Oprogramowanie do cyberbezpieczeństwa – Chorzów

Zamawiający zapewni zasoby infrastruktury serwerowej oraz przestrzeń dyskową niezbędną do uruchomienia i prawidłowego funkcjonowania archiwum logów oraz komponentu Forwarder. W zakresie środowiska Veeam Immutable Backup Zamawiający informuje, że docelowa infrastruktura przeznaczona do przechowywania niezmienialnych kopii zapasowych znajduje się obecnie na etapie projektowania i zostanie udostępniona po jej uruchomieniu. Dostawa, konfiguracja infrastruktury sprzętowej oraz przestrzeni dyskowej tego środowiska, a także jego uruchomienie i oddanie do użytkowania nie stanowią przedmiotu niniejszego postępowania.

Zamawiający nie potwierdza przedstawionej interpretacji. Wymaganie S-01 nie odnosi się wyłącznie do przeniesienia odpowiedzialności administracyjnej za lokalną infrastrukturę serwerową na Wykonawcę. Celem wymagania jest dostarczenie zasadniczych funkcji platformy SIEM w modelu usługowym, w którym Zamawiający nie jest zobowiązany do utrzymywania w swojej lokalizacji infrastruktury serwerowej stanowiącej podstawowe środowisko obliczeniowe, bazodanowe i składowania danych piatformy SIEM. Zamawiający nie dopuszcza zatem rozwiązania, w którym zasadnicze funkcje systemu SIEM, w szczególności: przyjmowanie i przetwarzanie danych, korelacja, przechowywanie aktywnej retencji, mechanizmy detekcji, threat hunting, case management i SOAR, są realizowane przez dedykowany serwer lub appliance zlokalizowany w infrastrukturze Zamawiającego, nawet jeżeli jego administracja i utrzymanie miałyby być realizowane przez Wykonawcę. Powyższe wynika z przyjętego modelu architektonicznego, którego celem jest ograniczenie konieczności utrzymywania przez Zamawiającego dodatkowej infrastruktury stanowiącej rdzeń platformy SIEM, jej zasobów obliczeniowych, pojemnościowych, wysokiej dostępności, cyklu życia sprzętu oraz zależności od pojedynczego lokalnego urządzenia. Zamawiający dopuszcza natomiast instalację w swojej infrastrukturze komponentów pomocniczych niezbędnych do integracji źródeł z platformą, takich jak collector, forwarder, gateway, agent lub równoważny komponent techniczny, pod warunkiem że komponenty te nie stanowią podstawowej infrastruktury obliczeniowej i składowania danych systemu SIEM oraz ich awaria nie powoduje utraty podstawowych funkcji platformy jako usługi. Lokalny system gromadzenia i długoterminowej retencji logów, wymagany odrębnie przez OPZ, nie jest traktowany jako infrastruktura serwerowa platformy SIEM w rozumieniu S-01. Zamawiający podtrzymuje wymaganie S-01. Jednocześnie Zamawiający informuje, iż termin składania i otwarcia ofert oraz związania ofertą, pozostają bez zmian.

Celem Zamawiającego jest rozbudowa istniejącego systemu cyberbezpieczeństwa poprzez uzupełnienie go o platformę klasy SIEM/XDR/SOAR. Przedmiotem zamówienia nie jest zastąpienie, ograniczenie funkcjonalności ani istotna przebudowa posiadanych przez Zamawiającego systemów bezpieczeństwa, w szczególności ESET PROTECT / ESET Inspect i Stormshield, wyłącznie w celu dostosowania ich do ograniczeń architektury oferowanego systemu SIEM. Zamawiający potwierdza, że wymagania U-04, TO-03 i TO-04 mogą zostać spełnione również przy wykorzystaniu mechanizmu równoważnego, o którym mowa w N-01, jednak równoważność nie oznacza wyłącznie technicznej możliwości przesłania zdarzeń ze źródła do systemu SIEM. Za równoważny Zamawiający uzna mechanizm, który łącznie: 1. wykorzystuje sposób pozyskiwania danych wspierany przez producenta systemu źródłowego; 2. wykorzystuje komponent integracyjny oficjalnie wspierany przez producenta oferowanej platformy SIEM lub funkcjonujący w ramach oficjalnego modelu wsparcia tej platformy; 3. zapewnia dedykowane dla danego źródła parsowanie, normalizację i mapowanie danych do modelu danych platformy; 4. zachowuje semantykę i kontekst bezpieczeństwa udostępniany przez system źródłowy; 5. umożliwia wykorzystanie pozyskanych danych co najmniej w mechanizmach wyszukiwania, korelacji, detekcji, threat huntingu, alertowania i obsługi incydentów; 6. nie powoduje ograniczenia zakresu informacji lub funkcji bezpieczeństwa dostępnych w systemie źródłowym; 7. posiada zapewniony mechanizm utrzymania kompatybilności po aktualizacjach systemu źródłowego i platformy SIEM w całym okresie obowiązywania subskrypcji; 8. nie wymaga zastąpienia lub ograniczenia funkcjonalności istniejących systemów Zamawiającego ani zakupu dodatkowego rozwiązania bezpieczeństwa wyłącznie w celu zapewnienia wymaganej integracji;

Zamawiający posiada licencję Veeam Universal License (VUL), obejmującą licencjonowanie na podstawie liczby chronionych instancji. Zamawiający dysponuje wystarczającą liczbą dostępnych instancji licencyjnych, umożliwiającą realizację procesu wykonywania kopii zapasowych w zakresie przewidzianym niniejszym postępowaniem. W związku z powyższym Wykonawca nie jest zobowiązany do dostarczenia dodatkowych licencji Veeam na potrzeby realizacji zamówienia. Jednocześnie Zamawiający informuje, iż termin składania i otwarcia ofert oraz związania ofertą, pozostają bez zmian.

Zamawiający potwierdza możliwość realizacji wskazanych funkcji przy wykorzystaniu różnych mechanizmów technicznych oferowanej platformy, jednak nie wyraża zgody na dodanie do S-38, S-39 i S-41 wspólnego zapisu w brzmieniu zaproponowanym przez Wykonawcę. W odniesieniu do S-38 Zamawiający wyjaśnia, że przez wbudowaną bazę wskaźników kompromitacji rozumie natywny dla oferowanej platformy, trwały mechanizm przechowywania i zarządzania loC. Mechanizm może być określany przez producenta jako baza, kolekcja, lista, tabela, repozytorium lub w inny sposób. Nie jest wymagany konkretny sposób technicznej implementacji. Wskaźniki muszą być możliwe do bezpośredniego wykorzystania przez funkcje bezpieczeństwa platformy, w szczególności mechanizmy detekcji, korelacji, wyszukiwania, threat huntingu i obsługi alertów. W odniesieniu do S-39 Zamawiający dopuszcza automatyczne i cykliczne pobieranie loC z MISP przy wykorzystaniu standardowego konektora, modułu, playbooka, API lub innego mechanizmu oficjalnie wspieranego dla oferowanego rozwiązania i skonfigurowanego przez Wykonawcę. Mechanizm nie może wymagać każdorazowego ręcznego importowania danych przez administratora. . W odniesieniu do S-41 Zamawiający wymaga funkcji pozwalającej po pojawieniu się nowych lub zaktualizowanych loC automatycznie zweryfikować ich występowanie również w zdarzeniach już zgromadzonych w okresie aktywnej retencji SIEM. Funkcja może być realizowana przez retrohunt lub równoważny mechanizm techniczny, pod warunkiem że nie wymaga każdorazowego ręcznego uruchomienia przez operatora oraz w przypadku odnalezienia dopasowania umożliwia utworzenie detekcji, alertu lub równoważnego zdarzenia bezpieczeństwa. Samo skonfigurowanie przez Wykonawcę okresowego zapytania analitycznego nie będzie uznawane za . równoważne, jeżeli realizacja funkcji wymaga stałego utrzymywania przez Wykonawcę rozwiązania własnego, niewchodzącego w standardowy lub oficjalnie wspierany mechanizm oferowanej platformy. Zamawiający odpowiednio doprecyzowuje S-38, S-39 i S-41. S-38 Było Po zmianie System SIEM musi posiadać wbudowaną bazę wskaźników kompromitacji (loC), umożliwiającą ich zbieranie, przechowywanie oraz powiązanie z alertami i sprawami. Baza musi obsługiwać co