Testy penetracyjne i przegląd konfiguracji środowiska AWS systemu eSConnect 3.0 oraz przegląd konfiguracji serwera PC (logger)

Usługi doradcze w zakresie działalności gospodarczej, w tym usługi badawcze i eksperymentalno-rozwojowe

Tryb zamówienia	Zapytanie ofertowe
Rodzaj zamówienia	Usługi
Tytuł	Testy penetracyjne i przegląd konfiguracji środowiska AWS systemu eSConnect 3.0 oraz przegląd konfiguracji serwera PC (logger)
Zamawiający	Dostępne dla zalogowanych
Miejsce realizacji	Polska
Data publikacji	2025-02-25
Data składania ofert	05/03/2025, Godzina 23:59
Dokumenty do pobrania	Dostępne dla zalogowanych
Kod CPV	720000005 Usługi informatyczne: konsultacyjne, opracowywania oprogramowania, internetowe i wsparcia 734300005 Testy i ocena 734310002 Testy i ocena sprzętu bezpieczeństwa 733000005 Projekt i realizacja badań oraz rozwój
Numer przetargu	6079406

<div>
<h1>Testy penetracyjne i przegląd konfiguracji środowiska AWS systemu eSConnect 3.0 oraz przegląd konfiguracji serwera PC (logger) jako komponent&oacute;w IT wspierających działanie 12 -metrowych autobus&oacute;w elektrycznych z napędem rozproszonym.</h1>
<h2>Załączniki</h2>
<ul>
<li><a href="https://bazakonkurencyjnosci.funduszeeuropejskie.gov.pl/api/files/1862786">Zapytanie ofertowe_eSConnect</a></li>
<li><a href="https://bazakonkurencyjnosci.funduszeeuropejskie.gov.pl/api/files/1862800">zał.1 Formularz ofertowy</a></li>
<li><a href="https://bazakonkurencyjnosci.funduszeeuropejskie.gov.pl/api/files/1862807">zał. 2 Oświadczenie o braku powiązań</a></li>
<li><a href="https://bazakonkurencyjnosci.funduszeeuropejskie.gov.pl/api/files/1862811">Zał. 3 Klauzula RODO</a></li>
<li><a href="https://bazakonkurencyjnosci.funduszeeuropejskie.gov.pl/api/files/1862813">zał. 4 Oświadczenie o spełnieniu warunk&oacute;w udziału w postępowaniu</a></li>
</ul>
<h2>Części zam&oacute;wienia</h2>
<h3>Testy penetracyjne i przegląd konfiguracji środowiska AWS</h3>
Przedmioty zam&oacute;wienia
a. Szczeg&oacute;łowy opis przedmiotu zam&oacute;wienia: Przedmiotem zam&oacute;wienia jest wykonanie test&oacute;w penetracyjnych i przeglądu konfiguracji (z wskazaniem słabości aktualnej konfiguracji i/lub brak implementacji najlepszych praktyk) dla wymienionych niżej składnik&oacute;w systemu eSConnect 3.0: AWS konto produkcyjne eSConnect zawierające: &bull; 1 x VPC (Public/Private Subnets) &bull; 5 x Elastic Load Balancer &bull; 9 x AutoScaling Groups + EC2 &bull; 1 x InfluxDB na EC2 &bull; 2 x Cluster RDS Aurora PostgreSQL &bull; 2 x ElastiCache Redis Cluster &bull; 35 x S3 Bucket &bull; 6 x AWS Lambda Functions &bull; Amazon Simple Email Service &bull; Route 53 &bull; VPC Peerings &bull; Site-To-Site VPNs Konto deweloperskie eSConnect zawierające: &bull; Odzwierciedla konfigurację konta produkcyjnego &bull; 7x CodePipeline pipelines &bull; 17x CodeBuild projects &bull; 9x CodeCommit repositories &bull; 13x CodeDeploy applications Konto archiwalne eSConnect zawierające: &bull; 1 x VPC (Public/Private Subnets) &bull; 1 x InfluxDB na EC2 (replika, ReadOnly) &bull; 10 x S3 Bucket &bull; VPC Peerings &bull; Site-To-Site VPNs Konto analityczne eSConnect zawierające: &bull; 1x VPC (Public/Private Subnets) &bull; 10 x S3 Buckets &bull; SageMaker Studio &bull; Athena &bull; VPC Peerings &bull; Site-To-Site VPNs Konto SSO &bull; IAM Identity Center Komputer PC (Logger) zawierający: &bull; System operacyjny Linux; edycja Debian Warstwa Aplikacji &bull; Aplikacja webowa &bull; Pozostałe serwerowe komponenty systemu (w tym mechanizm ładowania danych, transformacji i przechowywania danych) Procedury związane z bezpieczeństwem &bull; Przegląd istniejących procedur &bull; Przegląd ich zastosowania &bull; Przegląd testowania procedur Sugerowany minimalny zakres prac powinien uwzględniać: &bull; AWS Security Best Practices &bull; CIS AWS Foundations Benchmark &bull; AWS CIS Benchmark &bull; AWS Well-Architected Framework (inc. security, reliability, operational excellence) Szczeg&oacute;łowa lista zadań do realizacji obejmuje: &bull; Wykonanie przeglądu konfiguracji usług AWS z uwzględnieniem najlepszych praktyk w obszarach cyberbezpieczeństwa, niezawodności i doskonałości operacyjnej. &bull; Opracowanie i udokumentowanie scenariuszy test&oacute;w penetracyjnych. Scenariusz powinien obejmować przynajmniej: - opis scenariusza, opcjonalnie uzupełniony poglądowym rysunkiem, jeżeli uznano, że pomoże to wyjaśnić naturę scenariusza ataku, - opis oczekiwanego efektu, - techniczny opis realizacji ataku. &bull; Przeprowadzenie test&oacute;w w oparciu o zdefiniowane scenariusze wraz z szczeg&oacute;łowym udokumentowaniem wynik&oacute;w realizacji poszczeg&oacute;lnych scenariuszy. W szczeg&oacute;lności wyniki test&oacute;w powinny zawierać jednoznaczne dowody efekt&oacute;w realizacji scenariuszy na przykład w postaci: -listing&oacute;w (i/lub zrzut&oacute;w ekranu) z oprogramowania wykorzystanego do przeprowadzenia w/w zdefiniowanych atak&oacute;w. &bull; Przegląd opracowanych procedur. &bull; Przygotowanie końcowego raportu z realizacji przeglądu konfiguracji, dokumentacji i test&oacute;w penetracyjnych kt&oacute;ry będzie zawierał: - Zidentyfikowane braki i luki w konfiguracji wykorzystywanych usług AWS oraz komputera Logger. - Zdefiniowane scenariusze test&oacute;w penetracyjnych wraz z opisem realizacji tak jak podano powyżej. - Zidentyfikowane podatności (luki bezpieczeństwa) wraz z:  określeniem poziomu istotności podatności w oparciu o wybrany system oceny istotności podatności,  opisem podatności popartym dowodami istnienia podatności tak jak wskazano w punkcie dot. realizacji scenariuszy ataku,  rekomendacjami dotyczącymi sposobu usunięcia podatności lub zastosowania kompensujących zabezpieczeń w celu obniżenia ryzyka wykorzystania podatności. b. Kody CPV zam&oacute;wienia: 73300000-5 Projekt i realizacja badań oraz rozw&oacute;j 73430000-5 Testy i ocena 73431000-2 Testy i ocena sprzętu bezpieczeństwa c. Miejsce realizacji zam&oacute;wienia - nie dotyczy. Usługi wykonywane zdalnie, za wyjątkiem komputera PC (Logger), kt&oacute;ry zostanie dostarczony do Wykonawcy na czas realizacji test&oacute;w. d. Termin realizacji zam&oacute;wienia &ndash; Szczeg&oacute;łowy termin rozpoczęcia zostanie uzgodniony z wybranym Wykonawcą. Planowany harmonogram realizacji zam&oacute;wienia: &bull; Zawarcie umowy: marzec 2025 &bull; Okno realizacji test&oacute;w: kwiecień 2025 &bull; Zakończenie projektu (łącznie z przekazaniem finalnego raportu): do 15.05.2025 e. Termin związania ofertą (termin ważności oferty) &ndash; 30 dni kalendarzowych licząc od dnia następującego po dniu, w kt&oacute;rym przypada termin składania ofert. Na żądanie Zamawiającego oferenci mogą być jednokrotnie zobowiązani do przedłużenia terminu związania ofertą o dodatkowe 60 dni, pod rygorem odrzucenia oferty. f. Zamawiający nie dopuszcza możliwości składania ofert częściowych. g. Zamawiający nie dopuszcza możliwości składania ofert wariantowych. h. Podwykonawstwo - Zamawiający nie dopuszcza możliwości zlecania (podzlecania) całości lub części zam&oacute;wienia innym podmiotom niż Wykonawca w formie podwykonawstwa rozumianego jako przekazanie odpowiedzialności za realizację części zam&oacute;wienia osobom trzecim działającym niezależnie od Wykonawcy. Dopuszcza się jednak wykonywanie zam&oacute;wienia przy pomocy os&oacute;b zatrudnionych przez Wykonawcę na podstawie um&oacute;w cywilnoprawnych (np. B2B, um&oacute;w zlecenia), o ile osoby te działają pod nadzorem i na ryzyko Wykonawcy. R&oacute;wnoważność Wszędzie tam, gdzie przedmiot zam&oacute;wienia jest opisany poprzez wskazanie znak&oacute;w towarowych, patent&oacute;w lub pochodzenia, źr&oacute;dła lub szczeg&oacute;lnego procesu dopuszcza się zastosowanie rozwiązań r&oacute;wnoważnych w stosunku do opisanych, pod warunkiem, że będą one posiadały co najmniej takie same lub lepsze parametry techniczne i funkcjonalne i nie obniżą określonych w dokumentacji standard&oacute;w. Wszędzie tam, gdzie przedmiot zam&oacute;wienia opisany jest przez odniesienie do norm, ocen technicznych, specyfikacji technicznych i system&oacute;w referencji technicznych dopuszcza się rozwiązania r&oacute;wnoważne opisywanym.
Okres gwarancji: zgodnie z umową
<h2>Kryteria oceny</h2>
Cena - waga kryterium 60%, maksymalna ilość punkt&oacute;w do zdobycia to 60. P= (C min/C obliczana)* P max P &ndash; ilość zdobytych punkt&oacute;w przez oferenta C min &ndash; najniższa zaoferowana cena C obliczana &ndash; cena zaproponowana przez oferenta P max &ndash; maksymalna liczba punkt&oacute;w do zdobycia
Doświadczenie personelu - max pkt 15. Lider zespołu wyznaczonego do realizacji zam&oacute;wienia posiada doświadczenie w realizacji projekt&oacute;w w obszarze automotiv cybersecurity w wymiarze: - 0-3 projekt&oacute;w &ndash; 0 pkt - 4-6 projekt&oacute;w &ndash; 5 pkt - 6-9 projekt&oacute;w - 10 pkt - 10 i więcej projekt&oacute;w - 15 pkt
Kwalifikacje personelu - max 15 pkt Lider zespołu posiada certyfikację w obszarze cybersecurity: - 0-2 szkolenia i/lub posiadane certyfikaty - 0 pkt - 3-4 szkolenia i/lub posiadane certyfikaty - 5 pkt - 5-6 szkoleń i/lub posiadanych certyfikat&oacute;w - 10 pkt - &gt;7 szkoleń i/lub certyfikat&oacute;w - 15 pkt
Stosowanie zatwierdzonej, jak i wdrożonej wewnętrznie polityki r&oacute;wności szans i niedyskryminacji (w tym os&oacute;b niepełnosprawnych), tj. posiadanie kodeksu etyki, procedur antydyskryminacyjnych lub certyfikatu zgodności z normą ISO 30415 (Zarządzanie r&oacute;żnorodnością i inkluzją) &ndash; 5 pkt
Stosowanie przez Wykonawcę praktyk proekologicznych udokumentowane posiadaniem certyfikatu normy zarządzania środowiskowego ISO 14001, wydanego przez akredytowaną jednostkę certyfikującą &ndash; 5 pkt
<h2>Warunki zmiany umowy</h2>
1. Strony dopuszczają możliwość dokonania zmian postanowień Umowy w stosunku do treści oferty, na podstawie kt&oacute;rej dokonano wyboru Wykonawcy, w przypadku wystąpienia co najmniej jednej z okoliczności wymienionych poniżej, z uwzględnieniem wskazanych w Umowie warunk&oacute;w ich wprowadzenia, tj.: 1) zmiany zakresu prac, w przypadku: a) wystąpienia konieczności zmiany zakresu prac Wykonawcy w celu zapewnienia realizacji cel&oacute;w Zamawiającego, o kt&oacute;rych mowa w Zapytaniu Ofertowym; b) wystąpienia przyczyn zewnętrznych niezależnych od Zamawiającego i Wykonawcy niemożliwych do przewidzenia na etapie składania zam&oacute;wienia skutkujących koniecznością zmiany zakresu prac; - w kt&oacute;rym to przypadku Strony mogą zmienić zakres prac w zakresie niezbędnym do zapewnienia wykonania niniejszej Umowy zgodnie z jej celem. 2) zmiany terminu realizacji, w przypadku: a) wystąpienia przyczyn zewnętrznych niezależnych od Zamawiającego lub Wykonawcy skutkujących niemożliwością dotrzymania pierwotnych termin&oacute;w wynikających z Umowy (w szczeg&oacute;lności: wystąpienia zdarzenia o charakterze siły wyższej); b) konieczności zmiany harmonogramu projektu przez Zamawiającego, w szczeg&oacute;lności w przypadku op&oacute;źnienia Zamawiającego w realizacji projektu, kt&oacute;rego częścią jest niniejsza Umowa, co może nastąpić np. z powodu op&oacute;źnień w uzyskaniu dofinansowania dla tego projektu; z powodu zmiany harmonogramu projektu i kolejności realizacji poszczeg&oacute;lnych działań spoza niniejszej umowy, a mających wpływ na terminy zlecania prac objętych umową; c) zmiany zakresu prac w przypadkach wskazanych w pkt 1) powyżej; - w kt&oacute;rym to przypadku Strony mogą zmienić terminy realizacji poszczeg&oacute;lnych zleceń lub czas ich trwania w zakresie niezbędnym do dostosowania ich do okoliczności, o kt&oacute;rych mowa powyżej; 3) zmiany Wynagrodzenia Wykonawcy, w przypadku zmiany zakresu prac, o kt&oacute;rych mowa w pkt 1) powyżej, jeżeli zostanie wykazane, że zmiana ta będzie miała wpływ na koszty Wykonawcy związane z realizacją niniejszej Umowy. 2. Zmiany Umowy, o kt&oacute;rych mowa w ust. 1, są możliwe wyłącznie pod warunkiem udokumentowania uzasadniających je okoliczności. Wykonawca zobowiązany jest w szczeg&oacute;lności należycie uzasadnić i udokumentować wpływ okoliczności, o kt&oacute;rych mowa powyżej, na jego wynagrodzenie oraz terminy wykonania poszczeg&oacute;lnych etap&oacute;w Umowy. Na żądanie Zamawiającego Wykonawca zobowiązany jest przedstawić wszelkie dodatkowe dane, wyjaśnienia, wyliczenia lub informacje uzasadniające żądanie zmiany Umowy. 3. Przypadki określone w ust. 1 zawierają katalog zmian, na kt&oacute;re Zamawiający może wyrazić zgodę, lecz nie stanowią jednocześnie zobowiązania do wyrażenia takiej zgody. 4. Zmiany Umowy w innych przypadkach niż wskazane powyżej mogą zostać wprowadzone wyłącznie pod warunkiem dopuszczalności ich wprowadzenia na podstawie pkt 3.2.4 Umowy, Podrozdział 3.2 Zasada konkurencyjności Wytycznych w zakresie kwalifikowalności wydatk&oacute;w na lata 2021-2027. Dla uniknięcia wątpliwości, okoliczność, że poszczeg&oacute;lne zmiany Umowy mogą być dopuszczone na podstawie pkt 6 ppkt 1 oraz pkt 3.2.4 Wytycznych w zakresie kwalifikowalności wydatk&oacute;w na lata 2021-2027, nie zobowiązuje Zamawiającego do uzgadniania jakichkolwiek zmian niniejszej Umowy.
</div>