Microsoft proširenje licenci

Tehničke specifikacije D-119-2026.docx VRSTA, TEHNIČKE KARAKTERISTIKE, KVALITET, KOLIČINA I OPIS DOBARA, RADOVA ILI USLUGA, NAČIN SPROVOĐENJA KONTROLE I OBEZBEĐIVANJA GARANCIJE KVALITETA, ROK IZVRŠENJA, MESTO IZVRŠENJA ILI ISPORUKE DOBARA, EVENTUALNE DODATNE USLUGE I SL. Predmet nabavke je: Microsoft – proširenje licenci, sledećih tehničkih karakteristika: Tehnička specifikacija Majkrosoft licenciranje – isporuka licenci i usluga Predmet nabavke je isporuka dobara: Microsoft licenci, Microsoft podržanih licenci i usluga nad platformama i integrisanom infrastrukturom, sve sa ciljem unapređenja bezbednosti podataka, nadzora, reakcije i upravljanja događajima u slučaju da se desi sajber sigurnosni incident. Zaštita ICT sistema Srbijagasa (Naručioca) zasnovana na savremenoj Microsoft bezbednosnoj platformi neophodno je da se realizuje kroz objedinjenu naprednu detekciju, prevenciju i odgovora na pretnje kroz integrisani ekosistem rešenja kao što su Microsoft Sentinel, Microsoft Defender i Microsoft Copilot for Security, uz licencni model Microsoft 365 E5&E7. Realizovan proširen sistem potrebno je da omogući centralizovanu vidljivost nad celokupnim ICT okruženjem, uključujući krajnje tačke, identitete, aplikacije i mrežnu infrastrukturu. Postojeća i planska proširena predmetna platforma treba da koristi naprednu analitiku i veštačku inteligenciju za korelaciju incidetnih događaja u realnom vremenu, a u cilju ubrzanja identifikacija sofisticiranih napada i smanjenja vremena reakcije bezbednosnih timova. Implementacijom automatizacije odgovora na incidente i orkestracijom bezbednosnih procesa i organizacije neophodno je da se postigne viši nivo operativne efikasnosti i konzistentnosti u zaštiti informacionih i SCADA sistema JP Srbijagas. Dodatno, planirana integracija generativne AI kroz Copilot for Security potrebno je da omogući bezbedonosnim analitičarima kompanije da brže razumeju kontekst pretnji, generišu preporuke i sprovode istrage uz znatno manji napor, čime se unapređuje ukupna otpornost sistema na savremene sajber rizike. Iako je predmetna platforma, jedna od najsavremenijih, potrebno je u potpunosti implementirati sve funkcionalnosti Microsoft 365, postojećih i planskih E5 i E7 liceni te integrisati sve njene delove, kao i dokupiti komponente koje će umanjiti rizike po bezbednost IT i SCADA infrastrukture Naručioca. U tu svrhu, predmetna javna nabavka je neophodno da obuhvati: Isporuku Microsoft licenci i Microsoft Azure kredita Isporuku Microsoft podržanih licenci Uslugu implementacije Microsoft 365 servisa Usluga učlanjenja u Microsoft domen, reinstalacije i migracije korisničkih naloga Usluga Tiering Microsoft AD okruženja za industrijske ICT sisteme Usluga analize logova Microsoft i druge infrastrukture sa digitalnom forenzikom Isporuka Microsoft licenci i Microsoft Azure kredita Za potrebe licenciranja Microsoft proizvoda i Azure servisa, potrebno je kroz predmetnu javnu nabaku i proširenje postojećeg ugovora sa kompanijom Microsoft (broj ugovora 58778685 od 01. avgusta 2024.) , o količinskom licenciranju isporučiti licence i kredite u skladu sa tabelom: br SKU Naziv Opis Količina 1. 6QK-00001 Azure prepayment Azure prepayment kredit 20.000 2. EP2-79866 M365 E7 FUSL SU M365 E5 Nadogradnja (step up) sa Microsoft 365 E5 na Microsoft 365 E7 licencu 10 3. AAD-33168 M365 E5 Microsoft 365 E5 100 4. 9EM-00265 Win Server Standard Core LSA 16L Microsoft Windows Server Standard 16 Cores 30 5. MX3-00115 Visual Studio Ent MSDN Trajna licenca za Visual Studio Enterprise IDE u paketu sa pretplatom - Azure DevOps – Basic + Test Plans - $150 Azure credit per month - Premium development/test software - Extended training and support - Power BI Pro 1 Rokovi i način plaćanja Rok isporuke: Rok za isporuku predmetnih dobara je maksimalno 20 (dvadeset) dana od dana zaključenja ugovora. Način isporuke dobara: Isporuka licenci vršiće se u pisanom obliku na odgovarajućem dokumentu potpisanom od strane ovlašćenog lica ponuđača ili na standardnim dokumentima proizvođača softvera kao i dostavljanjem elektronske pošte od strane proizvođača na elektronsku adresu ovlašćenog lica naručioca preko koje će moći da se ostvari elektronski pristup delu Microsoft sajta sa predmetnim licencama. Naručilac će zapisnički konstatovati da li su licence koje su predmet javne nabavke isporučene u skladu sa Ugovorom i Tehničkom specifikacijom. Garantni rok: Garantni rok za isporučene licence mora biti usklađen sa trajanjem postojećeg uovora, odnosno minimalno do 01. avgusta 2027. godine za stavke 1.1 do 1.5, od dana potpisivanja Zapisnika o primopredaji dobara. Greške u kvalitetu (Reklamacija) U slučaju zapisnički utvrđenih nedostataka u količini i kvalitetu dobara, Dobavljač mora iste zameniti i isporučiti u roku ne dužem od 20 (dvadeset) dana od dana potpisivanja Zapisnika o primopredaji dobara. Način plaćanja: Naručilac se obavezuje da će izabranom ponuđaču / Dobavljaču izvršiti plaćanje za isporučena dobra (Microsoft licence) platiti u celosti, u roku od 30 (trideset) dana od prijema uredne dokumentacije – obostrano potpisanog zapisnika o isporuci i fakture. Isporuka Microsoft podržanih licenci Ovom nabavkom je obuhvaćena isporuka Microsoft podržanih licenci, za potrebe unapređenja bezbednosti firewall i WAN infrastrukture Naručioca, po standardu Microsoft Tier modela, u skladu sa tabelom: RB. Specifikacija Količina 2.1 Microsoft podržane licence za Hub firewall, tip 1 2 isporuka licenci i produžetak tehničke podrške za Hub firewall uređaj, tip 1 model FortiGate 1101E uz platformu je potrebno da budu isporučene UTP licence koje obezbeđuju softversku podršku proizvođača (24x7x365) u trajanju od minimalno 24 meseca 2.2 Microsoft podržane licence za Hub firewall, tip 2 2 isporuka licenci i produžetak tehničke podrške za Hub firewall uređaj, tip 2 modela FortiGate 601E uz platformu je potrebno da budu isporučene UTP licence koje obezbeđuju softversku podršku proizvođača (24x7x365) u trajanju od minimalno 24 meseca 2.3 Microsoft podržana licenca za Branch firewall uređaj, tip 1 1 isporuka licenci i produžetak tehničke podrške za Branch firewall uređaj, tip 1 modela FortiGate 100F uz platformu je potrebno da budu isporučene UTP licence koje obezbeđuju softversku podršku proizvođača (24x7x365) u trajanju od minimalno 24 meseca 2.4 Microsoft podržane licence za Branch firewall uređaj, tip 2 4 isporuka licenci i produžetak tehničke podrške za Branch firewall uređaj, tip 2 modela FortiGate 60F uz platformu je potrebno da budu isporučene UTP licence koje obezbeđuju softversku podršku proizvođača (24x7x365) u trajanju od minimalno 24 meseca. 2.5 Microsoft podržana licenca za platformu za centralizovano upravljanje mrežnim bezbedonosnim uređajima 1 · Platforma je potrebno da podržava centralizovano upravljanje Next Generation firewall uređajima, uz mogućnost podrške za svičeve i bežične access point uređaje. · Platforma je potrebno da ima kompatibilnost sa postojećim firewall uređajima u sistemu Naručioca. · Platforma je potrebno da podržava centralizovano upravljanje mrežnih uređaja i sigurnosnim polisama. · Platforma je potrebno da podržava centralizovanu distribuciju sigurnosnih baza i signatura. · Platforma je potrebno da podržava automatizaciju konfiguracija, pravljenja rezervnih kopija (revizija) i softverskih i sigurnosnih ažuriranja. · Platforma je potrebno da podržava ZTP implementacije NGFW uređaja koji su predmet produžetka održavanja. · Platforma je potrebno da podržava minimalno 12 mrežnih kartica. · Platforma je potrebno da podržava minimalno 100 Next Generation firewall uređaja i/ili virtuelnih domena na firewall uređajima. · Platforma je potrebno da podržava konfiguraciju i monitoring minimalno 2000 svičeva i 5000 access point uređaja. · Platforma je potrebno da podržava sakupljanje log-ova i event-ova sa mrežnih uređaja u količini od 10 GB dnevno. · Platforma je potrebno da podržava integraciju sa monitoring alatom koji obezbeđuje funkcionalnosti syslog-a, SIEM-a i SoC reporting-a. · Platforma je potrebno da podržava REST API, skriptove, CLI interfejs i konektore za integraciju sa drugim sigurnosnim sistemima radi smanjenja složenosti rada. · Platforma je potrebno da podržava punu vidljivost, pristup i upravljanje Next Generation firewall uređajima, interfejsima, skriptama, šablonima, automatizacijom, korisnicima i podešavanjima. · Platforma je potrebno da podržava nadgledanje opšteg stanja firewall uređaja kroz podesive grafičke prikaze (dashboards, widgets), uključujući iskorišćenost resursa, mrežni status, rutiranje, DHCP, IPSec i SSL VPN. · Platforma je potrebno da podržava zero trust network access pravila i polise. · Platforma je potrebno da podržava konektor za povezivanje ka centralnom sistemu za upravljanje sigurnosti na klijentskim uređajima koji je predmet ponude. · Platforma je potrebno da podržava redundantan rad (High Availability). · Platforma je potrebno da podržava kompatibilnost sa hipervizorima: VMware ESXi, Microsoft Hyper-V Server, Open Source XenServer i Linux KVM. · Platforma je potrebno da podržava instalaciju na minimalnoj hardverskoj konfiguraciji: 4 vCPU, 16 GB RAM, 500 GB disk prostora, bez limita na korišćenje hardverskih resursa. Hardver i hipervizor obezbeđuje Naručilac i nisu predmet nabavke. · Uz platformu je potrebno da budu isporučene odgovarajuće licence za softversku podršku proizvođača (24x7x365) u trajanju od najmanje 12 meseci. 2.6 Microsoft podržana licenca za platformu za centralizovano prikupljanje i analizu logova sa mreže 1 · Platforma je potrebno da podržava centralizovano nadgledanje i vidljivost događaja u mreži. · Platforma je potrebno da podržava detekciju naprednih pretnji i ranjivosti (vulnerabilities), sa korelacijom događaja i podataka iz log-ova. · Platforma je potrebno da podržava kompatibilnost sa firewall uređajima nove generacije (NGFW), svičevima i WLC (wireless controller) uređajima koji su instalirani u mreži Naručioca. · Platforma je potrebno da podržava kompatibilnost sa mrežnim uređajima ostalih proizvođača putem syslog protokola, uz SIEM funkcionalnosti. · Platforma je potrebno da podržava automatizaciju u cilju uštede vremena, smanjenja grešaka i povećanja efikasnosti rada. · Platforma je potrebno da podržava instalaciju kao softverska platforma na minimalno sledećim hipervizor sistemima u okviru privatnog cloud-a: VMware ESX/ESXi, Microsoft Hyper-V Server, Open Source XenServer i Linux KVM. · Platforma je potrebno da podržava instalaciju u okviru minimalno sledećih javnih cloud okruženja: Microsoft Azure, Google Cloud Platform (GCP), Oracle Cloud Infrastructure (OCI), AliCloud i Amazon Web Services (AWS). · Platforma je potrebno da podržava obradu minimum 25GB log-ova dnevno, uz mogućnost povećavanja dnevnog kapaciteta obrade log-ova putem dodatnih licenci, kroz stekabilni model licenciranja sa trajnom licencom za virtuelnu mašinu. · Platforma je potrebno da sadrži servis zaštite zasnovan na indikatorima kompromitacije (Indicators of Compromise – IoC), putem dodatne licence, pri čemu servis mora da obuhvata najmanje sledeće funkcionalnosti: forenzičke podatke za minimalno 500.000 indikatora dnevno, koji omogućavaju identifikaciju prisustva sumnjivih elemenata u mreži ili operativnom sistemu sa visokom pouzdanošću da predstavljaju zlonamerne infekcije ili upade, kao i istorijsko ponovno skeniranje log-ova u cilju istraživanja pretnji. · Platforma je potrebno da sadrži servis za zaštitu od novootkrivenih sigurnosnih pretnji putem dodatne licence, pri čemu servis mora da obuhvata najmanje detekciju najnovijih malware pretnji i sumarne podatke o načinu njihovog funkcionisanja. · Platforma je potrebno da sadrži servis za sigurnosnu automatizaciju, pri čemu servis mora da obuhvata najmanje ugrađeni menadžment za upravljanje akcijama u slučaju sigurnosnih incidenata, konektore i playbook-ove. · Platforma je potrebno da podržava prikupljanje log-ova i događaja sa minimalno 10.000 uređaja ili virtuelnih domena. · Platforma je potrebno da podržava instalaciju na hardverskom sistemu sa minimalno 4 vCPU, 16 GB memorije i 500 GB prostora na disku. Hardverski sistem i hipervizor na kome će se instalirati virtuelizovana platforma obezbeđuje Naručilac i nisu predmet ove nabavke. · Platforma je potrebno da podržava detekciju u realnom vremenu naprednih sigurnosnih pretnji (Advanced Persistent Threats – APT), detekciju ranjivosti za NGFW uređaje, kao i integraciju sa drugim sigurnosnim sistemima, kao što su sigurnosni klijenti na računarima, sandbox sistemi, Web sigurnosni sistemi i email sigurnosni sistemi, radi obezbeđivanja duboke vidljivosti i pregleda kritičnih elemenata mreže. · Platforma je potrebno da podržava istraživanje sumnjivih obrazaca saobraćaja i pretragu korišćenjem filter-a sa predefinisanim ili podesivim parametrima, u cilju generisanja notifikacija u realnom vremenu i nadgledanja aktivnosti za mrežni i sigurnosni operativni centar, SD-WAN, IPS (Intrusion Prevention System), sigurnosne klijente i SSL VPN. · Platforma je potrebno da podržava multi-tenancy funkcionalnost sa odvajanjem u zasebne administrativne domene, tako da svaki domen ima svoje administratore i korisnike, kao i polise arhiviranja i analitike log-ova zasnovane na vremenu i administrativnom domenu, uz podršku za automatsko upravljanje kvotama na osnovu definisanih polisa. · Platforma je potrebno da podržava rad u režimu analizatora ili isključivo u režimu kolektora log-ova, pri čemu je u režimu kolektora primarni zadatak prikupljanje i prosleđivanje log-ova povezanih uređaja ka drugom analizatoru, kao i arhiviranje log-ova. · Platforma je potrebno da podržava prikupljanje log-ova, njihov pregled u realnom vremenu i istorijski pregled. Pregled log-ova mora da omogući prikaz sumarnih informacija koje se odnose na mrežne aktivnosti, rizike, ranjivosti, pokušaje napada, indikatore kompromitovanosti, anomalije, kao i sankcionisane i nesankcionisane aktivnosti korisnika. · Platforma je potrebno da podržava generisanje izveštaja koji obezbeđuju sveobuhvatnu analizu sigurnosnih aspekata sistema. · Platforma je potrebno da podržava minimalno 60 tipova izveštaja i minimalno 1.800 grafičkih dijagrama, setova podataka i makroa. · Platforma je potrebno da podržava prosleđivanje log-ova u realnom vremenu ili bliskom realnom vremenu, kako log-ovi pristižu sa mrežnih uređaja, ka drugom sistemu za analizu. · Uz platformu je potrebno da budu isporučene odgovarajuće licence za softversku podršku proizvođača (24x7x365) u trajanju od najmanje 12 meseci. 2.7 Microsoft podržana licenca za platformu za upravljanje VPN/ZTNA endpoint 1 Ponuđena licenca za Platformu mora da ispunjava sledeće funkcionalne zahteve: · Menadžment platforma mora da podrži on-premises deployment, pri čemu se menadžment komponenta nalazi u infrastrukturi Naručioca. · Podrška za centralizovanu instalaciju, konfiguraciju i upravljanje endpoint agent-ima. · Podrška za kreiranje i primenu različitih konfiguracionih profila i politika nad grupama endpoint uređaja. · Podrška za centralizovano upravljanje Remote Access VPN konfiguracijom endpoint agent-a. · Podrška za IPsec VPN udaljeni pristup. · Podrška za upotrebu MFA (Multi-Factor Authentication) prilikom uspostavljanja Remote Access VPN konekcije. MFA tokeni ne moraju biti sastavni deo ponuđene endpoint licence i mogu biti obezbeđeni kroz zasebno rešenje. · Podrška za Always-On VPN funkcionalnost, kojom se može obezbediti automatsko uspostavljanje sigurne VPN konekcije u skladu sa definisanom politikom. · Podrška za Zero Trust Network Access (ZTNA) funkcionalnost za kontrolisani pristup aplikacijama i resursima. · Podrška za prikupljanje informacija o bezbednosnom stanju endpoint uređaja (device posture) i njihovo korišćenje prilikom donošenja odluke o pristupu resursima. · Podrška za kontinuiranu proveru stanja endpoint uređaja tokom korišćenja VPN/ZTNA pristupa. · Podrška za upotrebu endpoint sertifikata u okviru ZTNA mehanizma za identifikaciju i verifikaciju upravljanih endpoint uređaja. · Podrška za definisanje dinamičkih oznaka ili ekvivalentnog mehanizma kojim se endpoint uređaji klasifikuju na osnovu ispunjenosti definisanih security posture uslova. · Podrška za prosleđivanje informacija o stanju endpoint uređaja mrežnom bezbednosnom rešenju, kako bi se omogućila primena različitih pravila pristupa u zavisnosti od security posture statusa endpoint-a. · Podrška za integraciju sa firewall rešenjem koje predstavlja VPN gateway i/ili ZTNA application gateway. Firewall rešenje je predmet iste nabavke. · Podrška za kontrolu pristupa resursima na osnovu kombinacije identiteta korisnika i bezbednosnog stanja endpoint uređaja. · Podrška za centralizovano upravljanje VPN i ZTNA konfiguracijama bez potrebe da korisnik ručno konfiguriše parametre na endpoint agent-u. · Podrška za automatsku distribuciju promena konfiguracije sa menadžment platforme ka upravljanim endpoint uređajima. · Podrška za centralizovani pregled statusa upravljanih endpoint uređaja i njihove povezanosti sa menadžment platformom. · Podrška za prikupljanje endpoint telemetry podataka i njihovu upotrebu za vidljivost i kontrolu pristupa. · Podrška za Vulnerability Agent funkcionalnost i identifikaciju poznatih ranjivosti na upravljanim endpoint uređajima. · Podrška za vulnerability remediation funkcionalnost kojom se omogućava upravljanje otkrivenim ranjivostima sa centralne platforme. · Podrška za Web Filtering funkcionalnost na endpoint uređajima, nezavisno od lokacije na kojoj se endpoint nalazi. · Podrška za centralizovano log-ovanje i izveštavanje o aktivnostima endpoint agent-a, VPN/ZTNA pristupu i stanju upravljanih endpoint uređaja. · Podrška za pretragu i pregled log-ova i relevantnih događaja sa upravljanih endpoint uređaja. · Podrška za integraciju sa rešenjem za centralizovano prikupljanje i analizu log-ova koje je predmet iste nabavke. · Podrška za integraciju sa infrastrukturom Naručioca za identifikaciju korisnika i primenu pristupnih politika na osnovu korisnika i/ili grupe kojoj korisnik pripada. · Podrška za Single Sign-On Mobility Agent ili ekvivalentnu funkcionalnost za prosleđivanje informacija o prijavljenom korisniku drugim komponentama bezbednosne infrastrukture. · Endpoint agent mora da omogući jedinstveni način pristupa korporativnim resursima korisnicima koji se nalaze u lokalnoj mreži Naručioca i korisnicima koji pristupaju resursima sa udaljenih lokacija, u skladu sa definisanim politikama pristupa. · Menadžment platforma mora da omogući organizaciju endpoint uređaja u grupe i primenu različitih politika u zavisnosti od pripadnosti uređaja odgovarajućoj grupi. · Podrška za upravljanje različitim verzijama endpoint agent-a i centralizovano sprovođenje nadogradnje upravljanih agent-a. · Podrška za definisanje politika kojima se kontroliše ponašanje endpoint agent-a i mogućnosti krajnjeg korisnika da menja bezbednosno relevantna podešavanja. · Podrška za centralizovanu vidljivost software inventory podataka sa upravljanih endpoint uređaja. · Ponuđeno rešenje mora da podržava rad u on-premises okruženju bez uslovljavanja Naručioca korišćenjem cloud-hosted menadžment platforme. · Ponuđena licenca mora da obezbedi korišćenje traženih VPN/ZTNA funkcionalnosti na najmanje 500 endpoint uređaja, u trajanju od najmanje 12 meseci. · Ponuđeno rešenje mora da uključi proizvođačku tehničku podršku za menadžment platformu i endpoint agent-e u trajanju od najmanje 12 meseci. Na slici 1 prikazano je postojeće logičko stanje mrežne infrastrukture Naručioca sa centralnim i udaljenim lokacijama, kao i najznačajnijim komponentama sistema. Slika 1 - Prikaz stanja mrežne infrastrukture Isporukom Microsoft podržanih licenci potrebno je unaprediti bezbednost firewall i WAN arhitekture po standardu Microsoft Tier modela, podrazumeva se uspostavljanje jedinstvenog modela firewall zaštite na centralnim i udaljenim lokacijama Naručioca kroz standarde Microsoft Tier modela, uz zadržavanje i unapređenje postojeće infrastrukture u Novom Sadu. Na slici 2 je logički predstavljeno željeno stanje mrežne infrastrukture Naručioca sa najbitnijim komponentama sistema. Slika 2 - Prikaz željenog stanja mrežne infrastrukture Platforme je potrebno integrisati sa postojećom i novom mrežnom bezbednosnom infrastrukturom Naručioca, uz uspostavljanje inicijalne strukture upravljanja, logovanja, administrativnih prava, organizacije uređaja i osnovnih pravila za njihov dalji rad. Usluga treba da obuhvati aktivnosti neophodne za uspostavljanje ciljne firewall i WAN arhitekture, unapređenje postojećih bezbednosnih politika, implementaciju novih uređaja na udaljenim lokacijama, integraciju sa sistemima za centralizovano upravljanje i analizu logova, kao i implementaciju endpoint management rešenja. Rokovi i način plaćanja Rok za isporuku dobara - licenci koje su predmet nabavke je najviše 45 radnih dana od dana zaključenja ugovora, o čemu će Naručilac i Izabrani ponuđač / Izvršilac saglasno sastaviti zapisnik o kvantitativnoj i kvalitativnoj isporuci predmetnih dobara. Zapisnik o izvršenoj isporuci mora biti potpisan od strane predstavnika Naručioca i Dobavljača. Izabrani Ponuđač je u obavezi da u roku od 30 dana od dana nabavke licenci od proizvođača izvrši inicijalizaciju platformi za centralizovano upravljanje mrežnim bezbednosnim uređajima, centralizovano prikupljanje i analizu logova i endpoint menadžment VPN/ZTNA platforme. Inicijalizacija podrazumeva instalaciju i aktivaciju platformi, primenu osnovnih sistemskih, administrativnih i bezbedonosnih podešavanja, kao i pripremu platformi za integraciju sa svim postojećim mrežnim bezbednosnim uređajima Naručioca. O izvršenim aktivnostima izabrani Ponuđač je u obavezi da Naručiocu dostavi odgovarajuće dokumente prijemnog ispitivanja i izvedenog stanja implementacije mrežne opreme na lokacijama Naručioca. Obaveza Naručioca je da: blagovremeno obezbedi potrebne informacije o postojećoj infrastrukturi i konfiguracijama koje su neophodne za realizaciju usluge; obezbedi odgovarajuće sistemske, mrežne i administrativne preduslove za instalaciju i rad platformi; obezbedi stručno osoblje koje će učestvovati u usaglašavanju konfiguracije i verifikaciji realizovanih aktivnosti; blagovremeno obezbedi potrebna interna odobrenja za sprovođenje dogovorenih izmena; obezbedi udaljeni ili lokalni pristup stručnom osoblju Izabranog Ponuđača, u zavisnosti od prirode aktivnosti koje se sprovode; obezbedi potrebnu koordinaciju sa ostalim učesnicima čiji sistemi ili aktivnosti mogu biti preduslov za realizaciju usluge. Garantni rok: Garantni rok za isporučene licence mora biti minimalno 24 (dvadeset četiri) meseca za stavke 2.1 do 2.4, odnosno minimalno 12 (dvanaest) meseci za stavke 2.5 do 2.7, od dana potpisivanja Zapisnika o primopredaji dobara. Mesto isporuke dobara: Isporuka dobara vršiće se u objektu Naručioca, na adresi Bulevar oslobođenja 69, Novi Sad, ili na drugim lokacijama Naručioca na teritoriji Republike Srbije. Instalacije, implementacije, obuke i dodatna podrška će se vršiti u objektu Naručioca, na adresi Bulevar oslobođenja 69, Novi Sad, kao i na drugim lokacijama, u skladu sa potrebama Naručioca, ili udaljenim pristupom ako je to tehnički moguća. Rok i način plaćanja: Naručilac je dužan izvršiti plaćanje u roku od 30 (trideset) dana od dostavljanja uredne fakture i Zapisnika o isporuci opreme i licenci. Usluga implementacije Microsoft 365 servisa Naručilac poseduje Enterprise ugovor o Microsoft licenciranju, koji uključuje i M365 E5 licence, a ovom nabavkom je obuhvaćena isporuka dodatnih M365 E5 i M365 E7 licenci. Servisi obuhvaćeni ovim licencnim paketima trenutno su implementirani delimično i neujednačeno, pri čemu nivo zrelosti implementacije varira i po pojedinačnom servisu i po poslovnom okruženju. Uslugom implementacije Microsoft servisa u poslovnim okruženjima Naručioca u Novom Sadu i Beogradu potrebno je realizovati radove radi maksimalnog iskorišćenja M365 E5 i M365 E7 licenci. Opis usluge Izabrani Ponuđač dužan je da u roku od 2 (dva) meseca od datuma potpisivanja ugovora implementira, integriše u kompletno poslovno okruženje Naručioca sledeće Microsoft servise u skladu sa poslovnim potrebama Naručioca: Microsoft Entra ID (Azure AD) Microsoft Teams Microsoft Intune Microsoft OneDrive for Business Microsoft Defender for Identity Microsoft Defender for Servers Microsoft Sentinel Microsoft Entra ID treba da bude konfigurisan na način da za identitete u potpunosti podržava višefaktorsku autentikaciju, Microsoft Entra ID Protection i Conditional Access politike pristupa, definisane na osnovu lokacije, tipa uređaja i nivoa rizika, čime se obezbeđuje da osetljivim resursima pristupaju isključivo usklađeni i prepoznati korisnici. Microsoft Teams i Microsoft OneDrive for Business treba da budu u punoj proizvodnoj upotrebi, sa uspostavljenom organizacionom strukturom timova i kanala, definisanim politikama gostujućeg pristupa za eksterne saradnike i primenom DLP pravila kroz Microsoft Purview, radi sprečavanja nenamernog ili neovlašćenog deljenja poverljivih podataka. Microsoft Intune treba implementirati tako da predstavlja centralnu platformu za upravljanje svim korisničkim uređajima u oba poslovna okruženja, sa završenim enrollment-om uređaja, definisanim politikama usklađenosti i Conditional Access pravilima koja omogućavaju pristup poslovnim resursima isključivo sa usklađenih uređaja. Microsoft Defender for Identity i Microsoft Defender for Servers treba da budu u potpunosti implementirani i operativni u oba poslovna okruženja — Novi Sad i Beograd — obezbeđujući ujednačenu detekciju identitetskih pretnji, pokrivenost svih servera i integraciju sa Microsoft Defender XDR platformom. Microsoft Sentinel treba implementirati kao centralnu platformu za prikupljanje, korelaciju i analizu bezbednosnih događaja iz svih relevantnih Microsoft i drugih izvora, sa uspostavljenim analitičkim pravilima, playbook-ovima za automatizaciju odgovora i dashboard-ima za operativno praćenje bezbednosnog stanja. Izabrani ponuđač će prilagoditi dnevni obim podataka po izvoru i primeniti tehničke mere ograničenja potrošnje Azure kredita potrebnih za rad Sentinel platforme, na osnovu čega će biti predložen odgovarajući nivo Azure pretplate, odnosno Commitment Tier model. Pored navedenih servisa obuhvaćenih Microsoft 365 E5 licencnim paketom, željeno stanje podrazumeva i završetak implementacije sledećih on-prem infrastrukturnih servisa, neophodnih za celovitu zaštitu identiteta i uređaja u kompletno poslovna okruženje Naručioca (centralne lokacije: Novi Sad i Beograd; DP Novi Sad Gas, Gas-feromont Stara Pazova): Windows Server Update Services (WSUS) Public Key Infrastructure (PKI) Local Administrator Password Solution (LAPS) Microsoft Configuration Manager (MCM/SCCM) Windows Server Update Services (WSUS) treba konfigurisati tako da omogući distribuciju i kontrolisano odobravanje Microsoft bezbednosnih i sistemskih ažuriranja u oba poslovna okruženja, za Tier0 i Tier1. Ciljno stanje podrazumeva definisane ciljne grupe uređaja (npr. test, pilot, produkcija) i uspostavljen proces testiranja ažuriranja pre šire distribucije, čime se postiže balans između bezbednosne ažurnosti i stabilnosti sistema. WSUS će biti integrisan sa Group Policy mehanizmima. Za potrebe ovih funkcionalnosti u Tier2 se već koristi Microsoft Configuration Manager (MCM/SCCM). Public Key Infrastructure (PKI) treba uspostaviti kroz dvoslojni model sa izolovanim Offline Root CA i Subordinate (Issuing) CA serverom, zajedničkim za sva poslovna okruženja Naručioca. Ciljno stanje podrazumeva definisan Tier 0 bezbednosni model za PKI infrastrukturu i aktiviranu autoenrollment politiku, kojom svi domen uređaji i korisnici u poslovnom okreženju Naručioca da automatski dobijaju potrebne sertifikate za autentikaciju, enkripciju i digitalni potpis. Local Administrator Password Solution (LAPS) treba implementirati u poslovnoj mreži Naručioca, sa automatskim generisanjem, rotacijom i bezbednim čuvanjem jedinstvenih lozinki lokalnih administratorskih naloga na svim domen uređajima. Ciljno stanje eliminiše rizik korišćenja identičnih lokalnih lozinki na više sistema, čime se značajno smanjuje mogućnost lateralnog kretanja u slučaju kompromitacije naloga. Microsoft Configuration Manager (MCM/SCCM) treba uspostaviti kroz jedinstvenu instancu zajedničku za kompletno poslovno okruženje Naručioca, sa definisanim boundary grupama, instaliranim klijentskim agentom na svim upravljanim uređajima i aktivnim software distribution, patch management i compliance policies funkcionalnostima. Ciljno stanje podrazumeva i integraciju sa Microsoft Intune radi co-management scenarija, čime se obezbeđuje objedinjeno upravljanje uređajima bez obzira na to da li se nalaze unutar korporativne mreže. Završetak implementacije Micrososft servisa podrazumeva da svi navedeni servisi budu implementirani ujednačeno u centralna poslovna okruženja Naručioca, čime se obezbeđuje konzistentan nivo bezbednosti, vidljivosti i upravljivosti celokupnog ICT sistema, nezavisno od lokacije. Izabrani ponuđač će u roku od 2 (dva) meseca od dana potpisivanja ugovora sprovesti reviziju postojećeg stanja, analizu, izradu plana implementacije i završetak implementacije traženih servisa obuhvaćenih ovom uslugom, izvršiti testiranje i nastaviti da pruža tehničku podršku u radno vreme Naručioca do isteka ugovora. Izabrani ponuđač će angažovani tim stavljati na raspolaganje Naručiocu u redovno radno vreme Naručioca, kao i u unapred najavljenom i dogovorenom vremenskom okviru (Maintenance window) za aktivnosti van radnog vremena, ukoliko intervencije mogu uticati na rad zaposlenih ili raspoloživost sistema. Naručioc će za potrebe realizacije usluge obezbediti: Odgovornu osobu odgovornu za praćenje realizacije usluge potrebne administrativne i tehničke pristupe Microsoft Entra ID, Microsoft Intune, Microsoft Defender portalu i, gde je primenljivo, Microsoft Azure resursima, dodeljene u skladu sa principom najmanjih neophodnih privilegija; potreban broj stručnog osoblja koje će tokom realizacije biti uključeno u koordinaciju aktivnosti, učešće u testiranju i povremeni nadzor nad izvršenim radovima; blagovremeno dostavljanje informacija, internih odobrenja i odluka neophodnih za nesmetan nastavak aktivnosti predviđenih planom implementacije; udaljeni pristup angažovanom stručnom osoblju Izabranog ponuđača za aktivnosti za koje nije neophodno fizičko prisustvo u prostorijama Naručioca; dogovaranje i potvrđivanje termina za aktivnosti koje se, zbog mogućeg uticaja na rad korisnika ili raspoloživost sistema, sprovode u okviru Maintenance window-a. Rokovi i način plaćanja Rok isporuke: Izabrani ponuđač je u obavezi da u roku od 2 (dva) meseca od dana potpisivanja ugovora izvrši usluge opisane u ovom poglavlju. Mesto izvršenja: Isporuka usluga vršiće se u objektu Naručioca, na adresi Bulevar oslobođenja 69, Novi Sad, odnosno drugim lokacijama Naručioca na teritoriji Republike Srbije. Naručioc i Dobavljač će se saglasno dogovarati za koje usluge je nužno da izvršioci budu prisutni na lokaciji Naručioca, a kada je moguće uslugu pružiti udaljenim pristupom. Po završetku isporuke Usluge implementacije Microsoft servisa u poslovnim okruženjima Naručioca u Novom Sadu i Beogradu, obe strane će sačiniti i potpisati zapisnik o isporučenoj usluzi, kojim se konstatuje završetak implementacije. Garantni rok: Garantni rok za izvršene „Usluge implementacije Microsoft 365 servisa“ mora biti minimalno 12 (dvanaest) meseca od dana potpisivanja Zapisnika o primopredaji radova. Plaćanje usluge vrši u roku od 30 (trideset) dana od dana uredno dostavljenog potpisanog zapisnika i fakture. Usluga učlanjenja u domen, reinstalacije i migracije korisničkih naloga ICT sistem Naručioca na nekim lokacija u svom poslovnom okruženju ima 210 računara za koje je potrebno sprovesti Uslugu Učlanjenje u domen, reinstalacija i migracija korisničkih naloga. Ova oprema radi na različitim verzijama Microsoft Windows operativnim sistemom i neujednačenim softverskim paketima koji su u potrebi u poslovnom okruženju. Korisnici se loguju lokalno, a dokumenta korisnika se u lokalnim reozitorijumima, Usluga učlanjenja u domen, reinstalacije i migracije korisničkih naloga ima za cilj uspostavljanje jedinstvenog, standardizovanog, centralizovano upravljanog i bezbednosno kontrolisanog endpoint okruženja, u kojem su radne stanice priključene odgovarajućem Active Directory domenskom okruženju, centralizovano upravljane putem Microsoft Intune platforme, redovno ažurirane, obuhvaćene Microsoft Defender for Endpoint i XDR bezbednosnim nadzorom, zaštićene dogovorenim hardening politikama i imaju kontrolisane lokalne administrativne privilegije primenom Microsoft LAPS mehanizma. Ovom Uslugom, izabrani Ponuđač treba da sve korisničke radne stanice obuhvaćene predmetom usluge: dovede u standardizovano, centralizovano upravljano i bezbednosno kontrolisano okruženje, u skladu sa bezbednosnim politikama Naručioca, usvojenim modelom segregacije privilegovanih pristupa i relevantnim Microsoft bezbednosnim preporukama. Obezbedi korišćenje podržanih i odobrenih verzija Windows operativnog sistema, sa primenjenim relevantnim bezbednosnim ispravkama i usaglašenim konfiguracionim baseline-om. izvrši čistu instalaciju Windows operativnog sistema iz pouzdanog i odobrenog izvora, bez zadržavanja prethodne sistemske instalacije. Na obnovljenom uređaju potrebno je primeniti dogovorene bezbednosne ispravke, odobrene driver-e, standardne poslovne aplikacije, bezbednosne komponente i usaglašeni security baseline. vrati u produkcioni rad kroz kontrolisani proces bezbedne obnove i ponovne izgradnje. Od Ponuđača se očekuje da predloži odgovarajuću proceduru koja će obuhvatiti proveru i izdvajanje neophodnih korisničkih podataka, instalaciju operativnog sistema iz pouzdanog i odobrenog izvora, primenu dogovorenih bezbednosnih politika i selektivno vraćanje proverenih korisničkih podataka i podešavanja. Postojeći korisnički profili, izvršne komponente i drugi sadržaji ne treba da se podrazumevano prenose bez prethodne bezbednosne provere. priključi novom Active Directory domenskom okruženju i uključi u odgovarajući model upravljanja i segregacije privilegovanih pristupa. Ukoliko Naručilac primenjuje Tier 0, Tier 1 i Tier 2 model, korisničke radne stanice treba da budu obuhvaćene Tier 2 segmentom, uz administrativno razdvajanje od Tier 0 i Tier 1 sistema i korišćenje za to predviđenih administrativnih naloga i mehanizama. Potrebno je potvrditi primenu dogovorenih Group Policy i drugih bezbednosnih politika, kao i administrativno razdvajanje radnih stanica od Tier 0 i Tier 1 sistema. uspostavi kontrolisano upravljanje lokalnim administrativnim privilegijama. Radne stanice treba da budu obuhvaćene Microsoft LAPS mehanizmom za centralizovano upravljanje i automatsku rotaciju lozinki lokalnih administrativnih naloga, uz ograničavanje nekontrolisanog korišćenja lokalnih privilegovanih pristupa. Uključiti u Microsoft Defender for Endpoint (MDE) i obuhvaćene centralizovanim endpoint/XDR bezbednosnim nadzorom. Od Ponuđača se očekuje da obezbedi ispravnu konfiguraciju i funkcionisanje relevantnih MDE komponenti, kontinuiranu telemetriju i centralizovanu vidljivost bezbednosnog stanja uređaja, kao i mogućnosti detekcije, istrage i reakcije na sumnjive aktivnosti i potencijalne kompromitacije. primeni odgovarajuće bezbednosne baseline i hardening politike. Od Ponuđača se očekuje da, na osnovu zahteva Naručioca i raspoloživih Microsoft bezbednosnih mehanizama, predloži odgovarajući skup politika i podešavanja, uključujući Windows Firewall, Attack Surface Reduction pravila, Microsoft Defender politike, kontrolu privilegija i druge relevantne bezbednosne kontrole. Uključi u Microsoft Intune okruženje radi centralizovanog endpoint management-a, primene dogovorenih konfiguracionih i bezbednosnih politika, praćenja compliance statusa i centralizovanog upravljanja Windows uređajima. Nakon tehničke i bezbednosne pripreme radne stanice, mogu se vratiti isključivo prethodno odobreni i provereni korisnički podaci i podešavanja. Nakon migracije potrebno je izvršiti funkcionalnu proveru korisničkog okruženja, uključujući prijavljivanje na domen, pristup relevantnim poslovnim aplikacijama, Microsoft 365 servisima, mrežnim resursima, štampačima, sertifikatima i drugim resursima neophodnim za rad korisnika. identifikuje i dokumentuje zahteve za mrežnu komunikaciju neophodnu za realizaciju i funkcionisanje predloženog rešenja. Naručilac će, nakon odgovarajućeg odobrenja, obezbediti potrebna firewall pravila, DNS rezoluciju, routing i drugu mrežnu komunikaciju prema relevantnim domenskim, Microsoft i drugim servisima. u planu realizacije jasno identifikuje preduslove i zavisnosti od aktivnosti Naručioca i da blagovremeno ukaže na rizike koji mogu uticati na dogovorene rokove. Ukoliko neispunjenje usaglašenog preduslova neposredno onemogućava realizaciju zavisne aktivnosti, eventualna korekcija rokova vrši se uz dokumentovano obrazloženje, usaglašavanje strana i ažuriranje plana realizacije. Naručilac će imenovati relevantna tehnička i organizaciona kontakt lica za oblasti koje su od značaja za realizaciju usluge, uključujući Active Directory, mrežnu infrastrukturu, Microsoft okruženje, endpoint management, endpoint zaštitu, poslovne aplikacije i korisničku podršku. Ponuđač je dužan da sprovede tehničku i bezbednosnu validaciju pripremljenog standardnog modela radne stanice, uz učešće Naručioca u funkcionalnoj validaciji i testovima prihvatanja. Produkciona primena započinje nakon uspešno sprovedenog pilota i formalnog odobrenja Naručioca. Uslugu je potrebno sprovesti u dve faze: Pilot, na ograničenom broju reprezentativnih radnih stanica i korisnika. Od Ponuđača se očekuje da predloži obuhvat, scenarije i kriterijume uspešnosti pilota, kojim treba validirati najmanje proces obnove i reinstalacije, migraciju podataka, domain join, primenu Tier 2 politika, Intune enrollment, MDE/XDR telemetriju, Microsoft LAPS, patch management i funkcionalnost relevantnih poslovnih aplikacija. Masovna implementacija, na svim navedenim računarima. Nakon uspešnog pilota i usaglašavanja eventualnih korekcija, realizacija treba da se nastavi u kontrolisanim talasima, u skladu sa planom migracije koji predloži Ponuđač i usaglasi sa Naručiocem, dogovorenom dinamikom i raspoloživošću korisnika i sistema. Naručilac će Ponuđaču staviti na raspolaganje postojeće evidencije i relevantne podatke o radnim stanicama i korisnicima koji su predmet realizacije, uključujući informacije o lokaciji, korisniku, organizacionoj jedinici, specifičnim poslovnim aplikacijama i drugim poznatim zahtevima. Ponuđač je dužan da tokom inicijalne analize izvrši proveru i dopunu podataka neophodnih za realizaciju usluge. Naručilac će obezbediti dostupnost radnih stanica i korisnika u dogovorenim terminima, u skladu sa usaglašenim planom realizacije. Od Ponuđača se očekuje da unapred predloži očekivano vreme nedostupnosti uređaja po tipičnom scenariju obrade, kako bi Naručilac mogao da organizuje rad korisnika i termin realizacije. Naručilac će obezbediti dogovorene administrativne i tehničke pristupe sistemima neophodnim za realizaciju usluge, uključujući, gde je primenljivo, Active Directory, DNS, DHCP, Microsoft Entra ID, Microsoft Intune, Microsoft Defender for Endpoint i Microsoft Defender XDR. Obim pristupa mora biti ograničen na najmanji nivo privilegija neophodan za realizaciju dogovorenih aktivnosti. Od Ponuđača se očekuje da, u saradnji sa Naručiocem, predloži i pripremi standardni model instalacije i konfiguracije Windows radnih stanica, uključujući, gde je primenljivo, standardni korporativni Windows image. Ponuđač je odgovoran za tehničku pripremu, konfiguraciju, hardening i validaciju predloženog modela, dok će Naručilac obezbediti dogovorene licence, raspoložive aplikacije, instalacione pakete, sertifikate i druge komponente koje su u njegovoj nadležnosti. Rokovi i način plaćanja Rok isporuke usluge je 6 meseci od datuma potpisivanja ugovora. O izvršenju usluge, Naručilac i Izabrani ponuđač / Izvršilac će saglasno potpisati Zapisnik o isporučenoj usluzi Mesto izvršenja: Isporuka usluga vršiće se u objektu Naručioca, na adresi Bulevar oslobođenja 69, Novi Sad, odnosno drugim lokacijama Naručioca na teritoriji Republike Srbije. Naručioc i Dobavljač će se saglasno dogovarati za koje usluge je nužno da izvršioci budu prisutni na lokaciji Naručioca, a kada je moguće uslugu pružiti udaljenim pristupom. Po završetku isporuke Usluge učlanjenja u domen, reinstalacije i migracije korisničkih naloga obe strane će sačiniti i potpisati Zapisnik o isporučenoj usluzi, kojim se konstatuje završetak isporuke. Garantni rok: Garantni rok za izvršene „Usluge učlanjenja u domen, reinstalacije i migracije korisničkih naloga“ mora biti minimalno 12 (dvanaest) meseca od dana potpisivanja Zapisnika o primopredaji radova. Plaćanje usluge vrši u roku od 30 (trideset) od dana uredno dostavljenog potpisanog zapisnika, odnosno izveštaja i fakture. Tiering AD okruženja za industrijske ICT sisteme U okviru industrijskog IKT i SCADA okruženja Naručioca uspostavljena je Windows serverska infrastruktura sa Active Directory domenskim okruženjem, koje se koristi za centralizovanu autentikaciju i upravljanje korisničkim i administrativnim nalozima, serverskim sistemima, radnim stanicama i pripadajućim resursima. Postojeće Active Directory okruženje obuhvata domenske kontrolere, organizacione jedinice, bezbednosne grupe, administrativne i servisne naloge, Group Policy objekte i druge komponente neophodne za funkcionisanje Windows infrastrukture i sistema koji se na nju oslanjaju. Deo administrativnih aktivnosti u postojećem Windows i Active Directory okruženju obavlja se dispečerskih radnih stanica, odnosno sa uređaja koji se koriste i za redovne poslovne aktivnosti. Administrativne aktivnosti zbog toga nisu u potpunosti izdvojene na namenske administrativne sisteme i odvojene od standardnog korisničkog okruženja. Naručilac će uspostaviti Tiering bezbednosni model Active Directory okruženja za industrijske IKT i SCADA sisteme, sa jasnim razdvajanjem administrativnih identiteta, sistema, administrativnih aktivnosti i privilegovanih pristupa na Tier 0, Tier 1 i Tier 2 nivoe. Od Ponuđača se očekuje da, na osnovu analize postojećeg okruženja i stvarnih administrativnih zavisnosti, predloži detaljnu klasifikaciju sistema, naloga i administrativnih pristupa po Tier nivoima. Tier 0 treba da predstavlja najviši nivo administrativnog poverenja i da obuhvati Domain Controller sisteme, relevantne PKI/Certification Authority i identity komponente, kao i druge sisteme, naloge i posredničke komponente koje mogu direktno ili indirektno da kontrolišu Active Directory okruženje ili Tier 0 resurse. Administracija Tier 0 sistema mora biti izdvojena od redovnog korisničkog rada i obavljati se korišćenjem posebnih Tier 0 administrativnih identiteta i odgovarajuće zaštićenih Privileged Access Workstation (PAW) uređaja. Tier 1 treba da obuhvati serverske, aplikativne i druge sisteme koji upravljaju poslovnim ili industrijskim workload-ima, a koji nemaju administrativnu kontrolu nad Tier 0 resursima. Od Ponuđača se očekuje da analizira SCADA serversku i aplikativnu infrastrukturu i predloži njeno razvrstavanje u Tier 1 ili drugi odgovarajući nivo u zavisnosti od stvarnih administrativnih privilegija i zavisnosti. Za sisteme klasifikovane kao Tier 1 potrebno je obezbediti odvojene administrativne identitete i primenu principa najmanjih neophodnih privilegija. Tier 2 treba da obuhvati standardne korisničke i druge endpoint uređaje koji nemaju administrativnu kontrolu nad Tier 0 i Tier 1 resursima. Od Ponuđača se očekuje da posebno analizira operativne SCADA radne stanice i klasifikuje ih u skladu sa njihovom funkcijom i nivoom pristupa. Tier 2 administrativni nalozi ne smeju imati administrativni pristup Tier 0 i Tier 1 sistemima, dok se Tier 0 i Tier 1 privilegovani identiteti ne smeju koristiti za redovan korisnički rad na Tier 2 uređajima. Od Ponuđača se očekuje da predloži i implementira odgovarajuću OU strukturu, bezbednosne grupe, model administrativnih i servisnih naloga i Group Policy politike neophodne za sprovođenje Tiering modela. Predložene kontrole treba da ograniče nedozvoljene administrativne putanje i izlaganje privilegovanih credentials između različitih Tier nivoa, uključujući kontrolu interaktivnog, udaljenog, mrežnog, servisnog i drugih relevantnih načina prijavljivanja i pristupa. Za potrebe privilegovane administracije potrebno je uspostaviti namenske i bezbednosno ojačane Privileged Access Workstation (PAW) uređaje, prilagođene nivou resursa kojima se pristupa. Od Ponuđača se očekuje da predloži PAW model za Tier 0, Tier 1 i, gde je primenljivo, Tier 2 administrativne aktivnosti, uključujući pravila korišćenja, mrežna ograničenja, dozvoljene administrativne alate, bezbednosne politike i način upravljanja ovim uređajima. PKI/Certification Authority infrastrukturu koja predstavlja deo identitetskog ili administrativnog control plane-a potrebno je klasifikovati i zaštititi u skladu sa Tier 0 zahtevima. Od Ponuđača se očekuje da analizira postojeću PKI/CA arhitekturu, administrativne i servisne naloge, zavisnosti i pristupne putanje i predloži odgovarajuće mere za sprečavanje nedozvoljenih administrativnih zavisnosti od sistema nižeg nivoa poverenja. Ponuđeno rešenje treba da obuhvati primenu odgovarajućih hardening, Attack Surface Reduction i Microsoft Defender bezbednosnih politika, u skladu sa ulogom i kritičnošću sistema i tehničkim ograničenjima industrijskog okruženja. Od Ponuđača se očekuje da predloži primenu Microsoft Defender for Endpoint, Microsoft Defender for Identity i drugih raspoloživih mehanizama nadzora tamo gde su tehnički primenljivi i gde njihova primena ne utiče negativno na stabilnost i raspoloživost SCADA sistema. Od Ponuđača se očekuje da pre implementacije izradi i sa Naručiocem usaglasi matricu Tier klasifikacije, koja će za relevantne sisteme, administrativne i servisne naloge, administrativne radne stanice i upravljačke komponente definisati pripadnost odgovarajućem Tier nivou, dozvoljene administrativne putanje i ograničenja pristupa između Tier zona. Klasifikacija treba da bude zasnovana na stvarnim administrativnim privilegijama, zavisnostima i potencijalnom uticaju kompromitacije pojedinačne komponente. Krajnji cilj Naručioca je uspostavljanje stabilnog i kontrolisanog Tier 0, Tier 1 i Tier 2 modela privilegovanog pristupa, u kojem su Active Directory, relevantne PKI/CA komponente, SCADA i drugi serverski sistemi, administrativne radne stanice i endpoint uređaji klasifikovani u skladu sa stvarnim nivoom privilegija i administrativnih zavisnosti. Administrativni identiteti i pristupni putevi između Tier nivoa treba da budu logički razdvojeni i tehnički ograničeni, dok se od Ponuđača očekuje da predloži, dokumentuje, implementira i validira model kojim će navedeno stanje biti postignuto. Opis usluge Usluga treba da obuhvati analizu postojećeg okruženja, projektovanje, implementaciju i validaciju Tiering modela privilegovanog pristupa za Active Directory i povezane industrijske IKT i SCADA sisteme, zasnovanog na Tier 0, Tier 1 i Tier 2 nivoima. Od Ponuđača se očekuje da predloži detaljnu arhitekturu i obuhvat modela, uključujući klasifikaciju relevantnih Active Directory, PKI/Certification Authority, serverskih, endpoint i administrativnih sistema, PAW model i odgovarajuće bezbednosne mehanizme. Od Ponuđača se očekuje da, na osnovu analize postojećeg Active Directory okruženja i administrativnih zavisnosti, predloži i implementira odgovarajuću OU strukturu, bezbednosne grupe, model administrativnih i servisnih naloga i Group Policy politike neophodne za sprovođenje Tiering modela. Administrativni identiteti moraju biti razdvojeni prema nivou privilegija i dozvoljenom administrativnom obuhvatu, uz primenu principa najmanjih neophodnih prava. Za Tier 0 potrebno je identifikovati sisteme, identitete i upravljačke komponente koje imaju direktnu ili indirektnu administrativnu kontrolu nad Active Directory okruženjem i drugim Tier 0 resursima. Ovaj obuhvat treba da uključi Domain Controller sisteme i druge relevantne identity i PKI/CA komponente u skladu sa njihovom stvarnom ulogom i administrativnim zavisnostima. Pristup Tier 0 resursima mora biti ograničen na odgovarajuće Tier 0 administrativne identitete i kontrolisano administrativno okruženje. Za Tier 1 od Ponuđača se očekuje da analizira serversku i aplikativnu infrastrukturu, uključujući relevantne SCADA sisteme, i predloži klasifikaciju sistema koji pripadaju ovom nivou na osnovu njihovih administrativnih privilegija, zavisnosti i funkcije. Za sisteme klasifikovane kao Tier 1 potrebno je definisati odgovarajuću OU i security-group organizaciju, administrativne i servisne naloge, dozvoljene administrativne pristupe i standardizovanu proceduru za uključivanje novih sistema u Tier 1. Za Tier 2 potrebno je uspostaviti model upravljanja standardnim korisničkim i drugim endpoint sistemima koji ne zahtevaju administrativne privilegije nad Tier 0 ili Tier 1 resursima. Od Ponuđača se očekuje da posebno analizira operativne SCADA radne stanice i predloži njihovu klasifikaciju u skladu sa funkcijom, administrativnim privilegijama i potencijalnim uticajem na više Tier nivoe. Politike pristupa moraju sprečiti nedozvoljeno korišćenje privilegovanih identiteta višeg Tier nivoa na sistemima nižeg nivoa poverenja. Usluga treba da obuhvati definisanje, implementaciju i validaciju Group Policy i drugih odgovarajućih bezbednosnih kontrola kojima se sprovode pravila Tiering modela. Od Ponuđača se očekuje da predloži konkretne kontrole, uključujući, gde je primenljivo, User Rights Assignment, ograničenja logon scenarija, kontrolu lokalnih grupa, Windows Firewall, Attack Surface Reduction i druga hardening podešavanja potrebna za ograničavanje nedozvoljenih administrativnih putanja i lateral movement-a između Tier zona. Od Ponuđača se očekuje da predloži i implementira model namenskih Privileged Access Workstation (PAW) uređaja za privilegovanu administraciju, u skladu sa definisanim Tier nivoima i administrativnim potrebama Naručioca. Predloženi model treba da obuhvati način upravljanja PAW uređajima, dozvoljene administrativne alate, pravila korišćenja, mrežna ograničenja i druge bezbednosne kontrole neophodne za izdvajanje privilegovane administracije iz standardnog korisničkog okruženja. U okviru usluge Ponuđač treba da izvrši analizu postojeće PKI