Wdrożenie i utrzymanie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) oraz SOC

• Część 1 (usługa): wdrożenie i utrzymanie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) zgodnego z PN-EN ISO/IEC 27001:2023-08, obejmujące: opracowanie kompletnej dokumentacji SZBI (Polityka Bezpieczeństwa Informacji, procedury operacyjne, procedury reagowania na incydenty), wdrożenie SZBI w strukturach szpitala wraz z wytycznymi konfiguracji technicznych i organizacyjnych, zaplanowanie procesów monitorowania i ciągłego doskonalenia, przeprowadzenie szkoleń e-learningowych z dokumentacji SZBI oraz cyberhigieny dla obecnych i przyszłych pracowników + szkolenie stacjonarne kierownika Zamawiającego, a następnie utrzymanie i doskonalenie SZBI przez 36 miesięcy (okresowe przeglądy, aktualizacja dokumentacji i rejestru ryzyka, coroczne audyty wewnętrzne, przeglądy zgodności, wsparcie podczas kontroli i audytów, rekomendacje działań korygujących i doskonalących).
• Część 2 (usługa): świadczenie usługi Centrum Operacji Bezpieczeństwa (SOC) w trybie 24/7/365 przez 36 miesięcy, obejmujące: analizę przedwdrożeniową i rozruch (do 3 miesięcy), dostarczenie systemu SIEM oraz Systemu do Zarządzania Incydentami w modelu usługowym wraz z licencjami, monitoring i korelację logów z ok. 500 stacji roboczych, ok. 30 serwerów fizycznych/wirtualnych, ok. 35 przełączników sieciowych, urządzeń brzegowych Fortigate, ok. 52 punktów dostępowych WiFi, 2 kontrolerów domeny, systemów i aplikacji serwerowych (w tym HIS, RIS/PACS, ERP), systemów bezpieczeństwa (NAC Aruba Clearpass, AV/EDR Bitdefender) oraz urządzeń sieciowych obsługujących segmenty aparatury medycznej (IoMT/OT); trzy linie wsparcia (L1 24/7/365, L2 8x5 + dyżur 24/7 dla incydentów krytycznych, L3 doradztwo/threat hunting min. 50 roboczogodzin rocznie); reakcja na incydenty krytyczne do 30 min / realizacja do 4 h, na niekrytyczne do 2 h / do 8 h; min. 2 pełne skany podatności w roku (komponenty: OS, urządzenia sieciowe, wirtualizacja/chmura, aplikacje webowe, komponenty wewnętrzne); min. 1 kampania phishingowa w roku; obsługa do 6 analiz złośliwego oprogramowania rocznie; retencja logów online min. 90 dni, łączna z archiwum min. 24 miesiące; na koniec umowy — przekazanie dokumentacji, eksportu spraw i incydentów, reguł detekcji i konfiguracji umożliwiających migrację do innego dostawcy.

Zamówienie łączy długoterminowe (3-letnie) wdrożenie i utrzymanie SZBI w środowisku szpitalnym wymagającym zgodności z normą ISO 27001 oraz z ustawą o KSC, z ciągłym (24/7/365) monitoringiem SOC obejmującym wrażliwą infrastrukturę medyczną (HIS, RIS/PACS, ERP, IoMT/OT) — łącznie duży zakres koordynacji, rygorystyczne SLA i wymóg wyspecjalizowanej kadry z certyfikatami.

Wagi punktowe, według których zamawiający oceni oferty.

Sygnały, na które warto zwrócić uwagę przed startem.

Brak istotnych sygnałów ostrzegawczych.

• Kary umowne: w projekcie umowy (zał. nr 12 dla pakietu 1, zał. nr 13 dla pakietu 2)

Wyodrębnione z wyjaśnień treści SWZ.

Zamawiający nie opublikował pytań ani odpowiedzi