Bilag 1 Kundens kravspesifikasjon

Transkript

1 Bilag 1 Kundens kravspesifikasjon 1 Om oppdragsgiver Departementenes servicesenter (DSS) er en etat underlagt Fornyings- og administrasjons- og kirkedepartementet. Etatens hovedoppgave er å skaffe til veie konkurransedyktige fellestjenester for departementene, inklusive Statsministerens kontor (SMK), ved kjøp eller egen produksjon, samt å være pådriver for utvikling og effektivisering av slike tjenester. Avdeling for informasjons- og kommunikasjonsteknologi (IKT) drifter sentrale og lokale IKT- systemer for departementsfellesskapet, i tillegg til lokale systemer internt i DSS. IKT- systemene omfatter blant annet nettverk, telefoni, databaser og applikasjoner. DSS har inngått tjenesteavtaler med departementene på sentrale systemer, som definerer krav til tjenestens innhold. DSS vil være kontraktspart og forvalter av denne avtalen og DSS:IKT vil drifte løsningen på felles IKT-plattform. De virksomheter som til enhver tid er tilknyttet felles IKT-plattform skal kunne gjøre avrop iht. til denne avtalen. Per tid gjelder dette 13 departementer, i tillegg til DSS; Arbeidsdepartementet Barne-, likestillings- og inkluderingsdepartementet Fiskeri- og kystdepartementet Fornyings-, administrasjons- og kirkedepartementet Helse- og omsorgsdepartementet Olje- og energidepartementet Kommunal- og regionaldepartementet Kulturdepartementet Kunnskapsdepartementet Landbruks- og matdepartementet Miljøverndepartementet Nærings- og handelsdepartementet Samferdselsdepartementet Departementenes Servicesenter For det tilfelle at andre virksomheter/departementer senere blir tilknyttet felles IKTplattform skal disse også kunne gjøre avrop iht. til denne avtalen. Løsningen som tilbys må ha kapasitet til å håndtere sikkerhetsdokumentasjon for de departementene/virksomhetene som gjør avrop på avtalen. 2 Bakgrunn og formål I forbindelse med informasjonssikkerhetsarbeidet i departementsfellesskapet innføres flere parallelle sikkerhetstiltak. Et av disse sikkerhetstiltakene er å anskaffe et dokumentasjonshåndteringssystem for informasjonssikkerhet (ISMS); overordnet design, sikkerhetsfunksjonalitet, beredskapstiltak osv.

2 DSS har i dag avtale om bruk av deler av dokumentasjonshåndteringssystem Secure Aware. Avtalen DSS har inngått med Secure Aware er imidlertid ikke dekkende for bruk av løsningen for øvrige virksomheter tilknyttet felles IKT-plattform og dette er bakgrunnen for at man nå går ut med ny konkurranse for anskaffelse av slik løsning for øvrige virksomheter. På det tidspunktet avtalen DSS har med Secure Aware går ut, kan det oppstå behov hvor også DSS ønsker å gjøre avrop på denne avtalen. DSS ønsker såldes også opsjon på å slutte seg til avtalen. Formålet med anskaffelsen er; å sikre en totalløsning for informasjonssikkerhet som er brukervennlig og som setter virksomheten i stand til å etterleve de til enhver tid gjeldene krav til informasjonssikkerhet i anerkjente standarder, bla ISO og ISO 27002, å øke virksomhetenes muligheter for en effektiv og strukturert håndtering av sikkerhetsdokumentasjon, og dermed bidra til å forenkle informasjonssikkerhetsstyringen, samt å sikre nødvendig etterlevelse av kravene til informasjonssikkerhet som beskrives i dokumentasjonen. 3 Begreper I konkurransegrunnlaget og vedlegg benyttes et sett med sentrale begreper som beskrevet i tabellen nedenfor: Begrep Forklaring DSS Departementenes servicesenter - Betegnelse på driftsleverandør DSS:IKT Informasjons- og kommunikasjonsteknologiavdelingen i DSS Kunde 13 departementer og DSS Leverandøren Betegnelse på leverandør av dokumentasjonsprogramvare og lisenser mv. Installasjon Løsningen legges inn på server på felles IKT-plattform driftet av DSS. Implementering Løsningen tas i bruk av et departement og departementspesifikke parametre legges inn. 4 Om leveransen 4.1 Generelt Dokumentasjonshåndteringssystemet skal leveres på CD eller lignende, klargjort for installering på server på felles IKT-plattform, som angitt i bilag 3. Ettersom DSS allerede bruker Secure Aaware er det en forutsetning at løsningen som skal anskaffes gjennom denne konkurransen er kompatibelt med Secure Aware. Ettersom DSS får dekket sitt behov gjennom bruk av Secure Aware, vil det ikke bli gjennomført installering av ny løsning på felles IKT-plattform med mindre én av de andre virksomhetene tilknyttet denne avtalen, gjør avrop iht. avtalen. Når et departement gjør avrop iht. avtalen skal Leverandøren ta kontakt med DSS for planlegging av installering, samt kartlegging av behov for implementering. Selve installering av løsningen på felles IKT-plattform gjøres kun én gang og prises som et engangsbeløp, se bilag 7.

3 For avrop nummer to og senere avrop er løsningen allerede installert. Ved henvendelse fra departementet kal Leverandøren uansett kontakte DSS, og det vurderes hvorvidt det er behov for implementering, Leverandøren skal i bilag 2 skissere en løsning for implementering. Det skal være mulig for det aktuelle departement å foreta implementering uten bistand fra Leverandøren. Slik bistand skal imidlertid være tilgjengelig hos Leverandøren, dersom departementet ser behov for det. Implementering skal derfor prises separat, se bilag 7. Behov og omfang for opplæring i de ulike departementene som gjør avrop er variabelt. Leverandøren bes derfor om å tilby en pakkepris med opplæring og veiledning i plenum for opp til 20 personer med varighet på 3 timer, se bilag 7. I tillegg er det behov for å kunne skreddersy et opplæringsopplegg og Leverandøren bes derfor om å oppgi timespris for slik opplæring, se bilag 7. Det er videre variabelt hvilke tilganger hvert enkelt departement har behov for og hvor mange. Dette må derfor avgjøres konkret ved hvert enkelt avrop. Leverandøren skal derfor oppgi separate lisenspriser for administratortilgang og tilgang for superbruker/ sluttbruker, eller tilsvarende, separat. Superbruker skal ha mulighet til å legge til nye brukere og tilganger, samt utføre andre administrative funksjoner. Leverandøren skal gjøre tilgjengelig en demoløsning ved tilbudsinnlevering, på CD eller lignende. Det skal ikke være nødvendig å installere slik demoløsning hos DSS. Slik demoløsning vil utgjøre en del av evalueringen. Det vil bli foretatt en sikkerhetsvurdering av løsningen. Løsningen skal; gi gode muligheter for å følge opp informasjonssikkerheten slik at eventuelle svakheter avdekkes og forebyggende og korrigerende tiltak iverksettes gi grunnlag for rapportering om sikkerhetskompetansen i organisasjonen være stabil, driftssikker og brukervennlig, samt gjøre det mulig å etablere et enkelt system for å styre og arkivere arbeidet med sikkerhetsdokumentasjon, gi en strukturert oversikt over alle informasjonsaktiva, status for disse og deres innbyrdes sammenheng, gi et sikkerhetsregime som muliggjør oppfølging av brukernes etterlevelse av sikkerhetsinstrukser med retningslinjer, rutiner og prosedyrer gjøre det enkelt å lage/sette opp sikkerhetsdokumenter iht. ISO 27001/27002 gjøre det mulig å utføre verdi- og risikovurderinger av aktiva og systemer. Leveransen vil omfatte følgende elementer; Software/dokumentasjonsprogramvare og evnt database, lisenser og tjenester, inklusiv alle komponenter som er nødvendig for å tilfredsstille Kundens tekniske og funksjonelle krav. Installasjon av programpakke på server, godkjenningstest og driftsetting av løsningen i DSS:IKT sitt driftsmiljø Implementering av løsningen, dersom det enkelte avrop tilsier Leverandøren skal kunne tilby sikkerhetsklarert personell ved behov. Ved behov opplæring hos det enkelte departement. Utarbeidelse av løsningsdokumentasjon/systemdokumentasjon. Utarbeidelse av lettfattelig brukerdokumentasjon.

4 4.2 Besvarelse av krav Leverandøren skal i bilag 2 gi en beskrivelse av tilbudt løsning. I tillegg til demoløsningen, som Leverandøren skal gjøre tilgjengelig ved tilbudsinnlevering slik at denne kan benyttes under evaluering, er det kun data/informasjon angitt i Leverandørens løsningsbeskrivelse som danner grunnlaget for evalueringen. I den grad det er motstrid mellom demo-løsniningen og det skriftelige tilbudet, vil demo-løsningen ha forrang. Leverandøren skal kun gi utfyllende informasjon ved å henvise til dokumentasjon som vedlegges (produktark el.) i bilag 2. Hvis utfyllende informasjon finnes i et bilag skal eksakt referanse oppgis. I tillegg til at leverandøren beskriver tilbudt løsning skal leverandøren gi utfyllende svar på kravene i kravtabellene i punkt 6 Funksjonelle krav. Kravene er ikke listet opp i prioritert rekkefølge. Det skal opplyses om det benyttes underleverandører i oppfylling av kravene/tjenestene. Leverandørens svar Leverandøren skal besvare alle kravene (både skal-krav og bør-krav) i tabellen under punkt 6 med et av svaralternativene JA / NEI. Dersom Leverandøren utelater å svare på et krav, vil kunden tolke dette som NEI. Dersom leverandøren besvarer kravet med JA skal leverandøren fylle ut med utfyllende informasjon om tilbudt løsning og hvordan kravet er løst under KOMMENTARER i den grad dette er naturlig.. Dersom leverandøren besvarer kravet med NEI skal svaret detaljeres i høyre kolonne KOMMENTARER. Ved å svare NEI på noen av skal-kravene risikerer leverandøren å bli avvist. 4.3 Kravtabell SKAL- KRAV KRAVBESKRIVELSE BESVARELSE JA / NEI KOMMENTARER SK 1 SK 2 Funksjonalitet Løsningen skal bygges opp etter strukturen til ISO 27001og 27002, herunder tilpasset kravene i standarden og for øvrig være klargjort for lokal ISMS-tilpasning. Løsningen skal ha maler for opprettelse av full sikkerhetspolitikk i henhold til ISO Politikken skal kunne tilpasses enkelt eventuelle spesifikke lokale krav som virksomhetene har i henhold til blant annet Personopplysningslov og Økonomireglementet.

5 SKAL- KRAV KRAVBESKRIVELSE BESVARELSE JA / NEI KOMMENTARER SK 3 SK 4 SK 5 SK 6 SK 7 SK 8 SK 9 SK 10 SK 11 Løsningen skal ha maler for for eksempel gjennomføring av "Ledelsens gjennomgang", interne revisjoner, instruksverk og lokale håndbøker mv. Løsningen må ha funksjonalitet for forvaltning av en operativ sikkerhetshåndbok, herunder oppgave- tildeling og automatisering av oppgaver, etterlevelses spørringer, rapporteringsfunksjonalitet mv. Gjennom løsningen skal det kunne dokumenteres at brukerne har lest politikken, reglene og prosedyrene. Læringskampanjer skal kunne gjennomføres for hele eller deler av organisasjonen. Det skal kunne testes på både generell kunnskap om informasjonssikkerhet og spesifikk kunnskap om egen policy Løsningen skal ha funksjonalitet for oppfølging av brukernes etterlevelse av departementenes sikkerhetsdokumentasjon. Løsningen skal ha funksjonalitet for rapportering og oppfølging av sikkerhetstiltak knyttet til brukernes etterlevelse. Avvik mellom brukernes etterlevelse og organisasjonens sikkerhetspolicy skal kunne tilknyttes en aktivitet som deretter skal kunne utløse varsel til og tiltak for enkeltbrukere, for eksempel frist for gjennomføring. Sikkerhetsansvarlig skal kunne få et varsel hvis tiltak ikke gjennomføres. Løsningen må ha en enkel, god og oversiktlig konsoll for administrasjon. Med systemadministrator og superbrukerkonti forvaltes både system og innhold. Løsningen skal kunne håndtere flere virksomheter parallelt, med mulighet for deling av dokumenter. Løsningen skal ha gode løsninger for import og eksport av andre dokumentformater, herunder håndtere statsforvaltningens krav til dokumentstandarder.

6 SKAL- KRAV KRAVBESKRIVELSE BESVARELSE JA / NEI KOMMENTARER SK 12 SK 13 SK 14 SK 15 SK 16 SK 17 SK 18 SK 19 SK 20 SK 21 Løsningen skal kunne kjøres på server i viritualisert miljø (for eksempel Vmware eller tilsvarende program). Løsningen skal ha single sign on funksjonalitet. Løsningen skal være maskinvareuavhengig. Installasjon, implementering og opplæring Leverandøren skal levere et komplett dokumentasjonshåndteringssystem uten behov for tilpasning eller konfigurasjon på Kundens tekniske plattform. Løsningen skal kunne installeres på server hos DSS på felles IKTplattform. Det skal være mulig for Kunden å gjennomføre slik installering uten bistand fra leverandør dersom dette er ønskelig. For det tilfellet at Kunden har behov for bistand med implementering på de enkelte virksomhetenes områder, skal Leverandøren tilby konsulenter som kan bistå med/utføre slik implementering, inkl. oppsett av dokumenter og annet i løsningen, slik at den er klar til bruk. Løsningen skal kunne kjøres i samspill med Active Directory (AD). Kunden skal kunne henvende seg til Leverandøren gjennom hele kontraktsperioden og få opplæring på løsningen i Kundens egne lokaler. Dersom løsningen inneholder klientmoduler skal disse kunne pakkes og distribueres til brukerne via et utrullingsverktøy. Løsningen må kommunisere med løsningen som DSS som driftsleverandør for departementet kjører (Secure Aware) Tilgang og lisenser

7 SKAL- KRAV KRAVBESKRIVELSE BESVARELSE JA / NEI KOMMENTARER SK 22 SK 23 SK 24 SK 25 SK 26 SK 27 SK 28 SK 29 SK 30 Løsningen skal være rollebasert med administratortilgang, superbruker eller tilsvarende med mulighet til å legge til nye brukere og tilganger, samt utføre andre administrative funksjoner, og tilgang for sluttbruker eller tilsvarende. Løsningen skal være funksjonelt modulbygget slik at de ulike tilgangene er begrenset til de funksjoner det er behov for. Alle brukere skal kunne legges i ulike brukergrupper som kun har tilgang til det innhold og den funksjonalitet som brukergruppen er tildelt. Dessuten skal enkeltbrukere kunne tildeles spesifikke roller, f.eks. for å besvare compliancespørringer, oppgaver og risiko, samt kunne tildeles flere ulike roller i løsningen. Brukeren kan se hvilke rolle og ansvarsområde han/hun er tildelt. Dokumentasjon Leveransen skal omfatte teknisk dokumentasjon av løsningen, og Leverandøren skal i avtaleperioden levere oppdatert dokumentasjon i samsvar med eventuelle endringer i løsningen. Løsningen skal omfatte nødvendig brukermanualer/ dokumentasjon for løsningen. I avtaleperioden skal Leverandøren levere oppdaterte manualer/dokumentasjon i samsvar med eventuelle endringer i løsningen. Dersom det i forbindelse med oppgraderinger også endres i funksjonaliteten, skal disse være dokumentert innen oppgraderingene lanseres. Oppdatert dokumentasjon skal leveres sammen med lanseringen. Språk All dokumentasjon skal leveres på norsk. Løsningen skal leveres med norsk språk i brukergrensesnittet. Brukermanualer og opplæringsmateriell skal leveres på norsk.

8 BØR- KRAV KRAVBESKRIVELSE BESVARELSE JA / NEI KOMMENTARER BK 1 BK 2 BK 3 Det er ønskelig at løsningen inneholder enkle opplæringsfunksjoner (eksempelvis korte videofilmer/animasjoner) og at disse er tilgjengelige for alle på alle tidspunkter. Løsningen bør ha modul for/funksjonalitet for enkel risikostyring, med risikotabell og matrise med grafisk visning. Det er ønskelig at departementene får tilgang til løsningen via web grensesnitt.

9 Bilag 2 Leverandørens løsningsspesifikasjon Avtalen punkt Dokumentasjon, opplæring, annen bistand mv. Dokumentasjon: Medium og format for dokumentasjon: Nedlasting fra internett. Opplæring: Opplæring skal angis som anvist i bilag 1. Kravtabell: Leverandøren skal her klippe inn kravtabellen fra Bilag 1 og besvare alle kravene som anvist i punkt 5 i Bilag 1. Løsningsforslag: Leverandøren skal videre gi en overordnet beskrivelse av den tilbudte løsningen og de ulike funksjonene og modulene som inngår i løsningen, herunder roller og tilganger. Beskrivelsen skal videre omtale løsning for implementering.

10 Bilag 3 Kundens tekniske plattform DSS sin IKT avdeling drifter sentrale og lokale IKT- systemer for departementsfellesskapet, herunder felles IKT-plattform. De fleste virksomhetene i departementsfellesskapet er tilknyttet slik plattform. Nedenfor følger en overordnet beskrivelse av felles IKT-plattform. Server - DSS bruker primært Windows på serverne, versjon Windows Server 2008 R2. - Nye servere skal være virtuelle servere i VMware ESXi, 5.0 fremt det ikke er tungtveiende grunner til at de må være fysiske servere (ytelse, support m.m.). - Tjenester som er definert som kritiske skal være redundante (MS cluster, VMware vmotion eller annen type redundans) - Alle servere benytter antivirus. Database - Microsoft SQL 2008 R2, ikke MS clustret (kjører på VMware og benytter VMware vmotion for redundans). E-post - Exchange 2010 AD(Active - Sentral administrering og autorisert brukertilgang skal gå via Active Directory) Directory Integrasjon Klienter - Løsningen skal kunne integreres med Exchange (e-post) - Windows 7 (64 bit) - Office 2007 norsk

11 Bilag 4 Prosjekt- og fremdriftsplan Avtalen punkt Tid og sted for Leverandørens ytelse Levering og installering av dokumentasjonshåndteringssystemet vil først skje når én av virksomhetene tilknyttet denne avtalen gjør avrop iht. avtalen. Når det første avrop er meldt til Leverandøren, skal løsningen installeres hos DSS på felles IKT-plattform senest innen 2 måneder. Dersom Leverandøren er ansvarlig for implementeringen skal dette også være utført innen disse 2 månedene. For avrop nummer to og senere avrop er løsningen allerede installert. Dersom Leverandøren er ansvarlig for implementeringen skal dette være utført senest innen 1 måned etter at avrop ble meldt til Leverandøren. Installasjonsstedets adresse vil fremgå av det enkelte avrop. Avtalen punkt Dokumentasjon, opplæring, annen bistand mv. Dato for opplæring skal avtales nærmere med Kunden ved det enkelte avrop.

12 Bilag 5 Testing og godkjenning Avtalen punkt Undersøkelsesplikt Beskrivelse av Kundens godkjenningsprøve: Når installasjonen er ferdig skal Kunden kunne foreta en funksjonell test av løsningen. Kundens tekniske personell skal sammen med Leverandøren utføre tekniske tester. Leverandøren skal her skissere forslag til godkjenningsprøve av dokumentasjonshåndteringssystemet.

13 Bilag 6 Administrative bestemmelser Avtalen punkt 1.5 Partenes representanter Bemyndiget representant for partene: For Kunden Navn: Merete Storli Stilling: Seksjonsleder FAG Telefon: E-post: Merete-Bergliot-Flod.Storli@dss.dep.no For Leverandøren Navn: Stilling: Telefon: E-post: Dersom bemyndiget representant for en part skiftes ut, skal den andre part bli varslet om dette senest 2 uker i forkant per e-post. Møter: Møter skal avholdes ved behov og skal primært avholdes i Kundens lokaler. Leverandørens nøkkelpersonell: Navn Stilling Kompetanseområde Leverandørens underleverandører: Navn Org.nr Leveranseområde

14 Bilag 7 Samlet pris og prisbestemmelser Avtalen punkt 3.1 Vederlag Dette bilag 7 inneholder de samlede priser og prisbestemmelse. Såfremt ikke annet fremkommer av avtalen, er priser uttømmende regulert i dette bilag. Leverandøren risikerer å bli avvist dersom prisene oppgis på annen måte enn ved å benytte pristabellene nedenfor, eller dersom det angis andre priser enn de det er bedt om. Pristabell A: Dokumentasjonshåndteringssystem, inkl. installasjon Beskrivelse/navn Tilbudt dokumentasjonshåndteringssystem, inkludert installasjon. Prisen er et engangsbeløp. Valuta NOK Pris ekskl. mva. Mva % Pris inkl. mva. Pristabell B: Implementering Beskrivelse/navn Implementering. Prisen er per avrop. Valuta NOK Pris ekskl. mva. Mva % Pris inkl. mva. Pristabell C: Lisenser Beskrivelse/navn Administrator. Pris er per stk. Superbrukerlisenser eller tilsvarende. Pris er per stk. Sluttbrukerlisenser eller tilsvarende. Pris er per stk. Serverlisens. Pris er per stk. Valuta NOK NOK NOK Pris ekskl. mva. Mva % Pris inkl. mva. Pristabell D: Opplæring Beskrivelse/navn Opplæring og veiledning i plenum for opp til 20 personer med varighet på 3 timer. Prisen er et engangsbeløp. Timepris for opplæring Valuta NOK NOK Timepris ekskl. mva. Mva % Timepris inkl. mva. Avtalen punkt 3.2 Faktureringstidspunkt og betalingsbetingelser Det vil ikke skje noen form for installering/implementering av løsningen før det gjøres avrop på avtalen, og således vil det heller ikke skje noen fakturering før løsningen er installert/implementert på felles IKT-plattform. 1. Fakturering iht. pristabell A: DSS faktureres iht. til pristabell A etter at dokumentasjonshåndteringsverktøyet anses installert og levert. Fakturaadresse for dette er; Departementenes Servicesenter v/ DSS Efaktura

15 Postboks 8129 Dep 0032 Oslo Fakturaen skal merkes med: ISMS-system 2. Fakturering iht. pristabell B, C og D: Ved hvert avrop faktureres den enkelte virksomhet iht. pristabell B, C og D. Fakturadetaljer gjøres tilgjengelig for hvert avrop. Ved fakturering i både punkt 1 og 2 skal Leverandøren levere elektronisk faktura på Elektronisk handelsformat (EHF), fastsatt av Fornyings-, administrasjons- og kirkedepartementet. Leveransen av elektroniske fakturaer skal skje på den til en hver tid valgte kommunikasjonsmåte. Ved endring av kommunikasjonsmetode vil leverandøren bli varslet i rimelig tid før nødvendig endring finner sted. Eventuelle kostnader leveranse av elektronisk faktura og eventuell endring av kommunikasjonsmåte måtte medføre for Leverandøren, må denne selv bære.

16 Bilag 8 Endringer i den generelle avtaleteksten Punkt Erstattes med

17 Bilag 9 Endringer av leveransen etter avtaleinngåelsen Nr Dato Endringen gjelder