Einführung einer SIEM-Sicherheitslösung (Security Information and Event Management) und Betrieb eines SOC (Security Operation Center)

Im Rahmen des Krankenhausstrukturfonds 2 werden Mittel bereitgestellt, welche die Digitalisierung und vor allem die IT-Sicherheit in Krankenhäusern beträchtlich verbessern sollen. Für die Klinikum Chemnitz gGmbH ist die Beschaffung und Einführung eines Security Operations Centers (SOC) für alle Standorte ein Baustein, um diese Ziele zu erreichen und damit zu einer signifikanten Verbesserung der IT-Sicherheit beizutragen.
Durch den Einsatz eines SOC soll genauer bestimmt werden, welche Aktivitäten im Netzwerk auftreten, welche Events ausgelöst werden und auf welche Ressourcen zugegriffen wird. Um diese Aufgabe leisten zu können, überwacht und analysiert das SOC alle sicherheitsrelevanten Systeme, wie Unternehmensnetzwerke, Server, Arbeitsplatzrechner oder Internetservices. Unter anderem werden die Log-Dateien der einzelnen Systeme gesammelt, analysiert und nach Auffälligkeiten untersucht.
Neben der reinen Analyse der verschiedenen Systeme und Log-Dateien sind das Alarmieren und die Ergreifung von Maßnahmen zum Schutz von Daten und Anwendungen zentrale Aufgabe des Security Operations Centers.
Da die Implementierung und der Betrieb eines Security Operations Centers sehr viele technische und personelle Ressourcen bindet, soll das SOC durch einen zuverlässigen und kompetenten Partner aufgebaut und betrieben werden. Ein weiterer wichtiger Bestandteil des Betriebs sollen regelmäßig durchgeführte Schwachstellenscans sein, welche zyklisch mit den Verantwortlichen des Klinikums ausgewertet und besprochen werden, um daraus resultierenden Maßnahmen und Handlungsempfehlungen abzuleiten und umzusetzen.
Ziel ist, eine kontinuierliche Verbesserung der Informationssicherheit, als Grundlage einer reibungslosen Patientenversorgung, in einem Krankenhausverbund zu erzielen, der zu den kritischen Infrastrukturen zählt.
Folgende Schwerpunkte sind im Rahmen des Verfahrens zu beachten:
• Echtzeit-Überwachung, Datenaggregation, Korrelation und Analyse von sicherheitsrelevanten Ereignissen als umfassende Lösung zur Überwachung, Analyse und Verwaltung von Sicherheitsinformationen.
• Es existiert im Klinikum Chemnitz bereits eine Protokollierungsinfrastruktur (ELK-Stack). Diese soll ggf. erweitert oder separat neu aufgebaut werden.
• Bedienung durch Klinikum Chemnitz möglich, aber nicht zwingend
• Betriebsverantwortung bei Anbieter, „Mitnutzung“ der Informationen durch das Klinikum Chemnitz
• Betriebsart vor Ort, als Managed-Service oder als Cloud-Service möglich

Für die Beschaffung wird ein projektspezifisch angepasster EVB-IT-Dienstleistungsvertrag abgeschlossen. Der entsprechende Vertragsentwurf wird den Angebotsunterlagen für das Erstangebot beigefügt und kann durch den Auftraggeber zum Gegenstand der Vergabeverhandlungen gemacht werden.
Einzelheiten werden in den Bewerbungsbedingungen für die Angebotsphase geregelt. Der Vertragsentwurf liegt auch dieser Veröffentlichung bei (siehe Anlage 10).

Bausteine
Aufbau einer zentralisierten Protokollierungsinfrastruktur (basierend auf Elastic Stack) zur Erfassung, Speicherung und Analyse von sicherheitsrelevanten Log-Daten.
Beschaffung, Implementierung und ggf. Betrieb eines SIEM-Systems, das auf der Protokollierungsinfrastruktur aufbaut und als zentrale Plattform zur Bedrohungserkennung dient.
Bereitstellung und Betrieb von SOC-Dienstleistungen, inklusive:
• Kontinuierliche Sicherheitsüberwachung,
• Bedrohungserkennung durch erfahrene Analysten,
• Incident-Response und Unterstützung bei Sicherheitsvorfällen,
• Regelmäßige Analyse und Bewertung von sicherheitsrelevanten Ereignissen.
Workshop(s) zur Planung, Installation und Konfiguration der Protokollierungsinfrastruktur, des SIEM-Systems und der SOC-Prozesse.
Installation und Konfiguration der SIEM- und SOC-Services nach den Anforderungen des Auftraggebers.
Intensive Administratorschulung (eLearning) für die sichere Nutzung und Verwaltung der Plattform.
Rollout der SIEM- und SOC-Dienstleistungen sowie Übergang in den produktiven Betrieb (Go-Live).
Abnahme und Projektabschluss der Implementierungsphase.
Betrieb des SIEM-Systems und Nutzung der SOC-Services, inklusive regelmäßiger Berichterstattung
Regelmäßige Schwachstellenscans und Analysen, um potenzielle Sicherheitsrisiken frühzeitig zu erkennen.
Ableitung und Umsetzung von Handlungsempfehlungen, basierend auf den Ergebnissen der Sicherheitsanalysen.
Die Beschaffung erfolgt für eine Mindestvertragslaufzeit von 48 Monaten, nach Herstellung der Betriebsbereitschaft des Gesamtsystems.
Hiernach verlängert sich der Vertrag jeweils um ein Jahr, falls dieser nicht sechs Monate vor Vertragsende von einer Partei gekündigt wird.
Die sechs Monate Kündigungsfrist sind erforderlich, da es sich bei den gegenständlichen Leistungen um für die IT-Sicherheit des Auftraggebers zwingende Leistungen handelt. Eine Ersatzbeschaffung, selbst interimsweise Beschaffung, kann bei einer kürzeren Kündigungsfrist nicht gewährleistet werden.
Die konkreten Anforderungen entnehmen Sie bitte den Vergabeunterlagen. Der Auftraggeber hat zahlreiche Tochtergesellschaften.
Die Beschaffung umfasst sowohl den Bedarf des Auftraggebers, als auch den Bedarf von dessen Tochtergesellschaften.
Soweit die gegenständliche Beschaffung die Einräumung von Nutzungsrechten erfordert, werden dem Auftraggeber sämtliche (einfachen) Rechte zur Nutzung räumlich
unabhängig wahrend der Vertragslaufzeit eingeräumt, unabhängig von der Anzahl der Nutzer. Hierbei ist dem Auftragnehmer bekannt, dass auf die
Informationstechnik der Auftraggeberin zentral sämtliche Tochtergesellschaften zugreifen und diese nutzen. Die Nutzungsrechteeinräumung umfasst daher
sämtliche, auch künftige Gesellschaften, an denen die Auftraggeberin mit mehr als 50% beteiligt ist.