Zadavatel: Moravskoslezský kraj sídlem: 28. října 117, Ostrava Moravská Ostrava, PSČ IČO:

Transkript

1 Zadavatel: Moravskoslezský kraj sídlem: 28. října 117, Ostrava Moravská Ostrava, PSČ IČO: Veřejná zakázka: Pořízení systému pro trvalou ochranu aplikací a informací dostupných z internetu II. zadávaná v otevřeném řízení podle ust. 56 zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů VYSVĚTLENÍ ZADÁVACÍ DOKUMENTACE dle 98 a 99 zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů (dále jen zákon ) MT Legal s.r.o., advokátní kancelář, sídlem Jakubská 1, Brno, jako zástupce výše uvedeného zadavatele ve veřejné zakázce Pořízení systému pro trvalou ochranu aplikací a informací dostupných z internetu II. poskytuje v souladu s ustanovením 98 a 99 zákona níže uvedené vysvětlení zadávací dokumentace. Vysvětlení č. I ze dne Dotaz č. 1 (obdržen dne ): V Příloze č. 1 smlouvy Technická specifikace je v bodě [18] uvedeno: min. 6 x 10/100/1000Mbps Ethernet interface a zároveň min 2 x 10Gbps interface (2 x 10 Gigabit Fiber Interface). Jaký typ 10GE rozhraní je požadován, (SR/LR)? Zadavatel sděluje, že je požadováno SR rozhraní. Vysvětlení č. II ze dne Dotaz č. 2 (obdržen dne ): V dokumentu Ochrana aplikací a informací II_Obchodní podmínky.docx v sekci Příloha č. 1 Technická specifikace (minimální technické požadavky) strana 14 a následující. Dotaz č. 1 K bodu 2: Prosíme o vyjasnění, co se rozumí přehledností struktury aplikací. Jedná se o webové aplikace zadavatele?

2 Dotaz č. 2 K bodu 4: Postačí ke splnění podmínky inteligentní komprese spolupráce cacheování na LB a standardní (např. GZIP komprese) mezi LB a klientem? Dotaz č. 3 K bodu 16: Znamená zkratka TACAS+ správně TACACS+? Jedná se o písařskou chybu? Dotaz č. 4 K bodu 25: Která komunikace má být oddělená (tedy např. vnitřní komunikace mezi LB a ostatními komponenty vnitřní infrastruktury TCK? Nebo vnější od vnitřní? Dotaz č. 5 K bodu 37: Co se rozumí zabezpečením XML? Dotaz č. 6 K bodu 38: Co se rozumí aktivním, resp. pasivním módem provozu? Dotaz č. 7 K bodu 39: Co se rozumí konfigurací za využití učícího se módu? Dotaz č. 8 K bodu 44: Prosíme upřesnit o jaké role, kterých uživatelů se jedná. Dotaz č. 9 K bodu 48: Prosíme upřesnit jaký druh podpory pro MS Sharepoint a OWA se požaduje? Webové aplikace pro přístup do obou prostředí specifickou podporu nevyžadují. Dotaz č. 10 K bodu 55: V případě IPv6/IPv4 gateway se požaduje podpora tunelování IPv6 do IPv4, nebo překlad IPv6 adres na IPv4, nebo jinou techniku? Dotaz č. 11 K bodu 64: Prosíme upřesnit, co se rozumí Exit plánem. Dotaz č. 12 K bodu 58: Prosíme upřesnit pro jaký šifrovací algoritmus je stanovena min. úroveň propustnosti 8 Gbps. Dotaz č. 13 K bodu 17: Je maximální výška 2U podmínkou? Pro splnění díla a tech. specifikace plnění je bezpředmětné, zda box bude výšky 2U, 3U nebo 4U. Dotaz č. 14 K bodu 18: Ve specifikaci je uvedena max. rychlost interface 10 Gbps. Nejedná se o omyl? V současné době tyto zařízení již mají rychlejší rozhraní 40 Gb nebo 100 Gb. Dotaz č. 15 K bodu 69: Ve specifikaci zaškolení je uvedeno - 2 dny, max. 6,5 hod. denně. Nejedná se o omyl? Zda se nám to málo prostoru na zaškolení, vzhledem k rozsahu a náročnosti zakázky. Stránka 2 z 12

3 ad 1) Zadavatel sděluje, že se jedná o grafické rozhraní s dashboardy, které slouží ke konfiguraci, nastavení politik, analýzu, poskytnutí podrobných statistik o stavu zařízení apod. Nesouvisí s webovými aplikacemi zadavatele. ad 2) Zadavatel sděluje, že komprese postačuje. ad 3) Zadavatel sděluje, že se o překlep, správně je TACACS+. ad 4) Zadavatel sděluje, že zařízení musí umožňovat obě v dotazu uvedené možnosti. ad 5) Zadavatel sděluje, že produkt musí umožňovat ochranu aplikací používajících jazyk XML a ochranu proti útokům, které mohou být vedeny prostřednictvím XML protokolu. ad 6) Zadavatel požaduje dodání systému do dvou lokalit pro zajištění provozu ve vysoké dostupnosti v režimu ACTIVE/PASIVE a ACTIVE /ACTIVE. ad 7) Zadavatel sděluje, že rozhraní musí obsahovat užitečné rady (rychlé nastavení) popř. seznam doporučení při nastavení. ad 8) Zadavatel uvádí, že zařízení musí podporovat uživatelské role pro administrátorský přístup, popř. přístup s omezenými právy jako např. administrátor, uživatel apod. ad 9) Zadavatel sděluje, že zařízení musí umožnit předdefinované parametry pro výše uvedené systémy. ad 10) Zadavatel uvádí, že jsou požadovány obě varianty. ad 11) Zadavatel sděluje, že popis je uveden ve smlouvě v čl. XVI odst. 4 V případě předčasného ukončení smlouvy (exit strategie) má objednatel právo s pomocí vypracované dokumentace pokračovat v provozu systému, a to buď samostatně, nebo s jiným zhotovitelem. Zhotovitel se zavazuje v rámci exit strategie splnit tyto povinnosti: v rámci Implementace a zprovoznění vytvořit Exit plán, který bude přesně specifikovat postup pro přechodné období při případném předčasném ukončení smlouvy, příprava a předání systému novému poskytovateli nebo zadavateli na základě Exit plánu, Stránka 3 z 12

4 poskytnutí požadovaných součinností v souvislosti s předáním podpory a provozu systému novému poskytovateli nebo zadavateli, řádné předání dat zpracovávaných v systému, včetně dat doplňkových či souvisejících, poskytnutí informací nezbytných k převzetí systému novým poskytovatelem nebo zadavatelem, poskytnutí veškeré relevantní dokumentace k podpoře provozu, k rozvoji systému a ke všem datovým strukturám (modely, nastavení a další) v aktuálním stavu, které byly převzaty a vytvořeny v rámci plnění. Zhotovitel předá prohlášení hlavních výrobců technologií s uvedením certifikovaných partnerů pro implementaci a následný support v České republice. ad 12) Zadavatel sděluje, že min. propustnost je požadována pro algoritmy, které jsou v současnosti považovány za bezpečné např. TLS 1.1, při použití 2K klíčů. ad 13) Zadavatel uvádí, že maximální výška je podmínkou. Výška zařízení byla stanovena vzhledem k místu v RACKU. ad 14) Zadavatel sděluje, že ve specifikaci u bodu 18 jsou uvedeny min. hodnoty min. 6 x 10/100/1000Mbps Ethernet interface a zároveň min. 2 x 10 Gbps interface (2 x 10 Gigabit Fiber Interface) ad 15) Zadavatel sděluje, že se jedná o úvodní seznámení s produktem. Zadavatel počítá, že správci/ administrátoři budou mít možnost absolvovat následně samostatné školení pro dané zařízení, mimo výstup tohoto projektu. Zadavatel uvádí, že s ohledem na charakter poskytnutého vysvětlení zadávací dokumentace, přiměřeně prodlužuje lhůtu pro podání nabídek. Lhůta pro podání nabídek se mění následujícím způsobem a nově tedy platí: , 12:30 hod. V této souvislosti se rovněž mění termín otevírání obálek s nabídkami na , 12:45 hod. Vysvětlení č. III ze dne Dotaz č. 3 (obdržen dne ): Kolik aplikací bude v rámci implementovaného řešení chráněno a pro kolik z nich je předpokládané využití poptávaných vlastností loadbalancer [LB], web aplikační firewall [WAF] a reverzní proxy s pokročilými autentifikačními schopnostmi? K číslům prosím také uveďte základní informace o aplikacích jejich komplexnost, typ aplikací, technologie aplikačního serveru (IIS, Apache, ). Stránka 4 z 12

5 Zadavatel uvádí, že v rámci infrastruktury kraje používá několik typů aplikací / webových prezentací: - Aplikace / prezentace přístupné bez autentizace - web kraje ( a další drobnější webové prezentace provozované na doméně třetího řádu (například: nattech.mks.cz, lokalnitopeniste.msk.cz, ) cca Aplikace autentizované s uživateli řízenými IDM systémem. Aplikace jsou vypublikovány přes autentizační bránu (reverzní proxy) na adrese portal.msk.cz. (např: webové rozhraní poštovního serveru Exchange 2013, portál transmise, apod.) cca Aplikace autentizované s vlastním řízení uživatelů (externí uživatelé, které nemáme v IDM) přístupné na adrese aplikace.msk.cz. cca Prostřednictvím LB (LoadBalancer) jsou v současné době publikovány pouze dvě aplikace, a to Kotlíková dotace a Webové rozhraní poštovního serveru Exchange 2013 Aplikace jsou většinou provozovány na Linuxových serverech a webserveru Apache, popř. IIS. Spíše než o počtu aplikací zadavatel uvažuje o počtu publikovaných URL adres serverů (cca. 50), které by měly být chráněny WAF. Toto také, předpokládáme, upřesní předimplementační analýza. V rámci realizace projektu bude na začátku realizace provedena předimplementační analýza a prováděcí návrh, který vše upřesní. Vysvětlení č. IV ze dne Dotaz č. 4 (obdržen dne ): Dotaz č. 1 V dokumentu Ochrana aplikaci a informaci II_Obchodní podmínky.docx v sekci Příloha č. 1 Technická specifikace (minimální technické požadavky) strana 14 a násl. K bodu 69: Počítá tedy zadavatel s tím, že školení nad rámec vymezené ZD této zakázky ( 2x 6,5 h ) jsou placená samostatně, není to nikde v ZD řešeno? Dotaz č. 2 K bodu 48: Prosím upřesnit (případně uvést příklad) co se rozumí předdefinovanými parametry pro OWA resp. Sharepoint. Dotaz č. 3 K bodu 37: Postačí takto chránit XML komunikaci, která není šifrovaná (až ke koncovému uzlu)? Postačí ochrana před známými útoky prostřednictvím XML pomocí pravidelně aktualizovaných signatur? Dotaz č. 4 K bodu 25: Postačí logické oddělení do VLANů, nebo je požadováno fyzické oddělení? Stránka 5 z 12

6 Dotaz č. 5 Zdroj záložního napájení, optické propoje v rámci budovy MSK, switche jsou nebo nejsou součástí dodávky v rámci této zakázky? Dotaz č. 6 6) Existují další dokumenty, které definují či jinak určují předmět plnění zakázky, ale které nejsou součástí ZD? Pokud ano, které? Dotaz č. 7 V dokumentu Návrh smlouvy závazné obchodní podmínky SMLOUVA na pořízení systému pro trvalou ochranu aplikací a informací dostupných z vnější sítě před neoprávněnou činností, popřením provedených činností, kompromitací nebo neautorizovanou změnou není uvedeno, alespoň jsme to tam nenašli uvedení konkrétní osoby nebo osob či místo ve smlouvě kde se tyto osoby mají uvést. Ve smlouvách tohoto typu je vždy uvedeno jmenovitě kdo ze strany objednavatele je za průběh zakázky zodpovědný. Domníváme se, že úprava v organizační směrnici Organizačním řádu je pro potřeby této smlouvy nedostatečná. Pouze uvedením konkrétního personálního substrátu a konkrétní osoby/ osob je dostatečné k naplnění účely smlouvy/ zakázky. Prosíme o úpravu smlouvy. ad 1) Zadavatel sděluje, že součástí dodávky je úvodní zaškolení k dodanému systému. Min. délka je uvedena ve specifikaci tj. 2 dny, max. 6,5 hod. denně, toto zaškolení se neplatí samostatně, ale je součástí nabídkové ceny. ad 2) Zadavatel požaduje, aby navrhované řešení oficiálně podporovalo technologie MS Sharepoint a MS Exchange, a to minimálně ve formě dostupné implementační podpory výrobce, příp. implementačních dokumentů ze strany výrobce ve formě návodů pro nastavení parametrů TCP, HTTP, SSL, health monitorů, apod. ad 3) Ano. ad 4) Zadavatel uvádí, že postačí logické oddělení do VLANŮ ad 5) Zadavatel sděluje, že záložní zdroj napájení, optické propojení a switche nejsou součástí dodávky. ad 6) Zadavatel uvádí, že veškeré dokumenty určující předmět plnění jsou součástí zadávací dokumentace uveřejněné na profilu zadavatele. Stránka 6 z 12

7 ad 7) Zadavatel sděluje, že uvedení osob oprávněných jednat ve věcech smlouvy není podstatnou náležitostí smlouvy, a tudíž lze uzavřít smlouvu i bez uvedení těchto údajů. Dále je vhodné uvést, že v případě změny u těchto osob by se jednalo o změnu obsahu smlouvy, kterou by bylo potřeba řešit formou dodatku, který je nutné schválit příslušným orgánem kraje. Současně se u tohoto předmětu plnění předpokládá, že rutinní provoz bude probíhat ještě pět let po ukončení testovacího provozu a je dosti pravděpodobné, že může k těmto změnám dojít (např. personální změny). Zadavatel pro úplnost dodává, že seznam oprávněných osob včetně kontaktů bude zhotoviteli předán bezprostředně po nabytí účinnosti smlouvy, a to podle čl. IX odst. 2 písm. b) smlouvy). Vysvětlení poskytnuté zadavatelem bez předchozí žádosti: Zadavatel poskytuje následující vysvětlení (změnu) zadávací dokumentace bez předchozí žádosti ve smyslu 99 odst. 1 zákona: Zadavatel sděluje, že byla upravena příloha č. 1 zadávací dokumentace, která tvoří přílohu tohoto vysvětlení zadávací dokumentace (jedná se o úpravu řádků 16 a 20 technické specifikace). [16] Podpora LDAP, NTLM, Radius, TACACS+ [20] Management Seriový port pro správu lokální management Zadavatel dále uvádí, že s ohledem na charakter poskytnutého vysvětlení zadávací dokumentace přiměřeně prodlužuje lhůtu pro podání nabídek. Lhůta pro podání nabídek se mění následujícím způsobem a nově tedy platí: , 11:15 hod. V této souvislosti se rovněž mění termín otevírání obálek s nabídkami na , 11:30 hod. Vysvětlení č. V ze dne Dotaz č. 5 (obdržen dne ): Připouští zadavatel předložení významné zakázky i na jiných technologiích než WAF (např. firewall, IPS, DLP, atd.), které rovněž poskytují trvalou ochranu na aplikační vrstvě? Zadavatel sděluje, že nepřipouští předložení významných zakázek na jiných technologiích. Zadavatel připravil Zadávací dokumentaci v souladu se schválenou Studií proveditelnosti, nastavená technická kvalifikace tak odráží požadovanou technologii předmětu plnění. Stránka 7 z 12

8 Vysvětlení č. VI ze dne Dotaz č. 6 (obdržen dne ): 1)Ve vysvětlení dotazu č. 6 ze dne se uvádí, že veškeré dokumenty určující předmět plnění jsou součástí zadávací dokumentace uveřejněné na profilu zadavatele. Nicméně na profilu zadavatele není zveřejněna např. bezpečnostní politika zadavatele. Ta nicméně obvykle definuje např. podstatné aspekty ochrany webových aplikací (viz též odpověď na dotaz z 9.10.). Je schopen zadavatel garantovat, že během zpracování předimplementační analýzy nevyplynou z bezpečnostní politiky a dalších dokumentů, které nejsou zveřejněny, požadavky na ochranu webových aplikací apod. na rámec zadávací dokumentace? Pokud ne, jak se budou řešit případné požadavky na ochranu nad rámec specifikovaných požadavků. Kde v ZD je popsán mechanismus na rozšíření / necenění požadavků. 2)Na WAF případně i LB se budou zpracovávat a případně i ukládat IP adresy, uživatelská jména, MAC adresy a další osobní citlivé údaje, které budou podléhat regulaci podle GDPR (General Data Protection Regulation ). Pro MSK bude GDPR od závazné. Jsou nebo budou v této souvislosti nějaké požadavky na předpokládané řešení? V dokumentaci jsme o tom nenašli žádnou zmínku. ad 1) Zadavatel sděluje, že Bezpečnostní dokumentace není veřejně dostupná. Tento dokument bude dán k dispozici (k nahlédnutí) pouze vybranému dodavateli po podpisu smlouvy. Zadavatel nicméně nepředpokládá, že by z bezpečnostní politiky vzešly další požadavky nad rámec zadávací dokumentace. Případné změny závazku ze smlouvy by byly řešeny v souladu s příslušnými ustanoveními zákona. ad 2) Zadavatel očekává, že tyto údaje budou uchovány v nastavení a případně v logu zařízení. S těmito údaji bude dále nakládáno dle vnitřních předpisů objednatele. Vysvětlení č. VII ze dne Dotaz č. 7 (obdržen dne ): Dotaz č. 1 Je požadovaná jednotná brána pro přístup ke všem aplikacím, resp. zobrazeni aplikaci na základě uživatelských práv? Dotaz č. 2 Je požadovaná automatická ochrana proti botnetům? Dotaz č. 3 Je požadovaná technologie fingerprintingu prohlížeče pro jednoznačnou identifikaci uživatele? Stránka 8 z 12

9 Dotaz č. 4 Je požadovaná automatická konfigurace zařízeni pomoci přednastavených šablon/wizardu pro aplikace jako MS Exchange, Sharepoint, Skype, apod.? ad 1) Zadavatel sděluje, že ano, je požadována jednotná brána pro přístup ke všem aplikacím. ad 2) Zadavatel sděluje, že ano, je požadována automatická ochrana proti botnetům. ad 3) Zadavatel sděluje, že technologie fingerprintingu prohlížeče pro jednoznačnou identifikaci uživatele není požadovaná. ad 4) Zadavatel sděluje, že dotaz byl zodpovězen v dotazech v rámci vysvětlení č. II ze a vysvětlení č. IV z Zadavatel uvádí, že s ohledem na charakter poskytnutého vysvětlení zadávací dokumentace, přiměřeně prodlužuje lhůtu pro podání nabídek. Lhůta pro podání nabídek se mění následujícím způsobem a nově tedy platí: , 10:15 hod. V této souvislosti se rovněž mění termín otevírání obálek s nabídkami na , 10:30 hod. Vysvětlení č. VIII ze dne Dotaz č.8 (obdržen dne ): Dne byla v systému NEN zveřejněna ZD VZ SČ N006/17/V Pořízení systému pro trvalou ochranu aplikací a informací dostupných z internetu II. Po prostudování dokumentace a dopl. informací žádáme o vysvětlení zadávacích podmínek dokumentace. Pro MSK bude GDPR (General Data Protection Regulation) od závazné. Dotaz č. 1 práva na výmaz (být zapomenut)? Dotaz č. 2 práva na přenositelnost údajů? Dotaz č. 3 profilování? Stránka 9 z 12

10 Dotaz č. 4 zvláštní kategorie osobních údajů? Dotaz č. 5 přístupu subjektů a jejich práva na osobní údaje? Dotaz č. 6 schopnosti zajistit neustálou důvěrnost a integritu služeb zpracování? Dotaz č. 7 automatického šifrování citlivých údajů v ech? Dotaz č. 8 úrovně auditovaní a jeho nezávislost na zaměstnancích MSK? Všechny výše uvedené požadavky vyplývají z GDPR. Jejich implementace není zmíněna v dokumentaci. Nejedná se o triviální ani zavedené nebo obvyklé požadavky / funkcionality (z důvodu nové legislativy) a jejich zapracování a rozchození bude znamenat nemalé úsilí a technické prostředky. Zadavatel by měl tyto požadavky zapracovat do zadávací dokumentace pro stanovení rozsahu a ceny. Jejich nezapracování do ZD výrazně znesnadňuje přesné určení podstatných náležitostí technických parametrů dodávky (technického řešení). ad 1-8) Zadavatel sděluje, že na tyto dotazy lze odpovědět souhrnně. Zadavatel uvádí, že tato právní úprava ještě není účinná, nicméně je skutečně pravděpodobné, že nabude účinnosti v průběhu plnění předmětu veřejné zakázky. Lze v této souvislosti odkázat na čl. II odst. 5 a čl. IX odst. 2 písm. a) obchodních podmínek, které tvoří součást zadávací dokumentace. K dotazům uvádíme, že součástí zakázky NENÍ realizace technických řešení, nastavení výstupů a vstupů, u všech oblastí, které byly uvedeny v dotazu. Tato povinnost dodavatele jako součást jeho závazku v rámci plnění veřejné zakázky nevyplývá ani ze zadávací dokumentace ani z přiložených obchodních podmínek. I s ohledem na shora uvedené odkazy v obchodních podmínkách samozřejmě nelze ignorovat nástup účinnosti GDPR, je však nutné uvést, že značná část současné právní úpravy oblasti ochrany osobních údajů je shodná s úpravou, kterou přináší GDPR. GDPR dopadá na zadavatele jako na správce osobních údajů a ten nese také zodpovědnost za plnění nařízení. V rámci plnění předmětu veřejné zakázky tak je součástí závazku dodavatele vypracování takového technického provedení, které umožní náležitou ochranu osobních údajů, ale Stránka 10 z 12

11 v kontextu GDPR je za jeho dodržování stále odpovědný správce, tedy zadavatel. Lze tak shrnout, že konkrétní technické řešení bude vypracováno na základě pokynů zadavatele v rámci obchodních podmínek, které tvoří součást zadávací dokumentace, a jehož součástí není realizace technických řešení, nastavení výstupů a vstupů, které jsou uvedeny v dotazech 1) 8) žádosti. Dotaz č. 9 (obdržen dne ): Dotaz č. 1 Dotaz se týká technické podpory dle Přílohy č. 2 Záruka, Maintenance. Technickou podporou se rozumí zajištění SW a HW update a upgrade po celou dobu poskytování maintenance (týká se veškerého SW a HW, které jsou součástí díla) (viz strana 22). Je myšleno, že součástí poskytované podpory na SW je také nárok na aktualizace SW podpory včetně bezpečnostních aktualizací po dobu 60 měsíců (placená maintenance)? Dotaz č. 2 Je po zhotoviteli požadována také instalace této aktualizace v rámci služby technická podpora/záruka dle Přílohy č. 2? Dotaz č. 3 Je požadovaná implementace každé aktualizace? Nebo dle doporučení zhotovitele (typicky 1 x za rok)? Každý takový upgrade znamená důkladné testování všech provozovaných aplikací před nasazením do produkce. ad 1) Zadavatel sděluje, že ano, součástí dodávky je technická podpora, kterou se rozumí zajištění SW a HW update a upgrade po celou dobu poskytování maintenance a součástí dodávky jsou i bezpečnostní aktualizace na 60 měsíců. ad 2) Zadavatel uvádí, že provede instalaci aktualizace vlastními silami. Bude na to dodavatelem vyškolen v rámci seznámení s obsluhou zařízení. ad 3) Zadavatel sděluje, že implementace není požadována, viz předchozí odpověď. V Ostravě dne 25. října 2017 Moravskoslezský kraj právně zastoupený MT Legal s.r.o., advokátní kancelář Mgr. Jan Galář, v. r. na základě plné moci Stránka 11 z 12

12 Příloha vysvětlení zadávací dokumentace č. IV ze dne : Příloha vysvětlení zadávací dokumentace č. IV upravená příloha č. 1 ZD ve formátu DOC Stránka 12 z 12