Dostawa infrastruktury serwerowej i oprogramowania – Warszawa

Zamawiający dopuszcza wskazane w pytaniu akcje Log, Copy, Move, Delete oraz Shadow Copy w zakresie remediacji danych wykrytych na stacjach końcowych i w skanowanych repozytoriach. Jednocześnie Zamawiający podtrzymuje wymaganie, aby oferowane rozwiązanie DLP umożliwiało blokowanie, zgodnie ze skonfigurowaną polityką bezpieczeństwa, niedozwolonego kopiowania lub przesyłania danych wrażliwych przez kontrolowane kanały transmisji. Funkcje szyfrowania plików oraz stosowania ograniczeń dostępu nie będą wymagane obligatoryjnie. Zamawiający dokona odpowiedniej zmiany OPZ.

Zamawiający wyjaśnia, że nie wymaga jednoczesnej obsługi kwarantanny lokalnej oraz centralnego repozytorium kwarantanny. Wymaganie zostanie spełnione, jeżeli oprogramowanie umożliwia przeniesienie wykrytego pliku z jego pierwotnej lokalizacji do wskazanej lokalizacji lub objęcie go mechanizmem kwarantanny – lokalnej albo centralnej, zależnie od architektury oferowanego rozwiązania. Za mechanizm kwarantanny może zostać uznane również logiczne odizolowanie pliku bez jego fizycznego przeniesienia, pod warunkiem że plik przestaje być dostępny dla nieuprawnionego użytkownika, działanie jest rejestrowane i może być centralnie zarządzane, a uprawniony administrator ma możliwość weryfikacji pliku oraz przywrócenia jego dostępności. Samo oznaczenie pliku, wygenerowanie alertu albo zablokowanie pojedynczej operacji kopiowania, bez odizolowania pliku, nie zostanie uznane za spełnienie wymagania dotyczącego przeniesienia pliku lub objęcia go kwarantanną. W odniesieniu do wymagania dotyczącego usunięcia pliku Zamawiający wymaga, aby oprogramowanie umożliwiało zastosowanie akcji remediacyjnej powodującej usunięcie pliku z jego dotychczasowej lokalizacji. Zablokowanie dostępu do pliku lub przeniesienie go do kwarantanny nie zastępuje wymaganej funkcji usunięcia, lecz może stanowić odrębną akcję remediacyjną. Wymóg ten dotyczy dostępności funkcji usunięcia i nie oznacza obowiązku automatycznego usuwania każdego wykrytego pliku ani nieodwracalnego nadpisywania danych na poziomie nośnika. Wykonanie akcji usunięcia powinno następować zgodnie ze skonfigurowaną polityką bezpieczeństwa DLP oraz uprawnieniami nadanymi administratorom systemu. Wymaganie dotyczące monitorowania oraz blokowania niedozwolonych operacji odnosi się do kopiowania, przesyłania lub udostępniania danych wrażliwych z wykorzystaniem kanałów kontrolowanych przez rozwiązanie DLP. Zakres ochrony powinien obejmować co najmniej: • nośniki wymienne, w tym pamięci USB i dyski zewnętrzne; • udziały i zasoby sieciowe; • pocztę elektroniczną; • przesyłanie plików z wykorzystaniem HTTP/HTTPS, w tym do usług internetowych i chmurowych dostępnych przez przeglądarkę. Zamawiający nie wymaga blokowania każdej operacji kopiowania pomiędzy katalogami w obrębie tej samej chronionej stacji roboczej, jeżeli dane nie opuszczają kontrolowanego środowiska. Operacje takie mogą podlegać monitorowaniu lub blokowaniu, jeżeli wynika to ze skonfigurowanej polityki DLP. Zamawiający nie wymaga dedykowanej integracji ze wszystkimi istniejącymi komunikatorami internetowymi ani z każdą usługą chmurową. Transmisja realizowana przez takie aplikacje podlega ochronie w zakresie, w jakim odbywa się za pośrednictwem kanału obsługiwanego i kontrolowanego przez zaoferowane rozwiązanie DLP.

Nie. Zamawiający podtrzymuje wymagania określone w OPZ w pełnym brzmieniu i nie dopuszcza opisanego rozwiązania. Uzasadnienie: Wymóg wsparcia dla protokołów SNMP, IPMI oraz SSH pozostaje bez zmian. Protokół IPMI 2.0 jest standardowo wspierany przez wbudowane kontrolery zarządzania (BMC) wszystkich wiodących producentów serwerów klasy enterprise i nie stanowi bariery technicznej ani kosztowej dla żadnego z nich. Wymóg zarządzania oraz instalacji sterowników/oprogramowania wewnętrznego bez udziału dedykowanego agenta pozostaje bez zmian. Rozwiązanie agentowe wymaga instalacji dodatkowego oprogramowania wewnątrz systemu operacyjnego serwera, co zwiększa powierzchnię ataku i liczbę komponentów wymagających utrzymania, czego Zamawiający chce uniknąć. Zakres modułu raportującego określony w OPZ pozostaje bez zmian w pełnym brzmieniu (w tym: konfiguracja poszczególnych urządzeń, obsadzenie slotów PCIe i gniazd pamięci, stan gwarancji, adresy IP kart sieciowych). Zawężony zakres proponowany przez Wykonawcę jest niewystarczający dla bieżącej eksploatacji i planowania rozbudowy infrastruktury przez Zamawiającego.

Zamawiający częściowo nie wyraża zgody na proponowaną zmianę. Zamawiający podtrzymuje wymóg, zgodnie z którym gwarancja NBD (Next Business Day) oznacza gwarancję naprawy lub wymiany sprzętu na nowy w następnym dniu roboczym od momentu zgłoszenia awarii — a nie wyłącznie przystąpienia do naprawy (przybycia na miejsce) w tym terminie, bez określenia czasu jej faktycznego zakończenia. Proponowane brzmienie zastępuje twardy parametr czasu naprawy (time to repair) parametrem czasu reakcji (time to respond), co w praktyce nie ogranicza w żaden sposób rzeczywistego czasu przestoju Urządzenia i jest nie do przyjęcia dla infrastruktury o znaczeniu produkcyjnym. Zamawiający zwraca przy tym uwagę, że OPZ przewiduje już mechanizm równoważący ten wymóg na wypadek obiektywnych trudności z jego dotrzymaniem: zgodnie z zapisem OPZ, w przypadku braku możliwości dotrzymania czasu przywrócenia działania, Wykonawca zobowiązany jest zapewnić rozwiązanie zastępcze (sprzęt lub komponent) o parametrach nie gorszych, na czas usuwania awarii. Wymóg naprawy do NBD nie jest zatem rygorystyczny bez zabezpieczenia — jego uzupełnieniem jest właśnie obowiązek podstawienia sprzętu zastępczego, gdy faktyczna naprawa się przedłuża. Usunięcie zobowiązania do naprawy w terminie NBD (jak proponuje Wykonawca) pozbawiłoby zasadności również tę klauzulę zastępczą, osłabiając ciągłość działania infrastruktury Zamawiającego. Jednocześnie Zamawiający dopuszcza doprecyzowanie, że czynności serwisowe w ramach gwarancji mogą być realizowane przez autoryzowanego przedstawiciela producenta lub podmiot przez niego autoryzowany — pod warunkiem zachowania wymogu naprawy lub wymiany sprzętu na nowy w następnym dniu roboczym od zgłoszenia awarii oraz zachowania obowiązku zapewnienia sprzętu zastępczego w przypadku niedotrzymania tego terminu.