Information de base

Numéro de référence

0000244292

Organisation émettrice

Ontario Health

Organisation propriétaire

Ontario Health

Type d’appel d’offres

DDP - Demande de proposition (Formel)

Numéro d’appel d’offres

RFP2023-004783

Titre

Outils généraux de gestion des identités et de l’accès

Code d’identité d’origine

PP.HL.CAN.692769.C93114

Détails

Emplacement

Canada, Ontario, Toronto

Description

Titre de la DDP - Demande de propositions - Outils généraux de gestion des identités et de l’accès
Invitation aux soumissionnaires

La présente demande de propositions (« DP ») est publiée par Santé Ontario en tant qu’invitation aux soumissionnaires potentiels à soumettre des propositions pour fournir une solution générale de gestion des identités et de l’accès pour les employés, le personnel temporaire et le personnel des entrepreneurs et des fournisseurs travaillant auprès de Santé Ontario, collectivement appelés « utilisateurs », qui ont besoin d’un accès aux systèmes et infrastructures de santé de Santé Ontario. Pour plus de clarté, un (1) utilisateur peut se voir attribuer plusieurs comptes. La solution inclura la plateforme, les services et la configuration initiale nécessaires (collectivement les « services »), comme décrit plus en détail à la Partie 2 – Les services. Cet approvisionnement est destiné à former un élément clé de la stratégie générale de gestion des identités et de l’accès de Santé Ontario et pourrait devenir la norme en matière de technologie de l’information (TI) de Santé Ontario pour la gestion des identités et de l’accès de l’organisation.

Dans le cadre du Programme général de gestion des identités et de l’accès, Santé Ontario cherche une solution « en tant que service » qui aura la capacité de mettre en œuvre ce qui suit :

Gouvernance et administration des identités : Contrôler tous les comptes humains et non humains tout en assurant la gouvernance sur leur cycle de vie et leurs droits connexes. La solution de gouvernance et d’administration de l’identité doit avoir la capacité d’automatiser la gouvernance et (ou) les processus opérationnels afin de maintenir l’identité et l’accès des utilisateurs. Le catalogage, le mappage, la surveillance, l’examen et l’amélioration de ces processus sont essentiels au succès des initiatives de gouvernance et d’administration de l’identité.
Gestion des accès privilégiés : Fournir des services de gestion des accès privilégiés pour tous les centres de données, les fournisseurs de services d’infonuagique et les plateformes et environnements SaaS afin d’offrir une visibilité accrue des comptes privilégiés et des droits, de même qu’un meilleur contrôle sur ceux-ci. La solution de gestion des accès privilégiés devrait avoir la capacité de contrôler l’utilisation des comptes humains et non humains privilégiés (système, service, partagé, application), de surveiller et d’enregistrer les sessions privilégiées, de permettre aux utilisateurs finaux et aux administrateurs de la solution une utilisation granulaire, contextuelle et limitée dans le temps des privilèges de superutilisateurs, et de randomiser et de gérer automatiquement les mots de passe pour les comptes humains et non humains privilégiés (système, service, partagé, application) et les stocker dans un coffre-fort centralisé et sécurisé.
Plateforme de gestion des accès privilégiés et de gouvernance et d’administration de l’identité intégrée :
Permettre le partage de données sur les droits d’accès entre les systèmes. La plateforme de gestion des accès privilégiés et de gouvernance et d’administration de l’identité intégrée devrait exister en parallèle des environnements sur les lieux, des environnements infonuagiques et des outils, services et applications de sécurité SaaS de Santé Ontario, tout en s’y intégrant harmonieusement.

Le but de Santé Ontario est de choisir un (1) fournisseur pour une plateforme unique ou un portefeuille de plateformes étroitement intégrées pouvant prendre en charge plusieurs fonctions et capacités dans le cadre d’une feuille de route à étapes multiples s’étalant sur une période de trois à cinq ans.
Cette démarche permettra aussi, éventuellement, de remplacer et de ne pas renouveler les anciens systèmes disparates de gouvernance et d’administration de l’identité et de gestion des accès privilégiés, les contrats connexes et les coûts afférents. La plateforme doit prendre en charge les applications et ressources de type sur les lieux et de type infonuagique, et être utilisée par celles-ci.

Exigences obligatoires

Exigence (Oui/non)
O1 La solution proposée DOIT, à tout le moins, être un logiciel-service (SaaS) et fournir les capacités obligatoires suivantes pour tous les comptes humains et non humains de Santé Ontario :

Gestion du cycle de vie de l’identité
Gouvernance et administration de l’identité
Authentification et autorisation
Gestion des accès privilégiés

O2 La solution proposée doit être en mesure de créer une identité globale et d’associer tous les comptes d’utilisateurs humains et les comptes humains privilégiés de manière à créer une vue d’ensemble de l’accès des utilisateurs (comptes Santé Ontario, anciens comptes et comptes privilégiés).

O3 La solution proposée dispose-t-elle de capacités d’identification unique (IU) et s’y intègre-t-elle?

O4 Le soumissionnaire doit avoir fourni, pendant au moins deux ans et à au moins deux organismes du secteur public fédéral ou provincial de taille moyenne, un logiciel-service dans un environnement de gouvernance et d’administration de l’identité et de gestion des accès privilégiés.

O5 Le service ou la solution doit être hébergé au Canada (un fournisseur public de services infonuagiques est acceptable) et toutes les données, y compris les renseignements personnels sur la santé et les renseignements personnels, doivent en tout temps être traités, manipulés, accédés et stockés au Canada. Toutes les données en transit et à l’état statique doivent être chiffrées, et ce, en permanence. Ni le soumissionnaire ni aucun de ses tiers sous contrat ne fourniront de services depuis un emplacement à l’extérieur du Canada.

O6 La solution SaaS doit prendre en charge l’infrastructure hybride (infonuagique et sur les lieux).

O7 Confirmer que toutes les ressources du soumissionnaire seront soumises à une vérification de casier judiciaire et des dossiers judiciaires (VCJDJ) ou à une procédure équivalente.

O8 Le soumissionnaire qui héberge la solution doit se conformer à une certification SOC II de type 2.
Le soumissionnaire doit se soumettre à une certification SOC II de type 2 au moins tous les deux ans. La portée du rapport de certification doit couvrir les services fournis dans les lieux ou les environnements infonuagiques du soumissionnaire. Un rapport destiné au client, suffisamment détaillé pour convenir aux exigences du processus de vérification et de l’autorité réglementaire, doit être remis à Santé Ontario après chaque vérification, et ce, sans frais pour Santé Ontario. Le premier rapport doit être fourni au plus tard à la fin du premier exercice de Santé Ontario au cours duquel les services sont fournis.

O9 L’environnement de la solution proposée doit toujours être disponible, à savoir 24 heures sur 24, sept jours sur sept, 365 jours par année. La confirmation et le résumé de la conception à haute disponibilité et des plans de continuité des opérations éprouvés doivent être fournis.

O10 Les produits matériels cryptographiques doivent respecter ou dépasser les exigences relatives aux boîtiers inviolables spécifiées dans la norme Federal Information Processing Standards (FIPS) 140-2 Level 3.

O11 La solution doit prendre en charge le chiffrement de bases de données et les signatures numériques.

Afficher davantage

Dates

Publication

2023-03-29 16h58:45 HAE

Intention de soumissionner

Non disponible

Échéance de la réception des questions

2023-04-12 15h00:00 HAE

Questions sont soumises en ligne

Non

Date de fermetureA - Rectificatif précédent

2023-05-08 15h00:00 HAE

Processus de soumission

Type de soumission

Soumission électronique

Enveloppe 1 - Identification & proposition

Fixation des prix

Aucun prix dans cette enveloppe

Liste de documents de la soumission

Nom de l’item	Description	Obligatoire	Limité à un fichier
Documents de la soumission	Documents définissant la proposition	Oui	Non
Aucune entrée

Enveloppe 2 - Prix

Fixation des prix

Dans un document attaché

Liste de documents de la soumission

© MERX - Tous droits réservés. Aucune partie des données de ce site Web ne peut être reproduite, enregistrée ou archivée ni transmise sous aucune forme que ce soit ni par mode électronique, mécanique, par photocopie, enregistrement ou autrement, sans la permission préalable de MERX et du Ministre du gouvernement participant (si applicable). Ni MERX, ni le Ministre, ni le responsable du contrat n'assumerons quelconque responsabilité et ne serons tenus responsables de quelconque dommage pour l'exactitude de l'information contenue dans la publication.