Dostawa i utrzymanie systemu bezpieczeństwa IT/OT – Przeworsk

Zamawiający informuje, że dopuszcza zaoferowanie dysków HDD o pojemności 2,4 TB, przy zachowaniu pozostałych wymagań określonych w dokumentacji postępowania.

Zamawiający nie uwzględnia wniosku i podtrzymuje wymagania określone w dokumentach zamówienia. Przedmiotem postępowania nie jest nabycie zbioru niezależnych, niepowiązanych ze sobą narzędzi informatycznych, lecz dostawa, wdrożenie, konfiguracja, uruchomienie i utrzymanie zintegrowanego środowiska cyberbezpieczeństwa dla infrastruktury IT i OT Zamawiającego. Zakres zamówienia obejmuje zarówno Centralny System Bezpieczeństwa klasy SIEM z funkcjonalnościami XDR i EDR oraz monitoringiem infrastruktury IT, jak również serwery, system kopii zapasowych, urządzenia UTM, przełączniki sieciowe, inwentaryzację aktywów, konfigurację VPN oraz rozwiązania zabezpieczające i monitorujące środowisko OT. Określenia SIEM, XDR i EDR wskazują klasy funkcjonalne rozwiązań oraz rodzaje procesów bezpieczeństwa, które mają zostać zrealizowane. Nie oznaczają one obowiązku zastosowania określonego produktu ani nie przesądzają o pochodzeniu wszystkich elementów rozwiązania od jednego producenta. Z technicznego punktu widzenia wymagane funkcjonalności tworzą jeden ciąg procesów bezpieczeństwa, obejmujący w szczególności: • identyfikację oraz inwentaryzację hostów, urządzeń, oprogramowania i usług; • pozyskiwanie danych o stanie, dostępności i wydajności zasobów; • agregowanie i analizowanie logów oraz zdarzeń pochodzących z różnych źródeł; • wzbogacanie danych o informacje dotyczące podatności, wskaźników kompromitacji oraz taktyk i technik ataków; • korelację zdarzeń z konkretnymi hostami, zasobami, użytkownikami i wykrytymi podatnościami; • rejestrowanie, klasyfikowanie, priorytetyzowanie i obsługę incydentów; • automatyzację reakcji przy wykorzystaniu scenariuszy SOAR, w tym wykonywanie działań w systemach zewnętrznych; • zapewnienie historii obsługi, raportowania, kontroli SLA i rozliczalności działań administratorów. W szczególności OPZ wymaga, aby informacje zgromadzone w module inwentaryzacji stanowiły kontekst dla monitoringu zasobów, analizy podatności i analizy logów. Zdarzenia i problemy wykryte na konkretnym hoście mają być korelowane z logami tego hosta, a incydenty pochodzące z modułów monitoringu, analizy podatności, wykrywania zagrożeń i EDR/XDR mają być obsługiwane w ramach wspólnych procesów SLA oraz automatyzacji SOAR. Moduł SOAR ma z kolei łączyć procesy detekcji, dane o podatnościach, reguły korelacyjne i anomalie behawioralne z działaniami reakcyjnymi, takimi jak izolacja hosta, blokada adresu IP, zatrzymanie procesu lub zmiana konfiguracji urządzenia sieciowego. Z tego względu samo równoległe uruchomienie kilku niezależnych aplikacji, pomiędzy którymi operator musiałby ręcznie przenosić informacje o zasobach, zdarzeniach i incydentach, nie realizowałoby celu zamówienia. Taki model zwiększałby ryzyko utraty kontekstu zdarzenia, powielania lub pomijania alertów, niespójnej klasyfikacji incydentów, opóźnień w reakcji oraz braku jednoznacznej historii wykonanych działań. W środowisku obejmującym zarówno IT, jak i OT konsekwencją mogłoby być również…

Zamawiający nie wyraża zgody na potwierdzenie spełnienia warunku określonego w pkt 7.2.4 ppkt 3 SWZ wyłącznie certyfikatem zgodności z normą ISO/IEC 27001. Zamawiający wymaga potwierdzenia stosowania przez Wykonawcę standardów odpowiadających łącznie: normie ISO 9001 — w zakresie systemu zarządzania jakością; normie ISO/IEC 27001 — w zakresie systemu zarządzania bezpieczeństwem informacji. Wskazane normy odnoszą się do odmiennych i wzajemnie uzupełniających się obszarów organizacji Wykonawcy. Certyfikat ISO/IEC 27001 potwierdza stosowanie systemowego podejścia do zarządzania bezpieczeństwem informacji, w tym identyfikacji ryzyka, ochrony informacji, kontroli dostępu oraz reagowania na incydenty. Nie potwierdza jednak samodzielnie stosowania systemu zarządzania jakością odpowiadającego wymaganiom ISO 9001, obejmującego w szczególności nadzorowanie procesów realizacyjnych, kontrolę jakości, postępowanie z niezgodnościami oraz działania korygujące. Łączne wymaganie obu standardów jest uzasadnione zakresem i stopniem złożoności zamówienia. Przedmiot zamówienia obejmuje nie tylko dostawę oprogramowania, lecz również dostawę sprzętu, analizę i inwentaryzację infrastruktury, instalację, konfigurację, integrację, uruchomienie i utrzymanie rozwiązań bezpieczeństwa w środowisku IT i OT. Obejmuje również konfigurację usług katalogowych, systemów kopii zapasowych, urządzeń UTM, przełączników sieciowych, połączeń VPN oraz systemów monitorowania cyberzagrożeń w obszarze OT. W związku z powyższym Zamawiający podtrzymuje warunek określony w pkt 7.2.4 ppkt 3 SWZ.

Zamawiający uwzględnia wniosek Wykonawcy. Po ponownej analizie charakteru czynności przewidzianych dla Specjalisty ds. wdrożeń Zamawiający uznał, że zasadniczy zakres zadań tej osoby obejmuje czynności eksperckie, projektowe i wdrożeniowe, wymagające samodzielnego doboru metod technicznych, podejmowania decyzji dotyczących konfiguracji i integracji systemów oraz odpowiedzialności za osiągnięcie określonego rezultatu. Czynności te nie muszą być wykonywane w warunkach podporządkowania pracowniczego, tj. pod kierownictwem pracodawcy oraz w miejscu i czasie przez niego wyznaczonym, właściwych dla stosunku pracy, o którym mowa w art. 22 § 1 Kodeksu pracy. W związku z powyższym Zamawiający odstępuje od obowiązku zatrudnienia Specjalisty ds. wdrożeń na podstawie stosunku pracy. Zmiana nie wpływa na wymagania dotyczące kwalifikacji, wykształcenia, doświadczenia oraz udziału Specjalisty ds. wdrożeń w realizacji zamówienia. Wykonawca nadal zobowiązany jest: • dysponować osobą spełniającą wszystkie wymagania określone w pkt 7.2.4 ppkt 4 SWZ; • skierować tę osobę do rzeczywistego wykonywania czynności objętych wskazaną funkcją; • zapewnić jej dostępność w zakresie niezbędnym do terminowego i prawidłowego wykonania zamówienia; • ponosić odpowiedzialność za jej działania i zaniechania jak za działania i zaniechania własne; • w przypadku zmiany osoby skierowanej do realizacji zamówienia zapewnić osobę posiadającą kwalifikacje i doświadczenie co najmniej równoważne wymaganiom określonym w SWZ. W związku z powyższym Zamawiający dokonuje zmiany treści SWZ poprzez usunięcie pkt 4 i 5 w Części 3 SWZ.

Zamawiający nie uwzględnia wniosku i podtrzymuje wymagania dotyczące złożenia próbki wraz z ofertą oraz jej prezentacji na zasadach określonych w dokumentach zamówienia. Próbka stanowi przedmiotowy środek dowodowy służący potwierdzeniu, że oferowany Centralny System Bezpieczeństwa rzeczywiście posiada wymagane funkcjonalności. Ze względu na złożony i zintegrowany charakter systemu jego działania, w szczególności wymiany danych między modułami, korelacji zdarzeń, obsługi incydentów, raportowania i automatyzacji reakcji, nie można wystarczająco zweryfikować wyłącznie na podstawie dokumentacji technicznej lub oświadczeń. Zgodnie z art. 107 ust. 1 ustawy Pzp przedmiotowe środki dowodowe składa się wraz z ofertą. Obowiązek złożenia próbki dotyczy wszystkich Wykonawców na jednakowych zasadach, natomiast do jej prezentacji zostanie wezwany wyłącznie Wykonawca, którego oferta została najwyżej oceniona. Zamawiający nie dopuszcza zastąpienia próbki prezentacją online w środowisku pozostającym pod kontrolą Wykonawcy lub producenta. Taka forma nie zapewnia przekazania Zamawiającemu utrwalonego środowiska stanowiącego załącznik do oferty ani możliwości potwierdzenia jego integralności i konfiguracji na dzień upływu terminu składania ofert. Próbka nie stanowi docelowego wdrożenia produkcyjnego. Obejmuje oferowaną wersję systemu, skonfigurowaną na sprzęcie Wykonawcy i zasiloną danymi demonstracyjnymi w zakresie niezbędnym do przeprowadzenia czynności określonych w Scenariuszu próbki. Wymaganie jest związane z przedmiotem zamówienia, dotyczy jego kluczowego elementu i służy obiektywnej weryfikacji spełnienia wymagań obligatoryjnych. Zamawiający nie dokonuje zmiany dokumentów zamówienia.