Załącznik nr 5 do umowy nr ln-1.272	2024
Obowiązki Operatora z obszaru bezpieczeństwa informacji
1.	W ramach realizacji przedmiotu umowy Operatora zobowiązuje się do:
a.	Zapewnienia niezakłóconego dostępu do udostępnionego systemu platformazakupowa.pl (dalej: system)
b.	bieżącego monitorowania udostępnianego środowiska, na którym zainstalowano system, w szczególności pod kątem wydajności, kompatybilności z oprogramowaniem systemowym serwerów i baz danych oraz prób nieautoryzowanego dostępu do przetwarzanych na nich informacji;
c.	przeciwdziałania próbom włamania, zniszczenia danych oraz nieautoryzowanego dostępu do danych Zamawiającego przetwarzanych z wykorzystaniem systemu;
d.	podejmowania działań naprawczych w przypadku zagrożenia bezpieczeństwa świadczonych dla Zamawiającego usług, zakłóceń w zakresie ich wydajności oraz wystąpienia błędów baz danych;
e.	administrowania oprogramowaniem systemowym, narzędziowym i aplikacyjnym, w tym tworzenia kopii bezpieczeństwa i ochrony zasobów informacyjnych Zamawiającego przetwarzanych z wykorzystaniem systemu;
f.	instalacji poprawek, w szczególności dotyczących bezpieczeństwa, oraz aktualizacji oprogramowania niezbędnego do prawidłowej pracy udostępnianego środowiska, na którym zainstalowano system, do wersji aktualnie wspieranych przez producentów systemu operacyjnego i bazy danych; przy czym wymagane jest, aby Operator wykorzystał wspieraną wersję stabilną (produkcyjną) danego komponentu oraz dopasował pozostałe komponenty w ramach udostępnianego środowiska do udostępnianych przez producenta poprawek dla użytkowanej wersji w terminie maksymalnie 12 miesięcy od udostępniania poprawki oraz w terminie maksymalnie 1 tygodnia od udostępnienia aktualizacji bezpieczeństwa;
2.	Operator oświadcza, Że w zakresie standardów techniczno-organizacyjnych zobowiązuje się zapewnić realizację następujących wymagań tytułem wykonania przedmiotu umowy:
a.	udostępniane środowisko, na którym zainstalowano system wykorzystywane do przetwarzania danych Zamawiającego, w tym danych osobowych znajduje się na terytorium Rzeczpospolitej Polskiej lub państw członkowskich Europejskiego Obszaru Gospodarczego
b.	dostęp do systemu odbywa się wyłącznie po połączeniu szyfrowanym https, z zachowaniem następujących standardów:
i.	konfiguracja połączenia HTTPS otrzymuje ocenę A z testów na stronie https://www.ssllabs.com lub innej ustalonej z Zamawiającym, a wszelkie ewentualne odstępstwa w tym zakresie muszą zostać z nim ustalone;
ii.	użyta zostanie domena ustalona z Zamawiającym o nazwie: platformazakupowa.pl;
c.	Udostępniane środowisko, na którym zainstalowano system zapewnia:
i.	szyfrowanie komunikacji przekazywanych danych z wykorzystaniem technik kryptograficznych i długości kluczy uważanych aktualnie za bezpieczne;
ii.	logowanie zdarzeń na poziomie umożliwiającym dokładną analizę w przypadku kompromitacji systemu;
iii.	zarządzanie uprawnieniami użytkowników poprzez odpowiednią strukturę ról z wyróżnieniem poziomów uprawnień przynajmniej dla administratora i użytkownika;
d.	Udostępniane środowisko, na którym zainstalowano system poddawane jest cyklicznym testom penetracyjnym pod kątem zagrożeń występujących w sieci Internet celem minimalizacji ryzyka naruszenia poufności, dostępności i integralności danych. Wyniki ww. testów będą przekazywane Zamawiającemu na jego wniosek. Strony ustaliły, iż będzie to tzw. „raport biznesowy" klasyfikujący pod względem krytyczności zidentyfikowane podczas testów podatności.
e.	Widoczność portów/usług w sieci Internet ograniczona jest do niezbędnego minimum, dostęp do portów i usług, które nie są niezbędne do prawidłowego działania systemu powinien zostać maksymalnie ograniczony. Wykaz portów/usług publicznie dostępnych oraz niezbędnych do prawidłowego korzystania z funkcjonalności systemu wraz z ich funkcją i wdrożonymi zabezpieczeniami przesyłanych przez nie danych, znajduje się w dokumentacji projektu przekazanej Zamawiającemu;
f.	Wszystkie stosowane przez Operatora komponenty, używają wersji oficjalnie wspieranej i rozwijanej przez producenta danego komponentu;
g.	System implementuje odpowiednie mechanizmy w zakresie bezpieczeństwa aplikacji, w celu uzyskania odporności na cyber zagrożenia, w tym 10 najczęstszych ataków według statystyk OWASP (Open Web Application Security Project);
h.	System posiada możliwość:
i.	konfiguracji i wymuszenia stosowania silnego uwierzytelnienia (Multi-Factor Authentication);
ii.	definiowania polityki haseł (wymuszanie minimalnej długości, jakości, częstotliwości zmian);
i.	Dostęp do danych archiwalnych postępowań zapewnia użytkownikom standardowa funkcjonalność systemu, określona w załączniku nr 4 do umowy. Operator tworzy kopie zapasowe systemu oraz dokonuje sprawdzenia kopii zapasowych pod kątem przydatności do odtworzenia danych przechowywanych na kopiach zapasowych zgodnie z ISO 27001.