Infrastruktura serwerowa i oprogramowanie cyberbezpieczeństwa – gmina Polanica-Zdrój

Zamawiający nie dopuszcza wnioskowanego rozwiązania równoważnego i podtrzymuje wymagania określone w Opisie Przedmiotu Zamówienia w zakresie obecności fizycznego panelu LCD na froncie obudowy.

Zamawiający dla Urządzenia nr 1 dopuszcza ograniczenie liczby portów 1GbE do minimum 2 sztuk oraz zmniejszenie liczby wolnych gniazd PCle do minimum 1 sztuki, przy czym wymagania dotyczące portów 10GbE pozostają bez zmian.

Zamawiający wyjaśnia, iż działając w pełnej zgodzie z art. 99 ust. 4 ustawy Pzp, opis przedmiotu zamówienia został sformułowany poprzez określenie wymagań funkcjonalnych oraz minimalnych parametrów technicznych, które wynikają z obiektywnych, uzasadnionych i zidentyfikowanych potrzeb bezpieczeństwa teleinformatycznego Urzędu Miejskiego w Polanicy-Zdrój. Zamawiający nie jest uprawniony ani zobowiązany do wskazywania z nazwy konkretnych produktów lub producentów rozwiązań dostępnych na rynku. Mając jednak na celu zapewnienie jak najszerszej konkurencyjności i jednoznaczne wyjaśnienie intencji zapisów OPZ, Zamawiający dokonuje modyfikacji i doprecyzowania treści Załącznika nr 7 (OPZ) w Sekcji VI. Zamawiający dopuszcza, aby wymagane funkcjonalności — tj. asymetryczne szyfrowanie wiadomości e-mail w standardzie End-to-End, moduł zdalnego wsparcia/pulpitu (pkt 1.18) oraz funkcje filtrowania i ochrony przed phishingiem/spoofingiem (pkt 1.27) — być realizowane za pomocą jednego zintegrowanego systemu, bądź za pomocą zestawu oddzielnych, lecz w pełni kompatybilnych i współpracujących ze sobą modułów/programów dostarczonych przez Wykonawcę w ramach oferowanej ceny. Warunkiem koniecznym jest zapewnienie centralnego zarządzania dostarczonym pakietem licencji z poziomu jednej, wspólnej konsoli administracyjnej. Jednocześnie Zamawiający kategorycznie zastrzega, że całe dostarczane oprogramowanie w ramach tej sekcji musi funkcjonować jako rozwiązanie w całości lokalne (on-premise), wdrożone i uruchomione w infrastrukturze Zamawiającego. Zamawiający nie dopuszcza stosowania rozwiązań chmurowych (Cloud/SaaS) ani modeli licencjonowania opartych na subskrypcjach (licencjach czasowych). Wszelkie dostarczone oprogramowanie i licencje (60 sztuk) muszą mieć charakter licencji wieczystych (perpetual).

Zamawiający dopuszcza zaoferowanie rozwiązania, w którym konfiguracja jedno- lub dwuprocesorowa jest określana na etapie doboru serwera (bez możliwości późniejszej rozbudowy), przy zachowaniu wymaganej wydajności obliczeniowej procesora.

Zamawiający dopuszcza rozwiązanie, w którym dostęp do panelu administracyjnego oraz operacje wsparcia technicznego (w tym mechanizmy zdalnego przejmowania pulpitów użytkowników) są zabezpieczone uwierzytelnianiem dwu- lub wieloskładnikowym (MFA / 2FA). Jednocześnie Zamawiający przypomina, iż zgodnie z ogólnymi warunkami zamówienia dla tej sekcji, całe oferowane oprogramowanie — w tym również ewentualne moduły uwierzytelniające — musi bezwzględnie spełniać wymóg lokalnej architektury (on-premise), bez subskrypcyjnego modelu rozliczeń oraz bazować na licencjach wieczystych.

Zamawiający nie dopuszcza modyfikacji zapisów OPZ we wnioskowanym zakresie i podtrzymuje wymagania dotyczące obligatoryjnego stosowania algorytmu AES-256. Argumentacja Wykonawcy opiera się na porównaniu dwóch skrajnie różnych kategorii kryptograficznych: algorytmów asymetrycznych (klucza publicznego) oraz algorytmów symetrycznych, które pełnią zupełnie inne role w architekturze bezpieczeństwa nowoczesnego systemu IT: 1. Kryptografia krzywych eliptycznych (ECC) to algorytm asymetryczny, służący do bezpiecznej wymiany kluczy, uwierzytelniania lub podpisu cyfrowego. Z kolei żądany przez Zamawiającego AES-256 to algorytm symetryczny, służący do masowego, szyfrowania właściwych danych. W bezpiecznych systemach standardem jest model hybrydowy: ECC inicjuje bezpieczne połączenie i przekazuje klucz sesji, którym następnie algorytm AES-256 szyfruje całą właściwą transmisję danych. Wykorzystanie ECC w żadnym wypadku nie eliminuje potrzeby stosowania kryptografii symetrycznej AES-256. 2. Standard AES-256 posiada oficjalną certyfikację FIPS 197 wydaną przez amerykański instytut NIST i jest powszechnie uznawany przez instytucje krajowe oraz międzynarodowe (m.in. NIST, ENISA) jako absolutne, niepodważalne minimum dla ochrony danych o wysokim stopniu poufności. Stosowanie algorytmu AES-256 w infrastrukturze lokalnej jest niezbędne dla spełnienia rygorystycznych wymogów prawnych związanych z ochroną danych osobowych oraz ciągłością działania jednostek sektora publicznego (w tym przepisów RODO/GDPR, dyrektywy NIS2, ustawy o Krajowym Systemie Cyberbezpieczeństwa oraz norm ISO 27001).