Kyberturvan palvelujärjestelmä asiantuntijapalveluineen

Lyhyt kuvaus

Hankinnan kohteena on kyberturvallisuuden palvelujärjestelmän hankinta ja palvelun tuottaminen Helsingin kaupungin käyttöön. Hankittava järjestelmä sijoitetaan Helsingin kaupungin ylläpitämään ympäristöön, jonka avulla valittu toimittaja tuottaa palvelua, operoi ja samalla kehittää sitä.
Kyberturvallisuuden palvelujärjestelmä (CSOC, Cyber Security Operations Center) hankitaan Helsingin kaupungin omistamien ja hallinnoimien sekä kolmannelta osapuolelta hankittujen tai vuokrattujen ICT-järjestelmien ja palveluiden kyberturvallisuuden ylläpitämiseksi. Mainitut ICT-palvelut voivat olla Helsingin kaupungin itsensä tai sen toimialojen tuottamia palveluja omasta konesalista tai toisen osapuolen konesalista tai pilvipalvelusta. Valvonnan kohteena olevat palvelut ovat lakisääteisen toiminnan kannalta kriittisiä ja edellyttävät lyhyitä vasteaikoja palvelun jatkumisen takaamiseksi.
Palvelua toimitetaan valitun toimittajan toimesta 24/7/365-palveluajalla tarjouspyynnössä määritellyillä vaatimuksilla ja palvelutasosopimuksilla.
Palveluun tulee sisältyä jatkuva tietoturvatapahtumien seuranta ja analysoinnin väline, samanaikainen jatkuva järjestelmän ja palvelun kehittäminen sekä muut asiantuntijapalvelut.
Hankittava palvelu on kuvattu tarkemmin tässä tarjouspyynnössä ja sen liitteissä.

Hankinnan kuvaus

Hankinnan kohteena on kyberturvallisuuden palvelujärjestelmän hankinta ja palvelun tuottaminen Helsingin kaupungin käyttöön. Hankittava järjestelmä sijoitetaan Helsingin kaupungin ylläpitämään ympäristöön, jonka avulla valittu toimittaja tuottaa palvelua, operoi ja samalla kehittää sitä.
Kyberturvallisuuden palvelujärjestelmä (CSOC, Cyber Security Operations Center) hankitaan Helsingin kaupungin (tilaaja) omistamien ja hallinnoimien sekä kolmannelta osapuolelta hankittujen tai vuokrattujen ICT-järjestelmien ja palveluiden kyberturvallisuuden ylläpitämiseksi. Mainitut ICT-palvelut voivat olla Helsingin kaupungin itsensä tai sen toimialojen tuottamia palveluja omasta konesalista tai toisen osapuolen konesalista tai pilvipalvelusta. Valvonnan kohteena olevat palvelut ovat lakisääteisen toiminnan kannalta kriittisiä ja edellyttävät lyhyitä vasteaikoja palvelun jatkumisen takaamiseksi.
Palvelua toimitetaan valitun toimittajan toimesta 24/7/365-palveluajalla tarjouspyynnössä määritellyillä vaatimuksilla ja palvelutasosopimuksilla. Tarjotun CSOC-palvelun tulee kyetä keräämään, havainnoimaan, analysoimaan ja ilmoittamaan ja tarvittaessa eskaloimaan kyberturvallisuuteen liittyvistä luokitelluista uhkista ja häiriöistä säännöllisesti tilaajalle sekä raportoida edellä mainitut tapahtumat.
Kyberturvallisuuden yksi tärkeimmistä alueista on tietoturva. Palveluun tulee sisältyä jatkuva tietoturvatapahtumien seuranta ja analysoinnin väline, samanaikainen jatkuva järjestelmän ja palvelun kehittäminen sekä muut asiantuntijapalvelut. Palveluun tulee esittää palvelua tuottavat asiantuntijat osaamisvaatimusten mukaisesti, jotka samanaikaisesti valvovat ja kehittävät palvelua. Muita asiantuntijapalveluita tilaaja voi hankkia erikseen palvelutarjoajalta tai toiselta osapuolelta.
Hankinnassa valitaan yksi (1) palvelutarjoaja CSOC-palvelulle. Valittavan palvelutarjoajan tulee pystyä toimimaan Helsingin kaupungin toimittajana, joka kykenee tarjoamaan tarjouspyynnössä ja sen liitteissä kuvatun palvelun. Palvelun käyttöönotto vaiheineen tulee toimimaan mittarina arvioidessa toimittajan kyvykkyyttä tuottaa CSOC-palvelua.

Uudistusten kuvaus

Tämä sopimus on voimassa määräaikaisesti kaksi (2) vuotta ja jatkuu sen jälkeen toistaiseksi voimassa olevana.
Toistaiseksi voimassa oleva sopimus voidaan irtisanoa päättymään Tilaajan puolelta kuuden (6) kuukauden ja toimittajan puolelta yhdeksän (9) kuukauden kuluttua irtisanomisesta. Irtisanomisaika lasketaan sen kuukauden viimeisestä päivästä, jonka aikana sopimus on irtisanottu.

Vaihtoehtojen kuvaus

Tilaaja voi sopimuksen voimassa ollessa hankkia tai olla hankkimatta lisäpalveluja valitulta toimittajalta huomioon ottaen seuraavat seikat ja ohjeistukset. Tilaaja voi halutessaan hankkia tarjoajalta tietoturvaan tai muihin IT-palveluihin liittyviä konsultointi- ja asiantuntijapalveluita.
Tarjoajalla on tarvittaessa oltava mahdollisuus täydentää hankittavaa asiantuntijoista koostuvaa ryhmää myös muilla projekti- ja erityisasiantuntijoilla, joiden tehtävistä ja osaamisvaatimuksista sovitaan erikseen.
Optiona hankittavia lisäresursseja voidaan tarvittaessa hyödyntää CSOC-hankkeen lisäksi myös muissa tilaajan hankkeissa. Lisäresursseja voidaan hyödyntää esimerkiksi järjestelmien ja/tai sovellusten tietoturvan kehittämisessä. Tilaajan on hankittavilla lisäresursseilla tarvittaessa pystyttävä varmistamaan riittävä järjestelmien / sovellusten toimivuus, jotta toiminta ja niiden kehittäminen voivat edetä suunnitellusti.
Toimittajan asiantuntijoiden vaihto tai asiantuntijoiden lisääminen on hyväksytettävä Helsingin kaupungilla etukäteen. Uusien asiantuntijoiden kohdalla vaaditaan samanlainen selvitys ja osaamisen esittely kuin tässä kilpailutuksessa liitteissä 4 Osaamisvaatimukset, 5 CV-liite ja Ansioluettelo (liite 5 Ansioluettelopohja). Muut asiantuntijoiden vaihtamiseen liittyvät ehdot ovat pääsopimuksessa.
Tarjoaja voi olla varautunut tuottamaan palvelua tilaajan nimenomaisen pyynnön mukaisesti kaikilla tarjouspyynnössä määritetyillä eri rooleilla ja osaamistasoilla. Osaamistasot on määritelty tarjouspyynnön liitteessä 4 Osaamisvaatimukset.
Niiden lisäksi lisäresursseina hankittavien asiantuntijapalveluiden osalta sovitaan palvelua tuottavista asiantuntijoista ja palvelun sisällöstä tarkemmin. Tilaaja voi tulevaisuudessa kiinnittää osan asiantuntijoista myös palvelun ylläpito- ja jatkokehitystehtäviin.
Tilaaja voi hyödyntää optiota vain osittain, eikä tilaaja sitoudu tilaamaan mitään tiettyä vähimmäismäärää asiantuntijatyötä tai muita niihin liittyviä palveluja. Tarjouskilpailun voittanut toimittaja ei saa yksinoikeutta tilattavan asiantuntijatyön toimittamiseen tai mahdollisiin muihin sopimuksen mahdollistamiin palveluihin, vaan tilaaja voi käyttää muita toimittajia tai alihankkijoita asiantuntijatyöhön ja muihin em. palveluihin. Tilaaja voi ostaa lisäselvityspalvelua (tietoturvahäiriöiden hallinta, haittakoodin takaisinmallinnus, jne.) tietyn poolin ja käyttää asiantuntemusta tapauksiin, jotka perustellusti ja Helsingin kaupungin hyväksynnällä vaativat lisäselvitystä (esim. hyökkääjän lateraaliliikenteen analysointi, krypto-ohjelmistot, jne.) tai kun kyseessä on laaja tai vakava poikkeama.
Edellä kuvatun lisähankinnan (option) sitoumukseton arvioitu henkilötyöpäivämäärä on noin 1–2 000 henkilötyöpäivää vuosittain. Mikäli tilaaja päättää hyödyntää lisähankintamahdollisuuden (option), valituksi tullut toimittaja ei voi ylittää asiantuntijoiden hintaa, jotka tämän tarjouspyynnön perusteella annetuissa tarjouksissa on esitetty.
Tilaaja päättää option käytöstä ja sen käytön laajuudesta hankkeen myöhemmässä vaiheessa. Tilaaja voi hankkia tarvittavat asiantuntijaresurssit myös muuten, kuin tämän kilpailutuksen kautta.