Česko - Balíky programů a informační systémy - Dodávky a služby pro zlepšení kyberbezpečnosti IS v Nemocnici Vyškov

Předmět veřejné zakázky souvisí s projekty Zadavatele s názvy „Kybernetická bezpečnost IS Nemocnice Vyškov I.“ a „Kybernetická bezpečnost IS Nemocnice Vyškov II.“, které jsou spolufinancovány z prostředků Integrovaného regionálního operačního programu - Výzvy IV. - Kybernetická bezpečnost - SC 1.1. Nemocnice Vyškov je jedním ze zdravotnických zařízení Jihomoravského kraje, v němž proběhlo analytické šetření s cílem zmapovat úroveň zabezpečení proti hrozbám kybernetického útoku v nemocnicích Kraje a na základě něj navrhnout potřebná opatření ke zvýšení bezpečnosti. V rámci analýzy byla provedena identifikace hranic ISZS a porovnání skutečného stavu v oblasti kybernetické bezpečnosti proti požadavkům zákona a vyhlášky č. 82/2018 Sb., o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (vyhláška o kybernetické bezpečnosti, VyKB). Současný stav byl posuzován nejen z hlediska technického, ale rovněž z pohledu procesního a provozního, jelikož správné nastavení těchto prvků uvnitř organizace má významný vliv na celkovou úroveň bezpečnosti. Na základě provedeného analytického šetření byla zjištěna celá řada nedostatků napříč všemi analyzovanými oblastmi, přičemž z dosavadních výsledků analýzy vyplývá, že prostředí nemocnice je vysoce zranitelné vůči typům útoků, které byly v poslední době cíleny na zdravotnická zařízení. Zadavatel chce pořízením dodávek a služeb v rámci této veřejné zakázky zajistit soulad Nemocnice Vyškov jakožto provozovatele informačních a komunikačních systémů, jenž zpracovává, zprostředkuje a ukládá citlivé údaje, s požadavky Zákona o kybernetické bezpečnosti a s prováděcí vyhláškou. Technická opatření navrhovaná tímto projektem směřují právě k zajištění souladu s požadavky zákona, čímž přispějí k předcházení hrozbě kybernetických a bezpečnostních incidentů. Výsledkem projektu tedy bude posílení ochrany informačních a komunikačních systémů žadatele před kybernetickými útoky. Zadavatel předpokládá, že veškerá plnění poskytnutá vybranými dodavateli na základě tohoto zadávacího řízení budou poskytnuta Zadavateli a postupně prováděna v souladu s relevantními aktuálními předpisy o kybernetické bezpečnosti a trendy v tomto odvětví. Pro vše výše uvedené Zadavatel vyhodnotil, že pro komplexnost a vzájemnou návaznost obou dílčích projektů, které věcně pokrývají zajištění žádoucí míry kybernetické bezpečnosti Zadavatele, bylo usouzeno, že tohoto cíle nemůže být odpovídajícím způsobem dosaženo při oddělení předmětu plnění do dílčích zadávacích řízení, kde by v krajním případě mohlo dojít k situaci, kdy nebude na základě realizované soutěže možné pro absentující prvky, které na sebe logicky navazují realizovat předmět projektů. Nemocnice Vyškov, příspěvková organizace, přistoupila ke společnému zadání veřejné zakázky na realizaci projektů „Kybernetická bezpečnost IS Nemocnice Vyškov I“ a „Kybernetická bezpečnost IS Nemocnice Vyškov II“ na základě jejich významné věcné, technologické a funkční provázanosti. Oba projekty tvoří dohromady jeden integrovaný bezpečnostní funkční celek, jehož cílem je zajistit kybernetickou odolnost nemocnice. Implementované komponenty / aktivity / řešení jednotlivých projektů na sebe přímo navazují - funkčně, logicky i chronologicky dle harmonogramu realizace plnění - a vytvářejí provázaný celek vyžadující jednotné řízení, konfiguraci i správu. Veřejná zakázka je rozdělena do osmi samostatných částí. Nabídky budou posuzovány a hodnoceny samostatně, na každou část je tedy nutné podat samostatnou nabídku. Zadavatel pro plnění veřejné zakázky a pro účely zajištění možnosti podat porovnatelné nabídky definoval dílčí části, kde nabídka účastníka bude pokrývat veškeré požadované aktivity definované tímto oznámením jeho přílohami. Platí, že každá z dílčích částí zahrnuje zpravidla (nikoliv však vždy) několik dílčích aktivit, přičemž podáním nabídky pro danou část platí, že je nabídka podána ke všem dílčím aktivitám realizovaným v rámci dané části veřejné zakázky. Předmětem této části veřejné zakázky je pořízení, implementace a servis systému pro správu a kontrolu periferních zařízení např. USB disky, externí pevné disky, tiskárny) na firemních koncových zařízeních (PC, notebooky). Systém musí umožnit efektivní kontrolu nad tím, jaké periferní zařízení může přistupovat k citlivým datům, a poskytovat plnou auditovatelnost a ochranu před únikem dat. Robustní řešení musí nabízet prevenci narušení zařízení, klasifikaci zařízení a správu akcí souborů, stejně jako přidělení privilegovaného přístupu - vše v jednom řešení pro ovládání zařízení pro ochranu Zadavatele před kybernetickými hrozbami. Bližší požadavky na licencování a samotné dodané řešení jsou uvedeny v Příloze č.1fa Zadávací dokumentace.; Předmětem Části 4 veřejné zakázky je realizace dvou dílčích aktivit, kterými jsou: a) Aktivita 1 - Realizace nástroje pro řízení a přístup na síti (řízení přístupu do LAN a WLAN včetně segmentace), b) Aktivita 2 - Vybudování PKI (nástroje pro správu digitálních certifikátů a klíčů - Public Key Infrastructure). Č4A1 - Realizace nástroje pro řízení a přístup na síti Předmětem plnění této dílčí aktivity je komplexní dodávka a implementace nástroje pro řízení přístupu na síti včetně segmentace sítě, zahrnující také dodávku dvou AAA serverů pro min. 1600 identit, to vše ve specifikaci stanovené Zadavatelem v Přílohách č. 1da Zadávací dokumentace. Č4A2 - Vybudování PKI Předmětem plnění této dílčí aktivity je dodání a implementace nástroje pro správu digitálních certifikátů a klíčů, včetně souvisejících činností jako jsou zaškolení obsluhy, příprava havarijních plánů a provozní dokumentace, příprava infrastruktury na straně Zadavatele, revize a schválení dokumentací a následné předání do rutinního provozu. To vše ve specifikaci stanovené Zadavatelem v Příloze č.1db Zadávací dokumentace.; Tato část veřejné zakázky na zavedení emailové brány (MailGateway) si klade za cíl ochranu SMTP komunikace Nemocnice Vyškov. Systém bude sloužit k inspekci a zabezpečení příchozí a odchozí pošty a umožní virtualizovanou implementaci jako samostatnou SMTP bránu. Toto řešení zajistí, že veškerý emailový provoz bude přesměrován přes nové řešení bez nutnosti hlubokých zásahů do stávající topologie a infrastruktury díky změně DNS MX záznamu. Technické požadavky • Platforma: MailGateway bude implementován v HA (High Availability) režimu na podporovaných virtualizačních platformách VMWare, KVM, a Microsoft Hyper-V. • Vysoká dostupnost: systém bude podporovat režimy vysoké dostupnosti (Active-Active, Active-Passive), a relevantní licence musí být zahrnuta. • Síťová rozhraní: musí podporovat minimálně šest virtuálních síťových rozhraní. • Disková kapacita: systém bude podporovat až 4TB alokovatelné diskové kapacity. • Propustnost: požadovaná minimální propustnost je 220 000 emailů za hodinu s kontinuální inspekcí pomocí antivirových a antispamových profilů. • Domény: možnost konfigurace ochrany pro až 400 domén s až 50 inspekčními profily na doménu. • Režimy provozu: gateway (MTA), server i transparent s potřebnými licencemi. Funkce ochrany • Podpora protokolů: IPv4, IPv6, SMTP autentizace (LDAP, RADIUS, POP3, IMAP). • Antivirová a antispamová ochrana: integrovaná ochrana s automatickými aktualizacemi databáze signatur/ kategorizace URL, IP reputace, greylisting, behaviorální a heuristická analýza, white/black listing. • Analýza obsahu: schopnost analýzy příloh (PDF, MS Office) a eliminace nebezpečných prvků. • Bezpečnostní funkce: podpora nastavení limitů SMTP relací, granulární konfigurace pravidel, podpora karantény, podpora šifrování TLS, S-MIME, DKIM, SPF, DMARC, IBE. • Rate limiting a analýza příloh: ochrana proti přetížení serveru a schopnost analyzovat obsah příloh, včetně PDF a MS Office dokumentů. Správa řešení • Plnohodnotná správa: přístup přes HTTPS a CLI (SSH), možnost omezení administrátorských práv, integrace logování, podpora SNMP a syslog, podpora archivace, REST API pro integraci do stávající infrastruktury. Požadavky Zadavatele na plnění této části veřejné zakázky jsou dále konkretizovány v Příloze č. 1ca této zadávací dokumentace. Podáním nabídky pro tuto část veřejné zakázky účastník stvrzuje, že je nabízené plnění plně v souladu s požadavky stanovenými touto zadávací dokumentací a současně Přílohou č. 1ca.; Předmětem Části 1 veřejné zakázky je komplexní dodávka a implementace několika dílčích řešení, vedoucích k vybudování základu infastruktury kybernetické bezpečnosti Zadavatele. Zadavatel přitom předpokládá realizaci následujících dílčích aktivit (budou popsány později), a k těmto stanovil předpokládanou časovou posloupnost realizace. Za názvem každé aktivity uvádí Zadavatel pro přehlednost také označení Projektu I. nebo Projektu II. (v tabulce pro zjednodušení pouze „I.“ nebo „II.“), což bude mít vliv na povinnost fakturace vybraného dodavatele ve vztahu k činnostem a věcem, realizovaným či dodaným Zadavateli v rámci dané aktivity.; Předmětem této části je komplexní dodávka a implementace plně automatického, vysoce efektivního hasicího zařízení pro uzavřené prostory do tří samostatných místností (serveroven). Hlavními kritérii jsou spolehlivost, rychlost hašení, nízké náklady na údržbu a šetrnost k životnímu prostředí. Dále Zadavatel požaduje dodání spolehlivého, integrovaného přístupového a zabezpečovacího systému pro tři samostatné místnosti (serverovny) s centrální ústřednou. Zadavatel přitom klade důraz na snadnou (vlastní) správu přístupových oprávnění a flexibilní nastavení podle potřeb objektu Zadavatele. Předmětem plnění této části bude: a) Dodání a implementace automatického hasícího systému b) Dodání a implementace přístupového zabezpečovacího systému c) Další služby uvedené v Příloze č. 1ba této zadávací dokumentace Součástí nabídky účastníka bude také poskytování servisní podpory k nabídnutému řešení po dobu 5 let od realizace dodávky a implementace řešení, a to v rozsahu stanoveném Přílohou č.1ba zadávací dokumentace. Požadavky Zadavatele na plnění této části veřejné zakázky jsou dále konkretizovány v Příloze č. 1ba této zadávací dokumentace. Podáním nabídky pro tuto část veřejné zakázky účastník stvrzuje, že je nabízené plnění plně v souladu s požadavky stanovenými touto zadávací dokumentací a současně Přílohou č. 1ba.; Předmětem plnění této části veřejné zakázky je realizace tří dílčích aktivit, kterými jsou dodávka, implementace a servis následujících řešení: a) systému pro správu identit, b) systému jednotného přihlašování a dvoufaktorové autentizace, c) nástroje pro správu privilegovaných účtů, a to v bližší specifikaci uvedené v odpovídajících přílohách (Přílohy č. 1ea-ec) Zadávací dokumentace.; Předmětem této Části veřejné zakázky je dodávka systému pro evidenci a technickou správu a řízení rizik spojených s evidencí a užívání majetku, a dále dodávka nástroje pro správu servisních požadavků. Č7A1 - Risk Asset Management Předmětem plnění této aktivity Části 7 veřejné zakázky je dodávka a implementace informačního systému umožňující organizaci zavést efektivní správu a technickou evidenci veškerého počítačového i ostatního majetku. Musí pomáhat pracovníkům ICT oddělení v řešení a zdokumentování každodenních operativních úkolů a ve sdílení a údržbě informací spojených s IT infrastrukturou. Musí poskytovat důležité informace pro plánování obnovy IT prostředků a přípravu rozpočtů a musí pomáhat v řízení podnikatelských rizik právního či regulačního postihu spojených s užíváním nelegálního software ve společnosti. Obecné požadavky: 1) Zadavatel požaduje možnost volby provozovat celé řešení jako SaaS nebo on-premise, případně v budoucnu změnit své původní rozhodnutí (aplikace musí být stejná pro prostředí SaaS i on-premise) 2) Zadavatel požaduje možnost provozovat systém v prostředí MS Azure, systém musí být schválen a certifikován pro provozování v tomto prostředí. 3) Minimálně pro rutinní činnosti (změna umístění objektu, změna vlastností objektu) je požadován webový klient 4) Pro zobrazení majetku přiděleného uživatelům v organizaci je požadován webový klient 5) Celé řešení z důvodu bezpečnosti musí být v třívrstvé architektuře bez přímého přístupu klienta do databáze. K nabídce podané účastníkem pro Část 7 veřejné zakázky musí být přiložen certifikát vydaný způsobilou certifikační autoritou, potvrzující rozsah certifikací stanovený přílohou č. 1ga Zadávací dokumentace. Další požadavky Zadavatele jsou uvedeny v Příloze č. 1ga Zadávací dokumentace. Č7A2 - ServiceDesk, procesy, ITIL Předmětem plnění této části veřejné zakázky je dodávka softwarového nástroje pro efektivní správu servisních požadavků. Musí pomáhat pracovníkům servisních oddělení v řešení a zdokumentování každodenních operativních úkolů a ve sdílení a údržbě informací spojených s řešením servisních požadavků. Nabízený software musí poskytovat důležité informace pro plánování servisních zásahů, jejich vyhodnocování, řízení priorit a komplexní řízení servisních týmů. Další požadavky Zadavatele jsou uvedeny v Příloze č. 1gb Zadávací dokumentace.; Předmětem plnění této části veřejné zakázky je provedení auditu s cílem identifikovat míru připravenosti společnosti pro plnění požadavků zákona o kybernetické bezpečnosti 181/2014 Sb., a na něj navazující vyhlášky č. 82/2018 Sb., o kybernetické bezpečnosti bude provedena v souladu s dokumentem „Pomůcka k auditu bezpečnostních opatření podle vyhlášky o kybernetické bezpečnosti č. 82/2018 Sb.“, vydaným Národním úřadem pro kybernetickou a informační bezpečnost (NUKIB). Tento dokument bude využit jen jako pomocný, vlastní audit bude porovnávat stav Nemocnice vůči vyhlášce č. 82/2018 Sb., popřípadě norem řady ISO 27000, kde existuje převodní tabulka mezi jednotlivými bezpečnostními opatřeními z přílohy A, normy ISO 27001 a jednotlivými paragrafy vyhlášky. Další požadavky Zadavatele jsou uvedeny v Příloze č. 1ha Zadávací dokumentace.