Powiatowy Urząd Pracy Rybnik ul. Jankowicka 1 tel. 32/ , , fax

Transkrypt

1 Powiatowy Urząd Pracy Rybnik ul. Jankowicka 1 tel. 32/ , , fax kancelaria@pup-rybnik.pl OR AB Rybnik, dn r. Wykonawcy wg rozdzielnika ZAPYTANIE OFERTOWE Powiatowy Urząd Pracy w Rybniku wysyła zapytanie ofertowe zgodnie z zasadą konkurencyjności na usługę przeprowadzenia audytu bezpieczeństwa informacji i audytu legalności oprogramowania. 1. OPIS PRZEDMIOTU ZAMÓWIENIA Kod CPV: Przedmiotem zamówienia jest przeprowadzenie audytu bezpieczeństwa informacji i audytu legalności oprogramowania (75 stacji roboczych i 2 serwery). Uwaga! W tut. Urzędzie na przełomie listopada i grudnia 2016 roku został przeprowadzony audyt w nw. zakresie. Na cele tegorocznego audytu zostanie przekazana dokumentacja dot. wniosków i zaleceń poaudytowych. Firma wybrana w drodze zapytania ofertowego, będzie dodatkowo zobowiązana do zweryfikowania stanu wdrożenia zaleceń z ubiegłorocznego audytu. Powiatowy Urząd Pracy w Rybniku jest w posiadaniu certyfikatu legalności oprogramowania Microsoft Software Asset Management, wydanego dnia 4 stycznia 2017 r. Audyt bezpieczeństwa informacji: I. Audyt bezpieczeństwa danych osobowych: 1. Weryfikacja dokumentacji Polityki Zarządzania Bezpieczeństwem Informacji, w tym określenie zbiorów przetwarzanych danych osobowych. 2. Wykrycie braków oraz przedstawienie propozycji zmian do uzupełnienia w Polityce Zarządzania Bezpieczeństwem Informacji, zgodnie z ustawą o ochronie danych osobowych, rozporządzeniem z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (t.j. Dz. U. z 2016 r. poz. 113 ze zm.). 3. Weryfikacja rejestracji zbiorów danych osobowych w GIODO. 4. Sporządzenie raportu zawierającego zalecenia poaudytowe.

2 II. 5. Przeprowadzenie szkoleń (3 grupy po 15 pracowników) z zakresu ochrony danych osobowych z uwzględnieniem zmian w przepisach o ochronie danych osobowych, które wejdą w życie 25 maja 2018 r. (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE), w szczególności: - zasady przetwarzania danych, - prawa osób, których dane są przetwarzane (informacja/kontrola/sprzeciw), - nowe obowiązki informacyjne, - kary za nierespektowanie obowiązków wynikających z RODO, - powierzanie i udostępnianie danych. Audyt teleinformatyczny: 1. Analiza konfiguracji stacji roboczych: a. badanie i weryfikacja metod autoryzacji, b. weryfikacja zmian konfiguracyjnych i aktualizacji oprogramowania, c. weryfikacja zabezpieczeń przed złośliwym oprogramowaniem, d. weryfikacja dostępności i ciągłości działania, e. analiza systemu zarządzania kopiami zapasowymi, f. ocena konfiguracji systemu operacyjnego, g. badanie luk, h. weryfikacja zasad i procedur korzystania przez pracowników z internetu. 2. Testy penetracyjne urządzeń sieciowych: a. skanowanie listy otwartych portów na urządzeniach sieciowych, b. analiza podatności urządzeń w infrastrukturze sieciowej, c. zbadanie podatności styku sieci lokalnej z internetem na ataki z sieci zewnętrznej, d. weryfikacja poziomu bezpieczeństwa tunelu VPN zestawionego pomiędzy 2 routerami brzegowymi. 3. Podsumowanie oraz wnioski z przeprowadzonych badań: a. sporządzenie raportu zawierającego zalecenia poaudytowe. Audyt legalności oprogramowania: 1. Skanowanie komputerów pod kątem zainstalowanego oprogramowania oraz plików multimedialnych. 2. Przygotowanie i przekazanie poufnego raportu wstępnego o stanie legalności oprogramowania po pierwszym skanowaniu (spis zainstalowanego oprogramowania oraz zapisanych plików multimedialnych) w ciągu 10 dni roboczych od dnia rozpoczęcia audytu. 3. Inwentaryzacja dokumentacji licencyjnej przedstawionej przez Zamawiającego: 2

3 a. sporządzenie spisu posiadanych licencji w formacie *.xls, b. segregacja dowodów licencyjnych (faktury zakupu, oryginalne nośniki, certyfikaty autentyczności, umowy licencyjne), c. stworzenie kompletów dokumentacji licencyjnej do całości oprogramowania zainstalowanego na poszczególnych stacjach roboczych. 4. Weryfikacja i porządkowanie oprogramowania: a. porównanie zainstalowanego oprogramowania na poszczególnych stacjach ze spisem licencji, b. omówienie rozbieżności między zainstalowanym oprogramowaniem, a posiadanymi licencjami oraz sporządzenie spisu oprogramowania do usunięcia lub uzupełnienia licencji, c. usunięcie nielegalnego oprogramowania z komputerów, na które urząd nie posiada licencji oraz plików chronionych prawem autorskim (pliki muzyczne, filmy itp.), d. zainstalowanie lub przeinstalowanie i konfiguracja oprogramowania jeżeli wersje aktualnie zainstalowane nie odpowiadają posiadanym przez Zamawiającego licencjom. 5. Ponowne skanowanie jednostek, weryfikacja dokumentacji i wdrożonych zasad zarządzania oprogramowaniem. 6. Przygotowanie metryk komputerów w formacie *.xls. 7. Potwierdzenie przeprowadzenia działań naprawczych. 8. Przygotowanie i przekazanie końcowego raportu wynikowego z przeprowadzonego audytu. 9. Wystąpienie do firmy Microsoft o wydanie certyfikatu Microsoft Software Asset Management. 10. Nadanie Urzędowi Certyfikatu Wykonawcy, potwierdzającego używanie jedynie legalnego oprogramowania. 2. TERMIN REALIZACJI ZAMÓWIENIA Wykonawca zobowiązuje się wykonać przedmiot zamówienia, w okresie od r. (piątek) do r. (czwartek). Termin uważa się za dotrzymany, gdy urząd otrzyma raporty końcowe z wszystkich audytów łącznie z Certyfikatem Wykonawcy, potwierdzającym używanie jedynie legalnego oprogramowania. 3. WARUNKI UDZIAŁU W POSTĘPOWANIU 1) Wykonawca zobowiązany jest wykazać, że w okresie ostatnich trzech lat przed upływem terminu składania ofert, a jeśli okres prowadzenia działalności jest krótszy - w tym okresie należycie wykonał co najmniej: 1 zamówienie dla powiatowego urzędu pracy lub wojewódzkiego urzędu pracy polegające na przeprowadzeniu audytu bezpieczeństwa informacji oraz na wdrożeniu Polityki Bezpieczeństwa Informacji /Danych Osobowych lub Systemu Zarządzania Bezpieczeństwem Informacji lub Polityki Bezpieczeństwa Teleinformatycznego zgodnie z wymaganiami normy PN-ISO/IEC lub Rozporządzeniem Rady Ministrów w sprawie Krajowych Ram Interoperacyjności, 3

4 minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (t.j. Dz. U r., poz. 113 ze zm.); z podaniem ich wartości, przedmiotu, dat wykonania i podmiotów, na rzecz których usługi zostały wykonane oraz załączeniem dowodów, czy zostały wykonane należycie. Do oferty należy dołączyć Załącznik nr 4 według udostępnionego wzoru wraz z referencjami. 2) Wykonawca wykaże, że dysponuje lub będzie dysponować zespołem osób, w którego skład wchodzi co najmniej: a) jeden audytor dysponujący certyfikatem ukończenia szkolenia audytora wiodącego systemu zarządzania bezpieczeństwem informacji według ISO/IEC oraz posiadający doświadczenie w realizacji w okresie ostatnich 3 lat przed upływem terminu składania ofert co najmniej 3 usług obejmujących szacowanie ryzyka bezpieczeństwa informacji lub wdrożenie polityki bezpieczeństwa informacji lub usług obejmujących audyt bezpieczeństwa na zgodność z wymaganiami ISO Do oferty należy dołączyć Załącznik nr 3 według udostępnionego wzoru wraz z certyfikatem. 3) Wykonawca oświadczy w formularzu ofertowym, że jest uprawniony do przeprowadzania kontroli legalności oprogramowania oraz występowania do firmy Microsoft o nadanie certyfikatu legalności oprogramowania Microsoft Software Asset Management. 4. MIEJSCE WYKONANIA ZAMÓWIENIA Miejsca przeprowadzania audytu: - Powiatowy Urząd Pracy, ul. Jankowicka 1, Rybnik, - Lokalny Punkt Informacyjno-Konsultacyjny, ul. Wolności 2a, Czerwionka-Leszczyny. Miejsce przeprowadzenia szkolenia: - Powiatowy Urząd Pracy, ul. Jankowicka 1, Rybnik. 5. KRYTERIA OCENY OFERT ORAZ WAGI PUNKTOWE LUB PROCENTOWE PRZYPISANE DO POSZCZEGÓLNYCH KRYTERIÓW OCENY OFERT, OPIS SPOSOBU PRZYZNAWANIA PUNKTACJI ZA SPEŁNIENIE DANEGO KRYTERIUM OCENY OFERTY Przy ocenie ofert Zamawiający będzie się kierował następującym kryterium: Kryterium oceny ofert : cena 100% Oferta z najniższą ceną otrzyma maksymalną liczbę punktów 100. Pozostałe oferty zostaną przeliczone według poniższego wzoru. Cena = (minimalna oferowana cena brutto : cena badanej oferty brutto) x 100 pkt. Wygrywa oferta, która uzyskała największą ilość punktów. 4

5