สถาบันข้อมูลขนาดใหญ่ (สขญ.) มีความประสงค์จ้างผู้เชี่ยวชาญภายนอกเพื่อดำเนินงานทดสอบและประเมินความมั่นคงปลอดภัยทางไซเบอร์ของแพลตฟอร์มเชื่อมโยงและวิเคราะห์ข้อมูล (D2U) เนื่องจากแนวโน้มการโจมตีทางไซเบอร์ที่เพิ่มขึ้นและการที่ระบบจำเป็นต้องได้รับการตรวจสอบอย่างสม่ำเสมอ

วัตถุประสงค์หลักเพื่อให้แพลตฟอร์ม D2U ดำเนินการได้อย่างมั่นคงปลอดภัยและสอดคล้องกับมาตรฐานสากล เช่น ISO 27001 โดยมุ่งเน้นการระบุ วิเคราะห์ และจัดการความเสี่ยงหรือช่องโหว่ที่อาจเกิดขึ้นกับทั้งสองส่วนของแพลตฟอร์ม ได้แก่ แพลตฟอร์มกลาง (Central) และแพลตฟอร์มข้อมูลรายสาขา (Sectorial)

ขอบเขตงานครอบคลุมการจัดทำแผนดำเนินงาน การประเมินช่องโหว่ (Vulnerability Assessment) อย่างน้อย 22 อุปกรณ์หรือ IP Addresses โดยใช้ซอฟต์แวร์มาตรฐานและอ้างอิง CVSS v3, การทดสอบเจาะระบบแบบ Black Box Penetration Testing ตามมาตรฐาน OSSTMM หรือ NIST SP 800-115 โดยครอบคลุมความเสี่ยงตาม OWASP Top 10 สำหรับเว็บแอปพลิเคชันและ API ต่างๆ ของระบบ, การทดสอบจุดเชื่อมต่อและกลไกการสื่อสารระหว่าง Central/Sectorial/Agent nodes รวมถึงการประเมินการควบคุมการแบ่งแยกเครือข่าย, และการทดสอบซ้ำ (Revisit) 1 ครั้งหลังจากหน่วยงานแก้ไขช่องโหว่แล้ว

ผลลัพธ์ที่ต้องส่งมอบ ได้แก่ แผนดำเนินงาน รายงานการประเมินช่องโหว่ รายงานการทดสอบเจาะระบบ พร้อมการจัดประชุมชี้แจงและให้คำปรึกษาการแก้ไขช่องโหว่แก่ทีมผู้ดูแลระบบและผู้พัฒนา โดยรายงานผลทั้งหมดต้องมีการเชื่อมโยง (Mapping) ช่องโหว่ที่พบกับมาตรฐาน ISO/IEC 27001:2022 (Annex A Controls) เพื่อใช้เป็นแนวทางในการจัดทำแผนบริหารความเสี่ยงต่อไป

The Big Data Institute (BDI) intends to hire an external expert to conduct cybersecurity assessment and penetration testing for its data linking and analysis platform (D2U), due to increasing cyber threats and the need for regular security audits.

The primary objective is to ensure the D2U platform operates securely and complies with international standards like ISO 27001. This involves identifying, analyzing, and managing potential risks or vulnerabilities across both core platform components: the Central Platform and the Sectorial Platform.

The scope of work includes developing an execution plan, conducting a Vulnerability Assessment (VA) on at least 22 devices or IP addresses using standard software and referencing CVSS v3, performing Black Box Penetration Testing following standards such as OSSTMM or NIST SP 800-115 covering risks per the latest OWASP Top 10 for web applications and APIs, testing connectivity and communication mechanisms between Central/Sectorial/Agent nodes including network segmentation control assessment, and conducting one revisit test after the institute has implemented fixes.

Key deliverables include the execution plan, vulnerability assessment report, penetration test report, along with briefing meetings and consultation for remediation provided to the system administration and development teams. All final reports must include a mapping of discovered vulnerabilities to the controls in ISO/IEC 27001:2022 (Annex A) to guide future risk treatment planning.