CZĘŚĆ II SIWZ - SPECYFIKACJA PRZEDMIOTU ZAMÓWIENIA

CZĘŚĆ II SIWZ - SPECYFIKACJA PRZEDMIOTU ZAMÓWIENIA 1/17

Przedmiotem zamówienia jest rozbudowa systemu monitorowania bezpieczeństwa teleinformatycznego klasy SIEM HP ArcSight Express 7511 funkcjonującego w PSE S.A,. polegająca na: - zwiększeniu ilości monitorowanych źródeł danych z obecnej liczny generującej 500 eps (ang. events per second zdarzenia na sekundę) do 2000 eps w rozbudowanym o nowe źródła, w tym 150 źródeł typu serwer i 1600 źródeł typu stacja robocza, - zwiększeniu ilości dostępnych konsol monitorujących (obecnie 1 konsola ArcSight Agent docelowo 8 konsol ArcSight Agent), - dostosowaniu dostępnych zasobów dyskowych w systemie SIEM do potrzeb wynikających z konieczności przechowywania zwiększonej ilości zapisów zdarzeniach bezpieczeństwa, - włączeniu dodanych w ramach rozbudowy źródeł danych do funkcji realizowanych przez system SIEM Zamawiającego, - opracowaniu koncepcji budowy Security Operations Center (SOC) oraz procedur jego funkcjonowania, - wsparciu w procesie budowy SOC przez Zamawiającego, - przeprowadzeniu instruktaży dla operatorów systemu SIEM. Zamawiający nie dopuszcza, by realizacja prac związanych z rozbudową Systemu klasy SIEM Zamawiającego spowodowała przerwy w jego pracy lub niedostępność realizowanych przez niego funkcji. Przez system monitorowania bezpieczeństwa teleinformatycznego klasy SIEM należy rozumieć system teleinformatyczny służący do monitorowania bezpieczeństwa teleinformatycznego, realizujący funkcje agregacji, korelacji i retencji logów, a na ich podstawie detekcji i prezentacji zidentyfikowanych zdarzeń dotyczących bezpieczeństwa teleinformatycznego, zgodnie z opisem w pkt. I Cz. II SIWZ poniżej. I. Opis ogólny systemu Zamawiający wykorzystuje do monitorowania bezpieczeństwa teleinformatycznego system klasy SIEM HP ArcSight Express 7511 (zwany dalej Systemem klasy SIEM). System klasy SIEM Zamawiającego realizuje następujące funkcje: - agregacja logów zbieranych z wielu źródeł danych, włączając w to urządzenia sieciowe, systemy operacyjne serwerów, oprogramowanie bezpieczeństwa (antywirusowe, firewall, IPS/IDS), polegająca na zgromadzeniu zbieranych do bazy danych Systemu SIEM oraz przetworzeniu ich do postaci użytecznej dla Systemu SIEM, zapewniająca, iż w procesie monitorowania nie zostaną pominięte zdarzenia bezpieczeństwa, - korelacja funkcja systemu polegająca na łączeniu danych, pochodzących z różnych źródeł danych oraz różnych okresów ich pochodzenia, wyszukująca na podstawie wbudowanych reguł analitycznych cech dla nich wspólnych oraz przekształcająca je do postaci użytecznej dla funkcji detekcji, dzięki czemu funkcja detekcji może zidentyfikować wystąpienie zdarzenia bezpieczeństwa, - detekcja informowanie o automatycznie (na podstawie wbudowanych reguł detekcji) zidentyfikowanych w zbiorze danych zgromadzonych w skutek agregacji i korelacji zdarzeniach, mogących świadczyć o wystąpieniu zdarzenia bezpieczeństwa, alarmowanie jest realizowane poprzez wyświetlanie odpowiednich komunikatów na konsoli użytkownika systemu i/lub poprzez wysyłanie alarmów, np. za pośrednictwem poczty elektronicznej, - prezentacja wyświetlanie wyników działania funkcji detekcji, korelacji i agregacji w postaci konsoli, na której w formie wykresów i grafów widoczne będą informacje o wszelkich zidentyfikowanych zdarzeniach, mogących świadczyć o wystąpieniu zdarzeń bezpieczeństwa oraz odbiegających od wzorca statystycznego zachowania obserwowanego przez system monitorowania bezpieczeństwa teleinformatycznego źródła danych, - badanie zgodności funkcja SIEM mająca na celu automatyzację gromadzenia danych dotyczących zachowania zgodności monitorowanych systemów z wymaganiami (np. wdrożonym u Zamawiającego Systemem Zarządzania Bezpieczeństwem Informacji) oraz sporządzająca w tym zakresie raporty, - retencja zapewnienie przechowywania logów i danych historycznych, mająca na celu umożliwienie korelacji zdarzeń z różnych źródeł w różnych okresach, a także zapewnienie dostępu do logów historycznych, w chwili wystąpienia konieczności przeprowadzenia dochodzenia kryminalistycznego dotyczącego zidentyfikowanego naruszenia zasad bezpieczeństwa. Poniżej zamieszczono szczegółową specyfikację techniczną obecnego Systemu SIEM Zamawiającego przed rozbudową wraz z danymi odnośnie bieżącego jego wykorzystania: 2/17

1. Parametry obecnej licencji: # Begin ArcSight License ape.feature.permament-support-login=true appliance.model=b7500 component.name=manager,logger conap.enabled=true conap.limit.eps.incoming=-1 conap.limit.number-of-connectors=4 conap.limit.number-of-containers=4 conap.limit.remote-managed-connectors=4 corre.enabled=true customer.name=polskie Sieci Elektroenergetyczne S.A. customer.number=siempesx1 date.activation=2014/12/15 date.creation=2014/12/16 date.expiration=9999/9/9 feature.actor-modeling.enabled=true feature.authoring.enabled=true feature.domains.enabled=false feature.partition-archiving.enabled=false feature.pattern-discovery.enabled=false license.purpose=production license.server.key=enterprise license.server.version=20141118_1749 license.trial=false limit.actors=50 limit.assets=5000 limit.console.users=1 limit.devices=750 limit.devices.type1=250 limit.devices.type2=500 limit.eps.incoming=500 limit.web.users=25 logger.enabled=true logger.feature.alerting.enabled=true logger.feature.local-storage.enabled=true logger.feature.peering.enabled=false logger.feature.reporting.enabled=false logger.limit.daily.data=-1 logger.limit.devices=-1 logger.limit.eps.incoming=-1 logger.limit.maximum-capacity=4tb logger.limit.maximum-violations=-1 logger.limit.violation.days=-1 manager.date.activation=2014/12/15 manager.date.creation=2014/12/16 manager.date.expiration=9999/9/9 3/17

manager.limit.maximum-violations=10 manager.limit.violation.days=25 # End ArcSight License 2. Parametry serwerów systemu podlegającego rozbudowie Tabela 1. Dane serwerów i macierzy Producent ArcSight Express HP/ArcSight Model AE-7511 Max ilość zdarzeń/sec 500 EPS w trybie ciągłym 1000 EPS w szczycie Ilość podłączanych urządzeń 750 System operacyjny Red Hat Enterprise Linux 6 64-bit CPU 2 x Intel Xeon ES-2650 2.0 GHz 8-core processor Interfejsy 4 x 10/100/1000 RAM 64GB Pamięć dyskowa 6 x SAS 15k 600GB (1,8 TB RAID 10) Wielkość 2U Zasilanie 2x 750W CS Platinum Power Supply Wymiary w calach (DxWxH) 29.5" x 17.54" x 3.44" Producent Model CPU Serwery konektorów - 8 sztuk HP DL360p E5-2665 2400MHz 8-core Interfejsy 4 x 10/100/1000 Pamięć RAM 32 GB Dyski 2 x 500 GB SAS Wielkość 1U Zasilanie 2x 460W CS Platinum Power Supply Wymiary w cm (DxWxH) 62,23 x 43,45 x 2,97 cm Serwer ArcSight Express Konektory 8 szt. System operacyjny Red Hat Enterprise Linux Server 6 64-bit (preinstalowany) Red Hat Enterprise Linux Server 6.2 64-bit Półka dyskowa Producent Model CPU Pamięć RAM Dyski Ethernet Synology RS814RP Intel Dual Core 2.13 GHz 2 GB 2 x 1 TB 4 interfejsy 3. Raport zajętości konektorów i systemu Tabela 2. Raport zajętości konektorów i systemu Snapshot Time:Mon Mar 02 10:57:35 CET 2015 4/17

Name E/s(avg.) E/s(lmin) Events E/day Arcsight:service=AgentStateTracker A01-Syslog 278.2 450.0 11,376,648 24.0M 106.7 1,025.0 A02-Syslog 23.4 22.6 958,504 2.0M 7.1 77.2 A03-WUC-AD 17.3 26.6 707,667 1.5M 5.5 56.7 A04-WUC-AD 13.4 18.4 548,14 1.2M 4.7 46.6 A05-McAfee_NSM 0.3 0.6 12,483 0.0M 0.0 0.8 A06-McAfee_NSM 0.3 0.6 12,474 0.0M 0.0 0.8 A07-MSSQL 20.0 0.0 817,984 1.7M 0.0 432.3 A09-MSSQL 54.5 0.0 2,230,506 4.7M 0.0 493.3 A10-ePO 0.9 0.6 36,497 0.1M 0.0 7.5 A10-SCCM 0.0 0.0 823 0.0M 0.0 0.0 A11-Exchange 0.0 0.0 138 0.0M 0.0 0.0 A12-Exchange 0.0 0.0 138 0.0M 0.0 0.0 A13-Syslog-SIRE 0.0 0.0 139 0.0M 0.0 0.0 A14-VMware 0.0 0.0 140 0.0M 0.0 0.0 A17-Syslog_TCP 0.0 0.0 138 0.0M 0.0 0.0 A18-Syslog_TCP 0.0 0.0 138 0.0M 0.0 0.0 A19-SAP01 0.2 0.0 6,823 0.0M 0.0 111.4 A21-Syslog-pdysm 5.0 4.8 203,583 0.4M 2.3 26.7 A23-Syslog-pbyd - - - - - - A27-Syslog-CW 5.6 6.0 227,615 0.5M 2.9 22.0 A28-Syslog-CW 0.0 0.0 138 0.0M 0.0 0.0 A29-WUC 7.6 9.4 312,641 0.7M 1.8 26.7 A30-WUC 6.2 13.9 252,385 0.5M 1.5 25.9 A31-WUC 23.9 38.3 979,078 2.1M 5.0 80.0 A32-WUC1 1.3 0.7 54,47 0.1M 0.0 99.6 A32-WUC2 1.6 1.5 66,61 0.1M 0.0 119.7 A32-WUC3 3.3 0.0 134,289 0.3M 0.0 325.0 A32-WUC4 1.2 1.2 50,17 0.1M 0.0 112.1 A34-WUC 3.8 2.9 157,394 0.3M 1.8 115.2 A35-WUC 0.3 0.3 12,892 0.0M 0.0 6.0 A36-WUC-WindEx 0.6 0.2 26,5 0.1M 0.1 113.3 A38-WUC-Warszawa 0.0 0.0 221 0.0M 0.0 0.1 A39-WUC-Radom 0.0 0.0 278 0.0M 0.0 0.2 A40-WUC-Katowice 0.0 0.0 138 0.0M 0.0 0.0 A41-WUC-Poznan 0.0 0.0 169 0.0M 0.0 0.1 A46-Apache-Acc 0.0 0.0 138 0.0M 0.0 0.0 A46-Apache-Err 0.0 0.0 138 0.0M 0.0 0.0 A47-Apache-Err 0.0 0.0 138 0.0M 0.0 0.0 A47-Apache_Acc 0.0 0.0 138 0.0M 0.0 0.0 A48-Apache-Acc 0.0 0.0 138 0.0M 0.0 0.0 A48-Apache-Err 0.0 0.0 138 0.0M 0.0 0.0 A49-Apache-Acc 0.0 0.0 138 0.0M 0.0 0.0 Min E/s Max E/s 5/17

A49-Apache-Err 0.0 0.0 138 0.0M 0.0 0.0 A50-Apache-Acc 0.0 0.0 138 0.0M 0.0 0.0 A52-Tomcat 0.0 0.0 142 0.0M 0.0 0.0 A53-Tomcat 0.0 0.0 138 0.0M 0.0 0.0 F01-CitrixSG 0.0 0.0 190 0.0M 0.0 0.1 F02-CitrixSG 0.0 0.0 155 0.0M 0.0 0.1 F03-WindEx 0.0 0.0 138 0.0M 0.0 0.0 F10-SCCM 0.0 0.0 137 0.0M 0.0 0.0 F12-Rsnapshot 0.0 0.0 170 0.0M 0.0 0.3 F13-Rsnapshot 0.0 0.0 170 0.0M 0.0 0.4 F14-Rsnapshot 0.0 0.0 186 0.0M 0.0 0.7 F15-Rsnapshot 0.0 0.0 186 0.0M 0.0 0.5 F16-Rsnapshot 0.0 0.0 175 0.0M 0.0 0.5 F17-Rsnapshot 0.0 0.0 170 0.0M 0.0 0.2 F18-Rsnapshot 0.0 0.0 170 0.0M 0.0 0.2 F19-Rsnapshot 0.0 0.0 181 0.0M 0.0 0.3 Manager Internal Agent 42.5 56.6 1,742,605 3.7M 6.2 681.4 T03-SNMP 0.0 0.0 138 0.0M 0.0 0.0 Since Last Reset 510.7 655.6 20,934,244 44.1M 6.2 1,486.4 Server Lifetime 510.7 655.6 20,934,244 44.1M 6.2 1,486.4 6/17

4. Ekrany monitorujące Rys. 1 Database health 7/17

Rys. 2 Database monitoring 8/17

II. Uruchomione w Systemie SIEM scenariusze bezpieczeństwa Zamawiający wymaga, by podłączone w ramach rozbudowy Systemu klasy SIEM nowe źródła danych były obsługiwane przez istniejące scenariusze bezpieczeństwa. III. Specyfikacja źródeł danych podłączanych w ramach rozbudowy SIEM Zamawiający wymaga, by w ramach rozbudowy Systemu klasy SIEM podłączone zostały do monitorowania oraz skonfigurowane do wykrywania incydentów w ramach istniejących scenariuszy bezpieczeństwa następujące typy źródeł danych, generujące łącznie nie więcej niż 1500 eps. Tabela 3: Specyfikacja infrastruktury teleinformatycznej Zamawiającego LP Nazwa sytemu operacyjnych / aplikacji Sposób przechowywania logów (wewnętrzny dziennik/syslog) 1 Windows XP Wewnętrzny dziennik eventlog 2 Windows Vista Wewnętrzny dziennik eventlog 3 Windows 7 Wewnętrzny dziennik eventlog 4 Windows 8 Wewnętrzny dziennik eventlog 5 Windows 8.1 Wewnętrzny dziennik eventlog 6 Windows XP Embeded SP3 Wewnętrzny dziennik eventlog 7 Windows Server 2003 Standard Edition Wewnętrzny dziennik eventlog SP1 8 Windows Server 2003 Standard Edition Wewnętrzny dziennik eventlog SP2 9 Windows Server 2008 R2 Wewnętrzny dziennik eventlog 10 Windows Server 2012 R2 Wewnętrzny dziennik eventlog 11 SUSE Linux Enterprise 10 syslog messages boot.log messages boot.log 12 RHEL 6 syslog messages boot.log messages boot.log 13 RHEL 5.8 syslog messages boot.log messages 9/17

boot.log 14 RHEL 6.2 syslog messages boot.log messages boot.log 15 RHEL 6.3 syslog messages boot.log messages boot.log 16 RHEL 6.5 syslog messages boot.log messages boot.log 17 AIX 5.3 syslog Binary Log 18 Windows Server 2008 R2 DNS Server Wewnętrzny dziennik eventlog 19 CentOS 6.5 syslog 20 AIX 7.3 Syslog Binary log 21 HP-UX 11.31B syslog messages boot.log messages boot.log 10/17

Źródła danych Zamawiającego pogrupowane są w 40 logicznych systemów komputerowych, które Wykonawca skonfiguruje w Systemie klasy SIEM w odpowiednie grupy zasobów. Liczebność źródeł danych: - 150 serwerów, - 1600 stacji roboczych. 11/17

IV. Opracowanie koncepcji budowy Security Operations Center oraz procedur jego funkcjonowania Zamawiający zamierza uruchomić funkcjonowanie w swojej strukturze organizacyjnej dedykowanego zespołu pracowników, których zadaniem będzie monitorowanie bezpieczeństwa teleinformatycznego jego infrastruktury, zwanego dalej Security Operations Center (SOC). W ramach zadania opracowania koncepcji budowy Security Operations Center oraz procedur jego funkcjonowania Zamawiający wymaga wykonania: 1. Analizy stanu obecnego monitorowania bezpieczeństwa teleinformatycznego: wymagamy zebrania przez Wykonawcę informacji dotyczących aktualnego sposobu zorganizowania procesu monitorowania bezpieczeństwa, istniejących regulacji wewnętrznych w tym obszarze, komórek organizacyjnych zaangażowanych w proces, zasobów technologicznych i ludzkich dostępnych do realizacji funkcji SOC. 2. Opracowania koncepcji budowy SOC i procesu monitorowania i reagowania na incydenty: na podstawie informacji zebranych w poprzednim zadaniu oraz wiedzy eksperckiej, doświadczenia i najlepszych praktyk Wykonawcy, Zamawiający wymaga przygotowania i uzgodnienia z Zamawiającym koncepcji budowy SOC i procesu monitorowania wraz z określeniem ewentualnych narzędzi i zasobów ludzkich koniecznych do realizacji procesu, sposobu wykorzystania istniejących narzędzi, propozycji mierników efektywności procesu obsługi incydentów oraz określenia typów incydentów, dla których powstaną szczegółowe procedury wykonawcze. 3. Opracowania odpowiednich procesów, procedur i dokumentów niezbędnych do funkcjonowania SOC i obsługi incydentów, dostosowanych do obowiązującej Polityki Bezpieczeństwa Informacji (PBI). Produktami zadania powinny być w szczególności: a. Szczegółowy opis procesu monitorowania i reagowania na incydenty - przedstawiający jego elementy składowe, przebieg działania, role w procesie, podział ról na komórki organizacyjne, mierniki oceniające efektywność i wydajność procesu (mierniki KPI). b. Zasady przyjmowania zgłoszeń i incydentów bezpieczeństwa. c. Zasady klasyfikacji incydentów i problemów bezpieczeństwa - przedstawiające sposób klasyfikowania zidentyfikowanych incydentów i problemów bezpieczeństwa. d. Ogólne zasady postępowania w przypadku wykrycia incydentu bezpieczeństwa - przedstawiające sposób postępowania w przypadku zidentyfikowania incydentu bezpieczeństwa, sposób prowadzenia analiz. e. Procedurę tworzenia okresowych analiz. f. Procedurę postępowania dla poszczególnych typów incydentów - przedstawiające szczegółowy sposób postępowania w przypadku zidentyfikowania konkretnych typów incydentów. g. Zasady komunikacji wewnętrznej i zewnętrznej SOC. h. Strukturę organizacyjną SOC. i. Regulamin SOC. j. Szablony dokumentowania obsługiwanych incydentów i analizowanych problemów bezpieczeństwa. 4. Korekt funkcjonowania SOC: na podstawie wyników poprzednich zadania, Zamawiający uruchomi SOC i proces monitorowania. Zamawiający wymaga, by Wykonawca za pośrednictwem Analityka i Architekta SOC Zamawiającego (wymienionych w par. V.), w zależności od zidentyfikowanych potrzeb, dokonał rekonfiguracji wykorzystywanych narzędzi w SOC (SIEM) do realizacji procesów monitorowania i obsługi incydentów, zgodnie z opracowanymi przez Wykonawcę procedurami wykonawczymi dla obsługi incydentów. 5. Koncepcji wykorzystania innych eksploatowanych u Zamawiającego systemów bezpieczeństwa do wsparcia w obsłudze i identyfikacji incydentów poza systemem SIEM, które będą mogły być eksploatowane w SOC. V. Wsparcie w procesie budowy SOC przez Zamawiającego W ramach usługi wsparcia w procesie budowy SOC przez Zamawiającego Wykonawca zapewni dostępność konsultantów: 12/17

a. Analityk SOC (1 etat - praca w dni robocze w godzinach 8:00-16:00 przez okres 3 miesięcy), b. Architekt SOC (1 dzień w tygodniu przez okres 3 miesięcy praca w dni robocze w godzinach 8-16:00). Opisy ról i zakresu obowiązków: Analityk SOC główny użytkownik systemu SIEM, analizujący wielowymiarowo zdarzenia, incydenty i problemy bezpieczeństwa identyfikowane w procesie zarządzania bezpieczeństwa. Analityk dokonuje analizy, filtrowania, korelowania i raportowania zdarzeń w ramach przygotowanych w SIEM funkcji monitorowania, identyfikuje i raportuje nieprawidłowości w działaniu funkcji monitorowania (w systemie SIEM i w systemach źródłowych), współpracuje z osobami administrującymi źródłami danych w zakresie usuwania przyczyn błędnego działania funkcji monitorowania. W procesie budowy SOC przez Zamawiającego Analityk SOC Wykonawcy wspiera pracowników Zamawiającego wdrażanych do pracy w ramach SOC na stanowisku analityków SOC oraz sporządza dla Zamawiającego tygodniowe raporty ze zrealizowanych prac. Architekt SOC użytkownik systemu odpowiadający za tworzenie i modyfikowanie funkcji monitorowania, przygotowywanie instrukcji w zakresie podłączania, konfiguracji oraz rekonfiguracji nowych źródeł danych, konfigurowanie nowych źródeł danych w systemie SIEM oraz tworzenie dedykowanych konektorów Flex. W procesie budowy SOC przez Zamawiającego Analityk SOC Wykonawcy wspiera pracowników Zamawiającego wdrażanych do pracy w ramach SOC na stanowisku architektów SOC oraz sporządza dla Zamawiającego miesięczne raporty ze zrealizowanych prac. VI. Dodatkowe wymagania: Dostarczona w ramach rozbudowy licencja ma pozwalać na wytworzenie wymaganej w ramach rozbudowy systemu SIEM liczby konektorów Flex. Dostarczona nowa licencja SIEM powinna zawierać zmiany w co najmniej następującym zakresie: - nowa wartość parametru określającego możliwą do uruchomienia ilość programowych (nie przeglądarkowych) konsoli operatora i analityka ArcSight Console wynoszącą 8 (słownie: osiem), - nowa wartość parametru określającego maksymalną dobową średnią ilość przychodzących do systemu zdarzeń na sekundę wynoszącą 2000 eps (słownie: dwa tysiące), oraz innych parametrów, jeśli ich zmiana podyktowana jest rozbudową systemu SIEM. Rozbudowana macierz systemu SIEM powinna zapewniać retencję zebranych danych w systemie umożliwiająca przechowywanie danych za okres minimum 1 roku. Serwer systemu SIEM powinien przechowywać dane o zdarzeniach z trzech ostatnich miesięcy - dane przechowywane w bazie danych serwera i bezpośrednio dostępne dla funkcji agregacji, korelacji i detekcji. Rozbudowa systemu monitorowania bezpieczeństwa teleinformatycznego klasy SIEM składa się z elementów sprzętu komputerowego i licencji oprogramowania, które muszą zostać zainstalowane w lokalizacji siedziby PSE S.A. we wskazanych serwerowniach. System musi zachować odporność na wypadek awarii pojedynczego elementu jego infrastruktury sprzętowej. Wykonawca dla oferowanego sprzętu musi dostarczyć dokumenty gwarancyjne wystawione dla Zamawiającego. Oferowany sprzęt Systemu musi być fabrycznie nowy i wyprodukowany nie wcześniej niż 6 miesięcy przed dostawą. VII. Zakres Prac W zakres zadania wchodzą następujące czynności: 1. Etap I - Sporządzenie Projektu Technicznego rozbudowy systemu monitorowania bezpieczeństwa teleinformatycznego SIEM w PSE S.A., zawierającego co najmniej: a. Specyfikację dostarczanego sprzętu komputerowego i jego wymagania względem instalacji (ilość U w szafach serwerowych, ilość i rodzaj wymaganych portów sieciowych), b. Specyfikację dostarczanych licencji oprogramowania, 13/17

c. Opis konfiguracji źródeł danych Zamawiającego (opis czynności administracyjnych, wymaganych do wykonania przez Zamawiającego na źródłach danych w celu uruchomienia dostarczania informacji o zdarzeniach do Systemu klasy SIEM), d. Wymagania w zakresie konfiguracji IP Systemu SIEM oraz konfiguracji transmisji danych ze źródeł danych Zamawiającego do Systemu SIEM za pośrednictwem sieci LAN Zamawiającego. e. Plan wdrożenia, składający się co najmniej z: struktury podziału prac WBS ze wskazaniem odpowiedzialności za realizację zadań pomiędzy Zamawiającego i Wykonawcę oraz harmonogramu realizacji w postaci wykresu Gantta ASAP. 2. Etap II - Dostarczenie sprzętu komputerowego oraz licencji oprogramowania, w tym fizyczna instalacja i konfiguracja dostarczonych urządzeń do pracy we wskazanych lokalizacjach (serwerowniach i szafach 19 ), 3. Etap III - Wdrożenie systemu SIEM: a. Wsparcie konfiguracji Infrastruktury teleinformatycznej Zamawiającego w celu skonfigurowania jej jako źródła danych do Systemu SIEM, zgodnie z opisem w Projekcie technicznym wdrożenia SIEM, w szczególności: i. Przygotowanie opisów wymaganych czynności administracyjnych dla źródeł danych Zamawiającego dla ustanowienia transmisji danych do Systemu SIEM. ii. Wsparcie w konfiguracji zasad inspekcji ustanowionych na źródłach danych Zamawiającego w celu właściwego zasilania danymi Systemu SIEM. b. Wdrożenie Systemu SIEM, w szczególności: i. Zwiększenie zakresu działania funkcjonujących w SIEM scenariuszy bezpieczeństwa o nowe źródła danych podłączone w ramach realizacji niniejszego Zamówienia. ii. Konfiguracja ról użytkowników dla pracowników Oddziału. iii. Konfiguracja sporządzania kopii zapasowych rozbudowanego środowiska SIEM. c. Przeprowadzenie instruktaży dla administratorów i użytkowników Systemu SIEM, zgodnie ze specyfikacją w Rozdziale VIII. d. Przeprowadzenie testów funkcjonalnych potwierdzających poprawność wdrożenia rozbudowy Systemu SIEM, w szczególności: i. Testów poprawności działania scenariuszy bezpieczeństwa. ii. Testów wykonywania i odtwarzania Systemu SIEM z kopii zapasowych. iii. Testów potwierdzających poprawne działania redundancji sprzętu komputerowego w Systemie SIEM. e. Opracowanie aktualizacji dokumentacji powykonawczej Systemu SIEM w części zmodyfikowanej w ramach realizacji rozbudowy SIEM, w skład której wchodzić powinny min.: i. dokumentacja konfiguracji Funkcji monitorowania SIEM, ii. procedura instalacji i konfiguracji Systemu SIEM, iii. procedura konfiguracji źródeł danych Infrastruktury Teleinformatycznej Zamawiającego, iv. procedura tworzenia kopii zapasowych, v. procedura odtwarzania Systemu SIEM z kopii zapasowych, vi. procedura aktualizacji Systemu SIEM, vii. procedura zarządzania uprawnieniami użytkowników Systemu SIEM. W celu wykonania zadania Zamawiający zapewni: 1. dostęp do systemów oraz miejsca pracy w siedzibie Zamawiającego inżynierom (dla 2 osób) realizującym prace w godz. 8.00-18.00, 2. dostęp pod nadzorem administratora Zamawiającego do instalowanego lub konfigurowanego sprzętu inżynierowi Dostawcy z zastrzeżeniem, że inżynier wykonujący prace posiada wymagane uprawnienia do przeprowadzenia prac, 3. przygotowanie infrastruktury serwerowni tj. okablowania LAN, zasilania elektrycznego oraz szaf teleinformatycznych (nie dotyczy szaf i sprzętu dostarczanego przez Dostawcę) 14/17

4. rekonfigurację sieci i LAN niezbędną do wykonania w/w prac po wcześniejszym przekazaniu przez Dostawcę, w postaci pisemnej i w formie ustalonej z Zamawiającym, zakresu wymaganych zmian w konfiguracji w/w sieci (w Projekcie technicznym). VIII. Instruktaż Instruktaż będzie prowadzony przez Wykonawcę na terenie Polski (w języku polskim) przez osoby posiadające kwalifikacje w zakresie wdrażania oraz administracji Systemem klasy SIEM HP ArcSight Express 7511 potwierdzone uzyskaniem certyfikatów HP ArcSight ESM Security Analyst (AESA lub poprzednio ACSA) oraz HP ArcSight ESM Administration (AEIA lub poprzednio ACIA). Instruktaż musi być prowadzony w formie wykładów oraz warsztatów w środowisku udostępnionym przez Wykonawcę lub w środowisku wdrożonym przez Wykonawcę. Instruktaż ma umożliwić uczestnikom nabycie umiejętności pracy z konsolą Systemu SIEM. Instruktaż ma być przeprowadzony dla min. 10 osób. Zakres instruktażu: 1. Omówienie technologii 2. Obsługa konsoli 3. Obsługa incydentów 4. Szczegółowe analizowanie incydentów. 5. Tworzenie własnych konsol monitorowania. 6. Tworzenie własnych raportów. 7. Tworzenie własnych alarmów. IX. Gwarancja 1. Gwarancja na dostarczony w ramach rozbudowy sprzęt komputerowy i oprogramowanie: a. Zamawiający wymaga, aby serwis sprzętu komputerowego i oprogramowania świadczony był w języku polskim. b. Sprzęt i oprogramowanie musi być objęte 36-miesięcznym, a rozbudowany System SIEM 36 miesięcznym (zgodnie z zaoferowanym przez Wykonawcę okresem gwarancji i rękojmi, opisanym w pkt XVII. 2.2. Części I SIWZ) wsparciem serwisowym świadczonym w siedzibie Zamawiającego (lokalizacja) w trybie 8:00-18:00 w dni robocze. Przyjmowanie/obsługa zgłoszeń w języku polskim. Naprawa powinna zostać zrealizowana zgodnie z opisem w Tabeli poniżej. Priorytet Opis Czas usunięcia wady Krytyczny Przerwa w pracy Systemu SIEM lub jego wdrożonej 1 doba funkcjonalności, uniemożliwiająca realizację monitorowania bezpieczeństwa teleinformatycznego. Wysoki Ograniczenie wydajności Systemu SIEM lub jego 5 dni roboczych funkcjonalności, pozwalające jednak na dalszą realizację monitorowania bezpieczeństwa teleinformatycznego. Niski Inne niż z priorytetem Krytyczny i Wysoki 20 dni roboczych c. Uszkodzone dyski twarde nie podlegają zwrotowi. d. Całe dostarczone oprogramowanie: systemowe, firmware, mikrokody musi mieć dostęp do wszystkich najnowszych wersji oprogramowania, w tym nowych wersji głównych w okresie realizacji zamówienia oraz gwarancji. e. Usługi pomocy technicznej (proaktywne) w zakresie wsparcia dostarczonej platformy sprzętowo-systemowej. f. Zamawiający wymaga, aby Wykonawca gwarantował możliwość rozbudowy zamawianego sprzętu i oprogramowania przez okres minimum pięciu lat. 2. Opis usługi wsparcia serwisowego w zakresie sprzętu i oprogramowania. Usługa wsparcia serwisowego obejmuje cały dostarczony sprzęt i oprogramowanie. 3. Gwarancja i rękojmia na rozbudowany system SIEM. 15/17

Usługi serwisowe świadczone w ramach gwarancji i rękojmi na rozbudowany system SIEM obejmują wszystkie usługi serwisowe opisane w pkt IX Części II SIWZ za wyjątkiem: realizacji naprawy i wymiany uszkodzonego sprzętu komputerowego, dostępu do najnowszych wersji firmware oraz oprogramowania, dostępu do elektronicznej bazy wiedzy producenta, świadczonych w ramach gwarancji na urządzenia i oprogramowanie 4. Serwisowanie sprzętu i oprogramowania a. Wykonawca świadczy Usługi serwisowania Sprzętu i oprogramowania objętych Umową. b. Serwisowanie obejmuje: i. zdalną pomoc w ustalaniu przyczyn awarii, ii. diagnostykę zdalną i na miejscu oraz naprawcze usługi serwisowe w celu utrzymania lub przywrócenia zgodności sprzętu objętego Umową z jego oficjalnymi specyfikacjami. Zdalna pomoc oznacza konsultacje telefoniczne lub email, bez możliwości zdalnego dostępu do Systemu klasy SIEM Zamawiającego. Wszelkie prace wykonywane przez Wykonawcę na systemie Zamawiającego, wykonywane są u Zamawiającego i pod jego nadzorem. 5. Usługi prewencyjne a. Wykonawca wykonuje przeglądy prewencyjne sprzętu i oprogramowania objętego umową 12 razy do roku w całym okresie trwania gwarancji i rękojmi na rozbudowany System klasy SIEM. b. Przegląd prewencyjny obejmuje testowanie, regulacje, strojenie, nanoszenie poprawek zgodnie z zaleceniami producenta sprzętu i oprogramowania. c. Wykonawca sporządza raport z przeglądu prewencyjnego zawierający ocenę stanu sprzętu i oprogramowania oraz rekomendacje dotyczące ich dalszej eksploatacji. 6. Udostępnianie firmware (Kod Maszynowy) Wykonawca umożliwia pracownikom Zamawiającego dostęp do aktualnych firmware przygotowanych przez producenta sprzętu dla sprzętu objętego umową. 7. Dostęp elektroniczny do informacji o pomocy technicznej Wykonawca zapewnia dostęp do serwisu elektronicznego, który obejmuje bazę wiedzy zawierającą wykaz znanych symptomów nieprawidłowego działania sprzętu i oprogramowania oraz sposobów naprawy, jak również, opisy i specyfikacje produktów oraz dokumentację techniczną. 8. Dostęp do inżynierów serwisowych Zamawiający może uzyskać dostęp do inżynierów serwisowych ds. sprzętu komputerowego i oprogramowania za pośrednictwem telefonu, elektronicznych środków komunikacyjnych lub faksu, aby otrzymać pomoc przy rozwiązywaniu problemów związanych z wdrażaniem lub obsługą oprogramowania. 9. Analizowanie i rozwiązywanie problemów Wykonawca zapewnia wsparcie techniczne w zakresie diagnozowania i rozwiązywania problemów ze sprzętem komputerowym i oprogramowaniem zarówno w przypadku problemów, które są możliwe do wykrycia i odtworzenia przez Zamawiającego, jak również tych, które są trudne do odtworzenia i prawidłowego zdiagnozowania. Zamawiający uzyskuje również pomoc przy ustawianiu parametrów konfiguracyjnych. 10. Usługi interwencyjne a. Zamawiający zgłasza problem Wykonawcy telefonicznie, mailem lub faksem. b. Zgłoszenie problemu ( Zgłoszenie ) musi zawierać niezbędne informacje: Typ i numer seryjny sprzętu komputerowego, / oprogramowanie, Lokalizację sprzętu komputerowego / oprogramowanie, Kontakt telefoniczny do osoby udostępniającej sprzęt komputerowy / oprogramowanie serwisowi, Opis błędu w sposób umożliwiający wstępną diagnozę, Proponowany czas udostępnienia sprzętu komputerowego / oprogramowania serwisowi. 16/17

c. Każde Zgłoszenie musi być potwierdzone telefonicznie przez Serwis Wykonawcy. Potwierdzenie powinno bezzwłocznie wpłynąć do Zamawiającego. Za potwierdzone uznaje się Zgłoszenie, któremu nadano odpowiedni, unikalny numer Zgłoszenia w systemie Wykonawcy i przydzielono inżyniera serwisu Wykonawcy do przeanalizowania/rozwiązania problemu. d. W przypadku braku otrzymania potwierdzenia przyjęcia Zgłoszenia wysłanego faksem lub drogą elektroniczną, Zamawiający zobowiązany jest do przekazania Zgłoszenia telefonicznie. Zgłoszenie telefoniczne uważa się za potwierdzone. 11. Czas przyjmowania i wykonywania prac serwisowych (usług interwencyjnych) a. Usługa rejestracji zgłoszeń dla sprzętu i oprogramowania jest dostępna w godz. 8:00-18:00 w dni robocze. b. Przedstawiciel Wykonawcy rozpoczyna proces realizacji zgłoszenia niezwłocznie po otrzymaniu zgłoszenia. c. Godziny robocze: od poniedziałku do piątku 8:00 18:00 z wyłączeniem dni ustawowo wolnych od pracy. 12. Współpraca z producentami innych produktów Jeżeli w trakcie rozwiązywania problemu ze sprzętem lub oprogramowaniem objętym umową okaże się, że źródło problemu leży w produkcie innego producenta niż producent Sprzętu lub oprogramowania, Wykonawca pomaga Zamawiającemu przekazać problem do tego producenta i uczestniczy w jego rozwiązaniu wraz z Zamawiającym. 13. Zobowiązania interwencyjne a. W przypadku problemów, które nie mogą być rozwiązane zdalnie, Wykonawca przybywa do Zamawiającego i wykonuje wszelkie prace, a także zapewnia części i materiały niezbędne do przywrócenia sprawności sprzętu i oprogramowania. b. Wykonawca kontynuuje czynności serwisowe, aż do momentu uzyskania poprawnej pracy Sprzętu i oprogramowania. c. Dopuszczalne jest chwilowe zawieszenie czynności naprawczych, jeśli potrzebne są dodatkowe materiały, zasoby lub informacje, ale praca zostaje wznowiona natychmiast po ich uzyskaniu. d. Części wymieniane są na nowe lub równoważne nowym. e. Wymienione części przechodzą na własność Wykonawcy (nie dotyczy wymienionych dysków, które pozostają własnością Zamawiającego). f. Zobowiązanie interwencyjne uważa się za wypełnione przez Wykonawcę, jeżeli Wykonawca przeprowadzi weryfikację poprawnej pracy Sprzętu lub oprogramowania za pomocą standardowej diagnostyki lub innych środków potwierdzających usunięcie usterki. g. Wykonawca zachowuje prawo do ustalenia ostatecznego rozwiązania wszystkich zgłoszonych problemów. h. Wykonawca może wprowadzać dostępne udoskonalenia techniczne w Sprzęcie lub oprogramowaniu objętej Umową, aby zapewnić kompatybilność z dostarczanymi częściami zamiennymi. 14. Zakres obowiązków Zamawiającego Zamawiający pomaga Wykonawcy w rozwiązywaniu problemów poprzez: a. udostępnianie Wykonawcy wszystkich informacji potrzebnych do wykonywania zdalnych usług pomocy b. uruchamianie auto testów lub instalowanie i uruchamianie innych programów oraz narzędzi diagnostycznych; c. instalowanie modyfikacji oprogramowania i uaktualnień oprogramowania wbudowanego (firmware) przeznaczonego do samodzielnej instalacji po uzyskaniu dokładnych instrukcji wprowadzania zmian od Wykonawcy, które umożliwią wykonanie tych prac; d. tworzenie kopii zapasowych i odtwarzanie danych. 17/17