IT kompetencijų pirkimas
Išanalizuota
LITGRID AB (PV)
2 950 000 €
Rinkos konsultacijaCPV: 72222300 - Informacijos technologijos paslaugos
ID: 81405202026-06-01 13:01
Atidaryti CVP ISAprašymas
LITGRID AB planuoja įsigyti IT kompetencijų ir specializuotų ekspertinių paslaugų teikimą pagal individualų poreikį. Šios paslaugos apima įvairias sritis, tokias kaip IT keitimų valdymas, sistemų, duomenų, debesijos architektūra, įvairios inžinerijos (Microsoft Azure, debesijos platformos, DevOps, virtualizacijos, dirbtinio intelekto, Microsoft Power Platform ir SharePoint Online, integracijų) bei kokybės užtikrinimas ir testavimas. Paslaugos bus teikiamos atskirais užsakymais, siekiant užtikrinti savalaikį IT pokyčių, projektų ir užduočių vykdymą.
Kvalifikaciniai reikalavimai
- 1Tiekėjas privalo užtikrinti, kad Paslaugas teiktų kvalifikuoti specialistai, atitinkantys Techninėje specifikacijoje nustatytus reikalavimus.
- 2Kiekvienai nurodytai rolei tiekėjas turi pasiūlyti bent 1 specialistą.
- 3Tiekėjo ir (ar) subrangovų darbuotojai, kuriems bus reikalinga teisė be palydos patekti prie Bendrovės valdomų nacionaliniam saugumui užtikrinti svarbių įrenginių ar turto, turi atitikti Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatymo 17 straipsnio 2 dalies punktuose nurodytus kriterijus.
- 4IT Keitimų Valdymo Vadovas: ne mažesnė kaip 3 metų patirtis IT keitimų valdymo, IT paslaugų valdymo, IT projektų koordinavimo arba panašioje srityje.
- 5IT Keitimų Valdymo Vadovas: dalyvavimas bent 1 projekte ar sutartyje, kuriame specialistas vykdė keitimų planavimo, koordinavimo, prioritetizavimo, rizikų vertinimo, terminų sekimo ar CAB organizavimo funkcijas.
- 6IT Keitimų Valdymo Vadovas: praktinė patirtis valdant keitimų eigą nuo inicijavimo iki uždarymo.
- 7IT Keitimų Valdymo Vadovas: patirtis dirbant su Savitarnos, ITSM ar analogiškomis keitimų registravimo / sekimo priemonėmis.
- 8IT Keitimų Valdymo Vadovas: privalomas ITIL® 4 Foundation sertifikatas.
- 9IT Sistemų ir Aplikacijų Architektas: ne mažesnė kaip 3 metų patirtis informacinių sistemų architektūros, sprendimų architektūros arba aplikacijų architektūros srityje.
- 10IT Sistemų ir Aplikacijų Architektas: dalyvavimas bent 1 projekte per pastaruosius 5 metus, kuriame specialistas vykdė architekto funkcijas.
- 11IT Sistemų ir Aplikacijų Architektas: praktinė patirtis rengiant HLD ar lygiaverčius architektūrinius aprašus.
- 12IT Sistemų ir Aplikacijų Architektas: patirtis vertinant architektūrines alternatyvas, sistemų sąveikas ir integracijas.
- 13IT Sistemų ir Aplikacijų Architektas: patirtis derinant architektūrinius sprendimus su suinteresuotosiomis šalimis ir prižiūrint įgyvendinimo atitiktį architektūrai.
- 14IT Sistemų ir Aplikacijų Architektas: privalomas TOGAF® Standard 10 – Foundation sertifikatas.
- 15IT Duomenų Architektas: ne mažesnė kaip 3 metų patirtis duomenų architektūros, duomenų modeliavimo, duomenų valdymo arba duomenų integracijų srityje.
- 16IT Duomenų Architektas: dalyvavimas bent 1 projekte, kuriame specialistas rengė duomenų modelius, duomenų srautus, duomenų struktūras arba duomenų architektūros aprašus.
- 17IT Duomenų Architektas: praktinė patirtis konceptualaus, loginio arba fizinio duomenų modeliavimo srityje.
- 18IT Duomenų Architektas: patirtis vertinant duomenų kokybės, vientisumo, saugos ir gyvavimo ciklo klausimus.
- 19IT Duomenų Architektas: patirtis dirbant su API duomenų struktūromis, integraciniais duomenų srautais ar duomenų katalogavimu.
- 20IT Duomenų Architektas: privalomas DAMA CDMP (Associate arba Practitioner) sertifikatas.
- 21IT Debesijos Architektas: ne mažesnė kaip 3 metų patirtis debesijos architektūros srityje.
- 22IT Debesijos Architektas: dalyvavimas bent 1 projekte, kuriame specialistas vykdė debesijos architekto funkcijas.
- 23IT Debesijos Architektas: praktinė patirtis projektuojant viešosios, privačios arba hibridinės debesijos sprendinius.
- 24IT Debesijos Architektas: patirtis rengiant aukšto lygio architektūrinius aprašus, apimančius tinklus, saugą, tapatybę, monitoringą, atsparumą ir RTO/RPO.
- 25IT Debesijos Architektas: patirtis vertinant debesijos platformų alternatyvas ir prižiūrint įgyvendinimo atitiktį architektūrai.
- 26IT Debesijos Architektas: privalomas Azure Solutions Architect Expert arba AWS/GCP/OCI lygiavertis sertifikatas.
- 27MS Azure Platformos Inžinierius / Ekspertas: ne mažesnė kaip 2 metų patirtis Microsoft Azure infrastruktūros administravimo srityje.
- 28MS Azure Platformos Inžinierius / Ekspertas: dalyvavimas bent 1 projekte ar sutartyje, kuriame specialistas diegė, konfigūravo arba prižiūrėjo Azure IaaS ir (ar) PaaS komponentus.
- 29MS Azure Platformos Inžinierius / Ekspertas: praktinė patirtis dirbant su tinklais, sauga, tapatybe, monitoring’u, atsarginėmis kopijomis ir atkūrimo sprendiniais Azure aplinkoje.
- 30MS Azure Platformos Inžinierius / Ekspertas: patirtis taikant automatizavimo ir IaC praktikas.
- 31MS Azure Platformos Inžinierius / Ekspertas: privalomas Azure Administrator Associate (AZ-104) sertifikatas.
- 32Debesijos Platformos Inžinierius: ne mažesnė kaip 2 metų patirtis viešųjų debesijų administravimo, standartizavimo arba automatizavimo srityje.
- 33Debesijos Platformos Inžinierius: dalyvavimas bent 1 projekte, kuriame specialistas diegė ar prižiūrėjo IaaS/PaaS komponentus, tinklų jungtis, saugos valdiklius arba IaC sprendinius.
- 34Debesijos Platformos Inžinierius: praktinė patirtis dirbant bent su viena iš viešųjų debesijų platformų: Azure, AWS, GCP arba OCI.
- 35Debesijos Platformos Inžinierius: patirtis su infrastruktūra kaip kodu, observability ir hibridinėmis jungtimis.
- 36Debesijos Platformos Inžinierius: privalomas Terraform Associate sertifikatas.
- 37DevOps Inžinierius: ne mažesnė kaip 2 metų patirtis DevOps, CI/CD, diegimų automatizavimo arba platformų patikimumo srityje.
- 38DevOps Inžinierius: dalyvavimas bent 1 projekte, kuriame specialistas kūrė, prižiūrėjo arba tobulino CI/CD pipelines.
- 39DevOps Inžinierius: praktinė patirtis konteinerizacijos, Kubernetes, IaC ir observability srityse.
- 40DevOps Inžinierius: patirtis sprendžiant diegimų, našumo, saugos arba automatizavimo problemas.
- 41DevOps Inžinierius: privalomas CKA (Certified Kubernetes Administrator) sertifikatas.
- 42Virtualizacijos Inžinierius: ne mažesnė kaip 2 metų patirtis VMware virtualizacijos platformų administravimo srityje.
- 43Virtualizacijos Inžinierius: dalyvavimas bent 1 projekte ar sutartyje, kuriame specialistas administravo VMware infrastruktūrą.
- 44Virtualizacijos Inžinierius: praktinė patirtis dirbant su vSphere, ESXi, vCenter, HA/DRS, virtualiais tinklais ir resursų valdymu.
- 45Virtualizacijos Inžinierius: patirtis atsarginių kopijų, atkūrimo, monitoringo ir našumo analizės srityse.
- 46Virtualizacijos Inžinierius: privalomas VMware VCP-DCV sertifikatas.
- 47DI Inžinierius: ne mažesnė kaip 2 metų patirtis DI/ML sprendinių kūrimo, diegimo arba MLOps srityje.
- 48DI Inžinierius: dalyvavimas bent 1 projekte, kuriame specialistas vykdė DI ar ML sprendinio kūrimo, diegimo, stebėsenos ar modelio priežiūros funkcijas.
- 49DI Inžinierius: praktinė patirtis dirbant su duomenų paruošimu, modelių kūrimu, modelių validavimu, diegimu ir stebėsena.
- 50DI Inžinierius: patirtis valdant modelių versijavimą, stebint drift ir taikant atsekamumo bei dokumentavimo praktikas.
- 51DI Inžinierius: privalomas Azure AI Engineer Associate (AI-102) arba AWS Machine Learning Specialty sertifikatas.
- 52MS Power Platform ir SharePoint Online Inžinierius / Ekspertas: ne mažesnė kaip 2 metų patirtis Microsoft Power Platform sprendinių kūrimo ir palaikymo srityje.
- 53MS Power Platform ir SharePoint Online Inžinierius / Ekspertas: dalyvavimas bent 1 projekte, kuriame specialistas kūrė ar prižiūrėjo MS Power Apps, Power Automate, Dataverse ar kitus Power Platform komponentus.
- 54MS Power Platform ir SharePoint Online Inžinierius / Ekspertas: praktinė patirtis M365, SharePoint Online, Dataverse, integracijų ir automatizavimo srityse.
- 55MS Power Platform ir SharePoint Online Inžinierius / Ekspertas: patirtis taikant saugos, aplinkų valdymo ir DLP praktikas.
- 56MS Power Platform ir SharePoint Online Inžinierius / Ekspertas: privalomi Microsoft Certified: Power Platform Developer Associate (PL-400), Microsoft M365 Certified: Administrator Expert (MS-102) sertifikatai.
- 57Integracijų Inžinierius / Programuotojas: ne mažesnė kaip 3 metų patirtis sistemų integravimo, API kūrimo arba integracinių sprendinių priežiūros srityje.
- 58Integracijų Inžinierius / Programuotojas: dalyvavimas bent 1 įvykdytame projekte ar sutartyje, kuriame specialistas vykdė integravimo specialisto arba integracijų programuotojo funkcijas.
- 59Integracijų Inžinierius / Programuotojas: praktinė patirtis dirbant su REST ir (ar) SOAP sąsajomis, OpenAPI/Swagger, WSDL, XSD, API Management, ESB arba pranešimų eilėmis.
- 60Integracijų Inžinierius / Programuotojas: patirtis dokumentuojant integracijas, valdant versijavimą, testuojant integracijas ir užtikrinant atsekamumą.
- 61Testuotojas (QA): ne mažesnė kaip 2 metų patirtis programinės įrangos, informacinių sistemų arba integracijų testavimo srityje.
- 62Testuotojas (QA): dalyvavimas bent 1 projekte ar sutartyje, kuriame specialistas rengė testavimo planus, testavimo scenarijus, vykdė testavimą ir fiksavo rezultatus.
- 63Testuotojas (QA): praktinė patirtis funkciniame, integraciniame, regresiniame ir, jei taikoma, automatizuotame testavime.
- 64Testuotojas (QA): patirtis registruojant defektus, analizuojant rezultatus ir bendradarbiaujant su kūrėjais bei architektais.
- 65Testuotojas (QA): privalomas ISTQB Foundation sertifikatas.
Techniniai reikalavimai
Garantiniai įsipareigojimai
- 1Visiems Tiekėjo suteiktų Paslaugų rezultatams, kurie yra susiję su techninio sprendinio, konfigūracijos, integracijos, dokumentacijos, automatizacijos, testavimo artefaktų ar kito konkretaus rezultato sukūrimu, pakeitimu ar perdavimu, suteikiama kokybės garantija, kuri galioja 12 mėnesių nuo Paslaugų priėmimo-perdavimo akto pasirašymo arba kito Paslaugų rezultato patvirtinimo dienos.
- 2Garantiniu laikotarpiu Tiekėjas privalo neatlygintinai pašalinti trūkumus, klaidas ar neatitikimus, jeigu jie atsirado dėl netinkamai suteiktų Paslaugų, netinkamai parengtos dokumentacijos, netinkamai atlikto konfigūravimo, netinkamai parengto techninio sprendinio ar kitų nuo Tiekėjo priklausančių priežasčių.
Sutarties vykdymo vieta ir aplinka
- 1Paslaugos teikiamos nuotoliniu būdu. Išimtiniais atvejais gali tekti atvykstant į Paslaugų teikimo vietą Karlo Gustavo Emilio Manerheimo g. 8, LT-05131 Vilnius.
- 2Paslaugos turi būti vykdomos laikantis Lietuvos Respublikos ir Europos Sąjungos teisės aktų, reglamentuojančių informacijos saugą, kibernetinį saugumą, asmens duomenų apsaugą ir kitus taikytinus reikalavimus.
- 3Paslaugos turi atitikti Perkančiojo subjekto minimalius informacijos saugos reikalavimus, architektūros principus, IT procesų, keitimų valdymo, dokumentavimo ir prieigos valdymo reikalavimus.
- 4Tiekėjas ir jo specialistai privalo laikytis konfidencialumo, informacijos saugos, prieigų valdymo ir kitų Perkančiojo subjekto vidaus reikalavimų.
Paslaugų užsakymo ir suteikimo tvarka
- 1Perkančiojo subjekto įgalioti asmenys registruoja Pagalbos sistemoje arba pateikia raštu naują užklausimą, pridedant prie jo paaiškinančią aprašomąją ir (arba) vaizdinę informaciją, jei tokia reikalinga.
- 2Tiekėjas ne ilgiau kaip per 3 darbo dienas įvertina nurodytą Paslaugų poreikį, apimtį, reikalingas kompetencijas, techninius, funkcinius, saugumo, kokybės ir terminų reikalavimus, įvertina galimą poveikį susijusioms sistemoms, procesams, projektams ar keitimams ir Perkančiojo subjekto atsakingam asmeniui pateikia Paslaugos įvertinimą.
- 3Tiekėjas pradeda užsakytų Paslaugų teikimą tik gavęs Paslaugų užsakymo patvirtinimą.
- 4Tiekėjas turi suteikti užsakytas Paslaugas per užsakyme patvirtintą terminą.
- 5Jei Paslaugų rezultatas susijęs su IT sprendinio, konfigūracijos, integracijos, dokumentacijos, architektūros ar kito techninio rezultato sukūrimu ar pakeitimu, Tiekėjas pirmiausia pateikia rezultatą Perkančiojo subjekto peržiūrai ir, kai taikoma, testavimui.
Paslaugų teikimo bendrieji reikalavimai
- 1Paslaugos teikiamos pagal Perkančiojo subjekto pateiktus užsakymus, užduotis ar pavedimus.
- 2Paslaugos gali būti teikiamos konsultacijų, analizės, architektūrinių sprendimų rengimo, techninių užduočių rengimo, įgyvendinimo priežiūros, administravimo, konfigūravimo, programavimo / automatizavimo, testavimo, dokumentacijos rengimo, incidentų, problemų ir keitimų analizės, projektinių veiklų palaikymo būdais.
- 3Paslaugos turi būti teikiamos laikantis Perkančiojo subjekto taikomų IT procesų, architektūros principų, informacijos saugos reikalavimų, dokumentavimo tvarkų ir kitų vidaus reikalavimų.
- 4Paslaugos turi būti teikiamos kokybiškai, savalaikiai, užtikrinant darbų atsekamumą, rezultatų pagrindimą ir dokumentavimą.
- 5Tiekėjas privalo užtikrinti ne mažesnį kaip 160 valandų per mėnesį darbo krūvį, jeigu konkrečiame užsakyme ar Sutartyje nenurodyta kitaip.
- 6Paslaugos rezultatai turi būti pateikiami raštu arba Perkančiojo subjekto nurodytoje sistemoje, jei konkrečiame užsakyme nenurodyta kitaip.
- 7Visi Paslaugų metu parengti dokumentai, schemos, konfigūracijų aprašai, rekomendacijos, testavimo rezultatai ir kiti rezultatai turi būti perduodami Perkančiajam subjektui.
- 8Jei Paslaugų metu sukuriami ar keičiami techniniai sprendiniai, Tiekėjas privalo užtikrinti jų dokumentavimą ir perdavimą Perkančiajam subjektui.
- 9Jei Paslaugos susijusios su sistemų, infrastruktūros ar konfigūracijų pakeitimais, jie turi būti vykdomi pagal Perkančiojo subjekto keitimų valdymo procesą.
- 10Tiekėjas privalo neatlygintinai pašalinti trūkumus, atsiradusius dėl netinkamai suteiktų Paslaugų.
Informacijos saugos reikalavimai paslaugų teikimui
- 1Teikiant paslaugas, susijusias su Bendrovės pastotėse esančia Įranga, Perdavimo tinklo dispečerinio valdymo informacine sistema, turi būti laikomasi informacijos saugos reikalavimų, nurodytų Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, apraše.
- 2Paslaugų teikėjas yra atsakingas už savo darbuotojų, tiekėjų ir subtiekėjų darbuotojų, kurie turi prieigą prie Įrangos ar gali būti susiję su prieigos suteikimu ar Įrangos naudojimu, raštišką supažindinimą su Reikalavimais, iki jiems suteikiant prieigą ir gebėti tai įrodyti.
- 3Paslaugų teikėjas privalo užtikrinti ir kontroliuoti, kad darbuotojų ir kitų pasitelktų šalių veiksmai, naudojama programinė ir aparatinė įranga nepažeis, neteisėtai nemodifikuos ar kitaip nesutrikdys Įrangos, nebus nesankcionuotai atskleista konfidenciali ar komercinę (gamybos) paslaptį sudaranti informacija ar padaryta žala Bendrovei arba tretiesiems asmenims.
- 4Paslaugų teikėjo darbuotojai, tiekėjų ir subtiekėjų darbuotojai, kurie turi prieigą prie Įrangos ar gali būti susiję su prieigos suteikimu ar Įrangos naudojimu, prieš jiems suteikiant prieigą prie Įrangos, turi praeiti Bendrovės elektroninių informacijos saugos mokymų kursą, susijusį su šių Reikalavimų užtikrinimu, ir išlaikyti žinių patikrinimo testą.
- 5Paslaugų teikėjas privalo užtikrinti, kad jo deleguoti naudotojai prie Bendrovės Įrangos jungtųsi iš įrenginių, kuriems būtų taikomos atitinkamos jų keliamai rizikai informacijos saugos priemonės, įskaitant gamintojų palaikomą aparatinę įrangą su visomis aparatinės programinės įrangos saugos pataisomis, antivirusinę programinę įrangą su ne senesniais nei vienos dienos atnaujinimais, įjungtą ugniasienę, užšifruotą vidinę ir, jei naudojama, išorinę atmintinę.
- 6Paslaugų teikėjas turi imtis deramų priemonių užtikrinant, kad Įrangos aptarnavimui naudojama programinė įranga yra saugi ir tinkamai licencijuota.
- 7Draudžiama naudoti nelegalią, nelicencijuotą programinę įrangą.
- 8Prieš suteikdama prieigą prie Bendrovės infrastruktūros Bendrovė turi teisę patikrinti Paslaugų teikėjo arba subtiekėjo darbuotojų darbo priemonių, su kuriomis ketinama jungtis prie Bendrovės infrastruktūros, atitiktį Reikalavimams.
- 9Prisijungimo prie Įrangos paskyros suteikiamos asmeniškai ir tik Paslaugų teikėjo įgaliotiems asmenims.
- 10Paslaugų teikėjas įsipareigoja užtikrinti, kad paskyrų naudotojai laikysis Reikalavimų, suteiktus prisijungimo duomenis naudos tik pagal tiesioginę paskirtį, saugos paslaptyje ir neatskleis tretiesiems asmenims.
- 11Paslaugas teikti leidžiama tik tokia apimtimi ir tik tokioje Įrangoje, kiek tai yra numatyta ar reikalauja paslaugų teikimo sutartis, pateiktas užsakymas ar kita forma išreikštas Bendrovės poreikis.
- 12Slaptažodžiai turi būti sudaryti iš ne mažiau kaip 12 simbolių, naudojant didžiąsias ir mažąsias raides, skaičius bei specialiuosius simbolius (kur tai yra techniškai įmanoma).
- 13Slaptažodžiai turi būti keičiami ne rečiau kaip kartą per tris mėnesius.
- 14Draudžiama prieigai prie Bendrovės Įrangos naudojamus slaptažodžius naudoti kitur (pvz. internetinėse sistemose, asmeninio naudojimo sistemose arba įrenginiuose, kitų klientų įrenginiuose ir pan.).
- 15Paslaugų teikėjas turi nedelsdamas, bet ne vėliau nei per 24 valandas informuoti apie savo darbuotojų ir tiekėjų bei subtiekėjų darbuotojų darbo ir kitų sutarčių nutraukimus ir kitus pasikeitimus, siekiant užtikrinti, kad prieiga prie Bendrovės Įrangos būtų panaikinta ir/ar išduota Įranga būtų grąžinta ne vėliau, kaip paskutinę sutarties su tais asmenimis galiojimo dieną.
- 16Nuotolinei prieigai galima naudoti tik saugius ir Bendrovės suteiktus prisijungimo metodus ir priemones. Savavališka nuotolinė prieiga prie Bendrovės tinklo, Įrangos griežtai draudžiama.
- 17Nuotolinis prisijungimas prie Bendrovės vidinio tinklo resursų ir Įrangos per viešuosius tinklus (internetą) realizuojamas tik naudojant VPN. VPN prisijungimas realizuotas dviejų faktorių autentifikacijos principu.
Informacijos saugos reikalavimai projektavimui ir diegimui
- 1Visuose Projekto įgyvendinimo etapuose turi būti laikomasi šių saugumo principų: minimalių teisių ir kompleksiškumo.
- 2Saugumo sprendimai turi būti grindžiami rizikų vertinimu ir priimami dalyvaujant Bendrovei ir tiekėjui, įgyvendinančiam Projektą.
- 3Įrangos, įskaitant ir jos operacinę sistemą, gamintojų palaikymas turi galioti ne trumpiau nei 5 metus.
- 4Jeigu diegiamos Informacinės sistemos ar Įrenginių gamintojas yra išleidęs saugos rekomendacijas, jos, suderinus su Bendrove, turi būti įgyvendintos.
- 5Prieš pradedant eksploataciją, Įrenginių operacinėje sistemoje, mikrokode, programinėje įrangoje turi būti įdiegtos vėliausios gamintojo saugumo pataisos ir vėliausios siūlomos programinės įrangos versijos.
- 6Prieš pradedant gamyklinius bandymus, bet ne ankščiau nei 12 mėnesių iki relinės apsaugos ir automatikos įrenginių (RAA), teleinformacijos perdavimo įrenginių (TPĮ), bendros paskirties valdiklių (BPV) perdavimo į eksploataciją, RAA, TPĮ ir BPV operacinėje sistemoje, mikrokode, programinėje įrangoje turi būti įdiegtos vėliausios gamintojo saugumo pataisos ir vėliausios siūlomos programinės įrangos versijos.
- 7Įrangoje, kurioje yra atitinkamas funkcionalumas, laikantis saugumo rekomendacijų turi būti sukonfigūruotos lokalios ugniasienės ar kitos atitinkamos priemonės, blokuojančios visą nebūtiną įeinantį/ išeinantį duomenų srautą, bei perteklines funkcijas.
- 8Visoje įrangoje, kuri veikia Windows operacinės sistemos pagrindu, privalo būti įdiegta Bendrovės patvirtinta antivirusinė programinė įranga.
- 9Antivirusinė programinė įranga turi būti sukonfigūruota startuoti ir įsijungti sistemos startavimo metu, tikrinti savo integralumą, vykdyti realaus laiko stebėseną, kad naudotojas jos negalėtų išjungti ar sustabdyti, kad skenuotų visus atidaromus failus prieš jų atidarymą ir paleidimą, pilnam skenavimui ne rečiau kaip kartą per mėnesį.
- 10Antivirusinės programos žalingo kodo duomenų bazės turi būti atnaujinamos: ugniasienės, antivirusinės programos serveriai – ne rečiau kaip 1 kartą į valandą; klientai (pvz. kompiuterinės darbo vietos) – ne rečiau kaip 1 kartą į 4 valandas.
- 11Prieš perduodant eksploatacijai informacinę sistemą ar Įrangą, visuose jos komponentuose turi būti pašalinti arba išjungti nebūtini sisteminiai servisai, vartotojai, tinklo prievadai, numatytoms užduotims nebūtina programinė įranga.
- 12Sistemos ir Įranga turi būti suprojektuota ir sukonfigūruota vadovaujantis gerosiomis saugos praktikomis numatytomis CIS Security bechmarks, Security baseline for Windows dokumentuose.
- 13Prieiga prie informacinių sistemų ir Įrangos turi būti apsaugota identifikatoriumi ir slaptažodžiu atitinkančiais Bendrovės nustatytus reikalavimus (reikalavimai pateikiami projekto įgyvendinimo metu).
- 14Prieigos saugumas informacinėse sistemose ir Įrangoje turi būti užtikrinamas taikant vaidmenimis pagrįstą teisių sistemą (Role Based Access Control).
- 15Tinklo prieiga prie Bendrovės resursų turi būti suteikiama tik patvirtintiems (autorizuotiems) naudotojams ir įrenginiams.
- 16Standartiniai informacinių sistemų ir Įrangos paskyrų identifikatoriai ir slaptažodžiai turi būti pakeisti į identifikatorius ir slaptažodžius atitinkančius Bendrovės nustatytus reikalavimus iki pradedant jų eksploataciją.
- 17Sistemose naudotojų paskyrų valdymas turi būti realizuotas naudojant centralizuotą Bendrovės paskyrų, teisių ir resursų valdymo sistemą – katalogų tarnybą.
- 18Iš interneto laisvai, be jokio papildomo apribojimo pasiekiami Bendrovės resursai vartotojų ir administratorių tapatumui patvirtinti turi naudoti Bendrovės patvirtintą dviejų veiksnių tapatumo patvirtinimo mechanizmą.
- 19Visose informacinėse sistemose ir Įrangoje, kuriose tai techniškai įmanoma, turi būti registruojama ir ne mažiau kaip 2 savaites išsaugoma saugumo ir kitų svarbių įvykių informacija.
- 20Turi būti užtikrinta, kad registruojamiems įvykiams lokaliai rezervuota pakankamai laisvos vietos.
- 21Informacinė sistema ir visa Įranga turi būti sukonfigūruota siųsti įvykių įrašus į Bendrovės centrinį žurnalinių įrašų serverį.
- 22Prieš pradedant eksploatuoti informacines sistemas Tiekėjas turi atlikti saugumo testavimą, siekdamas nustatyti sistemos atitiktį saugumo reikalavimams ir pašalinti sistemos techninius pažeidžiamumus.
- 23Tiekėjas privalo nurodyti visus sistemoje naudojamus trečių šalių komponentus, bibliotekas ir schemas nepriklausomai ar tai komercinė, nemokama, atviro ar uždaro kodo programinė įranga.
- 24Tiekėjas turi imtis deramų priemonių užtikrinant, kad sistemoje naudojama trečių šalių programinė įranga atitinka saugumo reikalavimus keliamus sistemai ir yra tinkamai licencijuota.
- 25Tiekėjas įsipareigoja pateikti sistemą, kurioje nėra jokių paslėptų, saugumą silpninančių funkcijų, įskaitant: kenksmingos programinės įrangos, virusų, „kirminų“, „laiko minų“, neautorizuotų prieigų ar funkcijų.
- 26Tiekėjas saugumo užtikrinimui deleguos kibernetinio saugumo kompetencijas turintį darbuotoją (saugumo architektą), kuris peržiūrės Projekto rezultatus iki pateikiant Bendrovei ir patvirtins atitikimą saugumo reikalavimams.
- 27Visuose Įrangos įgyvendinimo etapuose (projektavimas, diegimas, priežiūra ir kt.) turi būti laikomasi informacijos saugumo reikalavimų nustatytų Lietuvos Respublikos Vyriausybės nutarimu patvirtintame Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, apraše.
Informacijos saugos reikalavimai programinės įrangos kūrimui
- 1Saugumo sprendimai turi būti pagrindžiami rizikų vertinimu ir priimami dalyvaujant LITGRID AB ir tiekėjui, Bendrovės užsakymu kuriančiam programinę įrangą.
- 2Saugumo iniciatyvos ir veiklos turi būti atliekamos kiekviename programuojamos sistemos gyvavimo ciklo etape.
- 3Tiekėjas įsipareigoja laikytis Open Web Application Security Project (OWASP) metodikoje nurodytų gerųjų programinės įrangos kūrimo saugumo praktikų.
- 4Tiekėjas Bendrovei pateiks patvirtinimą - deklaraciją, kad sistema atitinka OWASP saugaus programinės įrangos kūrimo rekomendacijas ir asmens duomenų apsaugos reikalavimus, taip pat testavimo rezultatus.
- 5Tiekėjas saugumo užtikrinimui deleguos saugumo kompetencijas turintį darbuotoją (saugumo architektą), kuris peržiūrės rezultatus iki pateikiant Bendrovei ir patvirtins atitikimą saugumo reikalavimams.
- 6Tiekėjo darbuotojai dalyvaujantys programinės įrangos kūrime turi būti susipažinę su saugaus programinės įrangos kūrimo metodais ir Tiekėjas privalo gebėti tai įrodyti.
- 7Tiekėjas turi naudoti konfigūracijų valdymo sistemą kuri autentifikuoja sistemos kūrime dalyvaujančius Tiekėjo darbuotojus ir registruoja jų veiksmus.
- 8Tiekėjas privalo nurodyti visus sistemoje naudojamus trečių šalių komponentus, bibliotekas ir schemas nepriklausomai ar tai komercinė, nemokama, atviro ar uždaro kodo programinė įranga.
- 9Tiekėjas turi imtis deramų priemonių užtikrinant, kad sistemoje naudojama trečių šalių programinė įranga atitinka saugumo reikalavimus keliamus sistemai.
- 10Tiekėjas įsipareigoja pateikti sukurtą programinę įrangą, kurioje nėra jokių paslėptų, saugumą silpninančių funkcijų, įskaitant: kenksmingos programinės įrangos, virusų, „kirminų“, „laiko minų“, neautorizuotų prieigų ar funkcijų.
- 11Bendrovė turi teisę atlikti sukurtos programinės įrangos saugumo auditą tiek pats tiek pasitelkdamas nepriklausomą trečiąją šalį.
Dokumentai15
tendis.lt · Sukurta recodin.lt