Audyt kodu źródłowego systemu Transport GZM – Katowice

Zamawiający unieważnił to postępowanie.

Przedmiot: jednorazowa usługa audytu kodu źródłowego systemu Transport GZM — weryfikacja kompletności, możliwości skompilowania i odtworzenia środowiska, ocena jakości kodu, identyfikacja vendor‑lock‑in oraz przegląd łańcucha dostaw oprogramowania pod kątem komponentów od dostawców wysokiego ryzyka.

• Audyt (usługa): inwentaryzacja ~30 000 plików źródłowych (ok. 6,8 mln linii kodu) i powiązanych artefaktów, w tym repozytoria, Dockerfile, Helm charts, pliki IaC, skrypty CI/CD oraz dokumentacja.
• Przegląd kodu (usługa): automatyczna analiza statyczna + ręczna inspekcja dla wybranych modułów (ok. 40 modułów logicznych, 80 modułów technicznych).
• Odtworzenie środowiska (usługa): odtworzenie pełnego pipeline'u CI/CD i środowiska kompilacji/wdrożenia oraz wykonanie pełnej kompilacji wszystkich komponentów (wszystkie buildy muszą przejść).
• Analiza zależności i łańcucha dostaw (usługa): SCA — identyfikacja bibliotek/zależności, weryfikacja źródeł artefaktów, sum kontrolnych, podpisów, oraz wykrycie komponentów od dostawców wysokiego ryzyka.
• Weryfikacja kontenerów i Kubernetes (usługa): analiza Dockerfile, budowa i skan obrazu oraz przegląd manifestów Kubernetes/Helm i IaC.
• Raport końcowy (dostawa): szczegółowy raport z audytu zawierający zestawienie plików i powiązań, ocenę jakości kodu, listę nieprawidłowości i rekomendacje naprawcze, notatki techniczne dla podatności krytycznych oraz obraz odtworzonego środowiska kompilacji.
• Bezpieczeństwo i procedury (usługa): przechowywanie kodu i wykonywanie prac tylko w EOG, izolowane środowisko testowe, key‑management dla sekretów, logowanie operacji, bezpieczne zniszczenie materiałów po audycie oraz obowiązki powiadamiania i reagowania na incydenty.
• Dokumentacja uzupełniająca (dostawa): mapa modułów do funkcjonalności biznesowych (plik mapujący), uzupełniona dokumentacja budowania/uruchamiania.

Termin realizacji: do 120 dni od podpisania umowy.

Trudnosc: wysoka

Złożoność techniczna (6,8 mln linii kodu, wielość języków i technologii, odtworzenie pełnych pipeline'ów CI/CD i infrastruktury) oraz wymogi bezpieczeństwa i konieczność koordynacji wielu analiz powodują wysoki poziom trudności.

Wagi punktowe, według których zamawiający oceni oferty.

Sygnały, na które warto zwrócić uwagę przed startem.

• Wadium: 4000,00 zł
• Zabezpieczenie: 5% ceny całkowitej
• Kary umowne: w projekcie umowy (zał. nr 7)

Wyodrębnione z wyjaśnień treści SWZ.

Zamawiający nie opublikował pytań ani odpowiedzi