Warszawa, dnia 20.02.2017 r. BDG.741.47.2016 / 14

Warszawa, dnia 20.02.2017 r.
BDG.741.47.2016 / 14
wg rozdzielnika
Dotyczy: postępowania prowadzonego w trybie przetargu nieograniczonego na Zakup i dostawa
licencji dostępowych wraz ze wsparciem na oprogramowanie do centralnego zarządzania hasłami;
znak: BDG.741.047.2016
WYJAŚNIENIE
SPECYFIKACJI ISTOTNYCH WARUNKÓW ZAMÓWIENIA
Na podstawie art. 38 ust. 1-2 ustawy z dnia 29 stycznia 2004 roku - Prawo zamówień publicznych
(Dz. U. z 2015 roku, poz. 2164 z póżn. zm.), w odpowiedzi na pytania, które wpłynęły
do Zamawiającego, udziela się następujących wyjaśnień treści specyfikacji istotnych warunków
zamówienia (SIWZ):
Treść zapytania nr 1
W związku ze zmianą treści pkt. 2.7.3. opisu przedmiotu zamówienia stanowiącego załącznik nr 1 do
SIWZ prosimy o zdefiniowanie ilości serwerów która powinna zostać uwzględniona w propozycji
rozwiązania z podziałem na trzy grupy:
- Jboss/Websphere/Weblogic/Tomcat
- Inne systemy (np. aplikacje własne, IIS etc)
- systemy które powinny zostać obsłużone przez centralne API XML
Treść odpowiedzi
Zamawiający wymaga uwzględnienia niżej przedstawionych ilości serwerów:
- Jboss/Websphere/Weblogic/Tomcat – 20 serwerów
- Inne systemy (np. aplikacje własne, IIS etc) – 20 serwerów
Zamawiający nie precyzuje, który z wyspecyfikowanych mechanizmów ma być wykorzystany do
programowalnego wykonywania zapytań o pozyskanie hasła.
Treść zapytania nr 2
W punkcie 2.3.2.2.3. OPZ Zamawiający sformułował wymaganie, że System musi posiadać
predefiniowaną rolę:.
Administrator / administrator haseł może mieć status ‘super administratora’ przydzielony przez
innego administratora (statusu tego nie może przydzielić sam sobie) – ‘super administrator’ posiada
uprawnienia zarządzania wszystkimi zasobami dodanymi do system zarządzania hasłami przez
wszystkich administratorów/użytkowników.
Czy w związku z zagrożeniami jakie niesie ze sobą fakt posiadania przez jednego użytkownika
uprawnień do wszystkich zasobów dodanych do systemu zarządzania kontami i korzystania z takiego
konta w codziennej pracy, a co za tym idzie, większym prawdopodobieństwem kompromitacji hasła
dla takiego konta oraz możliwością nadania takiego statusu w sposób nieuprawniony lub omyłkowy
,Zamawiający dopuszcza system w którym istnieje predefiniowana rola ‘super administratora’, ale w
systemie istnieje tylko jeden taki użytkownik i wykorzystywany jest on głównie w przypadkach
awaryjnych, a do jego wykorzystania wymagane jest hasło oraz klucz prywatny przechowywany na
zewnętrznym nośniku pamięci, co umożliwia rozdzielenie hasła i klucza pomiędzy dwóch niezależnych
administratorów, powodując że niezbędna jest obecność ich obu w celu zalogowania się do systemu
jako super administrator? Podejście takie znacząco zwiększa poziom bezpieczeństwa systemu.
Treść odpowiedzi
Zamawiający dopuszcza takie rozwiązanie.
Treść zapytania nr 3
W punktach 2.15, 2.15.1, 2.15.2, 2.15.3 OPZ Zamawiający sformułował następujące wymaganie:
System powinien zapewniać dostęp mobilny poprzez dedykowane aplikacje, co najmniej dla platform:
Android, iOS oraz Windows Mobile.
Czy zamawiający dopuszcza rozwiązanie w którym zamiast dedykowanej aplikacji dla wyżej
wymienionych platform System będzie posiadał centralną aplikację webową dedykowaną dla
urządzeń mobilnych, umożliwiającą dostęp do Systemu z dowolnej przeglądarki internetowej
zainstalowanej na platformie Android, iOS lub też Windows Mobile?
Treść odpowiedzi
Zamawiający wymaga zaoferowania rozwiązania umożliwiającego dostęp mobilny poprzez
dedykowane aplikacje. Zamawiający nie precyzuje technologii w jakiej dana aplikacja ma zostać
wykonana/zrealizowana.
Treść zapytania nr 4
Prosimy o informację na temat liczby serwerów na których uruchomione są aplikacje, w przypadku
których wykorzystywane będzie programowalne wykonywanie zapytań o pozyskanie hasła, opisane w
punkcie 2.7.3 jak również o podanie typu wykorzystywanej platformy aplikacyjnej (np. Tomcat,
WebLogic) lub języka programowania (np. Java, .Net). Jeżeli w przypadku pewnych aplikacji i
systemów Zamawiający chciałby wykorzystać mniej wydajną i odporną na awarie oraz niedostępność
infrastruktury sieciowej metodę wdrożenia opierającą się o centralne API XML, Dostawca zwraca się
z prośbą o podanie liczby serwerów na których takie aplikacje i systemy są uruchomione.
Treść odpowiedzi
Zamawiający wymaga uwzględnienia niżej przedstawionych ilości serwerów:
- Jboss/Websphere/Weblogic/Tomcat – 20 serwerów
- Inne systemy (np. aplikacje własne, IIS etc) – 20 serwerów
Zamawiający nie precyzuje, który z wyspecyfikowanych mechanizmów ma być wykorzystany do
programowalnego wykonywania zapytań o pozyskanie hasła.
Treść zapytania nr 5
Dotyczy pkt 2.7.3.1.1.1 – Czy Zamawiający wykorzystuje jedynie aplikacje napisane w języku
programowania Java, czy również aplikacje napisane w innych językach, jak np. C++ lub inne. Jeżeli
odpowiedź na powyższe pytanie jest pozytywna, Dostawca zwraca się z prośbą, czy Zamawiający
wymaga dostarczenia rozwiązania, które pozwoli na integrację z takimi aplikacjami (tj. innymi niż
napisane w języku Java).
Treść odpowiedzi
Zamawiający wykorzystuje również aplikację napisane w innych językach programowania i wymaga
dostarczenia rozwiązania, które pozwoli na integrację z takimi aplikacjami.
Treść zapytania nr 6
Dotyczy pkt 2.15 - Czy zamawiający dopuści rozwiązanie, które w przypadku dostępu z urządzeń
mobilnych nie wykorzystuje dedykowanej aplikacji mobilnej lecz aplikację webową uruchomioną w
infrastrukturze klienta przeznaczoną dla (dostosowaną do) urządzeń mobilnych. Z uwagi na fakt, że
zgodnie z opisem w pkt 2.15 przeznaczeniem dedykowanej aplikacji mobilnej jest zapewnienie
dostępu do oferowanego systemu, wykorzystanie mobilnej aplikacji webowej zapewni takie same
funkcje i będzie nie mniej ergonomiczne z punktu widzenia obsługi przez użytkownika.
Treść odpowiedzi
Zamawiający wymaga zaoferowania rozwiązania umożliwiającego dostęp mobilny poprzez
dedykowane aplikacje. Zamawiający nie precyzuje technologii w jakiej dana aplikacja ma zostać
wykonana/zrealizowana.
Treść zapytania nr 7
Czy Zamawiający wymaga, żeby zaoferowane rozwiązanie dawało możliwość separacji sesji
administracyjnych. Wykorzystanie separacji sesji powoduje, że hasło administracyjne przekazywane
jest bezpośrednio z infrastruktury zarządzającej hasłami do docelowego systemu, dzięki czemu jego
odcisk (hash) nie jest przechowywany na komputerze administratora, a co za tym idzie nie może być
wykradziony przez potencjalnego atakującego.
Treść odpowiedzi
Zamawiający dopuszcza zaoferowanie takiego rozwiązania.
Treść zapytania nr 8
Czy Zamawiający dopuści rozwiązanie, w którym atrybuty sesji uprzywilejowanych przekazywane są
na stację administratora, z której następnie realizowane jest połączenie?
Treść odpowiedzi
Zamawiający dopuści takie rozwiązanie.
Treść zapytania nr 9
Prosimy o informacje dotyczącą liczby systemów docelowych do których hasła będą zarządzane.
Informacja ta jest niezbędna w celu odpowiedniego oszacowania parametrów wydajnościowych
oferowanego rozwiązania.
Treść odpowiedzi
Zamawiający przewiduje objęcie systemem do zarządzania hasłami około 100 systemów.
Treść zapytania nr 10
Czy w przypadku konieczności zastosowania licencji firm trzecich, tj. licencji Microsoft Zamawiający
udostępni takie licencje i Dostawca powinien jedynie wyspecyfikować liczbę i typ wymaganych
licencji.
Treść odpowiedzi
Zamawiający udostępni wymagane licencje.
Treść zapytania nr 11
Czy w przypadku konieczności zastosowania serwerów fizycznych lub wirtualnych w celu
uruchomienia oferowanego rozwiązania Zamawiający udostępni takie serwery i Dostawca powinien
jedynie wyspecyfikować liczbę i typ wymaganych serwerów.
Treść odpowiedzi
Zamawiający udostępni wymagane serwery.
Treść zapytania nr 12
Czy w ramach przedmiotowego postępowania Zamawiający wymaga dostarczenia licencji
pozwalających na zarządzanie hasłami zaszytymi w kodzie aplikacji, czy też wymaga jedynie, żeby
zaoferowane rozwiązanie miało możliwość uruchomienia takiej funkcji w przyszłości przez
zastosowanie odpowiedniego klucza licencyjnego .
Treść odpowiedzi
Zamawiający nie wymaga dostarczenia tej funkcji lecz dopuszcza możliwość uruchomienia jej w
przyszłości.
Treść zapytania nr 13
Wykonawca zwraca się z prośbą o informację na temat liczby serwerów na których uruchomione są
aplikacje, w przypadku których wykorzystywane będzie programowalne wykonywanie zapytań o
pozyskanie hasła, opisane w punkcie 2.7.3 jak również o podanie typu wykorzystywanej platformy
aplikacyjnej (np. Tomcat, WebLogic) lub języka programowania (np. Java, .Net). Jeżeli w przypadku
pewnych aplikacji i systemów Zamawiający chciałby wykorzystać mniej wydajną i odporną na awarie
oraz niedostępność infrastruktury sieciowej metodę wdrożenia opierającą się o centralne API XML,
Dostawca zwraca się z prośbą o podanie liczby serwerów na których takie aplikacje i systemy są
uruchomione.
Treść odpowiedzi
Zamawiający wymaga uwzględnienia niżej przedstawionych ilości serwerów:
- Jboss/Websphere/Weblogic/Tomcat – 20 serwerów
- Inne systemy (np. aplikacje własne, IIS etc) – 20 serwerów
Zamawiający nie precyzuje, który z wyspecyfikowanych mechanizmów ma być wykorzystany do
programowalnego wykonywania zapytań o pozyskanie hasła.
Treść zapytania nr 14
Dotyczy pkt 2.7.3.1.1.1: Wykonawca zwraca się z prośbą o informację, czy Zamawiający wykorzystuje
jedynie aplikacje napisane w języku programowania Java, czy również aplikacje napisane w innych
językach, jak np. C++ lub inne. Jeżeli odpowiedź na powyższe pytanie jest pozytywna, Dostawca
zwraca się z prośbą, czy Zamawiający wymaga dostarczenia rozwiązania, które pozwoli na integrację
z takimi aplikacjami (tj. innymi niż napisane w języku Java).
Treść odpowiedzi
Zamawiający wykorzystuje również aplikację napisane w innych językach programowania i wymaga
dostarczenia rozwiązania, które pozwoli na integrację z takimi aplikacjami.
Treść zapytania nr 15
Dotyczy pkt 2.15: Wykonawca zwraca się z prośbą o informację, czy zamawiający dopuści
rozwiązanie, które w przypadku dostępu z urządzeń mobilnych nie wykorzystuje dedykowanej
aplikacji mobilnej lecz aplikację webową uruchomioną w infrastrukturze klienta przeznaczoną
dla/dostosowaną do urządzeń mobilnych. Z uwagi na fakt, że zgodnie z opisem w pkt 2.15
przeznaczeniem dedykowanej aplikacji mobilnej jest zapewnienie dostępu do oferowanego systemu,
wykorzystanie mobilnej aplikacji webowej zapewni takie same funkcje i będzie nie mniej
ergonomiczne z punktu widzenia obsługi przez użytkownika.
Treść odpowiedzi
Zamawiający wymaga zaoferowania rozwiązania umożliwiającego dostęp mobilny poprzez
dedykowane aplikacje. Zamawiający nie precyzuje technologii w jakiej dana aplikacja ma zostać
wykonana/zrealizowana.
Treść zapytania nr 16
Czy Zamawiający wymaga, żeby zaoferowane rozwiązanie dawało możliwość separacji sesji
administracyjnych. Wykorzystanie separacji sesji powoduje, że hasło administracyjne przekazywane
jest bezpośrednio z infrastruktury zarządzającej hasłami do docelowego systemu, dzięki czemu jego
odcisk (hash) nie jest przechowywany na komputerze administratora, a co za tym idzie nie może być
wykradziony przez potencjalnego atakującego.
Treść odpowiedzi
Zamawiający dopuszcza zaoferowanie takiego rozwiązania.
Treść zapytania nr 17
Czy Zamawiający dopuści rozwiązanie, w którym atrybuty sesji uprzywilejowanych przekazywane są
na stację administratora, z której następnie realizowane jest połączenie?
Treść odpowiedzi
Zamawiający dopuści takie rozwiązanie.
Treść zapytania nr 18
Wykonawca zwraca się z prośbą o informacje dotyczącą liczby systemów docelowych do których
hasła będą zarządzane. Informacja ta jest niezbędna w celu odpowiedniego oszacowania
parametrów wydajnościowych oferowanego rozwiązania.
Treść odpowiedzi
Zamawiający przewiduje objęcie systemem do zarządzania hasłami około 100 systemów.
Treść zapytania nr 19
Wykonawca zwraca się z prośbą, czy w przypadku konieczności zastosowania licencji firm trzecich, tj.
licencji Microsoft Zamawiający udostępni takie licencje i Dostawca powinien jedynie wyspecyfikować
liczbę i typ wymaganych licencji.
Treść odpowiedzi
Zamawiający udostępni wymagane licencje.
Treść zapytania nr 20
Wykonawca zwraca się z prośbą, czy w przypadku konieczności zastosowania serwerów fizycznych lub
wirtualnych w celu uruchomienia oferowanego rozwiązania Zamawiający udostępni takie serwery i
Dostawca powinien jedynie wyspecyfikować liczbę i typ wymaganych serwerów.
Treść odpowiedzi
Zamawiający udostępni wymagane serwery.
Treść zapytania nr 21
Wykonawca zwraca się z prośbą o informacje czy dostawa funkcji do ochrony haseł w kodzie aplikacji
jest wymagana w postepowaniu? Jeżeli tak to na jaką liczbę serwerów?
Treść odpowiedzi
Zamawiający nie wymaga dostarczenia tej funkcji lecz dopuszcza możliwość uruchomienia jej w
przyszłości.
2017-02-20
X
Bożena Chudy
Bożena Chudy
Przewodnicząca Komisji Przetargowej
Podpisany przez: Chudy Bożena