Conceptnota Raamovereenkomst voor de levering van ICT beveiligingsdiensten en - infrastructuur. D000001 Pagina 1 van 8
Inhoudsopgave 1 Doelstelling conceptnota... 3 1.1 De opdracht... 3 1.2 Digipolis... 3 2 Opdrachtgevend bestuur, wijze van gunning, motivering, procedure... 3 2.1 Opdrachtgevend bestuur... 3 2.2 Wijze van gunnen... 3 2.3 Motivatie van de procedure... 4 2.4 Procedure die zal gevolgd worden... 4 3 Omschrijving van de opdracht... 4 3.1 Deelnemers... 4 3.2 Doelstelling van hoofdklanten... 5 3.3 Beschrijving van de opdracht... 5 3.4 Duurtijd van de opdracht... 6 4 Achtergrondinformatie... 6 4.1 Huidige situatie... 6 4.2 Toekomstige situatie... 7 5 Concept en uit te werken oplossing... 7 6 Functionele vereisten... 7 7 Technische vereisten... 7 8 SLA... 8 Pagina 2 van 8
1 Doelstelling conceptnota Via deze conceptnota wil Digipolis aan de kandidaten voldoende informatie over de opdracht meegeven zodat zij kunnen inschatten of zij zich voor deze opdracht wensen in te schrijven en meer concreet of zij zich in de eerste fase van deze opdracht willen kandidaat stellen. 1 Deze conceptnota is louter indicatief en kan het opdrachtgevend bestuur niet verbinden. Het uiteindelijke bestek dat aan de geselecteerde kandidaten zal bezorgd worden zal de definitieve bepalingen omtrent deze opdracht bevatten. 1.1 De opdracht Deze opdracht omvat het afsluiten van een raamovereenkomst voor het leveren van ICT beveiligingsdiensten en - infrastructuur voor Digipolis en zijn klanten. Digipolis beschikt over een 16.110+ beheerde ICT eindpunten. Deze, inclusief de datastromen van en naar deze eindpunten, moeten op meerdere niveaus kunnen beveiligd worden. De volledige beveiligingsopzet moet op gestelde tijden op zijn deugdelijkheid kunnen gecontroleerd worden. 1.2 Digipolis De Steden en OCMW's van Antwerpen en Gent werken voor wat betreft hun telematica-behoeften sinds 1 oktober 2003 samen in de opdrachthoudende vereniging Digipolis. Digipolis levert diensten op het gebied van informatie- en communicatietechnologie. Dit houdt niet enkel hard- en software in, maar ook geïntegreerde totaaloplossingen in verschillende vakgebieden, waarmee de basistaken zo veel mogelijk geautomatiseerd worden. Digipolis verleent deze diensten aan de Stad Antwerpen en Gent, de lokale politie en het OCMW van de steden Antwerpen en Gent. 2 Opdrachtgevend bestuur, wijze van gunning, motivering, procedure 2.1 Opdrachtgevend bestuur Digipolis (opdrachthoudende vereniging) Generaal Armstrongweg 1 2020 Antwerpen Tel. (03) 338 76 11 Fax. (03) 338 79 00 Leidend ambtenaar voor dit bestek: Frank Luykx Tel: +32 (0)3 338 77 82 Email: frank.luykx@digipolis.be 2.2 Wijze van gunnen De opdracht is een opdracht voor diensten in de klassieke sector waarvoor de Belgische onderhandelingsprocedure met bekendmaking wordt gehanteerd ten behoeve van het opdrachtgevend bestuur Digipolis. 1 Voor de voorwaarden waaronder men zich kandidaat kan stellen: zie de gepubliceerde aankondiging op https://enot.publicprocurement.be Pagina 3 van 8
2.3 Motivatie van de procedure De aanbestedende dienst opteert voor het toewijzen van een opdracht van diensten voor de onderhandelingsprocedure met bekendmaking krachtens art. 26, 2, 3 niet nauwkeurig kunnen vaststellen van een globale prijs van de wet van 15 juni 2006. De aanbestedende overheid is immers van mening dat de gunning van onderhavige opdracht niet mogelijk is door aanbesteding noch door offerteaanvraag omdat de technische specificaties van de opdracht op voorhand niet met voldoende nauwkeurigheid kunnen worden bepaald o De technische complexiteit van de opdracht en de functionaliteiten die de aanbestedende overheid vraagt, moeten getoetst worden aan de bereidheid en mogelijkheden die de oplossingen van de potentiële aanbieders bevatten. o De aanbestedende overheid wil zich vergewissen dat de aangeboden oplossingen zeer nauw aansluiten op de wensen van haar klanten en aan de geldende en toekomstige praktijken uit de IT-omgevingen. o De aanbestedende overheid wil bij de potentiële aanbieders nagaan hoe de ondersteuning, het plan van aanpak en de SLA s zullen aangeboden worden 2.4 Procedure die zal gevolgd worden Verzending publicatieblad Europese Unie (EU) en Bulletin der Aanbestedingen Openbare zittingsdag kandidaatstelling Opvragen ontbrekende stukken Verzending aan niet-geselecteerden i.f.v. beroepsmogelijkheden Verzending aan geselecteerde inschrijvers Beperkte zittingsdag ontvangst offertes Onderhandelingen (+ BAFO) Verzending aan niet-geselecteerden i.f.v. beroepsmogelijkheden Verzending aan geselecteerde inschrijvers De procedure van beoordeling van de inschrijvers zal verlopen in verschillende onderhandelingsrondes, die van start gaat na de beperkte zittingsdag ontvangst offertes. De aanbestedende overheid behoudt zich het recht voor om, in het licht van de concrete noden van het onderhandelingsproces, het verloop van deze onderhandelingen te wijzigen. De aanbestedende overheid behoudt zich het recht voor om, in het licht van de concrete noden van het onderhandelingsproces, het verloop van deze onderhandelingen te wijzigen. 3 Omschrijving van de opdracht Deze opdracht omvat het afsluiten van een raamovereenkomst voor het leveren van ICT beveiligingsdiensten en - infrastructuur voor Digipolis en zijn klanten. Digipolis beschikt over een 16.110+ beheerde ICT eindpunten. Deze, inclusief de datastromen van en naar deze eindpunten, moeten op meerdere niveaus kunnen beveiligd worden. De volledige beveiligingsopzet moet op gestelde tijden op zijn deugdelijkheid kunnen gecontroleerd worden. De opdracht wordt opgesplitst in 3 percelen. De inschrijver die perceel 1 en/of perceel 2 wint zal indien hij de gunstigste is voor perceel 3 dit niet toegewezen krijgen. Perceel 3 wordt dan aan de tweede gunstigste inschrijver toegewezen. Dit om de onafhankelijkheid van de beveiligingsaudits, gevraagd in perceel 3, te vrijwaren. 3.1 Deelnemers De basisopdracht betreft een onderdeel van de huidige infrastructuur die Digipolis momenteel ter beschikking heeft voor het leveren van IT diensten aan haar klanten zijnde Stad, OCMW, Zorgbedrijf, Lokale Politie en verzelfstandigde eenheden van Stad Antwerpen en Stad Gent. Voorts kan Digipolis uit deze raamovereenkomst putten om op te treden als opdrachtcentrale voor: Pagina 4 van 8
1. In elk geval de leden van Digipolis, zijnde de Stad Antwerpen, OCMW Antwerpen, de Stad Gent en OCMW Gent, AG Stedelijk Onderwijs Antwerpen, AG Kinderopvang Antwerpen, Zorgbedrijf Antwerpen, AG Stadsontwikkelingsbedrijf Gent. 2. Instellingen die vallen onder de rechtspersoonlijkheid van de Stad Antwerpen, de Stad Gent, het OCMW Antwerpen en/of het OCMW Gent. 3. Instellingen met een afzonderlijke rechtspersoonlijkheid die door de Steden of OCMW s van Antwerpen en Gent belast zijn met een bepaalde taak van gemeentelijk belang. 4. Andere instellingen die zeer nauw verbonden zijn met de Stad Antwerpen, de Stad Gent OCMW Antwerpen en OCMW Gent. 5. Instellingen, rechtspersonen die een samenwerkingsovereenkomst met Digipolis hebben afgesloten (zoals de Federale Politie). 3.2 Doelstelling van hoofdklanten De doelstelling van dit bestek is om een raamovereenkomst af te sluiten voor de aankoop en levering van ICT beveiligingsdiensten en -infrastructuur. 3.3 Beschrijving van de opdracht Deze opdracht omvat het afsluiten van een raamovereenkomst voor het leveren van ICT beveiligingsdiensten en - infrastructuur voor Digipolis en zijn klanten. Digipolis beschikt over een 16.110+ beheerde ICT eindpunten. Deze, inclusief de datastromen van en naar deze eindpunten, moeten op meerdere niveaus kunnen beveiligd worden. De volledige beveiligingsopzet moet op gestelde tijden op zijn deugdelijkheid kunnen gecontroleerd worden. De opdracht wordt opgesplitst in 3 percelen. Perceel 1 omvat de ondersteuning en mogelijke uitbreiding van alle centrale en decentrale beveiligingsinfrastructuur zoals firewall s, proxy s, SMTP gateway s, two-factor authentication,... Dit perceel omvat ook 5 cases. In case 1.1 vragen wij een haalbaarheidsstudie rond het vervangen van de in dit perceel vermelde beveiligingsinfrastructuur door opensource alternatieven. In case 1.2 wordt gevraagd naar oplossingen voor de beveiliging van SaaS toepassingen. In case 1.3 wordt er gevraagd naar de aandachtspunten en mogelijkheden voor het beveiligen van het cloud stuk van een hybride datacenter. In case 1.4 is Digipolis op zoek naar een security auditing oplossing die minimaal AD, Exchange, Windows fileserver, Linux, NetApp Filer, SharePoint en Alfresco ondersteunt. In case 1.5 zoeken we een niet AD gebaseerde applicatie autorisatie oplossing (light, coarse grained access management) welke gebaseerd is op open standaarden zoals XACML. Perceel 2 omvat de ondersteuning en mogelijke uitbreiding van de beveiligingssoftware, momenteel McAfee producten, op de beheerde ICT eindpunten, waaronder 1 centrale NAS. De inschrijver voorziet wel dat Digipolis hier een multi-vendor strategie kan hanteren. Dit perceel omvat ook 3 cases. In case 2.1 vragen wij een haalbaarheidsstudie rond het vervangen van de in dit perceel vermelde beveiligingssoftware door opensource alternatieven. In case 2.2 hadden wij graag een inzicht gekregen in de mogelijkheden, zowel technisch als beleidsmatig, bij de introductie van niet beheerde ICT eindpunten in onze omgeving. In case 2.3 hadden we graag een beeld gekregen van de standaard en additionele beveiligingsmogelijkheden op Linux operating systemen en de diensten die de inschrijver hier kan bieden. Perceel 3 omvat diensten op afroep voor pentesting en beveiligingsaudits op de omgevingen van Digipolis. Dit perceel bevat 4 cases. In case 3.1 vragen we een inschatting van de impact van de nieuwe Europese data protectie richtlijn. In case 3.2 vragen we een offerte voor driemaandelijkse pentesten op alle publieke adressen van Antwerpen. Case 3.3 handelt over beperkte audits op afroep voor de informatiebeveiligingsrisico s en controls (fysiek, technisch, administratief). In case 3.4 vragen we een offerte voor een korte consultancy opdrachten voor het implementeren van een ISMS (ISO 27*). In case 3.5 vragen we om permanente vulnerability scans van de infrastructuur componenten aan te bieden als dienst. Pagina 5 van 8
3.4 Duurtijd van de opdracht De globale duurtijd van het contract wordt gesloten voor een periode van 5 jaar en kan maximaal 2 maal door de aanbestedende overheid met één jaar worden verlengd. De aanbestedende overheid heeft onvoorwaardelijke recht op deze verlenging. De looptijd is langer dan de bij voorkeur wettelijke termijn van 4 jaar voor een raamovereenkomst maar wordt gemotiveerd door de feitelijke toestand dat Digipolis een investering doet in ICT beveiligingsinfrastructuur welke economisch het meest interessant is als we een looptijd van 7 jaar kunnen hanteren. Om economisch efficiënt (kosten/baten/roi) te kunnen zijn is een langere looptijd noodzakelijk. 4 Achtergrondinformatie 4.1 Huidige situatie Inventaris Digipolis Antwerpen: Vendor Device/Software aantal aditionele licenties F5 Viprion C2400 2 LTM, AFM, APM, ASM, GTM F5 Viprion B2100 6 F5 BigIP 3600 2 LTM Juniper SA4500 2+2 350, 300 Juniper SA2500 1 LAB Juniper IDP250 2 Juniper SRX650 2+2 Juniper SRX-240 H2 1 Juniper SRX210 10 Juniper SRX100 41 Juniper SBR 1 Juniper Junos Space 1 75 devices Infoblox IB-1420 1+2 Infoblox IB-820 2+2 Cisco Ironport C370 2+2 20.000, 700 (Sophos AV) Palo Alto PA-4050 2 Brightcloud URL, Threat Prevention Palo Alto PA-3020 2 Pan-DB URL, Threat Prevention, Wildfire Palo Alto Panorama 2 Barracuda Spam & Virus firewall 400 2 Energize updates IBM Qradar Log Manager Base 3105 1 5000 eps Vasco axs GUARD Identifier Auth Bundle-AG344 2 2194 Digipass'en McAfee Virusscan Enterprise for Storage 4 McAfee Endpoint Protection Advanced Suite 9000 McAfee MOVE AV for Virtual Desktops 150 Pagina 6 van 8
Inventaris Digipolis Gent: Vendor Device/Software aantal licenties F5 Viprion C2400 2 LTM, ASM, APM F5 Viprion B2100 2 Juniper SA4500 2 200, ICE Juniper SA2500 1 50 Juniper MAG2600 1 Juniper SSG320 2 Juniper SRX650 2 Juniper SSG140 2 Juniper SRX100 (B, H, H2) 84 Juniper SBR 2 Enterpr. Ed. for S Juniper Junos Space 1 Infoblox Trinzic 1420 4 Cisco Ironport C370 2 10.000, Sophos Palo Alto PA-200 10 Palo Alto PA-500 2 Brightcloud URL, Threat Prevention Palo Alto PA-5020 2 Brightcloud URL, Threat Prevention, Wildfire Palo Alto Panorama 1 Vasco axs GUARD Identifier Auth Bundle-AG344 2 105 Digipass'en McAfee Endpoint Protection P:3 GL [P+] 6081 McAfee McAfee VirusScan for Storage P:1 GL 4 4.2 Toekomstige situatie Een nieuwe raamovereenkomst voor de ondersteuning en mogelijke uitbreiding van alle in het bestek vermelde elementen. In dit bestek worden, in basis, geen infrastructurele uitbreidingen gevraagd. 5 Concept en uit te werken oplossing Digipolis verwacht van de inschrijver dat hij een brede waaier aan oplossingen en expertise kan aanbieden op het gebied van ICT beveiliging. In dit bestek worden, in basis, geen infrastructurele uitbreidingen gevraagd. Digipolis wenst doormiddel van cases enerzijds een beeld te krijgen van evoluties en trends in het beveiligingsdomein en anderzijds inzicht te krijgen in de expertise, oplossingen en kostenstructuur van de inschrijver. 6 Functionele vereisten Digipolis verwacht dat de aangeboden hardware en software voldoende performant en stabiel is. Digipolis verwacht dat de aangeboden diensten correct, vlot en met de nodige expertise worden uitgevoerd. Bij wijzigingen aan bestaande oplossingen is er ook de verwachting dat dit met minimale impact naar de eindgebruikers gebeurd. 7 Technische vereisten Digipolis verwacht dat, al naargelang de behoefte, centrale componenten dusdanig redundant over de twee datacenters kunnen geïmplementeerd worden zodat geplande onderhoud en upgrade werken zonder impact op de operationele werking kunnen uitgevoerd worden. Digipolis verwacht dat software op de beheerde ICT eindpunten een zo klein mogelijk belasting op het eindpunt veroorzaken. Pagina 7 van 8
8 SLA Er wordt een Service Level Agreement gevraagd die alle elementen van de oplossingen moet behelzen. De SLA zal een aantal bindende afspraken vastleggen voor de betrokken partijen om een kwaliteitsvolle dienstverlenging tussen inschrijver en opdrachtgever op te zetten. De gevraagde SLA voorwaarden per element zullen deel uitmaken van het bestek. Pagina 8 van 8