Pięć kluczowych zagadnień przy weryfikacji prawidłowości informatyzacji procesu Zamówień Publicznych.

Poniżej przedstawionych zostało pięć kluczowych zagadnień, które mogą być przedmiotem badania. Każdy z zamawiających powinien sobie zadać pytanie, czy jest w stanie na te pytania odpowiedzieć? Zgodnie bowiem z przepisem art. 10b ustawy z dnia 29 stycznia 2004 r. Prawo zamówień publicznych, to zamawiający zapewnia, aby narzędzia i urządzenia wykorzystywane do komunikacji z wykonawcami oraz ich właściwości techniczne były niedyskryminujące, ogólnie dostępne oraz interoperacyjne z produktami służącymi elektronicznemu przechowywaniu, przetwarzaniu i przesyłaniu danych będącymi w powszechnym użyciu oraz nie mogły ograniczać wykonawcom dostępu do postępowania o udzielenie zamówienia. Narzędzia muszą spełniać wymogi określone w rozporządzeniu Prezesa Rady Ministrów z dnia 27 czerwca 2017 r. w sprawie użycia środków komunikacji elektronicznej w postępowaniu o udzielenie zamówienia publicznego oraz udostępniania i przechowywania dokumentów elektronicznych zmienionego w dniu 18 października 2018 r. (dalej: „rozporządzenie e-zamówienia”). Oznacza to, że za wybór odpowiedniego narzędzia odpowiedzialny jest zamawiający. Przedmiotem analizy jest zgodność narzędzi z rozporządzeniem ze szczególnym uwzględnieniem bezpieczeństwa danych.

Zagadnienie: Szyfrowanie ofert
PYTANIE
Czy i jakie mechanizmy zastosowano w narzędziu (systemie) w celu ochrony treści ofert i wniosków przed nieupoważnionym dostępem?
PRZEPIS
§3 ust. 2 pkt 2) rozporządzenia e-zamówienia „Przekazanie ofert, wniosków o dopuszczenie do udziału w postępowaniu, wniosków, o których mowa w art. 134c ustawy, oraz prac konkursowych, następuje za pomocą środków komunikacji elektronicznej, których użycie zapewnia dodatkowo: ochronę przed dostępem do treści tych dokumentów przed upływem wyznaczonych terminów ich otwarcia”
DLACZEGO TO WAŻNE
Jest to najistotniejszy aspekt bezpieczeństwa, aby nikt, nawet pracownik operatora platformy nie mógł zobaczyć treści zaszyfrowanej oferty czy wniosku, ponieważ prowadzi to do możliwości nieuprawnionego wpływania na wynik przetargów, jest zaprzeczeniem uczciwej konkurencji i równego traktowania wykonawców. Możliwość zapisania niezaszyfrowanej wersji roboczej oferty powoduje dostęp do poufnej treści.
JAK TO JEST W SMARTPZP
Szyfrowanie odbywa się z wykorzystaniem kluczy asymetrycznych, klucz publiczny jest zapisany na platformie SmartPZP, klucz prywatny przechowywany jest na karcie inteligentnej uniemożliwiającej wydobycie go. Karty są w wyłącznej dyspozycji zamawiającego (członków komisji upoważnionych do odszyfrowania ofert). Wszystkie oferty w momencie ich złożenia są szyfrowane podwójnie kluczami publicznymi dwóch członków komisji przetargowej. Istotą bezpieczeństwa jest to, że klucze publiczne oraz prywatne użytkowników zamawiającego są wystawiane przez Zaufaną Stronę Trzecią (Trusted Third Party – TTP) umieszczoną przez Ministra Cyfryzacji w "Rejestrze dostawców usług zaufania" prowadzonym przez Narodowe Centrum Certyfikacji, takie jak Krajowa Izba Rozliczeniowa (KIR) czy Asseco Data System (Certum). Użytkownicy zamawiającego sami wgrywają certyfikaty na platformę, operator systemu nie ma do nich dostępu. Zatem fizycznie oddzielone są zaszyfrowane dane – do których ma dostęp operator platformy, od miejsca przechowywania kluczy – na kartach komisji przetargowej. Gwarantuje to absolutne bezpieczeństwo i brak możliwości dostępu do zaszyfrowanych ofert zarówno dla administratora bazy danych (operatora), jak i dla użytkowników zamawiającego.

JAK BYĆ NIE POWINNO

1. Klucze nie powinny być generowane przez system
2. Oferty nie powinny się odszyfrowywać „samodzielnie” po upływie terminu,
3. otrzymanie przez użytkownika kodu na telefon nie stanowi zabezpieczenia ofert, ponieważ kod jest generowany przez system

DLACZEGO?
Klucze użyte do szyfrowania powinne być zewnętrzne i zupełnie niezależne od systemu, aby pracownik operatora systemu nie mógł ich wykorzystać do nieuprawnionego podejrzenia oferty. Jeżeli w posiadaniu operatora systemu są klucze i zaszyfrowana oferta, to te oferty są chronione w sposób iluzoryczny.
Zagadnienie: Uwierzytelnienie wykonawcy
PYTANIE
Czy i jakie rozwiązania zostały zastosowane w systemie do identyfikacji i uwierzytelnienia podmiotu? Czy użytkownicy narzędzia (systemu) posiadają indywidualne konta w systemie, które wymagają uwierzytelnienia jedną z ustalonych metod (jaką)? Czy operacje autoryzacji użytkowników są logowane (rejestrowane)?
PRZEPIS
§3 ust. 2 pkt 1) rozporządzenia e-zamówienia „Przekazanie ofert, wniosków o dopuszczenie do udziału w postępowaniu, wniosków, o których mowa w art. 134c ustawy, oraz prac konkursowych, następuje za pomocą środków komunikacji elektronicznej, których użycie zapewnia dodatkowo: identyfikację podmiotów przekazujących, ustalenie dokładnego czasu i daty przekazania tych dokumentów, oraz rozliczalność innych działań podejmowanych przez podmioty przekazujące”
DLACZEGO TO WAŻNE
Składanie ofert w postępowaniach o udzielenie zamówienia publicznego ma doniosłe skutki z punktu widzenia pewności prowadzenia procesu wyłonienia najkorzystniejszej oferty, zamawiający musi mieć pewność, że oferta została nie tylko podpisana, ale i złożona przez ściśle określony podmiot.
JAK TO JEST W SMARTPZP
Podmioty uwierzytelniane są w sposób pewny za pomocą podpisu kwalifikowanego. Użytkownicy posiadają indywidualne konta. Operacje autoryzacji są rejestrowane w systemie.

JAK BYĆ NIE POWINNO

Składanie ofert bez zakładania konta wykonawcy, podając tylko np. e-mail.

DLACZEGO?
Jest niezgodne z przepisem rozporządzenia, które wymaga aby przekazanie ofert, wniosków następowało za pomocą środków komunikacji elektronicznej, których użycie zapewnia identyfikację podmiotów przekazujących.
Zagadnienie: Zróżnicowane role w systemie
PYTANIE
Czy określono role w systemie? Czy przypisano czynności wynikające w niniejszego obszaru dla poszczególnych ról? Czy przypisano użytkowników do poszczególnych ról? Czy i w jaki sposób udokumentowano przypisanie ról/czynności do użytkowników?
PRZEPIS
§3 ust. 2 pkt 3) – 5) rozporządzenia e-zamówienia „Przekazanie ofert, wniosków o dopuszczenie do udziału w postępowaniu, wniosków, o których mowa w art. 134c ustawy, oraz prac konkursowych, następuje za pomocą środków komunikacji elektronicznej, których użycie zapewnia dodatkowo: 3) wyłącznie osobom uprawnionym możliwość ustalania oraz zmiany terminów składania i otwarcia tych dokumentów; 4) podczas poszczególnych etapów postępowania o udzielenie zamówienia lub konkursu możliwość udostępniania wyłącznie osobom uprawnionym całości lub części danych zawartych w tych dokumentach; 5) możliwość praktycznego zagwarantowania jednoznacznego wykrycia ewentualnego naruszenia lub próby naruszenia wymogów, o których mowa w pkt 2–4;”
DLACZEGO TO WAŻNE
W systemach do elektronizacji zamówień przechowywane są wrażliwe dane, których poufność jest zróżnicowana na różnych etapach postępowania. Przechowywane są tam informacje o kwocie jaką zamawiający przeznaczył na sfinansowanie zamówienia, tajemnice przedsiębiorstw czy dane osobowe. Dostęp do danych z konkretnego postępowania, powinien być przez system chroniony poprzez zapewnienie zróżnicowanych ról o różnych poziomach uprawnień do podglądu/edycji/zmiany terminu składania ofert.
JAK TO JEST W SMARTPZP
W systemie SmartPZP jest wiele ról, które determinują posiadane, zróżnicowane poziomy uprawnień do możliwości zmiany terminu składania/otwarcia ofert, a także dostępu do dokumentacji w wersji roboczej czy też dokumentacji, która na danym etapie postępowania nie jest ujawniona. Role te są zróżnicowane i uzależnione od roli przypisanej użytkownikowi w konkretnym postępowaniu. W systemie wyróżniamy role: Kierownik zamawiającego, Zastępca Kierownika, Przewodniczący, Sekretarz, Członek, Biegły, Kontrolujący, Operator.

JAK BYĆ NIE POWINNO

Niekorzystne jest, aby wszyscy użytkownicy zamawiającego mieli identyczne dostępy do wszystkich postępowań.

DLACZEGO?
Nieograniczony dostęp do wszystkich postępowań prowadzonych przez zamawiającego jest przejawem nieprawidłowych praktyk naruszających zasady bezpieczeństwa. W szczególności taka sytuacja może prowadzić do nieuprawnionego dostępu do poufnych danych przez osoby, które nie są uwidocznione jako członkowie komisji przetargowej i nie podpisują oświadczenia o bezstronności.
Zagadnienie: Wersje robocze oferty
PYTANIE
Czy system umożliwia zapisanie „wersji roboczej” oferty?
PRZEPIS
§3 ust. 2 pkt 2) rozporządzenia e-zamówienia „Przekazanie ofert, wniosków o dopuszczenie do udziału w postępowaniu, wniosków, o których mowa w art. 134c ustawy, oraz prac konkursowych, następuje za pomocą środków komunikacji elektronicznej, których użycie zapewnia dodatkowo: ochronę przed dostępem do treści tych dokumentów przed upływem wyznaczonych terminów ich otwarcia”
DLACZEGO TO WAŻNE
Możliwość zapisania niezaszyfrowanej wersji roboczej oferty powoduje dostęp do poufnej treści widocznej w bazie danych operatora platformy.
JAK TO JEST W SMARTPZP
System uniemożliwia zapisanie wersji roboczej oferty. Ofertę wprowadza się podczas jednej sesji i system sam szyfruje ofertę podczas wysyłki. Nie ma możliwości zapoznać się z jej treścią przed upływem terminu otwarcia ofert.

JAK BYĆ NIE POWINNO

System nie powinien umożliwiać zapisania niezaszyfrowanej oferty, nawet roboczej.
DLACZEGO?
Zapisanie roboczej, a więc niezaszyfrowanej oferty powoduje dostęp do wrażliwych danych i może wpływać w istotny sposób na wypaczenie wyniku postępowania.
Zagadnienie: Archiwum elektroniczne
PYTANIE
Czy zapewniono tzw. elektroniczne archiwum? Jeżeli tak, to jakie narzędzie (system) jest wykorzystywane w tym celu? Czy dokumenty przechowywane są w formie elektronicznej: z zapewnieniem integralności treści dokumentów i metadanych przez zabezpieczenie przed wprowadzaniem zmian, zabezpieczone przed usunięciem dokumentów z systemu, z możliwością stałego i skutecznego dostępu do dokumentów z możliwością ich wyszukiwania, możliwe jest przesyłanie dokumentów do innych systemów teleinformatycznych, zapewniają możliwość zapisania wyeksportowanych metadanych w formacie XML?
PRZEPIS
§ 5 ust. 4. rozporządzenia e-zamówienia „System teleinformatyczny zapewnia autentyczność źródła danych i niezmienność danych po ich kompresji do pliku, o którym mowa w ust. 3, podpisywanego przez wykonawcę.” § 6 ust. 1. rozporządzenia e-zamówienia „Zamawiający sporządza, przechowuje, przekazuje, udostępnia oraz usuwa dokumenty elektroniczne za pośrednictwem systemu teleinformatycznego spełniającego wymagania odpowiadające łącznie wymaganiom określonym: 1) w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne; 2) w przepisach wydanych na podstawie art. 5 ust. 2b ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2016 r. poz. 1506 i 1948 oraz z 2017 r. poz. 1086).”
DLACZEGO TO WAŻNE
Ponieważ na zamawiającym ciąży obowiązek archiwizowania w sposób pewny protokołu postępowania wraz z załącznikami przez okres 4 lat. Dane te (pliki oraz metadane w postaci logów systemowych) muszą być zabezpieczone przed ich modyfikacją lub usunięciem.
JAK TO JEST W SMARTPZP
System zapewnia elektroniczne archiwum, które uniemożliwia modyfikację czy usunięcie plików, które zostały przez zawijającego opublikowane (nie są w statusie roboczym), jak również wszelkich metadanych i plików przesłanych przez wykonawcę. System zapewnia integralność i autentyczność treści załączników. Zawsze jest możliwość pobrania z systemu oryginalnego pliku. Każda oferta/załącznik jest podpisywana podpisem kwalifikowanym wykonawcy. W dokumentach znajduje się spis dokumentów wraz z ich sumami kontrolnymi co uniemożliwia zmianę plików w terminie późniejszym. Suma kontrolna jest liczbą uzyskaną w wyniku sumowania lub wykonania innych operacji matematycznych na przesyłanych danych, przesłana razem z danymi i służąca do sprawdzania poprawności przetwarzanych danych. System nie pozwala Zamawiającemu ingerować w załączniki przesłane przez Wykonawcę.

JAK BYĆ NIE POWINNO

Niedopuszczalne jest, aby zamawiający zapisywał oferty i inne istotne dokumenty na dysku.
DLACZEGO?
Dysk komputera pracownika zamawiającego jest pewnym sposobem przechowywania danych, ponieważ zamawiający poprzez działania umyślne lub nieumyślne może doprowadzić do sytuacji, w której utraci pliki. Pliki muszą też być zabezpieczone przed edycją, tak aby nie było możliwości ingerencji w archiwalne dokumenty. Wymogiem rozporządzenia jest, aby system gwarantował integralność i autentyczność przekazywanych informacji.