Мицрософт проширење лиценци

Tehničke specifikacije D-119-2026.docx ВРСТА, ТЕХНИЧКЕ КАРАКТЕРИСТИКЕ, КВАЛИТЕТ, КОЛИЧИНА И ОПИС ДОБАРА, РАДОВА ИЛИ УСЛУГА, НАЧИН СПРОВОЂЕЊА КОНТРОЛЕ И ОБЕЗБЕЂИВАЊА ГАРАНЦИЈЕ КВАЛИТЕТА, РОК ИЗВРШЕЊА, МЕСТО ИЗВРШЕЊА ИЛИ ИСПОРУКЕ ДОБАРА, ЕВЕНТУАЛНЕ ДОДАТНЕ УСЛУГЕ И СЛ. Предмет набавке је: Microsoft – проширење лиценци, следећих техничких карактеристика: Техничка спецификација Мајкрософт лиценцирање – испорука лиценци и услуга Предмет набавке је испорука добара: Microsoft лиценци, Microsoft подржаних лиценци и услуга над платформама и интегрисаном инфраструктуром, све са циљем унапређења безбедности података, надзора, реакције и управљања догађајима у случају да се деси сајбер сигурносни инцидент. Заштита ИЦТ система Србијагаса (Наручиоца) заснована на савременој Microsoft безбедносној платформи неопходно је да се реализује кроз обједињену напредну детекцију, превенцију и одговора на претње кроз интегрисани екосистем решења као што су Microsoft Sentinel, Microsoft Defender и Microsoft Copilot for Security, уз лиценцни модел Microsoft 365 Е5&E7. Реализован проширен систем потребно је да омогући централизовану видљивост над целокупним ИЦТ окружењем, укључујући крајње тачке, идентитете, апликације и мрежну инфраструктуру. Постојећа и планска проширенa предметна платформа треба да користи напредну аналитику и вештачку интелигенцију за корелацију инцидетних догађаја у реалном времену, а у циљу убрзања идентификација софистицираних напада и смањења времена реакције безбедносних тимова. Имплементацијом аутоматизације одговора на инциденте и оркестрацијом безбедносних процеса и организације неопходно је да се постигне виши ниво оперативне ефикасности и конзистентности у заштити информационих и SCADA система ЈП Србијагас. Додатно, планирана интеграција генеративне АИ кроз Copilot for Security потребно је да омогући безбедоносним аналитичарима компаније да брже разумеју контекст претњи, генеришу препоруке и спроводе истраге уз знатно мањи напор, чиме се унапређује укупна отпорност система на савремене сајбер ризике. Иако је предметна платформа, једна од најсавременијих, потребно је у потпуности имплементирати све функционалности Microsoft 365, постојећих и планских Е5 и Е7 лицени те интегрисати све њене делове, као и докупити компоненте које ће умањити ризике по безбедност ИТ и SCADA инфраструктуре Наручиоца. У ту сврху, предметна јавна набавка је неопходно да обухвати: Испоруку Microsoft лиценци и Microsoft Azure кредита Испоруку Microsoft подржаних лиценци Услугу имплементације Microsoft 365 сервиса Услуга учлањења у Microsoft домен, реинсталације и миграције корисничких налога Услуга Tiering Microsoft AD окружења за индустријске ИЦТ системе Услуга анализе логова Microsoft и друге инфраструктуре са дигиталном форензиком Испорука Microsoft лиценци и Microsoft Azure кредита За потребе лиценцирања Microsoft производа и Azure сервиса, потребно је кроз предметну јавну набаку и проширење постојећег уговора са компанијом Microsoft (број уговора 58778685 од 01. августа 2024.) , о количинском лиценцирању испоручити лиценце и кредите у складу са табелом: бр SKU Назив Опис Количина 1. 6QK-00001 Azure prepayment Azure prepayment кредит 20.000 2. EP2-79866 M365 E7 FUSL SU M365 E5 Надоградња (step up) са Мicrosoft 365 Е5 на Мicrosoft 365 Е7 лиценцу 10 3. AAD-33168 M365 E5 Мicrosoft 365 Е5 100 4. 9EM-00265 Win Server Standard Core LSA 16L Microsoft Windows Server Standard 16 Cores 30 5. MX3-00115 Visual Studio Ent MSDN Трајна лиценца за Visual Studio Enterprise IDE у пакету са претплатом - Azure DevOps – Basic + Test Plans - $150 Azure credit per month - Premium development/test software - Extended training and support - Power BI Pro 1 Рокови и начин плаћања Рок испоруке: Рок за испоруку предметних добара је максимално 20 (двадесет) дана од дана закључења уговора. Начин испоруке добара: Испорука лиценци вршиће се у писаном облику на одговарајућем документу потписаном од стране овлашћеног лица понуђача или на стандардним документима произвођача софтвера као и достављањем електронске поште од стране произвођача на електронску адресу овлашћеног лица наручиоца преко које ће моћи да се оствари електронски приступ делу Microsoft сајта са предметним лиценцама. Наручилац ће записнички констатовати да ли су лиценце које су предмет јавне набавке испоручене у складу са Уговором и Техничком спецификацијом. Гарантни рок: Гарантни рок за испоручене лиценце мора бити усклађен са трајањем постојећег уовора, односно минимално до 01. августа 2027. године за ставке 1.1 до 1.5, од дана потписивања Записника о примопредаји добара. Грешке у квалитету (Рекламација) У случају записнички утврђених недостатака у количини и квалитету добара, Добављач мора исте заменити и испоручити у року не дужем од 20 (двадесет) дана од дана потписивања Записника о примопредаји добара. Начин плаћања: Наручилац се обавезује да ће изабраном понуђачу / Добављачу извршити плаћање за испоручена добра (Microsoft лиценце) платити у целости, у року од 30 (тридесет) дана од пријема уредне документације – обострано потписаног записника о испоруци и фактуре. Испорука Microsoft подржаних лиценци Овом набавком је обухваћена испорука Microsoft подржаних лиценци, за потребе унапређења безбедности firewall и WAN инфраструктуре Наручиоца, по стандарду Microsoft Tier модела, у складу са табелом: РБ. Спецификација Количина 2.1 Microsoft подржане лиценце за Hub firewall, тип 1 2 испорука лиценци и продужетак техничке подршке за Hub firewall уређај, тип 1 model FortiGate 1101E уз платформу је потребно да буду испоручене UTP лиценце које обезбеђују софтверску подршку произвођача (24x7x365) у трајању од минимално 24 месеца 2.2 Microsoft подржане лиценце за Hub firewall, тип 2 2 испорука лиценци и продужетак техничке подршке за Hub firewall уређај, тип 2 modela FortiGate 601E уз платформу је потребно да буду испоручене UTP лиценце које обезбеђују софтверску подршку произвођача (24x7x365) у трајању од минимално 24 месеца 2.3 Microsoft подржана лиценца за Branch firewall уређај, тип 1 1 испорука лиценци и продужетак техничке подршке за Branch firewall уређај, тип 1 modela FortiGate 100F уз платформу је потребно да буду испоручене UTP лиценце које обезбеђују софтверску подршку произвођача (24x7x365) у трајању од минимално 24 месеца 2.4 Microsoft подржане лиценце за Branch firewall уређај, тип 2 4 испорука лиценци и продужетак техничке подршке за Branch firewall уређај, тип 2 modela FortiGate 60F уз платформу је потребно да буду испоручене UTP лиценце које обезбеђују софтверску подршку произвођача (24x7x365) у трајању од минимално 24 месеца. 2.5 Microsoft подржана лиценца за платформу за централизовано управљање мрежним безбедоносним уређајима 1 · Платформа је потребно да подржава централизовано управљање Next Generation firewall уређајима, уз могућност подршке за свичеве и бежичне access point уређаје. · Платформа је потребно да има компатибилност са постојећим firewall уређајима у систему Наручиоца. · Платформа је потребно да подржава централизовано управљање мрежних уређаја и сигурносним полисама. · Платформа је потребно да подржава централизовану дистрибуцију сигурносних база и сигнатура. · Платформа је потребно да подржава аутоматизацију конфигурација, прављења резервних копија (ревизија) и софтверских и сигурносних ажурирања. · Платформа је потребно да подржава ZTP имплементације NGFW уређаја који су предмет продужетка одржавања. · Платформа је потребно да подржава минимално 12 мрежних картица. · Платформа је потребно да подржава минимално 100 Next Generation firewall уређаја и/или виртуелних домена на firewall уређајима. · Платформа је потребно да подржава конфигурацију и monitoring минимално 2000 свичева и 5000 access point уређаја. · Платформа је потребно да подржава сакупљање log-ова и event-ова са мрежних уређаја у количини од 10 GB дневно. · Платформа је потребно да подржава интеграцију са monitoring алатом који обезбеђује функционалности syslog-а, SIEM-а и SoC reporting-а. · Платформа је потребно да подржава REST API, скриптове, CLI интерфејс и конекторе за интеграцију са другим сигурносним системима ради смањења сложености рада. · Платформа је потребно да подржава пуну видљивост, приступ и управљање Next Generation firewall уређајима, интерфејсима, скриптама, шаблонима, аутоматизацијом, корисницима и подешавањима. · Платформа је потребно да подржава надгледање општег стања firewall уређаја кроз подесиве графичке приказе (dashboards, widgets), укључујући искоришћеност ресурса, мрежни статус, рутирање, DHCP, IPSec и SSL VPN. · Платформа је потребно да подржава zero trust network access правила и полисе. · Платформа је потребно да подржава конектор за повезивање ка централном систему за управљање сигурности на клијентским уређајима који је предмет понуде. · Платформа је потребно да подржава редундантан рад (High Availability). · Платформа је потребно да подржава компатибилност са хипервизорима: VMware ESXi, Microsoft Hyper-V Server, Open Source XenServer и Linux KVM. · Платформа је потребно да подржава инсталацију на минималној хардверској конфигурацији: 4 vCPU, 16 GB RAM, 500 GB диск простора, без лимита на коришћење хардверских ресурса. Хардвер и хипервизор обезбеђује Наручилац и нису предмет набавке. · Уз платформу је потребно да буду испоручене одговарајуће лиценце за софтверску подршку произвођача (24x7x365) у трајању од најмање 12 месеци. 2.6 Microsoft подржана лиценца за платформу за централизовано прикупљање и анализу логова са мреже 1 · Платформа је потребно да подржава централизовано надгледање и видљивост догађаја у мрежи. · Платформа је потребно да подржава детекцију напредних претњи и рањивости (vulnerabilities), са корелацијом догађаја и података из log-ова. · Платформа је потребно да подржава компатибилност са firewall уређајима нове генерације (NGFW), свичевима и WLC (wireless controller) уређајима који су инсталирани у мрежи Наручиоца. · Платформа је потребно да подржава компатибилност са мрежним уређајима осталих произвођача путем syslog протокола, уз SIEM функционалности. · Платформа је потребно да подржава аутоматизацију у циљу уштеде времена, смањења грешака и повећања ефикасности рада. · Платформа је потребно да подржава инсталацију као софтверска платформа на минимално следећим хипервизор системима у оквиру приватног cloud-а: VMware ESX/ESXi, Microsoft Hyper-V Server, Open Source XenServer и Linux KVM. · Платформа је потребно да подржава инсталацију у оквиру минимално следећих јавних cloud окружења: Microsoft Azure, Google Cloud Platform (GCP), Oracle Cloud Infrastructure (OCI), AliCloud и Amazon Web Services (AWS). · Платформа је потребно да подржава обраду минимум 25GB log-ова дневно, уз могућност повећавања дневног капацитета обраде log-ова путем додатних лиценци, кроз стекабилни модел лиценцирања са трајном лиценцом за виртуелну машину. · Платформа је потребно да садржи сервис заштите заснован на индикаторима компромитације (Indicators of Compromise – IoC), путем додатне лиценце, при чему сервис мора да обухвата најмање следеће функционалности: форензичке податке за минимално 500.000 индикатора дневно, који омогућавају идентификацију присуства сумњивих елемената у мрежи или оперативном систему са високом поузданошћу да представљају злонамерне инфекције или упаде, као и историјско поновно скенирање log-ова у циљу истраживања претњи. · Платформа је потребно да садржи сервис за заштиту од новооткривених сигурносних претњи путем додатне лиценце, при чему сервис мора да обухвата најмање детекцију најновијих malware претњи и сумарне податке о начину њиховог функционисања. · Платформа је потребно да садржи сервис за сигурносну аутоматизацију, при чему сервис мора да обухвата најмање уграђени менаџмент за управљање акцијама у случају сигурносних инцидената, конекторе и playbook-ове. · Платформа је потребно да подржава прикупљање log-ова и догађаја са минимално 10.000 уређаја или виртуелних домена. · Платформа је потребно да подржава инсталацију на хардверском систему са минимално 4 vCPU, 16 GB меморије и 500 GB простора на диску. Хардверски систем и хипервизор на коме ће се инсталирати виртуелизована платформа обезбеђује Наручилац и нису предмет ове набавке. · Платформа је потребно да подржава детекцију у реалном времену напредних сигурносних претњи (Advanced Persistent Threats – APT), детекцију рањивости за NGFW уређаје, као и интеграцију са другим сигурносним системима, као што су сигурносни клијенти на рачунарима, sandbox системи, Web сигурносни системи и email сигурносни системи, ради обезбеђивања дубоке видљивости и прегледа критичних елемената мреже. · Платформа је потребно да подржава истраживање сумњивих образаца саобраћаја и претрагу коришћењем filter-а са предефинисаним или подесивим параметрима, у циљу генерисања нотификација у реалном времену и надгледања активности за мрежни и сигурносни оперативни центар, SD-WAN, IPS (Intrusion Prevention System), сигурносне клијенте и SSL VPN. · Платформа је потребно да подржава multi-tenancy функционалност са одвајањем у засебне административне домене, тако да сваки домен има своје администраторе и кориснике, као и полисе архивирања и аналитике log-ова засноване на времену и административном домену, уз подршку за аутоматско управљање квотама на основу дефинисаних полиса. · Платформа је потребно да подржава рад у режиму анализатора или искључиво у режиму колектора log-ова, при чему је у режиму колектора примарни задатак прикупљање и прослеђивање log-ова повезаних уређаја ка другом анализатору, као и архивирање log-ова. · Платформа је потребно да подржава прикупљање log-ова, њихов преглед у реалном времену и историјски преглед. Преглед log-ова мора да омогући приказ сумарних информација које се односе на мрежне активности, ризике, рањивости, покушаје напада, индикаторе компромитованости, аномалије, као и санкционисане и несанкционисане активности корисника. · Платформа је потребно да подржава генерисање извештаја који обезбеђују свеобухватну анализу сигурносних аспеката система. · Платформа је потребно да подржава минимално 60 типова извештаја и минимално 1.800 графичких дијаграма, сетова података и макроа. · Платформа је потребно да подржава прослеђивање log-ова у реалном времену или блиском реалном времену, како log-ови пристижу са мрежних уређаја, ка другом систему за анализу. · Уз платформу је потребно да буду испоручене одговарајуће лиценце за софтверску подршку произвођача (24x7x365) у трајању од најмање 12 месеци. 2.7 Microsoft подржана лиценца за платформу за управљање VPN/ZTNA endpoint 1 Понуђена лиценца за Платформу мора да испуњава следеће функционалне захтеве: · Менаџмент платформа мора да подржи on-premises deployment, при чему се менаџмент компонента налази у инфраструктури Наручиоца. · Подршка за централизовану инсталацију, конфигурацију и управљање endpoint agent-има. · Подршка за креирање и примену различитих конфигурационих профила и политика над групама endpoint уређаја. · Подршка за централизовано управљање Remote Access VPN конфигурацијом endpoint agent-а. · Подршка за IPsec VPN удаљени приступ. · Подршка за употребу MFA (Multi-Factor Authentication) приликом успостављања Remote Access VPN конекције. MFA токени не морају бити саставни део понуђене endpoint лиценце и могу бити обезбеђени кроз засебно решење. · Подршка за Always-On VPN функционалност, којом се може обезбедити аутоматско успостављање сигурне VPN конекције у складу са дефинисаном политиком. · Подршка за Zero Trust Network Access (ZTNA) функционалност за контролисани приступ апликацијама и ресурсима. · Подршка за прикупљање информација о безбедносном стању endpoint уређаја (device posture) и њихово коришћење приликом доношења одлуке о приступу ресурсима. · Подршка за континуирану проверу стања endpoint уређаја током коришћења VPN/ZTNA приступа. · Подршка за употребу endpoint сертификата у оквиру ZTNA механизма за идентификацију и верификацију управљаних endpoint уређаја. · Подршка за дефинисање динамичких ознака или еквивалентног механизма којим се endpoint уређаји класификују на основу испуњености дефинисаних security posture услова. · Подршка за прослеђивање информација о стању endpoint уређаја мрежном безбедносном решењу, како би се омогућила примена различитих правила приступа у зависности од security posture статуса endpoint-а. · Подршка за интеграцију са firewall решењем које представља VPN gateway и/или ZTNA application gateway. Firewall решење је предмет исте набавке. · Подршка за контролу приступа ресурсима на основу комбинације идентитета корисника и безбедносног стања endpoint уређаја. · Подршка за централизовано управљање VPN и ZTNA конфигурацијама без потребе да корисник ручно конфигурише параметре на endpoint agent-у. · Подршка за аутоматску дистрибуцију промена конфигурације са менаџмент платформе ка управљаним endpoint уређајима. · Подршка за централизовани преглед статуса управљаних endpoint уређаја и њихове повезаности са менаџмент платформом. · Подршка за прикупљање endpoint telemetry података и њихову употребу за видљивост и контролу приступа. · Подршка за Vulnerability Agent функционалност и идентификацију познатих рањивости на управљаним endpoint уређајима. · Подршка за vulnerability remediation функционалност којом се омогућава управљање откривеним рањивостима са централне платформе. · Подршка за Web Filtering функционалност на endpoint уређајима, независно од локације на којој се endpoint налази. · Подршка за централизовано log-овање и извештавање о активностима endpoint agent-а, VPN/ZTNA приступу и стању управљаних endpoint уређаја. · Подршка за претрагу и преглед log-ова и релевантних догађаја са управљаних endpoint уређаја. · Подршка за интеграцију са решењем за централизовано прикупљање и анализу log-ова које је предмет исте набавке. · Подршка за интеграцију са инфраструктуром Наручиоца за идентификацију корисника и примену приступних политика на основу корисника и/или групе којој корисник припада. · Подршка за Single Sign-On Mobility Agent или еквивалентну функционалност за прослеђивање информација о пријављеном кориснику другим компонентама безбедносне инфраструктуре. · Endpoint agent мора да омогући јединствени начин приступа корпоративним ресурсима корисницима који се налазе у локалној мрежи Наручиоца и корисницима који приступају ресурсима са удаљених локација, у складу са дефинисаним политикама приступа. · Менаџмент платформа мора да омогући организацију endpoint уређаја у групе и примену различитих политика у зависности од припадности уређаја одговарајућој групи. · Подршка за управљање различитим верзијама endpoint agent-а и централизовано спровођење надоградње управљаних agent-а. · Подршка за дефинисање политика којима се контролише понашање endpoint agent-а и могућности крајњег корисника да мења безбедносно релевантна подешавања. · Подршка за централизовану видљивост software inventory података са управљаних endpoint уређаја. · Понуђено решење мора да подржава рад у on-premises окружењу без условљавања Наручиоца коришћењем cloud-hosted менаџмент платформе. · Понуђена лиценца мора да обезбеди коришћење тражених VPN/ZTNA функционалности на најмање 500 endpoint уређаја, у трајању од најмање 12 месеци. · Понуђено решење мора да укључи произвођачку техничку подршку за менаџмент платформу и endpoint agent-е у трајању од најмање 12 месеци. На слици 1 приказано је постојеће логичко стање мрежне инфраструктуре Наручиоца са централним и удаљеним локацијама, као и најзначајнијим компонентама система. Слика 1 - Приказ стања мрежне инфраструктуре Испоруком Microsoft подржаних лиценци потребно је унапредити безбедност firewall и WAN архитектуре по стандарду Microsoft Tier модела, подразумева се успостављање јединственог модела firewall заштите на централним и удаљеним локацијама Наручиоца кроз стандарде Microsoft Tier модела, уз задржавање и унапређење постојеће инфраструктуре у Новом Саду. На слици 2 је логички представљено жељено стање мрежне инфраструктуре Наручиоца са најбитнијим компонентама система. Слика 2 - Приказ жељеног стања мрежне инфраструктуре Платформе је потребно интегрисати са постојећом и новом мрежном безбедносном инфраструктуром Наручиоца, уз успостављање иницијалне структуре управљања, логовања, административних права, организације уређаја и основних правила за њихов даљи рад. Услуга треба да обухвати активности неопходне за успостављање циљне firewall и WAN архитектуре, унапређење постојећих безбедносних политика, имплементацију нових уређаја на удаљеним локацијама, интеграцију са системима за централизовано управљање и анализу логова, као и имплементацију endpoint management решења. Рокови и начин плаћања Рок за испоруку добара - лиценци које су предмет набавке је највише 45 радних дана од дана закључења уговора, о чему ће Наручилац и Изабрани понуђач / Извршилац сагласно саставити записник о квантитативној и квалитативној испоруци предметних добара. Записник о извршеној испоруци мора бити потписан од стране представника Наручиоца и Добављача. Изабрани Понуђач је у обавези да у року од 30 дана од дана набавке лиценци од произвођача изврши иницијализацију платформи за централизовано управљање мрежним безбедносним уређајима, централизовано прикупљање и анализу логова и endpoint менаџмент VPN/ZTNA платформе. Иницијализација подразумева инсталацију и активацију платформи, примену основних системских, административних и безбедоносних подешавања, као и припрему платформи за интеграцију са свим постојећим мрежним безбедносним уређајима Наручиоца. О извршеним активностима изабрани Понуђач је у обавези да Наручиоцу достави одговарајуће документе пријемног испитивања и изведеног стања имплементације мрежне опреме на локацијама Наручиоца. Обавеза Наручиоца је да: благовремено обезбеди потребне информације о постојећој инфраструктури и конфигурацијама које су неопходне за реализацију услуге; обезбеди одговарајуће системске, мрежне и административне предуслове за инсталацију и рад платформи; обезбеди стручно особље које ће учествовати у усаглашавању конфигурације и верификацији реализованих активности; благовремено обезбеди потребна интерна одобрења за спровођење договорених измена; обезбеди удаљени или локални приступ стручном особљу Изабраног Понуђача, у зависности од природе активности које се спроводе; обезбеди потребну координацију са осталим учесницима чији системи или активности могу бити предуслов за реализацију услуге. Гарантни рок: Гарантни рок за испоручене лиценце мора бити минимално 24 (двадесет четири) месеца за ставке 2.1 до 2.4, односно минимално 12 (дванаест) месеци за ставке 2.5 до 2.7, од дана потписивања Записника о примопредаји добара. Место испоруке добара: Испорука добара вршиће се у објекту Наручиоца, на адреси Булевар ослобођења 69, Нови Сад, или на другим локацијама Наручиоца на територији Републике Србије. Инсталације, имплементације, обуке и додатна подршка ће се вршити у објекту Наручиоца, на адреси Булевар ослобођења 69, Нови Сад, као и на другим локацијама, у складу са потребама Наручиоца, или удаљеним приступом ако је то технички могућа. Рок и начин плаћања: Наручилац је дужан извршити плаћање у року од 30 (тридесет) дана од достављања уредне фактуре и Записника о испоруци опреме и лиценци. Услуга имплементације Microsoft 365 сервиса Наручилац поседује Enterprise уговор o Microsoft лиценцирању, који укључује и М365 E5 лиценце, а овом набавком је обухваћена испорука додатних М365 Е5 и М365 Е7 лиценци. Сервиси обухваћени овим лиценцним пакетима тренутно су имплементирани делимично и неуједначено, при чему ниво зрелости имплементације варира и по појединачном сервису и по пословном окружењу. Услугом имплементације Microsoft сервиса у пословним окружењима Наручиоца у Новом Саду и Београду потребно је реализовати радове ради максималног искоришћења М365 Е5 и М365 Е7 лиценци. Опис услуге Изабрани Понуђач дужан је да у року од 2 (два) месеца од датума потписивања уговора имплементира, интегрише у комплетно пословно окружење Наручиоца следеће Microsoft сервисe у складу са пословним потребама Наручиоца: Microsoft Entra ID (Azure AD) Microsoft Teams Microsoft Intune Microsoft OneDrive for Business Microsoft Defender for Identity Microsoft Defender for Servers Microsoft Sentinel Microsoft Entra ID треба да буде конфигурисан на начин да за идентитете у потпуности подржава вишефакторску аутентикацију, Microsoft Entra ID Protection и Conditional Access политике приступа, дефинисане на основу локације, типа уређаја и нивоа ризика, чиме се обезбеђује да осетљивим ресурсима приступају искључиво усклађени и препознати корисници. Microsoft Teams и Microsoft OneDrive for Business треба да буду у пуној производној употреби, са успостављеном организационом структуром тимова и канала, дефинисаним политикама гостујућег приступа за екстерне сараднике и применом DLP правила кроз Microsoft Purview, ради спречавања ненамерног или неовлашћеног дељења поверљивих података. Microsoft Intune треба имплементирати тако да представља централну платформу за управљање свим корисничким уређајима у оба пословна окружења, са завршеним enrollment-ом уређаја, дефинисаним политикама усклађености и Conditional Access правилима која омогућавају приступ пословним ресурсима искључиво са усклађених уређаја. Microsoft Defender for Identity и Microsoft Defender for Servers треба да буду у потпуности имплементирани и оперативни у оба пословна окружења — Нови Сад и Београд — обезбеђујући уједначену детекцију идентитетских претњи, покривеност свих сервера и интеграцију са Microsoft Defender XDR платформом. Microsoft Sentinel треба имплементирати као централну платформу за прикупљање, корелацију и анализу безбедносних догађаја из свих релевантних Microsoft и других извора, са успостављеним аналитичким правилима, playbook-овима за аутоматизацију одговора и dashboard-има за оперативно праћење безбедносног стања. Изабрани понуђач ће прилагодити дневни обим података по извору и применити техничке мере ограничења потрошње Аzure кредита потребних за рад Sentinel платформе, на основу чега ће бити предложен одговарајући ниво Azure претплате, односно Commitment Tier модел. Поред наведених сервиса обухваћених Microsoft 365 E5 лиценцним пакетом, жељено стање подразумева и завршетак имплементације следећих он-прем инфраструктурних сервиса, неопходних за целовиту заштиту идентитета и уређаја у комплетно пословна окружење Наручиоца (централне локације: Нови Сад и Београд; ДП Нови Сад Гас, Гас-феромонт Стара Пaзова): Windows Server Update Services (WSUS) Public Key Infrastructure (PKI) Local Administrator Password Solution (LAPS) Microsoft Configuration Manager (MCM/SCCM) Windows Server Update Services (WSUS) треба конфигурисати тако да омогући дистрибуцију и контролисано одобравање Microsoft безбедносних и системских ажурирања у оба пословна окружења, за Tier0 i Tier1. Циљно стање подразумева дефинисане циљне групе уређаја (нпр. тест, пилот, продукција) и успостављен процес тестирања ажурирања пре шире дистрибуције, чиме се постиже баланс између безбедносне ажурности и стабилности система. WSUS ће бити интегрисан са Group Policy механизмима. За потребе ових функционалности у Tier2 се већ користи Microsoft Configuration Manager (MCM/SCCM). Public Key Infrastructure (PKI) треба успоставити кроз двослојни модел са изолованим Offline Root CA и Subordinate (Issuing) CA сервером, заједничким за сва пословна окружења Наручиоца. Циљно стање подразумева дефинисан Tier 0 безбедносни модел за PKI инфраструктуру и активирану autoenrollment политику, којом сви домен уређаји и корисници у пословном окрежењу Наручиоца да аутоматски добијају потребне сертификате за аутентикацију, енкрипцију и дигитални потпис. Local Administrator Password Solution (LAPS) треба имплементирати у пословној мрежи Наручиоца, са аутоматским генерисањем, ротацијом и безбедним чувањем јединствених лозинки локалних администраторских налога на свим домен уређајима. Циљно стање елиминише ризик коришћења идентичних локалних лозинки на више система, чиме се значајно смањује могућност латералног кретања у случају компромитације налога. Microsoft Configuration Manager (MCM/SCCM) треба успоставити кроз јединствену инстанцу заједничку за комплетно пословно окружење Наручиоца, са дефинисаним boundary групама, инсталираним клијентским агентом на свим управљаним уређајима и активним software distribution, patch management и compliance policies функционалностима. Циљно стање подразумева и интеграцију са Microsoft Intune ради co-management сценарија, чиме се обезбеђује обједињено управљање уређајима без обзира на то да ли се налазе унутар корпоративне мреже. Завршетак имплементације Micrososft servisa подразумева да сви наведени сервиси буду имплементирани уједначено у централна пословна окружења Наручиоца, чиме се обезбеђује конзистентан ниво безбедности, видљивости и управљивости целокупног ИЦТ система, независно од локације. Изабрани понуђач ће у року од 2 (два) месеца од дана потписивања уговора спровести ревизију постојећег стања, анализу, израду плана имплементације и завршетак имплементације тражених сервиса обухваћених овом услугом, извршити тестирање и наставити да пружа техничку подршку у радно време Наручиоца до истека уговора. Изабрани понуђач ће ангажовани тим стављати на располагање Наручиоцу у редовно радно време Наручиоца, као и у унапред најављеном и договореном временском оквиру (Maintenance window) за активности ван радног времена, уколико интервенције могу утицати на рад запослених или расположивост система. Наручиоц ће за потребе реализације услуге обезбедити: Одговорну особу одговорну за праћење реализације услуге потребне административне и техничке приступе Microsoft Entra ID, Microsoft Intune, Microsoft Defender порталу и, где је применљиво, Microsoft Azure ресурсима, додељене у складу са принципом најмањих неопходних привилегија; потребан број стручног особља које ће током реализације бити укључено у координацију активности, учешће у тестирању и повремени надзор над извршеним радовима; благовремено достављање информација, интерних одобрења и одлука неопходних за несметан наставак активности предвиђених планом имплементације; удаљени приступ ангажованом стручном особљу Изабраног понуђача за активности за које није неопходно физичко присуство у просторијама Наручиоца; договарање и потврђивање термина за активности које се, због могућег утицаја на рад корисника или расположивост система, спроводе у оквиру Maintenance window-а. Рокови и начин плаћања Рок испоруке: Изабрани понуђач је у обавези да у року од 2 (два) месеца од дана потписивања уговора изврши услуге описане у овом поглављу. Место извршења: Испорука услуга вршиће се у објекту Наручиоца, на адреси Булевар ослобођења 69, Нови Сад, односно другим локацијама Наручиоца на територији Републике Србије. Наручиоц и Добављач ће се сагласно договарати за које услуге је нужно да извршиоци буду присутни на локацији Наручиоца, а када је могуће услугу пружити удаљеним приступом. По завршетку испоруке Услуге имплементације Microsoft сервиса у пословним окружењима Наручиоца у Новом Саду и Београду, обе стране ће сачинити и потписати записник о испорученој услузи, којим се констатује завршетак имплементације. Гарантни рок: Гарантни рок за извршене „Услуге имплементације Microsoft 365 сервиса“ мора бити минимално 12 (дванаест) месеца од дана потписивања Записника о примопредаји радова. Плаћање услуге врши у року од 30 (тридесет) дана од дана уредно достављеног потписаног записника и фактуре. Услуга учлањења у домен, реинсталације и миграције корисничких налога ИЦТ систем Наручиоца на неким локација у свом пословном окружењу има 210 рачунара за које је потребно спровести Услугу Учлањење у домен, реинсталација и миграција корисничких налога. Ова опрема ради на различитим верзијама Microsoft Windows оперативним системом и неуједначеним софтверским пакетима који су у потреби у пословном окружењу. Корисници се логују локално, а документа корисника се у локалним реозиторијумима, Услуга учлањења у домен, реинсталације и миграције корисничких налога има за циљ успостављање јединственог, стандардизованог, централизовано управљаног и безбедносно контролисаног endpoint окружења, у којем су радне станице прикључене одговарајућем Active Directory доменском окружењу, централизовано управљане путем Microsoft Intune платформе, редовно ажуриране, обухваћене Microsoft Defender for Endpoint и XDR безбедносним надзором, заштићене договореним hardening политикама и имају контролисане локалне административне привилегије применом Microsoft LAPS механизма. Овом Услугом, изабрани Понуђач треба да све корисничке радне станице обухваћене предметом услуге: доведе у стандардизовано, централизовано управљано и безбедносно контролисано окружење, у складу са безбедносним политикама Наручиоца, усвојеним моделом сегрегације привилегованих приступа и релевантним Microsoft безбедносним препорукама. Обезбеди коришћење подржаних и одобрених верзија Windows оперативног система, са примењеним релевантним безбедносним исправкама и усаглашеним конфигурационим baseline-ом. изврши чисту инсталацију Windows оперативног система из поузданог и одобреног извора, без задржавања претходне системске инсталације. На обновљеном уређају потребно је применити договорене безбедносне исправке, одобрене driver-е, стандардне пословне апликације, безбедносне компоненте и усаглашени security baseline. врати у продукциони рад кроз контролисани процес безбедне обнове и поновне изградње. Од Понуђача се очекује да предложи одговарајућу процедуру која ће обухватити проверу и издвајање неопходних корисничких података, инсталацију оперативног система из поузданог и одобреног извора, примену договорених безбедносних политика и селективно враћање проверених корисничких података и подешавања. Постојећи кориснички профили, извршне компоненте и други садржаји не треба да се подразумевано преносе без претходне безбедносне провере. прикључи новом Active Directory доменском окружењу и укључи у одговарајући модел управљања и сегрегације привилегованих приступа. Уколико Наручилац примењује Tier 0, Tier 1 и Tier 2 модел, корисничке радне станице треба да буду обухваћене Tier 2 сегментом, уз административно раздвајање од Tier 0 и Tier 1 система и коришћење за то предвиђених административних налога и механизама. Потребно је потврдити примену договорених Group Policy и других безбедносних политика, као и административно раздвајање радних станица од Tier 0 и Tier 1 система. успостави контролисано управљање локалним административним привилегијама. Радне станице треба да буду обухваћене Microsoft LAPS механизмом за централизовано управљање и аутоматску ротацију лозинки локалних административних налога, уз ограничавање неконтролисаног коришћења локалних привилегованих приступа. Укључити у Microsoft Defender for Endpoint (MDE) и обухваћене централизованим endpoint/XDR безбедносним надзором. Од Понуђача се очекује да обезбеди исправну конфигурацију и функционисање релевантних MDE компоненти, континуирану телеметрију и централизовану видљивост безбедносног стања уређаја, као и могућности детекције, истраге и реакције на сумњиве активности и потенцијалне компромитације. примени одговарајуће безбедносне baseline и hardening политике. Од Понуђача се очекује да, на основу захтева Наручиоца и расположивих Microsoft безбедносних механизама, предложи одговарајући скуп политика и подешавања, укључујући Windows Firewall, Attack Surface Reduction правила, Microsoft Defender политике, контролу привилегија и друге релевантне безбедносне контроле. Укључи у Microsoft Intune окружење ради централизованог endpoint management-а, примене договорених конфигурационих и безбедносних политика, праћења compliance статуса и централизованог управљања Windows уређајима. Након техничке и безбедносне припреме радне станице, могу се вратити искључиво претходно одобрени и проверени кориснички подаци и подешавања. Након миграције потребно је извршити функционалну проверу корисничког окружења, укључујући пријављивање на домен, приступ релевантним пословним апликацијама, Microsoft 365 сервисима, мрежним ресурсима, штампачима, сертификатима и другим ресурсима неопходним за рад корисника. идентификује и документује захтеве за мрежну комуникацију неопходну за реализацију и функционисање предложеног решења. Наручилац ће, након одговарајућег одобрења, обезбедити потребна firewall правила, DNS резолуцију, routing и другу мрежну комуникацију према релевантним доменским, Microsoft и другим сервисима. у плану реализације јасно идентификује предуслове и зависности од активности Наручиоца и да благовремено укаже на ризике који могу утицати на договорене рокове. Уколико неиспуњење усаглашеног предуслова непосредно онемогућава реализацију зависне активности, евентуална корекција рокова врши се уз документовано образложење, усаглашавање страна и ажурирање плана реализације. Наручилац ће именовати релевантна техничка и организациона контакт лица за области које су од значаја за реализацију услуге, укључујући Active Directory, мрежну инфраструктуру, Microsoft окружење, endpoint management, endpoint заштиту, пословне апликације и корисничку подршку. Понуђач је дужан да спроведе техничку и безбедносну валидацију припремљеног стандардног модела радне станице, уз учешће Наручиоца у функционалној валидацији и тестовима прихватања. Продукциона примена започиње након успешно спроведеног пилота и формалног одобрења Наручиоца. Услугу је потребно спровести у две фазе: Пилот, на ограниченом броју репрезентативних радних станица и корисника. Од Понуђача се очекује да предложи обухват, сценарије и критеријуме успешности пилота, којим треба валидирати најмање процес обнове и реинсталације, миграцију података, domain join, примену Tier 2 политика, Intune enrollment, MDE/XDR телеметрију, Microsoft LAPS, patch management и функционалност релевантних пословних апликација. Масовна имплементација, на свим наведеним рачунарима. Након успешног пилота и усаглашавања евентуалних корекција, реализација треба да се настави у контролисаним таласима, у складу са планом миграције који предложи Понуђач и усагласи са Наручиоцем, договореном динамиком и расположивошћу корисника и система. Наручилац ће Понуђачу ставити на располагање постојеће евиденције и релевантне податке о радним станицама и корисницима који су предмет реализације, укључујући информације о локацији, кориснику, организационој јединици, специфичним пословним апликацијама и другим познатим захтевима. Понуђач је дужан да током иницијалне анализе изврши проверу и допуну података неопходних за реализацију услуге. Наручилац ће обезбедити доступност радних станица и корисника у договореним терминима, у складу са усаглашеним планом реализације. Од Понуђача се очекује да унапред предложи очекивано време недоступности уређаја по типичном сценарију обраде, како би Наручилац могао да организује рад корисника и термин реализације. Наручилац ће обезбедити договорене административне и техничке приступе системима неопходним за реализацију услуге, укључујући, где је применљиво, Active Directory, DNS, DHCP, Microsoft Entra ID, Microsoft Intune, Microsoft Defender for Endpoint и Microsoft Defender XDR. Обим приступа мора бити ограничен на најмањи ниво привилегија неопходан за реализацију договорених активности. Од Понуђача се очекује да, у сарадњи са Наручиоцем, предложи и припреми стандардни модел инсталације и конфигурације Windows радних станица, укључујући, где је применљиво, стандардни корпоративни Windows image. Понуђач је одговоран за техничку припрему, конфигурацију, hardening и валидацију предложеног модела, док ће Наручилац обезбедити договорене лиценце, расположиве апликације, инсталационе пакете, сертификате и друге компоненте које су у његовој надлежности. Рокови и начин плаћања Рок испоруке услуге је 6 месеци од датума потписивања уговора. О извршењу услуге, Наручилац и Изабрани понуђач / Извршилац ће сагласно потписати Записник о испорученој услузи Место извршења: Испорука услуга вршиће се у објекту Наручиоца, на адреси Булевар ослобођења 69, Нови Сад, односно другим локацијама Наручиоца на територији Републике Србије. Наручиоц и Добављач ће се сагласно договарати за које услуге је нужно да извршиоци буду присутни на локацији Наручиоца, а када је могуће услугу пружити удаљеним приступом. По завршетку испоруке Услуге учлањења у домен, реинсталације и миграције корисничких налога обе стране ће сачинити и потписати Записник о испорученој услузи, којим се констатује завршетак испоруке. Гарантни рок: Гарантни рок за извршене „Услуге учлањења у домен, реинсталације и миграције корисничких налога“ мора бити минимално 12 (дванаест) месеца од дана потписивања Записника о примопредаји радова. Плаћање услуге врши у року од 30 (тридесет) од дана уредно достављеног потписаног записника, односно извештаја и фактуре. Tiering AD окружења за индустријске ИЦТ системе У оквиру индустријског ИКТ и SCADA окружења Наручиоца успостављена је Windows серверска инфраструктура са Active Directory доменским окружењем, које се користи за централизовану аутентикацију и управљање корисничким и административним налозима, серверским системима, радним станицама и припадајућим ресурсима. Постојеће Active Directory окружење обухвата доменске контролере, организационе јединице, безбедносне групе, административне и сервисне налоге, Group Policy објекте и друге компоненте неопходне за функционисање Windows инфраструктуре и система који се на њу ослањају. Део административних активности у постојећем Windows и Active Directory окружењу обавља се диспечерских радних станица, односно са уређаја који се користе и за редовне пословне активности. Административне активности због тога нису у потпуности издвојене на наменске административне системе и одвојене од стандардног корисничког окружења. Наручилац ће успоставити Tiering безбедносни модел Active Directory окружења за индустријске ИКТ и SCADA системе, са јасним раздвајањем административних идентитета, система, административних активности и привилегованих приступа на Tier 0, Tier 1 и Tier 2 нивое. Од Понуђача се очекује да, на основу анализе постојећег окружења и стварних административних зависности, предложи детаљну класификацију система, налога и административних приступа по Tier нивоима. Tier 0 треба да представља највиши ниво административног поверења и да обухвати Domain Controller системе, релевантне PKI/Certification Authority и identity компоненте, као и друге системе, налоге и посредничке компоненте које могу директно или индиректно да контролишу Active Directory окружење или Tier 0 ресурсе. Администрација Tier 0 система мора бити издвојена од редовног корисничког рада и обављати се коришћењем посебних Tier 0 административних идентитета и одговарајуће заштићених Privileged Access Workstation (PAW) уређаја. Tier 1 треба да обухвати серверске, апликативне и друге системе који управљају пословним или индустријским workload-има, а који немају административну контролу над Tier 0 ресурсима. Од Понуђача се очекује да анализира SCADA серверску и апликативну инфраструктуру и предложи њено разврставање у Tier 1 или други одговарајући ниво у зависности од стварних административних привилегија и зависности. За системе класификоване као Tier 1 потребно је обезбедити одвојене административне идентитете и примену принципа најмањих неопходних привилегија. Tier 2 треба да обухвати стандардне корисничке и друге endpoint уређаје који немају административну контролу над Tier 0 и Tier 1 ресурсима. Од Понуђача се очекује да посебно анализира оперативне SCADA радне станице и класификује их у складу са њиховом функцијом и нивоом приступа. Tier 2 административни налози не смеју имати административни приступ Tier 0 и Tier 1 системима, док се Tier 0 и Tier 1 привилеговани идентитети не смеју користити за редован кориснички рад на Tier 2 уређајима. Од Понуђача се очекује да предложи и имплементира одговарајућу OU структуру, безбедносне групе, модел административних и сервисних налога и Group Policy политике неопходне за спровођење Tiering модела. Предложене контроле треба да ограниче недозвољене административне путање и излагање привилегованих credentials између различитих Tier нивоа, укључујући контролу интерактивног, удаљеног, мрежног, сервисног и других релевантних начина пријављивања и приступа. За потребе привилеговане администрације потребно је успоставити наменске и безбедносно ојачане Privileged Access Workstation (PAW) уређаје, прилагођене нивоу ресурса којима се приступа. Од Понуђача се очекује да предложи PAW модел за Tier 0, Tier 1 и, где је применљиво, Tier 2 административне активности, укључујући правила коришћења, мрежна ограничења, дозвољене административне алате, безбедносне политике и начин управљања овим уређајима. PKI/Certification Authority инфраструктуру која представља део идентитетског или административног control plane-а потребно је класификовати и заштитити у складу са Tier 0 захтевима. Од Понуђача се очекује да анализира постојећу PKI/CA архитектуру, административне и сервисне налоге, зависности и приступне путање и предложи одговарајуће мере за спречавање недозвољених административних зависности од система нижег нивоа поверења. Понуђено решење треба да обухвати примену одговарајућих hardening, Attack Surface Reduction и Microsoft Defender безбедносних политика, у складу са улогом и критичношћу система и техничким ограничењима индустријског окружења. Од Понуђача се очекује да предложи примену Microsoft Defender for Endpoint, Microsoft Defender for Identity и других расположивих механизама надзора тамо где су технички применљиви и где њихова примена не утиче негативно на стабилност и расположивост SCADA система. Од Понуђача се очекује да пре имплементације изради и са Наручиоцем усагласи матрицу Tier класификације, која ће за релевантне системе, административне и сервисне налоге, административне радне станице и управљачке компоненте дефинисати припадност одговарајућем Tier нивоу, дозвољене административне путање и ограничења приступа између Tier зона. Класификација треба да буде заснована на стварним административним привилегијама, зависностима и потенцијалном утицају компромитације појединачне компоненте. Крајњи циљ Наручиоца је успостављање стабилног и контролисаног Tier 0, Tier 1 и Tier 2 модела привилегованог приступа, у којем су Active Directory, релевантне PKI/CA компоненте, SCADA и други серверски системи, административне радне станице и endpoint уређаји класификовани у складу са стварним нивоом привилегија и административних зависности. Административни идентитети и приступни путеви између Tier нивоа треба да буду логички раздвојени и технички ограничени, док се од Понуђача очекује да предложи, документује, имплементира и валидира модел којим ће наведено стање бити постигнуто. Опис услуге Услуга треба да обухвати анализу постојећег окружења, пројектовање, имплементацију и валидацију Tiering модела привилегованог приступа за Active Directory и повезане индустријске ИКТ и SCADA системе, заснованог на Tier 0, Tier 1 и Tier 2 нивоима. Од Понуђача се очекује да предложи детаљну архитектуру и обухват модела, укључујући класификацију релевантних Active Directory, PKI/Certification Authority, серверских, endpoint и административних система, PAW модел и одговарајуће безбедносне механизме. Од Понуђача се очекује да, на основу анализе постојећег Active Directory окружења и административних зависности, предложи и имплементира одговарајућу OU структуру, безбедносне групе, модел административних и сервисних налога и Group Policy политике неопходне за спровођење Tiering модела. Административни идентитети морају бити раздвојени према нивоу привилегија и дозвољеном административном обухвату, уз примену принципа најмањих неопходних права. За Tier 0 потребно је идентификовати системе, идентитете и управљачке компоненте које имају директну или индиректну административну контролу над Active Directory окружењем и другим Tier 0 ресурсима. Овај обухват треба да укључи Domain Controller системе и друге релевантне identity и PKI/CA компоненте у складу са њиховом стварном улогом и административним зависностима. Приступ Tier 0 ресурсима мора бити ограничен на одговарајуће Tier 0 административне идентитете и контролисано административно окружење. За Tier 1 од Понуђача се очекује да анализира серверску и апликативну инфраструктуру, укључујући релевантне SCADA системе, и предложи класификацију система који припадају овом нивоу на основу њихових административних привилегија, зависности и функције. За системе класификоване као Tier 1 потребно је дефинисати одговарајућу OU и security-group организацију, административне и сервисне налоге, дозвољене административне приступе и стандардизовану процедуру за укључивање нових система у Tier 1. За Tier 2 потребно је успоставити модел управљања стандардним корисничким и другим endpoint системима који не захтевају административне привилегије над Tier 0 или Tier 1 ресурсима. Од Понуђача се очекује да посебно анализира оперативне SCADA радне станице и предложи њихову класификацију у складу са функцијом, административним привилегијама и потенцијалним утицајем на више Tier нивое. Политике приступа морају спречити недозвољено коришћење привилегованих идентитета вишег Tier нивоа на системима нижег нивоа поверења. Услуга треба да обухвати дефинисање, имплементацију и валидацију Group Policy и других одговарајућих безбедносних контрола којима се спроводе правила Tiering модела. Од Понуђача се очекује да предложи конкретне контроле, укључујући, где је применљиво, User Rights Assignment, ограничења logon сценарија, контролу локалних група, Windows Firewall, Attack Surface Reduction и друга hardening подешавања потребна за ограничавање недозвољених административних путања и lateral movement-а између Tier зона. Од Понуђача се очекује да предложи и имплементира модел наменских Privileged Access Workstation (PAW) уређаја за привилеговану администрацију, у складу са дефинисаним Tier нивоима и административним потребама Наручиоца. Предложени модел треба да обухвати начин управљања PAW уређајима, дозвољене административне алате, правила коришћења, мрежна ограничења и друге безбедносне контроле неопходне за издвајање привилеговане администрације из стандардног корисничког окружења. У оквиру услуге Понуђач треба да изврши анализу постојеће PKI