RFP_TI20250808 - Privileged Access Management

**la version française suit**

PLEASE READ THE FOLLOWING COMPLETELY AND CAREFULLY PAYING ATTENTION TO ALL REQUIREMENTS AND DATES.

CBC/Radio-Canada is seeking Proposals from industry in response to its Request for Proposals (“RFP) for Privileged Access Management

An Agreement resulting from this RFP shall be for three (3) years with four (4) irrevocable option(s) to extend for one (1) year period(s).

1. SUMMARY OF REQUIRED GOODS/SERVICES:

The key objectives in issuing this RFP is as follows:

CBC/Radio-Canada is seeking proposals to establish a Goods/Services Agreement with the successful proponent for a Privileged Access Management Solution which would also include Endpoint Management (EPM) and Vendor PAM (VPAM) components.

A Privileged Access Management solution is currently deployed at CBC/Radio-Canada.
The current solution manages privileged credentials which are stored within a high availability vaulted environment. Access to target devices with vaulted credentials are managed with various privileged session management components which includes session recording and auditing. External vendors access to privileged credentials and targeted devices is also managed with current deployed solution. Behavioral analysis is performed during session management and events are triggered upon defined actions during session. These events are also forwarded to our SIEM solution.

CBC/Radio-Canada seeks to acquire a product that encompasses Privileged Access Management (PAM), Vendor PAM (VPAM) and Endpoint Management solution. The Proponent’s mandate is to submit a comprehensive proposal for the provision of these combined solutions offering the detailed functionalities and requirements described in this document.

2.  MANDATORY REQUIREMENTS FOR PARTICIPATION:
This RFP is opened only to Proponents who meet each of the following mandatory requirements as evidenced in its written request for RFP documents:
 

1. Proponent must provide all components within a single offering (PAM, EPM and Vendor PAM)
2. System integrates with existing identity providers (e.g., Azure AD, Okta, EntraID, LDAP, RADIUS, SAML, oAUTH) and leverages Multifactor Authentication for all connections.
3. Solution manages privileged credentials (passwords, SSH keys, API tokens, Application secrets, Azure KeyVault)
4. Password rotation across multiple platforms and systems (ie O/S - Web - Appliance, Storage)
5. The Privileged Access Management Solution must support and integrate with Azure, AWS and Google Cloud Platform services.
6. Solution must be configured with High Availability and have DRP with defined SLAs
7. EPM agent compatibility with current and future version of Windows (Minimum Windows 10) and macOS (Minimum MacOS Ventura 13.x)
8. Provider should be SOC 2 certified and should provide a copy of their most up-to-date SOC 2 Type 2 report on a yearly basis.  In the event that the provider is not SOC 2 certified, please provide CBC/RC with the most recent version(s) of any other external cybersecurity certifications, assessments, and reports, such as ISO 27001, NIST CSF, Cybersecurity Maturity Assessment, etc.. A list of the name of each report and certification and the date it was obtained. In all cases, the client requires that the most recent report is provided with 2 months from the time the auditor communicates its report.
9. Solution supports the concept of federated identity & SSO with standard exchange protocols for logins. Description of the solution supports SSO (OAUTH2, SAML2) Azure AD.

1. Le soumissionnaire doit inclure l’ensemble des composants (PAM, EPM et VPAM) dans le cadre d’une offre intégrée.
2. Le système doit permettre l’intégration avec les solutions d’identité existantes (notamment Azure AD, Okta, EntraID, LDAP, RADIUS, SAML et OAuth), et appliquer l’authentification multifacteur (AMF) pour l’ensemble des connexions.
3. La solution permet de gérer les informations d’identification privilégiées (mots de passe, clés SSH, jetons d’API, secrets applicatifs, Azure KeyVault).
4. Rotation des mots de passe sur plusieurs plateformes et systèmes (ex. systèmes d’exploitation, applications web, les appareils (appliances) , solutions de stockage).
5. La solution de gestion des accès privilégiés doit prendre en charge et s’intégrer aux services infonuagiques d’Azure, AWS et Google Cloud Platform.
6. La solution doit être conçue en mode haute disponibilité (HA) et inclure un plan de reprise après sinistre (DRP) accompagné de niveaux de service (SLA) clairement établis.
7. Compatibilité de l’agent EPM avec les versions actuelles et futures de Windows (minimum Windows 10) et de macOS (minimum macOS Ventura 13.x)
8. Le fournisseur doit être certifié SOC 2 et doit fournir une copie de son rapport SOC 2 de type 2 le plus à jour sur une base annuelle. Dans le cas où le fournisseur n'est pas certifié SOC 2, veuillez fournir à CBC/RC la ou les versions les plus récentes de toute autre certification, évaluation ou rapport de cybersécurité externe, tels que ISO 27001, NIST CSF, Cybersecurity Maturity Assessment, etc. Une liste du nom de chaque rapport et certification et de la date à laquelle il a été obtenu. Dans tous les cas, le client exige que le rapport le plus récent soit fourni dans les 2 mois suivant la communication du rapport par l'auditeur.
9. La solution prend en charge le concept d'identité fédérée et de SSO avec des protocoles d'échange standard pour les connexions. Description de la solution qui prend en charge le SSO (OAUTH2, SAML2) Azure AD.Si le SSO n'est pas disponible ou applicable, les mots de passe sont-ils transmis et stockés sous forme protégée ? Description de la solution de gestion des mots de passe et de sa sécurité (c'est-à-dire chiffrement, salage, SHA-256, etc.). Le produit prend-il en charge plusieurs options de complexité de mot de passe et prend-il en charge des mots de passe d'une longueur supérieure à 16 caractères ?Le produit doit prendre en charge les mécanismes d'authentification à deux facteurs / MFA sur les interfaces accessibles sur Internet. Une liste des mécanismes MFA actuellement pris en charge, y compris les solutions MFA tierces (par exemple, Okta, etc.), sera requise.