Sprawa numer: BAK.WZP.26.18.2016.3 Warszawa, dnia 20 maja 2016 r. 1. Zamawiający: Zaproszenie do udziału w ustaleniu wartości zamówienia publicznego Skarb Państwa - Urząd Komunikacji Elektronicznej zwany dalej Zamawiającym, z siedzibą przy ul. M. Kasprzaka 18/20, 01 211 Warszawa. Zgodnie z art. 32 ustawy z dnia 29 stycznia 2004 r. Prawo zamówień publicznych (Dz. U. z 2015 r., poz. 2164) Zamawiający przed wszczęciem postępowania zobowiązany jest do ustalenia wartości W celu ustalenia wartości zamówienia, Zamawiający zaprasza zainteresowane podmioty do zapoznania się z załączoną informacją o wymaganiach dotyczących przedmiotu 2. Przedmiot zamówienia: 1) Przedmiotem zamówienia jest: dostawa, instalacja, konfiguracja i uruchomienie systemu zapór sieciowych wraz z wykupieniem usługi wsparcia i aktualizacji producenta dla systemu zapór sieciowych, określonych w tabeli nr 1, obejmującego: zgłaszanie błędów i pomoc w rozwiązywaniu problemów przez producenta w dni robocze, świadczoną w ciągu godzin pracy określonych w tabeli nr 1, prawo dostępu do poprawek oprogramowania typu hotfix i service pack, prawo dostępu do nowych wersji oprogramowania, wymianę uszkodzonych elementów najpóźniej następnego dnia roboczego po dokonaniu zgłoszenia błędu/awarii (NBD). 2) Wykonawca dostarczy Zamawiającemu dokument potwierdzający wykupienie od producenta na rzecz Zamawiającego gwarancji, wsparcia technicznego oraz usług, będących przedmiotem zamówienia, określonych w tabeli nr 1, wystawiony przez producenta/dystrybutora systemu zapór sieciowych. 3) Dostarczenie dokumentu, o którym mowa w ust. 2, będzie potwierdzone protokołem odbioru. 4) Kwota zaproponowanej usługi obejmie wszelkie koszty związane z realizacją 1
TABELA nr 1 Zapory sieciowe 2szt. L.p. Treść wymagania 1. Funkcje: Firewall, IPSec, Kontrola Aplikacji oraz IPS - możliwość łączenia w klaster Active-Active lub Active-Passive. W ramach postępowania system powinien zostać dostarczony w postaci klastra HA. 2. Monitoring i wykrywanie uszkodzenia elementów sprzętowych i programowych systemów zabezpieczeń oraz łączy sieciowych 3. Monitoring stanu realizowanych połączeń VPN. 4. System realizujący funkcję Firewall powinien dawać możliwość pracy w jednym z dwóch trybów: Routera z funkcją NAT lub transparentnym. 5. System realizujący funkcję Firewall powinien dysponować minimum 8 portami Ethernet 10/100/1000 Base-TX, 8 gniazdami SFP 1Gbps wraz z minimum 4 wkładkami 1 GE SFP RJ45 oraz 2 gniazdami 10G SFP+ wraz z minimum 2 wkładkami 10 GE SFP+ Short Range 6. System powinien umożliwiać zdefiniowanie co najmniej 254 interfejsów wirtualnych - definiowanych jako VLAN y w oparciu o standard 802.1Q. 7. W zakresie Firewall a obsługa nie mniej niż 5 milionów jednoczesnych połączeń oraz 260 tys. nowych połączeń na sekundę 8. Przepustowość Firewall a: nie mniej niż 30 Gbps 9. Wydajność szyfrowania VPN IPSec: nie mniej niż 18 Gbps 10. System powinien mieć możliwość logowania do aplikacji (logowania i raportowania) udostępnianej w chmurze, lub producenci poszczególnych elementów systemu muszą oferować systemy logowania i raportowania w postaci odpowiednio zabezpieczonych platform sprzętowych lub programowych 11. Kontrola dostępu - zapora ogniowa klasy Stateful Inspection Ochrona przed wirusami co najmniej dla protokołów SMTP, POP3, IMAP, HTTP, FTP, HTTPS Poufność transmisji danych - połączenia szyfrowane IPSec VPN oraz SSL VPN Ochrona przed atakami - Intrusion Prevention System Kontrola stron internetowych pod kątem rozpoznawania witryn potencjalnie niebezpiecznych: zawierających złośliwe oprogramowanie, stron szpiegujących oraz udostępniających treści typu SPAM. Kontrola zawartości poczty antyspam dla protokołów SMTP, POP3, IMAP Kontrola pasma oraz ruchu [QoS, Traffic shaping] co najmniej określanie maksymalnej i gwarantowanej ilości pasma Kontrola aplikacji system powinien rozpoznawać aplikacje typu: P2P, botnet (C&C ta komunikacja może być rozpoznawana z wykorzystaniem również innych modułów) Możliwość analizy ruchu szyfrowanego protokołem SSL Mechanizmy ochrony przed wyciekiem poufnej informacji (DLP) 12. Wydajność skanowania ruchu w celu ochrony przed atakami (zarówno client side jak i server side w ramach modułu IPS) - minimum 6,5 Gbps 13. Wydajność skanowania ruchu z włączoną funkcją Antywirus - minimum 2,5 Gbps 14. W zakresie funkcji IPSec VPN, wymagane jest nie mniej niż: - Tworzenie połączeń w topologii Site-to-site oraz Client-to-site - Monitorowanie stanu tuneli VPN i stałego utrzymywania ich aktywności - Praca w topologii Hub and Spoke oraz Mesh - Możliwość wyboru tunelu przez protokół dynamicznego routingu, np. OSPF - Obsługa mechanizmów: IPSec NAT Traversal, DPD, XAuth 15. W ramach funkcji IPSec VPN, SSL VPN należy dostarczyć klienta VPN współpracującego z oferowanym rozwiązaniem. 16. Rozwiązanie powinno zapewniać: obsługę Policy Routingu, routing statyczny, dynamiczny w oparciu o protokoły: RIPv2, OSPF, BGP oraz PIM 17. Możliwość budowy minimum 2 oddzielnych (fizycznych lub logicznych) instancji systemów bezpieczeństwa w zakresie Routingu, Firewall a, IPSec VPN a Antywirus a, IPS a. 18. Translacja adresów NAT adresu źródłowego i docelowego. 19. Możliwość tworzenia wydzielonych stref bezpieczeństwa Firewall np. DMZ 20. Silnik antywirusowy powinien umożliwiać skanowanie ruchu w obu kierunkach komunikacji dla 2
protokołów działających na niestandardowych portach (np. FTP na porcie 2021) 21. Ochrona IPS powinna opierać się co najmniej na analizie protokołów i sygnatur. Baza sygnatur ataków powinna zawierać minimum 5500 wpisów. Ponadto administrator systemu powinien mieć możliwość definiowania własnych wyjątków lub sygnatur. Dodatkowo powinna być możliwość wykrywania anomalii protokołów i ruchu stanowiących podstawową ochronę przed atakami typu DoS oraz DDos. 22. Funkcja Kontroli Aplikacji powinna umożliwiać kontrolę ruchu na podstawie głębokiej analizy pakietów, nie bazując jedynie na wartościach portów TCP/UDP 23. Baza filtra WWW o wielkości co najmniej 40 milionów adresów URL pogrupowanych w kategorie tematyczne. W ramach filtra www powinny być dostępne takie kategorie stron jak: spyware, malware, spam, proxy. Administrator powinien mieć możliwość nadpisywania kategorii lub tworzenia wyjątków i reguł omijania filtra WWW. 24. Automatyczne aktualizacje sygnatur ataków, aplikacji, szczepionek antywirusowych oraz ciągły dostęp do globalnej bazy zasilającej filtr URL 25. System zabezpieczeń musi umożliwiać weryfikację tożsamości użytkowników za pomocą nie mniej niż: - haseł statycznych i definicji użytkowników przechowywanych w lokalnej bazie systemu - haseł statycznych i definicji użytkowników przechowywanych w bazach zgodnych z LDAP - haseł dynamicznych (RADIUS, RSA SecurID) w oparciu o zewnętrzne bazy danych - Rozwiązanie powinno umożliwiać budowę architektury uwierzytelniania typu Single Sign On w środowisku Active Directory 26. Poszczególne elementy oferowanego systemu bezpieczeństwa powinny posiadać następujące certyfikaty: - ICSA lub EAL4 dla funkcji Firewall - ICSA lub NSS Labs dla funkcji IPS - ICSA dla funkcji: SSL VPN, IPSec VPN 27. Możliwość zarządzania lokalnego (HTTPS, SSH) jak i możliwość współpracy z platformami dedykowanymi do centralnego zarządzania i monitorowania. Komunikacja systemów zabezpieczeń z platformami centralnego zarządzania musi być realizowana z wykorzystaniem szyfrowanych protokołów. 28. W ramach postępowania powinny zostać dostarczone licencje aktywacyjne dla wszystkich wymaganych funkcji ochronnych, upoważniające do pobierania aktualizacji baz zabezpieczeń w trakcie okresu gwarancyjnego. 29. Obudowa rack, zestaw do montażu w szafie rack 19 Usługi 30. Wykonawca musi dostarczyć sprzęt nowy, nieużywany, wyprodukowany nie wcześniej niż 6 miesięcy przed terminem dostawy, pochodzący z autoryzowanego kanału dystrybucyjnego producenta 31. Wszystkie dostarczone urządzenia muszą posiadać min. 3 lata gwarancji od momentu podpisania protokołu zdawczo-odbiorczego. Gwarancja musi być realizowana co najmniej w dni robocze (co najmniej 5 dni w tygodniu), w godzinach 8.00 lub wcześniej do 16.00 lub później (co najmniej 8 godzin w każdym dniu). Wymiana uszkodzonego urządzenia albo kluczowych elementów urządzenia warunkujących jego pracę musi nastąpić w miejscu instalacji (on-site) nie później niż w następnym dniu roboczym (nbd) od zgłoszenia awarii. 32. Dla wszystkich urządzeń posiadających wbudowane oprogramowanie (firmware) lub dostarczane przez producenta oprogramowanie dedykowane (np. drivery) musi być zapewniony przez Wykonawcę u producenta urządzenia przez cały okres gwarancji dostęp do aktualizacji takiego oprogramowania oraz baz wiedzy lub FAQ na temat eksploatacji i/lub konfiguracji dostarczonych urządzeń (jeśli producent udostępnia takie bazy). 33. Wykonawca musi dostarczyć niewyspecyfikowane elementy sprzętu i wyposażenia, które są niezbędne do prawidłowego funkcjonowania elementów wyspecyfikowanych. Dotyczy to w szczególności niezbędnej liczby i rodzajów przewodów połączeniowych zasilających oraz sygnałowych w tym światłowodowych. Dotyczy to także niezbędnych elementów montażowych, pozwalających na zamontowanie w szafach serwerowych ujętych w przedmiocie zamówienia (lub analogicznych wskazanych przez Zamawiającego) dostarczonego sprzętu (przeznaczonego do montażu w szafach). 34. Wykonawca w ramach zamówienia musi dostarczyć, zainstalować i skonfigurować oprogramowanie pozwalające na zarządzanie i monitorowanie poprawności pracy urządzeń będących przedmiotem 35. Wykonawca w ramach zamówienia musi dostarczyć, zainstalować i skonfigurować oprogramowanie pozwalające na analizę logów tworzonych w ramach eksploatacji urządzeń będących przedmiotem 3
36. Wykonawca udzieli instruktażu z zakresu obsługi dostarczanego sprzętu umożliwiające samodzielną jego obsługę przez pracowników Zamawiającego w wymiarze co najmniej 15 godzin w podziale na minimum 3 dni robocze. Instruktaże prowadzone będą dla jednej grupy, nie więcej niż 7 pracowników, w siedzibie Zamawiającego. 37. Wykonawca musi wykonać analizę infrastruktury informatycznej Zamawiającego w zakresie pozwalającym na wdrożenie zaproponowanego rozwiązania w infrastrukturze Zamawiającego. W wyniku przeprowadzonej analizy musi być sporządzony dokument opisujący konfigurację wyposażenia Zamawiającego przed instalacją przedmiotu 38. Wykonawca musi opracować koncepcję instalacji przedmiotu zamówienia i jego integracji z infrastrukturą informatyczną Zamawiającego zlokalizowaną w serwerowni w siedzibie Zamawiającego w Warszawie przy ul. Kasprzaka 18/20. Dokument powstały w wyniku opracowania koncepcji instalacji przedmiotu zamówienia (projekt instalacji i konfiguracji) musi zawierać informacje o urządzeniach dotychczas eksploatowanych i zastępowanych przedmiotem zamówienia, sposobie przeprowadzenia wymiany, konfiguracji docelowej przedmiotu zamówienia oraz urządzeń pozostałych z dotychczas eksploatowanej infrastruktury Zamawiającego. Projekt instalacji i konfiguracji musi zawierać opis mechanizmów i narzędzi niezbędnych do zarządzania zainstalowanymi i skonfigurowanymi urządzeniami. Projekt instalacji i konfiguracji musi uzyskać akceptację Zamawiającego. 39. Wykonawca musi opracować szczegółowy harmonogram instalacji i konfiguracji poszczególnych urządzeń z przedmiotu Zamawiający może wskazać, które czynności muszą być wykonane poza normalnymi godzinami pracy na przykład w nocy lub w dni wolne od pracy. Opracowany harmonogram podlega akceptacji Zamawiającego. 40. Wykonawca musi opracować scenariusze testowe umożliwiające weryfikację poprawności instalacji i konfiguracji przedmiotu zamówienia i jego integracji z infrastrukturą Zamawiającego. Opracowane scenariusze testowe obowiązkowo muszą zawierać sprawdzenie poprawności konfiguracji ochrony sieci Zamawiającego (IDS i IPS). Opracowane scenariusze testowe muszą zawierać precyzyjne kryteria oceny pozytywnego rezultatu testu. Kompletność przedstawionych scenariuszy testowych podlega akceptacji Zamawiającego. 41. Wykonawca musi wykonać instalację w miejscach wskazanych przez Zamawiającego wszystkich urządzeń będących przedmiotem Instalacja i konfiguracja musi być wykonana zgodnie z opracowanym projektem instalacji i konfiguracji w terminach wynikających z zatwierdzonego harmonogramu. 42. Wykonawca musi w obecności przedstawicieli Zamawiającego wykonać testy poprawności instalacji i konfiguracji w oparciu o zaakceptowane scenariusze testowe. Pozytywny rezultat wszystkich testów poprawności instalacji i konfiguracji przedmiotu zamówienia jest podstawą do podpisania protokołu zdawczo-odbiorczego. 43. Wykonawca musi opracować szczegółową dokumentację techniczną powykonawczą zawierającą dokładny opis konfiguracji zainstalowanych komponentów przedmiotu Dokumentacja powykonawcza musi zawierać procedury eksploatacji urządzeń w szczególności procedury tworzenia i odtwarzania kopii bezpieczeństwa ustawień konfiguracyjnych, tworzenia i analizy logów związanych z eksploatacją urządzeń, procedur zapewnienia ciągłości działania oraz procedur zapewnienia bezpieczeństwa i ochrony sieci Zamawiającego. 44. Wykonawca musi zapewnić przez cały okres gwarancji w celu świadczenia usług wsparcia technicznego w eksploatacji przedmiotu zamówienia obecność w siedzibie Zamawiającego uzgodnionego swojego przedstawiciela spośród osób wskazanych do realizacji zamówienia przez co najmniej 4 godziny w miesiącu w uzgodnionym dniu tygodnia. 45. W ramach wsparcia technicznego w eksploatacji przedmiotu zamówienia, Wykonawca zapewni: - kwartalną weryfikację poprawności funkcjonowania urządzeń i systemów w tym analizę logów pracy urządzeń, - okresowy przegląd wykonania zaleceń producentów co do aktualizacji oprogramowania urządzeń, - optymalizację konfiguracji przedmiotu zamówienia, - weryfikację bezpieczeństwa sieci Zamawiającego, - udzielanie konsultacji, porad i opracowanie ekspertyz w zakresie dostosowania konfiguracji przedmiotu zamówienia do zmieniających się potrzeb Zamawiającego, - wykonanie czynności niezbędnych do zapewnienia ciągłości działania przedmiotu zamówienia (np. okresowych zbiegów konserwacyjnych wentylatorów, filtrów itp.), 4
- opracowanie dokumentacji technicznej przeprowadzonych zmian w konfiguracji przedmiotu zamówienia, - wykonanie innych zleceń Zamawiającego w zakresie bezpośrednio związanym z przedmiotem 46. Wykonawca musi zapewnić przez cały okres gwarancji w celu świadczenia usług wsparcia technicznego w eksploatacji przedmiotu zamówienia możliwość zgłoszenia przez Zamawiającego zapytań drogą mailową lub telefonicznie. Możliwość zgłaszania zapytań musi by udostępniona przez Wykonawcę co najmniej w dni robocze pomiędzy godz. 8 a 16. Zwrotny kontakt ze strony przedstawicieli Wykonawcy wskazanych do realizacji umowy powinien nastąpić nie później niż w ciągu 4 godzin roboczych od zgłoszenia zapytania. 3. Termin realizacji: Przedmiot zamówienia zrealizowany zostanie przez Wykonawcę w terminie 30 dni od dnia podpisania umowy. 4. Sposób przygotowania i złożenia szacowania Szacowanie sporządzone zgodnie z załącznikiem do niniejszego zaproszenia należy przesłać w formie skanu do Urzędu Komunikacji Elektronicznej drogą elektroniczną na adres e-mail: s.biegaj@uke.gov.pl w terminie do dnia 30 maja 2016 r. do godz. 16:00. 5