Servicii de Testare de Penetrare (Penetration Testing)

6 окт 2026, 20:56

Anexele cerute

Pentru procedura nr. 21687251, vă rugăm să publicați Anexa 7 - declarația privind absența conflictelor de interese — și modelul Acordului de Confidențialitate (NDA), solicitate la pct. 12 din caietul de sarcini.

7 окт 2026, 13:12

COP sau licitaţie?

Caietul de sarcini (pct. 1) menționează „cererea ofertelor de prețuri sau licitație… metoda finală se stabilește după estimarea bugetară”, iar platforma indică cererea ofertelor de prețuri (servicii). Vă rugăm să confirmați procedura finală aplicabilă și să indicați dispozițiile relevante ale Regulamentului de achiziții al Băncii (HCA nr. 4/23.04.2025).

7 окт 2026, 13:13

Valoarea estimată?

Valoarea estimată de 500 000 MDL fără TVA reprezintă un plafon maxim (oferte superioare vor fi respinse) sau o valoare orientativă? Include aceasta toate cele patru componente (A–D), deplasările, retestarea și alte costuri conexe?

7 окт 2026, 13:14

Garanţii şi valabilitate ofertă

Există garanție de ofertă sau de bună execuție? Care este termenul de valabilitate a ofertei?

7 окт 2026, 13:15

Componentele ofertei

Oferta poate fi depusă pentru componente separate (A, B, C, D) sau doar integral? Atribuirea se face integral unui singur operator sau pe componente?

7 окт 2026, 13:16

Punctaj criteriu pct. 11

Vă rugăm să precizați formula de punctaj pentru fiecare criteriu din pct. 11, dacă ponderile „orientative” vor fi cele finale, dacă există praguri minime tehnice și cum se calculează punctajul pentru preț.

7 окт 2026, 13:19

Extrasul ASP,

Care este termenul de valabilitate admis al extrasului?

7 окт 2026, 17:58

I. Program și condiții de livrare

1. Este 31.10.2026 termenul limită pentru finalizarea testelor sau pentru livrarea raportului final? Poate fi prelungită perioada de prestare a serviciilor? 2. Regula din secțiunea 7.3 (după ora 18:00 sau în weekend) se aplică tuturor activităților sau numai celor cu risc de perturbare? Pot fi efectuate teste neintruzive în timpul programului de lucru? 3. Pot fi efectuate teste interne de la distanță, printr-un VPN dedicat sau un jump host? Pentru ce componente este obligatorie prezența fizică la sediul Băncii? 4. Testarea va fi efectuată în producție sau sunt disponibile medii de testare pentru Swift, DocStore, DocSign și bazele de date?

7 окт 2026, 17:58

II. Volume tehnice

5. Câte adrese IP publice sunt incluse în domeniul de aplicare și câte adrese IP interne sau gazde active sunt incluse în testul intern? 6. Câte firewall-uri, routere și switch-uri Cisco sunt incluse în revizuirea configurației? Este acceptabilă o revizuire bazată pe exporturi de configurație și un eșantion reprezentativ? 7. Câte zone de rețea, inclusiv zona Swift, trebuie acoperite de testarea segmentării? Câte sucursale regionale sunt incluse? 8. Ce tip de arhitectură Swift CSCF operează Banca (A1, A2, A3, A4 sau B)? Câte servere, stații de lucru pentru operatori și servere jump se află în zona Swift? 9. Active Directory este inclus în domeniul de aplicare pentru atacul credențialelor și testarea mișcării laterale? 10. Exchange și SharePoint sunt locale, hibride sau online și ce versiuni sunt utilizate? 11. DocStore și DocSign sunt produse comerciale sau dezvoltate personalizat? Aproximativ câte pagini dinamice, puncte finale API și roluri de utilizator are fiecare? 12. Câte instanțe Oracle și MSSQL sunt incluse în domeniul de aplicare, inclusiv replici? Este acceptabilă evaluarea unui eșantion reprezentativ pentru fiecare motor de baze de date?

7 окт 2026, 17:59

II. Eligibilitate și rezultate preconizate

13. Va accepta Banca o ofertă depusă de un operator economic din Republica Moldova care numește un subcontractant nerezident la depunerea ofertei? 14. Este inclusă retestarea vulnerabilităților remediate? În ce limbă trebuie redactat raportul?

8 окт 2026, 13:27

Contracte similare

Pct. 5.1 solicită minim 2 contracte similare în ultimii 2 ani, iar pct. 12 solicită minim 3 referințe/contracte similare. Care este pragul obligatoriu de eligibilitate și care este cerința doar pentru punctare?

8 окт 2026, 13:28

Contract similar

Ce se consideră „contract similar” (obiect, valoare minimă, număr de componente, tip de testare) și ce dovezi sunt acceptate pentru contracte supuse confidențialității (scrisoare de referință, declarație pe propria răspundere, proces-verbal de recepție)? Preferința pentru sectorul bancar este criteriu de punctare sau de eligibilitate?

8 окт 2026, 13:29

Personalul certificat

Pentru personalul certificat (OSCP, CEH, GPEN, GWAPT, CREST CRT sau echivalent): câți specialiști certificați sunt solicitați minimum, este suficient ca certificările să fie deținute de echipa în ansamblu sau de fiecare specialist, și trebuie să fie certificările în termen de valabilitate?

8 окт 2026, 13:29

Certificările considerate echivalente

Vă rugăm să indicați lista certificărilor considerate „echivalente” (ex.: OSWE, OSEP, OSWP, BSCP, eCPPT, PNPT, CRTP, CREST CPSA/CCT, GXPN, certificări Oracle/Microsoft pentru baze de date) și dacă experiența demonstrată poate înlocui o certificare pentru Swift, baze de date și Wi-Fi.

8 окт 2026, 13:30

cadrului Swift CSP/CSCF

Cerința „experiență sau cunoaștere dovedită a cadrului Swift CSP/CSCF” este obligatorie sau doar criteriu de punctare? Ce dovezi sunt acceptate (certificat, evaluări anterioare, instruiri, statutul de evaluator independent Swift CSP)?

8 окт 2026, 13:30

Modificarea echipei

Poate echipa propusă să fie modificată după atribuire (ex.: indisponibilitate)? Este permisă lucrul de la distanță și implicarea de specialiști din afara Republicii Moldova? Există cerințe privind verificarea antecedentelor personalului?

9 окт 2026, 16:46

Testul intern?

Testul intern se va realiza la fața locului sau de la distanță? Ce punct de acces va fi oferit (laptop al operatorului conectat în rețea, VPN, jump host)? Sunt incluse unitățile teritoriale și, dacă da, câte vor fi vizitate fizic?

9 окт 2026, 16:47

referitor la aplicatii

Confirmați că aplicațiile de internet banking, mobile banking, site-ul public, ATM/POS și procesarea cardurilor se află în afara perimetrului? Pct. 3.4 menționează „instrumentele de plată la distanță” – se testează doar nivelul bazelor de date?

9 окт 2026, 16:47

Active Directory

Este Active Directory / domeniul Windows (inclusiv, dacă există, integrarea cu servicii cloud/Microsoft 365) inclus în perimetru pentru testarea escaladării privilegiilor și mișcării laterale cerute la pct. 6.1–6.4?

9 окт 2026, 16:48

Microsoft Exchange și SharePoint

Pentru Microsoft Exchange și SharePoint: care sunt versiunile, este mediul exclusiv local (on-premises) sau hibrid, câte puncte expuse extern există și care sunt domeniile pentru verificările SPF/DKIM/DMARC?

9 окт 2026, 16:49

bazele de date Oracle și MSSQL

Pentru bazele de date Oracle și MSSQL: versiuni, sistem de operare gazdă, număr de instanțe (producție/DR), caracteristici active (TDE, Data Guard/RAC, Always On) și metoda de acces pentru evaluarea configurației (conturi cu drepturi de citire furnizate de Bancă sau rulare de scripturi de către administratorii Băncii)?

9 окт 2026, 16:50

Medii executii teste

Testele se vor executa în producție sau există medii de pre-producție/test? Care sunt acțiunile care necesită aprobare scrisă prealabilă (pct. 7.2) și în ce termen răspunde Banca?

9 окт 2026, 16:51

Instrumente spre utilizare

Ce instrumente pot fi utilizate (scannere comerciale, framework-uri C2, scripturi proprii) și există o listă de instrumente interzise sau care necesită aprobare? Poate operatorul utiliza instrumente asistate de AI, cu condiția ca datele Băncii să nu fie transmise către servicii externe?

9 окт 2026, 17:16

General engagement information

Please answer to the following: - Primary contact (name, role, phone, e-mail) - 24/7 emergency contact during testing windows - Business/system owner per component (A, B, C, D) - Main drivers for this test: BNM Reg. 29/2025, Swift CSP attestation, external audit, BNM inspection? Any fixed deadline? - Date of the last penetration test per component, and can the previous report be shared for retest of findings? - Is this the first test of any in-scope system? - Are there open remediation items from previous tests or audits that must be verified? - Number of physical locations in scope (head office, data centers, territorial units) - Are the two hosting locations (primary / DR) both in scope, or only primary? - Are any in-scope systems hosted or managed by third parties (outsourcing, cloud, Swift service bureau)? Has the provider authorized testing? - Is a production-equivalent test/UAT environment available for any component? - Language of deliverables (Romanian, English, both)

9 окт 2026, 17:18

Component A - Swift messaging system

Please answer to the following: - Swift CSP architecture type (A1, A2, A3, A4, B) - Messaging and communication interface products and versions (e.g. Alliance Access/Entry, Alliance Gateway, SwiftNet Link, Alliance Lite2) - Number of servers in the secure Swift zone (interface, gateway, database, jump servers) - Number of dedicated operator workstations - HSM model, count and location; is HSM configuration review expected on-site? - How is the Swift zone separated from the general network (dedicated firewall, VLAN, physical)? - How do operators and administrators reach the zone (jump server, MFA method, PAM tool)? - Number of back-office integration interfaces (core banking, treasury, AML screening, file transfer) - Is a Swift test/training environment (non-live BIC) available for intrusive tests? - Date and outcome of the latest CSCF attestation; independent assessment used? - Which CSCF version should the configuration review map to? - Permitted test perspectives: external black box, internal network grey box, compromised operator workstation? - Will test operator and administrator accounts be provided? Which roles? - Hard prohibitions (no message creation, no RMA changes, no HSM key operations, etc.)

9 окт 2026, 17:21

Component B - LAN/WAN infrastructure, including VPN

Please answer to the following: External perimeter - Number of public IP addresses / ranges in scope - Number of internet-facing services and web applications (excluding Exchange/SharePoint, covered in C) - Number of ISPs / internet uplinks - Any WAF, anti-DDoS or upstream filtering that may block testing? Can tester IPs be whitelisted? Internal network - Approximate number of live internal hosts (servers / workstations) - Number of internal subnets / VLANs and security zones (DMZ, server, user, management, Swift, etc.) - Number of territorial units (branches) connected via WAN; should a branch be tested on-site? - WAN technology (MPLS, IPsec over internet, SD-WAN) - Number of Cisco firewalls, routers and core switches for configuration review - Is Active Directory in scope for internal testing (domains, forests, trust relationships)? - Network access control in place (802.1X / NAC)? Will testers be given a port or must they bypass it? - Is the guest Wi-Fi in one location or several? Is the corporate Wi-Fi in scope? - Out-of-band / management network present and in scope? VPN - Remote-access VPN product and version; MFA method - Number of remote-access VPN gateways and third-party (vendor) VPN profiles - Number of site-to-site tunnels (branches, partners, processors) - Will test VPN accounts be provided for the authorised-user perspective?

9 окт 2026, 17:25

Component C - Document management and communication systems

Please answer to the following: Common to all C systems - Authentication model (AD integrated, ADFS/SSO, local accounts, MFA) - Will test accounts be provided at two privilege levels per department (for cross-user / cross-department checks)? - Which systems integrate with each other (e.g. DocSign - DocStore, SharePoint - FileShare)? Microsoft Exchange - Exchange version and CU level; on-premises, hybrid or Exchange Online? - Exposed endpoints: OWA, ActiveSync, Autodiscover, EWS, MAPI/HTTP, ECP - which are internet-facing? - Number of Exchange servers and e-mail gateways / filtering appliances - Number of mail domains to check for SPF, DKIM, DMARC - Account lockout policy (to plan password-spray testing safely) SharePoint - Version (2016, 2019, Subscription Edition, Online) - Number of web applications / site collections in scope - Is external sharing or anonymous access enabled anywhere? - Custom solutions, add-ins or workflows deployed? DocStore and DocSign - Product/vendor and version, or in-house development? - Number of user roles and distinct application modules / screens - Are APIs exposed? Number of endpoints; is API documentation (OpenAPI/Swagger) available? - DocSign: where are signing keys and certificates stored (HSM, token, server key store)? Qualified or advanced signatures? - Is a test environment available, or must web application testing run on production? - Will source code be available for review (optional white box)? FileShare - Number of file servers and shares in scope; approximate data volume - Platform (Windows file server, DFS, NAS appliance) and SMB versions enabled - Is automated discovery of sensitive data (card data, personal data, credentials) on shares expected?

11 окт 2026, 16:02

Dimensiunea perimetrului

Vă rugăm să furnizați dimensiunea perimetrului: numărul de adrese IP publice/domenii/FQDN-uri expuse, numărul de subrețele/VLAN-uri interne, numărul de servere și stații per componentă, numărul de unități (sediu central și teritoriale) și numărul/modelele firewall-urilor și echipamentelor de rețea.

11 окт 2026, 16:02

articolele/controalele din Regulamentul BNM

Care sunt articolele/controalele din Regulamentul BNM nr. 29/2025 față de care se realizează „evaluarea de conformitate” din raport? Puteți furniza un extras sau o matrice de control?

11 окт 2026, 16:03

configurația HSM

Ce presupune concret „verificarea integrității configurației HSM” (revizuire de configurație pe baza exporturilor furnizate de administratorii Băncii sau acces fizic/consolă)? Care este modelul HSM și cine îl administrează? Confirmați că operatorul nu va avea acces la materialul criptografic sau la cardurile de administrare.

11 окт 2026, 16:04

Livrabilul pentru componenta A

Livrabilul pentru componenta A este un raport de testare de penetrare cu o revizuire a configurației față de controalele CSCF sau o evaluare independentă formală pentru atestarea Swift? Dacă este a doua variantă, ce calificare a evaluatorului solicită Banca și ce controale vor fi evaluate (obligatorii/consultative)?

11 окт 2026, 16:04

rețeaua Swift

Confirmați că infrastructura rețelei Swift, echipamentele de conectivitate gestionate de Swift și serviciile centrale Swift sunt în afara perimetrului, iar testarea vizează exclusiv componentele administrate de Bancă (zona securizată, jump server, stații de operator, HSM, interfețele de integrare)?

14 окт 2026, 10:18

Aria de aplicabilitate a serviciilor

1. Evaluarea configuratiei componentelor SWIFT Referitor la cerinta privind evaluarea configuratiei componentelor SWIFT - interfete de mesagerie, statii operator si componente criptografice - va rugam sa clarificati daca se solicita efectuarea de teste de penetrare pentru fiecare dintre aceste componente sau verificarea acestora din perspectiva conformitatii cu SWIFT CSCF. 2. Verificarea controalelor SWIFT CSCF Referitor la verificarea controalelor SWIFT CSCF privind restrictionarea accesului la internet, hardening, patch management, autentificare si gestiunea conturilor privilegiate, va rugam sa confirmati daca cerinta se refera la verificarea acestora din perspectiva conformitatii cu SWIFT CSCF. 3. Revizuirea configuratiei fata de SWIFT CSCF Va rugam sa ne comunicati ce tip de arhitectura SWIFT este implementata de Banca: A1, A2, A3, A4 sau B. 4. Sistemul de mesagerie interbancara SWIFT Va rugam sa ne comunicati: • ce tip de aplicatie este utilizata - desktop sau web; • cate adrese IP sunt implicate in testarea acestei aplicatii, inclusiv statii, servere etc. 5. Infrastructura de retea Va rugam sa ne comunicati cate adrese IP sunt incluse in scopul testarii infrastructurii WAN/LAN. 6. DocStore, DocSign si FileShare Va rugam sa ne comunicati: • ce tip de aplicatii sunt DocStore, DocSign si FileShare; • cate adrese IP sunt implicate in functionarea si testarea acestora. 7. Sistemele de gestiune a bazelor de date - Oracle si MSSQL Va rugam sa ne comunicati cate adrese IP sunt implicate in testarea sistemelor Oracle si MSSQL. 8. Acces la infrastructura interna In vederea realizarii testelor de penetrare, va rugam sa confirmati daca poate fi asigurat acces VPN la infrastructura interna.

14 окт 2026, 10:18

Termen executie

Avand in vedere modificarea calendarului procedurii si prelungirea termenului de depunere a ofertelor pana la 21.10.2026, va rugam sa confirmati daca termenul de 31.10.2026 comunicat anterior pentru finalizarea activitatilor de testare ramane aplicabil sau daca acesta va fi actualizat corespunzator noului calendar al procedurii.

14 окт 2026, 10:19

Echipa de proiect

1. Experienta tehnica a echipei propuse Referitor la cerinta privind experienta dovedita in testarea infrastructurii de retea, a sistemelor Microsoft Exchange si SharePoint si a bazelor de date Oracle/MSSQL, va rugam sa confirmati daca aceasta cerinta poate fi indeplinita cumulativ la nivelul echipei propuse, prin experienta complementara a specialistilor desemnati, fara ca fiecare specialist sa fie obligat sa demonstreze individual experienta in toate tehnologiile mentionate. 2.Specialistii colaboratori Va rugam sa confirmati in mod expres daca, pentru indeplinirea cerintelor privind echipa de proiect, pot fi nominalizati specialisti colaboratori ai operatorului economic, care nu au calitatea de angajati ai acestuia, dar care isi desfasoara activitatea sub coordonarea, controlul si responsabilitatea directa a ofertantului si sunt nominalizati individual in oferta, fara ca acestia sa fie considerati subcontractanti. In cazul in care un astfel de specialist este considerat subcontractant exclusiv prin prisma faptului ca nu este angajat al ofertantului, va rugam sa indicati expres aceasta interpretare si documentele/aprobarile suplimentare necesare pentru includerea sa in echipa.

15 окт 2026, 16:44

Certificări personalul tehnic

Referitor la cerința de la pct. 5.1 din caietul de sarcini, privind personalul tehnic certificat („minim OSCP, CEH, GPEN, GWAPT, CREST CRT sau echivalent recunoscut”), vă rugăm să clarificați dacă este necesară deținerea cumulativă a tuturor certificărilor enumerate la nivelul echipei propuse sau dacă acestea reprezintă alternative, fiind suficientă deținerea uneia dintre certificările menționate ori a unei certificări echivalente recunoscute.

15 окт 2026, 17:00

Asociere operatori economici

Vă rugăm să ne confirmați dacă este permisă participarea la procedura de achiziție prin depunerea unei oferte comune de către doi operatori economici, în cadrul unei asocieri.