Wdrożenie narzędzia do Anonimizacji Danych na środowiskach testowych w Banku Gospodarstwa

Zamawiający wyraża zgodę na wprowadzenie zmiany warunku dotyczącego doświadczenia oraz dokonuje zmiany treści SWZ w poniższym zakresie: 1. Rozdział V WARUNKI UDZIAŁU W POSTĘPOWANIU pkt 2.4 lit. a) SWZ Było: a) warunek dotyczący doświadczenia: Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, iż w okresie ostatnich 3 (trzech) lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał – a w przypadku świadczeń powtarzających się lub ciągłych również wykonuje należycie: • 2 (dwa) zamówienia o wartości nie mniejszej niż 250 000,00 zł brutto (dwieście pięćdziesiąt tysięcy złotych brutto 00/100) każda lub • 1 (jedno) zamówienie o wartości nie mniejszej niż 500 000,00 zł brutto (pięćset tysięcy złotych brutto 00/100) polega jące na wykonaniu anonimizacji, pseudoanonimizacji lub randomizacji danych. W przypadku, gdy przedmiotem zamówienia są świadczenia powtarzające się lub ciągłe Zamawiający dopuszcza nie tylko zamówienia wykonane (tj. zakończone), ale również wykonywane. W takim przypadku Zamawiający wymaga, by część zamówienia wykonana do terminu składania ofert spełniała wymogi określone przez Zamawiającego w warunku. W przypadku, gdy wartość zamówienia została wyrażona w walucie innej niż PLN, Wykonawca zobowiązany jest do jej przeliczenia na PLN przyjmując jako podstawę średni kurs danej waluty opublikowany przez NBP (wg tabeli A kursów średnich walut obcych) w dniu publikacji ogłoszenia o niniejszym zamówieniu w Dzienniku Urzędowym Unii Europejskiej. Jeśli publikacja ogłoszenia o zamówieniu w Dzienniku Urzędowym Unii Europejskiej nastąpi w dniu, kiedy NBP nie publikuje tabeli kursów średnich, należy przyjąć kurs z tabeli kursów średnich, opublikowany w dniu najbliższym po dniu publikacji ogłoszenia o zamówieniu w Dzienniku Urzędowym Unii Europejskiej. Jest: b) warunek dotyczący doświadczenia: Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, iż w okresie ostatnich 5 (pięciu) lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał – a w przypadku świadczeń powtarzających się lub ciągłych również wykonuje należycie: • 2 (dwa) zamówienia o wartości nie mniejszej niż 250 000,00 zł brutto (dwieście pięćdziesiąt tysięcy złotych brutto 00/100) każda lub • 1 (jedno) zamówienie o wartości nie mniejszej niż 500 000,00 zł brutto (pięćset tysięcy złotych brutto 00/100) polegające na wykonaniu anonimizacji, pseudoanonimizacji lub randomizacji danych. W przypadku, gdy przedmiotem zamówienia są świadczenia powtarzające się lub ciągłe Zamawiający dopuszcza nie tylko zamówienia wykonane (tj. zakończone), ale również wykonywane. W takim przypadku Zamawiający wymaga, by część zamówienia wykonana do terminu składania ofert spełniała wymogi określone przez Zamawiającego w warunku. W przypadku, gdy wartość zamówienia została wyrażona w walucie innej niż PLN, Wykonawca zobowiązany jest do jej…

Zamawiający udostępni diagramy, które posiada. Jeśli występuje taka potrzeba, Wykonawca może wystąpić o diagramy również do dostawcy oprogramowania.

Maksymalna ilość baz danych to 50 (ok procentowo MS 66%, Oracle 24% oraz PostgreSQL, Progress 10%).

Zamawiający posiada część aktualnej dokumentacji. W razie potrzeby istnieje również możliwość wystąpienia o aktualną dokumentację do dostawcy oprogramowania.

Zamawiający informuje, że dane osobowe oraz dane prawnie chronione są przechowywane w wielu bazach danych, przy czym większość aplikacji pozyskuje je z systemu core’owego. Nie funkcjonuje jeden centralny katalog tych danych. W ramach realizacji zamówienia wykonawca powinien przeprowadzić analizę w celu identyfikacji oraz klasyfikacji danych podlegających anonimizacji.

Zamawiający informuje, że typy danych zostały wskazane w punkcie 4, podpunkt 4.1. OPZ. Reguły anonimizacji możliwe do zastosowania względem tych danych powinny zostać zweryfikowane na etapie analizy.

Zamawiający wymaga, aby anonimizacja miała charakter deterministyczny w zakresie niezbędnym do zapewnienia spójności danych w całym zintegrowanym środowisku, tak aby te same dane wejściowe były przekształcane w sposób jednolity we wszystkich systemach.

Zamawiający informuje, że dane w formie xml przechowywane są w tabelach i anonimizowane mają być na poziomie tabel.

Nie, anonimizacja powinna być przeprowadzona na samych bazach danych.

Zamawiający informuje, że wymagania wydajnościowe będą ustalone w fazie analizy systemowej.

Maksymalne akceptowalne okno czasowe na wykonanie pełnego procesu anonimizacji danych wynosi 24 godziny. Jednocześnie Zamawiający dodaje w OPZ punkt 4.2.5 o treści: System musi umożliwiać przeprowadzenie pełnego procesu anonimizacji danych w maksymalnym czasie 24 godzin od momentu jego uruchomienia.

Wykonawca otrzyma dostęp do danych rzeczywistych.

Zamawiający nie stawia takiego wymagania.

Tak, Zamawiający dopuszcza anonimizację za pomocą skryptów SQL/procedur/funkcji na bazie danych.

Zamawiający informuje, że dane użytkowników są przechowywane w Active Directory (AD) co wymaga integracji. Możliwość oraz zakres integracji narzędzia z systemami zarządzania tożsamością będą weryfikowane na etapie analizy.

Zamawiający informuje, iż Wykonawca, który polega na zdolnościach lub sytuacji innych podmiotów przedkłada w odniesieniu do tych podmiotów w zakresie w jakim powołuje się na ich zasoby, w terminie określonym w Rozdziale VIII ust. 3 SWZ, oświadczenia i dokumenty wskazane w Rozdziale VIII ust. 3 SWZ pkt 1-4. Wykazy wskazane w Rozdziale VIII ust. 3 pkt 5- 6 składa Wykonawca odpowiednio je uzupełniając.

Ze względu na trwający projekt związany z szyfrowaniem danych pobieranych ze środowiska produkcyjnego, szczegóły dotyczące zakresu i sposobu szyfrowania nie są obecnie znane. Zostaną one omówione i doprecyzowane na etapie analizy przedwdrożeniowej. Wykonawca powinien natomiast zapewnić możliwość odszyfrowania danych przed wykonaniem procesu anonimizacji.

a. Dane w formacie XML są przechowywane w kolumnach jednej z tabel bazy danych. Zawartość tych pól obejmuje również dane podlegające anonimizacji. b. Tak, dopuszczalne jest anonimizowanie danych zawartych w strukturach XML przy użyciu statycznych, nieodwracalnych wartości zastępczych, pod warunkiem zachowania struktury dokumentu XML oraz poprawności przetwarzania danych przez systemy wykorzystujące te informacje.