KUÍ1SP00RÍ14DX 0JLn2.

Transkript

1 KUÍ1SP00RÍ14DX 0JLn2. pot. čísio SMLOUVA O PROVEDENI AUDITU ČÍSLO íimlouvy (.nodatki >> o/ rok /kr. odb. Veřejná zakázka č. 72/2016 I. Smluvní strany 1, Moravskoslezský kraj se sídlem: zastoupen: ÍČ: DIČ: bankovní spojení: číslo účtu: (dále jen objednatel") 28. října 117, Ostrava Ing. Tomáš Kotyza CZ Česká spořitelna, a. s / VIAVISa.s. se sídlem: zastoupena: IČ: DIČ: bankovní spojení: číslo účtu: Obránců míru 237/35, Ostrava-Vítkovice Ing. Vladimírem Lazeckým, předsedou představenstva CZ ČSOB a.s /0300 Zapsána v obchodním rejstříku vedeném Krajským soudem v Ostravě, oddíl B, vložka 2249 (dále jen poskytovatel*) II. Základní ustanovení 1. Tato smlouva je uzavřena dle 1746 odst. 2 zákona č. 89/2012 Sb., občanský zákoník (dále jen občanský zákoník"); práva a povinnosti stran touto smlouvou neupravená se řídí příslušnými ustanoveními občanského zákoníku. 2. Smíuvní strany prohlašují, že údaje uvedené v ČI. I této smlouvy jsou v souladu se skutečností v době uzavření smlouvy. Smluvní strany se zavazují, že změny dotčených údajů oznámí bez prodlení písemně druhé smluvní straně. V případě změny účtu poskytovatele je poskytovatel povinen rovněž doložit vlastnictví k novému účtu, a to kopií příslušné smlouvy nebo potvrzením peněžního ústavu. Při změně identifikačních údajů smluvních stran včetně změny účtu není nutné uzavírat ke smlouvě dodatek. 3. Je-li poskytovatel plátcem daně z přidané hodnoty (dále jen DPH"), prohlašuje, že bankovní účet uvedený v či. I odst. 2 této smlouvy je bankovním účtem zveřejněným ve smyslu zákona č. 235/2004 Sb., o dani z přidané hodnoty, ve znění pozdějších předpisů (dále jen zákon o DPH"). V případě změny účtu poskytovatele je poskytovatel povinen doložit vlastnictví k novému účtu, a to kopií příslušné smlouvy nebo potvrzením peněžního ústavu; je-li poskytovatel plátcem DPH, musí být nový účet zveřejněným účtem ve smyslu předchozí věty. 4. Smluvní strany prohlašují, že osoby podepisující tuto smlouvu jsou k tomuto jednání oprávněny. 5. Poskytovatel prohlašuje, že je odborně způsobilý k zajištění předmětu plnění podle této smlouvy. «*

2 III. Předmět smlouvy 1. Poskytovatel se zavazuje zajistit na svůj náklad a nebezpečí pro objednatele provedení auditu odolnosti informačních systémů vůči napadení externími a interními subjekty: realizace externích penetračních testů realizace interních penetračních testů realizace testů metodou sociálního inženýrství bezpečnostní seminář pro zaměstnance MSK (dále také služba" nebo služby") Bližší specifikace služeb je přílohou č. 1 této smlouvy. 2. Objednatel se zavazuje za provedené služby zaplatit poskytovatelovi cenu podle či. IV této smlouvy. 3. Účelem této smiouvy je provedení auditu odolnosti informačních a komunikačních technologií a informačních systémů provozovaných na Krajském úřadě Moravskoslezského kraje. IV. Cena za služby 1. Cena za služby činí bez DPH ,- Kč (slovy: třistapadesáttisíc korun českých), DPH ve výši 21 % je ,- Kč a cena včetně DPH činí ,- Kč (slovy: čtyřistadvacettřitisícpětset korun českých). 2. Cena za služby podie odst. 1 tohoto článku smlouvy zahrnuje veškeré náklady poskytovatele spojené se splněním jeho závazku z této smlouvy, tj. včetně ceny za zpracování plánu, provedení auditu včetně dopravného, předání výstupů, provedení semináře apod. Cena za služby je stanovena jako nejvýše přípustná a není ji možno překročit. 3. Je-li poskytovatel plátcem DPH, odpovídá za to, že sazba daně z přidané hodnoty bude stanovena v souladu s platnými právními předpisy; v případě, že dojde ke změně zákonné sazby DPH, je poskytovatel kceně za služby bez DPH povinen účtovat DPH v platné výši. Smluvní strany se dohodly, že v případě změny ceny za služby v důsledku změny sazby DPH není nutno ke smlouvě uzavírat dodatek. V. Místo a doba plnění 1. Poskytovatel je povinen provést služby v místě plnění, kterým je Moravskoslezský kraj, Krajský úřad, 28. října 117, Ostrava. 2. Poskytovatel je povinen provést služby (dílčí části) nejpozději v těchto lhůtách: a) zpracování plánu k prověření bezpečnosti do 10 kalendářních dnů ode dne nabytí účinnosti této smlouvy; b) provedení ostatních služeb dle či. III odst. 1 této smlouvy do 2 měsíců ode dne nabytí účinnosti této smlouvy. VI. Způsob poskytnutí služeb 1. Služba (dílčí část) je poskytnuta jejím řádným provedením a potvrzením této skutečnosti objednatelem v protokolu o realizaci služby (dílčí části), dále jen protokol".

3 Protokol bude obsahovat: a) název služby (příp. její časti), b) označení objednatele a poskytovatele, c) číslo této smlouvy a datum jejího uzavření, d) datum zahájení a dokončení služby (příp. její časti), e) datum a místo sepsání protokoiu, f) jména a podpisy zástupců objednatele a poskytovatele, g) soupis poskytnutých služeb a prohlášení objednatele, zda s tímto soupisem souhlasí (nesouhlasí) a zda potvrzuje řádné provedení služby (příp. její části). 2. Poskytovatel a objednatel jsou oprávněni uvést v protokoiu cokoliv, co budou považovat za nutné. 3. Nebudou-ii protokoly obsahovat údaje požadované v odst. 1 tohoto článku, je objednatel oprávněn odepřít podepsání a převzetí protokolu, a to až do předání protokoiu s požadovanými údaji VII. Práva a povinnosti smluvních stran 1. Poskytovatel je povinen poskytnout služby v dohodnutém rozsahu, kvalitě a čase. Poskytované služby musí odpovídat příslušným právním předpisům, normám nebo jiné dokumentaci vztahující se k předmětu této smlouvy. 2. Poskytovatel se zavazuje písemně informovat objednatele o skutečnostech majících vliv na plnění této smiouvy, a to neprodleně, nejpozději následující pracovní den poté, kdy příslušná skutečnost nastane nebo poskytovatel zjistí, že by nastat mohla. 3. Pokud objednatel zjistí, že jsou služby poskytovány v rozporu s touto smlouvou, je povinen poskytovateli bez zbytečného odkladu tuto skutečnost písemně (popř. em) oznámit. Objednatel bude tyto skutečnosti oznamovat na: a. sec@viavis.cz b. adresu: Obránců míru 237/35, Ostrava-Vítkovice c. do datové schránky: n25ftgb 4. Objednatel je povinen poskytnout poskytovateli součinnost nutnou k provedení služeb. 5. Poskytovatel uhradí škodu, která objednateli vznikla plněním v rozporu s touto smlouvou, a to v plné výši. Poskytovatel rovněž objednateli uhradí nákiady vzniklé při uplatňování práv z odpovědnosti za vady. VIII. Platební a fakturační podmínky 1. Úhrada ceny za služby bude provedena jednorázově (víz či. V odst. 2 písm. b) této smlouvy) v návaznosti na poskytnutí služeb a potvrzením této skutečnosti objednatelem v souladu s či. VI této smlouvy. Zálohové platby nebudou poskytovány. 2. Je-li poskytovatel plátcem DPH, podkladem pro úhradu ceny za služby bude faktura, která bude mít náležitostí daňového dokladu dle zákona o DPH a náležitosti stanovené dalšími obecně závaznými právními předpisy. Není-li poskytovatel piátcem DPH, podkladem pro úhradu ceny za služby bude faktura, která bude mít náležitosti účetního dokladu dle zákona č. 563/1991 Sb., o účetnictví, ve znění pozdějších předpisů a náležitosti stanovené dalšími obecně závaznými právními předpisy. Faktura musí dále obsahovat: a) číslo smlouvy objednatele, číslo veřejné zakázky (tj. 72/2016), IČ objednatele, b) předmět smlouvy, tj. text provedení auditu odolnosti informačních a komunikačních technologií a informačních systémů provozovaných na Krajském úřadě Moravskoslezského kraje", c) označení banky a číslo účtu, na který musí být zapiaceno (pokud je číslo účtu odlišné od čísla uvedeného v či. I odst. 2, je poskytovatel povinen o této skutečností v souladu s či. II odst. 2 7c\

4 této smiouvy informovat objednatele), d) ihůtu splatnosti faktury, e) označení osoby, která fakturu vyhotovila, včetně jejího podpisu a kontaktního telefonu, f) označení útvaru objednatele, který případ likviduje (odbor informatiky), g) číslo protokolu dle či. VI této smlouvy a datum jeho podpisu. Protokol bude přílohou faktury. 3. Povinnost zaplatit cenu za siužby je splněna dnem odepsání příslušné částky z účtu objednatele. 4. Lhůta splatnosti faktury činí 30 kalendářních dnů ode dne jejího doručení objednateli. Doručení faktury se provede osobně oproti podpisu zmocněné osoby objednatele nebo doručenkou prostřednictvím provozovatele poštovních služeb. 5. Nebude-li faktura obsahovat některou povinnou nebo dohodnutou náležitost nebo bude-li chybně vyúčtována cena nebo DPH, je objednatel oprávněn fakturu před uplynutím lhůty splatnosti vrátit druhé smíuvní straně k provedení opravy s vyznačením důvodu vrácení. Poskytovatel provede opravu vystavením nové faktury. Vrácením vadné faktury poskytovateli přestává běžet původní lhůta splatnosti. Nová lhůta splatnosti běží ode dne doručení nové faktury objednateli. 6. Je-li poskytovatel plátcem DPH, objednatel uplatní institut zvláštního způsobu zajištění daně dle 109a zákona o DPH a hodnotu pinění odpovídající dani z přidané hodnoty uvedené na faktuře uhradí v termínu splatností této faktury stanoveném dle smlouvy přímo na osobní depozitní účet poskytovatele vedený u místně příslušného správce daně v případě, že: a) poskytovatel bude ke dni uskutečnění zdanitelného pinění zveřejněn v aplikaci Registr plátců DPH" jako nespolehlivý plátce, nebo b) poskytovatel bude ke dni uskutečnění zdanitelného plnění v insolvenčním řízení, nebo c) bankovní účet poskytovatele určený k úhradě plnění uvedený na faktuře nebude správcem daně zveřejněn v aplikaci Registr plátců DPH". Objednatel nenese odpovědnost za případné penále a jiné postihy vyměřené či stanovené správcem daně poskytovateli v souvislosti s potenciálně pozdní úhradou DPH, tj. po datu splatnosti této daně. IX. Práva z vadného plnění 1. Služba má vadu, jestliže neodpovídá požadavkům uvedeným v této smiouvě. 3. Vady budou poskytovatelem odstraněny bezplatně. 4. Veškeré vady je objednáte! povinen uplatnit u poskytovatele bez zbytečného odkladu poté, kdy vadu zjistil, a to formou písemného oznámení (popř. faxem nebo em), obsahujícím co nejpodrobnější specifikaci zjištěné vady. Objednatel bude vady oznamovat na: o faxové číslo: o e-maii: sec@viavis.cz o adresu: Obránců míru 237/35, Ostrava-Vítkovice o do datové schránky: n25ftgb 5. Právo volby pinění má objednatel. Je-ii vadné plnění podstatným porušením smlouvy, má také právo od smlouvy odstoupit. 6. Poskytovatel je povinen odstranit vadu nejpozději do 5 dnů od jejího oznámení objednatelem, pokud se smluvní strany v konkrétním případě nedohodnou písemně jinak. 7. Poskytovatel je povinen uhradit objednateli škodu, která mu vznikla vadným plněním a to v plné výši. Poskytovatel rovněž objednateli uhradí náklady vzniklé při uplatňování z vadného plnění.

5 X. Sankce 1. V případě, že poskytovatel neposkytne služby včas, je povinen zapiatit objednateli smluvní pokutu ve výši 0,2 % z ceny za služby bez DPH die či. IV odst. 1 této smiouvy, a to za každý započatý den prodlení. 2. Pokud poskytovatel neodstraní vadu poskytnuté siužby ve lhůtě uvedené v či. IX odst. 6 této smiouvy, je povinen zaplatit objednateli smluvní pokutu ve výši 0,2 % z ceny za služby bez DPH dle či. IV odst. 1 této smlouvy, a to za každý započatý den prodlení. 3. V případě nedodržení povinností poskytovatele die či. VII odst. 2 této smiouvy je poskytovatel povinen zapiatit objednateli smluvní pokutu ve výši 1.000,- Kč, a to za každý zjištěný případ. 4. Pro případ prodlení se zaplacením ceny za služby sjednávají smluvní strany úrok z prodlení ve výší stanovené občanskoprávními předpisy. 5. Smluvní pokuty se nezapočítávají na náhradu případně vzniklé škody, kterou lze vymáhat samostatně vedle smluvní pokuty, a to v plné výši. 1. Smluvní strany se dohodíy, že smlouva zaniká: a) dohodou smluvních stran. XI. Zánik smlouvy b) jednostranným odstoupením od smlouvy pro její podstatné porušení druhou smluvní stranou, přičemž podstatným porušením smiouvy se rozumí zejména: neposkytnutí služeb ve stanovených termínech, neposkytnutí služeb v dohodnutém rozsahu a kvalitě, nedodržení pokynů objednatele, právních předpisů nebo technických norem, které se týkají poskytování služeb, nedodržení smluvních ujednání o právech z vadného pinění, neuhrazení ceny za siužby objednatelem po druhé výzvě poskytovatele k uhrazení dlužné částky, přičemž druhá výzva nesmí následovat dříve než 30 dnů po doručení první výzvy. 2. Objednatel je dále oprávněn od této smlouvy odstoupit v těchto případech: a) bylo-ii příslušným soudem rozhodnuto o tom, že poskytovatel je v úpadku ve smyslu zákona č. 182/2006 Sb., o úpadku a způsobech jeho řešení (insolvenční zákon), ve znění pozdějších předpisů (a to bez ohledu na právní moc tohoto rozhodnutí); b) podá-li poskytovatei sám na sebe insolvenční návrh. 3. Pro účely této smiouvy se pod pojmem bez zbytečného odkladu" dle 2002 občanského zákoníku rozumí nejpozději do 3 týdnů". XII. Závěrečná ustanovení 1. Tato smlouva nabývá platnosti dnem jejího podpisu oběma smluvními stranami a účinností dnem, kdy vyjádření souhlasu s obsahem návrhu smlouvy dojde druhé smluvní straně. 2. Doplňování nebo změnu této smiouvy lze provádět jen se souhlasem obou smluvních stran, a to pouze formou písemných, vzestupně číslovaných a takto označených dodatků. 3. Poskytovatel nemůže bez souhlasu objednatele postoupit svá práva a povinnosti plynoucí z této smiouvy třetí straně. 4. Tato smlouva je vyhotovena ve 3 stejnopisech s platností originálu, přičemž objednatel obdrží 2 a poskytovatel 1 její vyhotovení. 7C\

6 5. Poskytovatel bere na vědomí a výslovně souhlasí s tím, že smlouva včetně příloh a případných dodatků bude zveřejněna na oficiálních webových stránkách Moravskoslezského kraje. 6. Nedílnou součástí této smlouvy je příloha č. 1 Stanovení rozsahu provedení auditu bezpečnosti. 7. Doložka platností právního jednání dle 23 zákona č. 129/2000 Sb., o krajích (krajské zřízení), ve znění pozdějších předpisů:. /(, K uzavřen, teto smlouvy ma objednatel souhlas rady kraje udeieny usnesením c... ze dne ~f.j..g.rajc>4c V Ostravě dne: í V Ostravě dne: *02. IC Ing. Tomáš Koíyza /^y ředitel krajského úřadu/^ za poskytovatele Ing. Vladimír Lazecký předseda představenstva 7<Ax A

7 Příloha č. 1 Stanovení rozsahu provedení auditu bezpečnosti Předmět: Provedení auditu odolnosti informačních a komunikačních technologií a informačních systémů vůči napadení externími a interními subjekty (interní, externí penetrační testy, testy metodou sociálního inženýrství. Návrh nápravných opatření a Bezpečnostní seminář). Způsob realizace: 1) Metodika testování a. Realizace prověření bezpečnosti bude zohledňovat zásadní požadavek zadavatele týkající se bezpečnostních rizik. Navržené metody a postupy nezvýší bezpečnostní rizika oproti současnému stavu. Dále nezpůsobí nestabilitu prostředí, která by způsobila významné potíže zaměstnancům úřadu s užíváním informačních systémů. b. Tento požadavek bude zohledněn tak, že prověření bezpečnosti proběhne v dohodnutou dobu tak, aby byly minimalizovány případné dopady. Např. mimo obvyklou pracovní dobu. V rámci přípravy bude vytvořen plán k prověření bezpečnosti jak penetračních testů, tak i testů metodou sociálního inženýrství. Realizátor prověření bezpečnosti vždy dopředu oznámí pověřené osobě zadavatele čas a charakter testování tak, aby v případě nestability systému mohl zadavatel včas zorganizovat řešení. Veškeré agresivní testy budou předem konzultovány se zadavatelem. c. Testování bude provedeno die metodik OSSTMM (Open-Source Security Testing Methodology Manuál), OWASP (OWASP (Open Web Appiication Security Projed) a Web Application Security Consortium Thread Ciassification. Testy budou nedestruktivní, navíc nesmí omezit běžící služby na serverech, pokud bude proveden test DDoS, pak krátkodobě. Po ukončení testování budou odstraněny veškeré stopy po penetračním testování a všechny systémy a kompromitované komponenty budou uvedeny do stavu před testováním. Penetrační testování bude kooperativní - tedy ve spolupráci s jednotlivými kontaktními osobami. 2) Realizace externích penetračních testů a. Externí penetrační testy budou prováděny z prostředí Internetu a testování bude typu zero knowledge. Jejich cílem je prověření bezpečnosti veřejně dostupných systémů (cca 35 prvků). b. Externí penetrační testy se budou skládat minimálně z: Testů k získání informací a identifikací systémů a aplikací Všeobecných testů zranitelnosti Testů týkajících se infrastruktury systému Testů spolehlivosti a bezpečnosti konfigurace Testů existence backdoors Testů autentizace a schémat pro kontrolu přístupu Testů firewalifi Testů routerů Kontroly operačních systémů Testů aplikačních chyb a vad v systémech a aplikacích

8 Testů nedostatečného zabezpečení Testování siabých míst zahrnující body selhání s cílem způsobit odmítnutí služeb webových aplikací Test kvality autentizačních mechanismů u všech identifikovaných siužeb podporujících vzdálené přihlášení. V případě identifikovaných VPN tunelů a vzdálených spojení bude proveden útok na tyto služby s cílem převzetí uživatelských session. Nalezení bezpečnostních děr v aplikacích typu klient-server a obecně všech dostupných web aplikací. Test odolnosti proti DDoS útoku (řízený testovací útok za přítomnosti zadavatele - Test případných IPS a IDS sond). 3) Realizace interních penetračních testů a. Interní penetrační testy budou prováděny z prostředí interní LAN sítě úřadu, tj. bude simulováno počínání potencionálního útočníka pokoušejícího se o průnik z vnitřní sítě. Jejich cílem je prověření bezpečnosti systému v rámci jeho provozního prostředí a provozu interní sítě, kde se dá předpokládat nižší úroveň zabezpečení. Lokální síť je typu B (/16). b. Interní penetrační testy budou částečně kopírovat externí testy pro interní datovou síť a dáie budou zaměřeny na: Odposlech komunikace se systémem Odchycení a přesměrování této komunikace Zneužití odchycených informací a komunikace směrem k aplikačním službám (serverům) Útoky na uživatele systému prostřednictvím tohoto systému Přístup k účtům 4) Realizace testů metodou sociálního inženýrství a. Provedení řady cílených nedestruktivních útokfi zaměřených na odhalení chyb v zabezpečení systému proti neautorizovaným průnikům využitím metod sociálního inženýrství. Využití metod používaných skutečnými útočníky. b. Budou prověřeny následující oblasti: Obecně získání přístupů do lokalit (kanceláří) jednotlivých odborů s cílem získání osobních/citlivých, obecně neveřejných informací. Přístup do lokalit úřadu (klíčový řežím a pod) Získání přístupu k výpočetním prostředkům uživatelů a do systémů, do kterých mají přístup. Podvržení ové komunikace - resp. physhing. Podvržení zařízení v objektu (USB fiash disk) Test vzdáleného přístupu (získání informací HOME OFFICE) 5) Realizace nápravných opatření Poskytnutí konzultační a systémové služby v místě zadavatele za účelem aplikace nápravných opatření v rozsahu 3 pracovních dnů (24 čiověkohodín). "cx

9 6) Bezpečnostní seminář pro zaměstnance MSK a. Náplň semináře: Informace jako cenné aktivum organizace Vysvětlení termínu informační aktívum, jejich specifik a stanovení ceny. Praktické ukázky hackerských technik Útoky na autentizací, odposlech komunikací a reálné dopady na zabezpečení a použití šifrování. Praktické příklady metod sociálního inženýrství Co je sociální inženýrství, metody identifikace útoků a obrany proti nim; alespoň tři ukázky. Vymezení odpovědnosti vedoucích pracovníků organizace pří bezpečnostním incidentu Organizace bezpečnosti, řízení kontinuity a incident management. b. Seminář za účelem seznámení s různými formami kriminality v organizaci, se souborem opatření k prevenci a zmírnění následků takových činů. Součástí semináře bude diskuse o možnostech řešení s co nejmenšími dopady a vybrané reálné (anonymní) případy. Zadavatel očekává rovněž uvedení častých konkrétních chyb v zabezpečení, které páchání deiiktů umožnily. c. Zadavatel vyžaduje pro každého posluchače podrobný materiál ke každému tématu semináře v tištěné podobě (obrazovky prezentací) s možností doplnění vlastních poznámek k výkladu přednášejících. Zadavatel vyžaduje seminář vyhodnotit pomocí dotazníku, kterým posluchači ohodnotí kvalitu a přínos semináře. Vyhodnocení bude zadavateli předáno dodavatelem v písemné podobě. d. Seminář bude kapacitně omezen pro max. 65 osob. Celková délka semináře bude 4 hodiny. 7) Rozsah realizace: a. Rozsah externích penetračních testů: veřejný rozsah IP adres MSK, zjištění dostupných informací v daném rozsahu IP, typy testovaných zařízení www server, mail server, DNS server, firewall, aktivní síťové prvky a další zařízení dostupné z veřejné sítě Internet. b. Rozsah interních penetračních testů: testování interní sítě LAN MSK, penetrační testy Wifi, rozsah nápravných opatření. c. Aplikace nápravných opatření v rozsahu 3 pracovních dní. d. Zajištění semináře pro max. 65 osob. e. Zpráva o provedeném auditu odolnosti ICT a IS. 8} Požadované výstupy z penetračních testů: Výstupem auditu odolnosti informačních a komunikačních technologií (ICT) a informačních systémů (IS) bude písemný dokument. Zpráva o provedeném prověření auditu odolnosti ICT a IS, která bude zahrnovat zejména: o.

10 Zpráva o nálezech zjištěných na jednotlivých systémech Seznam zranitelných míst a zranitelností Míry zranitelnosti Popis zranitelnosti Konkrétní doporučení vyplývající z nalezených zranitelností a sloužící k eliminaci těchto zranitelností Technické výstupy provedených testů z použitých nástrojů Podpora při konfrontaci s dodavatelem řešení (max. v rozsahu 4 hodiny) Zpráva o provedeném prověření auditu odolnosti ICT a IS bude doručena v jednom vyhotovení v tištěné formě, a ve dvou vyhotoveních v elektronické formě na CD ROM v zašifrovaném formátu DOC a PDF, bez vad a nedodělků a Prezentace všech výstupů (podmínkou je aby prezentoval přímo zástupce týmu nebo tým, který testování prováděl). 10 ya