Leping

Tehniline kirjeldus
Lähetatud töötajate registreerimise teenus Tööelu infosüsteemis

1 Tellimuse kirjeldus 1
2 Testitava süsteemi kirjeldus 1
3 Teenuse kirjeldus 1
4 Töö tulemid ja tähtajad 2

1 Tellimuse kirjeldus
1.1 Tellimuse esemeks on lähetatud töötaja registreerimise teenuse turvalisuse testimine OWASP (Open Web Application Security Project) ASVS (Application Security Verification Standard Project) versioon 3.0.1 (või juhul kui sõlmitava raamlepingu kehtivuse perioodil peaks eksisteerima uuem versioon, siis uuemale) tasemetele 2 vastavate turvatestide teostamine.
2 Testitava süsteemi kirjeldus
2.1 Lähetatud töötaja registreerimise teenus on oluline, et Eesti riigiasutused saaks teada, millistes asutustes töötavad välismaalased, et vajadusel teaks, millises asutuses teha järelvalvet küll töökeskkonna, töösuhete, maksude tasumise ja muu üle. Et oleksime riigina veendunud, et Eestis töötavate inimeste heaolu on tagatud.
2.2 Protsessi lühikirjeldus:
2.2.1 Lähetatud töötaja tööandija esitab Tööinspektsioonile (edaspidi TI) teate lähetatud töötaja tööle asumise kohta.
2.2.2 TI ennetus- ja õigusosakonna jurist (edaspidi jurist) registreerib teate ja sisestab teatelt lähetatud töötaja andmed infosüsteemi.
2.2.3 Lähetatud töötaja tööandija võib esitada teate lähetatud töötaja andmete muutmise, pikendamise või tühistamise kohta.
2.2.4 TI jurist muudab infosüsteemis lähetatud töötaja andmeid.
2.2.5 Lähetatud töötaja tööandija asemel võib teate esitada lähetatud töötaja tellija/vastuvõtija.
2.3 Pikemalt teenuse analüüsis kirjas: https://wiki.sm.ee/pages/viewpage.action?pageId=124885856&src=contextnavpagetreemode .
2.4 Ülevaade arhitektuurist asub siin: https://wiki.sm.ee/display/TEISA/Arhitektuur?src=contextnavpagetreemode .
3 Teenuse kirjeldus
3.1. Tellimuse eesmärgiks on tellija poolt tellitavate, olemasolevate ja valitud infosüsteemide turvalisuse testimine OWASP (Open Web Application Security Project) ASVS (Application Security Verification Standard) versioon 3.0.1 (või juhul kui sõlmitava raamlepingu kehtivuse perioodil peaks eksisteerima uuem versioon, siis uuemale) tasemetele 2 vastavate turvatestide teostamine.
3.2. Turvatestimise käigus tuleb metoodiliselt testida ja hinnata kõiki potentsiaalseid turvavigu (sealhulgas OWASP Top Ten) ning need tuleb testiraportis detailselt välja tuua koos võimalike lahenduste ja soovitustega, st leitud vigade puhul välja tuua võimalikud ohustsenaariumid.
3.3. Testimisel tuleb kontrollida, et testitavate infosüsteemide võimalike haavatavuste kaudu ei oleks võimalik juurde pääseda andmetele, mis asuvad väljaspool testitava rakenduse funktsionaalsust. Testimine hõlmab ka kasutajate horisontaalset ja vertikaalset õiguste ületamise turvatestimist.
3.4. Kõik testimised ja lähtekoodi kontrollid tuleb teostada ka käsitsi, sest testitavad süsteemid ei pruugi automaatsete vahenditega testimisel tõepäraseid tulemusi anda. Testimise lõppedes edastab täitja testitavate toodete/lahenduste testiraportid, krüpteerituna tellijale.
3.5. Turvatestimised viiakse läbi prelive keskkonnas, kui ei ole kokku lepitud teisiti. Vajadusel luuakse tellija ja testija süsteemide vahele turvatud kanal infosüsteemidele ligipääsemiseks.
3.6. Testimise läbiviimiseks peab täitja esitama tellijale IP aadressid, millelt hakatakse turvateste läbi viima. Tellija avab ligipääsu vastavatelt IP aadressidelt testitavatele süsteemidele. Vajadusel teeb tellija ka vajalikud testkasutajad.
3.7. Lõppraport tuleb vormistada vastavalt OWASP ASVS reeglitele.
4 Töö tulemid ja tähtajad
4.1. Tööd on teostatud ja dokumenteeritud vastavalt nõuetele, vt. 3 Teenuse kirjeldus.
4.2. Rakenduse veebiliideses ei ole üldtuntud turvaauke, mis võimaldaksid välisel ründajal rakendusse sisse murda ja teha selles volitamata tegevusi.
4.3. Täitja ja tellija on tugisüsteemina kasutanud tellija kasutuses olevat projektihaldustarkvara vastavalt kokkulepetele.
4.4. Täitja on täitnud tööaja arvestust.
4.5. Turvatestimine toimub 1 etapis peale eeltegevuste teostamist.
4.5.1. Turvastestimise tööde tähtaeg on 19.06.2023.
4.5.2. Turvatestimine viiakse läbi alates 29.05.2023 ning kestab 19.06.2023 (3 nädalat).