Załącznik Nr 1 do SIWZ Załącznik nr 3 do Umowy Szczegółowy Opis Przedmiotu Zamówienia

Transkrypt

1 BDG.V GK Załącznik Nr 1 do SIWZ Załącznik nr 3 do Umowy Szczegółowy Opis Przedmiotu Zamówienia I. ZAMAWIAJĄCY Ministerstwo Infrastruktury i Rozwoju ul. Wspólna 2/ Warszawa II. PRZEDMIOT ZAMÓWIENIA Przedmiotem zamówienia jest świadczenie usług audytu systemów informatycznych SL2014 oraz Systemu Zarządzania ToŜsamością (dalej SZT). Zakres czynności audytowych obejmować będzie: 1. Zadanie 1 - badanie rzeczywistego poziomu bezpieczeństwa informacji oraz zastosowanych zabezpieczeń, a takŝe zgodności tego poziomu z wymaganiami określonymi w normie PN-ISO/IEC 27001:2007 oraz normie ISO 22301:2012 (lub BS25999). 2. Zadanie 2 - badanie jakości kodu aplikacji. Wartość szacunkowa zamówienia wynosi ,20 zł netto (bez VAT). III. GŁÓWNE ZAŁOśENIA: 1. Systemy SL2014 oraz SZT są obecnie rozwijane i utrzymywane przez firmę Comarch S.A. na podstawie umowy nr DI/BDG-III/POPT/16/2013 na budowę, rozwój i utrzymanie systemów informatycznych Ministerstwa Infrastruktury i Rozwoju wspierających realizację programów operacyjnych współfinansowanych ze środków UE. 2. Usługi audytowe zlecane będą w terminie do 36 miesięcy od dnia zawarcia Umowy na podstawie pisemnych Zleceń przeprowadzenia audytu. 3. Wykonawca zobowiązany będzie do wykonania czynności audytowych, niezbędnych do realizacji Zadania 1, w siedzibie firmy Comarch S.A. w Krakowie (a w przypadku wygaśnięcia umowy o której mowa w ust. 1 w siedzibie kolejnego podmiotu świadczącego usługi utrzymania i rozwoju systemów informatycznych Ministerstwa Infrastruktury i Rozwoju wspierających realizację programów operacyjnych współfinansowanych ze środków UE) w dni robocze w godzinach 8:15 16:15 oraz z dowolnego miejsca poprzez sieć Internet (np. z siedziby Wykonawcy). IV. Obszary audytu Strona 1 z 5

2 1) W ramach Zadania 1 Wykonawca jest zobowiązany do: a) przeprowadzenia audytów, których celem będzie dostarczenie informacji o rzeczywistym poziomie bezpieczeństwa informacji oraz zastosowanych zabezpieczeniach, a takŝe zgodności tego poziomu z wymaganiami określonymi w normie PN-ISO/IEC 27001:2007 oraz normie ISO 22301:2012 (lub BS25999). b) przeprowadzenia audytów bezpieczeństwa informacji - sprawdzenie systemu SL2014 oraz SZT i wskazanie zagroŝeń i podatności oraz ocena aktualnego poziomu bezpieczeństwa, c) dostarczenia wniosków, zaleceń i rekomendacji w celu dokładnego rozpoznania i redukcji zidentyfikowanych ryzyk, zagroŝeń i podatności oraz wskazanie adekwatnych działań mających na celu jak najszybsze ich wyeliminowanie. d) dostarczenia informacji o zidentyfikowanym poziomie realizacji zobowiązań wynikających z umowy z Wykonawcą systemów SL2014 oraz SZT, Przeprowadzone badania i analizy w trakcie audytu powinny wskazać zagroŝenia i ryzyka wynikające z: zastosowanych technologii i standardów zabezpieczeń, słabości oprogramowania oraz poprawności konfiguracji komponentów takich jak: systemy sieciowe i serwerowe, faktu istnienia styków sieci o róŝnym charakterze, np. styku z siecią Internet, styku systemów SL2014 oraz SZT z innymi sieciami, w tym potencjalne zagroŝenia ze strony sieci wewnętrznej. 2) W ramach Zadania 2 Wykonawca zobowiązany jest do przeprowadzenia audytu jakości kodu systemów SL2014 oraz SZT w szczególności pod kątem: a) podatności systemów SL2014 oraz SZT (stwierdzenie słabości aplikacji i oprogramowania, z którymi się ona komunikuje (baza danych Oracle) na znane ataki, np. poprzez wykorzystanie dostępnych z poziomu zwykłego uŝytkownika okien dialogowych aplikacji), b) napisania kodu z punktu widzenia bezpieczeństwa aplikacji - weryfikacja, czy kod spełnia dobre wzorce projektowe oraz dobre praktyki przyjęte w tego typu systemach informatycznych, c) napisania kodu z punktu widzenia wydajności aplikacji - określenie czy ilość przesyłanych danych jest optymalna przy przyjętym rozwiązaniu, d) prawidłowości wyboru rozwiązania sprzętowego dla aplikacji pod kątem bezpieczeństwa i wydajności, e) zastosowanych rozwiązań architektonicznych i ich wpływu na wydajność systemu, f) poprawności i kompletności implementacji kodów śledzenia Google Analytics. V. Zespół audytowy 1) W skład zespołu audytowego realizującego przedmiot zamówienia mogą wejść wyłącznie osoby wyszczególnione w wykazie osób które będą uczestniczyły w wykonywaniu zamówienia stanowiącym załącznik do oferty oraz posiadające co najmniej jeden z poniŝszych certyfikatów: a) osoba posiadająca certyfikat Certified Information Systems Auditor (CISA) lub równowaŝny np. Certified Information Security Manager (CISM), Certified in the Governance of Enterprise IT (CGEIT) wydany przez Stowarzyszenie do spraw audytu i kontroli systemów informatycznych (ISACA), b) osoba posiadająca certyfikat Certified Information Systems Security Professional (CISSP) wydany przez International Information Systems Security Certification Consortium lub równowaŝny np. OPST /OPSA/ OPSE. Strona 2 z 5

3 2) W skład zespołu audytowego muszą wejść min. 2 osoby. W składzie zespołu audytowego musi być co najmniej jedna osoba posiadająca certyfikat wymieniony w pkt 1 pod literą a) oraz co najmniej jedna osoba posiadająca certyfikat wymieniony w pkt 1 pod literą b). 3) W dniu podpisania umowy Wykonawca przedstawi do wglądu dokumenty, o których mowa w pkt. 1 dla osób przeprowadzających audyt, wchodzących w skład zespołu audytowego. 4) Imienny wykaz osób przeprowadzających audyt wchodzących w skład zespołu audytowego będzie stanowił załącznik nr 6 do umowy. 5) Wykonawca zapewni niezaleŝność osób wchodzących w skład zespołu audytowego od Ministerstwa Infrastruktury i Rozwoju oraz firmy Comarch S.A., z siedzibą w Krakowie przy Al. Jana Pawła II 39A zgodnie z oświadczeniem Wykonawcy, stanowiącym Załącznik nr 5 do Umowy. 6) JeŜeli w trakcie realizacji zamówienia zaistnieje konieczność zmiany osób na inne niŝ wymienione w przedstawionym przez Wykonawcę wykazie osób, o którym mowa w pkt 4, Wykonawca zwróci się do Zamawiającego z pisemnym wnioskiem o dopuszczenie do wykonywania Zamówienia innych osób, spełniających wymagania określone w pkt 1. 7) Wykonawca musi uzyskać uprzednią zgodę Zamawiającego na dopuszczenie do wykonywania Zamówienia osób innych niŝ wymienione w przedstawionym przez Wykonawcę wykazie osób, o którym mowa w pkt 4. Zmiana osób, o której mowa wyŝej nie stanowi zmiany treści umowy. VI. Raport 1) Efektem przeprowadzonych audytów będą raporty zawierające wnioski, zalecenia i rekomendacje mające na celu dokładne rozpoznanie i redukcję zidentyfikowanych ryzyk, zagroŝeń, podatności i odstępstw od dobrych praktyk wraz ze wskazaniem konkretnych działań naprawczych dla obszarów wskazanych w rozdziale IV pkt 1 oraz 2. 2) Raporty będą zawierały równieŝ: a) obserwacje audytowe, b) wyniki testów i ich interpretację, c) listę wykrytych podatności opatrzonych komentarzem audytora wraz z ich kwalifikacją w zaleŝności od stopnia ich znaczenia dla bezpieczeństwa, d) wnioski z audytu, e) zalecenia i rekomendacje, f) zakres czynności i zadań niezbędnych do zaimplementowania rekomendacji poaudytowych, g) w przypadku konieczności wykonania zmian konfiguracyjnych lub zainstalowania uaktualnień ( patchy ) Wykonawca przedstawi dokładny opis konfiguracji lub instalacji. VII. Obowiązki wykonawcy 1) Do obowiązków Wykonawcy w zakresie audytu naleŝy co najmniej: a) przeprowadzenie czynności audytowych zgodnie ze szczegółowym zakresem określonym kaŝdorazowo w treści danego Zlecenia przeprowadzenia audytu, b) przekazanie raportu z audytu Zamawiającemu zgodnie z zapisami rozdziału VI. 2) Wykonawca jest zobowiązany do udostępniania dokumentacji audytu upowaŝnionym pracownikom Zamawiającego. Strona 3 z 5

4 3) Wykonawca zobowiązany jest do udziału w spotkaniach, które mogą zostać zorganizowane przez Zamawiającego w celu omówienia postępu i wyników prac audytowych. VIII. Zasady rozliczenia z Wykonawcą 1) W okresie do 36 miesięcy od dnia zawarcia Umowy, Zamawiający przewiduje przekazanie Wykonawcy kilku Zleceń przeprowadzenia audytu. 2) Wynagrodzenie Wykonawcy będzie wypłacane oddzielnie za kaŝde zrealizowane Zlecenie przeprowadzenia audytu (dostarczony do siedziby Zamawiającego Raport, o którym mowa w pkt.vi). Podstawą do obliczenia wynagrodzenia będzie: a) w ramach Zadania 1 stawka za jeden roboczodzień świadczenia usługi, b) w ramach Zadania 2 stawka za analizę 100 linii kodu. 3) Zlecenia dla Wykonawcy zostaną wystawione w terminie maksymalnie 36 miesięcy od dnia zawarcia Umowy. 4) Wykonawcy przysługuje wynagrodzenie wyłącznie z tytułu zrealizowanych Zleceń. 5) Ustalenie wyceny Zadania 1: a) Przewidywany termin i liczba roboczodni realizacji danego Zlecenia przez Wykonawcę zostaną określone przez Zamawiającego w Zleceniu. Zamawiający dopuszcza moŝliwość przeprowadzenia konsultacji z Wykonawcą w sprawie terminu i liczby roboczodni w drodze kontaktów , jednak to Zamawiający podejmie ostateczną decyzję o terminie i liczbie roboczodni przeznaczonych na realizację Zlecenia. b) Ustalone przez Zamawiającego: termin i liczba godzin przewidzianych na realizację Zlecenia będą potwierdzane przez Wykonawcę w drodze kontaktów , w terminie do końca kolejnego dnia roboczego następującego po wysłaniu Zlecenia. Brak tego potwierdzenia ze strony Wykonawcy w ww. terminie uwaŝa się za akceptację liczby godzin i terminu ustalonych w Zleceniu. 6) Ustalenie terminu Zadania 2: a) Przewidywany termin realizacji danego Zlecenia przez Wykonawcę zostanie określony przez Zamawiającego w Zleceniu. Zamawiający dopuszcza moŝliwość przeprowadzenia konsultacji z Wykonawcą w sprawie terminu w drodze kontaktów , jednak to Zamawiający podejmie ostateczną decyzję o terminie realizacji Zlecenia. b) Ustalony przez Zamawiającego termin przewidziany na realizację Zlecenia będzie potwierdzany przez Wykonawcę w drodze kontaktów , w terminie do końca kolejnego dnia roboczego następującego po wysłaniu Zlecenia. Brak tego potwierdzenia ze strony Wykonawcy w ww. terminie uwaŝa się za akceptację terminu ustalonego w Zleceniu. IX. Procedura przekazywania/odbioru Zleceń: 1) Wykonawca zobowiązuje się świadczyć usługi audytowe na kaŝde Ŝądanie Zamawiającego, tj. kaŝdorazowo na podstawie pisemnego Zlecenia potrzeby wykonania Zadania 1 lub Zadania 2. 2) Wykonawca przekaŝe Zamawiającemu stosowny Raport w formie papierowej i elektronicznej: pliki *.pdf oraz wersje edytowalne (w formacie MS Office). 3) Za datę przekazania Raportu uznaje się datę wysłania elektronicznej kopii Raportu pocztą elektroniczną na adres Zamawiającego, pod warunkiem potwierdzenia przez Zamawiającego otrzymania korespondencji Strona 4 z 5

5 z elektroniczną wersją Raportu. Zamawiający zobowiązuje się bezzwłocznie potwierdzić otrzymanie korespondencji z wersją elektroniczną Raportu. 4) Zamawiający dokonuje odbioru kaŝdego Zlecenia odrębnie. X. Opis systemów SL2014 oraz SZT podlegających audytowi 1) Aplikacje wykorzystują środowisko klienckie przeglądarek FireFox, Internet Explorer i Google Chrome,z uŝyciem protokołu SSL. Technologie uŝywane do budowy aplikacji to: asp.net 4.5, C#, Visual Basic, java, javascript, Active Directory, PL/SQL, MS ADFS. 2) ZłoŜoność oprogramowania jest szacowana na ok linii kodu oraz ok 6500 plików (w ok. 800 katalogach). 3) Szczegółowe informacje o architekturze systemów SL2014 oraz SZT ( Dokument Architektury Oprogramowania, niezbędna dokumentacja źródłowa i analityczna) zostaną przekazane wykonawcy niezwłocznie po zawarciu umowy. XI. Wsparcie przy wdroŝeniu rekomendacji zawartych w Raporcie Wykonawca moŝe zaoferować świadczenie usługi wsparcia przy wdroŝeniu rekomendacji zawartych w Raporcie, na poniŝszych zasadach. Deklaracja realizacji wsparcia będzie stanowiła jedno z kryteriów oceny ofert na zasadach określonych w SIWZ. Brak deklaracji wsparcia nie będzie skutkował odrzuceniem oferty. Wykonawca w terminie do 1 roku od momentu odbioru kaŝdego Raportu będzie świadczył usługi dodatkowe w zakresie wsparcia Zamawiającego przy wdroŝeniu rekomendacji zawartych w Raporcie na poniŝszych zasadach: 1) po przygotowaniu Raportu z audytu zawierającego rekomendacje Wykonawca uzgodni z podmiotem świadczącym dla Zamawiającego usługi budowy, rozwoju i utrzymania systemów SL2014 oraz SZT zakres wdroŝenia. 2) zakres wdroŝenia moŝe być węŝszy niŝ wskazany w rekomendacjach i będzie uzaleŝniony od analizy ryzyka i moŝliwości podmiotu świadczącego dla Zamawiającego usługi budowy, rozwoju i utrzymania systemów SL2014 oraz SZT. 3) Wykonawca wprowadzi ew. niezbędne zmiany do Raportu wynikające ze zmiany otoczenia prawnego systemów lub pojawiające się w wyniku wdraŝania poszczególnych rekomendacji zamieszczonych w Raporcie pierwotnym. 4) Wykonawca udzieli wsparcia merytorycznego przy wdroŝeniu rekomendacji. 5) Wykonawca udzieli wsparcia merytorycznego przy przeprowadzeniu testów i weryfikacji wdroŝenia rekomendacji. Strona 5 z 5