Opracowanie SZBI i szkolenia cyberbezpieczeństwo – Kuźnia Raciborska

Zamawiający uwzględnia uwagę dotyczącą braku odrębnej pozycji U04 w formularzu ofertowym. Załącznik nr 1 został uzupełniony dla Części I o pozycję „U04 — Testy bezpieczeństwa aplikacji IT/OT/ICS/IIoT”. Uzupełniony Formularz ofertowy stanowiący Załącznik nr 1 do Zapytania ofertowego został udostępniony wraz niniejszymi wyjaśnieniami. Zamawiający potwierdza, że Wykonawca jest zobowiązany zapewnić do realizacji U02 i U04 osoby posiadające wiedzę oraz praktyczne umiejętności odpowiednie do wykonywania testów bezpieczeństwa infrastruktury i aplikacji, z uwzględnieniem ograniczeń środowiska OT/ICS. Niemniej jednak Zamawiający nie widzi potrzeby wprowadzania dodatkowego warunku udziału w postępowaniu w zakresie dysponowania odrębną osobą na stanowisku pentestera, jak również obowiązku posiadania określonego certyfikatu testerskiego. Zapisy Zapytania Ofertowego wskazują, iż Wykonawca winien wykonać przedmiot zamówienia m.in. z należytą starannością oraz powinien dysponować niezbędną wiedzą, doświadczeniem, potencjałem technicznym i osobowym. Warunki udziału określone w pkt 6.2 Zapytania ofertowego pozostają bez zmian. Jednocześnie Zamawiający wyjaśnia, że Załącznik nr 5 stanowi wykaz usług, natomiast Załącznik nr 6 stanowi wykaz osób. Z uwagi na brak zmian warunków udziału w postępowaniu nie ma potrzeby dokonywania zmian w ww. załącznikach, gdyż nie wprowadza się dodatkowej obowiązkowej pozycji dotyczącej pentestera w tych załącznikach.

Przedmiot zamówienia jest realizowany w ramach projektu grantowego pn. „Bezpieczeństwo cyfrowe infrastruktury krytycznej w Gminie Kuźnia Raciborska" dla którego są określone ramy czasowe i terminy rozliczeń wynikające z umowy o powierzenie grantu w związku z czym Zamawiający nie ma możliwości przedłużenia terminu realizacji w zakresie określonym w pytaniu.

Zamawiający w nawiązaniu do złożonego zapytania podaje poniżej opis dla U04 wchodzący w zakres części I przedmiotu zamówienia: Część I –Testy bezpieczeństwa aplikacji IT/OT/ICS/IIoT (U04) Minimalny zakres prac: Zakres aplikacji i interfejsów zostanie określony w U18 i zatwierdzony przez Zamawiającego. Obejmuje aplikacje, interfejsy WWW/API oraz panele administracyjne istotne dla wdrożonego rozwiązania, które mogą być testowane bez ryzyka dla procesów technologicznych tj.: 1. plan testów, konta testowe i zakres uprawnień; 2. uwierzytelnianie, autoryzacja, kontrola dostępu i separacja ról; 3. zarządzanie sesją, hasłami/MFA i mechanizmami odzyskiwania dostępu – jeżeli występują; 4. walidacja danych wejściowych, upload/download plików, błędy konfiguracji i ujawnianie informacji; 5. bezpieczeństwo API i interfejsów integracyjnych – jeżeli występują; 6. konfiguracja TLS/HTTPS i nagłówków bezpieczeństwa dla aplikacji WWW – jeżeli występują; 7. próby wykorzystania podatności tylko w zakresie bezpiecznym i uzgodnionym; 8. raport techniczny z oceną ryzyka, dowodami, rekomendacjami i podsumowaniem zarządczym; 9. jednorazowy retest podatności krytycznych i wysokich po wdrożeniu poprawek.

Na potrzeby przygotowania i wyceny oferty Zamawiający podaje następujące informacje: 1. Infrastruktura posiada jeden zewnętrzny adres IP. Szczegółowa adresacja wewnętrzna zostanie ustalona w ramach audytu przedwdrożeniowego U18 i udostępniona Wykonawcy w zakresie niezbędnym do realizacji testów. 2. Łączna liczba urządzeń IT i OT przewidzianych do objęcia zakresem testów wynosi do 50. Podział na kategorie urządzeń oraz wykaz zastosowanych technologii i protokołów zostaną określone w ramach U18. 3. Liczba segmentów sieci IT/OT i docelowa segmentacja zostaną określone w ramach U18. Testy obejmą weryfikację segmentacji wdrożonej na podstawie zatwierdzonych ustaleń projektowych. 4. Zamawiający dopuszcza wykonywanie testów w godzinach pracy przedsiębiorstwa. Szczegółowe terminy, okna testowe i ograniczenia dla poszczególnych systemów zostaną uzgodnione po audycie przedwdrożeniowym i określone w zatwierdzonym Planie Testów. 5. Zamawiający dopuszcza realizację testów zdalnie, przy wykorzystaniu uzgodnionego, zabezpieczonego dostępu, w tym połączenia VPN. Nie wymaga realizacji całości testów wyłącznie na miejscu. Testy muszą być prowadzone zgodnie z zasadami bezpieczeństwa określonymi w OPZ stanowiącym Załącznikiem nr 10 do Zapytania Ofertowego. W szczególności nie mogą powodować destabilizacji środowiska ani zakłócenia procesów technologicznych. Szczegółowy zakres dozwolonych technik, zasady dostępu oraz kryteria przerwania testów zostaną określone w Planie Testów zatwierdzonym przez Zamawiającego.

Audyt końcowy należy wykonać zgodnie z zapisami Zapytania Ofertowego.

Na potrzeby przygotowania i wyceny oferty należy przyjąć cztery aplikacje: 1. system wspierający obsługę księgową i administracyjno-biznesową przedsiębiorstwa, w zakresie wykorzystywanych modułów, 2. system branżowy wspierający rozliczenia usług wodociągowo-kanalizacyjnych i obsługę odbiorców, 3. system służący do monitorowania i wizualizacji danych oraz stanów obiektów technologicznych, 4. aplikacja przeglądarkowa służąca do internetowej obsługi odbiorców usług i udostępniania im informacji związanych z rozliczeniami. Dla każdej aplikacji należy przyjąć do testów po pięć formularzy lub odpowiadających im ekranów i funkcji, łącznie 20. Jest to zakres przyjęty na potrzeby wyceny testów, a nie deklaracja całkowitej liczby formularzy dostępnych w aplikacjach. Należy przyjąć dwa poziomy uprawnień: administrator i użytkownik. Wskazane pięć formularzy lub funkcji dla każdej aplikacji podlega weryfikacji w kontekście obu poziomów uprawnień, w zakresie, w jakim dana funkcja powinna być dla nich dostępna. Nie oznacza to pięciu odrębnych formularzy dla każdej roli. Szczegółowy wykaz formularzy i funkcji, występowanie oraz liczba miejsc umożliwiających załączanie plików, podział na interfejs użytkownika i zaplecze aplikacji, a także dostępność API i interfejsów integracyjnych zostaną ustalone w ramach U18. Zamawiający nie potwierdza na obecnym etapie, że każda aplikacja posiada funkcję załączania plików lub odrębne formularze części front-end i back-end. Zakres i metody testowania zostaną dostosowane do architektury aplikacji oraz możliwości bezpiecznego przeprowadzenia testów. Dla systemu służącego do monitorowania i wizualizacji danych oraz stanów obiektów technologicznych należy uwzględnić ograniczenia środowiska OT/ICS i zakaz nieuzgodnionej ingerencji w procesy technologiczne. Daty rozpoczęcia i zakończenia testów, przekazania raportów oraz retestów zostaną wskazane w harmonogramie realizacji, z uwzględnieniem gotowości środowiska i terminu zakończenia zamówienia obowiązującego w dokumentacji postępowania. Szczegóły wykonania zostaną określone w zatwierdzonym Planie Testów.

Realizację przeglądów zarządzania oraz formalnych przeglądów SZBI (U21) i SZCD (U24) należy wykonać zgodnie z zapisami Zapytania Ofertowego.