„Dostawa urządzenia zabezpieczającego aplikacje WWW(Firewall Aplikacyjny) wraz z usługą wdrożenia”

nie

nie

nie

nie

nie

nie

I. 1) NAZWA I ADRES:
Centrum Usług Informatycznych we Wrocławiu, krajowy numer identyfikacyjny 2228736100000, ul. ul. Namysłowska  8, 50304   Wrocław, woj. dolnośląskie, państwo , tel. 71 777 90 23, e-mail piotr.schmidt@cui.wroclaw.pl, faks .
Adres strony internetowej (URL): htp://bip.cui.wroclaw.pl
Adres profilu nabywcy: bip.cui.wroclaw.pl

I. 2) RODZAJ ZAMAWIAJĄCEGO:
Administracja samorządowa

II.1) Nazwa nadana zamówieniu przez zamawiającego:
„Dostawa urządzenia zabezpieczającego aplikacje WWW(Firewall Aplikacyjny) wraz z usługą wdrożenia”

Numer referencyjny:
CUI/ZP/PN/18/2016

Przed wszczęciem postępowania o udzielenie zamówienia przeprowadzono dialog techniczny



II.2) Rodzaj zamówienia:
dostawy

II.3) Informacja o możliwości składania ofert częściowych

Zamówienie podzielone jest na części:



II.4) Krótki opis przedmiotu zamówienia
(wielkość, zakres, rodzaj i ilość dostaw, usług lub robót budowlanych lub określenie zapotrzebowania i wymagań )
a w przypadku partnerstwa innowacyjnego - określenie zapotrzebowania na innowacyjny produkt, usługę lub roboty budowlane:
1. 1.Celem zamówienia jest zakup systemu Web Aplication Firewall, wdrożenie go w infrastrukturze zamawiającego oraz szkolenia z administracji systemem. Zadaniem systemu " Web Aplication Firewall" ma być monitorowanie całej aktywności użytkowników względem aplikacji internetowych będących w posiadaniu Urzędu Miasta Wrocław. System ma za zadanie chronić te aplikację i dane przed cyberatakami. 2.Zamówienie obejmuje: 1) Wdrożenie rozwiązania w infrastrukturze zamawiającego uwzględniając wszystkie aplikacje będące w posiadaniu Zamawiającego (jest to około 40 adresów URL), dostarczenie dokumentacji technicznej z wdrożenia zawierającej schematy połączeń oraz konfiguracji zabezpieczeń aplikacji. 2) Zapewnienie ciągłości poprawnego działania "Web Aplication firewall". 3) Zapewnienie Wsparcia technicznego producenta sprzętu/ maszyny wirtualnej dla systemu "Web Aplication firewall" w okresie trwania umowy. 4) Zapewnienie opieki serwisowej w zakresie rozwiązywania problemów, aktualizacji oraz konfiguracji systemu. 5) Zapewnienie Wsparcia Wykonawcy oraz producenta oprogramowania dla wdrożonego systemu. 6) Wymagane jest potwierdzenie przez producenta bądź dostawce oprogramowania poniżej opisanych „kluczowych elementów systemu”. 3. Kluczowe elementy które musi posiadac system: 1) Wszystkie elementy systemu zabezpieczeń muszą być dostarczone przez jednego producenta w formie gotowych maszyn virtualnych działających w środowisku ESX/ESXi 2) System musi działać w następujących trybach pracy: Transparent Bridge (inline warstwa 2 ISO/OSI), Transparent Reverse Proxy – tj praca w trybie proxy nie wymagająca korzystania z nowych adresów IP, Reverse Proxy oraz Sniffing przy czym musi istnieć możliwość działania w trybie Transparent Bridge oraz Transparent Reverse Proxy w obrębie tych samych chronionych aplikacji. 3) Moduły wykonawcze muszą mieć możliwość pracy w trybie High Availability (HA), powinny zawierać mechanizm ochrony typu Stateful Firewall oraz weryfikować zgodność komunikacji sieciowej ze standardem protokołu tcp/ip, opisanym w RFC. 4) System musi mieć wydajność analizy protokołu http/https na poziomie 500Mbps. 5) Uwierzytelnianie użytkowników oferowanego rozwiązania musi być możliwe za pomocą integracji z Active Directory, LDAP w celu uzyskania dodatkowych informacji w logach na temat użytkownika. Obsługiwane muszą być nie mniej niż następujące metody uwierzytelnienia: formularze html, certyfikat cyfrowy, kerberos, NTLM. 6) Całość konfiguracji oraz repozytorium logów musi być przechowywane na centralnym serwerze zarządzania. 7) System powinien na podstawie analizy obserwowanego ruchu zbudować odzwierciedlenie całej struktury aplikacji, składającej się z katalogów, URLi, metod dostępu, parametrów, typów wartości oraz długości ciągów znaków wprowadzanych przez użytkowników w poszczególnych formatkach a w szczególności powinien umożliwiać naukę formularzy, służących do logowania się użytkowników do aplikacji Web. 8) System powinien zagwarantować wysoki poziom ochrony serwerów Web oraz serwerów aplikacyjnych ( uwzględniając elementy XML oraz akcje SOAP) przed różnego typu atakami, a także powinien monitorować poprawne zachowanie chronionej aplikacji, a wszelkie próby wyjścia poza to poprawne zachowanie powinien blokować. Wymagane są sygnatury dla nie mniej niż : sieci, aplikacji Web, zapytań Web. 9) Monitorowanie i kontrolowanie w czasie rzeczywistym wszystkich operacji wykonywanych przez użytkowników. Rozwiązanie musi posiadać możliwość rejestrowania naruszeń bezpieczeństwa oraz udostępniać administratorom co najmniej następujące informacje o zdarzeniach: nazwa użytkownika aplikacyjnego (jeżeli klient zalogował się w systemie przez aplikację Web) , dodatkowe atrybuty użytkownika z zewnętrznych repozytoriów jak baza danych czy LDAP oraz zapytanie HTTP przesłane do serwera aplikacji Web. 10) Musi istnieć możliwość rejestrowania kodu źródłowego strony zwracanej klientowi przez aplikację Web, dostępnego bezpośrednio z interfejsu GUI serwera zarządzającego. 11) System powinien posiadać GUI dostępne przez przeglądarkę internetową w celu zoptymalizowania pracy, eliminacji konieczności instalacji dodatkowego oprogramowania na stacji administratora a także scentralizować zarządzanie całością rozwiązania. 12) Samoczynne uczenie się "normalnych" zachowań aplikacji umożliwiając przegląd zestawienia zachowań użytkowników z informacją o zagrożeniach. 13) Kontrolowanie dostępu do danych wrażliwych występujących w aplikacjach , które system ma chronić. 14) Przyśpieszenie procesów reagowania na incydenty naruszenia bezpieczeństwa oraz procesów śledczych dzięki zastosowaniu technik analitycznych. 15) Automatyczne uczenie się struktury danej aplikacji webowej oraz zachowań użytkowników, profil aplikacji Web musi być budowany w sposób automatyczny poprzez analizę ruchu sieciowego. Musi istnieć możliwość automatycznej aktualizacji profilu w przypadku wystąpienia zmiany w strukturze aplikacji. 16) System musi posiadać możliwość sprawdzenia, które z wykorzystywanych pól aplikacji są typu „read-only” i nie mogą być zmieniane przez klientów. 17) Wykrywanie ruchu sieciowego pochodzącego z potencjalnie niebezpiecznych źródeł w tym sieci TOR- ukrywania źródła ataku, szkodliwe adresy IP z których wielokrotnie zaatakowano inne strony Internetowe. 18) Tworzenie wirtualnych poprawek dla aplikacji poprzez integrację ze skanerem podatności. 19) Musi istnieć możliwość tworzenia własnych raportów, zarówno w formie tekstowej jak i reprezentacji graficznej bezpośrednio z centralnego serwera zarządzającego oraz możliwość cyklicznego wysyłania raportów wiadomością e-mail. Rozwiązanie musi posiadać funkcję wysyłania informacji o zdarzeniach: poprzez protokół SNMP. System musi posiadać możliwość wygenerowania gotowych raporty dotyczących: alarmów bezpieczeństwa, zdarzeń systemowych, zmian w profilach aplikacji, ostrzeżeń, ataków, prób włamań. 20) Tworzenie tzw. "białej listy" akceptowanych zachowań użytkownika (profilowanie chronionych aplikacji), nie może dodawać do profilu informacji pochodzących z przeprowadzanych ataków. 21) Automatyczne wykrywanie niepożądanych atrybutów, niezgodnych z protokołem HTTP. 22) System powinien analizować słabe punkty zgłaszane przynajmniej przez Bugtraq, CVE, Snort. 23) Powienien posiadać ochronę przed botami. 24) Umożliwiać zaimplementowanie CAPTCHA oraz posiadać możliwość wirtualnego "patchowania" aplikacji. 25) Powinien posiadać możliwość geolokalizacji adresów IP – położenie geograficzne będące źródłem ataków i blokady dostępu. 26) System w przypadku ataku powinien umożliwić: blokowanie pakietu oraz źródła ataku w postaci adresu IP, nazwy użytkownika lub sesji (jeżeli użytkownik uwierzytelnił się w systemie). 27) Musi istnieć możliwość uruchomienia skryptu shell w przypadku wykrycia incydentu. 28) Wykrywanie phishingowych adresów URL – fałszywe strony internetowe (adresy URL) używane podczas ataków phishingowych. 29) Wykrywanie adresów IP znanych, aktywnych spamerów, adresów atakujących (serwis reputacyjny, udostępniający listy niebezpiecznych adresów IP. 30) Wykryć adresy z których wykonywane są krytyczne incydenty SQL Injection oraz Remote File Inclusion, anonimowe proxy maskujące tożsamość użytkowników oraz adresy IP znane ze spamowania na forach internetowych. Baza adresów IP musi być pogrupowana według zagrożeń a także automatycznie aktualizowana. 31) Rozwiązanie musi posiadać reguły dotyczące identyfikacji incydentów typu web scraping poprzez zliczanie ilości odwołań do serwisu, oraz identyfikację ataków z sieci Bot dzięki wykorzystaniu skryptów java wykonywanych w przeglądarce klienta. 32) Ochrona przed atakami CSRF bez modyfikacji ruchu HTTP. 33) Aktualizacja systemu musi być dostępna zarówno poprzez ręczne pobranie zawartości ze strony producenta jak i automatycznie, poprzez zdefiniowanie terminów wykonania procedury aktualizacji. 34) Powinien posiadać możliwość integracji z systemem SIEM (syslog) - ManageEngine Eventlog Analyzer. 35) Powinien posiadać możliwość zarządzania prawami użytkowników dla plików przechowywanych na serwerach oraz sieciowych pamięciach masowych nie ograniczając przy tym wydajności i dostępności serwera plików, sygnalizować lub blokować żądania dostępu naruszające politykę korporacyjną dotyczącą bezpieczeństwa plików. 36) System powinien posiadać możliwość rozwoju funkcjonalności o ochronę bazy danych. 37) Tworzenie wirtualnych poprawek dla aplikacji poprzez integrację ze skanerami podatności. 38) System powinien klasyfikować wagę, typ zagrożenia i oznaczać go np. kolorem (system powinien korzystać z bazy podatności, prób ataków producenta). W przypadku znanych ataków system powinien automatycznie blokować zagrożenie.


II.5) Główny kod CPV:
32420000-3

Dodatkowe kody CPV:
72265000-0

II.6) Całkowita wartość zamówienia
(jeżeli zamawiający podaje informacje o wartości zamówienia):
Wartość bez VAT:
Waluta:


II.7) Czy przewiduje się udzielenie zamówień, o których mowa w art. 67 ust. 1 pkt 6 i 7 lub w art. 134 ust. 6 pkt 3 ustawy Pzp:
nie

II.8) Okres, w którym realizowane będzie zamówienie lub okres, na który została zawarta umowa ramowa lub okres, na który został ustanowiony dynamiczny system zakupów:


II.9) Informacje dodatkowe:

IV.1) OPIS


IV.1.1) Tryb udzielenia zamówienia:
przetarg nieograniczony

IV.1.2) Zamawiający żąda wniesienia wadium:


IV.1.3) Przewiduje się udzielenie zaliczek na poczet wykonania zamówienia:


IV.1.4) Wymaga się złożenia ofert w postaci katalogów elektronicznych lub dołączenia do ofert katalogów elektronicznych:


IV.1.5.) Wymaga się złożenia oferty wariantowej:


IV.1.6) Przewidywana liczba wykonawców, którzy zostaną zaproszeni do udziału w postępowaniu

(przetarg ograniczony, negocjacje z ogłoszeniem, dialog konkurencyjny, partnerstwo innowacyjne)

IV.1.7) Informacje na temat umowy ramowej lub dynamicznego systemu zakupów:


IV.1.8) Aukcja elektroniczna


Przewidziane jest przeprowadzenie aukcji elektronicznej
(przetarg nieograniczony, przetarg ograniczony, negocjacje z ogłoszeniem) nie

Należy wskazać elementy, których wartości będą przedmiotem aukcji elektronicznej:


Przewiduje się ograniczenia co do przedstawionych wartości, wynikające z opisu przedmiotu zamówienia:

nie
Należy podać, które informacje zostaną udostępnione wykonawcom w trakcie aukcji elektronicznej oraz jaki będzie termin ich udostępnienia:
Informacje dotyczące przebiegu aukcji elektronicznej:
Jaki jest przewidziany sposób postępowania w toku aukcji elektronicznej i jakie będą warunki, na jakich wykonawcy będą mogli licytować (minimalne wysokości postąpień):
Informacje dotyczące wykorzystywanego sprzętu elektronicznego, rozwiązań i specyfikacji technicznych w zakresie połączeń:
Wymagania dotyczące rejestracji i identyfikacji wykonawców w aukcji elektronicznej:
Informacje o liczbie etapów aukcji elektronicznej i czasie ich trwania:

IV.2) KRYTERIA OCENY OFERT


IV.2.1) Kryteria oceny ofert:


IV.2.2) Kryteria



IV.2.3) Zastosowanie procedury, o której mowa w art. 24aa ust. 1 ustawy Pzp
(przetarg nieograniczony)
nie

IV.3) Negocjacje z ogłoszeniem, dialog konkurencyjny, partnerstwo innowacyjne


IV.3.1) Informacje na temat negocjacji z ogłoszeniem

Minimalne wymagania, które muszą spełniać wszystkie oferty:

Przewidziane jest zastrzeżenie prawa do udzielenia zamówienia na podstawie ofert wstępnych bez przeprowadzenia negocjacji nie
Przewidziany jest podział negocjacji na etapy w celu ograniczenia liczby ofert: nie
Należy podać informacje na temat etapów negocjacji (w tym liczbę etapów):

Informacje dodatkowe



IV.3.2) Informacje na temat dialogu konkurencyjnego

Opis potrzeb i wymagań zamawiającego lub informacja o sposobie uzyskania tego opisu:

Informacja o wysokości nagród dla wykonawców, którzy podczas dialogu konkurencyjnego przedstawili rozwiązania stanowiące podstawę do składania ofert, jeżeli zamawiający przewiduje nagrody:

Wstępny harmonogram postępowania:

Podział dialogu na etapy w celu ograniczenia liczby rozwiązań: nie
Należy podać informacje na temat etapów dialogu:


Informacje dodatkowe:


IV.3.3) Informacje na temat partnerstwa innowacyjnego

Elementy opisu przedmiotu zamówienia definiujące minimalne wymagania, którym muszą odpowiadać wszystkie oferty:

Podział negocjacji na etapy w celu ograniczeniu liczby ofert podlegających negocjacjom poprzez zastosowanie kryteriów oceny ofert wskazanych w specyfikacji istotnych warunków zamówienia:
nie
Informacje dodatkowe:


IV.4) Licytacja elektroniczna

Adres strony internetowej, na której będzie prowadzona licytacja elektroniczna:
Adres strony internetowej, na której jest dostępny opis przedmiotu zamówienia w licytacji elektronicznej:
Wymagania dotyczące rejestracji i identyfikacji wykonawców w licytacji elektronicznej, w tym wymagania techniczne urządzeń informatycznych:
Sposób postępowania w toku licytacji elektronicznej, w tym określenie minimalnych wysokości postąpień:
Informacje o liczbie etapów licytacji elektronicznej i czasie ich trwania: Termin otwarcia licytacji elektronicznej:
Termin i warunki zamknięcia licytacji elektronicznej:

Istotne dla stron postanowienia, które zostaną wprowadzone do treści zawieranej umowy w sprawie zamówienia publicznego, albo ogólne warunki umowy, albo wzór umowy:

Wymagania dotyczące zabezpieczenia należytego wykonania umowy:

Informacje dodatkowe:

IV.5) ZMIANA UMOWY


Przewiduje się istotne zmiany postanowień zawartej umowy w stosunku do treści oferty, na podstawie której dokonano wyboru wykonawcy:
tak
Należy wskazać zakres, charakter zmian oraz warunki wprowadzenia zmian:
Zamawiający dopuszcza możliwość zmiany umowy w sytuacjach, o których mowa w art. 144 ust. 1 ustawy Pzp, tzn: 1) Zamawiający dopuszcza możliwość zmiany umowy m.in. w następujących sytuacjach: zachodzi konieczność zmiany harmonogramu lub terminu końcowego wykonania przedmiotu zamówienia, w przypadku, gdy nie można było tego przewidzieć w chwili podpisania umowy; b) niezbędna jest zmiana sposobu wykonania zobowiązania, o ile zmiana taka jest korzystna dla Zamawiającego lub jest konieczna w celu prawidłowego wykonania umowy; c) jeżeli nastąpi zmiana powszechnie obowiązujących przepisów prawa w zakresie mającym wpływ na realizację przedmiotu zamówienia, a w szczególności w przypadku ustawowej zmiany podatku VAT; d) zachodzi konieczność zmiany w zakresie podwykonawstwa, za uprzednią zgodą zamawiającego: możliwe jest powierzenie podwykonawcom innego zakresu części zamówienia niż wskazany w ofercie Wykonawcy, a także możliwa jest zmiana podwykonawcy na etapie realizacji zamówienia, o ile nie jest to sprzeczne z postanowieniami SIWZ; e) możliwa jest korzystna dla Zamawiającego zmiana terminu i sposobu płatności za realizację przedmiotu zamówienia. 2) zmiany dotyczą realizacji dodatkowych zamówień od dotychczasowego Wykonawcy, nieobjętych zamówieniem podstawowym, o ile stały się niezbędne i zostały spełnione łącznie następujące warunki: a) zmiana Wykonawcy nie może zostać dokonana z powodów ekonomicznych lub technicznych, w szczególności dotyczących zamienności lub interoperacyjności sprzętu, usług lub instalacji, zamówionych w ramach zamówienia podstawowego, b) zmiana Wykonawcy spowodowałaby istotną niedogodność lub znaczne zwiększenie kosztów dla Zamawiającego, c) wartość każdej kolejnej zmiany nie przekracza 50% wartości zamówienia określonej pierwotnie w umowie; 3) zostały spełnione łącznie następujące warunki: a) konieczność zmiany umowy spowodowana jest okolicznościami, których Zamawiający, działając z należytą starannością, nie mógł przewidzieć, b) wartość zmiany nie przekracza 50% wartości zamówienia określonej pierwotnie w umowie; 4) Wykonawcę, któremu Zamawiający udzielił zamówienia, ma zastąpić nowy Wykonawca: a) w wyniku połączenia, podziału, przekształcenia, upadłości, restrukturyzacji lub nabycia dotychczasowego wykonawcy lub jego przedsiębiorstwa, o ile nowy wykonawca spełnia warunki udziału w postępowaniu, nie zachodzą wobec niego podstawy wykluczenia oraz nie pociąga to za sobą innych istotnych zmian umowy, b) w wyniku przejęcia przez Zamawiającego zobowiązań Wykonawcy względem jego podwykonawców; 5) zmiany, niezależnie od ich wartości, nie są istotne, 6) łączna wartość zmian jest mniejsza niż kwoty określone w przepisach wydanych na podstawie art. 11 ust. 8 i jest mniejsza od 10% wartości zamówienia określonej pierwotnie w umowie w przypadku zamówień na usługi lub dostawy albo, w przypadku zamówień na roboty budowlane - jest mniejsza od 15% wartości zamówienia określonej pierwotnie w umowie. Zmianą istotną postanowień umowy będzie zmiana, która: 1) zmienia ogólny charakter umowy, w stosunku do charakteru umowy lub umowy ramowej w pierwotnym brzmieniu; 2) nie zmienia ogólnego charakteru umowy i zachodzi co najmniej jedna z następujących okoliczności: a) zmiana wprowadza warunki, które, gdyby były postawione w postępowaniu o udzielenie zamówienia, to w tym postępowaniu wzięliby lub mogliby wziąć udział inni Wykonawcy lub przyjęto by oferty innej treści, b) zmiana narusza równowagę ekonomiczną umowy na korzyść Wykonawcy w sposób nieprzewidziany pierwotnie w umowie, c) zmiana znacznie rozszerza lub zmniejsza zakres świadczeń i zobowiązań wynikający z umowy, d) polega na zastąpieniu Wykonawcy, któremu Zamawiający udzielił zamówienia, nowym Wykonawcą, w przypadkach innych niż wymienione w pkt 4 powyżej. Przewidziane powyżej okoliczności stanowiące podstawę zmian do umowy, stanowią uprawnienie Zamawiającego nie zaś jego obowiązek wprowadzenia takich zmian. Wszelkie zmiany i uzupełnienia umowy wymagają formy pisemnej pod rygorem nieważności za zgodą obu stron. Wszelkie zmiany muszą być dokonywane z zachowaniem przepisu art. 140 ust. 1 i art. 140 ust. 3 ustawy Pzp stanowiącego, że umowa podlega unieważnieniu w części wykraczającej poza określenie przedmiotu zamówienia zawartego w SIWZ, z uwzględnieniem art. 144 ustawy Pzp. Ustala się, iż nie stanowi zmiany umowy w rozumieniu art. 144 ustawy Pzp: 1) zmiana nr rachunku bankowego, 2) zmiana danych teleadresowych. Zaistnienie okoliczności, o których mowa w niniejszym punkcie wymaga jedynie niezwłocznego pisemnego zawiadomienia drugiej Strony.

IV.6) INFORMACJE ADMINISTRACYJNE



IV.6.1) Sposób udostępniania informacji o charakterze poufnym
(jeżeli dotyczy):


Środki służące ochronie informacji o charakterze poufnym



IV.6.2) Termin składania ofert lub wniosków o dopuszczenie do udziału w postępowaniu:

Data: 29/09/2016, godzina: 09:45,
Skrócenie terminu składania wniosków, ze względu na pilną potrzebę udzielenia zamówienia (przetarg nieograniczony, przetarg ograniczony, negocjacje z ogłoszeniem):
nie
Wskazać powody:

Język lub języki, w jakich mogą być sporządzane oferty lub wnioski o dopuszczenie do udziału w postępowaniu
>

IV.6.3) Termin związania ofertą:
okres w dniach: 30 (od ostatecznego terminu składania ofert)

IV.6.4) Przewiduje się unieważnienie postępowania o udzielenie zamówienia, w przypadku nieprzyznania środków pochodzących z budżetu Unii Europejskiej oraz niepodlegających zwrotowi środków z pomocy udzielonej przez państwa członkowskie Europejskiego Porozumienia o Wolnym Handlu (EFTA), które miały być przeznaczone na sfinansowanie całości lub części zamówienia:
nie

IV.6.5) Przewiduje się unieważnienie postępowania o udzielenie zamówienia, jeżeli środki służące sfinansowaniu zamówień na badania naukowe lub prace rozwojowe, które zamawiający zamierzał przeznaczyć na sfinansowanie całości lub części zamówienia, nie zostały mu przyznane
nie

IV.6.6) Informacje dodatkowe: