Valstybės įmonės Registrų centro išduodamų elektroninio parašo sertifikatų valdymo IT sistemos (RCSC CA) sprendimo palaikymo paslaugos

Išanalizuota

VĮ Registrų centras (PV)

Rinkos konsultacijaCPV: 72243000 - Programavimo paslaugos

ID: 80153522026-05-22 16:10

Aprašymas

Perkamos Valstybės įmonės Registrų centro išduodamų elektroninio parašo sertifikatų valdymo IT sistemos (RCSC CA) sprendimo palaikymo paslaugos. Šios paslaugos apima sutrikimų analizę, šalinimą, konfigūravimą, modifikavimą, testavimą, konsultavimą ir darbingumo atkūrimą. Pagrindinis tikslas – užtikrinti nepertraukiamą RCSC CA veikimą, savalaikį sutrikimų šalinimą ir techninės dokumentacijos atitiktį eksploatuojamam sprendimui.

Kvalifikaciniai reikalavimai

1Tiekėjas turi turėti (arba gali pasitelkti) kvalifikuotus už pirkimo sutarties vykdymą atsakingus specialistus.
2Specialistas – Microsoft sprendimų specialistas turi tarptautiniu mastu pripažįstamą Microsoft sprendimų specialisto kvalifikaciją; patvirtintą vienu iš žemiau nurodytų dokumentų: galiojantys dokumentai „Microsoft Certified Technology Specialist: SQL Server, Database Development“ (ne žemesnei kaip MS SQL Server 2008 versijai) arba anksčiau Microsoft išduoti MCSA, MCSD ar MCSE sertifikatai, arba naujos kartos Microsoft vaidmenimis grįsti sertifikatai, arba kitas lygiavertis dokumentas, patvirtinantis specialisto kompetenciją (dokumento lygiavertiškumą turi įrodyti tiekėjas).
3Specialistas – Microsoft sprendimų specialistas turi darbo patirties per pastaruosius 5 metus, bent 1 (viename) taikomosios sistemos kūrimo / modernizavimo ar priežiūros ir palaikymo projekte, kurio vykdymo metu: kūrė ar keitė Microsoft .NET C# realizuotą programinį kodą; diegė ir/ar konfigūravo Microsoft Certificate Authority skaitmeninių sertifikatų išdavimo ir tvarkymo sistemą.
4Specialistas – Specializuotos kriptografinės tinklinės įrangos specialistas turi specializuotos aparatinės kriptografinės įrangos HSM (angl. Hardware Security Module) inžinieriaus kvalifikaciją; patvirtintą vienu iš žemiau nurodytų dokumentų: galiojantys dokumentai: specializuotos aparatinės kriptografinės įrangos (HSM) diegimo, konfigūravimo ir priežiūros kompetenciją, patvirtinantis gamintojo išduotas sertifikatas; "nCipher Certified System Engineer" ar lygiavertis dokumentas (dokumento lygiavertiškumą turi įrodyti tiekėjas).
5Specialistas – Specializuotos kriptografinės tinklinės įrangos specialistas turi darbo patirties per pastaruosius 5 metus, bent 1 (viename) taikomosios sistemos kūrimo / modernizavimo ar priežiūros ir vystymo projekte, kurio vykdymo metu diegė bei konfigūravo ir/ar prižiūrėjo specializuotą aparatinę kriptografinę įrangą HSM, naudojamą kvalifikuotų patikimumo paslaugų ar kitos aukšto saugumo infrastruktūros aplinkoje.
6Specialistas – Specializuotos kriptografinės tinklinės įrangos specialistas per pastaruosius 5 metus turi darbo patirties bent 1 (viename) kvalifikuotų laiko žymų sudarymo taikomosios sistemos kūrimo / modernizavimo ar priežiūros ir vystymo projekte, kurio metu buvo atsakingas už laiko žymų sudarymo taikomosios sistemos programinės įrangos keitimą ir konfigūravimą.

Techniniai reikalavimai

Diegimo reikalavimai

1Sistemos versijų diegimui į Pirkėjo Aplinkas Teikėjas turi parengti Diegimo planą.
2Turi būti sukonfigūruotas duomenų rezervinio kopijavimo mechanizmas, aprašytos ir išbandytos duomenų procedūros.
3Sistemos versijų diegimas turi būti vykdomas etapais kiekvienai Sistemos naudojančiai tarnybinei stočiai atskirai.
4Sistemos versijų diegimas turi būti vykdomas nurodyta tvarka: DEV aplinkoje įdiegiama nauja Sistemos versija; atliekami įdiegtos Sistemos versijos testai; nesėkmingai atlikus testus, atliekami reikiami Sistemos pakeitimai ir diegimo procesas kartojamas; sėkmingai atlikus testus, diegimo procesas tęsiamas toliau.
5TEST aplinkoje įdiegiama nauja DEV aplinkoje sėkmingai ištestuota Sistemos versija; atliekami įdiegtos Sistemos versijos testai; nesėkmingai atlikus testus, atliekami reikiami Sistemos pakeitimai ir diegimo procesas kartojamas; sėkmingai atlikus testus, diegimo procesas tęsiamas toliau.
6Versijos diegimo metu tarnybinė stotis, kurioje vykdomi versijos diegimo darbai, vartotojui bus neprieinama.

Testavimo reikalavimai

1Turi būti atliktas Sistemos vystymo ir priežiūros paslaugų priėmimo testavimas.
2Turi būti užtikrintas išeities kodo padengimas automatiniais testais. 70 procentų išeities kodo turi būti padengti testais.
3Turi būti atlikti Sistemos versijų testavimai.
4Testavimo tikslai: įsitikinti, kad reikalavimų įgyvendinimas atliktas tinkama apimtimi; identifikuoti, užregistruoti ir ištaisyti funkcionalumo klaidas (angl. Bugs).
5Vidinius vystymo užsakymų realizavimo testavimus Teikėjas turi atlikti nedalyvaujant Pirkėjo atstovams, tačiau turi pateikti tokio testavimo įrodymus – vidinio testavimo ataskaitas, automatinių testavimų scriptus ir nustatytų neatitikimų sąrašą.
6Vidinis testavimas turi būti atliktas Teikėjo kūrimo aplinkoje.
7Automatiniai testai turi būti įtraukti į automatinius CI/CD procesus.
8Vidinio testavimo veiklos turi būti vykdomos pagal suderintą Paslaugų teikimo reglamentą ir Pirkėjo testavimo valdymo priemonėje XRAY Teikėjo parengtais testavimo scenarijais.
9Teikėjas turi atlikti šiuos vidinius testavimus: Unit, Integration, System, Regression, Functional, Non-Functional, Performance, Security, Usability, Compatibility, Installation, Configuration, Smoke.
10Apkrovos ir našumo testavimas atliekamas DEV aplinkoje, nedalyvaujant Pirkėjo atstovams. Šio testavimo rezultatai turi atsispindėti vidinio testavimo ataskaitoje.
11Pirkėjo testavimo aplinkoje vykdys papildomą apkrovos ir našumo testavimą.
12Jei Pirkėjo atlikto testavimo rezultatai netenkins nurodytų reikalavimų, Teikėjas turės atlikti reikiamas sistemos optimizavimo veikla.
13Integracinis testavimas (angl. Integrity Testing) atliekamas TEST aplinkoje su Pirkėjo darbuotojais.
14Integraciniai testai turi būti izoliuoti ir nepriklausyti nuo aplinkoje besisukančių trečiųjų šalių servisų.
15Integracinio testavimo metu rastos klaidos ir neatitikimai turi būti pašalinti ir ištaisyta Sistemos versija sėkmingai ištestuota TEST aplinkoje.
16Saugos testavimas: teikiamos Paslaugos atitinka Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818, nurodytus reikalavimus.
17Saugos testavimas: turi būti vadovaujamasi saugaus projektavimo ir kodavimo (angl. Secure Coding) praktika ir metodais (The Open Web Application Security Project (OWASP) Secure Coding Practices ar lygiaverčius).
18Saugumo patikrinimai (testavimai) turi būti remiamasi Open Web Application Security Project (OWASP) Testing Guide v4, OWASP Application Security Verification Standard, Penetration Testing Execution Standard (PTES), Open Source Security Testing Methodology Manual (OSSTMM), Information Systems Security Assessment Framework (ISSAF), SANS, NIST SP 800-30 ar lygiavertėmis saugumo patikrinimo metodikomis.
19Priėmimo testavimas (angl. Acceptance Testing) atliekamas TEST aplinkoje dalyvaujant Teikėjui, Pirkėjui ir kitoms suinteresuotoms šalims.
20Priėmimo testavimas turi būti vykdomas Pirkėjo įsigytos techninės įrangos pagrindu.
21Teikėjas, teikdamas paslaugą, turi užtikrinti (naudoti) testavimui reikalingus išteklius (teistinius duomenis, įskaitant asmens duomenis, kai testavimo negalima atlikti su sintetiniais (nerealiais) asmens duomenimis).
22Teikėjas turės sudaryti ir kitus testavimo duomenis, kurie bus reikalingi tam, kad patikrinti šių RPO funkcinius ir nefunkcinius reikalavimus.
23Priėmimo testavimo veiklos turi būti vykdomos remiantis priėmimo testavimo planu, kurį pateiks Teikėjas, ir priėmimo testavimo scenarijais.
24Testavimo metu turi būti vykdomas identifikuotų klaidų (problemų) registravimas elektronine forma vedamajame pastebėtų klaidų (problemų) ir jų būsenų kaupimo žurnale (Pirkėjo įrankyje JIRA).
25Teikėjas turi parengti ir su Pirkėju suderinti testavimo planą ir testavimo scenarijus.
26Testavimo plane turi būti aprašyta testavimo metodika, apimtis, aplinka (pvz. naršyklių su kuriomis bus testuojama versijos), testavimo scenarijų struktūra, testavimo veiklų grafikas, testavimui reikalingi duomenys (sąlygos), testavimo priėmimo kriterijai ir kita aktuali informacija.
27Priėmimo testavimas užbaigiamas, kai tenkinami testavimo plane įvardinti testavimo priėmimo kriterijai ir užtikrinta, kad Sistemos versija yra tinkama eksploatacijai.
28Teikėjas turės atsižvelgti į Pirkėjo atstovų atliktų bandymų ir testavimų rezultatus, fiksuotus JIRA sistemoje, atlikti visų testavimų rezultatuose nurodytų trūkumų (pažeidimų, rekomendacijų) šalinimą.
29Teikėjas turės sudaryti reikiamas sąlygas suplanuotiems testavimams ir bandymams atlikti – pateikti išeities kodą, pateikti prisijungimo duomenis prie sistemos komponentų, sukurti testavimui reikalingus naudotojus, įjungti / išjungti sistemos komponentus, sudaryti prieigos galimybes specializuotai testavimo ir bandymų programinei įrangai, atlikti kitas reikiamas veiklas, kurios užtikrintų pilnavertį testavimų ir bandymų proceso įvykdymą.

Dokumentacijos reikalavimai

1Visa Teikėjo rengiama Pirkimo paslaugų dokumentacija turi būti parengta lietuvių kalba vadovaujantis bendrinės lietuvių kalbos taisyklėmis (išskyrus techninius dokumentus, kaip Diegimo planas, kuriuose dalis informacijos gali būti pateikiama anglų kalba).
2Visi Teikėjo parengti dokumentai turės būti suderinti su Pirkėju.
3Detalūs dokumentų derinimo principai ir terminai turės būti pateikti ir suderinti Teikėjo parengtame Paslaugų teikimo reglamente.
4Pirkėjas įsipareigoja pateikti pastabas derinimui pateiktiems dokumentams: iki 100 puslapių dokumento pirma versija - per 6 darbo dienas; po pastabų pataisyta dokumento versija – per 4 darbo dienas.
5Pirkėjas įsipareigoja pateikti pastabas derinimui pateiktiems dokumentams: virš 100 puslapių dokumento pirma versija - per 8 darbo dienas; po pastabų pataisyta dokumento versija – per 6 darbo dienas.
6Paslaugų teikėjo rezultatai derinami su Pirkėju ne daugiau kaip 2 (dviem) iteracijomis.
7Pirkėjas turi teisę per derinimui skirtus terminus atsisakyti teikti pastabas pirmai dokumento versijai, jeigu ji nėra tinkama derinimui (nepateikta visa apimtis vertikaliai arba horizontaliai).
8Dokumentų galutinės versijos turi būti pateiktos dviem formatais: redagavimui tinkamu elektroniniu (.doc, .docx, .pdf arba kitu su Pirkėju suderintu formatu) ir Teikėjo atsakingo asmens parašu (elektroniniu arba įprastu) pasirašytu formatu.
9Dokumentų tarpinės versijos teikiamos tik elektroniniu formatu.
10Visa Teikėjo parengta Projekto dokumentacija turi būti patvirtinta Pirkėjo atsakingų asmenų, detaliau aprašyta Paslaugų teikimo reglamente.

Duomenų saugos reikalavimai

1Paslaugų teikėjas, teikdamas paslaugas, privalo laikytis Lietuvos Respublikos ir Europos Sąjungos teisės aktų, reglamentuojančių valstybės informacinių išteklių valdymą, elektroninės informacijos saugą, asmens duomenų apsaugą ir kibernetinį saugumą.
2Prieiga prie perkančiosios organizacijos informacinių išteklių paslaugų teikėjui suteikiama tik tiek, kiek būtina sutartiniams įsipareigojimams vykdyti.
3Paslaugų teikėjas privalo įgyvendinti tinkamas organizacines ir technines priemones, skirtas apsaugoti informaciją nuo neteisėto sunaikinimo, pakeitimo, atskleidimo ar kitokio neteisėto tvarkymo.
4Paslaugų teikėjas privalo nedelsdamas informuoti perkančiąją organizaciją apie pastebėtus saugos incidentus, pažeidžiamumus, neveikiančias ar netinkamai veikiančias saugos priemones.
5Paslaugų teikėjas privalo, suderinęs veiksmus su perkančiąja organizacija, imtis priemonių rizikai valdyti bei incidentų priežastims nustatyti.
6Paslaugų teikėjas privalo užtikrinti konfidencialios informacijos apsaugą visą sutarties galiojimo laikotarpį ir jam pasibaigus.
7Paslaugų teikėjas turi užtikrinti, kad teikiamos paslaugos nekelia grėsmės nacionaliniam saugumui ir atitinka taikytinus viešųjų pirkimų bei kibernetinio saugumo reikalavimus.
8Teikėjas turi užtikrinti, kad siūlomos paslaugos atitinka Organizacinių ir techninių kibernetinio saugumo reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818, nurodytus reikalavimus.
9Teikėjas turės pasirašyti susitarimą dėl asmens duomenų tvarkymo, kaip tai nustatyta Reglamento (ES) 2016/679 28 straipsnio 3 dalyje.
10Teikėjas turės atlikti Sistemos atitikties vertinimą pagal aukščiau išvardintus teisės aktus ir pateikti tokio vertinimo ataskaitą, kuri turi būti suderinta su RC.
11Atitikties vertinimas turi būti atliktas ne vėliau nei Sistemos bandomosios eksploatacijos pradžia.
12Teikėjas Sistemos vystymui turi naudoti naujausias stabilias programinės įrangos versijas ir jos pataisymus.
13Sistemoje draudžiama bet kokia neautorizuota ar nedokumentuota nuotolinė ar lokali prieiga/paskyros ar bet koks slaptas (nedokumentuotas) funkcionalumas, galintis pažeisti sistemos saugumą.
14Teikėjas privalo pateikti detalias sistemos ir platformos (OS, DBMS, Middleware) saugumo konfigūravimo instrukcijas.
15Sistemos Teikėjas privalo pateikti sistemos funkcionavimui būtinų platformos komponentų, sisteminių paslaugų, prievadų sąrašą.
16Visi nebūtini Sistemos funkcionalumui komponentai turi būti deaktyvuoti prieš pradedant sistemos eksploataciją.
17Duomenų srautai tarp skirtingų lygių turi būti dokumentuoti, nurodant reikalingus komunikacijai prievadus ir protokolus, bei ribojami ugniasienių.
18Sistemos išorinis portalas turi būti atskirame nuo Sistemos vidinių posistemių tinklo segmente.
19Teikėjas kartu su Sutartimi, pasirašo asmens duomenų tvarkymo susitarimą.
20Teikėjas užtikrina, kad asmuo, vykdysiantis Sutarties Techninės dalies įgyvendinimą pasirašytų Pirkėjo pateiktą Konfidencialumo pasižadėjimą.

Garantinės priežiūros reikalavimai

1Teikėjas privalės užtikrinti pagal Vystymo užsakymus ir (ar) Priežiūros paslaugų metu įdiegtos programinės įrangos (aplikacijų, duomenų bazių ir kt.) garantinę priežiūrą.
2Garantinės priežiūros terminas – 12 mėnesių nuo Vystymo užsakymo priėmimo – perdavimo akto pasirašymo datos ir (ar) Priežiūros paslaugų metu atlikto pakeitimo.
3Paslaugų trūkumų, pastebėtų Paslaugų perdavimo – priėmimo metu ar (ir) po Akto pasirašymo, pašalinimo terminas – 5 darbo dienos.
4Garantinės priežiūros paslaugos apima sukurtos ir modernizuotos programinės įrangos sutrikimų šalinimą bei Pirkėjo atsakingų asmenų konsultavimą susijusiais klausimais.
5Teikėjas turi vykdyti Pirkėjo atsakingų asmenų konsultavimą Sistemos veikimo, naudojimo bei tobulinimo klausimais kiek tai yra susieta su Vystymo užsakymais.
6Konsultacijos turi būti teikiamos telefonu, el. paštu (angl. Hot Line), naudojant priežiūros tarnybos (angl. Help Desk) programinę įrangą ar atvykus į Perkančiąją organizaciją.
7Teikėjas turi teikti skubią pagalbą įsilaužimo atveju.
8Reakcijos į kritinį sutrikimą laikas (problema užregistruota Perkančios organizacijos incidentų valdymų sistemoje JIRA ir perduota sprendimui) – ne ilgiau kaip 1 (viena) valanda nuo pranešimo apie sutrikimą gavimo sutartu būdu.
9Kritinis sutrikimas: analizę pradėti per 2 val., šalinimas – ne ilgiau kaip 6 valandos (su suderinimu, jei ilgiau).
10Svarbus sutrikimas: analizę pradėti per 4 darbo val., šalinimas – ne ilgiau kaip 8 darbo valandos (su suderinimu, jei ilgiau).
11Neesminis sutrikimas: analizę pradėti per 8 darbo val., šalinimas – ne ilgiau kaip 3 darbo dienos (su suderinimu, jei ilgiau).
12Teikėjas turi parengti prieinamas ir suderinti su Pirkėju informavimo apie Sistemos sutrikimus, jų registravimo ir taisymo veiksmų būseną priemones.
13Garantinės priežiūros paslaugos, konsultacijos telefonu ir elektroniniu paštu (angl. Hot Line) turi būti teikiamos Pirkėjo darbo dienomis darbo valandomis (išskyrus kritinių sutrikimų sprendimą).
14Garantinės priežiūros metu, atnaujinus Sistemos funkcionalumus, sukurtus pagal Vystymo užsakymus ir (ar) atliktus Priežiūros paslaugų metu, atitinkamai turi būti pakoreguota visa susijusi dokumentacija, pateikti atnaujinti išeities kodai ir kiti programiniai komponentai.
15Galimybė visą parą registruoti problemas internetu bei stebėti problemų sprendimo būklę naudojant Teikėjo pateiktą klaidų registravimo įrankį arba Pirkėjo JIRA.
16Garantinės priežiūros metu, atlikus pakeitimus/taisymus, turi būti atliekamas sistemų išeities tekstų atnaujinimas ir pateikimas Pirkėjui įvertinimui.

Bendrieji paslaugų teikimo reikalavimai

1Paslaugos turi būti teikiamos pagal perkančiosios organizacijos užsakymus, laikantis taikytinų duomenų saugos, patikimumo užtikrinimo paslaugų ir informacinių išteklių valdymo reikalavimų.
2Paslaugų teikėjas, prieš perduodamas pakeistą ar naujai parengtą programinę įrangą, turi ją pilnai ištestuoti ir įsitikinti, kad jos įdiegimas nesutrikdys susijusių sistemų veikimo.
3Jeigu paslaugų teikimo metu keičiama programinė įranga ar jos dokumentacija, paslaugų teikėjas turi atnaujinti techninę dokumentaciją ir kitus perdavimui reikalingus artefaktus.
4Paslaugų teikėjas atsako už jo atliktų pakeitimų kokybę ir savo sąskaita šalina trūkumus, atsiradusius dėl netinkamai suteiktų paslaugų ar įdiegtų pakeitimų.
5Teikėjas užsakytų Sistemos programinės įrangos pakeitimų kūrimui turės turėti savo, tam skirtą darbinę aplinką.
6Teikėjas, atlikęs užsakytus Sistemos programinės įrangos pakeitimus, prieš juos pateikdamas Pirkėjui, privalės atitinkamai atnaujinti naudotojų instrukcijas bei elektroninės pagalbos priemones.
7Ne rečiau, kaip kartą į mėnesį, jeigu tam yra poreikis, turi būti atnaujinta ir sistemų techninė dokumentacija.
8Teikėjas, visus užsakymų vykdymo metu planuojamus taikyti Sistemos programinės įrangos projektinius ar technologinius sprendimus bei numatomą naudoti kitų gamintojų ar atviro kodo programinę įrangą, turės suderinti su Pirkėjo atsakingais už sistemų vystymą ir priežiūrą specialistais.
9Teikėjas sukurtiems paslaugų rezultatams turi suteikti 12 (dvylikos) mėnesių garantinės priežiūros terminą.
10Teikėjas turi pilnai ištestuoti ir įsitikinti, kad visi įdiegti pakeitimai veiks taip, kaip buvo numatyta užsakyme ir kituose dokumentuose, nustatančiuose funkcinius reikalavimus kuriamai ar keičiamai programinei įrangai.
11Teikėjas savo sąskaita turės šalinti pagal pateiktus užsakymus Teikėjo pakeistos ar naujai sukurtos Sistemos sutrikimus.
12Teikėjas savo sąskaita turės šalinti Sistemos programinės įrangos veikimo neatitikimus vystymo užsakymuose ir juos detalizuojančiuose dokumentuose numatytiems reikalavimams.
13Teikėjas savo sąskaita turės ištaisyti paslaugų trūkumus, nustatytus sukurtame funkcionalume, atsiradusius dėl Teikėjo kaltės garantinės priežiūros galiojimo laikotarpiu.
14Teikėjas savo sąskaita turės ištaisyti kitus paslaugų trūkumus, atsiradusius dėl Teikėjo kaltės.
15Visus Sistemos sutrikimus ir jų padarinius, kurie atsirado įdiegus Teikėjo pateiktus programinės įrangos pakeitimus, pagal Teikėjo pateiktą pakeitimų diegimo instrukciją, teikėjas šalina savo sąskaita, taip kaip yra numatyta reikalavimuose sutrikimų šalinimui.

Paslaugų teikimo valdymas ir užsakymas

1Paslaugų teikėjas turi paskirti atsakingus asmenis paslaugų organizavimui, koordinavimui ir komunikacijai su perkančiosios organizacijos specialistais.
2Visa komunikacija paslaugų teikimo metu turi vykti lietuvių kalba, o visi paslaugų teikėjo atstovai turi pasirašyti konfidencialumo pasižadėjimą ir susipažinti su perkančiosios organizacijos saugos dokumentais.
3Už suteiktas paslaugas atsiskaitoma pagal perkančiosios organizacijos patvirtintus paslaugų perdavimo–priėmimo aktus ir tiekėjo pateiktas sąskaitas faktūras sutartyje nustatyta tvarka; aktuose turi būti nurodytos faktiškai suteiktos paslaugos ir jų vykdymui sugaištas laikas.
4Paslaugos bus užsakomos Pirkėjo JIRA pateikiant užduotis – konkrečios užduotys priskiriamos Tiekėjo specialistui(-ams), kuriems prieš tai suteikiama prieiga prie Pirkėjo JIRA.
5Pirma užduotis JIRA turi būti pateikiama ne vėliau kaip per 1 (vieną) mėn. nuo Sutarties pasirašymo dienos.
6Laimėjusio Teikėjo specialistai, kurie per pastaruosius 5 metus nedirbo su modernizuojama Sistema ar jos dalimi, per su Užsakovu suderintą laikotarpį (ne ilgesnį kaip 1 mėnuo) turės susipažinti su Sistema tokiu lygiu, kuris užtikrintų bendrą komandos supratimą apie jos veikimą ir pagrindinius komponentus.
7Po susipažinimo specialistai pateiks ataskaitą pagal Užsakovo pateiktą šabloną ir pristatys ją susitikimo metu.
8Susipažinimui ir ataskaitos parengimui skirtas laikas yra apmokamas.
9Teikėjas ar Pirkėjas gali siūlyti alternatyvų atskiro RPO reikalavimo įgyvendinimo būdą arba reikalavimo įgyvendinimo iškeitimą į lygiavertį funkcionalumą, kuris niekaip neigiamai neturėtų įtakos Pirkimo tikslui, uždaviniams ir galutiniams rezultatams bei neprieštarautų pirkimus reglamentuojančių teisės aktų reikalavimams.
10Teikėjas gali siūlyti alternatyvius architektūros realizavimo būdus, kurie užtikrintų lygiavertę ar geresnę Sistemos greitaveiką, aukštą prieinamumą, plečiamumą, interoperabilumą, palaikymą, saugumą ir patogumą.
11Jei demonstravimas bus vykdomas, jo metu Pirkėjo ekspertai, siekdami objektyviai įvertinti Teikėjo demonstruojamos prekės galimybes, galės užduoti Teikėjui klausimus, ne tik tiesiogiai susijusius su demonstruojamos prekės funkcijomis, bet ir kitus, kurie galimai gali sieti demonstruojamą funkciją su kitais objektais ir (ar) funkcijomis, nurodytomis techninėje specifikacijoje.
12Pasinaudojus galimybe vykdyti demonstravimą jis turėtų būti atliekamas lietuvių kalba arba su vertimu į lietuvių kalbą.
13Per 20 darbo dienas nuo Sutarties įsigaliojimo Teikėjas turi surengti įvadinį susitikimą su Registrų centru bei pateikti derinimui ir pristatyti Paslaugų teikimo reglamentą, apimantį paslaugų atlikimo ir pateikčių pateikimo terminus, paslaugų teikimo organizacinę struktūrą, komunikacijos tvarką, rezultatų kokybės tikrinimo, pridavimo ir derinimo tvarką.
14Teikėjas turės bendrauti su Pirkėju susitikimų metu, raštu ir e. paštu, ir dalyvauti rengiamų dokumentų aptarime su suinteresuotomis šalimis bei suteikti pagalbą pristatant ir aptariant pateikiamų dokumentų turinį bei teikti kitas su Specifikacijos parengimu susijusias konsultacijas Registrų centrui.
15Visų susitikimų turinys turi būti protokoluojamas taip kaip nurodyta Paslaugų teikimo reglamente.
16Teikėjas pats pasirūpina Paslaugoms teikti reikalingomis priemonėmis ir technine įranga.
17Sutarties vykdymo metu kviečiami Teikėjo specialistai turės dalyvauti Pirkėjo organizuojamuose susitikimuose.
18Kiekvienas Teikėjo specialistas teikiant Paslaugas privalo kiekvieną Paslaugų teikimo darbo dieną pildyti darbo laiko žiniaraštį Pirkėjo JIRA sistemoje.
19Tiekėjo siūlomas specialistas (-ai) turi gebėti bendrauti žodžiu ir raštu lietuvių kalba (ne blogesniu nei C1 lygiu pagal Bendruosius Europos kalbų matmenis).
20Sistemos vystymo poreikiai turi būti registruojami Pirkėjo Jira sistemoje Sistemos vystymo projekte, pasirenkant Issue type Epic.
21Poreikis Epic skaidomas į Story, mažesnius produkto darbų sąrašo elementus.

Priežiūros ir palaikymo paslaugų reikalavimai

1Priežiūros paslaugos turi apimti sutrikimų registravimą, analizę, šalinimą, konsultavimą, būtinų pakeitimų parengimą, dokumentacijos atnaujinimą ir pagalbą diegimo ar atkūrimo atvejais.
2Paslaugos turi būti teikiamos darbo dienomis nuo 8:00 iki 17:00 val., o kritinių sutrikimų atveju – ir kitu laiku, kai tai būtina perkančiosios organizacijos veiklos tęstinumui užtikrinti.
3Paslaugų teikėjas turi nedelsdamas informuoti perkančiąją organizaciją apie pastebėtus ar galinčius įvykti sutrikimus, saugos incidentus, rizikas ir numatomus jų šalinimo terminus.
4Jeigu teikiant priežiūros paslaugas yra reikalingas techninės dokumentacijos atnaujinimas, ji turi būti atnaujinama, o konsultavimas ir techninė pagalba turi būti teikiami nuotoliniu būdu arba, kai būtina, specialistų darbo vietoje.
5Esant būtinybei, atstatant Sistemos veiklą priežiūros paslaugos teikiamos ir kitu iš anksto suderintu laiku taip, kad nebūtų pažeisti nustatyti atstatymo terminai.
6Teikėjas turi paskirti atsakingus už priežiūros paslaugų teikimą asmenis, kurie turi būti pasiekiami registruojant užduotis Pirkėjo naudojamoje informacinių technologijų užduočių valdymo ir tvarkymo sistemoje JIRA, nurodytu telefono numeriu ir elektroniniu paštu.
7Visas su priežiūra susijusias veiklas paslaugų Teikėjas turės organizuoti taip, kad visos Pirkėjo užsakomos paslaugos, Teikėjo suteiktų paslaugų rezultatai, jų aprašymai ir kita susijusi informacija būtų registruojami Pirkėjo JIRA.
8Teikėjas turi nedelsdamas fiksuoti Pirkėjo JIRA ir / arba suderinta tvarka pranešti Pirkėjo paskirtiems atsakingiems asmenims apie pastebėtus arba galinčius įvykti Sistemos veiklos sutrikimus, incidentus ir problemas bei numatomus jų šalinimo terminus.
9Sprendimą, kokios svarbos Pirkėjo JIRA/ Pagalbos tarnyboje registruotas kreipinys, ir vertinimą, ar kreipinys tinkamai išspręstas ir gali būti uždarytas, priima Pirkėjas.
10Pirkėjo JIRA/ Pagalbos tarnyboje Teikėjo atstovai privalės iš karto pranešti apie sutrikimo sprendimo eigą, o suradę sprendimą bei išsprendę problemą, pakomentuoti sprendimą.
11Visas Sistemos programinės įrangos klaidas ir neatitikimus jos techninei dokumentacijai ir užsakymų teikti vystymo paslaugas reikalavimams, dokumentacijos trūkumus, taip pat visus Sistemos darbo sutrikimus ir jų padarinius, kurie atsirado įdiegus teikėjo įvykdytus programinės įrangos pakeitimus, Paslaugų teikėjas šalina savo sąskaita.
12Nustatytais kreipinių sprendimo terminais Paslaugų teikėjas turės pateikti reikalingus diegimui Sistemos programinę įrangą / diegimo paketus su diegimo instrukcijomis.
13Pirkėjo specialistų konsultavimas ir techninės pagalbos teikimas turi būti atliekamas Pirkėjo JIRA priemonėmis, telefonu, elektroniniu paštu bei specialistų darbo vietoje.
14Nesant galimybei suteikti konsultaciją iš karto, Teikėjas turi pateikti atsakymus į konsultacijų paklausimus ne vėliau kaip per 8 (aštuonias) Pirkėjo darbo valandas.
15Pirminis ir antrinis klientų konsultavimo lygis užtikrinamas Pirkėjo, techninės priežiūros klausimai, kurių nepavyksta išspręsti Pirkėjui registruojami Pirkėjo JIRA, vykdymą priskiriant Teikėjo nurodytam asmeniui.
16Teikėjas gali perduoti Pirkėjui tik pilnai ją ištestavęs ir įsitikinęs, kad, ją įdiegus, nebus sutrikdytas šių bei kitų taikomųjų sistemų darbas ir ji veiks taip, kaip buvo numatyta užsakyme ir kituose dokumentuose.
17Sistemos PĮ išeities tekstai ir versijos turi būti saugomos Pirkėjo programinės įrangos versijų valdymo sistemoje GitLab.
18Teikėjas atlikęs PĮ pakeitimus turės atnaujinti ir šioje versijų valdymo sistemoje saugomus programinės įrangos išeities tekstus.
19Sistemos PĮ išeities tekstai turi būti su komentarais ir atitikti gerąsias programinio kodo formatavimo, kintamųjų bei funkcijų įvardinimo praktikas.
20Sistemos PĮ išeities tekstai Pirkėjui turi būti perduoti kompiliavimui paruoštų rinkmenų paketų forma, nurodant standartines kompiliavimo priemones ir kompiliavimo eigą.
21Turi būti pateikta kompiliavimo perkančiosios organizacijos aplinkoje instrukcija.
22Visų Sistemos pataisymų diegimui tiek testinėje tiek ir gamybinėje aplinkose, Teikėjas turi parengti ir perduoti Pirkėjui pakeitimų automatinio diegimo programinę įrangą bei diegimo instrukcijas.
23Teikėjas Sistemos pataisymų kūrimui turės turėti savo, tam skirtą darbinę aplinką.
24Teikėjas, visus priežiūros vykdymo metu planuojamus taikyti Sistemos PĮ projektinius ar technologinius sprendimus bei numatomą naudoti kitų gamintojų ar atviro kodo PĮ, turės suderinti su Pirkėjo atsakingais už Sistemų vystymą ir priežiūrą specialistais.
25Teikėjas turi pilnai ištestuoti ir įsitikinti, kad visi įdiegti pakeitimai veiks taip, kaip buvo numatyta dokumentuose, nustatančiuose funkcinius reikalavimus keičiamai programinei įrangai.
26Jeigu, teikiant priežiūros paslaugas, yra reikalingas Sistemos techninės dokumentacijos atnaujinimas, ji turi būti atnaujinama.
27Sistemos naudojimo instrukcijos taip pat turi būti atnaujintos bei pateiktos ir per programinės įrangos naudotojo sąsają.
28Sistemos pakeitimo vykdymą Teikėjas turi organizuoti ir dokumentuoti taip, kad būtų galima fiksuoti visas problemas, jų sprendimus ir sprendimų rezultatus; sekti konkrečios problemos sprendimų eigą.

Programinės įrangos ir infrastruktūros technologija

1RCSC CA pagrindą sudaro standartiniai Microsoft produktai ir paslaugos – Microsoft Windows Server, Active Directory, DNS, NLB, Microsoft SQL Server, Microsoft Active Directory Certificate Services (ADCS) ir Microsoft Internet Information Services, kuriuos papildo nestandartiniai komponentai bei Thales (nCipher) HSM įrenginiai.
2Tiekėjas, suderinęs su Perkančiąja organizacija, turi naudoti naujai kuriamai PĮ jos kūrimo dieną esamas naujausias programinių paketų (pvz. Microsoft Office 2019 WordML technologijos naudojimui), bibliotekų (pvz. jQuery v3.7.1, jQuery.min, Bootstrap ir kt.), programavimo kalbų, jų kompiliatorių bei interpretatorių versijas (pvz., JDK21, .NET 4.8, .NET Core, PHP 8.0).

Techninių kibernetinio saugumo priemonių reikalavimai

1Turi būti įdiegta, įgyvendinta prieigų kontrolės sistema, kuri taikoma visiems IT sistemos naudotojams.
2Prieigų kontrolės sistema turi leisti kurti, patvirtinti, peržiūrėti ir panaikinti naudotojų paskyras.
3Turi būti vengiama naudoti bendras naudotojų paskyras.
4Vietose, kur bendra naudotojų paskyra yra būtina, turi būti užtikrinta, kad visi bendros paskyros naudotojai turi tokias pat teises ir pareigas.
5Turi būti veikiantis autentifikavimo mechanizmas, leidžiantis prieigą prie IT sistemos.
6Minimalus reikalavimas naudotojui prisijungti prie IT sistemos – naudotojo prisijungimo vardas ir slaptažodis.
7Slaptažodis sudaromas atsižvelgiant į tam tikrą kompleksiškumo lygį.
8Slaptažodis turi būti sudarytas iš raidžių, skaičių ir specialiųjų simbolių, slaptažodžiams sudaryti neturi būti naudojama asmeninio pobūdžio informacija.
9Naudotojo slaptažodis turi būti ne trupesnis kaip 10 simbolių ir keičiamas ne rečiau kaip kas šešis mėnesius.
10Administratoriaus slaptažodis turi būti ne trumpesnis kaip 15 simbolių ir keičiamas ne rečiau kaip kas šešis mėnesius.
11Turi būti užtikrintas prisijungimo duomenų saugumas.
12Turi būti imtasi visų priemonių, kad prisijungimo vardai ir slaptažodžiai netaptų žinomi tretiesiems asmenims.
13Kompiuterinėje darbo vietoje ar taikomojoje programinėje įrangoje slaptažodžių išsaugojimas turi būti draudžiamas.
14Prieigų kontrolės sistema turi turėti galimybę aptikti ir neleisti naudoti slaptažodžių, kurie neatitinka tam tikro kompleksiškumo lygio.
15Techninių žurnalų įrašai turi būti kuriami kiekvienai IT sistemai, naudojamai asmens duomenims tvarkyti.
16Techninių žurnalų įrašuose turi būti matoma visa įmanoma prieigų prie asmens duomenų informacija.
17Techninių žurnalų įrašų saugojimo terminas – ne trumpesnis kaip 3 mėnesiai.
18Techninių žurnalų įrašai turi turėti laiko žymas ir būti apsaugoti nuo galimo sugadinimo, suklastojimo ar neautorizuotos prieigos.
19IT sistemose naudojami laiko apskaitos mechanizmai turi būti sinchronizuoti pagal bendrą laiko atskaitos šaltinį.
20Darbo vietų naudotojams negalima turėti galimybės išjungti ar apeiti, išvengti IT sistemų saugos nustatymų.
21Naudotojams negalima turėti privilegijų (teisių) diegti, šalinti, administruoti neautorizuotos programinės įrangos.
22Baigus darbą arba pasitraukiant iš darbo vietos, turi būti atsijungiama nuo tinklų ir informacinių sistemų, įjungiama ekrano užsklanda su slaptažodžiu.
23Kritiniai kompiuterinių darbo vietų operacinės sistemos saugos atnaujinimai privalo būti diegiami reguliariai ir nedelsiant.
24Antivirusinės taikomosios programos ir jų informacijos apie virusus bei kenkimo programinę įrangą duomenų bazės turi būti atnaujinamos ne rečiau kaip kartą per parą.
25Kai prieiga prie naudojamų IT sistemų, susijusių su duomenų tvarkymu, yra vykdoma internetu, duomenys turi būti šifruojami taikant virtualaus privataus tinklo (VPN) technologiją su TLS / SSL sertifikatu arba naudojama privataus prieigos taško (APN) per mobiliojo ryšio operatorių technologija, taikant perduodamų duomenų šifravimą sraute su TLS / SSL sertifikatu, kai VPN technologija nėra palaikoma mobiliųjų įrenginių.
26Belaidis ryšys prie IT sistemų turi būti leidžiamas tik tam tikriems vartotojams ir procesams.
27Belaidžio ryšio potinklis turi būti atskirtas nuo kitų potinklių.
28Belaidis ryšys turi būti šifruojamas pagal gerąją saugumo praktiką rekomenduojamu šifravimo ilgio raktu.
29Būtina naudoti visuotinai saugiais pripažįstamus raktus ir protokolų versijas.
30Belaidės prieigos stotelėje turi būti pakeisti standartiniai gamintojo raktai.
31Mobilieji ir nešiojamieji įrenginiai, kuriais bus naudojamasi darbui su informacinėmis sistemomis, prieš naudojimąsi turi būti užregistruoti ir autorizuoti.
32Mobilieji, nešiojamieji įrenginiai turi būti pakankamo prieigos kontrolės procedūrų lygio, kaip ir kita naudojama įranga asmens duomenims tvarkyti.
33Viešaisiais elektroninių ryšių tinklais perduodamos kibernetinio saugumo subjektui jautrios informacijos konfidencialumas turi būti užtikrintas naudojant šifravimą bei turi būti apsaugota slaptažodžiais.
34Mobiliųjų įrenginių laikmenose ir išorinėse kompiuterinėse laikmenose laikomi tinklų ir informacinių sistemų duomenys turi būti šifruojami.
35Duomenis būtina šifruoti kietojo disko lygiu.
36Prieš pašalinant bet kokią duomenų laikmeną, turi būti sunaikinti visi joje esantys duomenys, naudojant tam skirtą programinę įrangą, kuri palaiko patikimus duomenų naikinimo algoritmus.
37Jei duomenų laikmenos sunaikinimas programine įranga neįmanomas (pvz., USB, DVD laikmenos), turi būti įvykdytas fizinis duomenų laikmenos sunaikinimas be galimybės atstatyti, pvz., naudojant tam skirtus smulkintuvus arba kitas mechanines priemones.
38Turi būti įgyvendinta fizinė aplinkos, patalpų, kuriose yra IT sistemų infrastruktūra, apsauga nuo neautorizuotos prieigos.

Organizacinių kibernetinio saugumo priemonių reikalavimai

1Tiekėjo (subtiekėjo) paskirti darbuotojai, kurie teiks paslaugas pagal Sutartį ir jungsis prie Registrų centro IRT infrastruktūros, privalo susipažinti su valdytojo patvirtinta Kibernetinio saugumo politika ir ją įgyvendinančiais teisės aktais bei laikytis nustatytų reikalavimų.
2Tais atvejais, kai tiekėjui (subtiekėjui) yra perduodama tvarkyti Registrų centro duomenis savo (tiekėjo (subtiekėjo)) infrastruktūroje, tiekėjui (subtiekėjui) būtina vadovautis tiekėjo (subtiekėjo) organizacijoje patvirtinta informacijos ir (ar) kibernetinio saugumo politika.
3Visą Sutarties galiojimo laikotarpį ir po jo privaloma užtikrinti perduodamos, saugomos ar kitais būdais tvarkomos informacijos konfidencialumą, o iki pradedant tokią informaciją tvarkyti, būtina raštiškai įsipareigoti saugoti tokio pobūdžio informaciją.
4Privaloma užtikrinti gautų prisijungimo duomenų saugumą ir neatskleisti jų trečiosioms šalims.
5Naudotojų teises galima suteikti, keisti ir (ar) panaikinti laikantis principo „Būtina žinoti“ arba būtina užtikrinti, kad teisė prieiti prie informacijos būtų suteikta tik konkrečioms funkcijoms įvykdyti (darbui atlikti) ir (ar) konkrečiai apibrėžtam laikotarpiui.
6Tiekėjas (subtiekėjas) turi taikyti atitinkamas ir adekvačias teisių suteikimo ar pareigų atšaukimo, vaidmenų ir atsakomybių perdavimo ar perleidimo darbuotojo atleidimo bei jų funkcijų pasikeitimo atveju procedūras savo organizacijoje.
7Tiekėjo (subtiekėjo) darbuotojui pasitraukiant iš darbo vietos, turi būti imamasi priemonių, kad su informacija, kuri apdorojama Registrų centro IRT infrastruktūroje ar IS, negalėtų susipažinti pašaliniai asmenys.
8Visada būtina atsijungti nuo Registrų centro IRT infrastruktūros ar IS ir papildomai įjungti ekrano užsklandą su slaptažodžio apsauga.
9Tiekėjas (subtiekėjas) turi užtikrinti, kad jo pasitelkti tiekėjai (subtiekėjai) atitiktų tuos pačius informacijos ir kibernetinio saugumo reikalavimus.
10Tiekėjas (subtiekėjas) turi nedelsiant informuoti Registrų centrą apie nutrūkusius darbo santykius su organizacijos darbuotoju, kuriam buvo suteikta prieiga prie Registrų centro IRT infrastruktūroje tvarkomos informacijos.
11Tiekėjo (subtiekėjo) pareiga nedelsiant informuoti apie Sutarties vykdymo metu Registrų centro IRT infrastruktūroje pastebėtus didelius ir (ar) kitus elektroninės informacijos saugos incidentus, neveikiančias arba netinkamai veikiančias saugos užtikrinimo priemones, informacijos saugumo reikalavimų nesilaikymą, nusikalstamos veikos požymius, aptiktas saugumo spragas (pažeidžiamumus), kurie kelia riziką kibernetinio saugumo subjekto tinklams ir informacinėms sistemoms, bei kitus svarbius saugai įvykius telefonu +370 5 268 8262 ar raštu, el. p. pagalba@registrucentras.lt.
12Būtina informuoti Registrų centrą, bet ne vėliau kaip per 24 val., kai tiekėjo (subtiekėjo) valdomoje informacinių sistemų infrastruktūroje buvo nustatyti minėti atvejai, kurie turi įtakos Registrų centro tvarkomiems duomenims.
13Tiekėjas (subtiekėjas) privalo Registrų centrui pateikti kibernetinio incidento tyrimo ataskaitą, kurioje būtų išdėstyta visa turima informacija bei duomenys, susiję su incidentu, kai tyrimas bus užbaigtas.
14Tiekėjo (subtiekėjo) pareiga sudaryti sąlygas kibernetinio saugumo subjektui arba jo įgaliotiems paslaugų teikėjams atlikti tiekėjo (subtiekėjo) atitikties auditą (įskaitant neplaninį) Sutarties vykdymo laikotarpiu ar įvykus dideliam incidentui.
15Būtina vykdyti sutartinius paslaugų teikimo įsipareigojimus (angl. Service Level Agreement, SLA).
16Draudžiama skenuoti Registrų centro IRT infrastruktūrą ar IS, ieškant pažeidžiamumų ar kitais būdais stebėti Registrų centro IRT infrastruktūros ar IS duomenų srautą. Jeigu šiame punkte išvardintos priemonės yra reikalingos tiesioginėms paslaugoms atlikti, tai šias priemones galima naudoti tik suderinus su Registrų centro saugos įgaliotiniu.
17Draudžiama be atskiro Registrų centro leidimo ir žinios jungtis prie Registrų centro IRT infrastruktūros ar IS naudojant ne Registrų centro išduotą įrangą (išskyrus Registrų centro svečiams skirtame belaidžiame tinkle).
18Draudžiama gerti, valgyti ir rūkyti šalia informacijos apdorojimo įrangos Registrų centro patalpose.
19Draudžiama savavališkai keisti suteiktus tinklo parametrus (IP adresą ir pan.).
20Draudžiama naudoti programas, kurios gali trikdyti Registrų centro IRT infrastruktūros ar IS elektroninės informacijos prieinamumą.
21Draudžiama savarankiškai keisti, remontuoti, taisyti Registrų centro išduotą programinę ir techninę įrangą.
22Draudžiama naudoti Registrų centro išduotą programinę ir techninę įrangą Lietuvos Respublikos įstatymais draudžiamai veiklai, šmeižikiško, įžeidžiančio, grasinamojo pobūdžio ar visuomenės dorovės ir moralės principams prieštaraujančiai veiklai, kompiuterių virusams kurti ir platinti, masinei piktybiškai informacijai siųsti ar kitiems tikslams, kurie gali pažeisti Registrų centro ar kitų asmenų teisėtus interesus.
23Draudžiama diegti, saugoti, naudoti, kopijuoti ar platinti nelegalią, autorines teises pažeidžiančią programinę įrangą.

Dokumentai10

Pirkimosąlygų x priedas. RPO_vystvalandu_prieziuros.docx
Pirkimo sąlygų x priedas. Bendrosios sąlygos (Paslaugų sutartis).docx
Pirkimo sąlygų x priedas. Pasiūlymo vertinimo kriterijai ir sąlygos.docx
Pirkimo sąlygų x priedas. RCSC CA Techninė spefikacija.docx
Pirkimo sąlygų x priedas. Specialiosios sąlygos (Paslaugų sutartis).docx
1068_8015352.pdf
Pirkimo sąlygų x priedas. Tiekėjų kvalifikacijos reikalavimai ir reikalaujami kokybės bei aplinkos apsaugos vadybos sistemų standartai.docx
RDK kvietimas tiekėjams.docx
SUSITARIMAS DĖL ASMENS DUOMENŲ TVARKYMO.docx
Susitarimas dėl taikomų organizacinių ir techninių kibernetinio saugumo reikalavimų.docx

tendis.lt · Sukurta recodin.lt