Dodatečné informace k zadávacím podmínkám č. 2. Řešení IT síťové bezpečnosti BIOCEV. v otevřeném řízení

Transkript

1 Dodatečné informace k zadávacím podmínkám č. 2 ze dne k nadlimitní veřejné zakázce na dodávky Řešení IT síťové bezpečnosti BIOCEV Veřejná zakázka je zadávána dle zákona č. 137/2006 Sb., o veřejných zakázkách v platném znění (dále jen ZVZ ) v otevřeném řízení zadavatelem: Ústav molekulární genetiky AV ČR, v. v. i. se sídlem Vídeňská 1083, Praha 4, a Univerzita Karlova v Praze se sídlem Ovocný trh 3/5, Praha 1, Tyto dodatečné informace k zadávacím podmínkám jsou uveřejněny v souladu s 49 ZVZ, jsou zasílány všem dodavatelům, kteří požádali o zadávací dokumentaci nebo kterým byla zadávací dokumentace poskytnuta, a současně jsou uveřejněny stejným způsobem, jako byla uveřejněna zadávací dokumentace. 1/5

2 Dotaz č. 1: Dotaz na funkcionalitu Podpora agregace portů přes celý firewall cluster. Podpora agregace portů přes celý firewall cluster je metoda pro řešení HA, kdy je v jedné LAG nadefinováno více linek, kdy ta část, která jde do aktivního nodu, je držena v aktivním stavu a ta část, která je připojena do záložních nodů, je držena v pasivním režimu. Pokud dojde ke změně aktivního/pasivního nodu je nutné, aby došlo k přepnutí stavu jednotlivých linek původně aktivních nodů do pasivního stavu a také přechod linek u nově aktivních nodů do aktivního stavu, teprve potom může být zpracováván provoz. Je možné tento mechanizmus nahradit jiným HA mechanismem, který využívá jeden LACP propoj pro každý node, je proto rychlejší a nespoléhá na funkčnost zařízení druhé strany? Odpověď č. 1: Ve specifikaci firewallu je ohledně agregovaného propojení požadováno toto: Podpora agregovaných rozhraní dle standardu IEEE 802.1ax (např. LACP). Cílem je mít možnost maximálně využít přenosové kapacity pomocí agregace portů, poskytovaných vybranou platformou. Konkrétní návrh zapojení či využití agregovaných rozhraní není zadavatelem definován, ale je součástí následného detailního implementačního návrhu, který je plně v kompetenci uchazeče. Dotaz č. 2: Dotaz na funkcionalitu Podpora AAA nebo single Sign-On systému dle: Radius, Active Directory, LDAP, NIS, RSA SecurelD, SiteMinder, ověřování certifikátem X509, SAML Vzhledem k charakteru požadované funkcionality (připojení uživatelů do VPN za použití přístupu bez instalovaného VPN klienta nebo snadno nasaditelného VPN klienta) se nám uvedený výčet požadovaných autentizačních mechanismů jeví jako nepřiměřený. Některé z těchto mechanizmů se svou funkčností překrývají, některé nejsou vhodné pro autentizaci uživatele při přístupu do VPN a jsou nahrazeny novějšími standardy (RADIUS, LDAP apod.). Domníváme se, že původně definovaný požadavek je velmi specifický, je opsaný z datasheetu jednoho konkrétního výrobce a tudíž jej splní jediná technologie na trhu, což odporuje zákonu o veřejných zakázkách. 2/5

3 Může zadavatel vydefinovat, proti kterým konkrétním autentizačním serverům bude autentizace uživatel probíhat v daném prostředí? Nebo je tato podmínka myšlena tak, že ji splní zařízení, které bude podporovat alespoň jednu u uvedených technologií? Odpověď č. 2: Zadavatel k tomuto dotazu upřesňuje klasifikaci k autentifikačním protokolům: Radius základní funkční požadavek, LDAP základní funkční požadavek, AD základní funkční ní požadavek, Ověřování X509 certifikátem základní funkční požadavek (např. kvůli bezobslužné autentizaci mobilních zařízení), RSA SecurId - vyšší priorita (prověřená dvousložková autentizace), NIS nepovinné, SiteMinder, SAML protokoly zaměřené na SSO funkce, tj. při zachování SSO a centralizovaných AAA schopností, je možné je nahradit dle technické specifikace ekvivalením protokolem, tj. obdobně otevřeným. Dotaz č. 3: K požadavku Podpora agregace portů přes celý firewall cluster. Podpora agregace portů přes celý firewall cluster je metoda pro řešení HA, kdy je v jedné LAG nadefinováno více linek. Přičemž ta část, která jde do aktivního nodu, je držena v aktivním stavu a ta část, která je připojena do záložních nodů, je držena v pasivním režimu. Pokud dojde ke změně aktivního/pasivního nodu, tak je nutné, aby došlo k přepnuti stavu jednotlivých linek původně aktivních nodů do pasivního stavu a současně také přechod linek u nově aktivních nodů do aktivního stavu, a teprve potom může být zpracováván provoz. Je možné tento mechanismus nahradit jiným HA mechanismem, který využívá jeden LACP propoj pro každý node, je proto rychlejší a nespoléhá na funkčnost zařízení druhé strany? Odpověď č. 3: Ve specifikaci firewallu je ohledně agregovaného propojení požadováno toto: Podpora agregovaných rozhraní dle standardu IEEE 802.1ax (např. LACP). Cílem je mít možnost 3/5

4 maximálně využít přenosové kapacity pomocí agregace portů, poskytovaných vybranou platformou. Konkrétní návrh zapojení či využití agregovaných rozhraní není zadavatelem definován, ale je součástí následného detailního implementačního návrhu, který je plně v kompetenci uchazeče. Dotaz č. 4: K požadavku Podpora AAA nebo single Sign-On systému dle: Radius, Active irectory, LDAP, NIS, RSA SecurelD, SiteMinder, ověřování certifikátem X509, SAML Vzhledem k charakteru požadované funkcionality (připojení uživatelů do VPN za použití přístupu bez instalovaného VPN klienta nebo snadno nasaditelného VPN klienta), se nám uvedený výčet požadovaných ověřovacích mechanismů jeví jako nepřiměřený. Podpora pro VPN připojení je vyžadována na běžných mobilních platformách (Windows, MacOS, Linux, Android, ios). Zřejmě tedy půjde o řešení VPN pro zaměstnance, případně externí spolupracovníky BIOCEV. Některé z těchto mechanismů nejsou vhodné pro autentizaci uživatele při přístupu do VPN a jsou nahrazeny novějšími standardy (RADIUS, LDAP a pod.). Některé se svou funkčností překrývají. Domníváme se, že takto definovaný požadavek je velmi specifický a ve spojitosti s ostatními požadavky definovanými ve výběrovém řízení jej splní jediná technologie na trhu. To by mohlo být hodnoceno jako diskriminace, a tedy porušení Zákona o veřejných zakázkách. Může zadavatel vydefinovat, proti kterým konkrétním autentizačním serverům bude autentizace uživatel probíhat v daném prostředí? Nebo je tato podmínka myšlena tak, že ji splní zařízení, které bude podporovat alespoň jednu u uvedených technologií? Odpověď č. 4: Zadavatel k tomuto dotazu upřesňuje klasifikaci k autentifikačním protokolům: Radius základní funkční požadavek, LDAP základní funkční požadavek, AD základní funkční požadavek, Ověřování X509 certifikátem základní funkční požadavek (např. kvůli bezobslužné autentizaci mobilních zařízení), RSA SecurId - vyšší priorita (prověřená dvousložková autentizace), NIS nepovinné, 4/5

5 SiteMinder, SAML protokoly zaměřené na SSO funkce, tj. při zachování SSO a centralizovaných AAA schopností, je možné je nahradit dle technické specifikace ekvivalením protokolem, tj. obdobně otevřeným. 5/5