Numer sprawy: BAK.WZP.230.2.2015.14 Warszawa, dnia 6 marca 2015 r. ZAPROSZENIE DO SKŁADANIA OFERT 1. Zamawiający: Skarb Państwa - Urząd Komunikacji Elektronicznej zwany dalej Zamawiającym lub UKE, z siedzibą przy ul. Kasprzaka 18/20, 01 211 Warszawa. 2. Przedmiot zamówienia: 1. Przedmiotem zamówienia jest przeprowadzenie audytów bezpieczeństwa: 1) systemu poczty elektronicznej Zamawiającego, opartego na MS Exchange 2010, 2) serwisów internetowych UKE. 2. Opis przedmiotu, w tym zawartość, preferowana metodyka oraz przebieg prac audytowych dla zamówienia, które zostanie udzielone w wyniku wyboru najkorzystniejszej oferty złożonej na podstawie niniejszego zaproszenia do składania ofert. System poczty elektronicznej. W połowie 2014 roku przeprowadzono migrację systemu pocztowego MS Exchange z wersji 2003 do 2010. W ramach audytu należy sprawdzić obecną konfigurację usługi w odniesieniu do obowiązujących standardów, z uwzględnieniem możliwych luk w zabezpieczeniach. Weryfikacja poziomu bezpieczeństwa systemu pocztowego w wersji 2010, ma na celu identyfikację istotnych podatności na znane zagrożenia, typu: - nieautoryzowany dostęp do systemu pocztowego z Internetu (poufność, integralność), - naruszenie dostępności systemu pocztowego, - naruszenie bezpieczeństwa systemu pocztowego, - obejścia zaimplementowanych kontroli w aplikacji, - analizy konfiguracji i działania systemu pocztowego, - analizy ryzyk wynikających ze zidentyfikowanych podatności. Serwisy internetowe. Audyt bezpieczeństwa serwisów internetowych Urzędu powinien zawierać m.in. testy bezpieczeństwa, symulujące próby destabilizacji działania serwisów z sieci zewnętrznej (z poziomu Internetu). Audyt obejmie następujące serwisy: - www.uke.gov.pl, - www.cik.uke.gov.pl, - www.polskaszerokopasmowa.pl (w tym serwisie internetowym występuje dostęp do stron standardowych [z poziomu użytkownika niezalogowanego] oraz z opcją po zalogowaniu [z większą funkcjonalnością serwisu]). - ok. 20 adresów publicznych IP Urzędu z wybranymi usługami. Skanowanie publicznych adresów IP Urzędu ma sprawdzić działające tam usługi w zakresie ich prezentacji z poziomu Internetu. Celem tej części prac jest wykrycie 1
wszelkich nieprawidłowości, jak np. udostępnianie informacji o systemie operacyjnym danej usługi, które mogłyby przyczynić się do ułatwienia przełamania zabezpieczeń. Szczegółowy przebieg prac audytu bezpieczeństwa powinien być zbliżony z poniższą metodyką i zakresem działania. Szczegółowy przebieg prac 1 - Audyt bezpieczeństwa systemu pocztowego MS Exchange 2010 Opis Etap 1 Etap 2 Etap 3 Analiza konfiguracji bezpieczeństwa 5 serwerów MS Exchange 2010 oraz 5 systemów operacyjnych, na których działa MS Exchange 2010 oraz zewnętrzne testy bezpieczeństwa badające odporność na ataki. Zaplanowanie projektu, w tym: 1. Doprecyzowanie celów, zakresów i założeń oraz produktów, 2. Opracowanie harmonogramu projektu, 3. Przygotowanie listy potrzebnych dokumentów i informacji. Audyt systemu pocztowego MS Exchange 2010, w tym: 1. Analiza konfiguracji i działania systemu pocztowego MS Exchange oraz systemu operacyjnego na którym jest zainstalowany, 2. Weryfikacja odporności na ataki z sieci. Raportowanie 1. Zebranie wszystkich zidentyfikowanych podatności, ryzyk i innych istotnych informacji oraz ich analiza, 2. Opracowanie wstępnej wersji i ostatecznej wersji raportu. 2 Testy bezpieczeństwa serwisów www i skanowanie ok. 20 publicznych adresów IP z wybranymi usługami Audyt bezpieczeństwa serwisów internetowych Urzędu obejmujący następujące serwisy: - www.uke.gov.pl, - www.cik.uke.gov.pl, Opis - www.polskaszerokopasmowa.pl, oraz ok. 20 adresów publicznych IP Urzędu z wybranymi usługami. Etap 1 Etap 2 Etap 3 Zebranie informacji (rekonesans), w tym: 1. Identyfikacja i zebranie dostępnych informacji o systemach teleinformatycznych związanych z zakresem przeprowadzanych testów, 2. Analiza dostępnych informacji o wykorzystywanych technologiach i znanych podatnościach w nich występujących, 3. Zaplanowanie testów podatności. Testy podatności aplikacji i adresów publicznych IP, w tym: 1. Skanowanie i mapowanie aplikacji i usług, 2. Skanowanie podatności. Testy penetracyjne aplikacji, w tym: 1. Testy manualne aplikacji i testy logiki biznesowej aplikacji. 2
Etap 4 Etap 5 Analiza wpływu, w tym: 1. Analiza potencjalnych negatywnych scenariuszy mogących powodować ryzyka dla biznesu, 2. Analiza prawdopodobieństwa ich wystąpienia, 3. Oszacowanie ryzyk, 4. Opracowanie praktycznych rekomendacji dotyczących minimalizacji zidentyfikowanych ryzyk oraz weryfikacja możliwości ich zastosowania z punktu widzenia specyfiki środowiska. Raportowanie, w tym: 1. Zebranie wszystkich zidentyfikowanych podatności, kwestii, ryzyk i informacji, 2. Opracowanie wstępnej wersji raportu a następnie przygotowanie ostatecznej wersji raportu. W trakcie realizacji całego projektu Wykonawca ma informować Zamawiającego na bieżąco o przebiegu prac, w szczególności na temat istotnych podatności, mogących skutkować znacznymi ryzykami nieautoryzowanego dostępu do systemów informatycznych lub naruszenia ich dostępności. W celu wyeliminowania negatywnego wpływu testów na funkcjonowanie systemów, zakres i sposób realizacji testów penetracyjnych ma być uzgadniany z Zamawiającym i realizowany po uzyskaniu jego potwierdzenia. W efekcie wykonania audytów, przedmiotowe systemy powinny być lepiej zabezpieczone przed próbą ingerencji w ich funkcjonowanie, pochodzące z zewnątrz. Podmiot wykonujący audyt bezpieczeństwa powinien dysponować specjalistów posiadających certyfikaty istotne dla przedmiotowych prac, takie jak: - CEH (Certified Ethical Hacker), - OSCP (Offensive Security Certified Professional), - CISSP, - CISA, - Comptia Security+. 3. Zamawiający wymaga przedstawienia w ofercie przykładowych narzędzi, które zostaną wykorzystane w trakcie realizacji całego projektu. 4. Audyty bezpieczeństwa przeprowadzane zostaną przez Wykonawcę w siedzibie Zamawiającego: Warszawa, ul. M. Kasprzaka 18/20, 5. Kwota zaproponowanej usługi obejmie wszelkie koszty związane z realizacją przedmiotu zamówienia udzielonego w wyniku wyboru najkorzystniejszej oferty na podstawie niniejszego zaproszenia do składania ofert. 3. Termin realizacji: 1. Przedmiot zamówienia realizowany będzie przez Wykonawcę w okresie 21 dni od dnia podpisania umowy. 4. Kryterium wyboru oferty: Najniższa cena brutto (wraz z podatkiem VAT). 3
5. Inne istotne postanowienia dotyczące warunków realizacji przedmiotu zamówienia udzielonego w wyniku wyboru najkorzystniejszej oferty złożonej na podstawie niniejszego zaproszenia do składania ofert. 1) Jeżeli w postępowaniu wpłyną dwie lub więcej ofert z jednakową ceną, Zamawiający może poprosić o złożenie ofert dodatkowych, przy czym nie mogą one zawierać kwot wyższych od kwot zawartych w ofertach pierwotnych. 2) Wykonawca pozostaje związany ofertą przez 30 dni od dnia złożenia. 3) Zamawiający zastrzega sobie możliwość przesyłania dodatkowych pytań do ofert, oraz wezwania wykonawców do uzupełnienia złożonych ofert. 4) Zamawiający zastrzega sobie prawo do odpowiedzi tylko na wybraną ofertę oraz do odstąpienia od wyboru oferty bez podania przyczyny. 5) Zamawiający zastrzega sobie prawo do negocjacji z wybranym Wykonawcą postanowień umowy. 6) Z wybranym ostatecznie Wykonawcą zostanie zawarta umowa o treści uzgodnionej pomiędzy Zamawiającym i Wykonawcą. 7) Płatność za wykonanie przedmiotu zamówienia zostanie uregulowana przelewem w terminie 21 dni liczonych od daty otrzymania prawidłowo wystawionej faktury VAT, poprzedzonej protokólarnym odbiorem przedmiotu zamówienia. 8) Do niniejszego postępowania nie mają zastosowania przepisy ustawy z dnia 29 stycznia 2004 r. Prawo zamówień publicznych (t.j. Dz. U. z 2013 r. poz. 907 z późn. zm.). 9) Osobą upoważnioną do kontaktów ze strony Zamawiającego jest Pan Sławomir Biegaj, tel. 22 53 49 539, email: s.biegaj@uke.gov.pl. 6. Sposób przygotowania i złożenia oferty Ofertę sporządzoną zgodnie z załącznikiem do niniejszego zaproszenia ofertowego należy przesłać w formie skanu, do Urzędu Komunikacji Elektronicznej, drogą elektroniczną na adres e-mail: a.zwierzchowski@uke.gov.pl lub s.biegaj@uke.gov.pl w terminie do dnia 24 marca 2015 r. do godz. 16:00. 4
Załącznik do zaproszenia do składania ofert wzór formularza ofertowego NR SPRAWY: WYKONAWCA: BAK.WZP.230.2.2015.14.... (Nazwa i adres Wykonawcy(ów) ZAMAWIAJĄCY: URZĄD KOMUNIKACJI ELEKTRONICZNEJ UL. KASPRZAKA 18/20 01-211 WARSZAWA.. (telefon, faks i numer NIP) Działając w imieniu wymienionego(ych) powyżej Wykonawcy(ów) oferuję(emy) realizację na rzecz Zamawiającego zamówienia publicznego na: Audyty bezpieczeństwa systemu poczty elektronicznej opartego na MS Exchange 2010 oraz serwisów internetowych UKE oświadczam(y), że: 1) akceptuję(emy) w pełni i bez zastrzeżeń postanowienia niniejszego zaproszenia do składania ofert, wszelkich wyjaśnień oraz modyfikacji tego zaproszenia do składania ofert, 2) gwarantuję(emy) wykonanie całości przedmiotu niniejszego zamówienia zgodnie z treścią niniejszego zaproszenia do składania ofert, wszelkich wyjaśnień oraz modyfikacji tego zaproszenia do składania ofert, 3) cena mojej (naszej) oferty za realizację całości niniejszego zamówienia wynosi brutto (wraz z podatkiem VAT):... PLN (polskich złotych) (słownie:....../100 groszy): 4) zamówienie wykonam(my) w terminie określonym przez Zamawiającego w niniejszym zaproszeniu do składania ofert, 5) akceptuję(emy) termin związania ofertą wymagany w niniejszym zaproszeniu do składania ofert, 6) w przypadku uznania mojej (naszej) oferty za najkorzystniejszą, umowę o treści uzgodnionej z Zamawiającym zobowiązuję(emy) się zawrzeć w miejscu i terminie jakie zostaną wskazane przez Zamawiającego, 7) WSZELKĄ KORESPONDENCJĘ w sprawie niniejszego zaproszenia do składania ofert należy kierować na poniższy adres: Imię i nazwisko: Nazwa Wykonawcy: Adres: 5
Telefon:, Adres e-mail:, Faks:... (data, miejscowość, podpis(y) *Podpis(y) imienna(e) osoby(osób) uprawnionej(ych) do reprezentowania Wykonawcy 6