-
Відкриті торги з публікацією англійською мовою
-
Безлотова
-
КЕП
Системи баз даних (Примірники програмного забезпечення щодо системи управління інцидентами інформаційної безпеки)
Примірники програмного забезпечення щодо системи управління інцидентами інформаційної безпеки та послуги із впровадження цього програмного забезпечення. Дана закупівля здійснюється у відповідності до https://prozorro.gov.ua/plan/UA-P-2018-01-02-004700-a
Завершена
23 981 800.00
UAH без ПДВ
мін. крок: 0.5% або 120 000.00 UAH
мін. крок: 0.5% або 120 000.00 UAH
Період уточнення:
30.03.2018 16:12 - 22.04.2018 14:00
Відповідь надана
Сертифікати
Номер:
29d109cd92424dff981cc37ad95076a9
Дата опублікування:
19.04.2018 09:20
Опис:
У вашій віповіді від 18.04.2018, 17:18 навели перелік усіх робіт з впровадження, але так і не відповіли які конкретно пункти робіт вимагають сертифікації CEH.
Ваша відповідь від 12.04.2018 посилається на тіж вимоги технічного завдання, що ви наводите, але так само в жодному з 20 пунктів немає вимоги щодо виявлення вразливостей. Всі пункти потребують виключно інженерних кваліфікацій та вичерпних знань продукту що поставляеться. п.11 потребує кваліфікації керування проектами, яку ви не вимагаєте. Тому ми не можемо вважати вашу відповідь задовільною. Просимо вас надати більш обгрунтовану відповідь.
Відповідь:
В рамках закупівлі «Системи баз даних (Примірники програмного забезпечення, щодо системи управління інцидентами інформаційної безпеки)», пункти робіт з впровадження Системи не вимагають наявність саме сертифікату СЕН, вимагається наявність одного з трьох сертифікатів (СЕН, CISA або CISSP - п.1.3. Додатку II до тендерної документації), що в свою чергу буде говорити про обізнаність працівників Виконавця у виявленні вразливостей та підтвердження кваліфікації працівників, які повинні провести якісну роботу по налаштуванню, впровадженню системи, що наведені у Додатку І до тендерної документації «Технічні вимоги і якісні характеристики предмета закупівлі».
Досвід виявлення вразливостей є передумовою професійного підходу при створенні політик сканувань, матриці ролей, налаштуванню Системи.
Рівень кваліфікації також потрібен для виконання пунктів аналізу наявної інфраструктури, налаштувань і надання подальших рекомендацій, стосовно впровадження «Системи управління інцидентами інформаційної безпеки», не залежно від виробника програмного забезпечення.
Додатково звертаємо Вашу увагу, що впровадження «Системи управління інцидентами інформаційної безпеки» розглядається як один із компонентів комплексної системи протидії кібератакам, тому наголошуємо, що при інтеграції та налаштуванні Системи потрібно виконати не тільки звичайні інженерні налаштування, але із урахуванням усіх тонкощів (критичних моментів), використання нетипових підходів, Вest Рractice та їх відповідність світовим практикам кіберзахисту. Вважаємо, що достатня кваліфікація виконавців в такому разі, повинна бути підтверджена відповідними сертифікатом/-ми міжнародного рівня, що вказані в кваліфікаційних вимогах.
Дата відповіді:
24.04.2018 09:09
Відповідь надана
Сертифікати
Номер:
f0e7cde42d6a4b37bae0779dca97879f
Дата опублікування:
16.04.2018 09:15
Опис:
В якому саме пункті «ІІ. Вимоги до послуг із впровадження програмного забезпечення» Додатку 1 до ТД описані вимоги до послуг з виявлення вразливостей?
Наскільки зрозуміло з назви, всі послуги стосуються виключно налаштувань программного забеспечення конкретного виробника. Незрозуміло, до чого тут вендоронезалежні сертифікації, ще й одна з трьох зовсім різних за рівнем?
Відповідь:
На Ваш запит інформуємо про наступне:
Щодо пункту, в якому описані вимоги до послуг з виявлення вразливостей
«У Розділі ІІ «Вимоги до послуг із впровадження програмного забезпечення» Додатку І до тендерної документації «Технічні вимоги і якісні характеристики предмета закупівлі (технічне завдання)», в рамках впровадження програмного забезпечення Системи управління вразливостями, постачальник повинен надати наступні послуги:
1. Створення детальної архітектури рішення.
2. Створення і затвердження остаточної схеми установки рішення, включаючи всі керуючі і службові компоненти.
3. Отримання списку устаткування (джерел), яке буде підключено до SIEM для збору подій ІБ.
4. Визначення необхідних потужностей серверної та мережевої інфраструктури.
5. Проведення обстеження поточної інфраструктури рішення.
6. Проведення аналізу роботи всіх встановлений компонентів рішення.
7. Перевірка настройки компонентів на відповідність кращим практикам виробника.
8. Затвердження структури і графіка виконання робіт.
9. Підготовка інфраструктури для проведення впровадження.
10. Створення матриці ролей всередині всього холдингу, вказівка вимог щодо наявності прав доступу до системи управління уразливими.
11. Створення та затвердження технічного проекту.
12. Створення репозиторіїв і зон сканування.
13. Розгортання сканерів.
14. Підключення джерел до Системи.
15. Створення типізованих політик сканування.
16. Створення користувачів і накладення політик контролю доступу до системи.
17. Тестування політик і розподіленого сканування.
18. Тестування генерації звітів на основі глобальних даних.
19. Проведення експлуатаційних тестів системи.
20. Передача системи в промислову експлуатацію.
Щодо вендеронезалежних сертифікатів
Відповідне роз’яснення було надано замовником 12.04.2018 о 10:55 у відповідь на запитання, яке було поставлено 10.04.2018 о 14:09 через електронну систему закупівель.
Дата відповіді:
18.04.2018 17:18
Відповідь надана
Сертификати
Номер:
9ef0a16da7f24b6985ae69c1969a3917
Дата опублікування:
10.04.2018 14:09
Опис:
В п.1.3. Додатку II до тендерної документації вимагається наявність наступних сертифікацій:CEH, CISA, CISSP. З огляду на те, що CEH — це сертификація досить вузького напрямку (тести на проникнення), а CISA та CISSP - навпаки, вкажить будь-ласка посилання на пункти технічних вимог, що вимагають відповідних квалифікацій та сертифікацій.
Відповідь:
У зв’язку з тим, що технічне завдання розраховане також на виявлення вразливостей, тому й кваліфікаційні вимоги повинні бути належного рівня. Сертифікати СЕН, CISA та CISSP необхідні для підтвердження належного рівня кваліфікації працівників відповідно до вимог тендерної документації.
Також слід зазначити, що відповідно до п. 1.3 Додатку ІІ до тендерної документації вимагається наявність одного з трьох сертифікатів у працівників учасника торгів.
Дата відповіді:
12.04.2018 10:55
Відповідь надана
Кваліфікаційні вимоги
Номер:
9fec7b27bc78425aa4b4f3ef62eb4867
Дата опублікування:
10.04.2018 10:58
Опис:
В п.1.2. Додатку II до тендерної документації вимагається «скан-копію/ з оригіналу або копії дійсного сертифікату від виробника товару, виданих фахівцю учасника, про проходження навчання з налаштування та обслуговування запропонованого учасником товару». Однак кваліфікайний сертифікат, який визнається виробником видається не за проходлення навчання, а за успішне проходження незалежного іспиту, та зазвичай не містить формулювання «про проходження навчання». Таким чином, згідно цього формулювання довідка про прослуховування курсів буде прийнята, а справжні сертифікати будуть відхилені. Просимо внести в документацію відповідні зміни.
Відповідь:
Питання розглянуто. Рішенням тендерного комітету від 13.04.2018 до тендерної документації внесено зміни (в додаток ІІ «КВАЛІФІКАЦІЙНІ КРИТЕРІЇ ДО УЧАСНИКІВ ТОРГІВ»).
Дата відповіді:
13.04.2018 10:51