Unterstützung Betrieb und Weiterentwicklung Security Operations Center (SOC)

Begründung des Auftraggebers

Los 1

Die für den Zuschlag massgebenden Merkmale und Vorteile des berücksichtigten Angebots (Art. 51 Abs. 3 lit. c IVöB) sind folgende:

Das berücksichtigte Angebot ist mit 838 von 1000 möglichen Punkten bewertet worden. Ihm ist als vorteilhaftestes Angebot der Zuschlag zu erteilen.

Los 2

Die für den Zuschlag massgebenden Merkmale und Vorteile des berücksichtigten Angebots (Art. 51 Abs. 3 lit. c IVöB) sind folgende:

Das berücksichtigte Angebot ist mit 715 von 1000 möglichen Punkten bewertet worden. Ihm ist als vorteilhaftestes Angebot der Zuschlag zu erteilen.

Los 3

Die für den Zuschlag massgebenden Merkmale und Vorteile des berücksichtigten Angebots (Art. 51 Abs. 3 lit. c IVöB) sind folgende:

Das berücksichtigte Angebot ist mit 847 von 1000 möglichen Punkten bewertet worden. Ihm ist als vorteilhaftestes Angebot der Zuschlag zu erteilen.

Los 4

Die für den Zuschlag massgebenden Merkmale und Vorteile des berücksichtigten Angebots (Art. 51 Abs. 3 lit. c IVöB) sind folgende:

Das berücksichtigte Angebot ist mit 952 von 1000 möglichen Punkten bewertet worden. Ihm ist als vorteilhaftestes Angebot der Zuschlag zu erteilen.

Beschreibung

Los 1

Mit Los 1 soll die grundsätzliche Cybersicherheit des Auftraggebers gewährleistet werden. Hierfür soll eine XDR-Lösung beschafft werden, welche mit einem geeigneten MDR-Service an sieben Tagen in der Woche rund um die Uhr zu gewährleisten ist (24x7). Die MDR-Dienstleistung soll auf Basis des XDR-eigenen Data Lakes erbracht werden. Die Datenhaltung soll mindestens 6 Monate erfolgen, eine Option, diese Frist auf 2 Jahre zu erhöhen, ist zu offerieren.

Die Systeme des Auftraggebers sollen zudem sowohl in den internen Netzen wie auch von externer Seite automatisiert auf Schwachstellen gescannt werden. Deshalb ist – in das XDR integriert oder per eigenständiger Lösung – auch eine Schwachstellenmanagement-Lösung anzubieten, welche die Scans möglichst automatisiert durchführt und eine Priorisierung der Schwachstellen vornehmen kann.

Sowohl XDR wie auch Schwachstellenscan müssen Schnittstellen zum Logdatenmanagement-Tool Splunk aufweisen können.

Los 2

Für den Betrieb der Logdatenplattform, primär bestehend aus Splunk Enterprise und Cribl, sowie später Splunk Enterprise Security, ist ein Dienstleistungspartner erforderlich, der den täglichen Betrieb der Infrastruktur unterstützt. Dieser soll die Auftraggeberin auch bezüglich Optimierung, Weiterentwicklung und bei Updates unterstützen.

Der betriebliche Aspekt beinhaltet auch eine Reaktionszeit (vgl. Pflichtenheft Los 2). Das SLA umfasst die Unterstützung an Werktagen, eine 24h-Bereitschaft ist nicht gefordert.

Los 3

Wie beschrieben, wechselt der Auftraggeber von einem SOC Outsourcing Modell mit interner Unterstützung zu einem mehrheitlich intern betriebenem SOC mit ergänzenden Leistungen durch externe Partner. In diesem Rahmen wird die intern bestehende Infrastruktur erweitert oder, wo nötig, neu aufgebaut. Das gleiche gilt für die Use-Cases und Prozesse.

In diesem Los werden Beratungs- und Entwicklungs-Dienstleistungen für dieses Vorhaben sowie für den späteren Betrieb gesucht. Weiter wünscht sich der Auftraggeber Unterstützung bei Cyber Security Incidents vom gleichen Partner. Konkret geht es um folgende Leistungen:
- Incident Response Retainer: Unterstützung bei Cyber-Notfällen und Security Incidents mit potentiell grossem Schadensausmass auf Basis von vordefinierten Aktionsplänen und SLA
- Unterstützung bei der Analyse: Unterstützung bei der Analyse von Events und Incidents, verknüpft mit bestimmten Reaktionszeiten, Threat Hunting
- Beratung, Fachunterstützung und Knowhow-Transfer im gesamten Cybersecurity-Umfeld: Use Case Entwicklung und Beratung, Threat Modeling, Optimierung des SIEM, Erstellung und Verfeinerung von Playbooks, Optimierungen von SOC-Prozessen und Triage, Mithilfe in Projekten, Evaluation neuer Systeme und weitere fachspezifische Beratungsdienstleistungen

Los 4

Die bestehende Plattform soll weiterhin eingesetzt und erweitert werden, hierfür benötigt die Kapo Bern Lizenzen für Splunk Enterprise, Splunk Enterprise Security sowie Cribl.