Апаратно-програмний комплекс з комплексною системою захисту інформації

У пункті 1.1 Тендерної документації «Апаратна складова центрального елементу Комплексу» в «Параметри гіперконвергентних вузлів» вказано, що: не менше ніж 1 карта об’ємом 32GB SD (флеш-карта) із драйверами та ПЗ оновлення Справа в тому, що сервери у рішенні Cisco HyperFlex на серверах Cisco HyperFlex HX240c M5 є можливість встановлення цих карт для озвученого функціоналу (https://www.cisco.com/c/dam/en/us/products/collateral/hyperconverged-infrastructure/hyperflex-hx-series/datasheet-c78-736784.pdf). Наприклад, інші вендори не використовують такі карти (SD) та зберігають цю інформацію на NAND (вбудований в модуль віддаленого керування). На підставі викладеного вимагаємо виключити цю дискримінуючу вимогу з тендерної документації, оскільки вона виконується тільки одним вендором, а саме: Cisco. Або дописати можливість збереження драйверів або оновлення ПЗ на зручному валідованованому простору того вендора який виробляє сервери (відмінного від SD карти).

У пункті 1.1 Тендерної документації «Апаратна складова центрального елементу Комплексу» в «Параметри гіперконвергентних вузлів» вказано, що: з віртуалізацією I/O - не менше 32 PCI Express (PCIe), LAN/ SAN адаптери, QoS з підтрімкою передачі сторадж трафіку без втрат Справа в тому, що сервери у рішенні Cisco HyperFlex можливо встановити адаптери Cisco UCS VIC 1387 (https://www.cisco.com/c/dam/en/us/products/collateral/hyperconverged-infrastructure/hyperflex-hx-series/datasheet-c78-736784.pdf сторінка 3 та 5, та https://www.cisco.com/c/en/us/products/interfaces-modules/ucs-virtual-interface-card-1387/index.html), які повністю відповідають вимогам та мають можливість віртуалізації I/O 32 PCI Express LAN/SAN. Аналогів по повному функціоналу цього адаптеру у інших вендорів не має, крім Cisco. На підставі викладеного вимагаємо виключити цю дискримінуючу вимогу з тендерної документації, оскільки вона виконується тільки одним вендором, а саме: Cisco.

У пункті 1.1 Тендерної документації «Апаратна складова центрального елементу Комплексу» в «Параметри гіперконвергентних вузлів» вказано, що: не менш ніж 2 порти, швидкість кожного не менше ніж 40Gb Ethernet та FCoE. Просимо надати тести, по яким видно, що для реалізації повного функціонування цієї системи необхідно саме 80Гбіт/с загальної пропускної здатності мережевих адаптерів серверів. Чому 80Гбіт/с потрібно, а не наприклад 2 по 10Гбіт/с=20Гбіт/с? Справа в тому, що сервери у рішенні Cisco HyperFlex можливо встановити адаптери Cisco UCS VIC 1387 (https://www.cisco.com/c/dam/en/us/products/collateral/hyperconverged-infrastructure/hyperflex-hx-series/datasheet-c78-736784.pdf сторінка 3), які повністю відповідають вимогам та мають швидкість 40Гбіт/с. Також ці адаптери підтримують протокол FCoE, який не потрібен для реалізації рішення-гіперконвергентний комплекс. На підставі викладеного просимо надати результати тестів, які показують, що для функціювання цієї системи, необхідна пропускною здатність 80Гбіт/с. Та виключити вимогу до підтримки протоколу FCoE.

У пункті 1.1 Тендерної документації «Апаратна складова центрального елементу Комплексу» в «Комутаційні модулі» вказано, що: конвергентні комутатори з портами 10/40 GE, FCoE та FC 16Gb/s з інтегрованою системою управління та моніторингу RACK- та BLADE-серверів. Справа в тому, що гіперконвергенція будується виключно використовуючи мережу LAN (Ethernet). Ніяких SAN мереж (FC) або використання протоколів FCoE немає (https://www.vmware.com/ru/products/hyper-converged-infrastructure.html). Ця вимога зв’язана виключно з тим, що у рішенні Cisco HyperFlex використовуються комутатори комутаторів Cisco UCS 6200/6300 (https://www.cisco.com/c/dam/en/us/products/collateral/hyperconverged-infrastructure/hyperflex-hx-series/datasheet-c78-736784.pdf) і тільки. Які і підтримують ці протоколи, та можуть інтегруватись з системою управління та моніторингу RACK та BLADE серверів (https://www.cisco.com/c/en/us/td/docs/unified_computing/ucs/ucs-central/GUI-User-Guides/Network-Mgmt/2-0/b_UCSCentral_NetworkManagementGuide-2-0/b_UCSCentral_NetworkManagementGuide-2-0_chapter_0111.html). На підставі викладеного вимагаємо виключити цю дискримінуючу вимогу з тендерної документації, оскільки вона виконується тільки одним вендором, а саме: Cisco. Та оставити тільки вимоги к швидкості.

У пункті 1.1 Тендерної документації «Апаратна складова центрального елементу Комплексу» в «архітектурі та формфакторі» вказано, що: Гіперконвергентні вузли повинні мати порти 2х 40Гбіт/с з підключенням до комутаційних модулів. Просимо надати тести, по яким видно, що для реалізації повного функціонування цієї системи необхідно саме 80Гбіт/с загальної пропускної здатності мережевих адаптерів. Чому 80Гбіт/с потрібно, а не наприклад 2 по 10Гбіт/с=20Гбіт/с? Справа в тому, що сервери у рішенні Cisco HyperFlex можливо встановити адаптери Cisco UCS VIC 1387 (https://www.cisco.com/c/dam/en/us/products/collateral/hyperconverged-infrastructure/hyperflex-hx-series/datasheet-c78-736784.pdf сторінка 3), які повністю відповідають вимогам та мають швидкість 40Гбіт/с. На підставі викладеного просимо надати результати тестів, які показують, що для функціювання цієї системи, необхідною пропускною здатність 80Гбіт/с.

У пункті 1.1 Тендерної документації «Апаратна складова центрального елементу Комплексу» в «загальних вимогах» вказано, що: до складу рішення окрім серверних вузлів повинна входить апаратна 40Гбіт/с мережева інфраструктура, що забезпечує взаємодію вузлів між собою і зв'язок із зовнішніми мережами LAN/SAN, система управління серверним і мережевим обладнанням, система управління підсистемою зберігання даних; Справа в тому, що гіперконвергенція будується виключно використовуючи мережу LAN (Ethernet). Ніяких мереж SAN немає (https://www.vmware.com/ru/products/hyper-converged-infrastructure.html). Вимога до взаємодії з мережою SAN та можливість керування серверами з мережевої інфраструктури зв’язана з можливістю (функціоналом) комутаторів Cisco UCS 6200/6300 (https://www.cisco.com/c/dam/en/us/products/collateral/hyperconverged-infrastructure/hyperflex-hx-series/datasheet-c78-736784.pdf) і тільки. На підставі викладеного вимагаємо виключити цю дискримінуючу вимогу (мережу SAN та можливість керування серверами з мережевої інфраструктури) з тендерної документації, оскільки вона виконується тільки одним вендором, а саме: Cisco.

У пункті 1.1 Тендерної документації «Апаратна складова центрального елементу Комплексу» в «загальних вимогах» вказано, що: рішення розширюється за допомогою серверних вузлів з та без локальних дискових ресурсів (в тому числі і в форматі блейд-серверів), з включенням їх в єдину систему управління і комутації. Справа в тому, що можливість розширення ресурсів апаратно-програмного комплексу (гіперконвергентного комплексу) за допомогою блейд-серверів, є тільки у єдиного виробника-Cisco, а саме у рішенні Cisco HyperFlex (https://www.cisco.com/c/dam/en/us/products/collateral/hyperconverged-infrastructure/hyperflex-hx-series/datasheet-c78-736784.pdf це можна побачити на сторінці 2 на малюнку 1). На підставі викладеного вимагаємо виключити цю дискримінуючу вимогу з тендерної документації, оскільки вона виконується тільки одним вендором, а саме: Cisco.

Вимога розділити закупівлю в окремі лоти/тендери, щодо закупівлі товарів (апаратна складова АРМ та програмні компоненти – інформаційна-телекомунікаційна система). 24.01.2020 року Харківської обласної ради "Харківські обласні комунікаційні системи" (надалі також – Замовник) оприлюднено на веб-порталі уповноваженого органу (ProZorro) інформацію про закупівлю послуг: «Апаратно-програмний комплекс з комплексною системою захисту інформації», як зазначено в оголошенні та тендерній документації. Ідентифікатор закупівлі: UA-2020-01-24-004311-b Відповідно до Додатку 2 Тендерної документації планується поставка апаратно-програмного комплексу з комплексною системою захисту інформації (АПК) – 1 комплект (що включає в себе окрім всього й інформаційно-телекомунікаційну систему) та програмно-апаратне автоматизоване робоче місце (АРМ) персоналу – 500 комплектів. Тобто, в одній закупівлі Замовник закуповує як апаратні, так і програмні компоненти, яким відповідають різні коди згідно ДК 021:2015, а саме “30210000-4 Машини для обробки даних” (апаратний компонент) та “48810000-9 — Інформаційні системи” (програмний компонент). Предмет закупівлі - товари, роботи чи послуги, що закуповуються замовником у межах єдиної процедури закупівлі, щодо яких учасникам дозволяється подавати тендерні пропозиції та визначається замовником у порядку, встановленому Уповноваженим органом (п.34 ч.1 ст. 1 Закону України «Про публічні закупівлі»). Відповідно до п.1 Положення про Міністерство економічного розвитку і торгівлі України, яке затверджено постановою КМУ від 20.08.2014 №459 Мінекономрозвиток є головним органом у системі центральних органів виконавчої влади, що забезпечує, зокрема, державну політику у сфері державних та публічних закупівель. Наказом Мінекономрозвитку №454 від 17.03.2016 затверджено Порядок визначення предмета закупівлі (Порядок). Наказом Мінекономрозвитку №1749 від 23.12.2015 затверджено національний класифікатор України ДК 021:2015 «Єдиний закупівельний словник» (ЄЗС), що призначений для стандартизації опису в договорах (контрактах) предмета державних закупівель, забезпечування більшої прозорості процедур закупівель товарів, робіт і послуг за бюджетні кошти, створювання ефективного конкурентного середовища у сфері державних закупівель, а також підтримування участі вітчизняних суб'єктів господарювання у торгах за межами України. ЄЗС призначений замовникам державних закупівель для описування в повідомленнях про запрошення до участі в торгах (тендерах) предмета державних закупівель, а також вітчизняним товаровиробникам і надавачам послуг для пошуку тендерних пропозицій. ЄЗС установлює коди та назви продукції та послуг, що можуть бути предметом закупівель. Відповідно до п.1 Порядку предмет закупівлі товарів і послуг визначається замовником згідно з пунктами 21 і 34 частини першої статті 1 Закону України «Про публічні закупівлі» (далі - Закон) та на основі Державного класифікатора продукції та послуг, затвердженого наказом Державного комітету України з питань технічного регулювання та споживчої політики від 11 жовтня 2010 року № 457, за показником п'ятого знака із зазначенням у дужках предмета закупівлі відповідно до показників третьої - п'ятої цифр основного словника ЄЗС, а також конкретної назви товару чи послуги. Предмет закупівлі товарів і послуг визначається замовником згідно з пунктами 21 і 34 частини першої статті 1 Закону та на основі ЄЗС, за показником четвертої цифри основного словника із зазначенням у дужках конкретної назви товару чи послуги. Відповідно до п.34 ч.1 ст. 1 Закону товари - продукція, об'єкти будь-якого виду та призначення, у тому числі сировина, вироби, устаткування, технології, предмети у твердому, рідкому і газоподібному стані, а також послуги, пов'язані з постачанням таких товарів, якщо вартість таких послуг не перевищує вартості самих товарів. П.5 Порядку встановлено, що якщо під час здійснення замовником закупівлі товарів передбачається також закупівля послуги (послуг), пов'язаної (пов'язаних) з поставкою товарів (зокрема послуги з транспортування, установки, монтажу, наладки, інсталяції програмного забезпечення, навчання персоналу тощо), предметом закупівлі в такому разі є товари за умови, що вартість такої послуги (таких послуг) не перевищує вартості самих товарів. Відповідно до п. 12 Порядку закупівлею послуг вважається будь-який предмет закупівлі, крім товарів і робіт, зокрема транспортні послуги, освоєння технологій, наукові дослідження, науково-дослідні або дослідно-конструкторські розробки, медичне та побутове обслуговування, лізинг, найм (оренда), а також фінансові та консультаційні послуги, поточний ремонт. До об'єктів права інтелектуальної власності належать, зокрема, комп'ютерні програми (ст.420 ЦК України). Ст. 18 Закону України «Про авторське право та суміжні права» визначено, що комп'ютерні програми охороняються як літературні твори. Така охорона поширюється на комп'ютерні програми незалежно від способу чи форми їх вираження. Ст.1 цього Закону визначено поняття здавання у майновий найм - передача права користування і (або) володіння оригіналом чи примірником твору, фонограми, відеограми на певний строк з метою одержання прямої чи опосередкованої комерційної вигоди. Таким чином, набуття права користування об’єктами авторського права повинно здійснюватися за правилами закупівлі послуг та за відповідним кодом ЄСЗ щодо предмету закупівлі. У випадку закупівлі послуг медичних інформаційних систем відповідним кодом за ДК 021:2015 є 48810000-9 Інформаційні системи” (програмне забезпечення «Медична інформаційна система». З огляду на зазначене, Замовником неправомірно об’єднано в одну закупівлю – закупівлю товарів (програмно-апаратне автоматизоване робоче місце (АРМ) персоналу) та послуг, що не пов’язані з поставкою (послуги з транспортування, установки, монтажу, наладки, інсталяції програмного забезпечення, навчання персоналу тощо). Недискримінація учасників, в тому числі, і шляхом не висування дискримінаційних вимог у технічній документації, є одним з фундаментальних принципів публічних закупівель, оскільки його порушення безпосередньо впливає на ймовірних учасників процедури закупівлі та як результат на визначення переможця. Згідно ч. 4 ст. 22 Закону України «Про публічні закупівлі», тендерна документація не повинна містити вимог, що обмежують конкуренцію та призводять до дискримінації учасників, а об’єднання в тендерній документації закупівлі апаратного обладнання та програмного забезпечення – інформаційно-телекомунікаційної системи, яка повинна проходити атестацію в НСЗУ значно звужує коло можливих учасників закупівлі, що може не дозволити обрати найбільш якісну та функціональну систему. Оголосивши закупівлю одночасно апаратного і програмного компоненту в одному лоті, Вами встановлено дискримінаційну вимогу по відношенню до потенційних учасників торгів, що є порушенням ст. 3, ч. 3 ст. 5 та ч. 4 ст. 22 Закону України “Про публічні закупівлі”, вимагаємо розділити цю закупівлю в окремі лоти/тендери, щодо закупівлі товарів (комп’ютерної техніки та закупівлю послуг інформаційних систем (медичної системи). У випадку не внесення виправлень у тендерну документацію, ми будемо змушені звернутися до компетентних органів щодо перевірки чи існують ознаки корупційних дій під час оголошення закупівлі UA-2020-01-24-004311-b та її здійснення.

Відповідно до визначеного Замовником та оприлюдненого на майданчику системи електронних торгів, предметом закупівлі є «Апаратно-програмний комплекс з комплексною системою захисту інформації». Відповідно до вимог пунктів 4.2.1, 4.2.4 «Технічних вимогах на участь у відкритих торгах з публікацією англійською мовою за кодом ДК 021:2015: 30210000-4 Машини для обробки даних (апаратна частина)» (далі – Технічні вимоги) – «Вимоги до системи організації та захисту каналів зв’язку», а також «Вимоги до комплексу заходів з технічного захисту інформації та комплексної системи захисту інформації» - повинні відповідати вимогам «організаційно-технічного рішення на розгортання типової складової компоненти комплексної системи захисту інформації в типовому робочому місці Єдиного медичного інформаційного простору Харківської області типу «1» (експертний висновок № 1054, зареєстрований в Адміністрації Державної служби спеціального зв’язку та захисту інформації 13.12.2019 року)» (далі – ОТР). Таким чином можливо констатувати те, що істотною умовою до предмету закупівлі є наявність комплексної системи захисту інформації (далі – КСЗІ), умови створення та підтвердження відповідності якої повинні відповідати вимогам документу (ОТР) ознайомлення та виконання вимог якого є неможливим за таких підстав: - ОТР до складу Тендерної документації не включено взагалі що, як слідство, значною мірою обмежує опис товарів, робіт, послуг, що закуповуються, у тому числі їх технічні та якісні характеристики; - Відповідно до наведеного у пункті 4 «Положення про державну експертизу в сфері технічного захисту інформації» (затверджене наказом Адміністрації Держспецзв’язку від 16.05.2007 № 93, зареєстроване в Міністерстві юстиції України 16.06.2007 за № 820/14087) визначення та сфера правового застосування організаційно-технічних рішень, посилання на ОТР жодним чином не може вважатись посиланням на стандартні характеристики, вимоги, умовні позначення та термінологію, пов’язану з товарами, роботами чи послугами, що закуповуються, передбачені існуючими міжнародними або національними стандартами, нормами та правилами; - Відповідно до рішення спеціально уповноваженого центрального органу виконавчої влади з питань організації спеціального зв’язку та захисту інформації, дані про реєстрацію результатів державної експертизи в сфері технічного захисту інформації усіх організаційно-технічних рішень та, як наслідок, відомості стосовно можливості їх використання для забезпечення технічного захисту інформації – наводяться у розділі «Перелік засобів технічного захисту інформації, дозволених для забезпечення технічного захисту державних інформаційних ресурсів та інформації, вимога щодо захисту якої встановлена законом» офіційного інформаційного ресурсу Адміністрації Держспецзв’язку. На даний час, відомості стосовно дозволу до використання ОТР, яку наведено у Технічній документації, для забезпечення технічного захисту інформації, на офіційному інформаційному ресурсі спеціально уповноваженого центрального органу виконавчої влади з питань організації спеціального зв’язку та захисту інформації - відсутні. Враховуючи викладене вимагаємо – усунути порушення вимог пункту 3 частини два статті 22 Закону України «Про публічні закупівлі» (у частині обов’язків Замовника стосовно наведення «детального опису товарів, робіт, послуг, що закуповуються, у тому числі їх технічні та якісні характеристики; вимоги щодо технічних і функціональних характеристик предмета закупівлі у разі, якщо опис скласти неможливо) шляхом вилучення посилання на ОТР з Тендерної документації, або залучити до Тендерної документації організаційно-технічне рішення на розгортання типової складової КСЗІ у спосіб, який не порушує вимоги законодавства.

Відповідно до відомостей, які містяться у розділі «Технічні характеристики та вимоги до закупівлі товару» «Технічних вимог на участь у відкритих торгах з публікацією англійською мовою за кодом ДК 021:2015: 30210000-4 Машини для обробки даних (апаратна частина)» (далі – Технічні вимоги), обов’язковим компонентом предмету закупівлі є апаратно-програмний засіб криптографічного захисту інформації (далі – КЗІ) – Шлюз захисту «Бар’єр-301» (за текстом Технічних вимог – «Бар’єр-301» або «Шлюз захисту»). Крім прямого посилання на конкретний тип, яким є пристрій «Бар’єр-301», Технічні вимоги також містять прямі вимоги до реалізації окремих криптографічних алгоритмів та технічних параметрів, які повинні бути реалізовані (а за фактом – вже реалізовані) у наведеному вище конкретному засобі КЗІ. Відповідно до вимог пункту 8 «Положення про порядок здійснення криптографічного захисту інформації в Україні», яке затверджено Указом Президента України від 22.05.1998 № 505/98 (зі змінами): - «Для криптографічного захисту конфіденційної інформації використовуються криптосистеми і засоби криптографічного захисту, які мають сертифікат відповідності» Відповідно до вимог пункту 12 розділу ІІ та пункту 1 розділу V «Положення про порядок розроблення, виробництва та експлуатації засобів криптографічного захисту інформації» (затверджене наказом Адміністрації Державної служби спеціального зв’язку та захисту інформації України від 20.07.2007 № 141, зареєстроване в Міністерстві юстиції України 30.07.2007 за № 862/14129): - «У засобах криптографічного захисту інформації використовуються криптоалгоритми та криптопротоколи, які є національними стандартами, або ті, на які за результатами експертних досліджень Адміністрацією Держспецзв’язку видано позитивний експертний висновок» - «Для криптографічного захисту державних інформаційних ресурсів або інформації, вимога щодо захисту якої встановлена законом, використовуються засоби КЗІ, які мають сертифікат відповідності або позитивний експертний висновок за результатами державної експертизи у сфері КЗІ» Таким чином можливо констатувати те, що наведене у Тендерній документації посилання на конкретні типи та реалізовані криптографічні алгоритми засобів КЗІ не є необхідним, ні чим ні обґрунтовано та є такими, що порушує вимоги законодавства в сфері КЗІ та вимоги пункту 3 частини два статті 22 Закону України «Про публічні закупівлі». Враховуючи викладене вимагаємо – усунути порушення вимог законодавства в сфері КЗІ та публічних закупівель шляхом вилучення з тексту Тендерної документації посилань на конкретний засіб КЗІ та криптографічні алгоритми і протоколи, які ним реалізуються, або заміни такі посилання на абзаци такого змісту: «апаратно-програмний засіб КЗІ , який має сертифікат відповідності або позитивний експертний висновок за результатами державної експертизи у сфері КЗІ»; «Вимоги до криптографічних алгоритмів: використовуються криптоалгоритми та криптопротоколи, які є національними стандартами, або ті, на які за результатами експертних досліджень Адміністрацією Держспецзв’язку видано позитивний експертний висновок»