załącznik nr 2 do specyfikacji istotnych warunków zamówienia Przedmiotem zamówienia jest dostawa 1400 bezterminowych licencji producenta, wdrożenie, szkolenie pracowników oraz uruchomienie systemu ochrony przed wyciekami informacji, tzw. DLP (ang. Data Leak/Loss Protection/Prevention), w Urzędzie Marszałkowskim Województwa Mazowieckiego w Warszawie wraz z zapewnieniem realizacji 12 miesięcznego wsparcia technicznego i serwisu producenta systemu licząc od dnia podpisania protokołu odbioru końcowego. Symbole CPV: 72212218-0 Usługi opracowywania oprogramowania zarządzającego licencjami; 72267000-4 Usługi w zakresie konserwacji i napraw oprogramowania; 48900000-7 Różne pakiety oprogramowania i systemy komputerowe; 72265000-0 Usługi konfiguracji oprogramowania I. WYMAGANIA FUNKCJONALNE 1. System DLP musi być typu End-Point (serwer zarządzający/konsola zarządzająca + końcówki klienckie). 2. System musi umożliwiać wykrywanie i ochronę przed wyciekiem informacji przesyłanej przez sieć oraz znajdującej się na stacjach roboczych/serwerach/w bazach danych oraz wysyłanej/kopiowanej ze stacji roboczych. 3. System musi mieć możliwość przesyłania do użytkowników informacji o naruszeniu zasad polityki bezpieczeństwa w języku polskim za pomocą wiadomości email lub komunikatu wysłanego przez agenta (np. okno pop-up). 4. System musi mieć możliwość przeglądania zaistniałych zdarzeń poprzez dedykowaną konsolę/klienta/serwer. 5. Oprogramowanie musi posiadać możliwości audytu stacji roboczych/użytkowników w oparciu o uruchomione aplikacje, podłączane urządzenia, odwiedzane strony internetowe, dokumenty drukowane, ruch sieciowy, wysyłane oraz odbierane wiadomości e-mail oraz wykonywane czynności na plikach. 6. Każdy z punktów audytu może być filtrowany poprzez podanie zakresu czasu, za pomocą wykresu bądź tabeli. Wykresy oraz tabele muszą umożliwiać dostosowywanie ich do potrzeb administratora. Na podstawie audytu musi być możliwość wygenerowania raportu w postaci pliku PDF i XLS. 7. Oprogramowanie musi posiadać funkcjonalność globalnego zablokowania, zezwolenia, dostępu tylko do odczytu z korzystania z określonych urządzeń podłączanych do portu USB, urządzeń przenośnych, nośników optycznych CD/DVD, urządzeń Firewire, urządzeń podczerwieni, urządzeń Bluetooth, portów COM oraz LPT. 8. Oprogramowanie musi posiadać możliwość tagowania plików w oparciu o ich zawartość, m.in. o: Numery Kart kredytowych, PESEL, określone ciągi znaków zdefiniowane przez administratora. 9. Oprogramowanie musi posiadać możliwość powiadamiania użytkownika, jeśli zidentyfikuje w treści wiadomości e-mail: m.in.: Numery Kart kredytowych, PESEL, określone ciągi znaków zdefiniowane przez administratora. Funkcjonalność ta musi współpracować z następującymi klientami pocztowymi: Ms Outlook. 10. Oprogramowanie musi posiadać możliwość powiadamiania użytkownika, jeśli zidentyfikuje w załączniku do wiadomości e-mail m.in.: Numery Kart kredytowych, PESEL, określone ciągi znaków zdefiniowane przez administratora. Funkcjonalność ta musi współpracować z następującymi klientami pocztowymi: Ms Outlook. II. SERWER ADMINISTRACYJNY/ZARZĄDZANIE SYSTEMEM 1. Serwer administracyjny musi oferować możliwość instalacji na systemach Windows Server 2012, 2012 R2. 2. Wsparcie dla 32- i 64-bitowej wersji systemu Windows. 3. Serwer administracyjny musi wspierać instalację w oparciu o bazę MS SQL. 4. Serwer administracyjny ma działać w architekturze serwer, agent klienta, gdzie komunikacja serwera zarządzającego z klientem odbywa się tylko przy pomocy agenta. 5. Konsola zarządzająca musi umożliwiać przygotowanie pliku instalacyjnego agenta. 6. Serwer administracyjny musi umożliwiać wykonanie instalacji/deinstalacji zdalnej klienta na stacjach roboczych. 7. Serwer administracyjny musi umożliwiać zarządzanie za pośrednictwem wielu interfejsów graficznych (konsol). 8. Administrator musi posiadać możliwość synchronizacji użytkowników oraz stacji roboczych z usługą Active Directory. 9. Administrator musi posiadać możliwość zarządzania bazą danych poprzez określone zadania np.: wykonanie kopii bazy danych; usunięcia kopii bazy danych, usunięcia bazy danych, wprowadzenie ustawień
dla kopii bazy danych. Zadania te powinny być dostępne z poziomu konsoli wraz z możliwością określenia automatycznego powtarzania zadań. 10. Administrator musi posiadać możliwość zdefiniowania w programie przedziału czasowego dla kopii zapasowej bazy programu. 11. Administrator musi posiadać funkcje automatycznej kopii bazy danych programu DLP w określonym przez niego harmonogramie. 12. Serwer administracyjny programu musi posiadać funkcjonalność aktualizacji komponentów własnych. 13. Serwer administracyjny programu musi mieć możliwość automatycznego pobierania aktualizacji definicji kategoryzowania stron internetowych oraz aplikacji. Musi być możliwość wyłączenia automatycznego pobierania. 14. Administrator musi mieć możliwość tworzenia nowych kont administratorów w konsoli programu jak i ich usuwania oraz klonowania. 15. Główny administrator musi mieć możliwość wyłączenia dodatkowych kont administratorów w programie bez jego usuwania. 16. Administrator musi mieć możliwość zmiany hasła oraz loginu innego administratora. 17. Administrator musi mieć możliwość przypisywania jak i odbierania uprawnień do wybranych modułów programu. 18. Uprawnienia muszą być podzielone na moduły: a) służące do weryfikacji: wykorzystywanych aplikacji, odwiedzanych stron internetowych, wykorzystywanych plików, podłączonych urządzeń zewnętrznych oraz przesłanych i odebranych wiadomości e-mail; b) służące do oznaczania plików, tworzenia reguł wykorzystania plików wrażliwych, białych i czarnych list urządzeń; c) Kontroli dostępu do stron internetowych, kontroli dostępu do aplikacji oraz kontroli dostępu do druku. 19. Serwer administracyjny musi mieć możliwość definiowania interwału czasowego do weryfikacji ustawień pomiędzy serwerem administracyjnym a stacją końcową. 20. Serwer administracyjny musi mieć możliwość dla konkretnej stacji wymuszenia komunikacji w czasie rzeczywistym w celu sprawdzania konfiguracji. 21. Serwer administracyjny musi umożliwiać zablokowanie uruchomienia trybu awaryjnego na stacji końcowej 22. Serwer administracyjny musi umożliwiać zdefiniowanie portów dla ruchu pocztowego, które mają być monitorowane przez oprogramowanie zainstalowane na stacji końcowej. 23. Serwer administracyjny musi mieć możliwość ustawień powiadomień dla użytkownika końcowego w przypadku złamania reguł ustawionych w modułach związanymi z ochroną DLP. W powiadomieniu administrator musi posiadać możliwość określenia własnej grafiki oraz kontaktowego adresu e-mail. Powiadomienia dla użytkowników musi wyświetlać lokalny klient oprogramowania DLP. 24. Administrator musi mieć możliwość ustawienia godzin, w których nie będą obowiązywały użytkowników reguły kontroli aplikacji oraz stron internetowych. Godziny pracy muszą być ustalane dla poszczególnych dni tygodnia. 25. Konsola musi posiadać możliwość wysyłania alarmów dla zdarzeń: a) odmowy dostępu dla użytkownika do: lokalizacji sieciowych, stron internetowych, aplikacji, pliku, folderu; b) zablokowanie możliwości przenoszenia oraz kopiowania danych; c) podłączenie nieznanych urządzeń; d) zablokowanie podłączonego urządzenia; e) podłączenie nowej drukarki; f) przekroczenie dopuszczalnego limitu drukowanej liczby stron; g) zablokowanie drukowania; h) kopiowanie otagowanego pliku na nośnik zewnętrzny (np. pamięć USB); i) wysyłanie otagowanego pliku za pośrednictwem wiadomości e-mail lub do usług chmurowych. 26. Konsola musi posiadać możliwość wysyłania powiadomień, jeśli dany użytkownik przekroczy określoną dopuszczalną ilość wysyłanych maili oraz w przypadku przekroczenia dopuszczalnej ilości wysyłanych danych do sieci w danym dniu lub tygodniu. 27. Serwer administracyjny musi posiadać możliwość konfiguracji raportów w oparciu o uruchomione aplikacje, podłączane urządzenia, odwiedzane strony internetowe, dokumenty drukowane, ruch sieciowy, wysyłane wiadomości e-mail oraz wykonywane czynności na plikach. Dodatkowo musi posiadać możliwość 2
raportowania reguł bezpieczeństwa w oparciu o incydenty na plikach chronionych, ogółu wykonanych operacji na plikach, podsumowania wszystkich incydentów bezpieczeństwa, akcji użytkowników na zabezpieczonych plikach, zablokowanych operacji na dyskach lokalnych, zewnętrznych, podsumowanie korzystania z urządzeń oraz ich typów. Serwer administracyjny musi umożliwiać utworzenie raportu w oparciu o użycie aplikacji, zablokowanych aplikacji, zablokowanych drukarek, podsumowanie drukowania, zablokowane strony internetowe, zablokowanych użytkowników, aktywność użytkowników na serwerze, alarmy, ustawień klienta, kopii bezpieczeństwa, zarządzania stacjami końcowymi, dezaktywacją licencji oraz zaawansowanego debugowania. 28. Raporty muszą być generowane w oparciu o wskazane stacje robocze, użytkowników bądź grupy w określonym przedziale czasu. 29. Raporty muszą być generowane do pliku PDF, XLS po podaniu lokalizacji zapisywanego pliku, na wskazane adresy e-mail. 30. Serwer administracyjny musi posiadać wbudowany serwer SMTP udostępniony przez producenta oprogramowania 31. Aplikacja musi umożliwiać wygenerowanie raportu z wykorzystaniem różnych opcji językowych 32. Serwer administracyjny musi umożliwiać wykonanie zadania tagowania plików, które już znajdują się na stacjach roboczych i zasobach sieciowych, ale również nowych plików, które powstaną na bazie istniejących plików z tagami. 33. Serwer administracyjny musi mieć możliwość analizy lub tagowania nowo powstałych plików wrażliwych w oparciu o: a) Aplikację, z której zostały utworzone. b) Lokalizację lokalną oraz sieciową. c) Adres URL, z którego został pobrany plik. d) Format pliku. e) Zawartość pliku. 34. Serwer administracyjny musi mieć możliwość analizy lub tagowania posiadanych plików wrażliwych w oparciu o: a) Lokalizację lokalną oraz sieciową. b) Format pliku. c) Zawartość pliku. 35. Tagowanie plików, musi być dostępne dla wszystkich formatów plików oraz w oparciu o dowolną aplikacje. 36. Dla plików które zostały tagowane musi być możliwość utworzenia reguł w oparciu o czynności: a) Blokowania oraz zezwalania na zapisywanie, przenoszenie plików do lokalizacji na dyskach lokalnych lub konfiguracji określonych lokalizacji, do której będzie możliwość bądź nie będzie możliwości zapisu. b) Blokowania oraz zezwalania na zapisywanie, przenoszenie do lokalizacji na dyskach zewnętrznych z możliwością określenia białej oraz czarnej listy tych urządzeń. c) Możliwości zabezpieczenia możliwości drukowania, utworzenia białej oraz czarnej listy drukarek. d) Blokowania oraz zezwalania na zapisywanie, przenoszenie do lokalizacji sieciowej oraz określenie białej oraz czarnej listy lokalizacji sieciowych. e) Blokowania oraz zezwalania wysyłki plików za pośrednictwem klientów pocztowych oraz określenia białej oraz czarnej listy adresów e-mail oraz domen. f) Blokowania oraz zezwalania na zapisywanie, przenoszenie plików na dyski zaszyfrowane w oparciu o lokalnie zaszyfrowane dyski oraz zewnętrzne zaszyfrowane dyski. g) Blokowania oraz zezwalania na zapisywanie, przenoszenie plików do folderów synchronizacji z usługami chmury (Google Drive, OneDrive Bussiness, One Drive Personal, Dropbox, Box Sync, SharePoint). h) Blokowania oraz zezwalania na zapisywanie, przenoszenie plików poprzez usługę pulpitu zdalnego i) Blokowania oraz zezwalania na wykonywanie zrzutów ekranowych, nagrywania na płyty CD/DVD oraz wirtualnego drukowania plików. j) Blokowania oraz zezwalania kopiowania treści plików wrażliwych do schowka. k) Uruchomienie wybranego formatu pliku przez wskazaną przez administratora aplikacje. 37. Serwer administracyjny musi umożliwiać określenie stref urządzeń pamięci masowej, drukarek fizycznych, sieciowych, lokalizacji sieciowych, adresów e-mail oraz domen, urządzeń przenośnych, firewire oraz bluetooth które mogą być wykorzystywane do określenia reguł dostępu. 38. Strefy muszą posiadać możliwość dodania elementów ręcznie oraz elementów, które były podłączane do stacji roboczych. 39. Serwer administracyjny musi posiadać funkcjonalność globalnego zablokowania oraz zezwolenia na korzystanie z określonych folderów lokalnych, sieciowych, dysków o określonych literach oraz folderów 3
synchronizacji z usługami chmury (Google Drive, OneDrive Bussiness, One Drive Personal, Dropbox, Box Sync, SharePoint). 40. Serwer administracyjny musi posiadać możliwość zaszyfrowania całej powierzchni dysku w oparciu o funkcjonalność BitLocker z użyciem hasła lub modułu TPM. 41. Serwer administracyjny musi posiadać możliwość szyfrowania dysków zewnętrznych w oparciu o funkcjonalność BitLocker. Szyfrowanie oraz autoryzowanie do zaszyfrowanych nośników wymiennych musi być w pełni niezauważalne dla użytkownika. 42. Serwer administracyjny musi posiadać możliwość tworzenia kluczy szyfrujących, które będą kompatybilne z funkcjonalnością BitLocker dla zapewnienia transparentności współdzielenia zaszyfrowanych nośników wymiennych. 43. Serwer administracyjny musi posiadać możliwość wygenerowania hasła ratunkowego do odblokowania dostępu do zaszyfrowanych dysków oraz dysków wymiennych, w sytuacji jeżeli użytkownik zapomni hasła. 44. Serwer administracyjny musi posiadać możliwość blokowania stron internetowych w oparciu o kategorię stron oraz po podaniu adresu URL. Musi istnieć możliwość konfiguracji przekierowania z dowolnej strony która została zablokowana na stronę wskazaną przez administratora. 45. Serwer administracyjny musi posiadać możliwość blokowania aplikacji w oparciu o kategorię aplikacji, lokalizację aplikacji oraz aplikację ze sklepu Windows. 46. Serwer administracyjny musi posiadać możliwość blokowania możliwości drukowania na wszystkich oraz określonych drukarkach fizycznych, sieciowych oraz wirtualnych. Musi także posiadać możliwość ograniczenia drukowania per limit stron na dzień, tydzień oraz miesiąc. 47. Serwer administracyjny musi posiadać funkcjonalność konsoli webowej która umożliwia przeglądanie informacji dotyczących bezpieczeństwa w oparciu o próby wycieku danych, operacji na plikach posiadających tag, plików wysyłanych do sieci, plików pobieranych z sieci, plików wysyłanych drogą e- mailową, plików kopiowanych na dyski zewnętrzne, pliki drukowane. Konsola webowa musi umożliwiać obserwację produktywności pracy użytkowników w oparciu o zdefiniowane przez administratora aplikacje oraz strony internetowe. 48. Rozwiązanie musi posiadać możliwość utworzenia konsoli webowych, dających dostęp do zebranych informacji, bez możliwości dokonywania zmian administracyjnych. 49. Konsola webowa musi wspierać instalację na systemach Windows Server 2012, 2012 R2. 50. Konsola webowa musi współdziałać z bazą danych MS SQL Server 2012 i nowszymi. 51. Logowanie do konsoli webowej musi opierać się na wcześniej utworzonych kontach użytkowników w konsoli aplikacyjnej. 52. Uprawnienia dostępu wybranych użytkowników do poszczególnych informacji na temat grup komputerów lub grupy użytkowników w konsoli webowej muszą być ustalane z poziomu konsoli aplikacyjnej. 53. Konsola musi wyświetlać informacje na temat bezpieczeństwa danych, produktywności pracowników oraz utylizacji sprzętu, które są podzielone na: a) Bezpieczeństwo danych: Przegląd informacji o incydentach bezpieczeństwa. Przegląd danych przychodzących. Przegląd danych wychodzących. Przegląd informacji z Office365, które dotyczą m.in. pobierania, współdzielenia oraz lokalnego dostępu do plików. Podłączane/odłączane urządzeń przenośnych. a) Produktywność: Przegląd informacji na temat produktywności użytkowników. Aktywność użytkowników podczas przeglądania stron WWW oraz korzystania z aplikacji. Trendy. b) Eksploatacja sprzętu: Przegląd informacji na temat eksploatacji sprzętu komputerowego. Eksploatacja sprzętu komputerowego, najbardziej nieaktywne komputery. Eksploatacja drukarek. Eksploatacja sieci. 54. Konsola webowa musi dawać możliwość dodania klucza licencji. 55. Konsola webowa musi posiadać możliwość konfiguracji/zmiany domyślnego serwera SMTP. 56. W konsoli webowej musi istnieć możliwość konfiguracji połączenia z Office 365. 57. Konsola webowa musi mieć możliwość weryfikacji wersji zainstalowanego oprogramowania klienta wraz z możliwością deaktywacji tego oprogramowania oraz pobrania pakietu najnowszej wersji. 58. Konsola webowa musi umożliwiać generowanie raportów z danymi na temat bezpieczeństwa danych, produktywności pracowników oraz utylizacji sprzętu. Raporty muszą być generowane dla wybranych grup 4
komputerów/użytkowników w interwałach tygodniowych lub miesięcznych. Raporty będą przesyłane drogą e-mailową. 59. Pomoc w programie (help) i dokumentacja do programu dostępna w języku polskim lub/i angielskim. III. AGENT NA STACJACH ROBOCZYCH 1. Pełne wsparcie dla stacji roboczych z systemami Windows 7/Windows8/Windows 8.1/Windows 8.1 Update/10 1. Wsparcie dla 32- i 64-bitowej wersji systemu Windows. 2. Agent musi posiadać możliwość instalacji z wykorzystaniem systemu SCCM. 3. Agent musi być zabezpieczony przed możliwością wyłączenia/zawieszenia działania przez nieuprawnionego użytkownika. 4. Agent musi być zabezpieczony przed możliwością deinstalacji przez nieuprawnionego użytkownika. 5. Lokalny klient musi mieć możliwość egzekwowania reguł DLP niezależnie od stanu połączenia internetowego. 6. W przypadku braku połączenia klienta z serwerem zarządzającym, klient musi mieć możliwość lokalnego przechowywania informacji oraz zebranych danych do czasu ponownego połączenia z serwerem administracyjnym. 7. Powiadomienia dla użytkowników muszą być wyświetlane w języku polskim niezależnie od języka systemu operacyjnego. IV. PRACE INSTALACYJNE I WDROŻENIOWE, SZKOLENIA 1. Wykonawca w terminie do 7 dni roboczych od podpisania umowy przedstawi harmonogram wdrożenia systemu uwzględniający wszystkie elementy opisu przedmiotu zamówienia. 2. Wykonawca dokona instalacji serwera administracyjnego oraz konsoli centralnego zarządzania na infrastrukturze Zamawiającego. 3. Wykonawca przygotuje pakiet instalacyjny i wykona instalację agentów na stacjach roboczych użytkowników (z wykorzystaniem SCCM). 4. Wykonawca przygotuje i zaimplementuje w systemie przykładowy pakiet reguł DLP. 5. Wykonawca przeprowadzi minimum 1 dniowe szkolenie dla administratorów wskazanych przez Zamawiającego. Szkolenie odbędzie się w siedzibie Zamawiającego dla max. 4 administratorów. Minimalny zakres szkolenia ma dotyczyć logiki pracy z systemem oraz wykorzystania najważniejszych funkcjonalności rozwiązania, m.in.: a) Instalacja konsoli centralnego zarządzania. b) Tworzenie pakietów instalacyjnych oraz instalacja agentów na stacjach roboczych użytkowników. c) Tworzenie reguł do określania, kiedy plik ma być uznany jako wrażliwy i do jakiej kategorii plików ma być przypisany. d) Tworzenie reguł, kto i co może zrobić z plikiem (kontrola uprawnień pracy z plikami) e) Tworzenie bezpiecznych stref do pracy z danymi sensytywnymi (Zones). f) Zarządzanie BitLockerem (wbudowane szyfrowanie w system Microsoft w wersji 7 Enterprise oraz w wersjach 8 i 10 Pro). g) Audytowanie produktywności użytkowników. 6. Szkolenie nie może odbywać się w trybie on-line. 7. Usługa instalacji, wdrożenia i szkolenia powinna być przeprowadzona przez inżyniera legitymującego się aktualnym certyfikatem producenta oferowanego rozwiązania. V. WSPARCIE TECHNICZNE 1. Wykonawca zapewni realizację 12 miesięcznego wsparcia technicznego i serwisu producenta systemu licząc od dnia podpisania protokołu odbioru końcowego. 2. Usługa wsparcia technicznego, polegająca na konsultacjach telefonicznych oraz za pośrednictwem komunikacji elektronicznej (email), wymagana jest w języku polskim, w dni robocze w godzinach od 08:00 do 16:00, musi być świadczona przez inżynierów legitymujących się aktualnymi certyfikatami producenta oferowanego rozwiązania. 3. Usługa wsparcia technicznego musi obejmować m.in. pomoc przy rozwiązywaniu problemów oraz udzielanie odpowiedzi na pytania dotyczące działania rozwiązań systemu. 4. W przypadku awarii lub usterek systemu wynikających z wady systemu, które nie mogą zostać usunięte przy pomocy usługi wparcia technicznego, Wykonawca zapewni wizytę serwisową inżyniera legitymującego się aktualnym certyfikatem producenta oferowanego rozwiązania w siedzibie Zamawiającego. Zamawiający 5
dopuszcza możliwość udzielenia zdalnej pomocy serwisowej dla wskazanej sytuacji przy pomocy bezpiecznego kanału połączeniowego do systemu (np. VPN). 5. Przez awarię należy rozumieć błąd wynikających z wady systemu uniemożliwiający poprawną pracę systemu niemożliwe jest wykonanie kluczowych dla systemu funkcji bezpośrednio ani pośrednio innymi metodami. Przez usterkę należy rozumieć błąd wynikających z wady systemu, który nie wpływa znacząco na pracę lub błąd, który można ominąć poprzez użycie innych funkcji. 6. Rozpoczęcie prac nad usunięciem awarii musi nastąpić w terminie nie dłuższym niż 24 godziny z wyłączeniem dni wolnych od pracy i dni świątecznych od czasu zgłoszenia awarii. 7. Rozpoczęcie prac nad usunięciem usterki musi nastąpić w terminie mnie dłuższym niż 48 godzin z wyłączeniem dni wolnych od pracy i dni świątecznych od czasu zgłoszenia usterki. 8. Przez świadczenie usług wsparcia technicznego i serwisu w okresie, o którym mowa w ust. 1 pkt 2 rozumie się w szczególności wykonywanie poniższych czynności: 1) dostarczanie nowych wersji oprogramowania, powstających w trakcie trwania umowy w terminach obustronnie uzgodnionych; 2) wsparcia technicznego dla administratorów w zakresie eksploatacji systemu, w szczególności w zakresie pomocy przy rozwiązywaniu problemów oraz udzielania odpowiedzi na pytania dotyczące działania systemu; 3) prowadzenie konsultacji i doradztwa w zakresie wdrożonego systemu: pocztą elektroniczną lub telefonicznie; 4) zapewnienie wizyt serwisowych inżyniera, legitymującego się aktualnym certyfikatem producenta systemu, w siedzibie Zamawiającego (szczególnie w przypadku wad i usterek, których nie można usunąć przy pomocy wsparcia technicznego). Zamawiający dopuszcza możliwość udzielenia zdalnej pomocy za pośrednictwem bezpiecznego kanału połączeniowego do systemu (np. VPN). 6