Opis przedmiotu zamówienia (zwany dalej OPZ )

Transkrypt

1 Załącznik nr 1 do SIWZ Załącznik nr 1 do Umowy Opis przedmiotu zamówienia (zwany dalej OPZ ) 1. Przedmiotem zamówienia jest dostawa oraz wdrożenie systemu Database Activity Monitoring - DAM (zwanego dalej Rozwiązaniem lub Systemem DAM ), a także świadczenie serwisu dla wdrożonego Rozwiązania. W szczególności przedmiot zamówienia obejmuje: 1.1. Analizę techniczną oraz opracowanie projektu technicznego wdrożenia Rozwiązania 1.2. Dostarczenie sprzętu i Oprogramowania (zgodnie z definicją zawartą w IPU) wraz z Aktualizacjami (zgodnie z definicją zawartą w IPU) składającymi się na System DAM, a także niezbędnych pakietów suportowych producenta Rozwiązania na okres 12 miesięcy od daty podpisania Protokołu odbioru końcowego Instalację oraz konfigurację Rozwiązania Uruchomienie Rozwiązania Przeprowadzeniu szkoleń dla administratorów systemów, autoryzowane przez producenta Rozwiązania Wykonanie dokumentacji powdrożeniowej Świadczenie serwisu gwarancyjnego i asysty technicznej dla wdrożonego Rozwiązania w okresie 12 miesięcy od daty podpisania Protokołu odbioru końcowego. Zamówienie obejmuje także przeniesienie autorskich praw majątkowych lub udzielenie licencji do Oprogramowania oraz wytworzonej w toku realizacji przedmiotu zamówienia Dokumentacji (zgodnie z definicją zawartą w IPU), na warunkach wskazanych w IPU. Zamawiający przewiduje zamówienia opcjonalne, tj. świadczenie serwisu gwarancyjnego i asysty technicznej dla wdrożonego Rozwiązania przez dodatkowy okres 24 miesięcy oraz zakup pakietów suportowych na dodatkowy okres 24 miesięcy. 2. Rozwiązanie DAM musi spełniać następujące wymagania: 2.1. Serwer wykonawczy DAM serwer fizyczny o odpowiedniej wydajności spełniający niżej podane wymagania: Lp. Parametr Wymagania techniczne 1 Wydajność Przepustowość nie mniejsza niż 1gbps Zasilanie i 2 Zasilanie z sieci V/50-60Hz wentylacja 3 Obudowa Przeznaczona do zamontowania w szafie rack, wysokość nie 1

2 większa niż 2U 4 Ilość/rodzaj portów Nie mniej niż 4 porty Ethernet 10/100/ Serwer zarządzający DAM serwer fizyczny o odpowiedniej wydajności spełniający niżej podane wymagania: Lp. Parametr Wymagania techniczne 1 Zasilanie i wentylacja Zasilanie z sieci V/50-60Hz 2 Obudowa 3 Ilość/rodzaj portów Przeznaczona do zamontowania w szafie rack, wysokość nie większa niż 2U Nie mniej niż 2 porty Ethernet 10/100/ Funkcjonalność Rozwiązania DAM: 3.1. Rozwiązanie musi umożliwiać analizę środowiska poprzez: wyszukiwanie oraz klasyfikację usług bazodanowych w sieci Banku, testowanie podatności systemów bazodanowych, systemu operacyjnego oraz baz danych - na znane typy ataków, błędy konfiguracyjne, braki i niekompletność w aktualizacjach programowania - w proponowanym Rozwiązaniu zawarta musi być licencja na testowanie podatności nie mniej niż 100 instancji bazodanowych weryfikację zabezpieczenia kont użytkowników bazodanowych Rozwiązanie musi posiadać mechanizm wyszukiwania i klasyfikacji zarówno poprzez wykorzystanie wbudowanych wzorców danych (jak dane personalne, dane finansowe, numery kart kredytowych, etc.) jak również przez definiowanie własnych wzorców z wykorzystaniem wyrażeń regularnych. Definiowanie reguł monitoringu musi posiadać możliwość wykorzystania wyszukanych informacji Rozwiązanie musi posiadać mechanizm uwierzytelnienia w systemie operacyjnym (z użyciem protokołów protokoły SSH oraz NTLM lub Kerberos) oraz w bazie danych w celu wykonania testów określonych w ppkt Blokowanie w czasie rzeczywistym ataków typu SQL Injection, DoS i innych monitorowania w czasie rzeczywistym aktywności na bazach danych w celu wykrycia wycieku danych, nieautoryzowanych operacji SQL oraz ataków wykorzystujących podatności protokołów i systemów operacyjnych Monitoring dostępu do informacji w bazach danych (z uwzględnieniem języków DCL, DML, DDL, TCL, procedur składowanych). Definiowanie polityki monitoringu musi uwzględniać nie mniej niż następujące kryteria: użytkownik bazodanowy oraz aplikacyjny, tabele, kolumny, typ danych, schemat bazy danych, ilość wystąpień, dostęp 2

3 do danych wrażliwych (zdefiniowanych poprzez system wykrywania danych) oraz dane pobrane z zewnętrznych systemów (wymagana jest w tym celu integracja z Active Directory, pobranie danych z pliku oraz z baz danych przy wykorzystaniu zapytań SQL) Aktywna ochrona baz danych: Definiowanie reguł dostępu użytkowników bazodanowych do poszczególnych obiektów w bazie danych poprzez automatyczne tworzenie (na podstawie analizy ruchu sieciowego) listy użytkowników oraz listy zapytań SQL, jakie użytkownik może wykonać w odniesieniu do tabel baz danych. Musi istnieć możliwość definiowania oddzielnych reguł dostępu w odniesieniu do tabel z danymi wrażliwymi, sklasyfikowanymi przez moduł wyszukiwania i klasyfikacji danych. System musi posiadać dodatkowo możliwość automatycznego tworzenia list: źródłowych adresów IP, nazw aplikacji klienckich oraz nazw systemu operacyjnego, z których użytkownik ma dostęp do zasobów. Na podstawie powyższych list definiowane są reguły polityki bezpieczeństw Tworzenie list tabel, do których poszczególni użytkownicy bazodanowi nie mogą mieć dostępu. Musi istnieć również możliwość definiowania dni tygodnia oraz godzin, w jakich dany użytkownik może nawiązać połączenie z bazą danych W logach dotyczących zarejestrowanych naruszeń wymagane są co najmniej następujące informacje: nazwa użytkownika bazodanowego, dodatkowe dane o użytkowniku pochodzące z zewnętrznych systemów, źródłowy adres IP, pełne zapytanie SQL wykonane przez użytkownika Możliwość zablokowania ruchu wykorzystującego podatności wykryte w bazach danych funkcja firewall bazy danych Moduł aktywnej analizy uprawnień użytkowników w kontekście dostępu do obiektów w bazach danych. Analiza ma na celu wykrycie niewłaściwych/nadmiarowych/ niewykorzystywanych uprawnień użytkowników oraz śledzenie zmian praw dostępu (przedstawianie informacji, którzy użytkownicy nie odwołują się do baz danych, jakie uprawnienia są przydzielane użytkownikowi, przez kogo oraz z których uprawnień użytkownik nie korzystał w praktyce). W proponowanym Rozwiązaniu zawarta musi być licencja na 100 instancji bazodanowych podlegających analizie uprawnień użytkowników System DAM musi wykrywać komendy wykonywane na system zarządzania bazą danych, a także identyfikować próby eksportu danych z tabel bezpośrednio do plików Archiwizowane logi dotyczące aktywności użytkowników muszą być zapisywane w postaci zaszyfrowanej. 3

4 3.10. Musi istnieć możliwość zmiany wszystkich haseł użytkowników systemu ochrony baz danych Rozwiązanie musi posiadać funkcję wysyłania informacji o zdarzeniach poprzez protokół SNMP, SYSLOG, wiadomość oraz uruchomienia skryptu System musi posiadać gotowe szablony raportów dotyczące: Alarmów bezpieczeństwa Zdarzeń systemowych Zmian w profilach baz danych Monitorowania aktywności użytkowników na bazach Wykonanych testów podatności systemów, klasyfikacji usług oraz informacji w bazach danych Zgodności z wymaganiami regulacji, m.in.: PCI, SOX Musi istnieć możliwość tworzenia własnych raportów, zarówno w formie tekstowej jak i reprezentacji graficznej, a także automatycznego, cyklicznego wysyłania raportów wiadomością Wykonawca musi zapewnić Aktualizację systemu, uwzględniając co najmniej: sygnatury ataków, listę reguł polityki bezpieczeństwa oraz monitorowania aktywności użytkowników na bazach danych, listę testów podatności baz danych oraz listę raportów, a także dostosowanie Systemu do nowych wersji poprawek systemowych i bazodanowych Aktualizacja systemu musi być dostępna zarówno poprzez ręczne pobranie zawartości ze strony producenta jak i automatycznie, poprzez zdefiniowanie terminów wykonania procedury Aktualizacji System musi monitorować oraz zabezpieczać co najmniej następujące systemy baz danych: Oracle (8i, 9g, 10g, 11g), Sybase ASE, Progress OpenEdge, IBM DB2, Microsoft SQL Serwer), Oracle MySQL, PostgreSQL, instalowane na serwerach Windows, Unix oraz Linux Proponowane Rozwiązanie powinno umożliwiać monitorowanie baz danych (w tym administratorów baz danych) zarówno z wykorzystaniem agenta lub bez instalacji agenta na serwerze bazy danych Agent musi posiadać możliwość definiowania reguł, zgodnie z którymi aplikacja wybierać będzie ruch który ma być wysyłany do jednostki wykonawczej Agent musi posiadać możliwość kompresji ruchu przesyłanego do urządzeń 4

5 3.20. Moduły wykonawcze i system zarządzania muszą posiadać redundantne elementy: dysk twardy przy wykorzystaniu RAID, zasilanie oraz wentylator Zarządzanie systemem musi odbywać się poprzez interfejs przeglądarki Web w celu eliminacji konieczności instalacji dodatkowego Oprogramowania na stacji administratora Docelowo wdrożone Rozwiązanie powinno pozwolić na monitorowanie do 100 instancji baz danych, wszystkich wiodących producentów, w tym: Oracle (8i, 9g, 10g, 11g), Sybase ASE 15.x, Progress OpenEdge, IBM DB2, Microsoft SQL Serwer 2005, 2008, 2012, 2014), Oracle MySQL, PostgreSQL, zainstalowanych na serwerach Windows, Unix oraz Linux Oczekiwana przepustowość wdrożonego Rozwiązania min. 1 Gbps. 4. Wymagania odnośnie harmonogramu realizacji wdrożenia Rozwiązania. Wykonawca zobowiązany jest przedstawić harmonogram realizacji wdrożenia Rozwiązania zamówienia - uwzględniający wymienione poniżej wytyczne: 4.1. Wykonanie analizy technicznej i przygotowanie projektu technicznego wdrożenia. Analiza techniczna powinna obejmować następujące zagadnienia: wykonanie analizy środowiska Zamawiającego określone powinny zostać wymagania i możliwości sieci i serwerów baz danych, w celu określenia architektury dla wdrażanego Rozwiązania i metod monitoringu (np. miejsca umieszczenia agentów) dla najefektywniejszego wykorzystania systemu DAM; analiza wymagań określi jakie scenariusze nadużyć przede wszystkim mają być wykrywane przez system DAM, jakie zapisy polityki bezpieczeństwa dotyczą nadzoru nad użytkownikami oraz praktyki spełnienia wymagań prawa i standardów. Pozwoli to na opracowanie reguł alarmowania i audytu zdarzeń w bazach danych; analiza procesów określi grupy użytkowników, ich cele i motywy. Obejmie przegląd istniejącej polityki bezpieczeństwa co posłuży opracowaniu procedur, wytycznych i standardów korzystania z Rozwiązania DAM Opracowanie projektu technicznego. Obejmował on będzie następujące zagadnienia: opis architektury wdrażanego Rozwiązania, w tym adresacji IP i rozmieszczenia poszczególnych komponentów systemu w infrastrukturze Banku; projekt przestrzeni dyskowej i mechanizmów archiwizacji logów okres retencji logów minimum 3-6 miesięcy, archiwizacja na zewnętrznej macierzy dyskowej; szczegółowy opis obsłużenia poszczególnych komunikatów (incydentów); projekt reguł systemu DAM; 5

6 listę raportów ze szczególnym określeniem zakresu wynikającego z analizy procesów Realizacja prace implementacyjno-wdrożeniowe: przygotowanie propozycji konfiguracji audytów logowania; instalacja i konfiguracja systemu; implementacja zaprojektowanych polityk i reguł ochronnych; przygotowanie szablonów raportów bezpieczeństwa; przeprowadzenie strojenia samego systemu oraz doboru odpowiednich parametrów celem otrzymania najwydajniejszej konfiguracji systemu; przygotowanie szablonów powiadomień w przypadku wykrycia incydentu bezpieczeństwa; wdrożenie funkcjonalności agregacji danych wg ustalonych kryteriów takich jak np. czas, źródło, użytkownik; przeprowadzenie prac optymalizacji systemu pod kątem minimalizacji liczby fałszywych alarmów; przygotowanie procedur utrzymaniowych systemu; 4.4. Przeprowadzenie certyfikowanych szkoleń z użytkowania i administracji wdrożonego Rozwiązania dla 4 osób. Szkolenie powinno trwać minimum 5 dni i obejmować następujący zakres tematyczny: architektura Rozwiązania; instalacja i konfiguracja; wykrywanie baz danych; klasyfikacja danych; polityki audytów; budowa raportów; alarmowanie i korelowanie zdarzeń Wykonanie dokumentacji powdrożeniowej, która powinna zawierać: Dokumentację wykonanej implementacji Rozwiązania DAM Raporty z poszczególnych etapów prac Statystyki przeprowadzonej implementacji Procedury utrzymaniowe Dokumentacja administratora Rozwiązania. 5. Zakres wsparcia technicznego i serwisu Rozwiązania oraz zakupu pakietów suportowych: 6

7 5.1. Pakiety suportowe oferta powinna zawierać oprócz kosztów zakupu samego Rozwiązania DAM, koszty zakupu pakietów suportowych na okres minimum 12 miesięcy. Zakres suportu producenta: Dostęp do pomocy technicznej producenta Rozwiązania Dostęp do poprawek i nowych wersji wdrożonego Rozwiązania Dostęp do dokumentacji technicznej wdrożonego Rozwiązania Dostęp dla BGK do konta suportowego producenta Rozwiązania, zawierającego dostęp do bazy wiedzy Zakres wsparcia technicznego i serwisu: Zapewnienie Hot-Line, dostępnego dla upoważnionych pracowników Zamawiającego, w dni robocze od 8: 00 do 18: 00 z wyjątkiem dni świątecznych i ustawowo wolnych od pracy, spełniającego poniższe wymagania: Hot-Line musi obejmować następujące kanały zgłoszeń: serwis WWW, poczta elektroniczna, telefon W ramach Hot-Line zapewnienie kanału WWW do śledzenia i aktualizacji zarejestrowanych zgłoszeń W ramach Hot-Line zapewnienie możliwości automatycznego dodawania wpisów w systemie poprzez W ramach Hot-Line zapewnienie możliwości automatycznego powiadamiania o zbliżającym się czasie przeznaczonym na naprawę lub przekroczeniu SLA W ramach Hot-Line zapewnienie automatycznego powiadamiania o zbliżającym się końcu suportu lub wygaśnięciu umowy Hot-Line w języku Polskim Usuwanie usterek i błędów z zachowaniem poniższych zasad: Usunięcie błędu krytycznego lub wykonanie obejścia błędu krytycznego (umożliwiającego korzystanie z systemu) nastąpi w czasie 24h od przyjęcia zgłoszenia. Jeżeli jednak bezpośrednią przyczyną powstania błędu krytycznego systemu jest wada w Oprogramowaniu, usunięcie błędu krytycznego nastąpi poprzez współpracę Wykonawcy z Producentem w terminie możliwie najszybszym z punktu widzenia Producenta, nie dłuższym niż 14 Dni roboczych, po szczegółowym zapoznaniu się Producenta z przedmiotowym błędem Usunięcie innych błędów nastąpi w ciągu 5 dni roboczych od przyjęcia zgłoszenia. 7

8 Usunięcie usterek nastąpi w ciągu 10 dni roboczych od przyjęcia zgłoszenia W przypadku braku możliwości usunięcia błędów w podanych wyżej terminach Wykonawca zaproponuje równoważne Rozwiązanie zastępcze (workaround) Utrzymanie i aktualizacje zaimplementowanych raportów i alarmów stworzonych na potrzeby Zamawiającego Świadczenie usług konsultacyjnych w zakresie funkcjonowania systemu w języku Polskim: Wymiar: 8 godz. Miesięcznie Dostępność: dni robocze od 8: 00 do 16: 00 z wyjątkiem dni świątecznych i ustawowo wolnych od pracy Miejsce: siedziba Zamawiającego Realizacja zadań wynikających z zakresu umowy Dokumentowanie zmian wprowadzonych w ramach usługi, aktualizacja dokumentacji Wsparcie w pracach rozwojowych i zadaniach administracyjnych Szkolenie dla Zamawiającego w następującym wymiarze: Czas trwania: 5 dni w dowolnym terminie trwania wsparcia Rozwiązania, Miejsce: siedziba Wykonawcy, Zakres: wykorzystanie wdrożonego Rozwiązania do monitorowania baz danych Zamawiającego Ilość uczestników: 4 osoby Wykonawca zapewni wsparcie powdrożeniowe w okresie 12 miesiące od daty od daty podpisania Protokołu odbioru końcowego. Objęcie suportem oraz usługami wsparcia technicznego i serwisu Systemu DAM musi zapewnić Zamawiającemu pełną gotowość Wykonawcy do świadczenia opisanych w niniejszej specyfikacji usług od pierwszego dnia obowiązywania Umowy. Ponadto, świadczone usługi nie mogą negatywnie wpływać na zintegrowane z DAM aplikacje biznesowe i inne systemy bezpieczeństwa informacji Wsparcie techniczne musi być świadczone przez zespół składający się z co najmniej dwóch inżynierów Wykonawcy, posiadających stosowne kompetencje, potwierdzone certyfikatem ukończenia szkolenia z technologii wdrożonego Rozwiązania. Wymagane jest, aby jeden z w/w dwóch inżynierów świadczył wsparcie w siedzibie Zamawiającego w wymiarze: 10 h / miesiąc h / rok, minimum 2 godziny jednorazowo, w terminach uzgodnionych z Zamawiającym. 8

9 5.5. Wszelkie nośniki danych (w szczególności dyski twarde, karty pamięci), w przypadku awarii lub usterki (po jej usunięciu) pozostają w siedzibie Banku. 9