Dostawa i wdrożenie rozwiązania Threat Intelligence

Zgodnie z art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1), dalej „RODO”, informuję, że:

1) administratorem Pani/Pana danych osobowych jest Bank Gospodarstwa Krajowego („BGK” lub „Bank”), Aleje Jerozolimskie 7, 00-955 Warszawa;

2) kontakt z Inspektorem Ochrony Danych możliwy jest pod adresem e-mail: iod@bgk.pl;

3) Pani/Pana dane osobowe przetwarzane będą na podstawie art. 6 ust. 1 lit. c RODO w celu związanym z przedmiotowym postępowaniem o udzielenie zamówienia publicznego;

4) odbiorcami Pani/Pana danych osobowych będą osoby lub podmioty, którym udostępniona zostanie dokumentacja postępowania w oparciu o art. 8 oraz art. 74 ustawy Pzp;

5) Pani/Pana dane osobowe będą przechowywane, zgodnie z art. 78 ust. 1 ustawy Pzp, co najmniej przez okres 4 lat od dnia zakończenia postępowania o udzielenie zamówienia oraz przez okres niezbędny w celu dochodzenia ewentualnych roszczeń, a jeżeli czas trwania umowy przekracza 4 lata, okres przechowywania obejmuje cały czas trwania umowy lub dłużej tj. w okresie istniejącego po stronie Administratora obowiązku związanego z przechowywaniem dokumentacji dla celów kontroli, lub wynikającym z powszechnie obowiązujących przepisów prawa, w tym w przypadku zamówienia finansowanego lub współfinasowanego ze środków Unii Europejskiej (UE) – z przepisów i/lub wytycznych dotyczących okresu przechowywania dokumentów dla projektów finansowanych lub współfinansowanych ze środków UE;

6) obowiązek podania przez Panią/Pana danych osobowych bezpośrednio Pani/Pana dotyczących jest wymogiem ustawowym określonym w przepisach ustawy Pzp, związanym z udziałem w postępowaniu o udzielenie zamówienia publicznego; konsekwencje niepodania określonych danych wynikają z ustawy Pzp;

7) w odniesieniu do Pani/Pana danych osobowych decyzje nie będą podejmowane w sposób zautomatyzowany, stosowanie do art. 22 RODO;

8) posiada Pani/Pan:

− na podstawie art. 15 RODO prawo dostępu do Pani/Pana danych osobowych dotyczących postępowania;

− na podstawie art. 16 RODO prawo do sprostowania Pani/Pana danych osobowych;

− na podstawie art. 18 RODO prawo żądania od administratora ograniczenia przetwarzania danych osobowych z zastrzeżeniem przypadków, o których mowa w art. 18 ust. 2 RODO *;

− prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, że przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy RODO;

9) nie przysługuje Pani/Panu:

− w związku z art. 17 ust. 3 lit. b, d lub e RODO prawo do usunięcia danych osobowych;

− prawo do przenoszenia danych osobowych, o którym mowa w art. 20 RODO;

− na podstawie art. 21 RODO prawo sprzeciwu, wobec przetwarzania danych osobowych, gdyż podstawą prawną przetwarzania Pani/Pana danych osobowych jest art. 6 ust. 1 lit. c RODO. * Wyjaśnienie: prawo do ograniczenia przetwarzania nie ma zastosowania w odniesieniu do przechowywania, w celu zapewnienia korzystania ze środków ochrony prawnej lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii Europejskiej lub państwa członkowskiego.

I. 1. Stosownie do brzmienia art. 7 ust. 1 ustawy z dnia 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego, z postępowania wyklucza się:

1) Wykonawcę wymienionego w wykazach określonych w rozporządzeniu 765/2006 i rozporządzeniu 269/2014 albo wpisanego na listę na podstawie decyzji w sprawie wpisu na listę rozstrzygającej o zastosowaniu środka, o którym mowa w art. 1 pkt 3;

2) Wykonawcę, którego beneficjentem rzeczywistym w rozumieniu ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu jest osoba wymieniona w wykazach określonych w rozporządzeniu 765/2006 i rozporządzeniu 269/2014 albo wpisana na listę lub będąca takim beneficjentem rzeczywistym od dnia 24 lutego 2022 r., o ile została wpisana na listę na podstawie decyzji, w sprawie wpisu na listę, rozstrzygającej o zastosowaniu środka, o którym mowa w art. 1 pkt 3;

3) Wykonawcę, którego jednostką dominującą w rozumieniu art. 3 ust. 1 pkt 37 ustawy z dnia 29 września 1994 r. o rachunkowości jest podmiot wymieniony w wykazach określonych w rozporządzeniu 765/2006 i rozporządzeniu 269/2014 albo wpisany na listę lub będący taką jednostką dominującą od dnia 24 lutego 2022 r., o ile został wpisany na listę na podstawie decyzji w sprawie wpisu na listę rozstrzygającej o zastosowaniu środka, o którym mowa w art. 1 pkt 3.

2. Wykluczenie wskazane w ust. 1 następuje na okres trwania okoliczności określonych w tym ustępie.

3. Osoba lub podmiot podlegające wykluczeniu na podstawie ust. 1, które w okresie tego wykluczenia ubiegają się o udzielenie zamówienia publicznego lub dopuszczenie do udziału w konkursie lub biorą udział w postępowaniu o udzielenie zamówienia publicznego lub w konkursie, podlegają karze pieniężnej. Karę pieniężną nakłada Prezes Urzędu Zamówień Publicznych, w drodze decyzji, w wysokości do 20 000 000,00 zł.

4. W dniu 8 kwietnia 2022 r. Rada Unii Europejskiej przyjęła rozporządzenie (UE) 2022/576 w sprawie zmiany rozporządzenia (UE) nr 833/2014 dotyczącego środków ograniczających w związku z działaniami Rosji destabilizującymi sytuację na Ukrainie (Dz. Urz. UE nr L 111 z 5.4.2022, str. 1), które ustanawia ogólnounijny zakaz udziału rosyjskich wykonawców w zamówieniach publicznych i koncesjach udzielanych w państwach członkowskich Unii Europejskiej. Na mocy art. 1 pkt 23 rozporządzenia 2022/576 do rozporządzenia Rady (UE) nr 833/2014 z dnia 31 lipca 2014 r. dotyczącego środków ograniczających w związku z działaniami Rosji destabilizującymi sytuację na Ukrainie (Dz. Urz. UE nr L 229 z 31.7.2014, str. 1) zostały dodane przepisy art. 5k w następującym brzmieniu: "Zakazuje się udzielania lub dalszego wykonywania wszelkich zamówień publicznych lub koncesji objętych zakresem dyrektyw w sprawie zamówień publicznych, a także zakresem art. 10 ust. 1 i 3, art. 10 ust. 6 lit. a)-e), art. 10 ust. 8, 9 i 10, art. 11, 12, 13 i 14 dyrektywy 2014/23/UE, art. 7 lit. a)-d), art. 8, art. 10 lit. b)-f) i lit. h)-j) dyrektywy 2014/24/UE, art. 18, art. 21 lit. b)-e) i lit. g)-i), art. 29 i 30 dyrektywy 2014/25/UE oraz art. 13 lit. a)-d), lit. f)-h) i lit. j) dyrektywy 2009/81/WE na rzecz lub z udziałem:

a) obywateli rosyjskich, osób fizycznych zamieszkałych w Rosji lub osób prawnych, podmiotów lub organów z siedzibą w Rosji;

b) osób prawnych, podmiotów lub organów, do których prawa własności bezpośrednio lub pośrednio w ponad 50 % należą do osoby fizycznej lub prawnej, podmiotu lub organu, o których mowa w lit. a) niniejszego ustępu; lub;

c) osób fizycznych lub prawnych, podmiotów lub organów działających w imieniu lub pod kierunkiem osoby fizycznej lub prawnej, podmiotu lub organu, o których mowa w lit. a) lub b) niniejszego ustępu, w tym podwykonawców, dostawców lub podmiotów, na których zdolności polega się w rozumieniu dyrektyw w sprawie zamówień publicznych, w przypadku gdy przypada na nich ponad 10 % wartości zamówienia.

6. Rozporządzenie 2022/576 ma zasięg ogólny i obowiązuje bezpośrednio we wszystkich państwach członkowskich.

7. Zamawiający odrzuca ofertę Wykonawcy wykluczonego z postępowania (art. 226 ust. 1 pkt 2) lit. a) ustawy Pzp). II.

1. Wykonawca, którego oferta zostanie wybrana jako najkorzystniejsza, zobowiązany jest do dostarczenia Zamawiającemu, najpóźniej w terminie 3 dni przed zawarciem umowy o wykonanie zamówienia, następujących dokumentów i informacji:

1) dowodu potwierdzającego wniesienie zabezpieczenia należytego wykonania umowy w pełnej wysokości na cały okres jej obowiązywania;

2) polisy ubezpieczeniowej OC wraz z OWU i potwierdzeniem opłacenia składki,

3) wersji elektronicznych certyfikatów/certyfikatów technicznych/zaświadczeń, o których mowa w warunku udziału dla poszczególnych osób delegowanych do realizacji zamówienia (jeśli jest wymóg posiadania certyfikatu przy danej osobie) oraz, jeśli nie zostały dostarczone wraz z ofertą;

4) Zamawiający wymaga dostarczenia wersji elektronicznej certyfikatu (tj. certyfikatu producenta potwierdzającego aktualny status partnera producenta), jeśli nie został dostarczony wraz z ofertą;

5) Ponadto Wykonawca oraz podwykonawca (jeżeli występuje) zobowiązani są do dokonania formalności związanych z DORA, tj. formalności obejmujące wymagania w zakresie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniającego rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 obejmuje załącznik nr 12 do SWZ.

2. Niespełnienie przez Wykonawcę wymogów opisanych w pkt 1)-5) spowoduje niemożność zawarcia umowy z przyczyn leżących po stronie Wykonawcy. III. Zamawiający przeprowadził RFI dotyczące przedmiotowego postępowania.

1. Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, iż w okresie ostatnich 3 (trzech) lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał – a w przypadku świadczeń powtarzających się lub ciągłych również wykonuje należycie: i. co najmniej 2 (dwa) zamówienia polegające na dostawie rozwiązania Threat Intellignece (dalej „rozwiązanie TI”), przy czym:

• wartość jednego z zamówień była nie mniejsza niż 800 000,00 PLN brutto,

• co najmniej 1 (jedno) zamówienie obejmowało wdrożenie i konfigurację oferowanego rozwiązania TI,

• co najmniej 1 (jedno) zamówienie musi być wykonane dla instytucji finansowej lub instytucji sektora finansowego. ii. co najmniej 2 (dwa) zamówienia polegające na wykonaniu analizy zagrożeń w rozumieniu dziedziny Cyber Threat Intelligence, w tym analizy krajobrazu cyberzagrożeń pod kątem specyfiki klienta, profilowaniu zagrożeń i analizie zagrożeń sektorowych, przy czym:

• co najmniej 1 (jedno) zamówienie było wykonane/jest wykonywane dla instytucji finansowej lub instytucji sektora finansowego.

2. W przypadku, gdy przedmiotem zamówienia są świadczenia powtarzające się lub ciągłe Zamawiający dopuszcza nie tylko zamówienia wykonane (tj. zakończone), ale również wykonywane. W takim przypadku Zamawiający wymaga, by część zamówienia wykonana do terminu składania ofert spełniała wymogi określone przez Zamawiającego w warunku.

3. W przypadku, gdy wartość zamówienia została wyrażona w walucie innej niż PLN, Wykonawca zobowiązany jest do jej przeliczenia na PLN przyjmując jako podstawę średni kurs danej waluty opublikowany przez NBP (wg tabeli A kursów średnich walut obcych) w dniu publikacji ogłoszenia o niniejszym zamówieniu w Dzienniku Urzędowym Unii Europejskiej. Jeśli publikacja ogłoszenia o zamówieniu w Dzienniku Urzędowym Unii Europejskiej nastąpi w dniu, kiedy NBP nie publikuje tabeli kursów średnich, należy przyjąć kurs z tabeli kursów średnich, opublikowany w dniu najbliższym po dniu publikacji ogłoszenia o zamówieniu w Dzienniku Urzędowym Unii Europejskiej.

I. Zamawiający uzna warunek za spełniony, jeżeli Wykonawca wykaże, że dysponuje lub będzie dysponował zespołem osób, który zostanie wyznaczony do realizacji zamówienia, w skład którego będą wchodzić osoby legitymujące się następującymi kwalifikacjami zawodowymi, wykształceniem, doświadczeniem opisanym poniżej:

1. Osoby, biegle posługujące się językiem polskim, które posiadają doświadczenie w projektowaniu i wdrażaniu oferowanego systemu TIP oraz posiadające aktualny certyfikat inżyniera oferowanego systemu TIP. - 2 osoby

2. Osoby, biegle posługujące się językiem polskim, które posiadają doświadczenie w zakresie integracji oferowanego systemu TIP z posiadanym przez Zamawiającego systemem SIEM opartym na produkcie Splunk Enterprise i posiadające aktualny certyfikat Splunk Enterprise Security Certified Admin lub Splunk Enterprise Certified Architect lub równoważny i certyfikat inżyniera oferowanego systemu TIP. - 2 osoby

3. Osoby, biegle posługujące się językiem polskim, które posiadają doświadczenie w projektowaniu systemów informatycznych w zakresie bezpieczeństwa i w projektowaniu oraz wdrażaniu produktów firmy Splunk oraz posiadające aktualne certyfikaty ISC2 CISSP lub równoważny i Splunk Core Certified Consultant lub Splunk Enterprise Certified Architect lub równoważne. - 2 osoby

4. Osoby, biegle posługujące się językiem polskim, które posiadają doświadczenie w projektowaniu i integracji oferowanego systemu TIP z posiadanym przez Zamawiającego systemem SOAR opartym na produkcie Palo Alto Networks XSOAR oraz posiadające aktualny certyfikat Palo Alto Networks Certified XSOAR Engineer lub równoważny. - 2 osoby

5. Osoba, biegle posługujące się językiem polskim, która posiada doświadczenie w zakresie MITRE ATT&CK framework i posiada aktualny certyfikat Adversary Emulation Methodology Certification lub równoważny. - 1 osoba II. W przypadku przedkładania certyfikatów równoważnych wymagane jest, aby obejmowały one:

• posiadanie tego samego zakresu i poziomu wiedzy i doświadczenia;

• potwierdzenie certyfikatu egzaminem, jeśli uzyskanie certyfikatu wymaga złożenia egzaminu. Certyfikat równoważny nie może być wystawiony przez Wykonawcę lub podmiot zależny od Wykonawcy. Wraz z certyfikatem równoważnym należy złożyć dokument potwierdzający, że zakres tego certyfikatu jest równoważny do certyfikatu wskazanego przez Zamawiającego. UWAGA: Zamawiający dopuszcza wykazania przez Wykonawcę tej samej osoby w maksymalnie 2 (dwóch) różnych profilach. Spełnienie warunków udziału w postępowaniu należy potwierdzić poprzez złożenie oświadczeń oraz dokumentów, o których mowa w Rozdziale VIII SWZ.

W ramach niniejszego kryterium punkty zostaną przyznane na podstawie oświadczenia w ofercie Wykonawcy, odpowiednio do liczby zaoferowanych dodatkowych funkcjonalności, spośród wskazanych w poniższej tabeli, zgodnie z niżej wskazaną zasadą przyznawania punktów.

1. WO.1 - Kolekcjonowanie danych – wielkość bazy danych Rozwiązanie TI musi posiadać w swojej bazie minimum 5 miliardów obiektów.

2. WO.2 - Kolekcjonowanie danych – ilość źródeł Rozwiązanie TI musi zbierać dane z minimum 900 000 różnych źródeł, w skali globalnej.

3. WO.3 - Wyszukiwanie informacji - Graficzny kreator zapytań Rozwiązania TI, dla przeszukiwania zadanej frazy (słowa kluczowego), musi wspierać określenie jej również w innych językach i alfabetach, minimum:

- Rosyjski i cyrylicą - Niemiecki - Angielski - Arabski i w alfabecie arabskim

4. WO.4 - Detonacja plików w systemie sandbox - System sandbox Rozwiązania TI musi wspierać detonację plików o rozmiarze do 3 GB.

5. WO.5 - Interakcja w systemie sandbox - System sandbox musi umożliwiać interakcję analityka ze środowiskiem, na którym uruchamiana jest próbka w formie zdalnego pulpitu

6. WO.6 - Automatyczne generowanie reguł detekcyjnych Rozwiązanie TI musi posiadać silnik automatycznego generowania reguł detekcyjnych, minimum reguł YARA i SIGMA. Każda automatycznie wygenerowana reguła detekcyjna musi przedstawiać automatycznie opracowane wzorce detekcji, tak by analityk mógł je przeanalizować bezpośrednio w platformie. Dodatkowo system musi przedstawiać, wyrażony procentowo, zakres pokrycia złośliwych próbek dla każdej z wygenerowanych reguł. Rozwiązanie TI musi posiadać dedykowany interfejs API do automatycznego generowania i pobierania reguł detekcyjnych.

7. WO.7 - Ochrona marki wspomagana AI - Rozwiązanie TI musi posiadać wbudowany komponent, akcelerowany przez AI, odpowiedzialny za wstępną ocenę zagrożenia celem filtracji legitymowanych stron www oraz wzmianek na Dark Web nie wnoszących ryzyka

8. WO.8 - Wyszukiwanie informacji o obiektach - Producent Rozwiązania TI nie może wprowadzać ograniczenia licencyjnego na liczbę wyszukiwanych Obiektów.

9. WO.9 - Technologia OCR w wyszukiwaniu informacji o obiektach Rozwiązanie TI musi umożliwiać wyszukiwanie dla Obiektów i tekstu również w obrazkach z wykorzystaniem technologii OCR.

10. WO.10 - Integracje z IAM - Rozwiązanie TI musi posiadać kod integracyjny z wiodącymi dostawcami IAM, minimum Microsoft Entra oraz Okta.

11. WO.11 - Identyfikacja ofiary wycieku przez nazwę komputera - Rozwiązanie TI musi zawierać funkcję wyszukiwania umożliwiającą identyfikację ofiary poprzez określenie nazwy komputera, z którego skradziono dane uwierzytelniające.

12. WO.12 - Identyfikacja ofiary wycieku przez publiczny adres IP - Rozwiązanie TI musi zawierać funkcję wyszukiwania umożliwiającą identyfikację ofiary poprzez określenie publicznego adresu IP komputera, z którego skradziono dane uwierzytelniające.

13. WO.13 - Ilość reguł detekcyjnych - Zespół badawczy producenta Rozwiązania TI musi dodawać minimum 500 nowych reguł detekcyjnych rocznie dla najnowszych wariantów złośliwego oprogramowania. (oraz dodał minimum 500 nowych reguł rocznie w ciągu ostatnich 3 lat).

14. WO.14 - Kolekcja danych z Dark Web - Rozwiązanie TI musi kolekcjonować dane z Dark Web z minimum 1000 różnych forów hakerskich, w tym forów minimum:

- Polskich - Rosyjskich - Brytyjskich - Amerykańskich - Południowoamerykańskich - Chińskich - Niemieckich.

15. WO.15 - Usługa takedown - Rozwiązanie TI musi posiadać, dodatkowo licencjonowaną, usługę takedown dla domen phishing impersonujących legitymowane zasoby Banku. Usługa takedown musi dodatkowo obejmować możliwość zdejmowania:

• Aplikacje mobilne;

• Profile na mediach społecznościowych;

• Wpisy na portalach społecznościowych. Wykonawca, który zaoferuje Rozwiązanie TI spełniające:

a) 1 wymaganie, otrzyma 3 punkty,

b) 2 wymagania, otrzyma 6 punktów,

c) 3 wymagania, otrzyma 9 punktów,

d) 4 wymagań, otrzyma 12 punktów,

e) 5 wymagań, otrzyma 15 punktów,

f) 6 wymagań, otrzyma 19 punktów,

g) 7 wymagań, otrzyma 21 punktów,

h) 8 wymagań, otrzyma 24 punktów,

i) 9 wymagań, otrzyma 27 punktów,

j) 10 wymagań, otrzyma 30 punktów,

k) 11 wymagań, otrzyma 33 punktów,

l) 12 wymagań, otrzyma 36 punktów,

m) 13 wymagań, otrzyma 39 punktów,

n) 14 wymagań, otrzyma 42 punktów,

o) 15 wymagań, otrzyma 50 punktów.

2. W przypadku gdy Wykonawca w Ofercie nie wypełni tabeli Dodatkowe funkcjonalności Zamawiający przyjmie, że Wykonawca oferuje Rozwiązanie TI spełniające jedynie wymagania przedstawione, wskazane w OPZ i otrzyma w tym kryterium 0 punktów.

1. Wykonawcom, a także innemu podmiotowi, jeżeli ma lub miał interes w uzyskaniu zamówienia oraz poniósł lub może ponieść szkodę w wyniku naruszenia przez Zamawiającego przepisów stawy Pzp, przysługują środki ochrony prawnej na zasadach przewidzianych w Dziale IX ustawy Pzp.

2. Środki ochrony prawnej wobec ogłoszenia wszczynającego postępowanie o udzielenie zamówienia oraz dokumentów zamówienia przysługują również organizacjom wpisanym na listę, o której mowa w art. 469 pkt 15 ustawy Pzp oraz Rzecznikowi Małych i Średnich Przedsiębiorców.

3. Odwołanie przysługuje na:

1) niezgodną z przepisami ustawy czynność Zamawiającego, podjętą w postępowaniu o udzielenie zamówienia, w tym na projektowane postanowienie umowy;

2) zaniechanie czynności w postępowaniu o udzielenie zamówienia, do której Zamawiający był obowiązany na podstawie ustawy.

4. Odwołanie wnosi się do Prezesa Izby.

5. Odwołujący przekazuje kopię odwołania Zamawiającemu przed upływem terminu do wniesienia odwołania w taki sposób, aby mógł on zapoznać się z jego treścią przed upływem tego terminu.

6. Odwołanie wnosi się w terminach określonych w art. 515 ustawy Pzp.