„Dostawa sprzętu i oprogramowania w ramach projektu „Cyberbezpieczne Wodociągi”

USŁUGI DORADCZE I AUDYTOWE W ZAKRESIE CYBERBEZPIECZEŃSTWA:1) aktualizacja i opracowanie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) po zrealizowanych wdrożeniach IT;2) aktualizacja i opracowanie planów ciągłości działania (BCP) i odtwarzania po awarii (DRP) dla STI;3) przeprowadzenie powdrożeniowego audytu bezpieczeństwa informacji;4) Przeprowadzenie testów socjotechnicznych; 5) Przeprowadzenie testów penetracyjnych – min. 5 dniSzczegółowy opis przedmiotu zamówienia (OPZ) stanowi załącznik nr 2 do niniejszej SWZ.Zamawiający odstąpił od podziału na części przedmiotu zamówienia obejmującego wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), planów ciągłości działania (BCP/DRP), testów bezpieczeństwa oraz audytu powdrożeniowego (Zadania 1, 2, 3, 4 i 5). Decyzja ta jest w pełni uzasadniona obiektywnymi przyczynami organizacyjnymi i technicznymi.Zamawiający uznał za konieczne powierzenie całości przedmiotu zamówienia jednemu Wykonawcy w celu zminimalizowania ryzyka rozmycia odpowiedzialności za końcowe bezpieczeństwo i spójność wdrożonych systemów. Zlecenie audytu powdrożeniowego (Zadanie 3) odrębnemu podmiotowi w innej części zamówienia wygenerowałoby wysokie ryzyko sporów kompetencyjnych pomiędzy firmą wdrożeniową a firmą audytującą w przypadku stwierdzenia niezgodności. Zintegrowanie zadań w ramach jednej części gwarantuje Zamawiającemu, że odpowiedzialność za usunięcie ewentualnych podatności wykazanych w audycie spoczywa na jednym podmiocie, który musi je zlikwidować w ramach ujednoliconego budżetu i harmonogramu projektu.Jednocześnie, w celu uniknięcia ryzyka konfliktu interesów, o którym mowa w art. 116 ust. 2 ustawy Pzp, Zamawiający nałożył w warunkach zamówienia rygorystyczny wymóg powołania przez Wykonawcę całkowicie niezależnego zespołu audytowego. Wykonawca jest bezwzględnie zobowiązany zagwarantować, aby osoby oddelegowane do przeprowadzenia audytu (Zadanie 3) nie brały żadnego udziału w pracach wdrożeniowych (Zadanie 1 i 2) ani w testach bezpieczeństwa. Takie rozwiązanie pozwala na wykorzystanie potencjału rynkowego podmiotów dysponujących wyspecjalizowanymi, niezależnymi pionami audytorskimi, a Zamawiającemu daje gwarancję obiektywizmu przy jednoczesnym zachowaniu zasady jednego punktu odpowiedzialności za cały system.