Hankija vastus vaidlustusele

ÄRISALADUSETA VERSIOON 01.09.2023 Riigihangete vaidlustuskomisjon e-post: [email protected] Kuupäev digiallkirjas Hankija: Tartu Ülikool Registrikood 74001073 Ülikooli 18, 50090 Tartu Hankija esindaja: Tuuli Ilula E-post: [email protected] Telefon: 737 6632 Vaidlustaja: Wisercat Estonia OÜ Registrikood 14133207 Lelle 24, 11318 Tallinn Vaidlustaja esindaja: Erki Fels, vandeadvokaat Advokaadibüroo PricewaterhouseCoopers Legal E-post: [email protected] Kolmas isik: Cyberarch Consulting OÜ Registrikood 14515469 Pihlaka tee 19, 62107 Tartu maakond VASTUS VAIDLUSTUSELE hankija otsustele hankes viitenumbriga 265540 1. ASJAOLUD JA MENETLUSE KÄIK Hankija avaldas riigihangete registris 31.05.2023 avatud hankemenetlusega läbiviidava riigihanke „Veebide turvatestimise teenuse tellimine“ (viitenumber 265540) hanketeate (edaspidi: riigihange). Pakkumuste esitamise tähtpäev oli 03.07.2023 kell 14.00. Tähtaegselt esitati 6 pakkumust. 17.08.2023 otsusega tunnistas hankija edukaks kolmanda isiku pakkumuse, mis sai kokku 90 punkti ning vaidlustaja pakkumus sai kokku 86 punkti. Koos pakkumusega pidid pakkujad esitama proovitöö, mille hindamiseks oli hankija riigihanke alusdokumentides (edaspidi: RHAD) ette näinud neli alamkriteeriumit: 1) Infosüsteemi testimise raport on vormistatud korrektselt ja arusaadavalt 2) Testimise metoodika vastab OWASP ASVS standardile 3) Leitud puudused on põhjendatud ja kirjeldatud arusaadavalt 4) Testimise tulemusena esitatud soovitused on arusaadavad ja tellija poolt reaalselt täidetavad 12 kuu jooksul. Seejuures vastavalt RHAD-ile toimus tööde hindamine osade kaupa, millest igaühe puhul hinnati, kas lahendus vastab hankija ootustele täielikult (5 punkti), vastab osaliselt (3 punkti) või ei vasta üldse (0). Kokku oli võimalik proovitöö hindamisest saada kuni 20 punkti. 1 Vaidlustaja väitel on hankija pakkumuste hindamisel rikkunud riigihangete seadust (edaspidi: RHS) ning on seisukohal, et õiguspärase hindamise korral tuleb riigihankes edukaks tunnistada vaidlustaja. Hankija nende väidetega ei nõustu ning on seisukohal, et pakkumuste hindamine on läbi viidud RHS-iga kooskõlas. 2. HANKIJA ÕIGUSLIKUD PÕHJENDUSED VAIDLUSTUSE OSAS 2.1. Vaidlustaja pakkumuse hindamine on läbi viidud õiguspäraselt Sissejuhatuseks soovib hankija välja tuua, et ei nõustu vaidlustaja väidetega, mille kohaselt justkui hankija ei ole vaidlustaja proovitöö hindamisel kinni pidanud iseenda poolt RHAD-is kehtestatud hindamise kriteeriumidest. RHAD-is sätestatud hindamiskriteeriumid on koostatud vaidlusaluses valdkonnas tegutseva spetsialisti jaoks piisavalt selgelt ning täpselt ja hankija ei ole hindepunktide andmisel ületanud oma kaalutlusõiguse piire. Hankija jääb vaidlustaja raportile antud hindepunktide juurde ning alljärgnevate selgituste põhjal tõendab hankija, et vaidlustaja proovitöös esinesid olulised puudused nii töö vormi ja arusaadavuse kui ka sisulistele nõuetele (ehk OWASP ASVS standardi tase 1) vastavuse osas. Kuivõrd vaidluse keskmes olevad küsimused on mitmeti seotud RHAD-is kehtestatud OWASP ASVS standardi taseme 1 vastavusega, siis peab hankija vajalikuks alustuseks tuua välja ka lühidalt selle standardi olemust ja eesmärki, kuivõrd OWASP ASVS standardi järgimine oli oluline iga alamkriteeriumi alusel maksimaalse võimaliku punktisumma saamiseks. Kui lugeda standardi mõtet ja eesmärki1, siis OWASP Application Security Verification Standardi (ASVS) projekti esmane eesmärk on normaliseerida turul saadaoleva ulatuse ja ranguse ulatust veebirakenduste turvalisuse kontrollimisel, kasutades äriliselt toimivat avatud standardit. Standard loob aluse nii rakenduste tehniliste turvakontrollide kui ka keskkonna tehniliste turvakontrollide testimiseks, millele tuginetakse kaitseks selliste haavatavuste eest nagu Cross-Site Scripting (XSS) ja SQL-i süstimine. Seda standardit saab kasutada veebirakenduste turvalisuse kindlustunde määramiseks. Nõuded on välja töötatud järgmiste eesmärkidega: - Kasutamine mõõdikuna – anda rakenduste arendajatele ja omanikele mõõdupuu, mille abil hinnata nende veebirakenduste usaldusväärsust. - Kasutamine juhisena – anda turbekontrolli arendajatele juhiseid selle kohta, mida turbekontrollidesse lisada, et need vastaksid rakenduse turbenõuetele. - Kasutamine hankemenetluse käigus – anda alus lepingutes rakenduste turvalisuse kontrolli nõuete täpsustamiseks. Seega lisaks hankija poolt RHAD-is kirjeldatud neljale alamkriteeriumile, tulenesid proovitööle esitatavad nõuded ka otseselt OWASP ASVS standardist, millele vastavus oli kogu turvatestimise teenuse hankemenetluse üks olulisemaid nõudeid ja mis pidi iga turvatestimise valdkonna spetsialistina tegutsevale pakkujale ka arusaadav olema. Kui pakkujatel tekib proovitöö teostamise nõuete osas hankijale täpsustavaid küsimusi, on kõigil pakkujatel neid võimalik riigihangete registri vahendusel ka esitada. Käesolevas menetluses vaidlustaja hankijale ühtegi küsimust esitanud ei ole. 1 https://owasp.org/www-project-application-security-verification-standard/ 2 2.1.1. Vaidlustaja pakkumusele tuli alamkriteeriumis 1 anda 0 punkti Esiteks soovib hankija rõhutada, et proovitöö hindamise esimese alamkriteeriumi puhul hinnati nii raporti vormistust kui ka selle arusaadavust. Esimese alamkriteeriumi alusel hindepunktide andmisel välja toodud puuduste asjakohasuse ja korrektsuse hindamisel ei tohi seega alahinnata raporti arusaadavuse nõude osatähtsust ning see ei piirdu üksnes raporti vormistuse hindamisega. Raporti arusaadavuse nõue tähendab muuhulgas seda, et raport peab andma lugejale infot tehtud tööde kohta ning seda lugedes saab selgeks tehtud tööde vastavus nõuetele. Vaidlustaja proovitöö raporti puhul ei ole võimalik raportist soovitud infot saada mitme olulise puuduse tõttu. Raporti vormistuslikud puudused seisnevadki vaidlustaja proovitöö puhul selles, et raporti üldine ülesehitus ei ole hankija hinnangul arusaadav. Proovitöö raporti dokumendil (dokument nimega „5_1_Pakkuja proovitöö.docx“) on tulemused esitatud raskesti mõistetavana mitme punkti vahele jaotades ning raporti vormistamiseks oli vaidlustaja kasutanud formaati, mille ülesehitus ei läinud kokku OWASP ASVS standardi ülesehituse ja struktuuriga. Raporti arusaadavuse nõue tähendab eelkõige aga seda, et proovitöö peab olemuselt andma hankijale ülevaate pakkujate võimekusest viia läbi riigihanke raames tellitavaid tegevusi. Kindlasti peab üheks võimekuseks muuhulgas olema võimekus koostada raport selliselt, et seda on võimalik lisaks tehnilistele spetsialistidele esitada ka infosüsteemiga seotud struktuuriüksuste juhtidele ning vajadusel ka ülikooli juhtkonnale. Ehk raporti tekst ei tohi kindlasti olla suunatud üksnes IT-spetsialistile ning vähemalt raporti kokkuvõttev osa, leitud puuduste ja nende lahendust puudutavad osad peavad olema mõistetavad ka IT-teenuse eest vastutavale juhile ning teatud juhul ka lausa asutuse juhtkonnale. Samuti omab esimese alamkriteeriumi raames nii vormistuse kui arusaadavuse osas veel tähtsust ka see, et raport ei tohi olla eksitav ja sisaldada asjaolusid, mida hankija küsinud ja/või pakkuja tegelikult kontrollinud ei ole. Kõik need asjaolud kajastuvad ka esimese alamkriteeriumi alusel hindepunktide andmisel välja toodud puuduste olemuses ning alljärgnevalt selgitab hankija, kuidas esimese alamkriteeriumi alusel vaidlustaja proovitööle antud hindepunktid on antud õiguspäraselt. 1) Puudus 1 – raport ei järgi OWASP ASVS standardit Puudus 1 seisneb selles, et raportist peab hankija jaoks olema selgelt arusaadav, et tegemist on nõuetele vastava ehk vähemalt OWASP ASVS tase 1 meetodil läbi viidud tööga, mis sisaldab kõiki vajalikke põhjendusi ja viiteid. Vaidlustaja on proovitöö koostamisel kasutanud oma turvatestimise metoodikat, seda näeb objektiivselt proovitöö peatükist 13 (Testing methodology). Hankija ei olegi soovinud väita, et OWASP ASVS standardi näol on tegemist konkreetselt raporti vormistusele kehtiva standardiga. Kuid OWASP ASVS standardi järgimise väljatoomine alamkriteeriumi 1 alusel punkte andes on asjakohane just seetõttu, et raporti vormistus pidi olema siiski teostatud selliselt, et hankija jaoks oleks selgelt arusaadav, millised OWASP ASVS taseme 1 kontrollid on tehtud ja millised mitte. Kontrollida saab seda objektiivselt, võttes ette standardi kontrollide nimekirja ja võrreldes seda vaidlustaja esitatud raportiga. Kuidas need kontrollid täpselt vormistatakse, kas tabelisse või loendina või muul kujul, mis järgib standardi kontrollide nimekirja ja struktuuri, hankija pakkujatele ette ei kirjutanud, aga vormistus peab andma ülevaate standardi punktidest ja struktuurist. Seega 3 väide, et raporti vormistuse kohta ei ole nõudeid kehtestatud on väär, sest hankija soovis proovitöö juhendis konkreetselt OWASP ASVS tase 1 turvakontrollide läbiviimise ülevaadet. Vaidlustaja raport on vormistatud viisil, millest küsitud ülevaadet ei saa, kuivõrd vormistuslikult ei ole raportis demonstreeritud standardi struktuuri ja küsimuste järgimist. Ühtegi selgelt tuvastatavat vastavust standardi ja tegelikult teostatud kontrollide nimekirjaga ei ole. 2) Puudus 2 – raportis ei ole eristatud, milliseid standardi kontrolle on tehtud ja mida mitte Hankija ei nõustu vaidlustaja väitega, et RHAD-ist ei tulenenud hankija vastavat tahet, mille kohaselt oli proovitöö raporti üheks ootuseks, et selles sisalduks selgelt, milliseid standardi kontrolle on tehtud ja milliseid mitte. Arusaadavalt eeldab hankija, et riigihankel osalevad pakkujad on vastava valdkonna professionaalid, kes pidid aru saama, et proovitöö oma olemuselt peab andma hankija jaoks ülevaate pakkuja võimekusest viia läbi riigihanke raames tellitud tegevusi. Olukorras, kus RHAD-is (punkt 4.1) on selgelt välja toodud nõue, et proovitöö sisuks on OWASP ASVS taseme 1 standardile vastava turvatestimise läbiviimine, pidi vaidlustajale kui valdkonnas tegutsevale professionaalile olema selge, et proovitöö raames koostatud raporti põhjal peab hankija olema võimeline ka selgelt tuvastama, milliseid selle konkreetse standardi kontrolle on testimise käigus tehtud ja milliseid mitte. Vaidlustaja raport aga selliselt koostatud ei olnud. Hankija ei saa olla tööde teostamise ajal pakkujate kõrval ning kontrollida, milliseid tegevusi turvatestimise vältel läbi viiakse ning mida täpsemalt testitakse. Hankija saab turvatestide tegevused ja tulemused teada justnimelt pakkuja poolt esitatava turvatesti raporti kaudu. Sellest tulenevalt on standardi järgimine ja tulemuste esitamise vorm kogu teenuse läbiviimise raames äärmiselt oluline. RHAD-is konkreetse standardi järgimise nõude kehtestamise üks eesmärkidest oli, et pakkujatele oleks proovitöö koostamisel selge, mida nende poolt esitatav raport sisaldama peab, kuivõrd läbiviidud/läbiviimata kontrollide eristamine raportis on üks OWASP ASVS standardi enda eesmärkidest. Seejuures ei nõustu hankija vaidlustaja väitega, et hankija oleks pidanud RHAD-is veel eraldi ette nägema selle asjaolu, et raportis pidid olema selgelt eristatud, milliseid standardi kontrolle on tehtud ja milliseid mitte. Selline nõue tulenes juba RHAD-is kehtestatud standardist. Hankija ei pea RHAD-is kehtestatud nõudeid ja standardeid veel eraldi pakkujate jaoks lahti kirjutama, kuivõrd kui pakkuja on vastavas valdkonnas tegutsev professionaal, siis on ilmselge, et pakkuja pidi olema ka ise kursis vastavas valdkonnas asjakohaste standardite sisu ja eesmärkidega. Vastasel juhul kajastubki tulemus ka hindepunktides. 3) Puudus 3 – raport ei sisaldanud viidet OWASP ASVS standardi kasutamisele Hankija soovib juhtida tähelepanu, et kuivõrd ka raporti hindamise metoodika on hankedokumentide osa, siis ei saa nõustuda vaidlustaja väitega, et vaidlustajale tuleb üllatusena, et „raport selliseid viiteid sisaldama pidi“. Vaidlustaja selgitus, et lk 5 punktis „Limitations“ on mainitud OWASP mõistet on küll õige, kuid hankija soovib tähelepanu juhtida asjaolule, et selles punktis on standardi mainimise kontekst täpselt vastupidine. Jaotises „Limitations“ selgitab vaidlustaja, et [vaidlustaja ärisaladus]. Paraku aga ei selgu viidatud punktist, mida siis ikkagi tehti ning kas midagi õnnestus vaidlustajal ka vastavalt OWASP ASVS taseme 1 nõuetele ära teha. Ehk tegemist ei ole viitega standardi kasutamisele. 4 Lk 11 punktis 13 toodud lausest [vaidlustaja ärisaladus] aga kas tegelikult ka järgiti konkreetselt OWASP ASVS taseme 1 kontrolle, dokumendist ei selgu. Vaidlustaja ei ole selle kohta toonud ühtegi selgitust või kinnitust. Kuivõrd hankijal ei õnnestunud vaidlustaja proovitööst leida ka täiendavaid selgitusi, siis pole võimalik kinnitada vaidlustaja poolset tegelikku OWASP ASVS taseme 1 kasutamist ning vastavat kriteeriumit tuleb hinnata vaid hindega 0 punkti. Seejuures teiste pakkujate raportid olid esitanud viisil, et hankijal oli võimalik selgelt aru saada, et on kasutatud OWASP ASVS taseme 1 standardit. Vaidlustaja proovitöös leitud turvanõrkuse juures puudus igasugune viide OWASP ASVS kontrollile, mille näol on konkreetselt tegemist puudusega nii raporti vormistuse osas kui ka raporti arusaadavuse osas. 4) Puudus 4 – kaaskiri sisaldab vaid teoreetilisi turvasoovitusi Vaidlustaja poolt viidatud asjaolu eraldiseisvana ei olnud määrav hindamise juures. Hankija ei võtnud hindepunkte maha seetõttu, et oli esitatud kaks dokumenti, vaid seetõttu, et esitatud raport ei olnud arusaadav. Küll aga omab kahe dokumendi esitamine ja täiendavalt ka töö skoobist väljapoole jäänud asjaolude esitamine otsest mõju raporti arusaadavusele üldises plaanis ning vääris seetõttu ära märkimist. Vaidlustaja proovitöös sisalduva dokumendi nimega „5_1_Cover letter“ sisu osa algab lausega [vaidlustaja ärisaladus]. Hankija soovib tähelepanu juhtida asjaolule, et antud lause on ilmselgelt eksitav ning peaks olema paremini sõnastatud, kuivõrd hankija hinnangul on selle dokumendi näol tegemist lisamaterjaliga, mitte ametliku raportiga. Hindamisel on arvesse võetud üksnes teist esitatud dokumenti, mille nimi oli „5_1_Pakkuja proovitöö.docx“. Nagu eelnevalt ka juba selgitatud, siis proovitöö annab ülevaate sellest, et millisel tasemel suudab pakkuja läbi viia hankega tellitavaid tegevusi. Üheks oskuseks peab muuhulgas olema korrektselt ja arusaadavalt vormistatud raporti loomine, mida on võimalik peale tehniliste spetsialistide esitada ka infosüsteemiga seotud struktuuriüksuse juhtidele ning ülikooli juhtkonnale. Täiendava ja hankija tellimuse skoobist välja jääva teema käsitlemine raportis ei aita kaasa raporti arusaadavusele. Selline dokument peaks olema teisiti ja arusaadavamalt nimetatud. 5) Puudus 5 – raporti kokkuvõte oli raskesti mõistetav Hankija ei nõustu vaidlustaja seisukohaga. Lisaks eelnevale kinnitab hankija, et ka ülejäänud proovitöö raporti ülal viitamata punktid ja nende järjestusest aru saamine vajasid komisjoni liikmetelt suuremat pingutust, kui nõudis seda teiste pakkujate raportite lugemine. Seda just eelkõige seetõttu, et vaidlustaja oli raporti koostamiseks kasutanud oma raporti formaati, mis OWASP ASVS standardiga kokku ei läinud. Proovitöö annab oma olemuselt ülevaate pakkuja võimekusest viia läbi hankega tellitavaid tegevusi. Üheks võimekuseks on muuhulgas korrektselt ja arusaadavalt vormistatud raporti loomine, mida on võimalik peale tehniliste spetsialistide esitada ka infosüsteemiga seotud struktuuriüksuste juhtidele ning ülikooli juhtkonnale. Hankija on seisukohal, et tulemused on esitatud raskesti mõistetavana mitme punkti vahele jaotades ning on seega suur oht, et mõte läheb kaduma ja esitatud raport ei täida oma eesmärki. Kuigi tegemist ei ole hindamise juures ainukese puudusega, on see asjaolu kokkuvõttes muude puudustega siiski piisavalt oluline, et 5 omada mõju kogu proovitöö raporti arusaadavusele ja seeläbi muuta see hankija ootustele mittevastavaks. 6) Puudus 6 – puudub tõend leitud turvanõrkuse kohta Nagu ka eelnevalt viidatud, siis esimese alamkriteeriumi puhul hinnati nii raporti vormistust kui ka selle arusaadavust. Arusaadavus puudutab otseselt seda, kuidas ja millisel viisil on raportis nõutud sisu esitatud. Hankija leiab, et turvanõrkuse tõendamata jätmine ning kogu turvanõrkuse taasesitamise vastutuse vaid hankijale jätmine (lause [vaidlustaja ärisaladus]) ei ole hankija hinnangul professionaalne lähenemine raporti koostamisel ning on kokkuvõttes oluline puudus, mis mõjutab nii raporti vormistust kui ka arusaadavust. RHAD-is oli selgelt toodud nõue: „Leitud vead tuleb esitada koos näidetega.“2 Vaidlustaja seda oma raportis ei teinud. Samuti sõltub päringu tulemus väga tugevalt selle päringu teostamise ajahetkest. Näiteks kui hankija on juba serveris leitud puuduse parandanud või pole server mingil põhjusel enam kättesaadav, siis päring ilmselgelt enam soovitud infot ei anna, kuna infosüsteemis on vahepeal tehtud muudatusi. Seega ei saa teenuse olemusest tulenevalt olla piisav anda hankijale raportis üksnes juhiseid leitud turvanõrkuse reprodutseerimiseks, kuivõrd see ei pruugi alati võimalik olla. Ja seeläbi muutub raporti sisu konkreetse turvanõrkuse osas hankija jaoks kasutuks. Seega ka tõendi esitamata jätmine on konkreetne oluline puudus esimese alamkriteeriumi raames hinnatavate asjaolude valguses, kuivõrd viis, kuidas vaidlustaja on turvanõrkust raportis kajastanud avaldab mõju raportis kajastatud tulemustest arusaamisele. Hankija rõhutab taaskord juba korduvalt öeldut, et raport on mõeldud lugemiseks ka juhtidele, kes ei hakka kindlasti [vaidlustaja ärisaladus], et saada aru, milles leitud turvanõrkus seisneb. Seega kokkuvõttes jääb hankija oma seisukoha juurde, et alamkriteeriumis 1 oli pakkuja proovitööle ainuvõimalik vormistamise ja arusaadavuse eest anda 0 punkti, kuivõrd vaidlustaja proovitöö vormistus ei järgi standardis ette nähtud kontrollide nimekirja ja struktuuri. Sellest tulenevalt ei olnud hankijal võimalik ka aru saada milliseid OWASP ASVS taseme 1 kontrolle on üleüldse tehtud ja milliseid mitte ning millest omakorda on tulenenud ka puudused raporti korrektsusele ja arusaadavusele. 2.1.2 Vaidlustaja pakkumusele tuli alamkriteeriumis 2 anda 0 punkti Hankija soovib rõhutada, et proovitöös ei olnud võimalik piirduda üksnes lausega, mis lühidalt teatab, et [vaidlustaja ärisaladus]. Proovitöö põhjal peab hankijal olema reaalne sisuline võimalus hinnata kirja pandud tegevuste ja leidude põhjal, et standardit on töö käigus ka tegelikult järgitud. Vaidlustaja proovitöö põhjal ei olnud see võimalik. Nagu on vaidlustaja ka oma vaidlustuses välja toonud, siis proovitöö raporti esitas vaidlustaja omaenda raporti põhjal. Raportit kontrollides ja võrreldes standardiga ei olnud hankijal võimalik tuvastada, milliseid OWASP ASVS taseme 1 kontrolle on sisuliselt tehtud ja milliseid mitte. Kuna ühtegi otsest vastavust standardi struktuurile ja kontrollidele ei olnud esitatud, siis sellest lähtuvalt ei ole vaidlustaja oma proovitöös tõendanud, et OWASP ASVS taseme 1 kõik ettenähtud kontrollid standardist on päriselt läbitud. Samuti puuduvad selgitused nende kontrollide kohta, mida ei saanud läbida või mida ei läbitud. Sellise puuduse esinemist saab kontrollida objektiivselt, võttes ette standardi kontrollide nimekirja ja võrreldes seda vaidlustaja 2 Lisa 1 Tehniline kirjeldus, p 4.1. 6 esitatud raportiga. Raport peab tõestama selle lugejale, kas testitav rakendus vastab OWASP ASVS tasemele 1, millised puudused testimisel leiti või milliseid kontrolle on selle läbiviimisel tõendatult rakendatud. Kuna raportist ei ole standardiga võrreldes aru saada, et milliseid punkte konkreetselt kontrolliti, milliseid ei kontrollitud ja miks neid ei kontrollitud, siis standardi järgimist ei ole proovitöös tõendatud. Kuna vaidlustaja ei ole proovitöö raportis järginud standardi tuumaks olevat kontrollide nimekirja ja struktuuri ega esitanud koos proovitööga ka selgitusi omaenda loodud raporti põhja tõlgendamisele, siis see on ka põhjustanud vastavad puudujäägid vaidlustaja proovitöös. Ühtlasi on vaidlustaja ise samuti tunnistanud oma vaidlustuses esitatud argumentidega asjaolu, et viidatud seoste loomiseks oleks pidanud hankija koostama kontrollidele ise vastavustabeli. Kuid hankija peab tähtsaks rõhutada, et standardi mõte ongi just selles, et sellist vastavuste loomist ei pea raporti lugemisel tegema ja nii tarkvara omanikul, arendajatel kui audiitoritel või järelevalvel on võimalik standardi alusel üheselt tuvastada, millised standardis ette nähtud turvakontrollid on tehtud ja millised mitte (tulenevalt standardi enda eesmärkidest). Hankija soovib rõhutada, et see nimekiri ja struktuur ongi OWASP ASVS standardi mõte. Kuivõrd OWASP ASVS ja selle taseme 1 näol on tegemist standardiseeritud infoturbe kontrollide nimekirjaga, mis ühtlustab semantiliselt ja tähenduslikult veebirakenduste turvatestimist, siis nimetused ja nummerdamine ongi kogu selle standardi tuum, et kõik osapooled saaksid raportist ühte moodi aru. Veelgi täpsemalt, standardi tuum on kontrollide nimekiri ja struktuur, mis tuleb vastavale tasemele teha. Vaidlustajale piisanuks standardi taseme 1 kontrollide nimekiri ette võtta ja iga kontrolli taha kirjutada, et kas seda kontrolliti ja mis tulemus saadi. Või alternatiivselt oleks toodud välja ainult leitud puudustega kontrollid ja oleks viidatud, et kõik mida välja ei toodud, nende osas on vastavus standardi tasemega 1. Ehk vaidlustaja oleks pidanud oma raporti põhja kasutamisel esitama lisaks ka eraldi vastavustabeli standardi kontrollidega, kuid mille laadne selgitus kahjuks on esitatud alles vaidlustuse esitamise raames. Samas ka vaidlustuse raames esitatud tabel ei sisalda infot selle kohta, mis tulemused saavutati. Ning juba ainuüksi eelnevalt kirjeldatud puudujäägid tõendavad selgelt ära, et vaidlustaja proovitöös esinesid olulised puudused nii töö vormi ja arusaadavuse (ehk alamkriteerium 1) kui ka sisuliselt testimise metoodikale vastavuse osas (ehk alamkriteerium 2). Kõik teised pakkujad järgisid standardit ja tõid välja, milliseid kontrolle tehti ja milliseid mitte. Sellest tulenevalt ei ole vaidlustaja proovitööga demonstreerinud standardi järgimist ning hankijal ei olnud võimalik ka alamkriteeriumi 2 eest anda vaidlustaja proovitööle rohkem kui 0 punkti. 2.1.3. Vaidlustaja pakkumusele tuli alamkriteeriumis 3 anda 3 punkti Esiteks soovib hankija täpsustada, et leitud turvanõrkuste arvu hindepunktide andmisel siiski arvesse ei võetud ning kolmanda alamkriteeriumi alusel hindamisel on hankija lähtunud sellest, kas vaidlustaja raportis toodud puudused on kirjeldatud põhjendatult ja arusaadavalt. See tähendab, et toodud põhjendused ja kirjeldused peavad raportis olema toodud arusaadavalt ning täpselt ja raporti lugeja peab saama üheselt aru, mis turvanõrkus leiti, kuskohas see on ja milles see seisneb. Oluline on ka turvanõrkuse leidmise ajahetk ning võimalus esitada leitud info edasiseks lahendamiseks IT-spetsialistile ja teadmiseks IT-teenuse haldurile (juhile). Vaidlustaja on oma raporti kohaselt leidnud vähemalt ühe turvanõrkuse ja on selle oma metoodika kohaselt põhjendanud. Leitud turvanõrkuse põhjendus aga ei ole seostatud OWASP 7 ASVS standardiga ning hankijal puudus seega võimalus hinnata, millise standardi kontrolli raames vastav puudus leiti. Vaidlustaja on raporti punktis 12 kaudselt viidanud, et kasutas OWASP ASVS asemel hoopis OWASP Top Ten kontrollinimekirja3. Hankija soovib siinkohal tähelepanu juhtida sellele, et OWASP Top Ten kontrollinimekiri on alamhulk ning see ei ole samaväärne OWASP ASVS standardi tase 1 kontrollidega võrreldes. Nagu on hankija ka eelnevalt viidanud juba, siis RHAD-ist tulenes selgelt nõue esitada leitud vead koos näidetega. Heaks viisiks turvanõrkuse esitamisel on ekraanipildid, kuid pakkuja raport ei sisaldanud leitud turvanõrkuse kohta ühtegi ekraanipilti ega ka muud ajas püsivat tõendit. Vaidlustaja turvanõrkuse kirjelduses esines üksnes viide sellele, kuidas võiks nõrkust tuvastada [vaidlustaja ärisaladus] abil. Kuid nagu ka eelnevalt juba selgitatud, siis selliselt ei pruugi alati olla võimalik enam üheselt tagantjärgi tõendada, et leitud turvanõrkus turvatestimise ajal ka esines. Seega vaidlustaja proovitöös leitud puudus ei olnud kirjeldatud piisavalt arusaadavalt, sest esitamata on jäetud tõendusmaterjal leitud turvanõrkuse kohta, näiteks ekraanipildi näol. Ehk konkreetselt on jäetud tõendamata leitud turvanõrkuse esinemine. Kuigi vaidlustaja on oma raporti leheküljel 6 ühe leitud puuduse esinemist tõendanud kuvatõmmise abil, siis on seda tehtud testimise skoobist väljas oleva probleemi puhul. Eeltoodud põhjuste tõttu tuli seega vaidlustaja proovitööd alamkriteeriumi 3 osas hinnata 3 punktiga, kuivõrd leitud turvanõrkus oli küll välja toodud, kuid selle esitus raportis vastas üksnes osaliselt hankija ootustele. 2.1.4. Vaidlustaja pakkumusele tuli alamkriteeriumis 4 anda 3 punkti Neljanda alamkriteeriumi alusel antud punktid näitavad, kas esitatud soovitused on raportis arusaadavalt kirjeldatud, on loetavad nii IT-spetsialistile kui ka teenuse omanikule ning kas pakkuja hinnangul on reaalselt võimalik neid soovitusi viia ellu ka 12 kuu jooksul. Esitatud soovituste kirjeldus on seejuures vähemalt sama oluline kui leitud puuduste kirjeldus, kuivõrd see annab hankijale suunised, kuidas oma süsteemid turvaliseks muuta. Vaidlustaja on oma raportis esitanud hankija hinnangul vaid üldiseid soovitusi. [vaidlustaja ärisaladus] Vaidlustaja raport ei sisalda konkreetseid juhiseid, mida peab hankija (leidu arvestades kasvõi kohe) ette võtma tuvastatud turvanõrkuse eemaldamiseks. [vaidlustaja ärisaladus] Sellist konkreetsust vaidlustaja raportis aga ei sisaldunud. Vaidlustaja raportis ei ole esitatud soovitusi lahti kirjutatud ega selgitatud, kuidas ja mil viisil võtta kasutusele [vaidlustaja ärisaladus]. Seega jääb vaidlustaja raportist ebaselgeks, mida tuleks hankijal konkreetselt teha leitud turvanõrkusega [vaidlustaja ärisaladus]. Ka teine vaidlustaja raportis toodud soovitus [vaidlustaja ärisaladus]. Samuti ei sisaldanud vaidlustaja raport suuniseid selle kohta, kuidas kontrollida tulemust pärast seda, kui soovitused saavad ellu viidud. Puudus info selle kohta, kas konkreetse turvanõrkuse lahendamise järgselt võib olla vaja teha täiendav turvatestimine või piisab ka mõne lihtsama kontrolli testimisest. Nagu eelnevast nähtub, siis vaidlustaja proovitöös esitatud soovitused on väga üldised ning nende lugemisest ei ole abi ei infosüsteemi administraatorile [vaidlustaja ärisaladus] ega ka juhtidele (ei ole üheselt aru saada, kuidas vaidlustaja konkreetse soovitusega leitud turvanõrkus eemaldatud saab). Seega kuna soovitused olid siiski esitatud, kuid nende põhjendus ja kirjeldus 3 https://owasp.org/www-project-top-ten/2017/A9_2017-Using_Components_with_Known_Vulnerabilities 8 olid väga [vaidlustaja ärisaladus] ning soovituste elluviimiseks kuluv aeg ei arvestanud hankija kui suure ülikooli eripära, siis sai neid soovitusi lugeda üksnes osaliselt hankija ootustele vastavaks ning neljanda alamkriteeriumi eest tuli vaidlustaja pakkumust hinnata 3 punktiga. 2.2. Kolmanda isiku edukaks tunnistamise otsus on õiguspärane Kuivõrd eelnevast analüüsist tulenevalt on pakkumuste hindamine läbi viidud õiguspäraselt, siis on õiguspärane ka kolmanda isiku pakkumuse edukaks tunnistamine. 3. MENETLUSLIKUD KÜSIMUSED 3.1. Vaidlusaja ärisaladust silmas pidades on vaidlustuse vastus on koostatud kahes versioonis. Kolmandale isikule edastamiseks on käesolevas versioonis eemaldatud vaidlustaja poolt ärisaladuseks märgitud informatsiooni kajastada võivad laused ja kommentaarid. 3.2. Hankija on esitanud vastuse tähtaegselt. 3.3. Hankija soovib asja läbivaatamist kirjalikus menetluses. 4. Eeltoodust tulenevalt ja juhindudes RHS § 197 lõige 1 punktist 4 palub Hankija vaidlustuskomisjonil: 4.1. jätta vaidlustus täies ulatuses rahuldamata (RHS § 197 lg 1 p 4); 4.2. jätta vaidlustusmenetluses kantud kulud vaidlustaja kanda. Lugupidamisega (allkirjastatud digitaalselt) Tuuli Ilula hankeosakonna juhataja 9