Świadczenie usługi wdrożenia centrum operacyjnego wraz z monitoringiem infrastruktury i

Zamawiający podtrzymuje zapisy projektu umowy.

Zamawiający nie dopuszcza realizacji zamówienia w oparciu o inny system klasy SIEM niż posiadany i eksploatowany obecnie przez Zamawiającego system. Przedmiotem zamówienia nie jest dostawa, wdrożenie ani udostępnienie nowego systemu SIEM, lecz wdrożenie centrum operacyjnego wraz z monitoringiem infrastruktury i obsługą zagrożeń, podatności i incydentów objętego serwisowym wsparciem cyberbezpieczeństwa, z wykorzystaniem istniejącego środowiska bezpieczeństwa Zamawiającego. Wymóg ten wynika z konieczności zapewnienia bezpieczeństwa infrastruktury Zamawiającego, ograniczenia ingerencji w tę infrastrukturę oraz uniknięcia instalacji i integracji nowego oprogramowania w środowisku produkcyjnym szpitala. Zamawiający przewiduje również realizację usługi w modelu współrealizacji z własnym zespołem, którego kompetencje operacyjne dotyczą używanego przez Zamawiającego systemu, umożliwiając zachowanie bieżącej kontroli nad usługą i ciągłością operacyjną. Dopuszczenie innego systemu SIEM prowadziłoby do zmiany architektury realizacji usługi, zwiększenia ryzyka operacyjnego i ryzyka bezpieczeństwa oraz osłabienia skuteczności tzw. planu wyjścia po zakończeniu umowy.

Zamawiający nie wyraża zgody na modyfikację zapisów we wnioskowanym zakresie. Zamawiający nie podziela stanowiska Wykonawcy, jakoby wysoki stopień specjalizacji czynności wskazanych w pkt 2–4 Rozdziału 7 SWZ uzasadniał wyłączenie ich z wymogu zatrudnienia na podstawie umowy o pracę. W szczególności Wykonawca mylnie utożsamia wymóg UoP z oceną samych kompetencji personelu albo z incydentalnym charakterem pojedynczego działania, podczas gdy przedmiot zamówienia został przez Zamawiającego opisany jako kompleksowa, ciągła i zorganizowana usługa SOC realizowana przez 36 miesięcy w odpowiednim reżimie czasowym, z precyzyjnie określonymi obowiązkami operacyjnymi, dotyczącymi raportowania, procesami dowodowymi i pracami koordynacyjnymi. Wskazany zakres usługi bezpieczeństwa dotyczy także analizy powłamaniowej, która nie została przewidziana jako jednorazowa ekspertyza, lecz jako element obsługi incydentów, powiązany m.in. z zabezpieczeniem materiału dowodowego, przygotowaniem danych dotyczących incydentu i sporządzaniem analizy dla każdego właściwego zdarzenia. Podobnie testy penetracyjne i audyty bezpieczeństwa stanowią w niniejszym zamówieniu część okresowego testowania i doskonalenia bezpieczeństwa środowiska teleinformatycznego, a koordynowanie obsługi SOC pozostaje funkcją osadzoną w stałym modelu organizacji i nadzoru nad realizacją przedmiotu umowy. W konsekwencji Zamawiający uznaje, że Wykonawca błędnie interpretuje zakres Rozdziału 7 SWZ, sprowadzając wskazane czynności do pojedynczych, odrębnych i wyłącznie eksperckich zleceń, podczas gdy zgodnie z aktualną treścią SWZ i projektem umowy są one częścią stałej formy realizacji zamówienia i pozostają adekwatnie objęte wymogiem zatrudnienia na podstawie umowy o pracę.

Zamawiający informuje, że nie określa maksymalnego ani oczekiwanego wolumenu pracochłonności testów penetracyjnych wyrażonego w osobodniach, ponieważ przedmiot zamówienia nie stanowi odrębnej usługi testów penetracyjnych rozliczanej według nakładu pracy, lecz kompleksową usługę SOC, w ramach której Wykonawca zobowiązany jest realizować okresowe, kontrolowane testy bezpieczeństwa monitorowanych przez niego systemów. Zakres testów odnosi się do monitorowanych systemów oraz kluczowych systemów teleinformatycznych Zamawiającego objętych przedmiotem zamówienia. Informacje opisujące środowisko zostały wskazane w SWZ, w szczególności poprzez określenie liczby użytkowników wewnętrznych, liczby usług zewnętrznych udostępnianych pacjentom, liczby tuneli VPN oraz modelu monitorowania realizowanego w oparciu o system SIEM Zamawiającego. Dodatkowo Zamawiający informuje, że nie narzuca jednej, z góry określonej metodyki realizacji zadań z zakresu testów penetracyjnych, takiej jak black box, grey box czy white box, ponieważ testy te stanowią element kompleksowej usługi SOC opisanej funkcjonalnie w SWZ, a nie odrębnie zamawianą usługę realizowaną według sztywno wskazanego modelu technicznego. Zamawiający nie ogranicza sposobu wykonania tego elementu zamówienia do jednej techniki testowej, pozostawiając Wykonawcy jako podmiotowi profesjonalnemu dobór adekwatnych metod działania, z uwzględnieniem jego wiedzy, doświadczenia oraz ustaleń i obserwacji poczynionych w toku realizacji przedmiotu umowy, w szczególności na podstawie wyników wdrożenia, monitoringu, analizy logów, oceny podatności, threat huntingu oraz identyfikacji istotnych elementów środowiska teleinformatycznego Zamawiającego.

Zamawiający informuje, że audyt bezpieczeństwa przewidziany w dokumentach zamówienia został opisany funkcjonalnie jako element kompleksowej usługi SOC i nie stanowi odrębnej usługi prowadzonej według jednej wyłącznej normy lub standardu. Podstawą realizacji audytu są wymagania i cele bezpieczeństwa wynikające z SWZ oraz projektu umowy, w szczególności obowiązek przeprowadzenia wstępnego audytu polityk i mechanizmów bezpieczeństwa infrastruktury teletechnicznej objętej przedmiotem zamówienia, realizacja usługi zgodnie z wymaganiami organizacyjnymi i technicznymi rozporządzenia Ministra Cyfryzacji z dnia 4 grudnia 2019 r., wsparcie obowiązków Zamawiającego wynikających z ustawy o krajowym systemie cyberbezpieczeństwa i przepisów wdrażających NIS2 oraz realizacja usługi w oparciu o system zarządzania bezpieczeństwem informacji utrzymywany przez Wykonawcę zgodnie z PN-EN ISO/IEC 27001 lub równoważnie, zgodnie z opisem SWZ. Jednocześnie Zamawiający informuje, że audyt nie został ograniczony wyłącznie do przeglądu dokumentacji, procesów i procedur, lecz obejmuje ocenę polityk i mechanizmów bezpieczeństwa środowiska objętego zamówieniem w zakresie adekwatnym do celu usługi, poziomu ryzyka oraz systemów objętych monitoringiem i analizą w ramach zadań związanych z tzw. SOC. Zakres ten może obejmować również techniczne aspekty bezpieczeństwa, w tym ocenę konfiguracji i mechanizmów ochronnych, o ile jest to niezbędne do prawidłowej realizacji przedmiotu zamówienia, oceny bezpieczeństwa monitorowanych systemów oraz sformułowania rekomendacji organizacyjnych i technicznych. Zakres audytu został opisany funkcjonalnie i odnosi się do infrastruktury objętej przedmiotem zamówienia, zgodnie z zakresem o którym mowa w pkt 6 Tabeli, która znajduje się w Rozdziale 5 SWZ pkt 5.2 Przedmiot zamówienia, z uwzględnieniem kluczowych systemów teleinformatycznych oraz innych istotnych elementów infrastruktury zidentyfikowanych w toku realizacji usługi.