1.	Przedmiot zamówienia:

Dostawa, instalacja, zaprojektowanie i konfiguracja oraz wsparcie systemu zabezpieczeń węzła dostępu do sieci Internet Zamawiającego w oparciu o dwa urządzenia firewall pracujące w redundantnym układzie klastra odpornego na awarie.

2.	Wymagania ogólne:

2.1.	Całość dostarczanego sprzętu i oprogramowania musi pochodzić z autoryzowanego kanału sprzedaży producentów na terenie Unii Europejskiej;
2.2.	Działając na podstawie art. 7 ust 1a ustawy Pzp Zamawiający informuje, że oferty złożone przez Wykonawców z państw innych niż objętych Porozumieniem Światowej Organizacji Handlu w sprawie zamówień rządowych oraz państw, które nie są stroną umowy z  Unią Europejską zapewniającej traktowanie nie mniej korzystne niż Wykonawców pochodzących z Unii Europejskiej, będą podległy odrzuceniu.
2.3.	Oferty, w których Wykonawca oferuje towary pochodzące z państw innych niż objętych Porozumieniem Światowej Organizacji Handlu w sprawie zamówień rządowych oraz  państw, które nie są stroną umowy z Unią Europejską zapewniającej traktowanie nie mniej korzystne niż wykonawców pochodzących  z Unii Europejskiej, będą podlegały odrzuceniu.
2.4.	Zamawiający wymaga, by dostarczone urządzenia były nowe (tzn. wyprodukowane nie dawniej, niż na 6 miesięcy przed ich dostarczeniem) oraz by były nieużywane (przy czym Zamawiający dopuszcza, by urządzenia były rozpakowane i uruchomione przed ich dostarczeniem wyłącznie przez Wykonawcę i wyłącznie w celu weryfikacji działania urządzenia, przy czym jest zobowiązany do poinformowania Zamawiającego o zamiarze rozpakowania sprzętu, a Zamawiający ma prawo inspekcji sprzętu przed jego rozpakowaniem);
2.5.	Zamawiający zastrzega sobie prawo zażądania testów poszczególnych funkcjonalności przed podpisaniem końcowego protokołu odbioru ;
2.6.	Wykonawca zapewnia i zobowiązuje się, że korzystanie przez Zamawiającego z dostarczonych produktów nie będzie stanowić naruszenia majątkowych praw autorskich osób trzecich (czego przykładem może być zaoferowanie urządzeń i systemów, które są zarejestrowane w bazach producentów jako przeznaczone do sprzedaży lub sprzedane do innego klienta końcowego). 
W wypadku powzięcia wątpliwości co do zgodności oferowanych produktów z umową, w szczególności w zakresie legalności oprogramowania, Zamawiający jest uprawniony do:
2.6.1.	 zwrócenia się do producenta oferowanych produktów o potwierdzenie ich zgodności z umową (w tym także do przekazania producentowi niezbędnych danych umożliwiających weryfikację), oraz  
2.6.2.	 zlecenia producentowi oferowanych produktów, lub wskazanemu przez producenta podmiotowi, inspekcji produktów pod kątem ich zgodności z umową oraz ważności i zakresu uprawnień licencyjnych. Jeżeli inspekcja, o której mowa powyżej wykaże niezgodność produktów z umową lub stwierdzi, że korzystanie z produktów narusza majątkowe prawa autorskie osób producenta, koszt inspekcji zostanie pokryty przez Wykonawcę, według rachunku przedstawionego przez podmiot wykonujący inspekcję, w kwocie nie przekraczającej 30% wartości zamówienia (ograniczenie to nie dotyczy kosztów poniesionych przez Strony w związku z inspekcją, jak np. konieczność zakupu nowego oprogramowania). Prawo zlecenia inspekcji nie ogranicza ani nie wyłącza innych uprawnień Zamawiającego, w szczególności prawa do żądania dostarczenia produktów zgodnych z umową oraz roszczeń odszkodowawczych;
2.7.	Zamawiający wymaga, by dostarczone oprogramowanie było oprogramowaniem w wersji aktualnej na dzień poprzedzający dzień składania ofert;
2.8.	Oferowane urządzenia w dniu składania ofert nie mogą być przeznaczone przez producenta do wycofania z produkcji lub sprzedaży.
2.9.	Wykonawca musi uwzględnić w cenie oferty realizacji dostawę, montaż, instalację i podłączenie dostarczanych urządzeń do sieci strukturalnych Zamawiającego oraz w szczególności koszty akcesoriów i osprzętu montażowo-instalacyjnego (np. wysięgniki, prowadnice, uchwyty, śruby i nakrętki, łączówki, kable przyłączeniowe i zasilające, przewody, patchcordy, przejściówki, opaski, listwy, korytka); Urządzenia będą montowane w szafie rack 19” Zamawiającego.
2.10.	Wykonawca zobowiązany jest w szczególności dostarczyć, zainstalować i skonfigurować urządzenia zgodnie z SIWZ, ofertą i ustalonym projektem;  Wszystkie dostarczone urządzenia i systemy muszą być zamontowane, zainstalowane, skonfigurowane i uruchomione zgodnie z wymaganiami niniejszej specyfikacji, ofertą i dokumentacją projektową i powykonawczą. Wszystkie dostarczone produkty muszą być wyposażone we wszystkie niezbędne komponenty, podzespoły i licencje;

3.	Warunki gwarancji i wsparcia:

3.1.	Gwarancja.
3.1.1.	Długość okresu gwarancyjnego oraz serwisowego dla oferowanego urządzenia 	- minimum 24 miesięcy;
3.1.2.	Zamawiający wymaga, by serwis był autoryzowany przez producenta urządzeń, to jest by zapewniona była naprawa lub wymiana urządzeń lub ich części, na części nowe i oryginalne, zgodnie z metodyką i zaleceniami producenta;
3.1.3.	Serwis gwarancyjny świadczony ma być w miejscu instalacji urządzeń; czas reakcji na zgłoszony problem (rozumiany jako podjęcie działań diagnostycznych i kontakt ze zgłaszającym) nie może przekroczyć jednego dnia roboczego (poniedziałek – piątek 7:00-15:00); usunięcie usterki (naprawa lub wymiana wadliwego podzespołu lub urządzenia) ma zostać wykonana w przeciągu dwóch dni roboczych od momentu zdiagnozowania usterki; Wykonawca ma obowiązek przyjmowania zgłoszeń serwisowych przez telefon (w godzinach pracy Zamawiającego), fax, e-mail lub WWW (przez całą dobę); Wykonawca ma udostępnić pojedynczy punkt przyjmowania zgłoszeń dla wszystkich dostarczanych rozwiązań;
3.1.4.	W przypadku urządzeń, dla którego jest wymagany dłuższy czas na naprawę, 	Zamawiający dopuszcza podstawienie na czas naprawy urządzeń o nie 	gorszych parametrach funkcjonalnych. Naprawa w takim przypadku nie może 	przekroczyć 14 dni od momentu zgłoszenia usterki.

3.2.	Wsparcie.
3.2.1.	Długość okresu wsparcia technicznego - minimum 24 miesięcy;
3.2.2.	Wykonawca w okresie trwania wsparcia zapewni dostęp do nowych wersji, aktualizacji i poprawek do oprogramowania dla oferowanych urządzeń w tym w szczególności sygnatur AV, IDS/IPS/ThreatPrevention, URLFiltering, Sandbox, przy czym sygnatury AV, IDS/IPS/ThreatPrevention, URLFiltering muszą mieć możliwość aktualizacji automatycznej nie rzadziej niż raz dziennie.
3.2.3.	Zamawiający otrzyma dostęp do pomocy technicznej Wykonawcy (telefon, e‑mail lub WWW) w zakresie rozwiązywania problemów związanych z bieżącą eksploatacją dostarczonych rozwiązań co najmniej w godzinach pracy Zamawiającego;
3.2.4.	Zamawiający, o ile jest to konieczne do eksploatacji rozwiązania, uzyska  dostęp do stron internetowych producentów rozwiązań, umożliwiający:
- pobieranie nowych wersji oprogramowania;
- dostęp do narzędzi konfiguracyjnych i dokumentacji technicznej;
- dostęp do pomocy technicznej producentów;
- bezpośrednie zgłaszanie awarii i problemów.

4.	Wymagania fazy projektowej i realizacyjnej/wdrożeniowej:

4.1.	Po podpisaniu umowy Wykonawca zrealizuje przedmiot zamówienia zgodnie z poniższym harmonogramem wdrożenia:
4.1.1.	Faza projektowa (nie później niż 20 dni do planowanego terminu zakończenia umowy);
4.1.2.	Dostawa (nie później niż 10 dni do planowanego terminu zakończenia umowy);
4.1.3.	Instalacja i konfiguracja (nie później niż 7 dni do planowanego terminu zakończenia umowy);
4.1.4.	Testy akceptacyjne (nie później niż 3 dni do planowanego terminu zakończenia umowy);
4.1.5.	Instruktaż stanowiskowy (nie później niż 1 dzień do planowanego terminu zakończenia umowy);
4.2.	Przed dostawą, instalacją i konfiguracją urządzeń Wykonawca przeprowadzi analizę przedwdrożeniową i przygotuje dokumentację projektową organizacji/architektury węzła dostępowego (zbudowanego na bazie urządzeń Cisco) do sieci Internet Zamawiającego opartą o dostarczone urządzenia.
4.3.	Dokumentacja projektowa musi zawierać:
4.3.1.	Informacje (nazewnictwo, adresacja) o:
4.3.1.1.	 Fizycznych lub wirtualnych (VLAN) segmentach sieci łączących się z urządzeniami firewall;
4.3.1.2.	Zdefiniowanych strefach bezpieczeństwa (WAN, LAN, DMZ, VPN, itp.);
4.3.1.3.	Podsieciach IP przyłączonych do urządzeń firewall i zasadach rutingu między nimi;
4.3.1.4.	Zasadach translacji adresów/portów NAT/PAT między podsieciami IP i/lub adresami wirtualnymi;
4.3.1.5.	Innych, kluczowych obiektach (podsieci, adresy wirtualne, porty, protokoły, aplikacje, użytkownicy) stosowanych w politykach firewall’a;
4.3.2.	Schemat połączeń fizycznych wraz z oznaczeniami nazw urządzeń, segmentów sieci LAN/VLAN, mediów, tras, gniazd, portów, protokołów (w tym agregacji portów/łącz);
4.3.3.	Schemat połączeń logicznych wraz z oznaczeniami adresacji IP i/lub nazw symbolicznych DNS, nazw stref bezpieczeństwa, podsieci IP;
4.3.4.	Propozycję testów akceptacyjnych potwierdzających realizację założeń projektu;
4.4.	Wykonawca dostarczy dokumentację powykonawczą zawierającą:
4.4.1.	 Informacje o zmianach w stosunku do dokumentacji projektowej wprowadzone na etapie realizacji zadania;
4.4.2.	Finalne pliki konfiguracyjne dostarczonych urządzeń;
4.4.3.	Wszelką dokumentację dostarczaną przez producenta wraz z urządzeniem;
4.5.	Wykonawca dostarczy dokumentację projektową i powykonawczą w wersji elektronicznej na nośniku optycznym w postaci plików nie wymagających do odczytu specjalizowanych aplikacji tj. możliwych do odczytania za pomocą typowych aplikacji biurowych (PFD, DOC/X, XLS/X, JPG/PNG/GIF);
4.6.	Konfiguracja urządzeń firewall musi zapewnić niepogorszoną obsługę ruchu IP na styku z dostawcą sieci Internet, oraz z/do istniejących podsieci i usług Zamawiającego; 
4.7.	Dostarczone urządzenie, okablowanie i inne części, które Zamawiający dostarcza Wykonawcy, muszą posiadać stosowne certyfikaty, oraz spełniać wszelkie wymogi i normy zastrzeżone przez obowiązujące w Polsce przepisy;
4.8.	Testy akceptacyjneobejmują:
4.8.1.	Weryfikację dowolnych funkcjonalności oferowanego urządzenia opisanych w SIWZ;
4.8.2.	 Spełnienie założeń projektowych w zakresie dostępności lub blokowania/filtrowania w sieciach zewnętrznych i wewnętrznych adresów, usług, protokołów, aplikacji, użytkowników; 
4.8.3.	Sprawdzenie odporności na awarię pojedynczego układu klastra;
4.9.	Do czasu przetestowania urządzeń i podpisania protokołu odbioru końcowego, Wykonawca ponosi ryzyko ich niesprawności lub wystąpienia innych wad, chyba że niesprawność lub wada została wyrządzona z winy Zamawiającego;
4.10.	Wykonawca przeprowadzi dwudniowy instruktaż stanowiskowy dla 4 osób Zamawiającego w zakresie administrowania systemem zabezpieczeń. Prowadzący instruktaż musi być certyfikowanym przez producenta inżynierem ds. oferowanego systemu zabezpieczeń firewall.

5.	Wymagania funkcjonalne obligatoryjne:

5.1.	Wymagania podstawowe:

5.1.1.	System zabezpieczeń firewall musi być dostarczony jako para specjalizowanych urządzeń zabezpieczeń sieciowych (appliance). W architekturze każdego urządzenia musi występować możliwość separacji sieciowej modułu zarządzania od modułu przetwarzania danych (Dedykowany do zarządzania interfejs sieciowy musi znajdować się lub mieć możliwość znajdowania się w osobnej tablicy routingu niż główna tablica routingu). Całość sprzętu i oprogramowania musi być dostarczana i wspierana przez jednego producenta.W kwestii funkcjonalności logowania i raportowania dopuszcza się zastosowanie maszyn wirtualnych (tzw. virtuall appliance) odpowiadających za funkcjonalność logowania i/lub raportowania, które ramach integracji z urządzeniami filtrującymi dostarczą funkcjonalności opisane w poniższej specyfikacji (zarządzanie i raportowanie), jednakże całość rozwiązania musi pochodzić od tego samego producenta.
5.1.2.	System zabezpieczeń firewall musi posiadać możliwość pracy w konfiguracji odpornej na awarie w trybie Active-Passive lub Active-Active. Moduł ochrony przed awariami musi monitorować i wykrywać uszkodzenia elementów sprzętowych i programowych systemu zabezpieczeń oraz łączy sieciowych. 

5.2.	Wymagania techniczne dla poszczególnych urządzeń:

5.2.1.	System zabezpieczeń firewall musi posiadać przepływność w ruchu full-duplex nie mniej niż 1.9 Gbit/s dla kontroli firewall z włączoną funkcją kontroli aplikacji, nie mniej niż 700 Mbit/s dla kontroli zawartości (w tym kontrola anty-wirus, IPS i web filtering) i obsługiwać nie mniej niż 190 000 jednoczesnych połączeń.
5.2.2.	Funkcjonalność urządzenia umożliwiać tworzenie polityk zabezpieczeń firewall uwzględniających strefy bezpieczeństwa, adresy IP klientów i serwerów, protokoły i usługi sieciowe, aplikacje, kategorie URL, użytkowników aplikacji, reakcje zabezpieczeń, rejestrowanie zdarzeń i alarmowanie oraz zarządzanie pasma sieci (minimum priorytet, pasmo gwarantowane, pasmo maksymalne).
5.2.3.	System zabezpieczeń firewall posiada moduł inspekcji antywirusowej uruchamiany per aplikacja oraz wybrany dekoder taki jak http, smtp, imap, pop3, ftp, smb kontrolującego ruch bez konieczności zakupu jakichkolwiek dodatkowych komponentów, poza subskrypcją. Baza sygnatur anty-wirus musi być przechowywania na urządzeniu, regularnie aktualizowana w sposób automatyczny i pochodzić od tego samego producenta co producent systemu zabezpieczeń.
5.2.4.	System zabezpieczeń firewall posiada moduł IPS/IDS uruchamiany per reguła polityki bezpieczeństwa firewall, przy czym nie jest dopuszczalne, aby funkcja IPS/IDS uruchamiana była per urządzenie lub jego część (np. interfejs sieciowy, strefa bezpieczeństwa).
5.2.5.	System zabezpieczeń firewall zapewnia możliwość ręcznego tworzenia sygnatur IPS bezpośrednio na urządzeniu bez użycia zewnętrznych narzędzi i wsparcia producenta. 
5.2.6.	System zabezpieczeń firewall pozwala na ręczne tworzenie sygnatur dla nowych aplikacji bezpośrednio na urządzeniu bez użycia zewnętrznych narzędzi i wsparcia producenta.
5.2.7.	System zabezpieczeń firewall musi być wyposażony w co najmniej 4 porty Ethernet 10/100/1000, 4 porty 1Gbps SFP, 2 porty 10Gbps SFP+.
5.2.8.	System zabezpieczeń firewall musi działać w trybie rutera (tzn. w warstwie 3 modelu OSI), w trybie przełącznika (tzn. w warstwie 2 modelu OSI), w trybie transparentnym oraz w trybie pasywnego nasłuchu (sniffer). Funkcjonując w trybie transparentnym urządzenie nie może posiadać skonfigurowanych adresów IP na interfejsach sieciowych jak również nie może wprowadzać segmentacji sieci na odrębne domeny kolizyjne w sensie Ethernet/CSMA. 
5.2.9.	Tryb pracy urządzenia musi być ustalany w jego konfiguracji interfejsu sieciowego, a system musi umożliwiać pracę we wszystkich wymienionych powyżej trybach (L2 ,L3 ,sniffer) jednocześnie na różnych interfejsach inspekcyjnych w pojedynczej logicznej instancji systemu (np. wirtualny system, wirtualna domena itp.).
5.2.10.	System zabezpieczeń firewall musi obsługiwać protokół Ethernet z obsługą sieci VLAN poprzez znakowanie zgodne z IEEE 802.1q. Subinterfejsy VLAN mogą być tworzone na interfejsach sieciowych pracujących w trybie L2 i L3. Urządzenie musi obsługiwać 4094 znaczników VLAN.
5.2.11.	System zabezpieczeń firewall musi obsługiwać nie mniej niż 5 wirtualnych routerów posiadających odrębne tabele routingu i umożliwiać uruchomienie więcej niż jednej tablicy routingu w pojedynczej instancji systemu zabezpieczeń. Urządzenie musi obsługiwać protokoły routingu dynamicznego, nie mniej niż BGP, RIP i OSPF.
5.2.12.	System zabezpieczeń firewall zgodnie z ustaloną polityką musi prowadzić kontrolę ruchu sieciowego pomiędzy obszarami sieci (strefami bezpieczeństwa) na poziomie warstwy sieciowej, transportowej oraz aplikacji (L3, L4, L7).
5.2.13.	System zabezpieczeń firewall musi działać zgodnie z zasadą bezpieczeństwa „The Principle of Least Privilege”, tzn. system zabezpieczeń blokuje wszystkie aplikacje, poza tymi które w regułach polityki bezpieczeństwa firewall są wskazane jako dozwolone. 
5.2.14.	System zabezpieczeń firewall musi automatycznie identyfikować aplikacje bez względu na numery portów, protokoły tunelowania i szyfrowania (włącznie z P2P i IM). Identyfikacja aplikacji musi odbywać się co najmniej poprzez sygnatury. 
5.2.15.	Identyfikacja aplikacji nie może wymagać podania w konfiguracji urządzenia numeru lub zakresu portów, na których dokonywana jest identyfikacja aplikacji. Należy założyć, że wszystkie aplikacje mogą występować na wszystkich 65 535 dostępnych portach. Wydajność kontroli firewall i kontroli aplikacji musi być taka sama i wynosić w ruchu full-duplex nie mniej niż 1.9 Gbit/s.
5.2.16.	System zabezpieczeń firewall musi wykrywać co najmniej 1700 różnych aplikacji (takich jak Skype, Tor, BitTorrent, eMule, UltraSurf) wraz z aplikacjami tunelującymi np.w HTTP lub HTTPS.  
5.2.17.	System zabezpieczeń firewall musi zapewniać inspekcję komunikacji szyfrowanej HTTPS (HTTP szyfrowane protokołem SSL) dla ruchu wychodzącego do serwerów zewnętrznych (np. komunikacji użytkowników surfujących w Internecie) oraz ruchu przychodzącego do serwerów firmy. System musi mieć możliwość deszyfracji niezaufanego ruchu HTTPS i poddania go właściwej inspekcji, nie mniej niż: wykrywanie i blokowanie ataków typu exploit (ochrona Intrusion Prevention), wirusy i inny złośliwy kod (ochrona anty-wirus), filtracja plików, danych i URL. 
5.2.18.	System zabezpieczeń firewall musi posiadać możliwość wykluczenia z operacji deszyfrowania  SSL i głębokiej inspekcji.
5.2.19.	System zabezpieczeń posiada wbudowaną i automatycznie aktualizowaną przez producenta listę serwerów dla których deszyfracja ruchu jest niezalecana. Lista ta stanowi automatyczne wyjątki od ogólnych reguł deszyfracji.
5.2.20.	System zabezpieczeń firewall musi pozwalać na blokowanie transmisji plików, nie mniej niż: bat, cab, pliki Microsoft office, rar,  zip, exe, gzip, hta, pdf, tar,tiff. Rozpoznawanie pliku musi odbywać się na podstawie nagłówka i typu MIME, a nie na podstawie rozszerzenia.
5.2.21.	Urządzenie musi posiadać funkcjonalność wskazującą na poziomie polityki bezpieczeństwa stwierdzenie, kiedy dana polityka była używana pierwszy i ostatni raz (tzn. pojawiła się transmisja spełniająca wymogi danej polityki) oraz ile wystąpień użycia danej polityki wystąpiło.
5.2.22.	System zabezpieczeń firewall musi umożliwiać pracę w trybie mieszanym L2/L3,  w którym część interfejsów jest zdefiniowana jako L2 bridge a część jako L3 routed. Firewall musi zapewniać inspekcję zarówno dla ruchu brigde’owanego jak i route’owanego oraz dla przepływów pomiędzy dwoma różnymi typami interfejsów. Całość musi być realizowana w ramach jednego firewalla logicznego z wszystkimi wymaganymi mechanizmami inspekcyjnymi.
5.2.23.	System zabezpieczeń firewall musi umożliwiać wykorzystanie jako nazwy użytkownika adresu MAC urządzenia z którego realizowana jest transmisja danych. Proces ten musi być realizowany automatycznie i uwzględniać dynamiczne przypisanie adresów IP z serwera DHCP. System musi zapewniać możliwość przeprowadzenia analizy logów oraz raportowania w oparciu o adres fizyczny MAC. Funkcja ta musi być wbudowana w firewall i nie może wymagać korzystania z rozwiązań trzecich.
5.2.24.	W architekturze każdego urządzenia filtrującego systemu firewall musi występować możliwość separacji sieciowej modułu zarządzania od modułu przetwarzania danych (Dedykowany do zarządzania interfejs sieciowy musi znajdować się lub mieć możliwość przypisania do osobnej tablicy routingu niż główna tablica routingu systemu filtrującego).

5.3.	Wymagania dotyczące pracy urządzenia w oparciu o identyfikację tożsamości użytkowników:

5.3.1.	System zabezpieczeń firewall musi zapewniać możliwość transparentnego ustalenia tożsamości użytkowników sieci (integracja z Active Directory, Ms Exchange, Citrix, LDAP i serwerami Terminal Services). Polityka kontroli dostępu (firewall) musi precyzyjnie definiować prawa dostępu użytkowników do określonych usług sieci i musi być utrzymywana nawet gdy użytkownik zmieni lokalizację i adres IP. W przypadku użytkowników pracujących w środowisku terminalowym, tym samym mających wspólny adres IP, ustalanie tożsamości musi odbywać się również transparentnie. 
5.3.2.	System zabezpieczeń firewall musi posiadać funkcjonalność zbierania i analizowania informacji Syslog z urządzeń sieciowych i systemów innych niż MS Windows (np. Linux lub Unix) w celu łączenia nazw użytkowników z adresami IP hostów z których ci użytkownicy nawiązują połączenia. Funkcja musi umożliwiać wykrywanie logowania jak również wylogowania użytkowników. Dopuszczalna jest realizacja w/w funkcjonalności poprzez dostarczenie fizycznego lub wirtualnego urządzenia tego samego producenta zintegrowanego z oferowanym systemem zabezpieczeń firewall.System zabezpieczeń firewall umożliwia uwierzytelnianie użytkowników za pomocą, serwera LDAP, RADIUS i TACACS+.
5.3.3.	 System zabezpieczeń firewall zapewnia ochronę w zakresie: IPS, AV, URL, zero-day.
5.3.4.	System zabezpieczeń firewall musi posiadać moduł filtrowania stron WWW w zależności od kategorii treści stron HTTP bez konieczności zakupu jakichkolwiek dodatkowych komponentów, poza subskrypcją. 
5.3.5.	Baza web filtering musi być regularnie aktualizowana w sposób automatyczny i posiadać nie mniej niż 20 milionów rekordów URL. 
5.3.6.	System zabezpieczeń firewall musi posiadać moduł filtrowania stron WWW który można uruchomić per reguła polityki bezpieczeństwa firewall. Nie jest dopuszczalne, aby funkcja filtrowania stron WWW uruchamiana była per urządzenie lub jego część (np. interfejs sieciowy, strefa bezpieczeństwa).
5.3.7.	System zabezpieczeń firewall musi zapewniać możliwość wykorzystania kategorii URL jako elementu klasyfikującego (nie tylko filtrującego) ruch w politykach bezpieczeństwa.
5.3.8.	System zabezpieczeń firewall musi zapewniać możliwość ręcznego tworzenia własnych kategorii filtrowania stron WWW i używania ich w politykach bezpieczeństwa bez użycia zewnętrznych narzędzi i wsparcia producenta. 
5.3.9.	System zabezpieczeń firewall musi posiadać modułu inspekcji antywirusowej uruchamiany per reguła polityki bezpieczeństwa firewall. Nie jest dopuszczalne, aby modułu inspekcji antywirusowej uruchamiany był per urządzenie lub jego część (np. interfejs sieciowy, strefa bezpieczeństwa). 
5.3.10.	System zabezpieczeń firewall musi posiadać modułu wykrywania i blokowania ataków intruzów w warstwie 7 modelu OSI IPS/IDS bez konieczności zakupu jakichkolwiek dodatkowych komponentów, poza subskrypcją. Baza sygnatur IPS/IDS musi być przechowywania na urządzeniu, regularnie aktualizowana w sposób automatyczny i pochodzić od tego samego producenta co producent systemu zabezpieczeń. 
5.3.11.	System zabezpieczeń firewall musi posiadać sygnatury DNS wykrywające i blokujące ruch do domen uznanych za złośliwe.
5.3.12.	System zabezpieczeń firewall musi posiadać funkcję podmiany adresów IP w odpowiedziach DNS dla domen uznanych za złośliwe w celu łatwej identyfikacji stacji końcowych pracujących w sieci LAN zarażonych złośliwym oprogramowaniem (tzw. DNS Sinkhole).
5.3.13.	System zabezpieczeń firewall musi posiadać funkcję automatycznego pobierania, z zewnętrznych systemów: adresów IP, nazw dns oraz stron www (URL) oraz tworzenia z nich obiektów wykorzystywanych w konfiguracji urządzenia w celu zapewnienia automatycznej ochrony lub dostępu do zasobów reprezentowanych przez te obiekty. 
5.3.14.	System zabezpieczeń firewall musi posiadać funkcję wykrywania aktywności sieci typu Botnet na podstawie analizy behawioralnej.
5.3.15.	System zabezpieczeń firewall musi posiadać możliwość przechwytywania i przesyłania do zewnętrznych systemów typu „Sand-Box” plików różnych typów (exe, dll, pdf, msoffice, java, jpg, swf, apk) przechodzących przez firewall z wydajnością modułu anty-wirus czyli nie mniej niż 700 Mbit/s w celu ochrony przed zagrożeniami typu zero-day. Systemy zewnętrzne, na podstawie przeprowadzonej analizy, muszą aktualizować system firewall sygnaturami nowo wykrytych złośliwych plików i ewentualnej komunikacji zwrotnej generowanej przez złośliwy plik po zainstalowaniu na komputerze końcowym.
5.3.16.	Integracja z zewnętrznymi systemami typu "Sand-Box" musi pozwalać na przesyłanie plików do publicznego lub prywatnego systemem typu "Sand-Box".
5.3.17.	Administrator musi mieć możliwość konfiguracji rodzaju pliku (exe, dll, pdf, msofffice, java, jpg, swf, apk) do określenia ruchu poddanego analizie typu „Sand-Box”. 
5.3.18.	System zabezpieczeń firewall musi generować raporty dla każdego analizowanego pliku tak aby administrator miał możliwość sprawdzenia, które pliki i z jakiego powodu zostały uznane za złośliwe, jak również sprawdzić którzy użytkownicy te pliki pobierali. 
5.3.19.	Wymagania dodatkowe NAT, DoS, IPSEC VPN, SSL VPN, QoS
5.3.20.	System zabezpieczeń firewall musi wykonywać statyczną i dynamiczną translację adresów NAT. Mechanizmy NAT muszą umożliwiać co najmniej dostęp wielu komputerów posiadających adresy prywatne do Internetu z wykorzystaniem jednego publicznego adresu IP oraz udostępnianie usług serwerów o adresacji prywatnej w sieci Internet. 
5.3.21.	System zabezpieczeń firewall musi posiadać osobny zestaw polityk definiujący reguły translacji adresów NAT rozdzielny od polityk bezpieczeństwa.
5.3.22.	System zabezpieczeń firewall musi posiadać funkcję ochrony przed atakami typu DoS wraz z możliwością limitowania ilości jednoczesnych sesji w odniesieniu do źródłowego lub docelowego adresu IP.
5.3.23.	System zabezpieczeń firewall musi umożliwiać zestawianie zabezpieczonych kryptograficznie tuneli VPN w oparciu o standardy IPSec i IKE w konfiguracji site-to-site. Konfiguracja VPN musi odbywać się w oparciu o ustawienia routingu (tzw. routing-based VPN). Dostęp VPN dla użytkowników mobilnych musi odbywać się na bazie technologii SSL VPN. Wykorzystanie funkcji VPN (IPSec i SSL) nie wymaga zakupu dodatkowych licencji.
5.3.24.	System zabezpieczeń firewall musi umożliwiać konfigurację jednolitej polityki bezpieczeństwa dla użytkowników niezależnie od ich fizycznej lokalizacji oraz niezależnie od obszaru sieci, z którego uzyskują dostęp (zasady dostępu do zasobów wewnętrznych oraz do Internetu są takie same zarówno podczas pracy w sieci korporacyjnej jak i przy połączeniu do Internetu poza siecią korporacyjną). Musi istnieć możliwość weryfikacji poziomu bezpieczeństwa komputera użytkownika przed przyznaniem mu uprawnień dostępu do sieci.
5.3.25.	System zabezpieczeń firewall musi pozwalać na budowanie polityk uwierzytelniania definiujący rodzaj i ilość mechanizmów uwierzytelniających (MFA - multi factor authentiaction) do wybranych zasobów. Polityki definiujące powinny umożliwiać wykorzystanie adresów źródłowych, docelowych, użytkowników, numerów portów usług oraz kategorie URL. Minimalne wymagane mechanizmy uwierzytelnienia to: RADIUS, TACACS+, LDAP.
5.3.26.	System zabezpieczeń firewall musi wykonywać zarządzanie pasmem sieci (QoS) w zakresie oznaczania pakietów znacznikami DiffServ, a także ustawiania dla dowolnych aplikacji priorytetu, pasma maksymalnego i gwarantowanego. System musi umożliwiać stworzenie co najmniej 8 klas dla różnego rodzaju ruchu sieciowego.
5.3.27.	System musi mieć możliwość kształtowania ruchu sieciowego (QoS) dla poszczególnych użytkowników. 
5.3.28.	System musi mieć możliwość kształtowania ruchu sieciowego (QoS) per sesja na podstawie znaczników DSCP. Musi istnieć możliwość przydzielania takiej samej klasy QoS dla ruchu wychodzącego i przychodzącego.

5.4.	Wymagania dotyczące integracji ze środowiskiem wirtualnym VMware:

5.4.1.	System zabezpieczeń firewall musi pozwalać na integrację w środowisku wirtualnym VMware w taki sposób, aby firewall mógł automatycznie pobierać informacje o uruchomionych maszynach wirtualnych (np. ich nazwy) i korzystał z tych informacji do budowy polityk bezpieczeństwa. Tak zbudowane polityki powinny skutecznie klasyfikować i kontrolować ruch bez względu na rzeczywiste adresy IP maszyn wirtualnych i jakakolwiek zmiana tych adresów nie powinna pociągać za sobą konieczności zmiany konfiguracji polityk bezpieczeństwa firewall’a. 

5.5.	Wymagania dotyczące zarządzania i raportowania:

5.5.1.	Zarządzanie systemu zabezpieczeń musi odbywać się z linii poleceń (CLI) oraz graficznej konsoli Web GUI dostępnej przez przeglądarkę WWW. Nie jest dopuszczalne, aby istniała konieczność instalacji dodatkowego oprogramowania na stacji administratora w celu zarządzania systemem.
5.5.2.	Dostęp do urządzenia i zarządzanie z sieci muszą być zabezpieczone kryptograficznie (poprzez szyfrowanie komunikacji). System zabezpieczeń musi pozwalać na zdefiniowanie wielu administratorów o różnych uprawnieniach.
5.5.3.	System zabezpieczeń firewall musi posiadać miejsce do przechowywania logów i raportów nie mniej niż 240GB. 
5.5.4.	System zabezpieczeń firewall musi pozwalać na usuwanie logów i raportów przetrzymywanych na urządzeniu po upływie określonego czasu.
5.5.5.	System zabezpieczeń firewall musi pozwalać na generowanie zapytań do zewnętrznych systemów z wykorzystaniem protokołu HTTP/HTTPS w odpowiedzi na zdarzenie zapisane w logach urządzenia. 
5.5.6.	System zabezpieczeń firewall pozwalać na korelowanie zbieranych informacji oraz budowania raportów na ich podstawie. Zbierane dane powinny zawierać informacje co najmniej o: ruchu sieciowym, aplikacjach, zagrożeniach i filtrowaniu stron www.
5.5.7.	System zabezpieczeń firewall pozwalać na tworzenie wielu raportów dostosowanych do wymagań Zamawiającego, zapisania ich w systemie i uruchamiania w sposób ręczny lub automatyczny w określonych przedziałach czasu. Wynik działania raportów musi być dostępny w formatach co najmniej PDF, CSV i XML.
5.5.8.	System zabezpieczeń firewall pozwalać na stworzenie raportu o aktywności wybranego użytkownika lub grupy użytkowników na przestrzeni kilku ostatnich dni.
5.5.9.	System zabezpieczeń zapewnia weryfikację instalowanej polityki bezpieczeństwa zapory firewall przed instalacją.