Dostawa rozwiązań cyberbezpieczeństwa IT i OT – Grodzisko Dolne

Zamawiający wyjaśnia, że opis przedmiotu zamówienia zawarty w rozdziale 2.8 OPZ nie zawiera wymogu obsługi protokołu SSL VPN przez oferowane urządzenie NGFW. Punkt 5.5 OPZ wymaga obsługi tuneli IPsec Gateway-to-Gateway oraz co najmniej 500 tuneli Client-to-Gateway (zdalny dostęp), nie przesądzając o protokole, w oparciu o który zdalny dostęp jest realizowany. W związku z powyższym Zamawiający dopuszcza zaoferowanie urządzenia realizującego bezpieczny zdalny dostęp typu client-to-site wyłącznie w oparciu o protokół IPsec (w tym z enkapsulacją IPsec w protokole TCP), bez wsparcia dla protokołu SSL VPN, pod warunkiem spełnienia pozostałych wymagań OPZ, w szczególności obsługi wymaganej liczby tuneli VPN oraz mechanizmu Zero Trust Network Access (ZTNA) lub równoważnego, o którym mowa w pkt 5.7 OPZ. Jednocześnie Zamawiający wskazuje, że wymagania rozdziału 2.7 OPZ (Oprogramowanie do VPN) pozostają bez zmian. Zgodnie z pkt 4 tego rozdziału oprogramowanie klienckie musi obsługiwać co najmniej dwa z trzech wymienionych tam protokołów tunelowania, przy czym wymóg obsługi TLS 1.2 i TLS 1.3 odnosi się wyłącznie do połączeń SSL VPN i aktualizuje się tylko wówczas, gdy oferowane oprogramowanie taki tryb udostępnia. Wykonawca zobowiązany jest zapewnić wzajemną interoperacyjność oferowanego urządzenia NGFW i oferowanego oprogramowania VPN w zakresie zdalnego dostępu do zasobów Zamawiającego. Odpowiedź ma charakter wyjaśniający – treść SWZ i OPZ nie ulega w tym zakresie zmianie.

Zamawiający dopuszcza. Celem wymagania określonego w pkt 3.4 OPZ jest zapewnienie możliwości odseparowania ruchu zarządzającego od ruchu produkcyjnego, a nie fabryczne oznaczenie portu jako „MGMT”. Zamawiający dopuszcza zaoferowanie urządzenia nieposiadającego fabrycznie wydzielonego portu zarządzania, wyposażonego w co najmniej 8 portów Ethernet 10/100/1000Base-T (RJ-45) oraz co najmniej 2 sloty SFP lub SFP+, pod warunkiem że co najmniej jeden z portów RJ-45 może zostać skonfigurowany i przeznaczony wyłącznie do zarządzania urządzeniem, z logiczną separacją od ruchu danych, tj. z możliwością przypisania mu dedykowanego interfejsu lub sieci VLAN zarządzania oraz ograniczenia usług zarządzania (GUI HTTPS, SSH, SNMP) wyłącznie do tego interfejsu. Zamawiający dokonuje w tym zakresie zmiany treści OPZ – zob. część II niniejszego pisma, zmiana nr 1.

Zamawiający wyraża zgodę na modyfikację wymagania. Skala infrastruktury technologicznej Zamawiającego – obiekty gminnego systemu zbiorowego zaopatrzenia w wodę i odbioru ścieków – nie uzasadnia utrzymania wymogu obsługi 1 000 tuneli IPsec Gateway-to-Gateway. Obsługa co najmniej 200 tuneli Gateway-to-Gateway z zapasem pokrywa zarówno obecne potrzeby Zamawiającego, jak i przewidywany rozwój sieci w okresie eksploatacji urządzenia, a obniżenie tego progu służy zachowaniu uczciwej konkurencji i równego traktowania wykonawców (art. 16 pkt 1 oraz art. 99 ust. 4 ustawy Pzp). Wymóg obsługi co najmniej 500 tuneli Client-to-Gateway pozostaje bez zmian. Bez zmian pozostają również wszystkie wymagania wydajnościowe określone w pkt 4 OPZ, w tym przepustowość tuneli VPN IPsec na poziomie nie mniejszym niż 5 Gbps. Zamawiający dokonuje w tym zakresie zmiany treści OPZ – zob. część II niniejszego pisma, zmiana nr 2.

Zamawiający wyjaśnia, że przez realizację gwarancji w trybie NBD (Next Business Day) rozumie przyjęcie zgłoszenia awarii oraz podjęcie działań serwisowych – w tym wysyłkę sprawnego urządzenia zastępczego, urządzenia na wymianę albo części zamiennej – najpóźniej w następnym dniu roboczym po dniu przyjęcia zgłoszenia, zgodnie ze standardem wsparcia producenta. Zamawiający nie wymaga fizycznego dostarczenia sprzętu do siedziby Zamawiającego w następnym dniu roboczym po zgłoszeniu. Jednocześnie, w celu usunięcia wątpliwości co do maksymalnego czasu pozostawania urządzenia w stanie niesprawności, Zamawiający określa graniczny termin usunięcia awarii: naprawa albo wymiana urządzenia na sprawne, wolne od wad, nastąpi nie później niż w terminie 10 dni roboczych od dnia przyjęcia zgłoszenia. Postanowienie to nie uchybia dalej idącym wymaganiom szczegółowym określonym w OPZ dla poszczególnych pozycji (w szczególności wymaganiu usunięcia awarii UPS w terminie 5 dni roboczych – rozdział 4.1 OPZ), ani postanowieniom dotyczącym nośników danych zawartym w pkt 1.1 OPZ. Powyższe pozostaje spójne ze wzorem umowy dla Zadania nr 1 (załącznik nr 8a do SWZ), który w § 6 wiąże tryb NBD z czasem reakcji serwisowej, a w § 9 przewiduje karę umowną za zwłokę w reakcji serwisowej (niedotrzymanie czasu reakcji NBD). Jednocześnie § 6 wzoru umowy wyłącza asortyment objęty rygorem NBD z ogólnego 14-dniowego terminu skutecznej naprawy – wskazany wyżej termin 10 dni roboczych uzupełnia tę lukę, przy czym zgodnie z § 6 wzoru umowy OPZ ma w zakresie standardów wsparcia charakter nadrzędny. Treść wzorów umów (załączniki nr 8a, 8b i 8c do SWZ) nie ulega zmianie. Zamawiający dokonuje w tym zakresie zmiany treści OPZ – zob. część II niniejszego pisma, zmiana nr 3.

Zamawiający dopuszcza. GOOSE jest protokołem warstwy 2 modelu OSI, rozgłaszanym w obrębie pojedynczej domeny rozgłoszeniowej i co do zasady nieprzekraczającym granicy segmentu chronionego przez urządzenie NGFW, wobec czego pełne dekodowanie jego zawartości na styku stref sieciowych ma w środowisku Zamawiającego ograniczone znaczenie praktyczne. Zamawiający uzna wymaganie pkt 5.2 OPZ za spełnione, jeżeli dla ruchu IEC 61850 GOOSE oferowane urządzenie zapewnia identyfikację protokołu oraz kontrolę jego przepływu (możliwość zezwolenia lub zablokowania w politykach bezpieczeństwa), przy zachowaniu pełnej inspekcji i dekodowania dla protokołu IEC 61850 MMS oraz dla pozostałych protokołów przemysłowych wymienionych w pkt 5.2 OPZ, tj. Modbus TCP, DNP3, IEC 60870-5-104, S7 (Siemens S7comm), EtherNet/IP, PROFINET oraz OPC-DA/OPC-UA. Zamawiający dokonuje w tym zakresie zmiany treści OPZ – zob. część II niniejszego pisma, zmiana nr 4.

Zamawiający potwierdza. Zamawiający nie wymaga wdrożenia dedykowanego systemu wykrywania anomalii opartego na uczeniu maszynowym ani na behawioralnym profilowaniu ruchu. Wymaganie zostanie uznane za spełnione, jeżeli oferowane urządzenie realizuje je z wykorzystaniem mechanizmów głębokiej inspekcji pakietów (DPI), systemu IPS/IDS oraz wbudowanych, automatycznie aktualizowanych sygnatur kontroli protokołów przemysłowych, w powiązaniu z granularną kontrolą poleceń i funkcji w ramach protokołów przemysłowych, o której mowa w pkt 5.2 OPZ. Warunkiem uznania wymagania za spełnione jest wykazanie, że oferowane rozwiązanie pozwala – w oparciu o polityki bezpieczeństwa – wykryć i zablokować zdarzenia wskazane przykładowo w OPZ, tj. zapis lub zmianę wartości rejestrów przez źródło nieuprawnione oraz nieautoryzowany dostęp do sterowników PLC. Odpowiedź ma charakter wyjaśniający – treść SWZ i OPZ nie ulega w tym zakresie zmianie.

Zamawiający potwierdza. Wymaganie dotyczące generowania logów i raportów zdarze