Przeprowadzenie testów bezpieczeństwa infrastruktury Zamawiającego.Przygotowanie i

Kto wygrał, za ile i ilu było chętnych.

Zamówienie dzieli się na dwie części. Poniżej opis każdej z nich.

Część 1 – Przygotowanie i wdrożenie 9 polityk zarządzania bezpieczeństwem informacji

• opracowanie i wdrożenie 9 polityk (wraz z procedurami wykonawczymi i rejestrami SZBI), w tym: polityka zarządzania dostępem i uprawnieniami, polityka kryptografii, polityka zarządzania podatnościami, polityka zarządzania ryzykiem, polityka logowania zdarzeń, polityka kopii bezpieczeństwa, polityka zarządzania incydentami, polityka zarządzania ciągłością działania, polityka ochrony danych osobowych (z uwzględnieniem danych medycznych)
• każda polityka uwzględnia nowe środowisko Disaster Recovery (DR) oraz istniejące środowisko cyberbezpieczeństwa Zamawiającego (SIEM, DLP, NAC, PAM, brama pocztowa, sandbox, EDR/XDR)
• dostarczenie w formacie PDF oraz edytowalnym (DOCX/XLSX): pakiet 9 polityk, procedury wykonawcze, rejestr ryzyk, rejestr incydentów, zasady przeglądów uprawnień, zasady przeglądów logów, harmonogram realizacji DR/odtworzeń
• dostarczenie oświadczenia kierownictwa o ustanowieniu/alokacji zasobów dla SZBI
• przeprowadzenie instruktażu/szkolenia dla osób pełniących role kluczowe (właściciele procesów, administratorzy)
• przygotowanie „pakietu dowodowego startowego" (przykładowe wpisy, rejestry, artefakty) na potrzeby audytu końcowego

Część 2 – Przeprowadzenie testów bezpieczeństwa infrastruktury Zamawiającego

• testy penetracyjne oraz testy scenariuszowe infrastruktury IT Zamawiającego, z uwzględnieniem środowiska referencyjnego (SIEM, DLP, NAC, PAM, brama pocztowa, sandbox, EDR/XDR) oraz nowego środowiska DR
• obowiązkowa weryfikacja kryteriów Ankiety dojrzałości cyberbezpieczeństwa (w tym obligatoryjnych) – testy aktywne i/lub przegląd dowodów
• minimalny zakres testów obejmuje co najmniej 9 obszarów: system kopii zapasowych (testy odtworzenia), zapory sieciowe, ochrona poczty e-mail (SPF/DMARC/DKIM), segmentacja sieci (VLAN), ochrona stacji roboczych i serwerów (EDR/XDR), zarządzanie podatnościami, usługi zarządzane bezpieczeństwa/SIEM, uwierzytelnienie i autoryzacja (2FA, FIDO2), SZBI (9 polityk – weryfikacja dowodów i spójności konfiguracji, bez testów niszczących)
• dostarczenie: raportu technicznego (podatności, dowody, ryzyka, rekomendacje, priorytety), raportu zarządczego (Executive Summary z top ryzyk i zaleceniami 30/90 dni), rozdziału „Weryfikacja Ankiety", Matrycy weryfikacji Ankiety (wypełniona tabela TAK/NIE/N/D)
• wykonanie re-testu po wdrożeniu poprawek (w ramach wynagrodzenia)
• wszystkie testy mogące powodować niedostępność (np. DoS) wyłącznie po pisemnej zgodzie Zamawiającego

Zamówienie wymaga specjalistycznej wiedzy z zakresu cyberbezpieczeństwa i SZBI (ISO 27001), obejmuje zarówno prace koncepcyjno-dokumentacyjne (9 polityk), jak i techniczne testy penetracyjne w środowisku produkcyjnym szpitala, z weryfikacją ściśle określonej ankiety dojrzałości KPO – to koordynacyjnie i merytorycznie więcej niż prosta usługa, ale nie jest to skala projektu infrastrukturalnego o wysokiej złożoności technicznej.

Wagi punktowe, według których zamawiający oceni oferty.

Sygnały, na które warto zwrócić uwagę przed startem.

• za rozwiązanie/odstąpienie od umowy z przyczyn leżących po stronie Wykonawcy: 15% wynagrodzenia brutto;
• za zwłokę w realizacji: 1% wynagrodzenia brutto za każdy rozpoczęty dzień zwłoki;
• za zmianę osób objętych Wykazem bez zgody Zamawiającego: 500 zł za każdy dzień wykonywania funkcji przez osobę nieuzgodnioną;

Wyodrębnione z wyjaśnień treści SWZ.

Zamawiający nie opublikował pytań ani odpowiedzi