OPIS PRZEDMIOTU ZAMÓWIENIA (OPZ) Załącznik nr 1 do SIWZ 1. Ogólny opis przedmiotu zamówienia Przedmiotem zamówienia jest dostawa i wdrożenie Systemu ochrony infrastruktury IT i usług biznesowych Zamawiającego przed szkodliwym oprogramowaniem. W szczególności w skład zamówienia wejdzie: Zadanie 1 Dostawa licencji na oprogramowanie AV 1800 szt.: w tym na stacje robocze i laptopy - 1500 szt., na serwery - 300 szt. Zapewnione prawo do aktualizacji oprogramowania i do wsparcia technicznego Producenta na okres 3 lat. Zapewnione prawo do pobierania i aktualizacji sygnatur i definicji oprogramowania szkodliwego na okres 3 lat. Wdrożenie dostarczonego rozwiązania w infrastrukturze Zamawiającego. Instalacja konsoli zarządzania. Zapewniona integracja rozwiązania antywirusowego z API VMWare. Uwaga: Zamawiający posiada system McAfee DLP wraz z konsolą epo. Nie istnieje możliwość wykorzystania tej konsoli do zarządzania oprogramowaniem AV. System AV musi być kompatybilny z McAfee DLP. Zadanie 2 Dostawa oprogramowania AV dla 580 szt. urządzeń mobilnych, dla których zapewnione zostanie na okres 3 lat: prawo do aktualizacji oprogramowania i do wsparcia technicznego Producenta. prawo do pobierania i aktualizacji sygnatur i definicji oprogramowania szkodliwego na okres 3 lat. Wdrożenie rozwiązania ochrony urządzeń mobilnych w infrastrukturze Zamawiającego. Instalacja konsoli zarządzania w ośrodku podstawowym i zapasowym. W ramach realizacji przedmiotu zamówienia Zamawiający może skorzystać z prawa opcji polegającego na zakupie dodatkowych, maksymalnie 140 szt. oprogramowania AV wraz z serwisem. Oprogramowanie AV będzie dostarczane w pakietach umożliwiających podłączenie po 20. sztuk urządzeń mobilnych lub użytkowników. Zamawiający zastrzega możliwość wymagania dostarczenia wielokrotności ww. pakietów przez cały okres obowiązywania umowy. Opłata serwisowa za ochronę antywirusową dla dodatkowych urządzeń mobilnych będzie naliczana kwartalnie. Wynagrodzenie za Serwis dla Produktów dostarczonych w ramach realizacji prawa Opcji zostanie doliczone do kolejnej kwartalnej faktury. Dla dostarczonego oprogramowania w ramach prawa opcji obowiązuje wsparcie serwisowe zgodnie z zasadami opisanymi w Zadaniu 7. Czas trwania serwisu dla oprogramowania w ramach prawa opcji - od daty zakupu do zakończenia umowy serwisowej dla Zamówienia podstawowego. Uwaga: Zamawiający posiada urządzenia mobilne z systemem operacyjnym Android, IOS, Symbian. Wersja instalacyjna agenta na urządzenie mobilne musi być dostarczana w postaci pakietu możliwego do umieszczenia w korporacyjnym sklepie (pakiet *.pkg). Zadanie 3 Dostawa i instalacja dwóch urządzeń dla systemu Web Filter/Proxy oraz migracja konfiguracji z obecnie wykorzystywanych serwerów Web Filter/Proxy. Zapewnienie prawa do aktualizacji i wsparcia technicznego Producenta dla systemów Web Filter/Proxy na okres 3 lat dla 1500 użytkowników. Ww. systemy muszą działać w konfiguracji wysokiej dostępności (jeden system zainstalowany w głównym ośrodku drugi system w ośrodku zapasowy). Zapewnienie wysokiej dostępności musi być realizowane przez automatyczne włączenie usług ochrony przed szkodliwym oprogramowaniem przy awarii infrastruktury IT w jednym z ośrodków obliczeniowych 1
Zamawiającego. Wysoka dostępność musi być realizowana przez klaster aktywny pasywny lub inny mechanizm zapewniający automatyczne przeniesienie konfiguracji pomiędzy urządzeniami. Uwaga: Zamawiający dopuszcza wykorzystanie dla Serwerów Web Filter/Proxy platformy sprzętowej z Zadania 4. Zadanie 4 Dostawa i instalacja systemów ochrony Email & Antyspam Gateway. Migracja konfiguracji z obecnie wykorzystywanych serwerów ochrony Email & Antyspam Gateway. Zapewnienie prawa do aktualizacji i wsparcia technicznego Producenta na okres 3 lat dla systemów ochrony Email & Antyspam Gateway obsługujących 1500 użytkowników. Systemy muszą działać w konfiguracji wysokiej dostępności np. klastra aktywny pasywny lub innej konfiguracji zapewniającej automatyczną redundancję i automatyczną przenoszalność konfiguracji pomiędzy urządzeniami. Jeden system musi być zainstalowany w głównym ośrodku, drugi system w ośrodku zapasowy. Dodatkowe wymagania: 1. Zamawiający wymaga dostarczenia dwóch dedykowanych fizycznych urządzeń typu Appliance o parametrach wydajnościowych zgodnych ze specyfikacją zawartą w załączniku nr 3 do SIWZ. lub: 2. Zamawiający dopuszcza wykorzystanie zasobów udostępnianych przez Zamawiającego opisanych w punkcie 2 niniejszego Załącznika. Na serwerach tych Zamawiający dopuszcza instalację następujących komponentów zaproponowanego Systemu: a. Web Filter / Proxy b. Email & Spam Gateway. Zadanie 5 Migracja systemu antywirusowego z aktualnie eksploatowanego systemu F-Secure 11.x na nowe rozwiązanie antywirusowe zgodnie z wymaganiami Zamawiającego opisanymi w Załącznik nr 3 do SIWZ Zadanie 6 Opracowanie i przygotowanie we współpracy z Zamawiającym treści szkolenia e-learning dla wszystkich pracowników Zamawiającego z zakresu zagrożeń związanych z działaniem szkodliwego oprogramowania w sieci Banku i w Internecie. Przeprowadzenie warsztatów dla 6 osób z administracji oprogramowaniem z zadań ujętych w punktach 1, 2, 3, 4 (z każdego produktu oddzielny warsztat) w zakresie podstawowym i zaawanasowanym, włącznie z optymalizacją ustawień oraz diagnostyką problemów. 1. Warsztat musi być przeprowadzone na podstawie autoryzowanych materiałów Producenta dla wszystkich elementów wdrażanego rozwiązania. 2. Warsztat musi być przeprowadzone w autoryzowanym ośrodku szkoleniowym Producenta dla wszystkich elementów wdrażanego rozwiązania. 3. Warsztat musi być przeprowadzony w dwóch terminach dla dwóch grup 3-osobowych. 4. Warsztat musi być przeprowadzony w oparciu o zasoby sprzętowe Wykonawcy. 5. Warsztat musi realizować w szczególności nw. cele: merytoryczne przygotowanie pracowników Zamawiającego do samodzielnej realizacji zadań administracji Systemu, przekazanie pracownikom Zamawiającego wiedzy oraz umiejętności korzystania z oferowanego Systemu. Warsztaty te powinny objąć m.in.: instalację Systemu, diagnostykę problemów Systemu, rozwiązywanie problemów Systemu, skalowanie Systemu oraz jego poszczególnych elementów, operacyjne użytkowanie systemu. 2
Uwaga: w przypadku zastosowania narzędzi i technologii (np.: bazodanowej, systemowej, raportowej, webowej), w której Zamawiający nie posiada kompetencji, wymagane jest przeprowadzenie warsztatów w autoryzowanym ośrodku szkoleniowym Producenta ww. technologii dla 6 pracowników Zamawiającego. Warsztat musi być przeprowadzony na poziomie podstawowym oraz zaawansowanym z uwzględnieniem tematów skalowalności, optymalizacji, monitoringu, odtwarzania, zabezpieczania, diagnozowania problemów. Zamawiający posiada kompetencje w następujących technologiach. a. Windows Server 2008 R2 oraz 2012 b. Redhat 5.x, Redhat 6.x c. HP-UX 11.x, Solaris 11.x, AIX 6.x d. MSSQL 2008/2008 R2, Oracle 10g/11g e. Vmware 5.1 Zadanie 7 Serwis. Wsparcie serwisowe w okresie stabilizacji: Czas trwania usługi 3 miesiące od momentu zakończenie wdrożenia. Przyjmowanie zgłoszeń 24x7. Czas reakcji dla awarii krytycznych 4 godziny. W okresie stabilizacji realizacja usługi rozwoju monitorowania środowiska AV poprzez przegląd alertów krytycznych, przygotowanie procedur ich obsługi (opracowanie progów, klasyfikacja zdarzenia, opracowanie procedury eskalacji, opracowanie procedury działania). Wsparcie serwisowe po okresie stabilizacji: Czas trwania usługi - 33 miesiące od momentu zakończenie okresu stabilizacji. Przyjmowanie zgłoszeń 5 dni w tygodniu w godzinach 7:00-18:00. Czas reakcji dla awarii krytycznych 4 godziny w godzinach pracy serwisu. Proaktywna wizyta serwisowa 1 raz na kwartał. Usługi proaktywne 8 godzin na kwartał. W ramach usług proaktywnych będzie wykonywana: - analiza istniejącej instalacji pod kątem oceny poprawności funkcjonowania usług i poszczególnych komponentów usług katalogowych; - analizę problemów związaną ze skalowalnością, wydajnością i bezpieczeństwem usług katalogowych; - opracowanie rekomendacji dotyczących zmian w konfiguracji mających na celu optymalizację funkcjonowania usług katalogowych, aktualizacje do nowych wersji oprogramowania dla wszystkich elementów zaproponowanych w rozwiązaniu. Pierwsza linia wsparcia technicznego świadczona w języku polskim lub w języku obcym wraz z jednoczesnym tłumaczeniem na język polski. Wykonawca wsparcia technicznego musi posiadać autoryzację producenta dostarczanego oprogramowania i sprzętu. Zapewnione wsparcie serwisowe Producenta uprawniające do: Dostępu do serwisu przez WWW i wyznaczony telefon kontaktowy. Przyjęcia zgłoszeń potwierdzonych telefonicznie lub mailowo. Gwarancja Producenta musi obejmować, co najmniej obowiązek naprawy urządzeń lub ich wymiany. Pomocy w analizie i rozwiązywaniu problemów z oprogramowaniem zintegrowanym z urządzeniami jeżeli występują. Pomocy w analizie i rozwiązywaniu problemów z wydajnością, dostępnością i poprawnością działania usług realizowanych za pośrednictwem dostarczonych urządzeń. Informowania o znanych problemach z oprogramowaniem i sposobach ich rozwiązywania. 3
W ramach serwisu pomoc w analizie i rozwiązywaniu problemów z wdrożonym rozwiązaniem. Pomoc ta realizowana będzie telefonicznie, mailowo, poprzez zestawiane sesje typu webex, lub bezpośrednio w siedzibie Zamawiającego. W przypadku wystąpienia problemów, których nie można rozwiązać zdalnie, pomoc techniczna w miejscu instalacji. Wszystkie części zamienne i materiały niezbędne do przywrócenia urządzenia do prawidłowej pracy wliczone w koszt serwisu. Wymienione części stają się własnością Wykonawcy poza dyskami twardymi, które pozostają w zasobach Zamawiającego, bez dokonywania dodatkowych opłat. Naprawy i wymiany uszkodzonych elementów wykonywane przez inżynierów serwisowych. Dostępu do nowych wersji, aktualizacji i poprawek do oprogramowania Producenta w trakcie trwania serwisu. Licencji na użytkowanie i kopiowanie nowych wersji, aktualizacji i poprawek do oprogramowania Producenta. Dostęp do elektronicznych kanałów informacji i usług wsparcia (bazy wiedzy, bibliotek dokumentacji, opisów produktów, specyfikacji, literatury technicznej i innych materiałów). 2. Pozostałe wymagania na przedmiot zamówienia Dla dostarczanych licencji Wykonawca musi zapewnić w ramach Umowy 36 miesięczną gwarancję Producenta dającą prawo do: subskrypcji na dostarczane licencje gwarantującą prawo do nowych wersji, bieżącego dostępu do poprawek, bieżącego dostępu do bazy wiedzy Producenta przeznaczonej dla Klientów posiadających wykupiony serwis na Systemy przed szkodliwym oprogramowaniem, bieżącego dostępu do sygnatur i definicji szkodliwego oprogramowania. Uwaga Okres realizacji umowy zawartej w wyniku udzielenia zamówienia nie będzie dłuższy niż 36 miesięcy licząc od daty podpisania protokołu końcowego. W ramach realizacji Umowy, Zamawiający dopuszcza udostępnienie nw. posiadanych zasobów: DMZ w ośrodku podstawowym: 6 rdzeni procesora Intel generacja 7 48 GB RAM 250 GB HDD Licencje na system operacyjny: 3 x Windows Server 2008 R2 wersja angielska DMZ w ośrodku zapasowym: 6 rdzeni procesora Intel generacja 7 48 GB RAM 250 GB HDD Licencje na system operacyjny: 3 x Windows Server 2008 R2 wersja angielska LAN w ośrodku podstawowym: 3 rdzenie procesora AMD generacja 7 32 GB RAM 100 GB HDD Licencje na system operacyjny: 2 x Windows Server 2008 R2 wersja angielska LAN w ośrodku zapasowym: 3 rdzenie procesora AMD generacja 7 32 GB RAM 100 GB HDD Licencje na system operacyjny: 2 x Windows Server 2008 R2 wersja angielska 4
Zamawiający dopuszcza możliwość wykorzystania usług VMWare SRM. Zamawiający jest w posiadaniu wolnych mocy na klastrze MS SQL. Mogą być tam zainstalowane bazy danych o wielkości sumarycznej do 90GB. Środowisko systemu w LAN będzie podłączone do centralnego systemu backupowego Zamawiającego (HP OV Data Protector 6.11). Środowisko pocztowe Zamawiającego pracuje w oparciu o serwery MS Exchange 2010 SP3. Wykonawca nie wlicza ww. komponentów do wyceny. Jeżeli ww. zasoby są niewystarczające Wykonawca uzupełni we własnym zakresie i dostarczy brakujące oprogramowanie i zasoby sprzętowe, niezbędne do uruchomienia Systemu ochrony przed szkodliwym oprogramowaniem. Uzupełnione oprogramowanie musi spełniać wymagania Zamawiającego opisane w Załączniku nr 3a do SIWZ Formularz oferty technicznej. Jeżeli zasoby udostępnione przez Zamawiającego, wymienione w pkt 2 OPZ, są niewystarczające lub okażą się niewystarczające w trakcie trwania umowy serwisowej - Wykonawca uzupełni we własnym zakresie i dostarczy brakujące oprogramowanie i zasoby sprzętowe, niezbędne do uruchomienia lub funkcjonowania Systemu ochrony przed szkodliwym oprogramowaniem, zgodnie z wymaganiami określonymi w załączniku nr 3 do SIWZ. Uzupełnione oprogramowanie musi spełniać wymagania Zamawiającego opisane w Załączniku nr 3a do SIWZ Formularz oferty technicznej. W przypadku dostarczania zasobów serwerowych Wykonawca wymaga, by zostały one zintegrowane z eksploatowanym systemem VMWare vsphere 5.x. Zamawiający wymaga, by System ochrony antywirusowej i niezbędne dostarczane oprogramowanie narzędziowe było oparte o binaria i licencje lub subskrypcje w wersji komercyjnej. 3. Wymagania dotyczące dokumentacji 1. Wymagania ogólne Wymagania ogólne dotyczące dokumentacji dostarczonej wraz z Systemem są następujące: a) język dokumentacja powinna być dostarczona w języku polskim; w języku angielskim dopuszczalna jest jedynie dokumentacja standardowych komponentów znanych dostawców zagranicznych, b) postać i forma dokumentacja powinna być dostarczona: w postaci papierowej, w formie spiętych, zszytych lub zbindowanych egzemplarzy, w formie książek pogrupowana tematycznie jeden egzemplarz oraz w postaci elektronicznej w formie plików w formacie PDF oraz w formacie RTF lub DOCX, c) dokumentacja dostosowana i opracowana w oparciu o parametry środowiska Zamawiającego,. d) dokumentacja składająca się z wielu oddzielnych elementów (egzemplarzy) powinna zawierać dokument stanowiący spis wszystkich składników dokumentacji, e) każdy egzemplarz oprócz tytułu powinien posiadać oznaczenie wersji adekwatnej do wersji aplikacji, którą opisuje (wraz z datą produkcji lub dostawy), f) suplementy do dokumentacji nie muszą być zawarte w spisie, lecz powinny posiadać odniesienie do odpowiedniej wersji wydania oraz posiadać swój własny numer suplementu oraz datę utworzenia. 2. Dokumentacja użytkownika 5
Dokumentacja użytkownika powinna zawierać szczegółowy opis wszelkich cech i właściwości dostarczonego rozwiązania informatycznego, pozwalający na poprawne użytkowanie aplikacji (lub zespołu aplikacji) zgodnie z jej przeznaczeniem. Powinna ona zawierać w szczególności: a) opis interfejsu oraz opis zasad dialogu z użytkownikiem, b) opis specyficznych elementów konfiguracji interfejsu dostępnych dla użytkownika (np. personalizacja interfejsu) - jeśli takie występują, c) instrukcję/instrukcje obsługi wszystkich zasadniczych funkcjonalności biznesowych, d) procedury przetwarzania danych dostępne dla użytkownika (opis procesów lub diagramy procesów). Jeśli dokumentacja składa się z kilku elementów, to w każdym z nich powinna znaleźć się specyfikacja (wyszczególnienie) pozostałych elementów, np. spis załączników. 3. Dokumentacja eksploatacyjna oraz techniczna Dokumentacja eksploatacyjna oraz techniczna zawiera opis wszelkich cech, właściwości i funkcjonalności pozwalając na poprawną z punktu widzenia technicznego eksploatację Systemu. W szczególności dokumentacja ta powinna zawierać: a) opis architektury fizycznej wyszczególnienie oraz opis powiązań wszystkich istotnych komponentów sprzętowych, systemowych i aplikacyjnych występujących lub wymaganych do poprawnej pracy aplikacji zgodnie z wymaganiami wydajności funkcjonalności i bezpieczeństwa (minimalny, maksymalny, rekomendowany), jeśli zastosowane zostały komponenty innych dostawców należy również dokładnie określić wykorzystywane wersje, b) opis architektury logicznej opis powiązań logicznych poszczególnych komponentów, c) opis wymagań sprzętowych, systemowych, sieciowych itp. na poszczególne komponenty architektury odniesionych do zamówionych wymagań wydajnościowych, funkcjonalnych i bezpieczeństwa (minimalny, maksymalny, rekomendowany), d) procedury poprawnej eksploatacji, w tym procedury weryfikacji poprawności działania usług, procedury tworzenia kopii zapasowych oraz odtwarzania z kopii wszystkich komponentów aplikacji (bazy danych, komponenty serwera aplikacji, klienta itp.), procedury przełączania do ośrodka zapasowego oraz procedury odtworzenia systemu po katastrofie (disaster recovery), e) procedury lub instrukcje instalacji, reinstalacji, deinstalacji oraz upgrade wszystkich komponentów, przy czym jeśli wykorzystywane są procedury innych dostawców standardowych komponentów (np. baz danych) należy wskazać odwołania do zewnętrznej dokumentacji, f) dokumentację (w postaci procedur lub instrukcji) wszystkich rutynowych czynności administracyjnych związanych z poprawną eksploatacją aplikacji i systemu informatycznego, okresowych (dziennych, tygodniowych, miesięcznych, itp.) oraz wg potrzeb pozwalających na utrzymanie wymaganej dostępności, wydajności i bezpieczeństwa, g) opis możliwości stosowania standardowych rozwiązań (sprzętowych lub aplikacyjnych) wspierających procedury poprawnej eksploatacji, h) konfigurację Systemu (konfiguracja musi obejmować wersję Systemu, pełen zestaw parametrów konfiguracyjnych Systemu wraz z opisem, katalog instalacyjny, położenie plików konfiguracyjnych, położenie plików logów, położenie i opis innych kluczowych plików i katalogów, itp., i) dokumentację parametryzacji wyszczególnienie wszystkich parametryzowanych elementów systemu wraz z opisem ich znaczenia i dopuszczalnych wartości, j) procedury nie mogą zawierać sformułowań typu zgodnie ze standardową procedura instalacyjną.... W przypadku odwołań do zewnętrznej dokumentacji, zewnętrzna dokumentacja musi zostać dołączona, a odwołanie musi wskazywać na konkretną stronę/fragment dokumentacji zewnętrznej. W przypadku, jeśli procedura wymaga 6
wykonywania specjalizowanych skryptów instalacyjnych (np. własne skrypty dostawcy systemu IT), skrypty muszą zostać dołączone do dokumentacji. Dla przeprowadzonej instalacji oraz wdrożenia wymagane są następujące rodzaje dokumentacji: k) dokumentacja powykonawcza instalacji zawiera szczegółowy opis wykonanych czynności instalacyjnych oraz konfiguracyjnych wszystkich komponentów Systemu oraz środowiska, w którym zainstalowano System, l) dokumentacja parametryzacji wyszczególnienie wartości wszystkich ustawionych parametrów użytkowych zarówno samego Systemu, jak i pozostałych komponentów Oprogramowania, jak parametry systemu operacyjnego, oprogramowania narzędziowego oraz parametry sprzętu, m) dokumentacja rozruchowa opisuje wszystkie istotne kroki (czynności) wykonane w celu pierwszego uruchomienia Systemu, w tym opis migracji/konwersji danych, testy uruchomieniowe, n) dokumentacja z przeprowadzonych testów plan testów i protokoły z testów akceptacyjnych, o) dokumentacja szkolenia użytkowników oraz administratorów (technicznych i bezpieczeństwa). 4. Dokumentacja administratora bezpieczeństwa Dokumentacja administratora bezpieczeństwa zawiera zestaw dokumentacji szczegółowo opisujących zastosowane w dostarczonym oprogramowaniu rozwiązania dotyczące zapewnienia spełnienia ogólnych (zgodnie z wymaganiami prawa) oraz specyficznych (zgodnie z wymaganiami Banku) wymagań dot. bezpiecznej eksploatacji. Dokumentacja taka powinna zawierać w szczególności: a) zastosowane mechanizmy ochrony przed naruszeniem zasad dostępu (poufności), integralności, niezaprzeczalności, wiarygodności oraz opis mechanizmów udostępniania, autoryzacji w tym autoryzacji operacji szczególnych, b) opis zastosowanych mechanizmów logowania zdarzeń, śladu audytowego oraz rozliczalności działań w tym wszelkich prób naruszenia zasad bezpieczeństwa, c) dokumentacja administratora opisująca szczegółowo funkcjonalności, interfejs oraz zasady zarządzania kontami (użytkownikami) oraz uprawnieniami poszczególnych ról, profili, użytkowników itp., d) jeśli aplikacja przetwarza dane osobowe to dodatkowo wymagane jest dostarczenie dokumentacji opisującej sposób realizacji wymagań wynikających z przepisów ustawy o ochronie danych osobowych (Dz. U. z 2002 r., Nr 101, poz. 926, z późn. zm.), w tym sposób realizacji wymagań wynikających z rozporządzania Ministra Spraw Wewnętrznych i Administracji z dnia 29.04.2004, e) jeśli aplikacja wykorzystuje jakiekolwiek mechanizmy wymiany informacji z innymi systemami wymagany jest opis zabezpieczeń tych interfejsów oraz opis metod zapewnienia poufności i kontrolowalności tych kanałów przepływu informacji. 7