Autoritatea contractanta

3.6.2.2Protecție sisteme și linii de comunicație

Sistemul propus pentru realizare și implementare nu introduce vulnerabilități noi de securitate în sistemul informatic al ONRC, întrucât subsistemele funcționale de aplicații care vor fi implementate folosesc toate mecanismele de securitate deja implementate și utilizate de sistemul informatic existent și nu introduc categorii noi de utilizatori față de cei deja existenți.

Noile servere vor fi instalate și integrate în cadrul rețelei de comunicații existente, care este protejată cu echipamentele de tip firewall Checkpoint deja existente în cadrul sistemului informatic. Prezentul proiect nu include echipamente de routare (ci numai switch-uri de interconectare) și nici vreo modificare a modului în care utilizatorii accesează noile servere. Astfel, politica de securitate si echipamentele actuale Checkpoint vor fi utilizate in continuare, cu minim de reconfigurări necesare pentru integrarea noii infrastructurii.

În cadrul ONRC există o politică de protecție antivirus, toate echipamentele fiind protejate antivirus. Politica de protecție antivirus include și serviciul de actualizare permanentă a bazelor de date de semnături. Sistemul de aplicații antivirus existent va fi utilizat și pentru protejarea noilor stații de lucru achiziționate în cadrul proiectului.

Funcționalitățile de whitelisting vor fi implementate utilizând infrastructura deja existentă de autentificare și management al identităților.

3.6.2.3Management incidente de securitate (SIEM = Security Information Event Management)

Unul dintre obiectivele proiectului propus constă în creșterea nivelului de securizare a aplicațiilor și sistemelor existente ale ONRC. Astfel, se urmărește crearea unei capacități de analiză a modului în care utilizatorii utilizează aplicațiile și datele, pentru detectarea eventualelor comportamente abuzive sau ilegitime (utilizatori care caută în mod periodic date pentru a le furniza unor terți beneficiari fără plata taxelor datorate, sau utilizatori care urmăresc comportamentul anumitor firme fără un motiv evident sau legitim etc.).

Aceste obiective vor fi atinse prin două tipuri de funcționalități:

• 
  la nivelul noilor aplicații care vor fi implementate, se va prevedea obligativitatea păstrării de log-uri cu toate acțiunile utilizatorilor, la nivel de sursă de date accesată și informație raportată.
  
• 
  log-urile aplicațiilor de front și back-office deja existente, împreună cu log-urile aplicațiilor nou dezvoltate/implementate vor fi gestionate prin intermediul soluției de monitorizare a infrastructurii, care va colecta și unifica aceste log-uri. De asemenea, la nivelul platformei de Big Data se va crea o schemă separată de entități care să permită analizarea modalității de utilizare a aplicațiilor și de acccesare a surselor de date. Utilizând platformele de raportare avansată de tip Business Intelligence, dar și instrumentele de analiză și de căutare avansată, se va implementa la nivelul ONRC o funcție de securitate a aplicațiilor și a datelor, care va avea ca obiectiv monitorizarea permanentă a modalității de utilizare a datelor și aplicațiilor, în scopul identificării comportamentelor abuzive sau ilegitime.
  

3.6.2.4Managementul vulnerabilităților

Identificarea și gestionarea eventualelor vulnerabilități pe care implementarea noilor subsisteme informatice, de aplicații și de infrastructură, le poate crea în cadrul sistemului informatic al ONRC vor fi realizate prin două măsuri complementare, astfel:

1. 
   în cadrul caietului de sarcini aferent serviciilor de implementare a soluțiilor tehnice prevăzute în proiect se va solicita Prestatorului includerea în echipa de proiect a unor experți în securitatea sistemelor informatice (cu experiența și cu atribuțiile descrise mai jos în cadrul acestei secțiuni). Printre atribuțiile acestor experți va fi inclusă și obligația de a realiza, în etapa de testare premergătoare acceptanței și recepției finale a soluțiilor tehnice, identificarea vulnerabilităților sistemului informatic, împreună cu redactarea unui raport detaliat cu privire la acestea și la modalitatea propusă de remediere. Toate vulnerabilitățile vor fi tratate înainte de acceptanța finală.
   
2. 
   independent de evaluarea de vulnerabilitate realizată de către Prestatorul sistemului informatic, strategia de implementare și bugetul proiectului includ contractarea unui audit de securitate extern din partea unui consultant specializat în acest tip de servicii. Acest consultant de securitate va realiza propria evaluare a vulnerabilităților sistemului informatic implementat, independent de cea a Prestatorului sistemului informatic și va prezenta un raport independent către ONRC. Utilizând concluziile acestui raport, ONRC va solicita Prestatorului remedierea eventualelor vulnerabilități identificate.
   

In vederea asigurarii unui nivel de securitate corespunzator pentru sistemul informatic propus, Prestatorul va trebui sa includa in echipa sa de implementare minim doi experti cheie de securitate, avand urmatoarele roluri:

1. 
   Expert securitatea informatiei: expert care supervizeaza implementarea proiectului din punct de vedere al securitatii informatiei si care defineste controale de securitate pentru a asigura confidentialitatea, integritatea sau disponibilitatea a sistemului informatic.
   
2. 
   Expert testare securitate: expert care testeaza eficienta controalelor de securitate implementate in proiect si identifica vulnerabilitatile existente la nivelul sistemului.
   

In cadrul proiectului, expertii de securitate vor trebui sa realizeze urmatoarele activitati:

1. 
   Realizarea solutiei de securitate in etapa de analiza;
   
2. 
   Configurarea din punct de vedere al securitatii a sistemelor informatice;
   
3. 
   Consultanta de specialitate pentru echipa de proiect in timpul derularii proiectului;
   
4. 
   Testarea de securitate a sistemului informatic;
   
5. 
   Realizarea planului de securitate a sistemului informatic;
   
6. 
   Realizarea planurilor de continuitate si recuperare in caz de dezastru;
   
7. 
   Instructaj pentru administratorii sistemului informatic;
   
8. 
   Instructaj privind constientizarea securitatii pentru utilizatorii sistemului informatic;