Biuletyn Informacji Publicznej Sanockiego Przedsiębiorstwa Gospodarki Komunalnej

Opis przedmiotu zamówienia

1) Zadanie 1 – Audyt zgodności z ustawą o KSC z uwzględnieniem dyrektywy NIS 2

Wykonawca przeprowadzi audyt obejmujący weryfikację realizacji przez Zamawiającego obowiązków wymaganych od podmiotów kluczowych i ważnych, w zakresie: zarządzania ryzykiem cyberbezpieczeństwa; ustanowienia i stosowania regulacji wewnętrznych dotyczących polityki zarządzania ryzykiem i oceny skuteczności środków, polityk bezpieczeństwa systemów informatycznych, bezpieczeństwa łańcucha dostaw, cyberbezpieczeństwa, obsługi incydentów, bezpieczeństwa w procesie nabywania, rozwoju i utrzymania sieci i systemów, postępowania z podatnościami, stosowania kryptografii, uwierzytelniania, ciągłości działania i przywracania działalności, kopii zapasowych, bezpieczeństwa zasobów ludzkich, bezpieczeństwa fizycznego, kontroli dostępu, zarządzania aktywami, prowadzenia audytów bezpieczeństwa oraz ochrony danych osobowych; szkoleń kadry i pracowników; stosowania certyfikowanych produktów, usług i procesów ICT; korzystania z kwalifikowanych usług zaufania; gotowości do zgłaszania incydentów poważnych do właściwego CSIRT, powiadamiania odbiorców usług oraz uczestnictwa w mechanizmach wymiany informacji.

Zamawiający dysponuje jedynie szczątkową dokumentacją z obszaru cyberbezpieczeństwa. Audyt będzie miał charakter analizy luk (gap analysis): Wykonawca samodzielnie zidentyfikuje wszystkie obszary wymagające uregulowania, a stan faktyczny ustali przede wszystkim na podstawie wywiadów z personelem, oględzin oraz weryfikacji technicznej konfiguracji systemów – nie zaś wyłącznie na podstawie analizy dokumentów; brak dokumentacji w danym obszarze zostanie odnotowany jako niezgodność ze wskazaniem dokumentów wymagających opracowania. Kryteriami audytu są (wg stanu prawnego na dzień realizacji, z obowiązkiem uwzględnienia znowelizowanej ustawy o KSC i aktów wykonawczych): dyrektywa NIS 2; ustawa o KSC z aktami wykonawczymi; rozporządzenia wykonawcze dotyczące usług kluczowych, progów incydentów, rodzajów dokumentacji oraz warunków organizacyjnych i technicznych; RODO w zakresie bezpieczeństwa przetwarzania; normy ISO/IEC 27001:2022 i PN-EN ISO/IEC 27001:2017-06, a pomocniczo – w zakresie ciągłości działania – PN-EN ISO 22301:2020-04 oraz normy bezpieczeństwa fizycznego (PN-EN 1627, PN-EN 12209, PN-EN 50131-1).

Audyt zostanie przeprowadzony w sposób spełniający wymagania audytu bezpieczeństwa systemu informacyjnego z art. 15 ustawy o KSC, przez audytorów spełniających wymagania określone przepisami (wymagane certyfikaty lub równoważne uprawnienia albo co najmniej dwóch audytorów z wymaganym doświadczeniem); dokumenty potwierdzające te wymagania Wykonawca przedłoży przed rozpoczęciem audytu. Wynikiem Zadania 1 jest raport wskazujący audytowane obszary, ocenę stanu, niezgodności i luki oraz rekomendacje z priorytetyzacją, w tym kompletny wykaz obszarów do uregulowania i dokumentów do opracowania – stanowiący podstawę zakresu prac Zadań 2 i 3, a także zawierający elementy wymagane przepisami dla sprawozdania z audytu.

2)Zadanie 2 – Wdrożenie SZBI (ISO/IEC 27001:2022)

Zakres SZBI obejmie całą organizację Zamawiającego – wszystkie jednostki, lokalizacje oraz systemy IT i przemysłowe (OT/SCADA), w tym systemy wspierające świadczenie usług kluczowych; nie dopuszcza się zawężenia zakresu. Audyt z Zadania 1 zastępuje wstępny audyt bezpieczeństwa informacji. Wdrożenie nastąpi w trzech etapach:

– Etap 1: propozycja składu i regulaminu zespołu ds. cyberbezpieczeństwa i ciągłości działania wraz z projektem aktu powołującego; identyfikacja i udokumentowanie procesów wpływających na usługi kluczowe; szkolenie zespołu wdrożeniowego z ISO/IEC 27001:2022; pełna identyfikacja aktywów informacyjnych z rejestrem aktywów (właściciele, lokalizacja, wymagania ochrony); zasady klasyfikacji informacji wraz z przeprowadzeniem klasyfikacji; analiza kontekstu organizacji; ocena ryzyka i szans (identyfikacja, analiza, ewaluacja, postępowanie z ryzykiem, monitorowanie) wraz z „Planem postępowania z ryzykiem”.

– Etap 2: kompletna dokumentacja systemowa (nadzór nad udokumentowanymi informacjami, audyty wewnętrzne, działania korygujące, przeglądy zarządzania i pozostała dokumentacja wymagana normą i KSC); polityka bezpieczeństwa informacji; cele bezpieczeństwa; dokumentacja SZBI obejmująca zabezpieczenia załącznika A do ISO/IEC 27001:2022 w pełnym zakresie (organizacyjne, ludzkie, fizyczne, technologiczne) z mapowaniem na wymagania ustawy o KSC i NIS 2; „Deklaracja stosowania zabezpieczeń”.

– Etap 3: szkolenie kadry zarządzającej z obowiązków i odpowiedzialności kierownictwa podmiotu kluczowego (KSC/NIS 2); szkolenia pracowników z dokumentacji SZBI; szkolenia audytorów wewnętrznych; plan (program) audytów wewnętrznych; przeprowadzenie pełnego audytu wdrożonego Systemu Zarządzania Bezpieczeństwem Informacji (audyt SZBI), obejmującego wszystkie wymagania normy ISO/IEC 27001:2022 oraz zabezpieczenia ujęte w Deklaracji stosowania, zakończonego Raportem z audytu SZBI zawierającym: zakres i kryteria audytu, wykaz ustaleń i niezgodności wraz z ich klasyfikacją, ocenę skuteczności wdrożonych zabezpieczeń oraz rekomendacje doskonalące; przegląd zarządzania z raportem; działania korygujące z planem wdrożenia. Audyt SZBI zostanie przeprowadzony zgodnie z wytycznymi PN-EN ISO 19011, przez członka zespołu Wykonawcy posiadającego certyfikat audytora wiodącego SZBI, który nie brał udziału w opracowywaniu audytowanej dokumentacji – w celu zachowania zasady, że audytor nie ocenia wyników własnej pracy. Wykonawca wskaże tę osobę w wykazie osób z podaniem pełnionej roli.

Szkolenia: w języku polskim, stacjonarnie w siedzibie Zamawiającego lub zdalnie (forma i liczba grup do uzgodnienia); materiały szkoleniowe w wersji elektronicznej z prawem dalszego wykorzystywania wewnętrznego; listy obecności i zaświadczenia dla uczestników; organizacja umożliwiająca udział wszystkich pracowników bez zakłócenia ciągłości pracy przedsiębiorstwa.

3) Zadanie 3 – Kompletna dokumentacja (KSC / NIS 2 / RODO) oraz procedury utrzymania oprogramowania

Wykonawca opracuje kompletną, gotową do zatwierdzenia i stosowania dokumentację (polityki i procedury) wymaganą od podmiotów kluczowych i ważnych, obejmującą co najmniej: zarządzanie aktywami; szacowanie ryzyka; bezpieczeństwo systemu informacyjnego; bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu (w tym testowania); bezpieczeństwo fizyczne i środowiskowe; bezpieczeństwo zasobów ludzkich; bezpieczeństwo i ciągłość łańcucha dostaw ICT; ciągłość działania i plany odtworzeniowe; monitorowanie w trybie ciągłym systemów usług kluczowych; kryptografię; bezpieczeństwo komunikacji; kontrolę dostępu; uwierzytelnianie; zarządzanie incydentami (w tym procedury zgłaszania incydentów poważnych do CSIRT i powiadamiania odbiorców usług); zarządzanie zagrożeniami i podatnościami; kopie zapasowe i odtwarzanie danych; prowadzenie audytów bezpieczeństwa.

W zakresie przetwarzania danych osobowych – dokumentacja zapewniająca zgodność z RODO i spójność z SZBI: polityka ochrony danych; procedura naruszeń zintegrowana z zarządzaniem incydentami; metodyka i wzory analizy ryzyka dla praw i wolności oraz DPIA ze wskazaniem procesów jej wymagających; zasady relacji z dostawcami (umowy powierzenia, weryfikacja procesorów) w powiązaniu z łańcuchem dostaw; retencja i usuwanie danych; aktualizacja rejestru czynności przetwarzania – o ile audyt wykaże potrzebę.

Procedury utrzymania oprogramowania komercyjnego i open source obejmą co najmniej: inwentaryzację oprogramowania i komponentów open source (właściciele, wersje, środowiska, krytyczność); zarządzanie licencjami komercyjnymi (ewidencja, terminy wsparcia, odnowienia, zgodność); patch management (klasyfikacja poprawek, terminy wdrożeń wg krytyczności, testowanie, okna serwisowe, rollback); monitorowanie podatności (biuletyny producentów, CVE/NVD, komunikaty CSIRT); zasady postępowania z open source (ocena projektu, śledzenie wydań, aktualizacja komponentów, postępowanie przy porzuceniu projektu lub zmianie licencji); zarządzanie końcem wsparcia EOL/EOS z planem migracji lub środkami kompensacyjnymi; zasady instalacji i zarządzania konfiguracją; utrzymanie oprogramowania w środowiskach OT/SCADA z uwzględnieniem ograniczeń aktualizacji systemów przemysłowych. Cała dokumentacja: w języku polskim, dostosowana do struktury i środowiska Zamawiającego (nie dopuszcza się wzorców ogólnych), przekazana w wersji edytowalnej (DOCX) i PDF.

4) Zadanie 4 – Testy penetracyjne infrastruktury sieciowej

Testy zostaną przeprowadzone manualnie i automatycznie, z wykorzystaniem specjalistycznych narzędzi i własnych skryptów, w oparciu o metodykę OSSTMM. Zakres: weryfikacja dokumentacji i topologii sieci; rekonesans (identyfikacja hostów, usług i systemów, dostępność podsieci, wykrycie podatności) powtórzony dla każdej wskazanej sieci; skanowanie najistotniejszych hostów wybranych z Zamawiającym (serwery, kluczowe stacje, kamery, rejestratory) – luki usług, systemów i oprogramowania firm trzecich, weryfikacja haseł i dostępu; sprawdzenie haseł domyślnych (serwery, bramy, przełączniki); możliwość wylistowania użytkowników i zdobycia haseł; dostęp do zasobów współdzielonych; zabezpieczenia urządzeń sieciowych; zdalne testy adresów publicznych. Testy nie mogą zakłócić ciągłości usług kluczowych; testy w segmentach OT/SCADA i testy wpływające na dostępność – każdorazowo uzgadniane co do zakresu, metody i terminu. W ramach wynagrodzenia: jednokrotny retest podatności o ryzyku wysokim i krytycznym (po zgłoszeniu ich usunięcia, nie później niż 3 miesiące od przekazania raportu) z raportem z retestu oraz aktualizacja analizy ryzyka i „Planu postępowania z ryzykiem” o wyniki testów.

5) Zadanie 5 obejmuje:

(a) przeprowadzenie kontrolowanej kampanii socjotechnicznej – co najmniej dwie fale wiadomości phishingowych skierowane do wszystkich użytkowników poczty elektronicznej Zamawiającego, w tym co najmniej jeden scenariusz ukierunkowany na specjalistów pełniących obowiązki w ramach SZBI, oraz co najmniej jedną próbę socjotechniczną kanałem telefonicznym (vishing) – z weryfikacją zgodności reakcji personelu z procedurami wdrożonymi w ramach Zadań 2 i 3; (b) symulowany atak o charakterze edukacyjnym z natychmiastową informacją zwrotną dla użytkowników (moduł budowania świadomości); (c) przygotowanie i przeprowadzenie ćwiczenia symulacyjnego typu table-top (minimum 4 godziny) z zakresu reagowania na incydent i zarządzania kryzysowego, opartego na planach ciągłości działania wdrożonych w ramach Zadania 2, z udziałem kadry zarządzającej i zespołu SZBI. Produkty Zadania 5: raport z kampanii socjotechnicznej (statystyki, ocena reakcji, rekomendacje) oraz raport z ćwiczenia (wnioski i rekomendacje doskonalące).

6) Zadanie 6 (prawo opcji) obejmuje:

wsparcie w pełnieniu funkcji Pełnomocnika ds. SZBI od dnia aktywowania opcji do dnia [30.12.2026 r.], w łącznym wymiarze do 40 godzin, w tym: konsultacje w utrzymaniu i doskonaleniu SZBI, asystę przy przeglądzie zarządczym, aktualizację analizy ryzyka i dokumentacji w związku ze zmianami w infrastrukturze, wsparcie przy obsłudze incydentów i raportowaniu do właściwego CSIRT. Zamawiający może skorzystać z prawa opcji w terminie do 1 miesiąca od odbioru Zadań 2 i 3, nie później jednak niż do dnia [31.10.2026 r.], składając Wykonawcy pisemne oświadczenie; nieskorzystanie z opcji w całości lub części nie rodzi po stronie Wykonawcy żadnych roszczeń.

7) Dokumentacja

Wykonawca przekaże: raport z audytu zgodności (Zadanie 1); komplet dokumentacji SZBI z Deklaracją stosowania i Planem postępowania z ryzykiem, Raport z audytu SZBI oraz raport z przeglądu zarządzania wraz z planem działań korygujących (Zadanie 2); komplet dokumentacji Zadania 3 wraz z procedurami utrzymania oprogramowania; raport z testów penetracyjnych (elementy z podatnościami, klasyfikacja ryzyka wysokie/średnie/niskie, zalecenia dla każdej podatności, zestawienie zbiorcze, ocena poziomu bezpieczeństwa) oraz raport z retestu i zaktualizowaną analizę ryzyka; materiały szkoleniowe, listy obecności i zaświadczenia; wsparcie poaudytowe (odpowiedzi i wyjaśnienia do raportów) przez co najmniej 1 miesiąc od przekazania danego raportu.