Audyty, szkolenia i dokumentacja cyberbezpieczeństwa – Dzierżoniów

Zamawiający wymaga przeprowadzenia pełnego zakresu testów w celu weryfikacji nowej infrastruktury. Badanie należy wykonać w modelu grey-box, ze szczególnym uwzględnieniem poprawności segmentacji sieci na styku środowisk IT oraz OT.

Zamawiający dokonał zmiany treści Ogłoszenia i SWZ w zakresie warunków zdolności technicznej lub zawodowej w zakresie Doświadczenia. Informacja o zmianie treści SWZ i poprawione IDW zostały zamieszczone na stronie internetowej prowadzonego postępowania przetargowego.

Zamawiający wyjaśnia, że przedmiotowe postępowanie prowadzone jest w trybie zapytania ofertowego, zgodnie z obowiązującym Regulaminem udzielania zamówień Zamawiającego. Zamawiający poprawił Projektowane postanowienia umowy w sprawie zamówienia publicznego, które zostaną wprowadzone do umowy w sprawie zamówienia publicznego (tzw. projekt umowy) w ww. zakresie.

Zamawiający informuje, iż pełna dokumentacja postępowania (SWZ, w tym IDW wraz z załącznikami w wersji edytowalnej) została prawidłowo opublikowana i jest dostępna pod adresem ogłoszenia. Pliki do pobrania znajdują się na samym dole pierwszej części Ogłoszenia, w sekcji zatytułowanej „Załączniki”.

Zamawiający wyjaśnia, że przedmiotem zamówienia jest kompleksowe opracowanie dokumentacji oraz pełne wdrożenie systemów SZBI i SZCD, gwarantujące zgodność z wymogami ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Ostateczny katalog i kształt dokumentów oraz procedur są bezpośrednio uzależnione od wyników przeprowadzonych przez Wykonawcę audytów.

Zamawiający informuje, że pod wskazanym adresem IP znajduje się aplikacja iBOK, która wymaga uwierzytelniania. Na potrzeby badania Zamawiający przekaże Wykonawcy niezbędne dane testowe. Architektura nie zawiera powiązanych domen ani subdomen, a zakres testów ogranicza się wyłącznie do wskazanych adresów IP.

Zamawiający potwierdza, że uzna warunek udziału w postępowaniu za spełniony, jeżeli wykonawca wykaże się realizacją usług na rzecz podmiotów prowadzących działalność w sektorach kluczowych i ważnych wskazanych w ustawie o Krajowym Systemie Cyberbezpieczeństwa (KSC), niezależnie od tego, czy podmiot ten posiadał formalny status w chwili realizacji usługi.

Audyt Certyfikacji SZBI rozumiany jest jako szereg działań zgodnych z ustawą o Krajowym Systemie Cyberbezpieczeństwa, jak również w oparciu o właściwe normy bezpieczeństwa. Polega on na weryfikacji stanu obecnego i przygotowaniu niezbędnej dokumentacji. Działania te mają na celu zapewnienie gotowości do wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) i Systemu Zarządzania Ciągłością Działania (SZCD) oraz odpowiedniej dokumentacji, zgodnie z wymaganiami określonymi w OPZ. Ponadto projekt obejmuje przygotowanie do ewentualnej certyfikacji z zakresu cyberbezpieczeństwa (jednak uzyskanie certyfikatu SZBI (ISO 27001) nie wchodzi w zakres przedmiotu zamówienia).

Zamawiający posiada wdrożone środowisko Active Directory, które podlega badaniu, obejmujące 90 kont użytkowników. Zakres i rodzaj testów musi spełniać wymagania niezbędne do rzetelnego przygotowania dokumentacji oraz wdrożenia systemów SZBI i SZCD. Celem audytu jest precyzyjne określenie stopnia cyberbezpieczeństwa oraz identyfikacja podatności infrastruktury. Zamawiający dopuszcza zdalną formę realizacji testów. W odniesieniu do urządzeń sieciowych, zakres (przegląd konfiguracji (config review), testy prowadzone z poziomu sieci) musi ustalić Wykonawca.

Zamawiający potwierdza, że: a) Jedna umowa lub usługa, która swoim zakresem obejmowała jednocześnie kilka różnych obszarów (np. audyt zgodności, testy penetracyjne, szkolenia), może zostać wykazana przez wykonawcę na potwierdzenie spełniania warunków udziału w postępowaniu, o których mowa w pkt 1)–4). b) Ta sama organizacja może zostać wskazana w wykazie usług wielokrotnie na potwierdzenie różnych warunków udziału w postępowaniu.

Zamawiający wyjaśnia, że przez pojęcie „wdrożenie” systemów SZBI oraz SZCD w ramach niniejszego zamówienia należy rozumieć opracowanie kompletnej dokumentacji (w tym m.in. polityk, procedur, instrukcji), przeprowadzenie niezbędnych szkoleń dla personelu Zamawiającego oraz wskazanie konkretnych rekomendacji i wytycznych wdrożeniowych. Realizacja oraz wykonanie działań o charakterze organizacyjnym i technicznym wewnątrz struktury leżą w wyłącznej gestii i po stronie Zamawiającego.

Zastosowane w OPZ określenie „opracowanie i wdrożenie” oznacza przygotowanie kompletnej dokumentacji SZBI i SZCD oraz przeprowadzenie działań organizacyjnych.

Zamawiający potwierdza, że uzna za spełniające warunek udziału w postępowaniu usługi, w ramach których opracowanie lub aktualizacja dokumentacji systemu zarządzania bezpieczeństwem informacji (SZBI) stanowiły element szerszego, złożonego projektu (np. audytu zgodności z uKSC/ISO 27001).

Przedmiotem zamówienia jest przygotowanie Zamawiającego do wdrożenia standardów oraz spełnienia wymagań norm ISO/IEC 27001 oraz ISO 22301. Zamawiający nie planuje w ramach tego zamówienia uzyskania formalnego certyfikatu wydanego przez akredytowaną jednostkę certyfikującą.