Надоградња система за управљање привилегованим приступима (ПАМ)

OSTALI VAŽNI ELEMENTI PONUDE.docx ОСТАЛИ ВАЖНИ ЕЛЕМЕНТИ ПОНУДЕ Критеријум за оцењивање понуде: У поступку избора понуде уговор ће бити додељен економски најповољнијој понуди на основу критеријума: Цене Резервни критеријум: У случају да постоје две или више понуда са исом понуђеном укупном ценом, између ових понуда као најповољнија понуда биће изабрана она понуда понуђача који понуди краћи рок испоруке. Место и начин испоруке, инсталације и пуштања у рад лиценци и надоградње система за управљање привилегованим приступима: Републички Фонд за пензијско и инвалидско осигурање, Дирекција са седиштем у Београду, Др Александра Костића 9, Београд. Понуђач је дужан да испоруку, инсталацију и пуштање у рад лиценци и надоградњу система за управљање привилегованим приступима изврши у року од ______ (максимално 60) дана од дана ступања на снагу Уговора, на локацији Наручиоца. Начин и услови плаћања: Наручилац ће платити испоруку, инсталацију и пуштање у рад лиценци и надоградњу система за управљање привилегованим приступима у року до 15 дана од дана пријема правилно испостављене фактуре и Записника о извршеној испоруци, инсталацији и пуштању у рад лиценци и извршеној надоградњи система за управљање привилегованим приступима, потписаног од стране представника Понуђача и овлашћеног лица Наручиоца. Средства финансијског обезбеђења А) Понуђач је дужан да приликом подношења понуде достави средство финансијског обезбеђења за озбиљност понуде и то: 1. Банкарску гаранцију за озбиљност понуде – оригинал, у износу од 3% од вредности понуде без ПДВ, са роком важења 60 дана дуже од рока важења понуде, која мора бити безусловна, неопозива, без приговора и платива на први позив, у корист Наручиоца. Банкарска гаранција за озбиљност понуде се активира у случају да понуђач одустане од своје понуде у року важења понуде, не достави доказе о испуњености критеријума за квалитативни избор привредног субјекта у складу са чланом 119. овог закона, неосновано одбије да закључи уговор о јавној набавци или не достави обезбеђење за извршење уговора о јавној набавци. 2. Копију картона депонованих потписа овлашћених лица пословне банке, која су потписала банкарску гаранцију. Б) Добављач је дужан да, у року од 15 дана од дана потписивања Уговора, као средство финансијског обезбеђења за добро извршење уговорених обавеза, преда Наручиоцу: 1. Оригинал банкарску гаранцију за добро извршење уговорених обавеза, у висини од 10% уговорене вредности без ПДВ и са роком важења најмање 60 дана дуже од трајања Уговора, која мора бити безусловна, неопозива, без приговора, платива на први позив и без могућности умањења сразмерно извршеној обавези, а у корист Наручиоца. Банкарска гаранција за добро извршење уговорених обавеза се активира у случају да Добављач не испуњава уговорене обавезе 2. Копију картона депонованих потписа овлашћених лица пословне банке, која су потписала банкарску гаранцију. В) Добављач је у обавези да, у року од 15 дана од дана потписивања Записника о извршеној испоруци, инсталацији и пуштању у рад лиценци и извршеној надоградњи система за управљање привилегованим приступима, кaо срeдство финaнсијског обeзбeђeњa достави: 1. Оригинал банкарску гаранцију за отклањање грешака у гарантном року, у износу од 10% од укупне вредности Уговора са роком важења најмање 90 дана дуже од истека гарантног рока, која мора бити безусловна, неопозива, без приговора, платива на први позив и без могућности умањења сразмерно извршеној обавези, а у корист Наручиоца. Банкарска гаранција се активира у случају да Добављач не извршава уговорене обавезе у току трајања гарантног рока. 2. Копију картона депонованих потписа овлашћених лица пословне банке, која су потписала банкарску гаранцију. TEHNIČKA SPECIFIKACIJA.docx ТЕХНИЧКА СПЕЦИФИКАЦИЈА Предмет јавне набавке је надоградња система за управљање привилегованим приступима (PAM) комерцијалног назива „SafeViewer“, а која је неопходна ради обезбеђивања безбедног и контролисаног удаљеног приступа информационом систему Наручиоца, уз чување података и евиденција сесија искључиво на инфраструктури Републичког фонда за пензијско и инвалидско осигурање (у даљем тексту: Наручиоца) и уз пуну контролу Наручиоца над доделом привилегија, надзором сесија, превентивним реаговањем и ревизијом приступа. Клауд модели повећавају ризик губитка контроле над каналима удаљеног приступа, локацијом евиденција и зависношћу од трећих лица при примени мера заштите. Закон о информационој безбедности („Сл. гласник РС“, бр. 91/2025) у члану 7. обавезује оператора ИКТ система од посебног значаја, у које спада и Наручилац, да предузме техничке, оперативне, организационе и физичке мере заштите, управља ризицима и спречава штетне последице инцидената, као и да, ако активности у вези са ИКТ системом поверава трећим лицима, уреди тај однос тако да се прописане мере заштите ипак примењују. Исти члан налаже и редовну проверу усклађености примењених мера са актом о безбедности ИКТ система. Члан 10. истог закона утврђује да оператор одговара за безбедност ИКТ система и предузимање мера заштите, које обухватају ограничење и одобравање овлашћеног приступа, спречавање неовлашћеног приступа систему и услугама које систем пружа, криптографске контроле, спречавање отицања података, безбедност података који се преносе унутар оператора и према лицима ван оператора, физичку заштиту простора, праћење система ради откривања рањивости и претњи, као и посебне мере при коришћењу рачунарства у клауду. Наведене одредбе непосредно се примењују на безбедан и контролисан удаљени приступ, надзор привилегованих сесија и превенцију злоупотребе приступа. Надоградња PAM система омогућава Наручиоцу непосредну примену ових мера на сопственој инфраструктури, смањује ризике клауд окружења и јача контролу над удаљеним и привилегованим приступима. Предмет пројекта је надоградња, имплементација и активација система за управљање привилегованим приступима (PAM) на инфраструктури Наручиоца. Набавка обухвата софтверске лиценце различитих категорија и типова, од којих свака обухвата једногодишњу произвођачку подршку на најновије верзије, ревизије, ажурирања и исправке (update-ове и patch-еве), као и услугу имплементације и активације нових софтверских лиценци. Набавка представља проширење система информационе заштите у домену PAM контроле приступа информационом систему Наручиоца, услед све учесталијих и напреднијих вектора напада и обавеза из Закона о информационој безбедности („Сл. гласник РС“, бр. 91/2025). Проширење се наставља на претходно успешно реализовану набавку Наручиоца „Лиценце за праћење и контролу приступа трећих лица ИТ инфраструктури са проширењем постојећег система заштите“, референтни број 146/2025, коју је Наручилац успешно реализовао током 2025. године. Нове лиценце којима се проширује систем морају бити унифициране са постојећим PAM системом комерцијалног назива „SafeViewer“, како би се обезбедила додатна контрола корисника и заштита од додатних вектора напада, без нарушавања континуитета већ успостављеног система контроле приступа ИТ систему Наручиоца. Кључни обухват надоградње чине нови типови софтверких лиценци којима се постиже: Централизовани надзор активности на крајњим радним станицама, без одлива података ван инфраструктуре Наручиоца Напредна анализа, агрегација, филтрирање и извештавање о активностима Локално прикупљање сигнала активности на крајњим радним станицама и упис у централну базу РФ ПИО Безбедна излазна комуникација са постојећом PAM платформом, удаљени приступ, надзор и управљање радном станицом Надзор у реалном времену, удаљена контрола и превентивно реаговање у оквиру PAM платформе Све компоненте се имплементирају и активирају on-premise, подаци и евиденције сесија не прослеђују се спољним сервисима ни трећим странама, а прикупљање активности мора бити ограничено тако да се не бележи садржај уноса са тастатуре, лозинке, садржај фајлова ни мрежни саобраћај. Комплетна спецификација лиценци надоградње, количина и функционални захтеви дата је у наставку. 1) Лиценца ТИП 1 - SafeViewer Employee Activity Tracker Admin Количина: 10 ком Неопходно је да лиценца омогући кориснику приступ функционалностима за централизовани надзор и преглед активности на крајњим радним станицама на којима је инсталиран Employee Activity Tracker Agent, кроз следеће функционалности: Неопходно је да администратор има могућност централизованог прегледа свих крајњих радних станица са којих се прикупљају подаци о активностима корисника. Неопходно је да систем омогући засебну идентификацију сваке крајње радне станице, како би администратор могао да приступи подацима и активностима везаним за конкретну машину и корисника. Неопходно је да администратор има могућност избора појединачне крајње радне станице и прегледа података о активностима прикупљених са те машине. У домену праћења активног и неактивног времена неопходно је да: Систем омогући евидентирање и преглед периода током којих је корисник активан на крајњој радној станици. Систем омогући евидентирање и преглед периода неактивности корисника. Детекција неактивности буде заснована на присуству активности миша и тастатуре, без бележења садржаја који корисник уноси. Администратор има могућност хронолошког прегледа промена између активног и неактивног стања корисника. Систем периодично евидентира стање активности како би се обезбедио континуитет података о активном и неактивном времену. У домену праћења коришћених апликација неопходно је да: Систем евидентира назив активног процеса и активног прозора на крајњој радној станици. Систем евидентира промену активне апликације или активног прозора. Промена наслова прозора, документа или картице у оквиру исте апликације може бити евидентирана као засебна активност. Администратор има могућност прегледа апликација које су коришћене на одабраној крајњој радној станици. Администратор има могућност прегледа најчешће коришћених апликација на основу евидентиране активности. Систем омогући преглед најмање десет најчешће коришћених апликација за одабрану крајњу радну станицу. У домену прегледа историје активности неопходно је да: Администратор има могућност прегледа евидентираних догађаја активности за одабрану крајњу радну станицу. Преглед активности садржи информације о променама активних апликација и прозора. Систем омогући временски организован приказ евидентираних активности корисника. Администратор има могућност прегледа последњих евидентираних активности за одабрану крајњу радну станицу. У домену снимања и прегледа екрана неопходно је да: Систем подржава периодично креирање снимака екрана крајњих радних станица на којима је ова функционалност омогућена. Снимци екрана буду повезани са одговарајућом крајњом радном станицом, како би администратор могао да их прегледа у контексту активности конкретног корисника. Администратор има могућност прегледа евиденције снимака екрана за одабрану крајњу радну станицу. Систем омогући приказ појединачног снимка екрана. Функционалност снимања екрана буде опциона и да постоји могућност њеног искључивања. Систем има могућност да не креира снимак екрана у периоду када је корисник означен као неактиван. У домену идентификације крајњих радних станица неопходно је да: Систем при покретању агента евидентира крајњу радну станицу са које се подаци прикупљају. За крајњу радну станицу буду доступни основни системски подаци неопходни за њену идентификацију. Систем подржава евидентирање назива рачунара (hostname). Систем подржава евидентирање оперативног система и његове верзије. Систем подржава евидентирање архитектуре оперативног система. Систем подржава евидентирање корисника под којим је агент покренут. Систем има могућност евидентирања листе покренутих процеса приликом покретања агента. У домену централизованог складиштења података неопходно је да: Подаци прикупљени са крајњих радних станица буду централизовано смештени у бази података којом управља организација Наручиоца. Једна централна база података има могућност пријема и чувања података са више лиценцираних крајњих радних станица. Свака крајња радна станица буде засебно идентификована како би евидентирани догађаји могли бити повезани са одговарајућом машином. Подаци о активностима не буду прослеђивани спољним сервисима или трећим странама. У домену приватности и ограничења прикупљања података неопходно је да: Систем не бележи конкретне тастере које корисник притиска нити садржај текста који корисник уноси путем тастатуре. Систем не прикупља корисничке лозинке. Систем не прикупља садржај фајлова који се налазе на крајњој радној станици. Систем не врши снимање или анализу мрежног саобраћаја крајње радне станице. Систем за потребе праћења активности не захтева прикупљање хардверских идентификатора, MAC адреса или IP адреса крајње радне станице. Лиценца мора да омогући администратору централизовани увид у податке прикупљене са свих крајњих радних станица које поседују одговарајућу Employee Activity Tracker Agent лиценцу. Лиценца мора да буде трајна (perpetual), са укљученом једногодишњом произвођачком подршком на најновије верзије, ревизије, ажурирања (update-ове) и исправке (patch-еве). 2) Лиценца ТИП 2 - SafeViewer Employee Activity Tracker Advanced Report Количина: 1 ком Неопходно је да лиценца омогући коришћење Advanced Report функционалности у оквиру Employee Activity Tracker решења, намењене за напредну анализу, агрегацију и извештавање о активностима корисника и крајњих радних станица обухваћених системом. Лиценца мора да омогући овлашћеном администратору централизовано креирање и преглед извештаја на основу података прикупљених посредством Employee Activity Tracker Agent компоненти, укључујући податке о активном и неактивном времену, коришћеним апликацијама и евидентираним активностима корисника. Неопходно је да лиценца обухвати следеће функционалности: У домену креирања извештаја неопходно је да: Администратор има могућност креирања извештаја на основу података прикупљених са крајњих радних станица. Систем омогући креирање извештаја за појединачну крајњу радну станицу или корисника. Систем омогући креирање обједињених извештаја за више крајњих радних станица. Администратор има могућност избора временског периода за који се извештај генерише. Систем омогући генерисање извештаја за дефинисани датум или временски интервал. Извештаји буду генерисани на основу података који су централизовано прикупљени и сачувани у оквиру Employee Activity Tracker решења. У домену извештавања о активном и неактивном времену неопходно је да: Систем омогући приказ укупног евидентираног активног времена корисника у изабраном периоду. Систем омогући приказ укупног евидентираног неактивног времена корисника у изабраном периоду. Извештај омогући упоредни приказ активног и неактивног времена. Систем омогући приказ активности по данима у оквиру изабраног временског периода. Администратор има могућност анализе односа активног и неактивног времена за појединачног корисника или крајњу радну станицу. Систем омогући агрегирање података о активном и неактивном времену за потребе анализе активности током дужег временског периода. У домену извештавања о коришћењу апликација неопходно је да: Систем омогући извештавање о апликацијама коришћеним на крајњим радним станицама. Администратор има могућност прегледа најчешће коришћених апликација за изабрани временски период. Систем омогући приказ активности по појединачној апликацији. Систем омогући поређење коришћења различитих апликација у оквиру изабраног периода. Извештај омогући идентификацију апликација које представљају најзначајнији део евидентиране активности корисника. Администратор има могућност анализе коришћених апликација за појединачну или више крајњих радних станица. У домену анализе активности неопходно је да: Систем омогући хронолошки приказ евидентираних активности корисника. Администратор има могућност анализе промена активних апликација и прозора током изабраног периода. Систем омогући приказ временске линије активности корисника. Временска линија омогући разликовање периода активности и неактивности. Администратор има могућност коришћења евидентираних података за идентификацију образаца активности током изабраног периода. Систем омогући прелаз са агрегираних података на детаљнији приказ активности појединачног корисника или радне станице. У домену филтрирања и претраге података неопходно је да: Администратор има могућност филтрирања података приказаних у извештајима. Систем омогући филтрирање према кориснику. Систем омогући филтрирање према крајњој радној станици. Систем омогући филтрирање према датуму или изабраном временском периоду. Систем омогући филтрирање према апликацији. Администратор има могућност комбиновања више критеријума приликом анализе података. Применом филтера систем ажурира садржај извештаја у складу са изабраним критеријумима. У домену упоредне анализе неопходно је да: Систем омогући упоредни преглед података за више корисника или крајњих радних станица. Администратор има могућност поређења активног и неактивног времена између одабраних корисника. Систем омогући поређење коришћења апликација између одабраних корисника или радних станица. Систем омогући поређење података из различитих временских периода. Упоредни приказ омогући једноставније идентификовање разлика и образаца у евидентираним активностима. У домену визуелизације података неопходно је да: Систем омогући графички приказ података садржаних у извештајима. Подаци о активном и неактивном времену буду доступни у визуелно разумљивом облику. Систем омогући графички приказ коришћења апликација. Систем омогући приказ трендова активности кроз изабрани временски период. Графички прикази буду повезани са примењеним критеријумима и филтерима извештаја. Администратор има могућност преласка са сумарног приказа на детаљније податке који чине приказану вредност. У домену извоза и дистрибуције извештаја неопходно је да: Систем омогући извоз генерисаних извештаја ради њиховог даљег коришћења ван Employee Activity Tracker решења. Администратор има могућност извоза извештаја у PDF формату. Администратор има могућност извоза табеларних података у CSV и/или XLSX формату. Извезени извештај садржи информације о периоду за који је генерисан и примењеним критеријумима. Извезени извештај задржи структуру и податке приказане у оквиру система. У домену периодичног извештавања неопходно је да: Систем омогући дефинисање извештаја који се генеришу периодично. Администратор има могућност дефинисања периода и критеријума за аутоматско генерисање извештаја. Систем омогући дневно, недељно и месечно генерисање извештаја. Периодични извештаји буду генерисани на основу унапред дефинисаних параметара без потребе за поновним ручним подешавањем критеријума. У домену контроле приступа извештајима неопходно је да: Приступ Advanced Report функционалности буде омогућен искључиво овлашћеним корисницима. Кориснику буду доступни искључиво подаци и извештаји за које поседује одговарајућа права приступа. Систем спречи неовлашћени приступ подацима о активностима других корисника и радних станица. Права приступа извештајима буду усклађена са дефинисаним административним правима у оквиру Employee Activity Tracker решења. Лиценца мора да омогући коришћење напредних механизама извештавања над подацима прикупљеним са крајњих радних станица које поседују одговарајућу Employee Activity Tracker Agent лиценцу. Лиценца мора да буде трајна (perpetual), са укљученом једногодишњом произвођачком подршком на најновије верзије, ревизије, ажурирања (update-ове) и исправке (patch-еве). Лиценца ТИП 3 - SafeViewer Employee Activity Tracker Agent Количина: 2.500 ком Неопходно је да лиценца омогући инсталацију и коришћење Employee Activity Tracker Agent компоненте на једној крајњој радној станици, у циљу евидентирања активности корисника и достављања прикупљених података у централизовано складиште којим управља организација Наручиоца. Агент мора да функционише као позадинска апликација на крајњој радној станици и да омогући прикупљање података о коришћеним апликацијама, активном и неактивном времену и периодичним снимцима екрана. Неопходно је да лиценца обухвати следеће функционалности: У домену инсталације и идентификације крајње радне станице неопходно је да: Једна лиценца омогући коришћење Employee Activity Tracker Agent компоненте на једној крајњој радној станици. Агент се извршава локално на крајњој радној станици и омогућава аутоматско евидентирање машине приликом покретања. Систем омогући идентификацију крајње радне станице на основу назива рачунара (hostname) и корисника. Агент омогући прикупљање информација о оперативном систему и његовој верзији, архитектури система и кориснику под којим је агент покренут. Агент омогући једнократно евидентирање листе покренутих процеса приликом покретања, укључујући идентификатор процеса, назив и путању процеса. У домену праћења активности корисника неопходно је да: Агент омогући праћење тренутно активног прозора на крајњој радној станици. Агент евидентира назив активног процеса и назив активног прозора. Систем евидентира догађај приликом промене активне апликације. Систем има могућност евидентирања промене наслова активног прозора, чиме је могуће препознати промену картице или документа у оквиру исте апликације. Евидентирани подаци о активности буду повезани са крајњом радном станицом са које су прикупљени. У домену праћења активног и неактивног времена неопходно је да: Агент омогући детекцију активног и неактивног стања корисника. Детекција активности буде заснована на присуству интеракције корисника путем миша и тастатуре. Детекција неактивности не сме да подразумева бележење конкретних тастера које корисник притиска или садржаја који корисник уноси. Систем евидентира прелазак корисника из активног у неактивно стање и обрнуто. Систем периодично евидентира стање активности корисника ради обезбеђивања континуитета података о активном и неактивном времену. Подразумевани праг за утврђивање неактивности буде 30 секунди. Подразумевани интервал периодичног евидентирања стања активности буде 15 секунди. У домену снимања екрана неопходно је да: Агент подржава периодично креирање снимака екрана крајње радне станице. Функционалност снимања екрана буде опциона и да постоји могућност њеног искључивања. Агент има могућност да прескочи креирање снимка екрана када је корисник неактиван. У случају прескакања снимања екрана због неактивности корисника, систем евидентира информацију о прескоченом снимању и разлогу. Подразумевани интервал креирања снимака екрана буде пет минута. Снимци екрана буду повезани са одговарајућом крајњом радном станицом како би се омогућио њихов централизовани преглед. У домену прикупљања и складиштења података неопходно је да: Агент прикупљене податке директно уписује у централизовану базу података. За рад агента није потребан посредни систем за размену порука или екстерни телеметријски сервис. Централизована база података омогући чување података са више лиценцираних крајњих радних станица. Сваки евидентирани догађај буде могуће повезати са одговарајућом крајњом радном станицом. Систем омогући чување података о променама активних апликација и прозора, активном и неактивном времену и снимцима екрана. Подаци буду смештени у бази података којом управља организација Наручиоца, без прослеђивања прикупљених података трећим странама. У домену приватности корисника неопходно је да: Агент не функционише као keylogger и не бележи конкретне тастере које корисник притиска. Агент не прикупља садржај текста који корисник уноси. Агент не прикупља корисничке лозинке. Агент не прикупља садржај фајлова који се налазе на крајњој радној станици. Агент не врши снимање садржаја мрежног саобраћаја. Агент за потребе праћења активности не прикупља хардверске идентификаторе, MAC адресе или IP адресе крајње радне станице. Неопходно је да се прикупљање података врши локално на крајњој радној станици посредством инсталираног агента, при чему исти агент врши прикупљање сигнала активности и њихово уписивање у централизовану базу података. Лиценца се везује за једну крајњу радну станицу, а подаци прикупљени посредством лиценцираног агента морају бити доступни за централизовани преглед кориснику који поседује одговарајућу Employee Activity Tracker Admin лиценцу. Лиценца мора да буде једногодишњег трајања (subscription), са укљученом једногодишњом произвођачком подршком на најновије верзије, ревизије, ажурирања (update-ове) и исправке (patch-еве). Лиценца ТИП 4 - SafeViewer Reverse Agent (SVRA) Количина: 2.500 ком Неопходно је да лиценца омогући инсталацију и коришћење Системa за управљање привилегованим приступима (PAM) Reverse Agent (SVRA) компоненте на једној крајњој радној станици, у циљу успостављања безбедне комуникације са Систем за управљање привилегованим приступима (PAM) платформом и омогућавања удаљеног приступа, надзора и управљања крајњом радном станицом. SVRA представља агентску компоненту Систем за управљање привилегованим приступима (PAM) платформе која се инсталира директно на крајњој радној станици. Агент иницира и одржава излазну WebSocket конекцију ка Систем за управљање привилегованим приступима (PAM) платформи, посредством које прима захтеве за извршавање дозвољених операција на крајњој радној станици. Овакав начин рада не захтева да агент функционише као сервер који очекује долазне конекције нити захтева port forwarding за основну комуникацију агента са платформом. Неопходно је да лиценца обухвати следеће функционалности: У домену инсталације и рада агента неопходно је да: SVRA буде инсталиран директно на крајњој радној станици којој је потребно омогућити удаљени приступ, надзор или подршку. Агент функционише независно од контејнерске инфраструктуре централне Систем за управљање привилегованим приступима (PAM) платформе. Агент омогући успостављање агентског начина рада Систем за управљање привилегованим приступима (PAM) платформе за крајњу радну станицу на којој је инсталиран. Агент буде у могућности да ради као системски сервис на подржаном оперативном систему. Агент омогући аутоматско покретање и континуирани рад у позадини на крајњој радној станици. Једна лиценца омогући инсталацију и коришћење SVRA компоненте на једној крајњој радној станици. У домену комуникације са Систем за управљање привилегованим приступима (PAM) платформом неопходно је да: Агент самостално иницира излазну WebSocket конекцију ка Систем за управљање привилегованим приступима (PAM) платформи. Агент одржава успостављену конекцију током рада. Захтеви Систем за управљање привилегованим приступима (PAM) платформе ка крајњој радној станици буду прослеђивани посредством успостављене комуникационе везе. Посредством успостављене комуникације буде могуће иницирати удаљену сесију, пренос фајлова, управљање креденцијалима и друге подржане операције. За основну комуникацију агента са Систем за управљање привилегованим приступима (PAM) платформом није неопходно излагање сервиса на крајњој радној станици нити конфигурисање port forwarding механизма. У домену стабилности комуникације неопходно је да: Агент подржава аутоматско поновно успостављање комуникације са Систем за управљање привилегованим приступима (PAM) платформом у случају прекида конекције. Механизам поновног повезивања користи постепено повећавање временског интервала између покушаја успостављања конекције, како би се избегло неконтролисано генерисање захтева у случају дуже недоступности платформе. Агент периодично доставља информације о свом стању и доступности централној платформи. Систем омогући утврђивање спремности агента за пријем и извршавање захтева са Систем за управљање привилегованим приступима (PAM) платформе. У домену удаљеног приступа и контроле – Remote Control Access (RCA) неопходно је да: Агент омогући успостављање удаљене интерактивне сесије са крајњом радном станицом. Овлашћени корисник Систем за управљање привилегованим приступима (PAM) платформе има могућност удаљеног прегледа екрана крајње радне станице. Систем омогући пренос приказа екрана крајње радне станице у реалном времену. Агент подржава успостављање континуираног медијског преноса посредством WebRTC технологије. Систем подржава прилагођавање квалитета и bitrate-а видео преноса условима комуникационе везе. Агент подржава пренос аудио сигнала током активне удаљене сесије. За пренос аудио сигнала буде подржано кодирање применом Opus аудио кодека. У домену удаљеног управљања крајњом радном станицом неопходно је да: Овлашћени корисник има могућност удаљеног управљања показивачем миша на крајњој радној станици. Овлашћени корисник има могућност удаљеног уноса путем тастатуре. Агент подржава прослеђивање HID команди ка крајњој радној станици. Удаљено управљање мишем и тастатуром буде синхронизовано са приказом екрана који корисник тренутно контролише. Агент подржава рад са крајњим радним станицама које користе више монитора. Овлашћени корисник има могућност избора монитора над којим се врши удаљени надзор и управљање. У домену безбедности и стабилности удаљене сесије неопходно је да: Агент садржи механизме за контролисано покретање и завршетак удаљене RCA сесије. Удаљена контрола буде доступна само у оквиру одговарајуће инициране и активиране сесије. Агент поседује failsafe механизам за спречавање неконтролисаног наставка удаљеног управљања након престанка важења или прекида сесије. Агент обезбеди стабилно извршавање паралелних операција потребних за приказ екрана и интеракцију са удаљеном радном станицом. У домену преноса фајлова неопходно је да: Агент омогући пренос фајлова између Систем за управљање привилегованим приступима (PAM) платформе и крајње радне станице. Систем подржава отпремање фајлова са стране овлашћеног корисника ка крајњој радној станици. Систем подржава преузимање фајлова са крајње радне станице. Пренос већих фајлова буде реализован поделом фајла на више делова (chunk-ова) и њиховим поновним састављањем на одредишту. Систем подржава пријем делова фајла независно од редоследа њиховог пристизања. Систем обезбеди проверу интегритета пренетог фајла применом SHA-256 механизма. Систем подржава поновни покушај слања дела фајла у случају неуспешног преноса. Систем омогући истовремено извршавање више операција преноса фајлова. Систем препозна постојање идентичног фајла на основу SHA-256 отиска како би се избегло непотребно поновно преношење истог садржаја. У домену управљања креденцијалима неопходно је да: Агент подржава иницирање промене лозинке корисничког налога на крајњој радној станици посредством Систем за управљање привилегованим приступима (PAM) платформе. На Windows оперативним системима промена лозинке буде извршена посредством системских механизама оперативног система. Функционалност управљања креденцијалима буде извршавана локално на крајњој радној станици посредством инсталираног SVRA агента. У домену Session Jump функционалности неопходно је да: Агент подржава Session Jump механизам за контролу и управљање одређеним процесима и сесијама на крајњој радној станици. Агент периодично проверава листу активних процеса потребних за реализацију Session Jump функционалности. Провера процеса буде аутоматизована и извршавана у позадини без потребе за ручним покретањем од стране корисника. У домену надзора стања агента неопходно је да: Агент периодично доставља Систем за управљање привилегованим приступима (PAM) платформи информације о свом тренутном стању. Систем подржава heartbeat механизам којим се потврђује доступност агента. Агент омогући достављање података о коришћењу системских ресурса и стању крајње радне станице. WebSocket комуникација остане активна током рада агента, уз минималан комуникациони саобраћај када нема активне удаљене сесије. У домену безбедности комуникације неопходно је да: Комуникација између агента и Систем за управљање привилегованим приступима (PAM) платформе буде заштићена применом шифрованог WebSocket транспортног канала. Агент подржава додатну заштиту порука које се размењују између крајње радне станице и Систем за управљање привилегованим приступима (PAM) платформе. Систем примењује вишеслојни механизам енкрипције порука као додатни ниво заштите комуникације. Примарна заштита поверљивости комуникације буде обезбеђена применом TLS заштићеног wss:// транспортног канала. У домену евиденције и дијагностике неопходно је да: Агент подржава локално логовање догађаја релевантних за рад агента и успостављене сесије. Систем примењује контролу величине локалних log фајлова како би се спречио неконтролисани раст заузећа диска. Агент омогући прикупљање информација неопходних за надзор стања и дијагностику рада агента. Неопходно је да архитектура агента омогући рад у позадини са минималним комуникационим саобраћајем када не постоји активна удаљена сесија, при чему се захтевнији механизми за пренос екрана, аудио сигнала и интерактивно управљање активирају када је покренута одговарајућа удаљена сесија. Лиценца се везује за једну крајњу радну станицу, односно за сваки рачунар на којем се инсталира и користи Систем за управљање привилегованим приступима (PAM) Reverse Agent неопходно је обезбедити засебну лиценцу. Лиценца мора да буде једногодишњег трајања (subscription), са укљученом једногодишњом произвођачком подршком на најновије верзије, ревизије, ажурирања (update-ове) и исправке (patch-еве). Лиценца ТИП 5 - SafeViewer Real Time Prevention Количина: 1 ком Неопходно је да лиценца омогући коришћење Real Time Prevention функционалности у оквиру Система за управљање привилегованим приступима (PAM) платформе, намењене за централизовани надзор радних станица и превентивно реаговање у реалном времену. Овлашћеном администратору мора бити омогућено повезивање на радне станице обухваћене системом, праћење активности које се на њима извршавају, преузимање удаљене контроле и предузимање одговарајућих превентивних активности у случају идентификованог безбедносног ризика или недозвољене активности. Неопходно је да лиценца обухвати следеће функционалности: У домену централизованог надзора радних станица неопходно је да: Администратор има могућност приступа Real Time Prevention функционалности кроз централизовани интерфејс Систем за управљање привилегованим приступима (PAM) платформе. Систем омогући приказ радних станица доступних за надзор и управљање. Администратор има могућност избора појединачне радне станице над којом жели да врши надзор. Систем омогући приказ тренутног статуса и доступности радне станице за успостављање сесије. Администратор има могућност увида у статус више радних станица обухваћених системом. Систем омогући јасну идентификацију радне станице над којом се врши надзор и управљање. У домену повезивања на радну станицу неопходно је да: Овлашћени администратор има могућност иницирања удаљене сесије према одабраној радној станици. Повезивање на радну станицу буде иницирано централизовано, посредством Систем за управљање привилегованим приступима (PAM) платформе. Приступ радној станици буде омогућен искључиво овлашћеним администраторима у складу са додељеним правима приступа. Систем омогући успостављање, одржавање и контролисани прекид активне сесије. Администратор има могућност ручног завршетка успостављене сесије. Прекид комуникације или завршетак сесије не сме да доведе до неконтролисаног задржавања приступа радној станици. У домену надзора у реалном времену неопходно је да: Администратор има могућност праћења активности на одабраној радној станици у реалном времену. Систем омогући приказ тренутног стања радне станице током активне сесије. Администратор има могућност визуелног праћења активности која се извршава на радној станици. Приказ активности буде континуирано ажуриран током трајања активне сесије. Администратор има могућност праћења активних апликација и процеса на радној станици. Систем омогући администратору да на основу приказаних активности идентификује недозвољене, неуобичајене или потенцијално ризичне активности. Надзор у реалном времену буде омогућен без потребе за физичким приступом радној станици. У домену удаљеног управљања радном станицом неопходно је да: Овлашћени администратор има могућност преузимања удаљене контроле над одабраном радном станицом. Администратор има могућност удаљеног управљања показивачем миша. Администратор има могућност удаљеног уноса путем тастатуре. Систем омогући интеракцију са оперативним системом и апликацијама на радној станици током активне сесије. Удаљено управљање буде доступно искључиво овлашћеним администраторима са одговарајућим правима приступа. Престанком или прекидом активне сесије буде онемогућено даље удаљено управљање радном станицом у оквиру те сесије. У домену превентивног реаговања неопходно је да: Администратор има могућност реаговања на уочене активности на радној станици током активне Real Time Prevention сесије. Администратор има могућност идентификације активних процеса и апликација на радној станици. Администратор има могућност удаљеног прекида одабраног активног процеса. Администратор има могућност удаљеног прекида рада одабране апликације. Администратор има могућност блокирања покретања или даљег коришћења одабране апликације када је она идентификована као недозвољена или потенцијално ризична. Администратор има могућност прекида активне корисничке сесије на одабраној радној станици. Администратор има могућност удаљеног закључавања одабране радне станице. Систем омогући администратору да прекине идентификовану ризичну активност без потребе за физичким приступом радној станици. Извршавање превентивне активности буде ограничено на радну станицу над којом администратор има одговарајућа права приступа. Предузимање превентивне активности над једном радном станицом не сме да утиче на рад осталих радних станица обухваћених системом. Превентивне активности буду доступне искључиво овлашћеним администраторима. У домену управљања активним сесијама неопходно је да: Администратор има увид у тренутно активне Real Time Prevention сесије. За сваку активну сесију буде могуће идентификовати радну станицу на коју је администратор повезан. Систем омогући контролисано завршавање активне сесије од стране овлашћеног администратора. Систем омогући прекид сесије у случају потребе за хитним реаговањем. Након завршетка сесије буде онемогућено даље извршавање активности над радном станицом у оквиру завршене сесије. У домену контроле приступа неопходно је да: Приступ Real Time Prevention функционалности буде ограничен на кориснике са одговарајућим административним правима. Систем омогући примену дефинисаних корисничких права приликом приступа радним станицама. Корисник без одговарајућих права не може да иницира Real Time Prevention сесију. Корисник без одговарајућих права не може да преузме удаљену контролу над радном станицом нити да извршава превентивне активности. Систем омогући контролисан приступ појединачним радним станицама у складу са правима додељеним администратору. Права за надзор и права за извршавање превентивних активности буду примењена у складу са дефинисаним правилима приступа Систем за управљање привилегованим приступима (PAM) платформе. У домену евидентирања и ревизије активности неопходно је да: Систем омогући евидентирање покретања и завршетка Real Time Prevention сесије. Евиденција омогући идентификацију администратора који је приступио радној станици. Евиденција омогући идентификацију радне станице над којом је сесија извршена. Систем евидентира време успостављања и завршетка сесије. Систем омогући евидентирање превентивних активности које је администратор предузео током сесије. За извршену превентивну активност буде могуће утврдити администратора који је активност извршио, радну станицу над којом је активност извршена, врсту активности и време њеног извршења. Евидентирани подаци буду доступни за потребе накнадне контроле и ревизије административних активности. У домену безбедности неопходно је да: Комуникација између Систем за управљање привилегованим приступима (PAM) платформе и радне станице буде успостављена посредством заштићеног комуникационог канала. Систем спречи неовлашћено иницирање Real Time Prevention сесија. Приступ функционалностима за надзор, удаљено управљање и превентивно реаговање буде условљен одговарајућим правима корисника. Систем обезбеди контролисано успостављање, одржавање и завршавање сесије. Превентивне активности над радном станицом буду извршаване искључиво у оквиру ауторизованог приступа. Лиценца мора да омогући овлашћеном администратору централизовани надзор радних станица, праћење активности у реалном времену, преузимање удаљене контроле и предузимање превентивних активности над радним станицама обухваћеним Систем за управљање привилегованим приступима (PAM) платформом, у складу са додељеним корисничким правима и дефинисаним правилима приступа. Лиценца мора да буде трајна (perpetual), са укљученом једногодишњом произвођачком подршком на најновије верзије, ревизије, ажурирања (update-ове) и исправке (patch-еве). Техничка документација: Уз понуду обавезно доставити технички документ (datasheet произвођача, потврда произвођача, потврда понуђача и сл.) којим се на јасан и недвосмислен начин може утврдити да ли понуђене софтверске лиценце у потпуности испуњавају све услове из конкурсне документације, односно све захтеване минималне техничке спецификације и карактеристике. Технички документ може бити на српском и енглеском језику. Напомена: Технички документ, Понуђачи су дужни да доставе/учитају уз понуду коју подносе преко Портала. Понуђач је дужан да: изврши испоруку, инсталацију и пуштање у рад лиценци, као и надоградњу постојећег система за управљање привилегованим приступима у складу са техничком спецификацијом и дефинисаним типовима лиценци; обезбеди произвођачку подршку за Систем за управљање привилегованим приступом у трајању од 12 месеци од дана потписивања Записника о извршеној испоруци, инсталацији и пуштању у рад лиценци и извршеној надоградњи система за управљање привилегованим приступима. Произвођачка подршка обухвата право на најновије верзије, ревизије, ажурирања (update-ове) и исправке (patch-еве). у оквиру гарантног рока, пружа техничку подршку путем е-поште и телефона 24х7 (24 сата дневно, седам дана у недељи), која обухвата пријем и анализу пријаве проблема, давање одговора на питања у вези са оптималним функционисањем софтверских лиценци, отклањање проблема у раду и, по потреби, комуникацију са произвођачем. У случају да је за отклањање проблема неопходна сервисна интервенција на локацији Наручиоца, Понуђач је дужан да је изврши у оквиру техничке подршке, ради утврђивања и отклањања насталог проблема. Рок за комплетно извршење испоруке, инсталације и пуштања у рад лиценци и надоградње система за управљање привилегованим приступима: максимум 60 (шестдесет) дана од дана ступања на снагу Уговора. Након успешно извршене испоруке, инсталације и пуштања у рад лиценци и надоградње система за управљање привилегованим приступима, представник Понуђача и овлашћено лице Наручиоца потписаће Записник о извршеној испоруци, инсталацији и пуштању у рад лиценци и извршеној надоградњи система за управљање привилегованим приступима.. Потписан Записник о извршеној испоруци, инсталацији и пуштању у рад лиценци и извршеној надоградњи система за управљање привилегованим приступима представља основ за издавање фактуре. Место испоруке, инсталације и пуштања у рад лиценци и надоградње система за управљање привилегованим приступима: Републички Фонд за пензијско и инвалидско осигурање, Дирекција, Др Александра Костића 9, Београд Период важења лиценци: - Лиценце ТИП 1, ТИП 2 и ТИП 5 морају бити трајне (perpetual), са укљученом једногодишњом произвођачком подршком на најновије верзије, ревизије, ажурирања (update-ове) и исправке (patch-еве). - Лиценце ТИП 3 и ТИП 4 морају бити једногодишњег трајања (subscription), са укљученом једногодишњом произвођачком подршком на најновије верзије, ревизије, ажурирања (update-ове) и исправке (patch-еве). Техничка подршка Понуђача за систем пружа се у оквиру гарантног рока, у трајању од 12 месеци од дана потписивања Записника о успешној испоруци, инсталацији и пуштању у рад лиценци и извршеној надоградњи система за управљање привилегованим приступима, путем е-поште и телефона 24х7 (24 сата дневно, седам дана у недељи). Рок за одзив по пријави проблема у раду лиценци: максимално 6 (шест) сати од тренутка пријаве квара (е-mail). Рок за отклањање проблема у раду лиценци: максимално 72 (седамдесетдва) сата од тренутка одзива по пријави квара. Гарантни рок: Гарантни рок за систем износи 12 месеци од дана потписивања Записника о успешној испоруци, инсталацији и пуштању у рад лиценци и извршеној надоградњи система за управљање привилегованим приступима. У гарантном року Понуђач гарантује исправан рад система након извршене надоградње и пружа техничку подршку у складу са овом техничком спецификацијом. OBRAZAC STRUKTURE CENE.docx ОБРАЗАЦ СТРУКТУРЕ ЦЕНЕ са упутством како да се попуни Надоградња система за управљање привилегованим приступима (PAM) Ред. бр Ставка Количина Јединична цена без ПДВ Јединична цена са ПДВ Укупна цена без ПДВ Укупна цена са ПДВ 1 2 3 4 5 6 7 1. Лиценца ТИП 1 - SafeViewer Employee Activity Tracker Admin 10 2. Лиценца ТИП 2 - SafeViewer Employee Activity Tracker Advanced Report 1 3. Лиценца ТИП 3 - SafeViewer Employee Activity Tracker Agent 2500 4. Лиценца ТИП 4 - SafeViewer Reverse Agent (SVRA) 2500 5. Лиценца ТИП 5 - SafeViewer Real Time Prevention 1 6. Услуга испоруке, инсталације и пуштања у рад лиценци и надоградња система за управљање привилегованим приступима 1 Укупно без ПДВ Укупно са ПДВ Напомена: У понуђену цену су укључени сви трошкови који настају по основу извршења предметне набавке. Понуђене лиценце на позицијама 1, 2 и 5 морају бити трајне (perpetual), са укљученом једногодишњом произвођачком подршком на најновије верзије, ревизије, ажурирања (update-ове) и исправке (patch-еве). Понуђене лиценце на позицијама 3 и 4 морају бити једногодишњег трајања (subscription), са укљученом једногодишњом произвођачком подршком на најновије верзије, ревизије, ажурирања (update-ове) и исправке (patch-еве). Упутство за попуњавање обрасца структуре цене: Понуђач треба да попуни образац структуре цене на следећи начин: У колону 4. уписати колико износи јединична цена без ПДВ У колону 5. уписати колико износи јединична цена са ПДВ У колону 6. уписати колико износи укупна цена без ПДВ У колону 7. уписати колико износи укупна цена са ПДВ На крају уписати укупну цену без ПДВ и укупан износ са ПДВ. Напомена: Укупна понуђена вредност лиценци не може бити већа од 86.400.000,00 динара без ПДВ, Понуђена вредност услуге испоруке, инсталације и пуштања у рад лиценци и надоградње система за управљање привилегованим приступима не може бити већа од 9.600.000,00 динара без ПДВ. Kriterijumi za dodelu ugovora.pdf КРИТЕРИЈУМИ ЗА ДОДЕЛУ УГОВОРА И ОСТАЛИ ЗАХТЕВИ НАБАВКЕ 1 Наручилац: Републички фонд за пензијско и инвалидско осигурање 105356542 Назив поступка: Надоградња система за управљање привилегованим приступима (ПАМ) Референтни број: 124/2026 КРИТЕРИЈУМИ ЗА ДОДЕЛУ УГОВОРА И ОСТАЛИ ЗАХТЕВИ НАБАВКЕ Део конкурсне документације који је генерисан путем Портала у случају када је наручилац означио опцију аутоматског рангирања понуда на Порталу јавних набавки Назив предмета / партије: Надоградња система за управљање привилегованим приступима (ПАМ) Наручилац је дефинисао критеријуме за доделу уговора на основу: Цене Изабран начин рангирања прихватљивих понуда: Аутоматско рангирање Остали захтеви набавке (који нису наведени изнад као критеријуми) Назив: Рок испоруке Јединица мере: дан Ограничења: Ограничена је минимална вредност коју понуђач може да понуди Ограничена је максимална вредност коју понуђач може да понуди Максимална дозвољена вредност: 60,00 Напомена: У овом делу наведени су остали захтеви набавке који нису претходно наведени као критеријуми за доделу уговора, а понуђач мора на њих да одговори приликом попуњавања електронског обрасца понуде. Ти захтеви могу да се односе на захтеве набавке, које наручилац сматра релевантним за закључење уговора и који се могу нумерички исказати- Резервни критеријуми У случају да постоје две или више понуда са исом понуђеном укупном ценом, између ових понуда као најповољнија понуда биће изабрана она понуда понуђача који понуди краћи рок испоруке. Примена жреба Уколико након рангирања на основу критеријума за доделу и резервних критеријума (ако су дефинисани) није могуће донети одлуку о додели уговора, наручилац ће уговор доделити понуђачу који буде извучен путем жреба. Наручилац ће обавестити све понуђаче који су поднели понуде о датуму када ће се одржати извлачење путем жреба. Жребом ће бити обухваћене само оне понуде које су најповољније након рангирања на основу критеријума за доделу и резервних критеријума (ако су дефинисани). Извлачење путем жреба наручилац ће извршити јавно, у присуству понуђача, и то тако што ће називе понуђача исписати на одвојеним папирима, који су исте величине и боје, те ће све те папире ставити у провидну кутију одакле ће прво извући само један папир. Понуђачу чији назив буде на извученом папиру ће бити додељен уговор. Након извлачења првог папира наручилац извлачи преостале папире један по један те сходно редоследу којим су извучени рангира преостале понуђаче. Понуђачима који не присуствују овом поступку, наручилац ће доставити записник извлачења путем жреба. MODEL UGOVORA.docx МОДЕЛ УГОВОРА ЗА НАБАВКУ ДОБАРА – Надоградња система за управљање привилегованим приступима (PAM) ЗАКЉУЧЕН ИЗМЕЂУ: 1. Републичког фонда за пензијско и инвалидско осигурање, Београд, Ул. Др Александра Костића бр. 9, кога заступа директор Реља Огњеновић Матични број: 17715780 ПИБ: 105356542 текући рачун број: 840-1652-22, који се води код Управе за трезор (у даљем тексту: Наручилац) и 2.______________________ул._______________бр.___, кога заступа директор__________________ Матични број: ______________ ПИБ број: __________________ Број рачуна: __________________________________ који се води код ___________ Наступа заједнички са, ______________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________ Наступа са подизвођачем, ________________________________________