Postanowienie KIO 865/19 z 17 maja 2019

Zamawiający: Centralny Zarząd Służby Więziennej, ul. Rakowiecka 37A, 02-521 Warszawa wszczął postępowanie o udzielenie zamówienia publicznego prowadzone w trybie przetargu nieograniczonego, którego przedmiotem jest „Usługa sieci rozległej WAN wraz z usługami dodatkowymi”, numer referencyjny: 14/19/TK.

Ogłoszenie o zamówieniu zostało opublikowane w dniu 30 kwietnia 2019 r. w Dzienniku Urzędowym Unii Europejskiej pod numerem 2019/ S 084-200399. W tej samej dacie opublikowana została Specyfikacja Istotnych Warunków Zamówienia, zwana dalej SIWZ na stronie internetowej Zamawiającego.

Nie zgadzając się z niektórymi postanowieniami SIWZ Odwołujący: TPM Services sp. z o.o. z siedzibą w Warszawie ul. Łopuszańska 32, 02-220 Warszawa wniósł odwołanie do Prezesa Krajowej Izby Odwoławczej zarzucając Zamawiającemu sformułowanie treści SIWZ w sposób niezgodny z przepisami ustawy z dnia 29 stycznia 2004 r. - Prawo zamówień publicznych (t.j. Dz. U. z 2018 r., poz. 1986 ze zm.), zwanej dalej ustawą Pzp w zakresie:

1. 1. sformułowania treści SIWZ - Załącznika nr 1 do umowy - opis przedmiotu zamówienia, zwanego dalej OPZ - punkt 1.2.4, w taki sposób, że zamawiający wymaga, aby wszystkie użyte do świadczenia usługi urządzenia, w tym sprzęt i oprogramowanie, pochodziły z oficjalnego kanału dystrybucji na rynek polski.
2. 2. sformułowania treści SIWZ - Załącznika nr 1 do umowy - OPZ w taki sposób, że:
3. 2.1. w punkcie 2.1.3 OPZ zamawiający wymaga, że producenci elementów systemu bezpieczeństwa muszą być uwzględniani w zestawieniach Gartner Magie Ouadrant z zakresu bezpieczeństwa sieciowego (typu Enterprise Network Firewalls, Intrusion Prevention Systems, Secure Web Gateways), w okresie, co najmniej trzech ostatnich lat; 1.2.2. w punkcie 2.2.7.2 OPZ zamawiający wymaga, aby urządzenie zapewniało obsługę logicznej segmentacji urządzenia: możliwość alokacji zasobów sprzętowych per instancja; 1.2.3. w punkcie 2.2.8.11 OPZ zamawiający wymaga, aby urządzenie umożliwiało współpracę z serwerami autoryzacji w zakresie przesyłania list kontroli dostępu z serwera do urządzenia z granulacją per użytkownik; 1.2.4. w punkcie 2.2.8.16 OPZ zamawiający wymaga, aby system posiadał możliwość kontekstowego definiowania reguł z wykorzystaniem informacji pozyskiwanych o hostach na bieżąco poprzez pasywne skanowanie;
4. 2.5. w punkcie 2.2.8.18.b) OPZ zamawiający wymaga, aby urządzenie pozwalało na tworzenie profili użytkowników korzystających ze wskazanych aplikacji z dokładnością do systemu operacyjnego, z którego korzysta użytkownik oraz wykorzystywanych usług, 1.2.6. w punkcie 2.2.8.18.d) OPZ zamawiający wymaga, aby urządzenie umożliwiało współpracę z otwartym systemem aplikacji pozwalającym administratorowi na skonfigurowanie opisu dowolnej aplikacji i wykorzystanie go do automatycznego wykrywania tejże aplikacji przez system praz na wykorzystanie profilu tej aplikacji w regułach reagowania na zagrożenia oraz w raportach; 1.2.7. w punkcie 2.2.9.6 OPZ zamawiający wymaga, aby urządzenie zapewniało następujące sposoby wykrywania zagrożeń: a) sygnatury ataków opartych na exploitach, b)

reguły oparte na zagrożeniach,

c)

mechanizm wykrywania anomalii w protokołach,

d) mechanizm wykrywania anomalii w ogólnym zachowaniu ruchu sieciowego; 1.2.8. w punkcie 2.2.9.8 OPZ zamawiający wymaga, aby urządzenie posiadało

mechanizm minimalizujący liczbę fałszywych alarmów, jak i niewykrytych ataków (ang. false positives i false negatives); 1.2.9. w punkcie 2.2.9.11 OPZ zamawiający wymaga, aby urządzenie posiadało możliwość pasywnego zbierania informacji o urządzeniach sieciowych oraz ich aktywności (systemy operacyjne, serwisy, otwarte porty, aplikacje oraz zagrożenia) w celu wykorzystania tych informacji do analizy i korelacji ze zdarzeniami bezpieczeństwa, eliminowania fałszywych alarmów oraz tworzenia polityki zgodności; 1.2.10. w punkcie 2.2.9.15 OPZ zamawiający wymaga, aby urządzenie zapewniało możliwość obrony przed atakami skonstruowanymi tak, aby uniknąć wykrycia przez IPS - w tym celu stosuje odpowiedni mechanizm defragmentacji i składania strumienia danych w zależności od charakterystyki hosta docelowego; 1.2.11.

w punkcie 2.2.9.17 OPZ zamawiający wymaga, aby urządzenie

zapewniało możliwość definiowania wyjątków dla sygnatur z określeniem adresów IP źródła, przeznaczenia lub obu jednocześnie; 1.2.12. w punkcie 2.2.9.19 OPZ zamawiający wymaga, aby urządzenie zapewniało obsługę reguł Snort; 1.2.13. w punkcie 2.2.9.20 OPZ zamawiający wymaga, aby urządzenie zapewniało możliwość wykorzystania informacji o sklasyfikowanych aplikacjach do tworzenia reguł IPS; 1.2.14. w punkcie 2.2.11.3 OPZ zamawiający wymaga, aby urządzenie zapewniało narzędzia analizy historycznej dla plików przesłanych w przeszłości, a rozpoznanych później jako oprogramowanie złośliwe (analiza retrospektywna);

1. 2.15. w punkcie 2.2.11.4 OPZ zamawiający wymaga, aby urządzenie zapewniało wykrywanie ataków typu Zero-Day, która to funkcjonalność jest właściwa dla dedykowanych rozwiązań IPS oraz rozwiązań ochrony stacji końcowej, przy czym te ostatnie w rozumieniu wykonawcy nie stanowią przedmiotu zamówienia; 1.2.16. w punkcie 2.2.12.9 OPZ zamawiający wymaga, aby urządzenie posiadało wsparcie dla mechanizmu TCP Ping, który pozwala na wysyłanie wiadomości TCP dla rozwiązywania problemów związanych z łącznością w sieciach IP.
2. Zaskarżonym czynnościom Zamawiającego Odwołujący zarzucił naruszenie:
3. 1. art. 7 ust. 1 ustawy Pzp i art. 29 ust. 1, 2 i 3 ustawy Pzp poprzez dokonanie opisu przedmiotu zamówienia w sposób nieadekwatny do uzasadnionych potrzeb Zamawiającego, wskazujący na konkretną markę producenta, z jednoczesnym naruszeniem zasad uczciwej konkurencji i równego traktowania wykonawców; 2.2. art. 7 ust. 1 ustawy Pzp, art. 25. ust. 1 pkt 2 ustawy Pzp i art. 29 ust. 1 i 2 ustawy Pzp poprzez stawianie oferentom wymagań ponad miarę, nieproporcjonalnych do potrzeb weryfikacji, czy oferowany przez wykonawców produkt spełnia wymagania Zamawiającego;
4. z uwagi na powyższe zarzuty Odwołujący wnosił o nakazanie Zamawiającemu dokonania zmiany treści SIWZ - załącznika nr 1 do umowy:
5. 1. w zakresie punktu 1.2.4 OPZ - poprzez usunięcie tego wymogu lub dopuszczenie urządzeń, w tym sprzętu i oprogramowania, pochodzących z innych oficjalnych kanałów dystrybucji, bez zawężania wyłącznie do oficjalnego kanału dystrybucji na rynek polski; 3.2. w zakresie punktu 2.1.3 OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.3. w zakresie punktu 2.2.7.2 OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.4. w zakresie punktu 2.2.8.11 OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.5. w zakresie punktu 2.2.8.16 OPZ - poprzez usunięcie tego wymogu; 3.6. w zakresie punktu 2.2.8.18.b) OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.7. w zakresie punktu 2.2.8.18.d) OPZ - poprzez zmianę zapisów tego wymagania na następujące: „Możliwość samodzielnego definiowania sygnatur aplikacyjnych pozwalających administratorowi na skonfigurowanie opisu dowolnej aplikacji i wykorzystanie go do automatycznego wykrywania tak rozpoznanych aplikacji przez system AVC oraz na wykorzystanie profilu tej aplikacji w regułach reagowania na zagrożenia oraz w raportach;” 3.8. w zakresie punktu 2.2.9.6 OPZ - poprzez usunięcie tego wymogu celem umożliwienia zaproponowania rozwiązań alternatywnych lub takiego opisania

funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.9. w zakresie punktu 2.2.9.8 OPZ - poprzez usunięcie tego wymogu lub takiego

opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.10. w zakresie punktu 2.2.9.11 OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.11. w zakresie punktu 2.2.9.15 OPZ - poprzez zmianę zapisów tego wymagania i dopuszczenie rozwiązań, które pozwolą na „uzyskanie podobnej funkcjonalności poprzez zablokowanie każdego połączenia, która nosi znamiona manipulacji nr sekwencyjnymi segmentów TCP, bez względu do jakiego hosta docelowego kierowane jest połączenie”; 3.12. w zakresie punktu 2.2.9.17 OPZ - poprzez usunięcie tego wymogu w całości lub, alternatywnie, w zakresie definiowania wyjątków dla IP źródła i przeznaczenia jednocześnie; 3.13. w zakresie punktu 2.2.9.19 OPZ - poprzez usunięcie tego wymogu, ewentualnie zmianę tego wymogu na następujący: „System IPS musi umożliwiać budowanie własnych sygnatur IPS bez udziału wsparcia technicznego producenta”; 3.14. w zakresie punktu 2.2.9.20 OPZ - poprzez usunięcie tego wymogu celem umożliwienia zaproponowania rozwiązań alternatywnych lub takiego opisania

funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.15. w zakresie punktu 2.2.11.3 OPZ - poprzez usunięcie tego wymogu celem umożliwienia zaproponowania rozwiązań alternatywnych lub takiego opisania

funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego; 3.16. w zakresie punktu 2.2.11.4 OPZ - poprzez jednoznaczne wskazanie, jakiej funkcjonalności Zamawiający oczekuje w tym zakresie; 3.17. w zakresie punktu 2.2.12.9 OPZ - poprzez usunięcie tego wymogu celem umożliwienia zaproponowania rozwiązań alternatywnych lub takiego opisania

funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego;

1. ponadto wnosił o zasądzenie od zamawiającego na rzecz Odwołującego kosztów postępowania, w tym kosztów reprezentacji wg przedstawionych na rozprawie rachunków.

W tym stanie rzeczy Izba ustaliła i zważyła, co następuje.

W dniu 15 maja 2019r., przed wyznaczoną rozprawą, do siedziby Krajowej Izby Odwoławczej wpłynęło pismo Odwołującego z tej samej daty o cofnięciu odwołania.

Uwzględniając powyższe Izba, działając na podstawie art. 187 ust.8 ustawy z dnia 29 stycznia 2004 r. Prawo zamówień publicznych(t.j. Dz. U. z 2018 r., poz. 1986 wraz ze zm.), postanowiła postępowanie odwoławcze w niniejszej sprawie umorzyć.

Zgodnie z art. 187 ust. 8 zd.2 ustawy Pzp Izba postanowiła zwrócić na rzecz Odwołującego 90% kwoty uiszczonego wpisu.

Wobec powyższego, orzeczono jak w sentencji.

O kosztach postępowania orzeczono stosownie do jego wyniku na podstawie przepisu art. 192 ust. 9 i 10 ustawy Pzp oraz w oparciu o przepisy § 3 pkt 1 i § 5 ust.1 pkt. 3 lit. a i ust. 4 wraz ze zm.).

Przewodniczący

........................

6