RFP T&I20230303 - Cloud Access Security Brokers (CASB)

**la version française suit**

PLEASE READ THE FOLLOWING COMPLETELY AND CAREFULLY PAYING ATTENTION TO ALL REQUIREMENTS AND DATES.

CBC/Radio-Canada is seeking Proposals from industry in response to its Request for Proposals (“RFP) for Cloud Access Security Brokers (CASB).

An Agreement resulting from this RFP may potentially be for three (3) years with four (4) irrevocable option(s) to extend for one (1) year period(s).

1. SUMMARY OF REQUIRED GOODS/SERVICES:

The key objectives in issuing this RFP is as follows:

CBC/Radio-Canada is seeking proposals for Cloud Access Security Brokers (CASB) to gain visibility into sanctioned and unsanctioned cloud service usage and to gain visibility into the Google G-Suite ecosystem.The CASB must have the capability to provide a consolidated view of all cloud services being used by the organization – and the users who access them from any device or location. CBC/Radio-Canada must also be able to set and enforce security policies on cloud usage and report on the use of corporate data in cloud services.

2.  MANDATORY REQUIREMENTS FOR PARTICIPATION:
This RFX is opened only to Proponents who meet each of the following mandatory requirements as evidenced in its written request for RFX documents:

2.1   To have visibility into sanctioned and unsanctioned cloud service usage. This must be performed by ingesting Fortinet firewall logs and parsing the logs into meaningful and accurate data and delivering them to the tenant accordingly for processing. CBC/R-C will not directly transmit raw, uncompressed firewall logs to the tenant for analysis.

2.2   To have direct visibility into the CBC/Radio-Canada Google G-Suite ecosystem. This is currently done via the incumbent's Google API which queries the G-Suite ecosystem and parses the information into meaningful data.

2.3   The CASB must integrate into Active Directory technology for the correlation of UserIDs to cloud services used.

2.4   The CASB must be able to function with the Crowdstrike Endpoint Protection Suite of products locally installed on the system and with their Cloud integration.

2.5   Product must be able to track Internet bound corporate traffic to sanctioned and unsanctioned cloud services without the use of dedicated agents on the endpoints.

2.6   Solution must be able to function without the redirection of corporate HTTP/HTTPS traffic to the proponent's dedicated tenant in the cloud.

2.7   Solution provides a set of API connectors for direct visibility into popular collaboration applications in use at CBC/Radio-Canada which are hosted in the cloud.

3.  COMMUNICATION WITH CBC/RADIO-CANADA
Any contact with CBC/Radio-Canada at this stage of the RFP must be undertaken by e-mail only, which will be addressed to the CBC/Radio-Canada Representative for this RFP, whose co-ordinates appear below.  All e-mails pertaining to this RFP must state the RFP reference number (RFP # T&I20200303) in the “Subject” of the e-mail.

CBC/Radio-Canada Representative:
Richard Wiebe
Senior Manager, Strategic Supply Management
Finance & Administration
CBC/Radio-Canada
E-mail: CBC304RFP@CBC.ca

Proponents may have queries, require further information or clarification, or discover certain omissions or ambiguities in the RFP documents.  If so, or if there is any doubt about the meaning of any part of this RFP, questions must be submitted no later than the date specified in PART I: INTRODUCTION , Table 1: critical dates of the RFP process.

4. TO REQUEST THE RFP DOCUMENTATION
As CBC/Radio-Canada uses Merx (https://www.merx4.merx.com/cbc) to manage its solicitation process, all Proponents must obtain the RFP documents through Merx.  Here is the link to the Merx Quick Get Started Steps
for new users (http://bit.ly/2NW0a93). 

To obtain the RFP Documentation, Proponents must submit the Qualification Request form completed and signed by a duly authorized representative confirming that the Proponent meets all the Mandatory requirements described in Section 2 above.  

The proponent must be registered with Merx Canada. Once registered, the file containing the above documents is located under the Required Acknowledgement section of this opportunity and can be accessed by clicking “Place Bid.

Following receipt of the required document(s) and CBC/Radio-Canada’s positive assessment of your company’s submissions, you will receive an e-mail from Merx that the RFP documents are ready for download, no earlier than May 5, 2023.

Please note that CBC/Radio-Canada is not responsible for the distribution of the documents.

5.  RECEIPT OF PROPOSALS
Proposals must be received by CBC/Radio-Canada, via electronic submission to the Merx Website (www.merx.com) no later than May 25, 2023 at 8:00:00 pm, Eastern Time.

The Proponent has the sole responsibility for the timely receipt of a Proposal by CBC/Radio-Canada. The Proponent cannot transfer such responsibility to CBC/Radio-Canada. The MERX clock shall be used to determine the time of receipt of the Proposal, whether the time indicated on such clock is accurate or not.

Partial Proposals, amendments or revisions which are received after the date and time for the RFP Submission Closing Date will not be accepted.

Note:

This procurement is subject to Chapter Five (Government Procurement) of the Canadian Free Trade Agreement (CFTA).

CBC/Radio-Canada retains the right to negotiate with Proponents on any procurement.

*************************

VEUILLEZ LIRE ATTENTIVEMENT TOUT CE QUI SUIT EN PRÊTANT ATTENTION À TOUTES LES EXIGENCES ET DATES.

CBC/Radio-Canada invite les membres de l’industrie à répondre à sa demande de propositions (« DP ») relative à des agents de sécurité d’accès au nuage.

L’entente conclue à la suite de cette DP pourrait être d’une durée de trois (3) ans avec quatre (4) option irrévocable de prolongation de un (1) an.

1. SOMMAIRE DES BIENS ET SERVICES REQUIS :

Les principaux objectifs de la présente DP sont les suivants :

CBC / Radio-Canada sollicite des propositions de courtiers en sécurité d'accès à l’infonuagique (CASB) afin d'obtenir une visibilité sur l'utilisation des services infonuagique sanctionnés ou non, ainsi que sur l'écosystème de Google G-Suite. Le CASB doit avoir la capacité de fournir une vue consolidée de tous les services d’infonuagique utilisés par l'organisation, ainsi que des utilisateurs qui y accèdent depuis n'importe quel appareil ou emplacementCBC / Radio-Canada doit également pouvoir définir et appliquer des politiques de sécurité sur l’utilisation de l’infonuagique et rendre compte de l’utilisation des données de la société dans les services d’infonuagique.

2.  EXIGENCES OBLIGATOIRES POUR PARTICIPER :
La présente DP est ouverte seulement aux soumissionnaires qui sont en mesure de satisfaire à chacune des exigences obligatoires énoncées ci-après et qui l’auront démontré dans leur demande écrite pour obtenir les documents de la DP :

2.1 Reconnaître les utilisations de services infonuagiques approuvées et interdites. Cette tâche doit être effectuée en procédant à l’ingestion des journaux de pare-feu et à leur analyse pour produire des données utiles et exactes et en communiquant celles-ci au locataire pour traitement. CBC/Radio-Canada ne transmettra pas les journaux de pare-feu bruts non compressés directement au locataire pour analyse.

2.2 En avoir un aperçu direct dans l’écosystème de la suite Google de CBC/Radio-Canada. C’est actuellement fait au moyen de l’API Google qui interroge l’écosystème de la suite Google et traduit l’information en données utiles.

2.3 L’agent de sécurité doit prendre en charge la technologie Active Directory pour permettre la corrélation des identifiants d’utilisateurs et des services de nuage utilisés.

2.4 La solution doit être compatible avec les systèmes qui exploitent la gamme de produits de protection des points d’accès CrowdStrike installée localement et avec leur intégration infonuagique.

2.5 Le produit doit pouvoir faire le suivi du trafic Internet de la Société vers des services infonuagiques approuvés et interdits sans utiliser d’agents affectés aux points d’accès.

2.6 La solution doit pouvoir fonctionner sans rediriger le trafic HTTP/HTTPS de la Société vers le locataire affecté par le soumissionnaire dans le nuage.