Usługi IT oraz dostawa i wdrożenie rozwiązań bezpieczeństwa Projekt „Cyberbezpieczny Wodociąg w Gminie Obrazów”

Usługi IT oraz dostawa i wdrożenie rozwiązań bezpieczeństwa Projekt „Cyberbezpieczny Wodociąg w Gminie Obrazów” A1 Wdrożenie monitorowania infrastruktury IT Wykonawca zainstaluje, skonfiguruje i uruchomi system monitorowania dostępności, wydajności i stanu infrastruktury IT wspierającej działalność wodno-kanalizacyjną. • Objęcie monitoringiem serwera, maszyn wirtualnych, NAS, trzech stacji przesiadkowych, dwóch dostarczanych UTM, usług bezpieczeństwa oraz pozostałych zasobów z wykazu infrastruktury. Monitoring UPS w zakresie obsługiwanym przez jego interfejs komunikacyjny. • Zbieranie metryk dostępności, procesora, pamięci, przestrzeni dyskowej, interfejsów sieciowych i stanu usług, odpowiednio do możliwości zasobów. • Obsługa metod agentowych i bezagentowych, w tym standardowych interfejsów udostępnianych przez urządzenia. • Konfiguracja progów, zależności, powiadomień e-mail, panelu stanu infrastruktury i historii zdarzeń. • Konfiguracja retencji metryk i danych zagregowanych według parametrów z rozdziału 16. • Test wykrycia niedostępności i przekazania powiadomienia; przekazanie listy monitorowanych zasobów i instrukcji administracyjnej. Rezultat: działający system monitorowania z przetestowanym alarmowaniem i dokumentacją. A2 System SIEM Wykonawca wdroży system centralnego gromadzenia, wyszukiwania i analizy zdarzeń bezpieczeństwa. • Instalacja komponentów SIEM oraz konfiguracja uprawnień, retencji, kontroli zajętości dysków i kopii konfiguracji. • Integracja systemów operacyjnych serwera i maszyn wirtualnych, trzech stacji przesiadkowych, dwóch UTM, NAS i systemu antywirusowego oraz pozostałych źródeł określonych w wykazie. Integracja monitoringu i backupu w zakresie udostępnianych zdarzeń. • Konfiguracja agentów lub interfejsów przekazywania logów, normalizacji, wyszukiwania, paneli, reguł analitycznych i powiadomień. • Reguły obejmą: nieudane logowania, użycie kont uprzywilejowanych, tworzenie kont i zmiany uprawnień, zmiany zabezpieczeń, utratę dopływu logów, zdarzenia zdalnego dostępu oraz alarmy UTM i ochrony antywirusowej. • Reguły należy dostosować do rzeczywistych źródeł i zweryfikować kontrolowanymi zdarzeniami testowymi. Udokumentować źródła danych, reguły i wyniki testów. Rezultat: działający SIEM z podłączonymi źródłami, przetestowanymi regułami i instrukcją obsługi. A3 Audyt cyberbezpieczeństwa Jednorazowy audyt techniczny obejmie inwentaryzację aktywów, skanowanie LAN/WAN i ocenę zabezpieczeń środowiska objętego zamówieniem. • Analiza dokumentacji; identyfikacja urządzeń, systemów, usług i interfejsów; opracowanie lub aktualizacja schematu logicznego środowiska. • Identyfikacja usług dostępnych z sieci wewnętrznej i Internetu. Skanowanie podatności zasobów IT, w tym skany uwierzytelnione przy udostępnieniu odpowiednich kont. • Ocena aktualizacji, segmentacji, dostępu administracyjnego, rejestrowania zdarzeń, kopii zapasowych oraz bezpieczeństwa dostępu do OT przez stacje przesiadkowe. • Ręczna weryfikacja istotnych wyników, ograniczenie wyników fałszywie pozytywnych i klasyfikacja ryzyka. • Raport zawierający zakres, metody, ograniczenia, dowody ustaleń, ryzyko, konsekwencje i rekomendowane działania według priorytetów; podsumowanie dla kierownictwa. Sam eksport wyników skanera nie stanowi realizacji audytu. Wykonawca zapewnia narzędzia do badań; odrębne trwałe wdrożenie skanera podatności nie jest wymagane. Rezultat: raport techniczny i zarządczy, inwentaryzacja oraz plan działań naprawczych. A4 Testy penetracyjne sieci IT Wykonawca przeprowadzi jedną kampanię testów z perspektywy sieci wewnętrznej i zewnętrznej, w granicach zasobów i adresów określonych przed złożeniem ofert. • Uzgodnienie listy celów, zasad testów, wyłączeń, harmonogramu i warunków przerwania badania. • Rozpoznanie usług i ścieżek ataku oraz kontrolowana weryfikacja możliwości wykorzystania podatności. • Sprawdzenie nieuprawnionego dostępu, podnoszenia uprawnień, przemieszczania się między segmentami IT i zabezpieczeń stacji przesiadkowych. • Raport z dowodami, scenariuszami ataku, oceną ryzyka, ograniczeniami i zaleceniami. • Jedna tura ponownej weryfikacji podatności krytycznych i wysokich zgłoszonych jako usunięte w terminie realizacji zamówienia. Zabronione są działania destrukcyjne, niekontrolowane przeciążanie usług i zmiany parametrów procesu technologicznego. Aktywne próby wykorzystania podatności nie obejmują PLC, urządzeń wykonawczych ani systemów bezpośredniego sterowania procesem. Rezultat: raport z kampanii oraz raport z ponownej weryfikacji. Weryfikację bezpieczeństwa powinny prowadzić osoby inne niż wykonujące oceniane wdrożenie; testy funkcjonalne odbiorowe mogą wykonać wdrożeniowcy. A5 Konfiguracja i hardening • Analiza konfiguracji początkowej i uzgodnienie listy zmian dla serwera, maszyn wirtualnych, NAS, trzech stacji przesiadkowych, dwóch UTM oraz pozostałych zasobów wykazu. • Zabezpieczenie kont administracyjnych, ograniczenie uprawnień, wyłączenie zbędnych kont, usług i interfejsów. • Konfiguracja zapór, protokołów zdalnej administracji, uwierzytelniania, blokowania sesji i rejestrowania zdarzeń. • Instalacja uzgodnionych aktualizacji zgodnych z wymaganiami eksploatacyjnymi. • Ograniczenie dostępu do stacji przesiadkowych do upoważnionych osób oraz połączeń do określonych zasobów docelowych. • Konfiguracja przekazywania zdarzeń do SIEM; testy funkcjonalne po zmianach. Hardening należy oprzeć na zaleceniach producentów i odpowiednich wzorcach konfiguracji, np. CIS Benchmarks lub równoważnych. Odstępstwa z powodu kompatybilności lub ciągłości działania należy uzasadnić i uzgodnić. Rezultat: wdrożone zabezpieczenia, lista zmian, testy funkcjonalne oraz wykaz odstępstw i ryzyk. A6 Infrastruktura i kopie zapasowe • Weryfikacja gotowości udostępnionego sprzętu i konfiguracja wspólnej platformy uruchomieniowej, w tym wirtualizacji, jeżeli wynika z architektury. • Konfiguracja zasobów obliczeniowych, pamięci masowej i komunikacji między komponentami. • Konfiguracja NAS jako repozytorium kopii, z rozdzieleniem uprawnień i zabezpieczeniem dostępu. • Uruchomienie automatycznych kopii danych, systemów i konfiguracji wskazanych w wykazie; harmonogramy, retencja i powiadomienia o błędach. • Wykorzystanie dostępnych mechanizmów ochrony kopii przed zmianą i usunięciem; opis ograniczeń ochrony repozytorium. • Konfiguracja kontrolowanego zamknięcia systemów z UPS, jeśli sprzęt zapewnia tę funkcję. • Test odtworzenia danych oraz wybranej usługi lub maszyny wirtualnej; zapis rzeczywistych czasów testu i instrukcja odtwarzania. RAID i migawki wyłącznie na zasobie produkcyjnym nie zastępują kopii zapasowej. Zakres nie obejmuje abonamentu backupu w chmurze. Prace instalacyjne właściwe dla monitoringu i SIEM rozliczane są odpowiednio w A1 i A2, a wspólna platforma i backup w A6. Rezultat: zintegrowane środowisko, działające zadania backupu i udokumentowane testy odtworzenia. A7 Urządzenia UTM i NGFW Dostawa i wdrożenie dwóch fabrycznie nowych urządzeń: typ A – 1 sztuka dla mniejszej lokalizacji lub segmentu, typ B – 1 sztuka dla lokalizacji centralnej. Dokładne miejsca instalacji określi wykaz infrastruktury. Parametr minimalny Typ A Typ B Interfejsy miedziane Ethernet 4 × 1 Gb/s 8 × 1 Gb/s Firewall UDP 1518 B 3 Gb/s 4 Gb/s IPS UDP 1518 B 1 Gb/s 2 Gb/s IPsec VPN AES-GCM 1 Gb/s 1 Gb/s Jednoczesne tunele IPsec VPN 50 100 Jednocześni użytkownicy SSL VPN 25 50 Wartości wydajności należy potwierdzić dokumentacją producenta wskazującą warunki pomiaru. Dopuszcza się wyższe parametry; przepustowości poszczególnych mechanizmów nie oznaczają ich jednoczesnej wydajności przy wszystkich funkcjach włączonych. • Stanowa kontrola ruchu, reguły według adresów, usług, użytkowników i aplikacji; IDS/IPS, antywirus i antymalware sieciowy. • Filtrowanie WWW według kategorii i reputacji, identyfikacja i kontrola aplikacji. • Obsługa VLAN, routingu, NAT, tuneli IPsec między lokalizacjami i zdalnego dostępu SSL VPN. • Możliwość zastosowania MFA dla dostępu zdalnego. Jeżeli wymaga dodatkowej usługi, koszty i liczba uprawnień muszą być określone w ofercie zgodnie z wykazem użytkowników VPN. • Obsługa dwóch łączy WAN z przełączaniem awaryjnym; szyfrowane zarządzanie i rozdzielenie uprawnień. • Przekazywanie logów do SIEM; wykonywanie i odtwarzanie kopii konfiguracji. • Wszystkie wymagane funkcje, aktualizacje baz ochronnych i oprogramowania oraz wsparcie producenta przez minimum 36 miesięcy od odbioru. Wdrożenie obejmie projekt podłączenia, instalację, konfigurację interfejsów i reguł, podział na strefy, separację dostępu administracyjnego i OT w granicach możliwości sieci, tunel między lokalizacjami oraz kontrolowany dostęp ze stacji przesiadkowych. Wykonawca uruchomi aktualizacje, zintegruje urządzenia z monitoringiem i SIEM oraz wykona testy filtrowania, segmentacji, VPN, logowania i odtwarzania konfiguracji. Rezultat: dwa działające urządzenia z aktywnymi licencjami, dokumentacją, kopiami konfiguracji i instruktażem. A8 Ochrona antywirusowa Dostawa licencji i wdrożenie centralnie zarządzanej ochrony antywirusowej i antymalware. Założenie ilościowe: 11 stanowisk łącznie, w tym trzy stacje przesiadkowe. Liczba wymaga potwierdzenia przed publikacją – wskaźnik 11 użytkowników we wniosku nie określa jednoznacznie liczby urządzeń. Ochronę systemów serwerowych należy określić osobno w wykazie; nie jest automatycznie wliczona do tych 11 stanowisk. • Ochrona w czasie rzeczywistym przed wirusami, trojanami, oprogramowaniem szpiegującym i innym malware. • Analiza behawioralna, wykrywanie nieznanych zagrożeń i prób wykorzystania podatności aplikacji. • Ochrona przed ransomware, w tym wykrywanie i blokowanie nieautoryzowanego szyfrowania; ochrona przed phishingiem i złośliwymi stronami. • Skanowanie na żądanie i według harmonogramu, kwarantanna i rejestrowanie działań. • Centralna konsola polityk, aktualizacji, stanu agentów i incydentów; ochrona agenta przed nieuprawnionym wyłączeniem. • Kontrola nośników wymiennych; analiza podejrzanych plików w izolowanym środowisku sandbox, lokalnie lub w chmurze. • Centralne zarządzanie szyfrowaniem dysków z wykorzystaniem mechanizmów systemu lub dostarczonego modułu oraz bezpieczne przechowywanie kluczy odzyskiwania. • Powiadamianie administratora i eksport zdarzeń do SIEM przez udokumentowany interfejs, API, Syslog lub mechanizm integracyjny. • Licencje, aktualizacje i wsparcie przez minimum 36 miesięcy od odbioru, z uwzględnieniem wszystkich dodatków wymaganych do sandboxingu i zarządzania szyfrowaniem. Wdrożenie obejmie uruchomienie konsoli, instalację agentów, aktywację licencji, bezpieczne zastąpienie wcześniejszej ochrony, konfigurację odrębnych polityk dla stacji przesiadkowych, aktualizacji i powiadomień, sandboxingu oraz integracji z SIEM. Przed szyfrowaniem należy zabezpieczyć klucze i potwierdzić możliwość odzyskania danych. Wykonawca uzgodni zasady przekazywania plików do analizy zewnętrznej oraz wykona bezpieczne testy ochrony i raportowania. Rezultat: aktywna ochrona wszystkich objętych licencją stanowisk, centralna konsola, testy oraz dokumentacja i instruktaż. Kryteria oceny ofert: Cena ryczałtowa w PLN obejmuje całość zakresu, dostawy, licencje i dodatki, koszty dojazdów, konfiguracji, integracji, testów, instruktażu, dokumentacji i gwarancji. Należy podać ceny netto, VAT i brutto poszczególnych modułów oraz łączną cenę brutto. Stawkę VAT określa wykonawca zgodnie z przepisam Miejsce realizacji: Obrazów