιρείας και τυχόν πιστοποιήσεις της (π.χ. ISO/IEC 27001).
2. Κατάλογο παρόμοιων έργων της τελευταίας τριετίας.
3. Ονομαστική σύνθεση της ομάδας έργου, με βιογραφικά σημειώματα, ρόλους και αντίγραφα πιστοποιήσεων.
4. Περιγραφή της μεθοδολογίας και των εργαλείων για καθεμία από τις υπηρεσίες.
5. Χρονοδιάγραμμα.
6. Υπεύθυνες δηλώσεις για την πλήρωση των ελάχιστων προϋποθέσεων και την αποδοχή των όρων της πρόσκλησης.

Η τεχνική προσφορά δεν περιέχει οποιοδήποτε οικονομικό στοιχείο, επί ποινή αποκλεισμού.

ΟΙΚΟΝΟΜΙΚΗ ΠΡΟΣΦΟΡΑ

Η οικονομική προσφορά περιλαμβάνει την καθαρή τιμή (χωρίς ΦΠΑ) και τις ανθρωποημέρες για καθεμία από τις υπηρεσίες, τη συνολική καθαρή τιμή, το ποσοστό και το ποσό του ΦΠΑ και τη συνολική τιμή με ΦΠΑ.

Προσφορά με συνολική καθαρή τιμή άνω των 10.000,00 € απορρίπτεται.

Οι προσφορές ισχύουν για ενενήντα (90) ημέρες από την καταληκτική ημερομηνία υποβολής.

ΚΡΙΤΗΡΙΑ ΑΞΙΟΛΟΓΗΣΗΣ ΚΑΙ ΑΝΑΔΕΙΞΗΣ ΑΝΑΔΟΧΟΥ

Η τεχνική προσφορά βαθμολογείται με βάση τα ακόλουθα κριτήρια:

Τεχνικές προσφορές με βαθμολογία κάτω των εξήντα (60) μονάδων κρίνονται απορριπτέες. Ανάδοχος αναδεικνύεται ο προσφέρων με τη μεγαλύτερη συνολική βαθμολογία:

Σi = 0,60 × (Ti / Tmax) + 0,40 × (Omin / Oi)

όπου Σi η συνολική σταθμισμένη βαθμολογία κάθε προσφοράς, Ti η βαθμολογία της τεχνικής προσφοράς, Tmax η μεγαλύτερη βαθμολογία τεχνικής προσφοράς, Oi η συνολική καθαρή τιμή της οικονομικής προσφοράς και Omin η χαμηλότερη συνολική καθαρή τιμή μεταξύ των αποδεκτών προσφορών.

ΔΙΑΔΙΚΑΣΙΑ ΑΞΙΟΛΟΓΗΣΗΣ

Η Επιτροπή Αξιολόγησης αποσφραγίζει πρώτα τους φακέλους τεχνικών προσφορών και ελέγχει τις ελάχιστες προϋποθέσεις. Οι τεχνικές προσφορές που τις πληρούν βαθμολογούνται. Σε ξεχωριστή συνεδρίαση αποσφραγίζονται οι οικονομικές προσφορές μόνο όσων οι τεχνικές προσφορές έγιναν αποδεκτές, ενώ οι οικονομικές προσφορές των λοιπών επιστρέφονται σφραγισμένες. Η Επιτροπή μπορεί να ζητήσει διευκρινίσεις επί των υποβληθέντων στοιχείων, χωρίς αυτό να επιφέρει μεταβολή της προσφοράς.

ΤΡΟΠΟΣ ΠΛΗΡΩΜΗΣ

Ο ανάδοχος θα λάβει είκοσι τοις εκατό (20%) με την υπογραφή της σύμβασης, εξήντα τοις εκατό (60%) της συμβατικής αξίας μετά την παραλαβή των παραδοτέων από την αρμόδια επιτροπή, και το υπόλοιπο είκοσι τοις εκατό (20%) μετά την παραλαβή της αναφοράς επανελέγχου. Εάν ο ΕΔΟΕΑΠ δεν ζητήσει επανέλεγχο εντός της προθεσμίας, το υπόλοιπο καταβάλλεται με τη λήξη της σύμβασης. Η πληρωμή γίνεται εντός τριάντα (30) ημερών από την έκδοση του τιμολογίου.

ΣΥΜΒΑΣΗ

Μετά την ανάδειξη του αναδόχου καταρτίζεται σύμβαση βάσει των όρων της παρούσας πρόσκλησης και της προσφοράς του, με παραρτήματα το συμφωνητικό εμπιστευτικότητας και το συμφωνητικό επεξεργασίας δεδομένων.

ΥΠΟΒΟΛΗ ΠΡΟΣΦΟΡΩΝ

Προθεσμία

Όσοι επιθυμούν να λάβουν μέρος στο διαγωνισμό, πρέπει να αποστείλουν ή να προσκομίσουν προσφορά στα γραφεία του ΕΔΟΕΑΠ, Ορμινίου 38, ΤΚ 115 28 Αθήνα, στην Υπηρεσία Πρωτοκόλλου, κατά τις ώρες 08:00–16:00, ή αποστέλλονται ταχυδρομικώς, το αργότερο έως την Παρασκευή 30 Οκτωβρίου 2026 και ώρα 15:00. Η έγκαιρη υποβολή αποδεικνύεται μόνο από την ημερομηνία σφραγίδας του ταχυδρομείου ή του αποδεικτικού παραλαβής courier.

Τρόπος υποβολής

Κάθε προσφορά θα τεθεί  σε κυρίως σφραγισμένο φάκελο με την ένδειξη «ΠΡΟΣΦΟΡΑ ΓΙΑ ΥΠΗΡΕΣΙΕΣ ΑΞΙΟΛΟΓΗΣΗΣ ΕΥΠΑΘΕΙΩΝ ΚΑΙ ΔΟΚΙΜΩΝ ΠΑΡΕΙΣΔΥΣΗΣ ΣΤΑ ΠΛΗΡΟΦΟΡΙΑΚΑ ΣΥΣΤΗΜΑΤΑ ΤΟΥ ΕΔΟΕΑΠ». Ο κυρίως φάκελος θα περιέχει δύο ξεχωριστούς σφραγισμένους υποφακέλους:

• Υποφάκελο με την ένδειξη «Τεχνική Προσφορά», σε έντυπη μορφή και σε ψηφιακό μέσο, όπου δεν πρέπει να υπάρχει κανένα οικονομικό στοιχείο προσφοράς.
• Υποφάκελο με την ένδειξη «Οικονομική Προσφορά», σε έντυπη μορφή.

Για περισσότερες πληροφορίες, επικοινωνήστε με την κα Γιούλη Περδίκη στο τηλ. 210 7264348 (email: procurement@edoeap.gr)