SIWZ cz. II. Opis Przedmiotu Zamówienia 1. Specyfikacja zamawianego oprogramowania Nazwa Typ licencji Ilość [szt.] AirWatch Mobile Device Management. Perpetual 500 AirWatch Email Container. Perpetual 300 Lub równoważne dla powyższych. Za równoważne oprogramowanie Zamawiający uzna produkt, który spełni następujące wymogi funkcjonalne systemu typu MDM (Mobile Device Management) i MAM (Mobile Application Management): 1. Wymagania dla architektury: 1.1. System musi zapewniać możliwość instalacji wszystkich jego komponentów w infrastrukturze Zamawiającego, bez konieczności komunikacji z infrastrukturą umieszczoną w zasobach producenta Systemu, 1.2. System musi gwarantować bezpieczną architekturę w postaci rozdzielności jego funkcji, tak aby dawał możliwość odseparowania części funkcji systemu, które powinny być dostępne z sieci publicznej do strefy DMZ,( Demilitarized zone) 1.3. System musi obsługiwać mechanizm reverse-proxy, 1.4. System powinien umożliwiać rozbudowę do trybu wysokiej dostępności (HA) poprzez redundancje każdego elementu sytemu, 1.5. System musi zapewnić możliwość instalacji poszczególnych komponentów systemu na serwerach fizycznych jak i w środowisku wirtualnym VMware vsphere, 1.6. System musi posiadać możliwość obsługi minimum 2000 urządzeń mobilnych bez potrzeby rozbudowy systemu. 2. Wymagania dla zarządzania urządzeniami mobilnymi: 2.1. Obsługa urządzeń pracujących pod kontrolą systemów operacyjnych: 2.1.1. Android - minimum w wersji 2.2 i wyższych, 2.1.2. Apple ios - minimum w wersji 5 i wyższych, 2.1.3. Windows Phone 8 i wyższe. 2.2. Pobieranie informacji o zarządzanych urządzeniach mobilnych 2.2.1. Nazwa urządzenia 2.2.2. Numer UDID,IMEI/MEID, IMSI, numer telefonu 2.2.3. Nazwa producenta urządzenia, model 2.2.4. Numer seryjny urządzenia 2.2.5. Wersja oprogramowania systemu operacyjnego urządzenia 2.2.6. Lista aplikacji zainstalowanych z wyszczególnieniem typu, wersji, rozmiaru str. 1
2.2.7. Wykrywanie statusu złamania zabezpieczeń systemu operacyjnego urządzenia mobilnego tzw. jailbreak lub rooted 2.2.8. Informacje na temat zajętości pamięci oraz pojemności baterii 2.2.9. Śledzenie położenia urządzenia bazując na informacjach z odbiornika GPS 2.3. Zarządzanie z poziomu centralnej konsoli zarządzającej zawierającej funkcjonalności: 2.3.1. Dostęp do konsoli z wykorzystaniem szyfrowanego połączenia SSL poprzez przeglądarkę internetową 2.3.2. Konfiguracja uprawnień z wykorzystaniem zdefiniowanych ról w systemie MDM 2.3.3. Możliwość logicznego podziału systemu z zachowaniem pełnej odrębności ustawień oraz komponentów z możliwością przypisania do każdej z nich dedykowanego administratora (ang. multi-tenant) 2.3.4. Definiowanie grup użytkowników oraz przypisywanie różnych polis bezpieczeństwa/uprawnień dla każdej grupy z osobna 2.3.5. Polska wersja językowa konsoli operatorskiej 2.4. Zarządzanie i monitorowanie danymi telekomunikacyjnymi: 2.4.1. Ustawienia dotyczące restrykcji wykorzystywania urządzeń za granicą (roaming) w zakresie połączeń głosowych oraz transmisji danych 2.4.2. Blokowanie transmisji danych poza siecią macierzystą 2.4.3. Definiowanie i monitorowanie ilości przesyłanych za pośrednictwem sieci komórkowej 2.4.4. Monitorowanie historii połączeń telefonicznych 2.4.5. Monitorowanie statusu sieci komórkowej takich jak nazwa operatora, siła sygnału 2.5. Dedykowany samoobsługowy portal dla użytkowników Systemu zapewniający funkcjonalności: 2.5.1. Dostęp do portalu realizowany przez przeglądarkę WWW 2.5.2. Samodzielne resetowanie hasła dostępu do urządzenia 2.5.3. Samodzielne blokowanie urządzenia 2.5.4. Wysłanie wiadomości push na urządzenie mobilne 2.5.5. Wyświetlanie położenia urządzenia na mapie bazując na danych z GPS 2.5.6. Kasowanie danych i ustawień firmowych (tzw. enterprise wipe) 2.5.7. Zerowanie urządzenia przywrócenie urządzenia do ustawień fabrycznych (tzw. device wipe) 2.5.8. Wyświetlanie listy zainstalowanych profili oraz aplikacji na urządzeniu mobilnym 2.5.9. Konfigurowanie przez administratora systemu do jakich opcji i ustawień portalu samoobsługowego mają dostęp użytkownicy 2.6. Elementy bezpieczeństwa w urządzeniach mobilnych spełniające wymagania: 2.6.1. Możliwość podłączenia urządzeń do Systemu z poziomu agenta zainstalowanego na urządzeniu mobilnym lub poprzez stronę WWW (urządzenia z systemem ios) 2.6.2. Możliwość przeprowadzenia procesu rejestracji urządzeń przez użytkowników systemu za pośrednictwem dedykowanego portalu samoobsługowego str. 2
2.6.3. Możliwość jednoczesnej rejestracji dużej liczby urządzeń do systemu MDM 2.6.4. Możliwość rejestracji urządzenia przez użytkownika wykorzystując autentykację na podstawie loginu i hasła domenowego lub przy użyciu TOKENA 2.6.5. Automatyczna dystrybucja profili konfiguracyjnych, certyfikatów (w tym osobistych) dla rejestrujących się użytkowników oraz aplikacji w trakcie procesu rejestracji urządzenia do systemu MDM 2.6.6. Wymuszenie ochrony urządzenia poprzez ustanowienie hasła dostępowego 2.6.7. Wymuszenie polityk okresowej zmiany hasła na urządzeniu mobilnym. Możliwość konfiguracji parametrów takich jak: złożoność hasła (w tym liczba znaków), wymuszenie hasła alfanumerycznego, restrykcje dotyczące niepowtarzalności hasła, liczba błędnych prób wprowadzenia hasła po którym nastąpi kasowanie urządzenia 2.6.8. Możliwość dynamicznego przypisywania polityk bezpieczeństwa w zależności od zdefiniowanych reguł czasowych oraz położenia geograficznego 2.6.9. Wymuszenie szyfrowania danych na urządzeniach mobilnych oraz zewnętrznych kartach pamięci 2.6.10. Możliwość blokowania przez system MDM wbudowanych funkcji i aplikacji na wspieranym urządzeniu mobilnym 2.6.11. Definiowanie polityk bezpieczeństwa dla urządzeń mobilnych uniemożliwiających usuwanie profili np. dla poczty elektronicznej, Wi-Fi, 2.6.12. Definiowanie polityk bezpieczeństwa uniemożliwiających podłączenie do systemu MDM urządzeń dla których wykryto złamanie zabezpieczeń systemu tzw. jailbreak lub rooted 2.6.13. Wymuszenie automatycznego zestawienia tunelu VPN oraz kierowanie całego lub wybranego ruchu do tunelu VPN 2.6.14. Możliwość automatycznego uwierzytelnienia przy nawiązaniu tunelu VPN certyfikatem osobistym użytkownika otrzymanym w procesie rejestracji do systemu MDM 2.7. Wymagania dla zarządzania aplikacjami 2.7.1. Instalowanie oraz usuwanie aplikacji na urządzeniach mobilnych 2.7.2. Blokowanie instalacji oraz dostępu do aplikacji ze sklepów (App Store, Google Play) 2.7.3. Tworzenie wewnętrznego sklepu z aplikacjami (tzw. Enterprise Store) 2.7.4. Tworzenie listy aplikacji niepożądanych, których nie można instalować na urządzeniach mobilnych (tzw. czarna lista) 2.7.5. Tworzenie listy aplikacji dozwolonych do instalacji (tzw. biała lista) 3. Wymagania integracji z systemami wykorzystywanymi przez Zamawiającego: 3.1. Wymagana jest integracja z usługami katalogowymi: Active Directory, LDAP, 3.2. Wymagane jest aby baza użytkowników systemu oraz atrybutów była pobierana z Active Directory w trybie manualnym oraz automatycznym 3.3. Wymagana jest integracja z serwerami certyfikatów CA ( Microsoft PKI) z wykorzystaniem mechanizmów SCEP oraz DCOM str. 3
3.4. Wymagana jest integracja z rozwiązaniem poczty elektronicznej Microsoft Exchange 2010/2013 z wykorzystaniem standardowych protokołów pocztowych SMTP, POP3, IMAP 3.5. Wymagana jest integracja z rozwiązaniem VPN Cisco AnyConnect 3.6. Wymagana jest integracja oraz raportowanie do systemów monitoringu bezpieczeństwa klasy SIEM, 3.7. Wymagana jest obsługa mechanizmów SAML (ang. Security Assertion Markup Language) wykorzystywanych do pośredniczenia w uwierzytelnianiu i automatycznym przekazywaniu informacji o uprawnieniach użytkowników między systemami i aplikacjami 4. Wymagania dla obsługi poczty elektronicznej: 4.1. System musi wspierać automatyczną konfigurację kont pocztowych w procesie rejestrowania do systemu bazujących na rozwiązaniach: Exchange 2010/2013 (ActiveSync), z wykorzystaniem standardowych protokołów pocztowych SMTP, POP3, IMAP 4.2. System musi obsługiwać uwierzytelnianie się do konta pocztowego za pomocą certyfikatu osobistego wydanego przez PKI Zamawiającego, otrzymanego w procesie rejestracji urządzenia do systemu MDM 4.3. System musi umożliwiać konfigurację kont pocztowych Microsoft Exchange ActiveSync w trybie proxy/relay w celu kontroli przepływu wiadomości email oraz implementacji dodatkowych mechanizmów bezpieczeństwa poczty elektronicznej, takich jak: 4.3.1. Wymuszenie zaszyfrowania załączników przed dostarczeniem ich do urządzenia mobilnego 4.3.2. Blokowanie wysyłania/odbierania załączników na urządzeniach mobilnych 4.3.3. Ograniczenie wielkości wysyłanych oraz odbieranych załączników 4.3.4. Blokowanie dostępu do wiadomości pocztowych w przypadku naruszenia lub niespełnienia zdefiniowanych polityk bezpieczeństwa przez urządzenie mobilne 4.3.5. Blokowanie dostępu do systemu pocztowego dla urządzeń które nie zostały zarejestrowane w systemie MDM 4.3.6. Definiowanie oprogramowania do odbioru poczty firmowej na urządzeniu mobilnym 4.3.7. Bezpieczny, dedykowany klient pocztowy pochodzący od producenta systemu MDM - dla platformy Android 5. Wymagania dla bezpiecznej przeglądarki WWW dostarczonej przez producenta systemu MDM 5.1. Producent rozwiązania MDM musi dostarczyć dedykowaną, bezpieczną i zarządzalną przeglądarkę stron WWW wspierającą wybrane przez Zamawiającego systemy mobilne, 5.2. System MDM musi posiadać funkcję uniemożliwiającą korzystanie z natywnych przeglądarek WWW dostępnych na urządzeniach mobilnych 5.3. Wymagane jest aby dostarczona przez producenta systemu MDM przeglądarka WWW umożliwiała : 5.3.1. Szyfrowane tunelowanie ruchu WWW do sieci wewnętrznej za pośrednictwem komponentów rozwiązania MDM str. 4
5.3.2. Dostęp do wewnętrznych stron WWW (Intranet) bez konieczności zestawiania tunelu VPN przez dodatkowe aplikacje 5.3.3. Automatyczne logowanie się do stron wewnętrznych ma podstawie danych o loginie i haśle 5.3.4. Kontrolę i definiowanie stron do jakich użytkownicy mogą mieć dostęp 5.3.5. Definiowanie i blokowanie dostępu do stron niepożądanych 2. Rodzaj licencji. Zamawiający wymaga dostawy oprogramowania z licencjami (Perpetual) wieczystymi. 3. Specyfikacja wymagań implementacyjnych: Lp. Nazwa 1. Wykonanie projektu technicznego wdrożenia Systemu AirWatch Instalacja komponentów Systemu AirWatch na serwerach Zamawiającego (Device Services, SQL, Administration Console, AWCM, AirWatch Cloud Connector, 2. Security Email Gateway, Mobile Access Gateway) 3. Integracja Systemu z systemem AD oraz PKI Zamawiającego 4. Konfiguracja szablonów w MSFT CA Konfiguracja profili bezpieczeństwa dla urządzeń mobilnych z systemami Apple ios, 5. Google Android, Windows Phone 8 6. Przygotowanie do integracj Systemu AirWatch z Cisco VPN (Cisco AnyConnect) Przygotowanie profili konfiguracyjnych Cisco AnyConnect dla urządzeń mobilnych z 7. systemami Apple ios, Google Android, Windows Phone 8 8. Instruktaż administratorów systemu 3 osoby 9. Przygotowanie dokumentacji powykonawczej Systemu 10. Testy Systemu 11. Odbiór Systemu System musi zapewniać zarządzanie urządzeniami mobilnymi tzw. Mobile Device Management (MDM) oraz bezpieczny dostęp z urządzeń mobilnych do systemów Zamawiającego takich jak: portale intranetowe WWW, portale intranetowe Microsoft SharePoint, zasobów plikowych, poczty elektronicznej Microsoft Exchange. Systemy i serwery wymagane do instalacji środowiska MDM: 1. Serwer Device Services działający w strefie DMZ, zapewniający dostęp dla urządzeń mobilnych z sieci Internet 2. Serwer dla konsoli administracyjnej system zapewniający zarządzanie systemem MDM 3. Uruchomienie serwera z serwisem AirWatch Messaging Services. 4. Uruchomienie serwisu AirWatch Cloud Connector. 5. Wykonanie integracji Systemu MDM z Systemami Microsoft Active Directory i Certificate Authority 6. Przygotowanie do integracji Systemu MDM z Cisco VPN (Cisco AnyConnect) str. 5
7. Serwer Secure Email Gateway, zapewnienie bezpiecznego dostępu do poczty elektronicznej na urządzeniach mobilnych, szyfrowanie załączników autoryzacja za pomocą certyfikatów wydawanych z MSFT CA 8. Serwer Mobile Access Gateway instalacja w wersji rozproszonej (Relay, Endpoint), zapewnienie dostępu do stron Intranetowych i serwerów plików Wymaganie, aby dostęp do systemów pocztowych, jak również do wybranych serwisów wewnętrznych Zamawiającego odbywał się z wykorzystaniem autoryzacji za pomocą osobistego certyfikatu wydawanego dla użytkownika. System musi umożliwiać integrację z systemami proxy, które są obecne w środowisku Zamawiającego (mechanizmy proxy, reverse proxy). Zamawiający zapewni licencje Microsoft Windows Serwer, MS SQL w ramach wirtualnej platformy VMware vsphere 5 dla poszczególnych elementów systemu jak również informację o urządzeniach i użytkownikach mobilnych. 4. Proponowane etapy implementacji L.p. Etap Produkt Etapu Czas realizacji 1 Wykonanie projektu wdrożeniowego: Projekt wdrożeniowy 2 tygodnie 2 Wdrożenie Systemu ZUM (Zarządzania Urządzeniami Mobilnymi)zgodnie z projektem Dokumentacja powykonawcza 2 tygodnie 3 Instruktaż dla administratorów systemu 1 dzień 4 Testy i odbiór końcowy Protokół odbioru 1 dzień Wymagania gwarancyjne i serwisowe 1. Wykonawca udziela 3 - letniej gwarancji na zaimplementowany system wraz z wsparciem producenta dostarczanego oprogramowania. Wsparcie producenta dostarczanego oprogramowania ma zapewniać: a. dostęp i prawo do wykorzystywania przez Zamawiającego, poprawek i nowych wersji oprogramowania w okresie trwania gwarancji, b. dostęp do bazy wiedzy szkoleń oraz innych materiałów producenta dostarczanego systemu c. dostęp do szkoleń, webinar iów, kursów on-line producenta. 2. Wykonawca zapewni obsługę zgłoszeń gwarancyjnych spełniając poniższe wymagania Zamawiającego: str. 6
a. Zgłaszanie problemów serwisowych poprzez numer telefonu należący do polskiej strefy numeracyjnej, b. Nielimitowana liczba osób mogących otwierać zgłoszenia serwisowe, c. Możliwość zgłaszania awarii oraz rozwiązywanie problemów w czasach krótszych niż wymienione, w zależności od ich kwalifikacji zgodnie z poniższą tabelą: Poziom 1 (poważne awarie kluczowych elementów systemów) Poziom 2 (awarie mniej kluczowych komponentów) Poziom 3 (defekty nie mające wpływu na poprawne działanie podstawowych usług systemu) Czas reakcji Wstępne rozwiązanie problemu przywrócenie funkcjonalności Ostateczne rozwiązanie problemu 1 godz. 4 godz. 24 godz. 2 godz. 8 godz. 5 dni roboczych 8 godz. 3 dni robocze Rozwiązanie problemu w następnej wersji oprogramowania lub w uzgodnionym czasie str. 7