Usługa SOC (Security Operation Center)

Warunek nr 1:
Wykonawca spełni warunek, jeżeli wykaże, że w okresie ostatnich 3 lat przed upływem terminu składania ofert, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, należycie wykonał, a w przypadku świadczeń powtarzających się lub ciągłych również należycie wykonuje, co najmniej dwie usługi SOC, z których każda: a) miała wartość nie mniejszą niż 110 000 brutto;
b) każda usługa obejmowała świadczenie usługi SOC w zakresie L1 i L2 i L3;
c) była realizowana przez okres co najmniej 12 miesięcy.

W przypadku usług nadal wykonywanych wymagania dotyczące wartości, zakresu i co najmniej 12-miesięcznego okresu realizacji muszą być spełnione w odniesieniu do części usługi wykonanej przed upływem terminu składania ofert.
Warunek nr 2 odnośnie systemu zarządzania:
Wykonawca spełni warunek, jeżeli wykaże, że posiada, utrzymuje oraz doskonali system zarządzania bezpieczeństwem informacji potwierdzony aktualnym certyfikatem ISO/IEC 27001:2022 oraz system zarządzania ciągłością działania potwierdzony aktualnym certyfikatem ISO 22301:2019, wystawionymi przez akredytowaną jednostkę certyfikującą, z uwzględnieniem rozwiązań i zasad równoważności określonych w Rozdziale IX SWZSpecyfikacja Warunków Zamówienia - główny dokument opisujący co, jak i na jakich warunkach zamawiający chce kupić. Czytaj uważnie!.
Warunek nr 3:
Wykonawca spełni warunek, jeżeli wykaże, że dysponuje lub będzie dysponował zespołem liczącym co najmniej 13 różnych osób, posługujących się językiem polskim w stopniu umożliwiającym samodzielną komunikację ustną i pisemną oraz wykonywanie powierzonych im czynności, w tym w szczególności obsługę incydentów oraz sporządzanie dokumentacji i raportów, jeżeli czynności te należą do zakresu zadań danej osoby, w tym co najmniej:
a) 1 osobą pełniącą rolę Kierownika Zespołu, posiadającą co najmniej 3-letnie doświadczenie w zarządzaniu projektami lub usługami bezpieczeństwa teleinformatycznego;
b) 5 osobami pełniącymi rolę Analityka Bezpieczeństwa, zapewniającymi możliwość ciągłej i niezakłóconej realizacji usługi w wymaganym modelu organizacyjnym, w tym zapewnienia całodobowego wsparcia dla obsługi incydentów o poziomie wysokim i krytycznym w trybie 24/7 (całodobowo);
c) 3 osobami pełniącymi rolę Inżyniera Bezpieczeństwa;
d) 1 osobą pełniącą rolę Architekta Bezpieczeństwa;
e) 2 osobami pełniącymi rolę Pentestera;
f) 1 osobą pełniącą rolę Audytora Wiodącego, posiadającą co najmniej 5-letnie doświadczenie w prowadzeniu audytów systemów zarządzania bezpieczeństwem informacji, ciągłości działania lub audytów bezpieczeństwa teleinformatycznego, w tym doświadczenie w prowadzeniu audytów zgodności z ISO/IEC 27001 lub ISO 22301 oraz ważny certyfikat potwierdzający kwalifikacje w zakresie audytowania lub zarządzania ciągłością działania zgodnie z ISO 22301 lub równoważnyMasz prawo zaproponować rozwiązanie równoważne do normy/produktu cytowanego w SWZ (art. 101-103 Pzp). Udowodnij równoważność w ofercie., a także ważny certyfikat potwierdzający kwalifikacje w zakresie audytowania lub zarządzania bezpieczeństwem informacji zgodnie z ISO/IEC 27001 lub równoważny.
W ramach powyższego zespołu Wykonawca zapewni ponadto osoby posiadające następujące kwalifikacje lub doświadczenie:
a) 1 osobę pełniącą rolę Architekta Bezpieczeństwa posiadającą certyfikat CISSP lub równoważny;
b) 1 osobę realizującą zadania SOC L2 lub SOC L3 posiadającą certyfikat GCIH albo GCIA lub równoważny;
c) 1 osobę pełniącą rolę Pentestera posiadającą certyfikat OSCP lub równoważny;
d) 1 osobę pełniącą rolę Inżyniera Bezpieczeństwa albo Architekta Bezpieczeństwa, posiadającą co najmniej 2-letnie doświadczenie w integracji systemów SIEM, SOAR, ITSM albo platform obsługi incydentów z wykorzystaniem co najmniej dwóch mechanizmów spośród: API, syslog, webhook, integracja pocztowa, system kolejkowy lub konektor producenta;
e) 1 osobę realizującą zadania SOC L2 lub SOC L3, posiadającą co najmniej 2-
letnie doświadczenie w tworzeniu lub strojeniu reguł detekcyjnych oraz tworzeniu lub rozwijaniu scenariuszy reakcji albo playbooków SOAR.
f) 1 osobą pełniącą rolę Audytora Wiodącego albo realizującą zadania audytowego, posiadającą certyfikat CISA (Certified Information Systems Auditor) lub równoważny;
g) 1 osoba pełniącą rolę Pentestera, posiadającą certyfikat CEH (Certified Ethical Hacker) lub równoważny;
h) 1 osobę realizującą zadania Analityka Bezpieczeństwa lub Inżyniera Bezpieczeństwa, posiadającą certyfikat CompTIA Security+ lub równoważny;
i) 1 osobę realizującą zadania SOC L1, SOC L2 lub SOC L3, posiadającą certyfikat Microsoft Security Operations Analyst Associate (SC-200) lub równoważny.
Przez osobę realizującą zadania SOC L1, L2 lub L3 Zamawiający rozumie osobę wskazaną jako Analityk Bezpieczeństwa albo Inżynier Bezpieczeństwa, której zakres obowiązków obejmuje odpowiednio zadania właściwe dla danego poziomu obsługi SOC.
Wymagania wskazane w lit. a-i mogą być spełnione przez tę samą osobę.
Zamawiający dopuszcza łączenie ról oraz wykazywanie przez tę samą osobę więcej niż jednego certyfikatu, jednak każda osoba jest liczona tylko raz do minimalnej liczebności 13 osób. Łączenie funkcji nie może ograniczać dostępności personelu ani zdolności do równoległej realizacji obowiązków.
Osoby skierowane do realizacji zadań eksperckich mogą być angażowane przez Wykonawcę na dowolnej zgodnej z prawem podstawie. Wymóg zatrudnienia na podstawie stosunku pracy dotyczy wyłącznie Opiekuna Umowy i Zastępcy Opiekuna Umowy wykonujących czynności stałej i bieżącej koordynacji realizacji Umowy, zgodnie z projektowanymi postanowieniami umowy.
Zasady równoważności certyfikatów
1) Zamawiający dopuszcza wykazanie kwalifikacji osób skierowanych do realizacji zamówienia za pomocą certyfikatów równoważnych do certyfikatów wskazanych w warunku udziału w postępowaniu.
2) W odniesieniu do poszczególnych certyfikatów Zamawiający dopuszcza w szczególności
 dla certyfikatu CISA (Certified Information Systems Auditor) –w szczególności GSNA albo certyfikat Lead Auditor w zakresie ISO/IEC
27001, pod warunkiem że proces certyfikacji obejmuje w istotnym zakresie planowanie i prowadzenie audytu systemów informatycznych, ocenę mechanizmów kontrolnych IT, ocenę ryzyka technologicznego, gromadzenie i ocenę dowodów audytowych oraz raportowanie wyników audytu.
 Zamawiający dopuszcza również certyfikat CISM, CRISC albo CISSP, jeżeli Wykonawca wykaże, że jego zakres obejmuje audyt systemów informatycznych, ocenę mechanizmów kontrolnych IT, zarządzanie ryzykiem oraz ochronę aktywów informacyjnych;
 dla certyfikatu CISSP (Certified Information Systems Security Professional) – certyfikat CISM (Certified Information Security Manager), CompTIA SecurityX, wcześniej CASP+, albo GSE (GIAC Security Expert), pod warunkiem że certyfikat potwierdza zaawansowane kompetencje w zakresie architektury bezpieczeństwa lub projektowania i wdrażania zabezpieczeń systemów i sieci, kontroli dostępu, reagowania na incydenty oraz ochrony informacji;
 dla certyfikatu GCIH (GIAC Certified Incident Handler) – certyfikat ECIH (EC-Council Certified Incident Handler), GCFA (GIAC Certified Forensic Analyst), GCFE (GIAC Certified Forensic Examiner), GNFA (GIAC Network Forensic Analyst), CompTIA CySA+, GIAC GCED (GIAC Certified Enterprise Defender), Blue Team Level 1 (BTL1) albo Blue Team Level 2 (BTL2), pod warunkiem że certyfikat potwierdza kompetencje w zakresie analizy zdarzeń i incydentów, wykrywania ataków, prowadzenia dochodzeń, ograniczania skutków incydentów lub analizy ruchu sieciowego i danych telemetrycznych SOC;
 dla certyfikatu CEH (Certified Ethical Hacker) – certyfikat CompTIA PenTest+, GPEN (GIAC Penetration Tester), CPTE (Certified Penetration Testing Engineer), eCPPT, eJPT, PNPT, CREST Registered Penetration Tester albo CEH Practical, pod warunkiem że certyfikat potwierdza wiedzę i umiejętności w zakresie identyfikowania podatności, rozpoznawania technik i wektorów ataków, etycznego testowania zabezpieczeń, prowadzenia testów bezpieczeństwa oraz formułowania zaleceń naprawczych;
 dla certyfikatu OSCP (Offensive Security Certified Professional) –
certyfikat OSCP+, PNPT, HTB Certified Penetration Testing Specialist (CPTS), eCPPT, eWPTX, GPEN, GXPN, CREST Registered Penetration Tester, CREST Certified Penetration Tester, CREST Certified Infrastructure Tester albo CRTO –
odpowiednio do zakresu certyfikacji, pod warunkiem że proces certyfikacji obejmował egzamin praktyczny realizowany w środowisku laboratoryjnym, polegający co najmniej na identyfikacji i wykorzystaniu podatności oraz udokumentowaniu wyników przeprowadzonych czynności. Samo posiadanie certyfikatu CEH albo CompTIA PenTest+
nie jest wystarczające do wykazania równoważności z certyfikatem OSCP;
 dla certyfikatu CompTIA Security+ – certyfikat SSCP (Systems Security Certified Practitioner), GSEC (GIAC Security Essentials), CompTIA CySA+, CompTIA SecurityX, wcześniej CASP+, albo ISC2 Certified in Cybersecurity (CC), pod warunkiem że certyfikat potwierdza kompetencje w zakresie bezpieczeństwa systemów i sieci, zarządzania dostępem, identyfikowania zagrożeń i podatności, zarządzania ryzykiem, podstaw kryptografii oraz reagowania na incydenty. Certyfikat Microsoft Security, Compliance, and Identity Fundamentals (SC-900) nie jest uznawany za równoważny z certyfikatem CompTIA Security+;
 dla certyfikatu Microsoft Security Operations Analyst Associate
(SC-200) – certyfikat CompTIA CySA+, GIAC GCED, GCIH, ECIH, Blue Team Level 1 (BTL1), Blue Team Level 2 (BTL2), Certified CyberDefender (CCD) albo EC-Council Certified SOC Analyst (CSA), pod warunkiem że certyfikat potwierdza kompetencje w zakresie monitorowania bezpieczeństwa, analizy alertów i logów, wykrywania zagrożeń, prowadzenia dochodzeń oraz reagowania na incydenty w środowisku SOC.
POZOSTAŁA TREŚĆ W SWZ ROZDZIAŁ V

Wykaz podmiotowych środków dowodowych na potwierdzenie niepodlegania wykluczeniu: ) Oświadczenie wykonawcy, w zakresie art. 108 ust. 1 pkt 5 ustawy Pzp, o braku przynależności do tej samej grupy kapitałowej, w rozumieniu ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów (Dz. U. z 2024 r.

poz. 594 ), z innym wykonawcą, który złożył odrębną ofertę, ofertę częściową lub wniosek o dopuszczenie do udziału w postępowaniu, albo oświadczenia o przynależności do tej samej grupy kapitałowej wraz z dokumentami lub informacjami potwierdzającymi przygotowanie oferty, oferty częściowej lub wniosku o dopuszczenie do udziału w postępowaniu niezależnie od innego wykonawcy należącego do tej samej grupy kapitałowej – załącznik nr 4 do SWZ.

Wykaz podmiotowych środków dowodowych na potwierdzenie spełniania warunków udziału w postępowaniu: Wykaz usług, na spełnienie warunku nr 1, wykonanych, a w przypadku świadczeń powtarzających się lub ciągłych również wykonywanych, w okresie ostatnich 3 lat, a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wraz z podaniem ich wartości netto, przedmiotu, dat wykonania i podmiotów, na rzecz których usługi zostały wykonane lub są wykonywane, oraz załączeniem dowodów określających, czy te usługi zostały wykonane lub są wykonywane należycie. Dowodami są referencje bądź inne dokumenty sporządzone przez podmiot, na rzecz którego usługi zostały wykonane lub są wykonywane, a jeżeli Wykonawca z przyczyn niezależnych od niego nie jest w stanie uzyskać tych dokumentów – oświadczenie Wykonawcy.

W przypadku usług nadal wykonywanych referencje bądź inne dokumenty potwierdzające ich należyte wykonywanie powinny być wystawione w okresie ostatnich 3 miesięcy – załącznik nr 8 do SWZ;

2) Aktualne certyfikaty ISO/IEC 27001:2022 oraz ISO 22301:2019 wystawione przez akredytowaną jednostkę certyfikującą, potwierdzające spełnienie warunku nr 2. Zamawiający uzna równoważne certyfikaty wydane przez równoważne jednostki oceniające zgodność. Jeżeli Wykonawca z przyczyn od niego niezależnych nie ma dostępu do wymaganych certyfikatów lub nie ma możliwości ich uzyskania w odpowiednim terminie, może złożyć inne podmiotowe środki dowodoweDokumenty potwierdzające, że firma nie podlega wykluczeniu i spełnia warunki - np. KRS, zaświadczenia ZUS/US, polisa OC., jeżeli udowodni, że stosowane przez niego środki zapewnienia jakości są zgodne z wymaganymi normami zarządzania jakością – zgodnie z § 9 ust. 6 pkt 1 rozporządzenia w sprawie podmiotowych środków dowodowych
3) Wykaz osób skierowanych przez Wykonawcę do realizacji zamówienia, na spełnienie warunku nr 3, wraz z informacjami dotyczącymi pełnionych ról, kwalifikacji zawodowych, wymaganych certyfikatów, doświadczenia, zakresu wykonywanych czynności oraz podstawy dysponowania tymi osobami –
załącznik nr 9 do SWZ;

Zamawiający przewiduje uzupełnienie przedmiotowych środków dowodowych: Nie
Wykaz innych wymaganych oświadczeń lub dokumentów: 1. Wykonawca zobowiązany jest załączyć do oferty m.in. następujące dokumenty:
1) formularz ofertowy i formularz asortymentowo-cenowy jeśli wymagany w postępowaniu (według załączonego wzoru – Załącznik nr 1 do SWZ i Załącznik nr 1a do SWZ); Wymagana forma:
Formularze muszą być złożone pod rygorem nieważności, w formie elektronicznej opatrzone kwalifikowanym podpisem elektronicznym, podpisem zaufanym lub podpisem osobistym.
Oferta musi się składać z formularza ofertowego i formularza asortymentowo-
cenowego jeśli wymagany w postępowaniu.
1a) Przedmiotowe środki dowodoweDokumenty potwierdzające, że oferowany produkt/usługa spełnia wymagania - np. certyfikaty, karty techniczne, próbki. jeśli są wskazane w Rozdziale X SWZ.
2) Zobowiązania innego podmiotu do udostępnienia zasobów (według załączonego wzoru – Załącznik nr 5 do SWZ) - jeżeli dotyczy; Oświadczenie na podstawie art.
125 ust. 1 podmiotu udostępniającego jeśli dotyczy.
3) oświadczenia i/lub dokumenty na podstawie których, Zamawiający dokona oceny skuteczności zastrzeżenia informacji zawartych w ofercie, stanowiących tajemnicę przedsiębiorstwa, w rozumieniu przepisów o zwalczaniu nieuczciwej konkurencji (jeżeli Wykonawca zastrzega takie informacje) – jeżeli dotyczy;
4) pełnomocnictwo, z którego wynika prawo do podpisania oferty oraz do podpisania innych dokumentów składanych wraz z ofertą (jeżeli umocowanie osoby wskazanej w ofercie nie wynika z dokumentów rejestrowych KRS/CEIDG);
5) pełnomocnictwo do reprezentowania wszystkich Wykonawców wspólnie ubiegających się o udzielenie zamówienia, ewentualnie umowę o współdziałaniu, z której będzie wynikać przedmiotowe pełnomocnictwo. Pełnomocnik może być ustanowiony do reprezentowania Wykonawców w postępowaniu albo reprezentowania w postępowaniu i zawarcia umowy – jeżeli dotyczy;
6) inne dokumenty wymagane w SWZ; np. załącznik nr 6 SWZ
7) Zamawiający wymaga przedłożenia wraz z ofertą:
- Oświadczenie na podstawie art. 125 ust. 1 ustawy Pzp (załącznik nr 3 SWZ).