„Opracowanie i wdrożenie SZBI i SZCD wraz z audytem KRI, szkoleniami i testami bezpieczeństwa dla PWKC w Pionkach Sp. z o.o.”

„Opracowanie i wdrożenie SZBI i SZCD wraz z audytem KRI, szkoleniami i testami bezpieczeństwa dla PWKC w Pionkach Sp. z o.o.” Przedmiotem zamówienia jest realizacja następujących zadań w ramach projektu „Wdrożenie rozwiązań poprawiających cyberbezpieczeństwo na obszarze działania PWKC w Pionkach Sp. z o.o.”: 1. U20. Opracowanie, wdrożenie, przegląd i aktualizacja Systemu Zarządzania Bezpieczeństwem Informacji (SZBI); 2. U22. Opracowanie planów ciągłości działania (BCP) i odtwarzania po awarii (DRP) dla systemów teleinformatycznych (STI); 3. U23. Opracowanie, wdrożenie, przegląd i aktualizacja Systemu Zarządzania Ciągłością Działania STI (SZCD); 4. U25. Audyt zgodności KRI 5. U26. Podstawowe szkolenia (lub dostęp do platform szkoleniowych) budujące świadomość cyberzagrożeń i sposobów ochrony dla pracowników IT/OT/ICS; 6. U27. Szkolenia dla kadry istotnej z punktu widzenia wdrażanej polityki bezpieczeństwa informacji i SZBI IT/OT/ICS; 7. U29. Szkolenia powiązane z testami socjotechnicznymi, weryfikujące świadomość zagrożeń i reakcję personelu; 8. U04. Testy bezpieczeństwa sieci IT (testy penetracyjne). Wykonawca składa jedną ofertę obejmującą pełny zakres zadań U20, U22, U23, U25, U26, U27, U29 i U04, ocenianą łącznie i objętą jedną umową. Szczegółowy zakres, produkty i kryteria odbioru poszczególnych zadań określa Załącznik nr 2 – Opis przedmiotu zamówienia (OPZ). Warunki udziału: Uprawnienia do wykonywania określonej działalności lub czynności: O udzielenie zamówienia mogą ubiegać się Wykonawcy, którzy wykażą zdolność do występowania w obrocie gospodarczym. Sposób oceny: Zamawiający uzna ten warunek za spełniony, jeżeli Wykonawca wykaże, że jest wpisany do jednego z rejestrów zawodowych lub handlowych prowadzonych w kraju, w którym ma siedzibę lub miejsce zamieszkania (np. KRS, CEIDG w przypadku podmiotów krajowych). Wiedza i doświadczenie: Wykonawca musi posiadać aktualne certyfikaty potwierdzające, że jego własna organizacja funkcjonuje zgodnie z następującymi standardami zarządzania: normą ISO 9001, normą ISO/IEC 27001 oraz normą ISO 22301. Wymóg ten ma na celu zapewnienie, że podmiot odpowiedzialny za wdrażanie systemów zarządzania u Zamawiającego sam stosuje te standardy we własnej działalności. Każdy z wymaganych certyfikatów musi być wydany przez jednostkę certyfikującą akredytowaną przez Polskie Centrum Akredytacji (PCA) lub przez jednostkę akredytowaną przez organizację będącą sygnatariuszem porozumienia EA MLA (European Cooperation for Accreditation — Multilateral Agreement) lub IAF MLA (International Accreditation Forum — Multilateral Agreement). Zamawiający dopuszcza certyfikaty równoważne wystawione przez jednostki spełniające powyższe kryterium akredytacji — ciężar wykazania równoważności spoczywa na Wykonawcy. Na potwierdzenie spełniania tego warunku udziału w postępowaniu, Zamawiający przed wyborem najkorzystniejszej oferty wezwie wykonawcę, którego oferta została najwyżej oceniona, do złożenia w wyznaczonym terminie kopii wszystkich trzech certyfikatów wraz z zakresem certyfikacji i datą ważności. W przypadku certyfikatów równoważnych Wykonawca składa na wezwanie ponadto dokument potwierdzający akredytację jednostki certyfikującej oraz pisemne uzasadnienie równoważności. Po dokonaniu oceny ofert, w przypadku stwierdzenia braku wymaganych certyfikatów lub dokumentów potwierdzających ich równoważność, ich niekompletności lub błędów, Zamawiający wezwie Wykonawcę odpowiednio do ich złożenia, poprawienia lub uzupełnienia w wyznaczonym terminie, zgodnie z zasadami określonymi w pkt 8.4 niniejszego Zapytania ofertowego. Zamawiający uzna warunek dotyczący doświadczenia Wykonawcy za spełniony, jeżeli Wykonawca wykaże, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wykonał należycie usługi spełniające łącznie poniższe wymagania: a) w zakresie wdrożenia systemów (SZBI lub BCP/DRP): co najmniej 2 (dwie) usługi, z których każda polegała na opracowaniu dokumentacji i wdrożeniu Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) lub opracowaniu planów ciągłości działania (BCP/DRP), o wartości nie mniejszej niż 40 000,00 zł brutto każda; b) w zakresie audytu: co najmniej 2 (dwie) usługi, z których każda polegała na przeprowadzeniu audytu bezpieczeństwa informacji lub audytu SZBI, o wartości nie mniejszej niż 20 000,00 zł brutto każda; c) w zakresie testów bezpieczeństwa: co najmniej 2 (dwie) należycie wykonane usługi testów penetracyjnych, o wartości nie mniejszej niż 25 000,00 zł brutto każda; d) w zakresie przeglądu infrastruktury IT/OT: co najmniej 2 (dwie) usługi polegające na przeglądzie infrastruktury IT/OT, o wartości nie mniejszej niż 30 000,00 zł brutto każda; e) w zakresie szkoleń: co najmniej 2 (dwie) usługi polegające na przeprowadzeniu szkoleń z cyberbezpieczeństwa, o wartości nie mniejszej niż 15 000,00 zł brutto każda. Potencjał techniczny: 1. Wykonawca wykaże, że na potrzeby realizacji zamówienia będzie dysponował zespołem liczącym co najmniej 9 odrębnych osób fizycznych, obejmującym: a) zespół wdrożeniowy — co najmniej 2 osoby; b) zespół audytowy — co najmniej 2 osoby; c) personel testów bezpieczeństwa — co najmniej 3 osoby (2 pentesterów oraz specjalista ds. infrastruktury i bezpieczeństwa OT/IT); d) personel szkoleniowy — co najmniej 1 osoba; e) koordynator projektu — co najmniej 1 osoba. 2. Każda osoba musi zostać przypisana do jednego zespołu lub jednej funkcji wymienionych w pkt 5.3.2 na potrzeby wykazania spełnienia wymagań dotyczących minimalnego składu osobowego. Osoby przypisane do zespołu wdrożeniowego nie mogą uczestniczyć w realizacji zadań zespołu audytowego, a osoby przypisane do zespołu audytowego nie mogą uczestniczyć w realizacji zadań zespołu wdrożeniowego. Personel testów bezpieczeństwa, personel szkoleniowy oraz koordynator projektu mogą, w razie potrzeby i pod warunkiem posiadania wymaganych kwalifikacji, uczestniczyć w realizacji wszystkich zadań objętych zamówieniem, z zachowaniem niezależności audytu; osoby uczestniczące w pracach wdrożeniowych nie mogą audytować tych prac. Udział w innych zadaniach nie zmienia podstawowego przypisania danej osoby i nie uprawnia do jej wielokrotnego zaliczania do minimalnych składów zespołów lub funkcji. Wykonawca musi zapewnić co najmniej 9 odrębnych osób fizycznych oraz zachować wymagane minimalne liczebności poszczególnych zespołów i funkcji. Dopuszcza się spełnianie przez tę samą osobę kilku wymagań kwalifikacyjnych określonych dla zespołu, do którego została przypisana. 3. Wykaz osób musi wskazywać podstawowe przypisanie każdej osoby do zespołu lub funkcji. Wykaz musi potwierdzać zachowanie co najmniej 9 odrębnych osób fizycznych oraz wymaganych minimalnych liczebności poszczególnych zespołów i funkcji, bez wielokrotnego zaliczania tej samej osoby. 4. Zasady korzystania z zasobów podmiotów trzecich określa pkt 5.5. Zasady podwykonawstwa, bezpośredniego wykonania określonych prac oraz wymagania dotyczące zatrudnienia podczas realizacji zamówienia określa pkt 17 i projekt umowy. a) Zespół wdrożeniowy — SZBI, BCP/DRP, SZCD Zespół wdrożeniowy odpowiedzialny za opracowanie i wdrożenie dokumentacji SZBI, BCP/DRP oraz SZCD musi liczyć co najmniej 2 osoby. Osoby z zespołu wdrożeniowego nie mogą uczestniczyć w realizacji prac zespołu audytowego. Członkowie zespołu wdrożeniowego muszą łącznie posiadać następujące kwalifikacje. Dopuszcza się łączenie poniższych wymogów przez te same osoby wewnątrz tego zespołu: 1. Audytor Wiodący ds. Wdrożeń: posiada jednocześnie certyfikat Audytora Wiodącego ISO/IEC 27001 (Lead Auditor) lub równoważny, certyfikat Audytora Wiodącego ISO 22301 (Lead Auditor) lub równoważny oraz certyfikat CISA (Certified Information Systems Auditor) lub równoważny. 2. Audytor Wspomagający ds. Wdrożeń: posiada co najmniej certyfikat Audytora ISO/IEC 27001 (Auditor) lub równoważny oraz certyfikat Audytora Wiodącego ISO 22301 (Lead Auditor) lub równoważny. b) Zespół audytowy — audyt zgodności KRI Zespół audytowy odpowiedzialny za przeprowadzenie audytu zgodności KRI/uoKSC, o którym mowa w pkt 3.1 (U25), musi liczyć co najmniej dwie osoby. Osoby z zespołu audytowego nie mogą audytować prac wdrożeniowych, które same wykonywały, ani realizować prac zespołu wdrożeniowego w ramach tego zamówienia. 1. Pierwsza osoba — Audytor Wiodący ds. Audytów: musi posiadać jednocześnie certyfikat Audytora Wiodącego ISO/IEC 27001 (Lead Auditor) lub równoważny oraz certyfikat Audytora Wiodącego ISO 22301 (Lead Auditor) lub równoważny. 2. Druga osoba — Audytor Wspomagający ds. Audytów: musi posiadać co najmniej certyfikat Audytora ISO/IEC 27001 (Auditor) lub równoważny. c) Personel testów bezpieczeństwa Wykonawca skieruje do testów bezpieczeństwa co najmniej 3 osoby: 2 pentesterów oraz 1 osobę z doświadczeniem w obszarze IT/OT, posiadającą wiedzę i umiejętności wykonywania testów penetracyjnych. 1. Pierwsza osoba (Pentester Główny): musi posiadać co najmniej dwa certyfikaty potwierdzające praktyczne kompetencje w testowaniu bezpieczeństwa aplikacji: CISSP, CEH, CompTIA PenTest+ albo równoważny. Certyfikat równoważny musi potwierdzać, na podstawie egzaminu, umiejętności planowania i wykonywania autoryzowanych testów, identyfikacji i weryfikacji podatności aplikacji oraz raportowania wyników i zaleceń. Kopię certyfikatu i opis jego zakresu Wykonawca składa wraz z wykazem osób. 2. Druga osoba (Pentester Wspomagający): musi posiadać co najmniej jeden z certyfikatów: CEH lub równoważny albo eWPT (eLearnSecurity Web Application Penetration Tester) lub równoważny. 3. Trzecia osoba (Specjalista ds. infrastruktury i bezpieczeństwa OT/IT): musi posiadać certyfikaty lub uprawnienia potwierdzające umiejętności w zakresie: a) certyfikat lub potwierdzenie doświadczenia w zakresie umiejętności projektowania i wdrażania zabezpieczeń dla sieci przemysłowych OT/ICS: segmentacja sieci OT zgodnie z modelem Purdue, wykrywanie i profilowanie urządzeń przemysłowych, przeprowadzanie inspekcji protokołów przemysłowych Modbus, DNP3, IEC 61850, wirtualne łatanie podatnych systemów bez przerywania ciągłości produkcji, kompetencje z zakresu centralnego monitorowania, korelacji zdarzeń bezpieczeństwa w środowiskach ICS/SCADA oraz oceny ryzyka OT; b) certyfikat lub potwierdzenie doświadczenia w zakresie umiejętności konfiguracji i administracji firewallem nowej generacji NGFW: polityki bezpieczeństwa, filtrowanie ruchu, VPN (IPsec, SSL), IPS, uwierzytelnianie użytkowników i podstawowy monitoring; c) certyfikat lub potwierdzenie doświadczenia potwierdzający znajomość sieci: potwierdzenie umiejętności w zakresie sieci komputerowych, konfiguracji i rozwiązywania problemów z urządzeniami sieciowymi — przełącznikami i routerami — zrozumienie modeli OSI i TCP/IP, umiejętność wdrażania routingu OSPF, EIGRP i statycznego, konfiguracji sieci VLAN i STP, (...) więcej wymagań w SWZ pkt 5.3.2 Kryteria oceny ofert: Jedynym kryterium oceny ofert jest łączna cena brutto – waga 100%. Punkty przyznaje się według wzoru: C = (Cmin / Cbad) × 100 pkt, gdzie Cmin oznacza najniższą łączną cenę brutto spośród ofert podlegających ocenie, a Cbad — łączną cenę brutto oferty ocenianej. Miejsce realizacji: Pionki