SPÓŁKA AKCYJNA Biuro Zakupów 02-305 Warszawa Al. Jerozolimskie 142 a BFZ24-073-1732/2018 Warszawa, 23.11.2018 r. Do Oferentów Dotyczy: postępowanie o udzielenie zamówienia oznaczonego numerem 09/11/IT/2018, na usługi hostingu w okresie 12 miesięcy w PKP Intercity S.A. Przekazanie treści pytań wraz z udzielonymi odpowiedziami (3) Do Zamawiającego we wskazanym w Zapytaniu ofertowym terminie, zostały wniesione pytania, na które Zamawiający udziela poniższych odpowiedzi. Zamawiający informuje o zmianie terminu składania ofert na dzień 30 listopada br. godz. 11.00, a terminu składania pytań do dnia 26 listopada br. godz. 13.00 Pytanie 6 (pisownia oryginalna): Umowa nie specyfikuje terminu świadczenia usług (jest puste pole) prosimy o informację jaki jest termin realizacji zamówienia? Termin ten nie został skonkretyzowany, ponieważ usługa będzie świadczona od dnia podpisania przez Strony protokołu odbioru Infrastruktury, którą Wykonawca jest zobowiązany przygotować na rzecz świadczonej usługi dla Zamawiającego. Pytanie 7 (pisownia oryginalna) Pkt 6.14 Umowy prosimy o potwierdzenie, że zobowiązanie Wykonawcy do poniesienia obciążeń nałożonych na PKP IC przez administracje podatkową dotyczy tylko takich sytuacji, w których doszło do tego z przyczyn leżących po stronie Wykonawca Wykonawca nie może być zobowiązany do nadzorowania, jak również nie ma żadnej możliwości wpływu na przestrzeganie przez PKP IC jej ewentualnych zobowiązań podatkowych związanych z transakcjami będącymi przedmiotem Umowy, zatem ww. obowiązek powinien zostać graniczony do sytuacji, w których rzeczywiście Wykonawca ponosi winę za obciążenia nałożone na PKP IC (np. przypadek przekazania nieprawidłowych informacji). Potwierdzamy. Pytanie 8 (pisownia oryginalna): Pkt 9.2. c) Umowy prosimy o doprecyzowanie, że przesłanką odstąpienia jest wyłącznie nieuzasadnione rozwiązanie przez Wykonawcę zawartej Umowy o powierzeniu przetwarzania danych osobowych określona obecnie przesłanka jest zbyt szeroka i naruszająca równowagę stron, pozostawia bowiem możliwość nadużyć po stronie Zamawiającego.
Zamawiający nie zgadza się na propozycję zmiany. Przypadki, gdy Zamawiający może rozwiązać umowę powierzenia przetwarzania danych osobowych (załącznik nr 7 do projektu umowy) jasno wskazują przesłanki i ograniczają możliwość nadużyć. Pytanie 9 (pisownia oryginalna): pkt 9. 5 Umowy zdanie ostatnie wnosimy o modyfikacje, poprzez przewidzenie, iż Zamawiający ma prawo korzystania z Systemu, ale wyłącznie odpłatnie postanowienie w obecnym brzmieniu stanowi rażące naruszenie równowagi stron, gdyż Zamawiający nie tylko ma prawo do naliczenia kar umownych z tytułu rozwiązania umowy, ale także nie będzie płacić wynagrodzenia za świadczone ciągle na jego rzecz usługi. W przedmiotowej sytuacji, Zamawiający decydując się na rozwiązanie umowy a jednocześnie kontynuowanie korzystania z Systemu, powinien być zobowiązany do zapłaty wynagrodzenia należnego za wykonywane na jego rzecz świadczenia. Zamawiający nie wyraża zgody na zaproponowaną modyfikację. Pytanie 10 (pisownia oryginalna): Umowa - Zał. Nr 5, lit. H wnosimy o usunięcie postanowienia, iż Wykonawca związany jest sklasyfikowaniem Incydentu przez Zamawiającego incydenty podlegają klasyfikacji zgodnie z ustalonymi przesłankami; nadawanie wiążącej klasyfikacji przez Zamawiającego, która zazwyczaj prowadzi do nadawania wyższych priorytetów niż rzeczywiste, będzie prowadzić do niepotrzebnej mobilizacji po stronie Wykonawcy i wpłynie na zwiększenie kosztów realizacji umowy. Zamawiający nie wyraża zgody na proponowaną zmianę. System monitorowania Wykonawcy powinien klasyfikować incydenty w sposób opisany przez Zamawiającego. Pytanie 11 (pisownia oryginalna): Jakie zapotrzebowanie na szafy crossowe oraz szafy dla serwerów przewiduje Zamawiający w czasie obwiązywania umowy? Ilość szaf zapewnionych przez Wykonawcę powinna być wystarczająca do prawidłowego świadczenia usługi będącej przedmiotem zapytania. Pytanie 12 (pisownia oryginalna): Jakiej częstotliwości przeglądania logów baz danych oczekuje Zamawiający? W ramach usługi SOC przeglądanie logów, w szczególności baz danych, powinno być możliwe na bieżąco. Pytanie 13 (pisownia oryginalna): Jaka jest przewidywana powierzchnia dyskowa potrzebna do realizacji dodatkowej kopii wybranych obiektów? 1TB na żądanie Zamawiającego. Pytanie 14 (pisownia oryginalna): Jaką ilość danych do backupu oraz archiwizacji przewiduje Zamawiający oraz jaki jest planowany miesięczny przyrost danych? Zamawiający przewiduje 1TB + 20% przyrostu miesięcznego. Pytanie 15 (pisownia oryginalna): Prosimy o wyjaśnienie czym jest specjalizowany serwis, do którego mają być przekazywane incydenty. Strona 2 z 7
Prosimy o doprecyzowanie którego zapisu dotyczy powyższe pytanie. Pytanie 16 (pisownia oryginalna): Prosimy o zdefiniowanie liczby administratorów (kont) z których sesje maja być nagrywane wraz z dokładną ilością urządzeń sieciowych, serwerów i innych urządzeń, do których będą nawiązywane połączenia 5 administratorów do wszystkich serwerów produkcyjnych środowiska. Pytanie 17 (pisownia oryginalna): W załączniku nr 2 Zamawiający specyfikuje łącze. Prosimy o doprecyzowanie czy wymagane jest łącze 200Mbps na realizację obu zdefiniowanych celów, czy Zamawiający oczekuje dostarczenia 400Mbps (po 200Mbps na każdy cel) z możliwością rozbudowy do 1Gpbs każdego z nich. 400 Mbps (po 200 Mbps na każdy cel) z możliwością rozbudowy do 1Gbps Pytanie 18 (pisownia oryginalna): W tym samym punkcie Zamawiający oczekuje udostępnienia redundantnego rozwiązania sieciowego. Czy to oznacza, że wymagane jest drugie łącze dla połączeń VPN Z każdego urządzenia sieciowego w ramach rozwiązania redundantnego ma być zestawiony tunel VPN. Pytanie 19 (pisownia oryginalna): W załączniku nr 5 do Umowy w pkt H Zamawiający dokonuje klasyfikacji Incydentów oraz definiuje czasy realizacji w zależności od priorytetu. Następnie Zamawiający definiuje "czas reakcji". Prosimy o doprecyzowanie czym jest czas realizacji, a czym czas reakcji. Przez czas realizacji rozumie się czas, który upłynął od momentu wykrycia Incydentu lub przyjęcia zgłoszenia, do momentu w jakim Wykonawca wyeliminuje Incydent w przypadkach, gdy zgodnie z Umową Wykonawca będzie do tego zobowiązany Pytanie 20 (pisownia oryginalna): Zamawiający oczekuje fizycznego dostępu do W załączniku 4 do Umowy, Zamawiający proponuje szablon dokumentu raportowania. W dokumencie są informacje o narzędziu sprawdzającym dostępność systemu co dwie minuty. Czy narzędzie ma być własnością Wykonawcy, czy zostanie dostarczone przez Zamawiającego? Narzędzie powinno być własnością Wykonawcy Pytanie 21 (pisownia oryginalna): Systemu. Co Zamawiający rozumie przez fizyczny dostęp? Zamawiający oczekuje dostępu osób upoważnionych przez Zamawiającego do pomieszczeń hostingodawcy. Pytanie 22 (pisownia oryginalna): Zamawiający oczekuje nagrywania sesji. Jak długo mają być przechowywane nagrania? 3
Sesje powinny być przechowywane przez 12 miesięcy. Pytanie 23 (pisownia oryginalna): W dokumencie OPZ Zamawiający w punkcie "Wymagane parametry hostingu" informuje o 8 tunelach VPN Site to site, podczas gdy w Załączniku nr 1 do OPZ jest oraz w Załączniku 2 do umowy jest zdanie o terminowaniu 500 sztuk bezpiecznych kanałów. Proszę o doprecyzowanie. Zamawiający aktualnie korzysta z 8 tuneli site-site. Urządzenie Wykonawcy powinni umożliwiać zestawienie minimum 8 tuneli site-site w technologii IPSec oraz obsługę do 500 połączeń na bramce VPN. Pytanie 24 (pisownia oryginalna): Czy dopuszczą Państwo możliwość złożenia certyfikatu po złożeniu oferty wstępnej na etapie złożenia ofert statecznych. Ale nie później niż 10 dni po złożeniu ofert wstępnych. Prośba wynika z faktu, że Wykonawca jest w tej chwili w trakcie certyfikacji Zamawiający wymaga złożenia kopii ważnego certyfikatu wraz z ofertą wstępną. Zgodnie z pkt 3.5. Umowy na etapie realizacji usługi Wykonawca musi spełniać wymogi ustawy o Krajowym Systemie Cyberbezpieczeństwa zgodnie z zapisami ustawy z dnia 5 lipca 2018 roku o Krajowym Systemie Cyberbezpieczeństwa (Dz. U. 2018 poz. 1560) wraz rozporządzeniami wykonawczymi. Pytanie 25 (pisownia oryginalna): Dot. nieprzerwane świadczenie usług hostingowych Systemów rozumiane jako utrzymanie infrastruktury technicznej i systemowej do poziomu warstwy aplikacji oraz łączy internetowych pozostających w wyłącznej odpowiedzialności PKP Intercity Pytania szczegółowe i Odpowiedzi Zamawiającego: - Co rozumiemy przez odpowiedzialność PKP Intercity w zakresie umowy? Odpowiedzialność za usuwanie błędów w aplikacji jest w zakresie Zamawiającego. - Co to oznacza poziom warstwy aplikacji www? (kto zajmuje się aplikacją i jej rozwojem)? Zamawiający zajmuje się usuwaniem błędów aplikacji i jej rozwojem. Odpowiedzialność Wykonawcy obejmuje: siec, łącza teleinformatyczne, zabezpieczenia (firewall, itp.), infrastrukturę serwerową, wirtualizator, maszyny wirtualne, Systemy Operacyjne silniki bazy danych, serwery aplikacyjne (TOMCAT,PHP), serwery www (Apache), monitoring, servicedesk, zarządzanie incydentami i bezpieczeństwo systemu, backup. - Co rozumiane jest pod słowem aplikacja? Aplikacja to oprogramowanie zamawiającego uruchamiane w ramach serwera aplikacyjnego (Apache z PHP i Tomcat). - Czy sformułowanie do poziomu warstwy aplikacji oznacza, że Wykonawca zajmu się OS, silnikiem serwera aplikacji (Apache z PHP i Tomcat (MySQL, PostgreSQL), Bazą danych), a nie zajmuje się kodem? Zamawiający potwierdza powyższe. - Jaka jest specyfikacja maszyny wirtualne T1-REP1? Strona 4 z 7
Nazwa T1-REP1 System operacyjny Software CentOS Serwer bazy danych Postgres Hardware vcore* 4 RAM [GB] 8 HDD [GB] 2048 *Procesor to liczba określająca maksymalną ilość wątków procesora nie gorszego niż Intel XEON CPU E5-2670 V2 @2,5 GHz - Dla środowiska testowego brakuje serwera wirtualnego bazy danych. Czy baz danych jest wspólna z innym serwerem? Jak nie to jaka jest specyfikacja serwera wirtualnego? Serwer S1-DB1 środowiska preprodukcyjnego jest współdzielony ze środowiskiem TST. - Co się kryje pod pojęciem łącza administracyjnego? a) Dedykowane łącze dzierżawione? (Wtedy adres lokalizacji i prędkość?) b) Tunel VPN do siedziby klienta? c) Tunele client-site dla administratorów? d) Inne? Tunele IPSec pomiędzy Zamawiającym a Wykonawcą. Dodatkowo Zamawiający wymaga dostęp dla administratorów Zamawiającego poprzez klienta VPN poprzez sieć Internet. - Na ile dni wcześniej otrzymamy informację o konieczności rozszerzenia pasma do CIR 1Gbps dla usług Zamawiającego? Zamawiający przekaże prośbę o zwiększenie przepustowości do CIR 1Gbps z wyprzedzeniem 5 dni roboczych. Pytanie 26 (pisownia oryginalna): Usługa akceleracji SSL. Czy akceptują Państwo firewall z dedykowanym procesorem do obsługi szyfrowania SSL, czy też konieczne jest posiadanie sprzętowego akceleratora SSL? Zamawiający wymaga sprzętowego akceleratora SSL. Pytanie 27 (pisownia oryginalna): Usługa firewall-a. W Wymaganych parametrach hostingu jest mowa o 8 tunelach site-site; natomiast w rozdz.2, pkt.1d jest mowa o max. 500 tunelach VPN. Prosimy o doprecyzowanie obu zapisów, w szczególności odpowiedzialności usługodawcy w zakresie instalacji i utrzymania 500 tuneli (w domyśle client-site) na stacjach końcowych znajdujących się poza administracją usługodawcy. Zamawiający aktualnie korzysta z 8 tuneli site-site. Urządzenie Wykonawcy powinno umożliwiać zestawienie minimum 8 tuneli site-site w technologii IPSec oraz obsługę do 500 połączeń na bramce VPN. 5
Pytanie 28 (pisownia oryginalna): Usługa balansowania ruchu z funkcjonalnością sticky session (min. cookie, ip_hash itp.) z możliwością zarządzania ruchem na podstawie URL dla środowisk PRD, PRE i TST. Czy wymagają Państwo sprzętowego loadbalancera, czy też może to być zrealizowane aplikacyjnie i/lub na firewallu? Zamawiający dopuszcza zamianę load balancer a na rozwiązanie software owe (virtual appliance) o funkcjonalnościach nie gorszych niż sprzętowe. Pytanie 29 (pisownia oryginalna): OPZ, pkt.11-12: zgodnie z ustawą KSC (Art.14), na usługi outsourcingu cyberbezpieczeństwa, operator usługi kluczowej powinien zawrzeć stosowną umowę, z podmiotem spełniającym wymagania ustawy i rozporządzeń (szczególnie Rozp. Ministra Cyfryzacji z 10 września 2018, poz. 1780). Rekomendujemy doprecyzowanie OPZ w tym zakresie w celu zapewnienia, że dostawca będzie spełniał te wymagania (zgodnie z OPZ, pkt.3), m.in. usługa reagowania na incydenty musi mieć zapewnioną ciągłość zgodnie z ISO 22301 Wymagania doprecyzowano w umowie i zapytaniu ofertowym. Zgodnie z zapisami umowy: 3.5 Wykonawca oświadcza, że spełnia wymogi ustawy o Krajowym Systemie Cyberbezpieczeństwa zgodnie z zapisami ustawy z dnia 5 lipca 2018 roku o Krajowym Systemie Cyberbezpieczeństwa (Dz. U. 2018 poz. 1560) wraz rozporządzeniami wykonawczymi. 3.6 Wykonawca w ciągu 14 dni od momentu podpisania Umowy zobowiązany jest przedstawić do zatwierdzenia przez Zamawiającego plan awaryjny, plan migracji i plan ciągłości działania dla procesów objętych Umową zgodnie z normą ISO 22301. Zamawiający może zaakceptować w/w plany w terminie do 2 tygodni od momentu ich otrzymania lub wnieść uwagi. Wykonawca zobowiązany jest uwzględnić uwagi w zakresie nie wychodzącym poza ustalone w Umowie oraz załącznikach parametry i przedstawić Zamawiającemu do akceptacji. Pytanie 30 (pisownia oryginalna): wdrożenie i utrzymanie pełnej obsługi SOC, działającego w trybie 24/7 (całodobowo, 7 dni w tygodniu, 365 dni w roku), w zakresie Systemów eic, www.intercity.pl, SMTP Relay, USS, zgodnie z ustawą o Krajowym Systemie Cyberbezpieczeństwa. Czy SMTP Relay bazuje Postfix czy bazuje na innym rozwiązaniu? Jaka jest maksymalna wartość przesyłanych wiadomości dziennie email? 100 000 e-maili dziennie SMTP Relay aktualnie bazuje na Postfix, jednakże Wykonawca jest za niego odpowiedzialny, jak i za zastosowanie konkretnego rozwiązania SMTP. Pytanie 31 (pisownia oryginalna): OPZ, pkt.13: w przypadku wykrycia luk w warstwie aplikacyjnej (poza zakresem właściwej usługi hostingowej) czy usługodawca otrzyma do analizy kody źródłowe aplikacji? Zamawiający nie dopuszcza takiej możliwości. Pytanie 32 (pisownia oryginalna): Pytania dotyczących pkt. 13 z zał. 3 przy założeniu, że chodzi o przeglądy istniejącego systemu (czy zmiana aplikacji wywołuje nowe zagrożenia, w sensie analizy kodu źródłowego w Javie, który jest tworzony przez PKP lub ich dostawców): 1. O jakie frameworki, technologie, biblioteki etc. oparta jest aplikacja? 2. Jaka jest złożoność aplikacji? Z ilu linii kodu oraz z ilu modułów się składa? 3. Jak często są wydawane/wdrażane kolejne wersje oprogramowania objętego analizą? Strona 6 z 7
4. Jak duże są przyrosty kodu w kolejnych wersjach/wydaniach?? Zamawiający prosi o doprecyzowanie jakich aplikacji dotyczą powyższe pytania. Pytanie 33 (pisownia oryginalna): Objęcie środowiska pełnym monitoringiem i udostępnienie dashboardów PKP Intercity (min. utylizacja CPU/RAM/Dysk/IO Sieć)? Czy już istnieje dostępny monitoring wymienionych systemów w ZABBIX i czy możliwe jest przekazanie obecnej konfiguracji? Istnieje, ale nie jest możliwe przekazanie konfiguracji. Pytanie 34 (pisownia oryginalna): OPZ, pkt.14 oraz Zał.1, rozdz. 2, pkt. 1k czy monitoring środowiska ma być wykonany i udostępniony przez Wykonawcę, czy wystarczające będzie pobierania parametrów pracy przez agenta Zabbix do systemu monitorującego Zamawiającego? Zamawiający nie udostępni swojego systemu monitorowania. Zamawiający dopuszcza, aby agent Zabbix wysyłał parametry pracy do systemu monitorowania Zamawiającego oraz Wykonawcy równolegle. Pytanie 35 (pisownia oryginalna): Zapewnienie środowiska preprodukcyjnego, jako okresowej kopii środowiska produkcyjnego dla celów testów wdrożeniowych? Czy aktualne wykonanie kopii środowiska Produkcyjnego na PreProdukcyjnego jest opisane w formie instrukcji lub zautomatyzowane (np.: skrypty dostosowujące po wykonaniu kopii maszyn VM). Zamawiający wymaga wykonania automatyzacji okresowej kopii przez Wykonawcę. Pytanie 36 (pisownia oryginalna): Czy istnieją wymagania dla zapewnienia repliki bazy danych w innej lokalizacji (drugie DataCenter) niż środowisko produkcyjne? Czy replikacja dotyczy S1-REP1 i T1-REP1, czy dotyczy zapytanie innych instancji baz danych? SERWER S1-DB1, SERWER T1-DB1, SERWER WWW-DB1 będą posiadały swoje repliki na Infrastrukturze Zamawiającego. Wymagana replikacja to online. S1-REP1 i T1-REP1 to serwery repliki SERWER S1-DB1, SERWER T1-DB1. Pytanie 37 (pisownia oryginalna): W jakim czasie od zgłoszenia należy udostępnić kopię systemów? Termin zostanie uzgodniony z Zamawiającym ale nie dłużej niż w ciągu 5 dni Roboczych. Oferenci ubiegający się o zamówienie, zobowiązani są do uwzględnienia w ofercie treści udzielonych odpowiedzi oraz wprowadzonych zmian do Zapytania Ofertowego. Pozostałe zapisy Zapytania pozostają bez zmian. Treść odpowiedzi na pytania oraz wprowadzone zmiany Zamawiający umieszcza ponadto na stronie internetowej www.intercity.pl 7