Kombinierte IAM-, WAF- und Auth-Layer-Lösung, inkl. 7x24 SOC-Überwachung sowie 1st und 2nd Level Support

Begründung des Auftraggebers

Unter Berücksichtigung der in den Ausschreibungsunterlagen festgelegten Eignungs- und Zuschlagskriterien erhielt das Angebot der Adnovum AG, Badenerstrasse 170, 8004 Zürich, mit 957 von 1’000 möglichen Punkten die höchste Punktezahl und erwies sich somit als das vorteilhafteste Angebot.

Der dreistufige Lösungsansatz mit eigenständigen und voneinander unabhängigen Sicherheitskomponenten für WAF, Authentication Layer und IAM, die komplette Erfüllung aller Anforderungen, umfangreiche 7x24 SOC-Services mit proaktivem Monitoring und dediziertem SIEM sowie die wirtschaftliche und modulare Integration weiterer Anwendungen machten dieses Angebot aus qualitativer und ökonomischer Sicht zur besten Wahl.

Beschreibung

Gegenstand
- Beschaffung, Implementierung und Konfiguration einer kombinierten WAF-, Auth-Layer und IAM-Lösung.
- Betrieb eines 7x24 Security-Operations-Center (SOC) Dienstes.
- Langfristiger 1st und 2nd Level Support inklusive Wartung, regelmässigen Updates und der Verwaltung der Softwarelizenzen.

Leistungsumfang:
- Web Application Firewall (WAF): Implementierung und Betrieb einer skalierbaren WAF-Lösung zur Absicherung von Webanwendungen.
- Authentifizierungs-Layer für B2B/B2C: Einrichtung eines Authentifizierungs-Layers, der sowohl für Geschäftspartner (B2B) als auch für Endkunden (B2C) einsetzbar ist.
- Security Operation Center (SOC): Bereitstellung eines SOC-Dienstes, der eine 7x24-Überwachung und Analyse gewährleistet.
- Identity and Access Management (IAM): Integration einer IAM-Lösung zur Verwaltung von Identitäten und Zugriffsrechten, die den kompletten Login-Prozess und das Benutzer-Management unterstützten.
- 1st und 2nd Level Betrieb: Gewährleistung eines durchgehenden Betriebsservices mit 7x24-Stunden-Bereitschaft für den 1st und 2nd Level Support.

Technische Anforderungen
- Flexibilität der Lösung: Die Lösung muss für verschiedene Einsatzszenarien flexibel anpassbar sein (Private Multi Cloud PMC, GVZ On-Premise Cloud OPC, verschiedene Authentication Backends).
- Zwei-Faktor-Authentifizierung (2FA): Integration von 2FA für erhöhte Sicherheit.
- Anbindung interner und externer Identitätsprovider: Die Unterstützung von AGOV und SwissID als externe Identitätsprovider muss gewährleistet sein.
- Die Einhaltung der GVZ Continuous Integration / Continuous Deployment (CI/CD) Grundsätze (für GVZ Applikationen in der GVZ OPC oder GVZ PMC) sind einzuhalten und bezüglich dem Betrieb der WAF, des Authentication-Layers und des IAMs zu berücksichtigen:
- Die GVZ ist zu jederzeit «RELEASEFÄHIG».
- Die GVZ entscheidet, welche Releases installiert werden und ist verantwortlich für die Deployments in NONPROD und PROD.
- Die GVZ ist in der NONPROD und PROD jederzeit in der Lage, notwendige Konfigurationen und Änderungen selbstständig durchzuführen.