Umowa dotycząca przeprowadzenia audytu bezpieczeństwa informatycznego

Transkrypt

1 Umowa dotycząca przeprowadzenia audytu bezpieczeństwa informatycznego Dnia. zostaje zawarta umowa pomiędzy:.., z siedzibą przy ul..,, NIP:., reprezentowaną przez:.-starostę Zamojskiego, przy kontrasygnacie.- Skarbnika Powiatu Zwanymi dalej Zamawiającym a., z siedzibą przy. NIP:., REGON:, reprezentowaną przez..- zwanym dalej Wykonawcą. 1 Postanowienia ogólne 1. Przedmiotem niniejszej Umowy jest wykonanie przez Wykonawcę audytu bezpieczeństwa informatycznego w Starostwie Powiatowym w Zamościu. 2. Przystąpienie do realizacji Umowy przez Wykonawcę nastąpi w terminie. 3. Audyt bezpieczeństwa informatycznego zostanie wykonany w terminie od dnia... do dnia , przy czym czas trwania audytu może ulec zmianie z uwagi na okoliczności wskazane w postanowieniach niniejszej Umowy. 4. Strony zgodnie ustalają, że audytowana struktura komputerowa składa się łącznie ze 130 jednostek (stacje robocze + serwery). 2 Zakres audytu Zakres i przedmiot audytu bezpieczeństwa informatycznego obejmuje: 1. Audyt bezpieczeństwa infrastruktury sieciowej, 2. Audyt bezpieczeństwa infrastruktury serwerowej, 3. Audyt kopii zapasowych, 4. Przeanalizowanie wdrożenia wewnętrznej dokumentacji audytowanej jednostki (porównanie z wymogami przepisów ustawy o ochronie danych osobowych oraz stanu bieżącego funkcjonujących zabezpieczeń). 5. Audyt zainstalowanego oprogramowania na stacjach roboczych, 6. Przeprowadzenie ankiety z użytkownikami mającej na celu weryfikację ich wiedzy oraz świadomości w zakresie bezpieczeństwa informatycznego oraz ochrony danych osobowych. Strona 1 z 10

2 7. Audyt wykorzystywania sprzętu komputerowego. Szczegółowy zakres audytu obejmuje załącznik nr 1 do przedmiotowej Umowy. 3 Oświadczenia i obowiązki Wykonawcy 1. Wykonawca zobowiązuje się do wykonania Umowy z zachowaniem zasad należytej staranności i profesjonalizmu wynikających z zawodowego charakteru prowadzonej działalności. 2. Wykonawca przeprowadzi Audyt przy ścisłej współpracy z Zamawiającym. 3. Wykonawca zobowiązuje się, że wykonane w ramach przeprowadzonego Audytu prace, materiały i informacje oraz wykorzystywane przez niego oprogramowanie nie narusza praw osób trzecich, a w szczególności prawa autorskiego i praw pokrewnych. 4. Wykonawca oświadcza, iż podczas przeprowadzanego audytu analiza urządzeń Zamawiającego nie zmienia ich konfiguracji oraz nie wpływa na ich funkcjonowanie. 5. Przypadkowe awarie, jakie mogą powstać w związku z analizą nie powodują powstania po stronie Wykonawcy odpowiedzialności. 6. Analiza następuje po zalogowaniu się administratora systemu informatycznego lub osoby wyznaczonej przez Zamawiającego na urządzenia brzegowe. Administrator, o ile nie ma takiej konieczności, nie udostępnia haseł dostępu Wykonawcy. 7. W przypadku awarii urządzeń brzegowych powstałych po zalogowaniu się Administratora Wykonawca nie ponosi za nie odpowiedzialności. 8. Wykonawcza oświadcza, iż dane gromadzone przez oprogramowanie audytujące przesyłane są protokołem szyfrowanym na serwer należący do Wykonawcy. Po zakończeniu audytu dane zgromadzone są trwale usuwane przez Wykonawcę. 4 Obowiązki i oświadczenia Zamawiającego 1. Zamawiający zobowiązuje się do zapewnienia Wykonawcy w siedzibie Zamawiającego dostępu do pomieszczeń, komputerów, urządzeń oraz do systemów informatycznych niezbędnych do realizacji Umowy. 2. Zamawiający zobowiązuje się do przekazywania niezwłocznie osobiście lub za pośrednictwem wyznaczonego pracownika, w terminie nie dłuższym niż 3 dni robocze, żądanych przez Wykonawcę informacji niezbędnych do wykonania Umowy. 3. Brak przedłożenia w/w informacji skutkować może niewykonaniem audytu w zakresie objętym brakiem. 4. W przypadku powstania przeszkód po stronie Zamawiającego w wykonaniu przedmiotu Umowy, Zamawiający poinformuje Wykonawcę o powyższym niezwłocznie pisemnie lub za pośrednictwem poczty elektronicznej, na adres wskazany w umowie. Okres czasowej przeszkody w wykonaniu Umowy powstały po stronie Zamawiającego powoduje przesunięcie terminu realizacji Umowy o ilość dni, w trakcie których Wykonawca z nie swojej winy nie mógł wykonywać Umowy. Strona 2 z 10

3 5. Zamawiający wyraża zgodę na przeprowadzenie przez Wykonawcę czynności w zakresie objętym audytem, w tym udziela Wykonawcy zgody na przetwarzanie danych zgromadzonych podczas audytu. 6. Zamawiający oświadcza, że w przypadku awarii sprzętu komputerowego lub oprogramowania, w trakcie trwania audytu, Wykonawca nie będzie ponosił z tego tytułu żadnej odpowiedzialności, o ile awaria nie była powodowana zawinionym działaniem Wykonawcy. 5 Upoważnienie 1. Wykonawca zobowiązuje się do udzielenia audytującemu pracownikowi/pracownikom upoważnienia do przeprowadzenia czynności audytowych na piśmie. Upoważnienie udzielone jest osobie fizycznej, ze wskazaniem danych osobowych imię, nazwisko, numer pesel, seria i numer dowodu osobistego (załącznik nr 2 do Umowy). 2. Upoważnienie winno zostać okazane Zamawiającemu przed przystąpieniem do wykonania czynności objętych Umową. Raz udzielone upoważnienie ważne jest przez okres trwania Umowy, chyba że Wykonawca cofnie upoważnienie o czym niezwłocznie powiadomi Zamawiającego. 3. Zamawiający zobowiązany jest do wyznaczenia pracownika, który obecny będzie przy wykonywaniu Umowy, w zakresie czynności objętych audytem w siedzibie Zamawiającego. 4. Zamawiający zobowiązany jest do zapewnienia obecności administratora systemu informatycznego w trakcie czynności w zakresie przeprowadzania audytu konfiguracji urządzeń Zamawiającego. 5. Pracownik wyznaczony będzie posiadał wystawiony przez Zamawiającego dokument, uprawniający do uczestnictwa w czynnościach objętych umową (załącznik nr 3). 6. Niezapewnienie obecności pracownika wyznaczonego, o ile nie jest to konieczne, nie wstrzymuje czynności objętych przedmiotem niniejszej Umowy. 6 Raport 1. Po wykonaniu czynności o których mowa w 2 Umowy, Wykonawca sporządzi raport z przeprowadzonych czynności. 2. Szczegółowy zakres raportu obejmuje załącznik nr 4 do Umowy. 7 Wynagrodzenie 1. Zamawiający zapłaci Wykonawcy wynagrodzenie tytułem wykonania Umowy w kwocie łącznej netto..,. zł (słownie zł: ) powiększonej o obowiązują stawkę podatku VAT (23% ). 2. Podstawą zapłaty jest faktura VAT, wystawiona przez Wykonawcę, z terminem płatności wynoszącym 14 dni od daty otrzymania faktury VAT przez Zamawiającego. Strona 3 z 10

4 3. Faktura VAT wystawiona zostanie przez Wykonawcę po przekazaniu Zamawiającemu wyników przeprowadzonego audytu w postaci raportu, którego otrzymanie zostanie potwierdzone przez Zamawiającego. 4. Zapłata nastąpi na rachunek bankowy wskazany w fakturze VAT w terminie wskazanym. 5. Zamawiający upoważnia Wykonawcę do wystawienia faktury VAT bez podpisu Zamawiającego. 6. Za każdy dzień opóźnienia w zapłacie wynagrodzenia Wykonawca upoważniony jest do żądania od Zamawiającego odsetek ustawowych. 8 Poufność i zabezpieczenie danych 1. Wykonawca ponosi odpowiedzialność za naruszenie praw osób trzecich, w tym za ujawnienie informacji, jakie uzyskane zostały w trakcie przeprowadzenia audytu w zakresie bezpieczeństwa systemu informatycznego Zamawiającego, danych osobowych pracowników Zamawiającego - tylko w przypadku wyłącznej winy Wykonawcy. 2. Wykonawca zobowiązuje się do zachowania w tajemnicy wszystkich informacji otrzymanych pośrednio lub bezpośrednio w trakcie trwania audytu i po jego zakończeniu, o ile informacje te nie stanowią informacji ogólnodostępnych (ochrona tajemnicy uzyskanej w ramach audytu). 3. Wykonawca oświadcza, że pozyskane w ramach Umowy dane w postaci cyfrowej, w trakcie ich ewentualnego transportowania z siedziby Zamawiającego do siedziby Wykonawcy są zaszyfrowane w sposób uniemożliwiający uzyskanie dostępu osobom niepowołanym. 4. Wykonawca oświadcza, że dane przesyłane przy pomocy łącza internetowego są szyfrowane. 5. Wykonawca oświadcza, że dane gromadzone na serwerach Wykonawcy zabezpieczone są zgodnie z wymogami ISO i Wykonawca posiada ważny certyfikat jakości w tym zakresie lub inny potwierdzający bezpieczeństwo danych. 9 Odstąpienie od Umowy i kara umowna 1. W razie zwłoki w wykonaniu Umowy Wykonawca zobowiązuje się do zapłaty na rzecz Zamawiającego kary umownej w wysokości 0,1% wynagrodzenia, o którym mowa w 7 pkt 1 Umowy za każdy dzień opóźnienia. 2. W razie niewykonania Umowy z wyłącznej winy Zamawiającego, lub w przypadku odstąpienia od Umowy z winy Zamawiającego, Wykonawca uprawniony będzie do wystawienia faktury VAT i żądania zapłaty kwoty, o której mowa w 7 pkt W przypadku przeszkody po stronie Zamawiającego przekraczającej 30 dni w realizacji Umowy, Wykonawca uprawniony jest do odstąpienia od Umowy bez wyznaczania dodatkowego terminu, z jednoczesnym zachowaniem prawa do wynagrodzenia w pełnej wysokości. 4. W przypadku odstąpienia od Umowy Wykonawca przekaże raport częściowy z zakresu przeprowadzonego do dnia odstąpienia od Umowy audytu w terminie 14 dni od daty odstąpienia od Umowy. 5. Zamawiający ma prawo odstąpić od Umowy w przypadku zwłoki przekraczającej 30 dni, po uprzednim wezwaniu Wykonawcy do wykonania przedmiotu Umowy w wyznaczonym przez siebie terminie, nie krótszym niż 7 dni pod rygorem odstąpienia. Strona 4 z 10

5 10 Siła wyższa 1. W czasie trwania siły wyższej strony Umowy zwolnione będą od wszelkiej odpowiedzialności za niewykonanie Umowy, jeżeli okoliczności zaistnienia siły wyższej będą stanowiły przeszkodę w wykonaniu Umowy. 2. Przez siłę wyższą należy rozumieć zdarzenie zewnętrzne, których nie można było przewidzieć i niemożliwe było ich zapobieżenie, przy czym chodzi tu w szczególności o powódź, włamanie, długotrwały zanik energii elektrycznej wywołany awarią dostawcy energii, uszkodzenie sprzętu komputerowego. 3. Strona uprawniona jest do powołania się na siłę wyższą tylko w przypadku, gdy poinformuje o powyższym drugą stronę niezwłocznie, nie później niż w dniu następnym po dniu kiedy powstało zdarzenie uniemożliwiające wykonywanie Umowy. 11 Postanowienia końcowe 1. Strony zgodnie ustalają, że formą kontaktu wiążącą przy realizacji Umowy jest kontakt listowny (na adresy podane w umowie) oraz kontakt za pośrednictwem poczty elektronicznej: a. Adres poczty elektronicznej Zamawiającego b. Adres poczty elektronicznej Wykonawcy. 2. Zmiana postanowień Umowy wymaga formy pisemnej pod rygorem nieważności. 3. W sprawach nieuregulowanych niniejszą umową zastosowanie mają przepisy Kodeksu Cywilnego. 4. Wszelkie spory mogące powstać w związku z wykonaniem niniejszej Umowy strony zobowiązują się w pierwszej kolejności poddać pod mediację. W przypadku braku porozumienia właściwym dla rozstrzygnięcia sporów jest Sąd właściwy według siedziby Zamawiającego. 5. Umowę sporządzono w trzech jednobrzmiących egzemplarzach, z przeznaczeniem; dwa egzemplarze dla Zamawiającego, jeden egzemplarz dla Wykonawcy. 6. Załączniki stanowią integralną część Umowy. Zamawiający Wykonawca Strona 5 z 10

6 Załącznik nr 1 Szczegółowy zakres audytu 1. Audyt bezpieczeństwa infrastruktury sieciowej: a) dokładna inwentaryzacja urządzeń sieciowych (adresy IP, konfiguracja urządzeń, konfiguracja zapory ogniowej, podział na sieci logiczne i fizyczne) w siedzibie Zamawiającego oraz przedstawienie logicznej i fizycznej struktury sieci w formie zobrazowania graficznego przedstawiającego wszystkie urządzenia sieciowe oraz powiązania pomiędzy nimi, b) analiza urządzeń zapewniających stronie Zamawiającej dostęp do sieci Internet - w tym serwera brzegowego, urządzeń UTM, Firewall, routerów, c) analiza konfiguracji sieci lokalnej, d) analiza parametrów technicznych urządzeń, o których mowa w pkt 1b, e) analiza oprogramowania wykorzystywanego przez Zamawiającego w zakresie zabezpieczenia informatycznego, f) analiza możliwości potencjalnego ataku na sieci Zamawiającego przez osoby trzecie spoza sieci, w tym w szczególności możliwość zalogowania się na urządzenia, o których mowa w pkt 1b przy użyciu ogólnodostępnych metod przewidzianych producentów urządzeń, g) analiza sposobu połączenia segmentów pomiędzy sobą, h) analiza metody komunikacji pomiędzy segmentami sieci, i) analiza czy sieć lokalna podatna jest na ataki typy sniffing, j) analiza czy sieć lokalna podatna jest na ataki typu MITM (man In the Middle), k) analiza czy sieć lokalna podatna jest na ataki typu DoS z zewnątrz i wewnątrz sieci. 2. Audyt bezpieczeństwa infrastruktury serwerowej: a) analiza bezpieczeństwa zainstalowanych usług (czy zainstalowane oprogramowanie jest aktualne, czy zainstalowane oprogramowanie posiada znane luki w bezpieczeństwie, kto ma dostęp do udostępnionych usług), b) analiza bezpieczeństwa serwerów pod kątem dostępu użytkowników (czy jedynie uprawnieni użytkownicy mają dostęp do usług, czy udostępnione usługi zawierają jedynie te dane które są wymagane), c) analiza bezpieczeństwa uprawnień poszczególnych użytkowników oraz grup użytkowników, d) analiza bezpieczeństwa fizycznego infrastruktury serwerowej. 3. Audyt kopii zapasowych: a) analizę poprawności wykonywanych kopii zapasowych, b) analiza częstotliwości wykonywania kopii zapasowych, c) analiza bezpieczeństwa wykonywanych kopii zapasowych Strona 6 z 10

7 4. Przeanalizowanie wdrożenia wewnętrznej dokumentacji audytowanej jednostki (porównanie z wymogami przepisów ustawy o ochronie danych osobowych oraz stanu bieżącego funkcjonujących zabezpieczeń): a) analiza zgodności przetwarzania danych osobowych z wymogami ustawy o ochronie danych osobowych oraz wewnętrznymi regulacjami. b) badanie poziomu wdrożenia polityki bezpieczeństwa informacji Zamawiającego oraz jej zgodności z obowiązującymi przepisami prawa. 5. Audyt zainstalowanego oprogramowania na stacjach roboczych: a) analiza zainstalowanego oprogramowania znajdującego się na stacjach roboczych oraz serwerach Zamawiającego, b) analiza bezpieczeństwa stacji roboczych Zamawiającego pod kątem zainstalowanych usług, dostępów zdalnych do stacji roboczych, bezpieczeństwa ochrony antywirusowej. 6. Przeprowadzenie ankiety z użytkownikami mającej na celu weryfikację ich wiedzy oraz świadomości w zakresie bezpieczeństwa informatycznego oraz ochrony danych osobowych: 7. Audyt wykorzystywania sprzętu komputerowego: a) Analiza wykorzystania sprzętu komputerowego Zamawiającego przez użytkowników w okresie 30 dni roboczych w zakresie przeglądanych stron www, czasu korzystania przez z poszczególnych aplikacji bądź pakietów aplikacji. b) Optymalizacja zasobów sprzętowych Zamawiającego Strona 7 z 10

8 Załącznik nr 2 Upoważnienie Ja, niżej podpisany, w związku z umową zawartą w dniu... w udzielam niniejszym upoważnienia pracownikowi., legitymującemu się dowodem osobistym o numerze. PESEL:, do przeprowadzenia wszelkich czynności audytu określonych w umowie o w/w sygnaturze. Strona 8 z 10

9 Załącznik nr 3 Oświadczenie Ja, niżej podpisany,.. pełniący funkcję Starosty Zamojskiego niniejszym wyznaczam pracownika.., legitymującego się dowodem osobistym o numerze, PESEL: do udziału w czynnościach audytu jakie dokonywane są na podstawie Umowy o sygnaturze.. zawartej w dniu w z.. oraz upoważniam do udzielenia wszelkich informacji, o które wystąpi Wykonawca w ramach realizacji umowy. Strona 9 z 10

10 Załącznik nr 4 Szczegółowy zakres raportu 1. Audyt zabezpieczeń styku sieci lokalnej i Internetu 2. Audyt bezpieczeństwa infrastruktury oraz serwerów 3. Audyt kopii zapasowych 4. Analiza wdrożenia wewnętrznej dokumentacji audytowanej jednostki (porównanie z wymogami przepisów ustawy o ochronie danych osobowych oraz stanu bieżącego funkcjonujących zabezpieczeń) 5. Analiza wykorzystania sprzętu komputerowego a) Inwentaryzacja sprzętu b) Użycie łącza przez wszystkich użytkowników c) Top 100 odwiedzanych stron www według czasu odwiedzin d) Top 100 odwiedzanych stron www według ilości odwiedzin e) Podsumowanie użycia aplikacji f) Raport wydruków g) Zestawienie plików audio o rozmiarze większym niż 2 MB h) Zestawienie plików wideo o rozmiarze większym niż 30 MB i) Audyt zainstalowanego oprogramowania 6. Audyt oprogramowania zainstalowanego na wszystkich jednostkach a) Audytowane aplikacje b) Nieaudytowane aplikacje c) Nieznane aplikacje d) Zestawienie oprogramowania zainstalowanego na poszczególnych jednostkach 7. Wyniki ankiety 8. Podsumowanie a) TOP Ranking odwiedzonych stron (wg całkowitego czasu) 2. Ranking odwiedzonych stron (wg ilości odwiedzin) b) Wnioski i zalecenia dotyczące raportu z przeprowadzonego audytu Strona 10 z 10