UNIVERSIDAD DE BURGOS

Transcripción

1 UNIVERSIDAD DE BURGOS SERVICIO DE INFORMÁTICA Y COMUNICACIONES Prescripciones técnicas para la adquisición y mantenimiento de Equipamiento de Seguridad Perimetral de la Red Corporativa de la Universidad de Burgos 1. OBJETO El objeto de este procedimiento es contratar la adquisición y el mantenimiento de equipamiento de red necesario para mejorar el nivel de seguridad de la red de la Universidad de Burgos. Este equipamiento estará compuesto por un único cluster constituido por dos nodos que agruparán las redes, políticas de filtrado y conexiones VPN actuales. Se incluyen además los correspondientes servicios de instalación, configuración y mantenimiento, formación y soporte. La empresa adjudicataria se comprometerá a atender y resolver las incidencias comunicadas por la Universidad de Burgos, como consecuencia de las averías, cambios de configuración programados, actualización de versiones y mantenimiento preventivo de los equipos objeto del contrato. Este pliego de prescripciones técnicas recoge las condiciones mínimas que debe cumplir la oferta presentada y que se detallan a continuación. La oferta incluirá todos aquéllos componentes, materiales, licencias, mano de obra, desplazamientos y otros gastos relacionados con la ejecución del contrato. 2. CARACTERÍSTICAS ESPECÍFICAS DE LOS EQUIPOS. Las características hardware que debe cumplir cada uno de los dos equipos objeto de la licitación son: 1. Los equipos deberán tener como mínimo 2 puertos de transmisión de datos de 10 Gbps incluyendo óptica de transmisión SFP+ para fibra multimodo de corta distancia. Página 1 de 9

2 2. Los equipos deberán tener como mínimo 6 puertos de 1 Gbps. 3. Puertos dedicados fuera de banda específicos para gestión de alta disponibilidad con tecnologías Ethernet, con el objetivo de garantizar que no consuman interfaces de servicio para esta tarea. 4. Arquitectura en alta disponibilidad, permitiendo el despliegue tanto en modo Activo-Pasivo como Activo-Activo. 5. Soporte de protocolo de HA. Se valorarán puertos de gestión y de HA independientes y configurables tanto a 1G como a 10G, redundados para garantizar la disponibilidad del sincronismo de sesiones y de la administración. 6. Los equipos tienen que tener capacidad para configurar cortafuegos (firewalls) virtuales. En el caso de que sea necesario disponer de licencias específicas para su activación, la oferta deberá incluir las licencias necesarias para dotar de, al menos, 10 firewalls virtuales totalmente funcionales. 7. Posibilidad de visualización del número de usos y cantidad de tráfico de cada regla de la política de seguridad. 8. Inspección a nivel de aplicación (nivel 7), reconocimiento y filtrado de las aplicaciones sobre cualquier puerto 9. Deberá permitir crear firmas personalizadas para la identificación de aplicaciones propietarias. 10. Capacidades de traffic shaping y priorización del tráfico, por aplicación, por política e interfaz y subinterfaz, tanto para el tráfico saliente como para el entrante. 11. Inspección de tráfico SSL, tanto en entrada como en salida. Identificación de aplicaciones sobre túneles SSL. 12. Descifrado de tráfico SSL y SSH sobre cualquier puerto. Capacidad para descifrar el tráfico SSL sobre cualquier puerto, en base a la categoría de URL, origen, destino y flujo de tráfico. Debe tener la posibilidad de bloquear las sesiones SSL que no pueden ser descifradas o aquellas con certificados de servidor no confiables. 13. Despliegues de red en modo sniffing (fuera de línea, recibiendo un mirror del tráfico) y L2/L3 (routing). Se debe poder configurar todos a la vez. 14. Soporte de routing para tráfico multicast. 15. Detección y mitigación de ataques de DoS. 16. Posibilidad de utilizar autenticación de doble factor en los establecimientos de VPN- SSL con o sin agente, para incrementar la seguridad del sistema de acceso y se deben soportar las siguientes características Soporte a VPNs sobre IPSec (Internet Protocol Security). Soporte a VPNs sobre SSL (Secure Socket Layer). Página 2 de 9

3 Soporte de VPN con xauth y certificados en IPSec. 17. El rendimiento con todos los mecanismos de filtrado y patrones activos, tanto para IPS como antivirus, debe ser de 5Gbps o superior, procesamiento del tráfico mediante flujos totalmente diferenciados de manera que el habilitar cualquier regla de IPS o Antivirus no haga caer el rendimiento firewall del resto de flujos 18. Soporte del estándar IEEE 802.1Q, IEEE 802.3ad 19. Protocolos dinámicos de routing: RIP, OSPF y BGP para IPv4 y soporte completo de IPv6 20. Los equipos deben cumplir las siguientes especificaciones: Procesamiento de al menos 2 millones de sesiones concurrentes TCP/UDP. Manejo de al menos nuevas sesiones por segundo. Procesamiento de al menos túneles IPSec (Internet Protocol Security) concurrentes. Procesamiento de al menos 2000 usuarios SSL VPN 21. Doble fuente de alimentación (redundante) de 230V, 50/60Hz remplazables en caliente sin pérdida de servicio. 22. Identificación de usuarios a través de la integración con directorios LDAP, Directorio Activo 23. Portal cautivo con autenticación basada en LDAP, NTLM y entornos Microsoft, Radius y base de datos local al firewall. 24. Capacidad de realizar prevención de vulnerabilidades (IPS) y antivirus. Se deben incluir todas las licencias necesarias. 25. Capacidad de controlar qué tipo de ficheros circulan por la red, incluidos los ficheros comprimidos. 26. Reconocimiento y prevención de escaneos de red. 27. Detección y mitigación de ataques de DoS. 28. Envío de logs a sistemas de terceros (syslog, conector ArcSight). 29. Capacidad de realizar tareas de NAT y PAT, incluido NAT transparente. 30. Actualizaciones automáticas, programables, para las firmas de Aplicación, IPS. Página 3 de 9

4 31. Es requisito necesario que todas las funcionalidades se puedan activar de forma concurrente en todos los firewall tanto virtuales como físicos. 32. La solución debe soportar reporting totalmente personalizable para todos los logs con formato estándar (XML). 33. Soporte a RBAC (Role Based Access Control - Perfiles para gestión diferenciada y gestión delegada). 34. Capacidad de filtrado por URL o por categoría de URL. 35. Capacidad para identificar, clasificar y gestionar sistemáticamente el tráfico desconocido. La solución debe ser capaz de identificar el tráfico desconocido, categorizarlo para su análisis y gestionarlo en base a políticas. 36. Se valorará una solución de detección de malware en base a tecnología de sandboxing en la nube. Los ficheros sospechosos deben poderse identificar en el equipo y enviarse al sistema de detección de malware en la nube, en base a la aplicación, el tipo de fichero, la dirección del flujo o el usuario. 37. Es necesario algún mecanismo de integración con la red Eduroam. 3. PLAZO DE EJECUCIÓN El suministro, instalación, configuración y puesta en marcha del equipamiento objeto de este pliego, se hará en un plazo máximo de 2 meses desde el momento de la firma del contrato. 4. SOPORTE Y MANTENIMIENTO Una vez realizada la instalación, configuración y puesta en marcha de los equipos, la empresa adjudicataria deberá prestar al menos 3 años de mantenimiento, incluyendo los siguientes servicios: Atención de incidencias Servicio de asistencia técnica con el fin de detectar y solucionar las incidencias que se presenten en los equipos objeto del presente contrato, incluyendo los desplazamientos que se deban realizar. Si se produjese una avería de hardware, se suministrarán e instalarán por parte de la empresa responsable los elementos necesarios para la reparación. En el caso de que se haga necesaria la retirada del equipo averiado, se proporcionará temporalmente para su sustitución un equipo del mismo fabricante. El transporte y la reposición de piezas, se realizará sin coste adicional para la UBU. Página 4 de 9

5 Cuando se proceda a la sustitución de cualquier equipo, la empresa adjudicataria realizará una reinstalación del software y de los ficheros de configuración propios del equipo original. La empresa adjudicataria escalará al servicio técnico del fabricante aquellas incidencias que la propia empresa o la UBU consideren necesarias, sin coste adicional. La oferta deberá incluir la provisión de servicios de monitorización, actualización y configuración remota de equipos siendo por cuenta del adjudicatario todo el equipamiento necesario para los mismos. En el caso de producirse el fallo de un equipo por un error de su software interno, deberá proveerse a la Universidad de Burgos de la actualización correspondiente sin cargo alguno. La versión de software que se suministre deberá ser compatible con las funcionalidades operativas en el equipo averiado antes del fallo. La empresa adjudicataria será responsable de la configuración del mismo con la nueva versión sin coste adicional para la Universidad. Mantenimiento preventivo Entre las acciones de mantenimiento preventivo se incluye la monitorización remota de la red y la configuración, en colaboración con el personal del SIC, de alertas de malfuncionamiento de los equipos que permitan reducir los fallos de disponibilidad de los servicios de red. Dentro del mantenimiento preventivo también se incluirá la actualización de versiones de los equipos. En este apartado es importante señalar que si el software utilizado en los equipos requiere del pago de una licencia software anual, ésta correrá a cargo de la empresa adjudicataria. La empresa adjudicataria garantizará al personal del SIC responsable de la administración de la red, el acceso web privilegiado a la página de los fabricantes de los equipos objeto del presente contrato para la consulta de información técnica, descarga de software o el seguimiento de los casos abiertos con el fabricante. Soporte al Personal del SIC En la oferta se incluirá un servicio de atención para el personal del Área de Comunicaciones del SIC, al que puedan dirigirse para el planteamiento de cuestiones relacionadas con configuraciones, funcionalidades del equipo, diseños de nuevas soluciones y/o servicios etc. y que actúe como servicio de soporte para las tareas de operación de la red de la Universidad. Durante la ejecución de los trabajos objeto del contrato, el adjudicatario se compromete a facilitar en todo momento, la información y la documentación que dicho personal solicite para disponer de un pleno conocimiento de las circunstancias en que se Página 5 de 9

6 desarrollan los trabajos, así como de los eventuales problemas que puedan plantearse y de las tecnologías, métodos y herramientas utilizados para resolverlos. La empresa adjudicataria asignará un técnico cualificado para asesorar al personal del Servicio de Informática y Comunicaciones (SIC) de la UBU para la correcta configuración de los dispositivos de red objeto del contrato, en el supuesto que se necesite desplegar un nuevo servicio de red o se planifique una ampliación o mejora de los servicios prestados. La oferta deberá detallar un plan de formación específica oficial del fabricante, en el que se deberán incluir al menos cuatro jornadas de formación sobre el nuevo equipamiento e IPS/IDS, para 3 personas. Se requiere además al menos dos jornadas impartidas por el responsable del despliegue explicando la solución instalada y su configuración, que se impartirán al finalizar la instalación. Previa a esta formación, la empresa adjudicataria deberá haber proporcionado al personal del SIC toda la documentación relativa a la solución implantada. Una vez transcurrido un tiempo mínimo de 4 meses después de la instalación, se impartirán otras dos jornadas, para aclarar las dudas y problemas que puedan haber surgido en ese período. Si se produjeran cambios en las versiones de software, arquitectura, etc. que introdujeran cambios sustanciales en el manejo de las herramientas de trabajo, deberán plantearse acciones complementarias de formación incluidas en el contrato. La empresa adjudicataria deberá entregar a la Universidad en formato electrónico, los manuales técnicos y de usuario, que deberá mantener periódicamente actualizados durante la duración del presente contrato. Se valorará la oferta de una bolsa de horas para trabajos realizados a petición de los técnicos de la Universidad. 5. PLANIFICACIÓN, DIRECCIÓN Y SEGUIMIENTO DEL CONTRATO Una vez adjudicado el presente concurso y realizados los trámites administrativos necesarios para la formalización del contrato, el adjudicatario se reunirá con el personal de la Universidad de Burgos y se procederá al nombramiento de una comisión de seguimiento del proyecto. Esta comisión estará presidida por el director de proyecto e incorporará personal perteneciente a la UBU y a la empresa adjudicataria. Corresponde a la Comisión de seguimiento la supervisión y dirección de los trabajos, proponer las modificaciones que sea conveniente introducir o, en su caso, proponer la suspensión de los trabajos si existiese causa suficientemente motivada. Página 6 de 9

7 La comisión de seguimiento se reunirá a petición del director de proyecto y tendrá sus reuniones en las instalaciones de la Universidad de Burgos con la periodicidad que fije el director del proyecto. Formarán parte de la Comisión de seguimiento: El Director del Proyecto, nombrado por parte de la UBU Personal del Servicio de Informática y Comunicaciones Un responsable comercial por parte de la empresa adjudicataria Un técnico responsable del proyecto designado por la empresa adjudicataria Las funciones de esta Comisión serán las siguientes: Seguimiento y evaluación del progreso de las tareas y plazos planificados para la implantación y prestación de los servicios Coordinación de las reuniones e informes de seguimiento del proyecto Verificación del cumplimiento de las especificaciones solicitadas y definición de los requisitos pendientes Negociación para la incorporación de nuevas prestaciones o requisitos Cualquier otro asunto que la propia comisión considere de interés La empresa adjudicataria asignará un responsable del proyecto para el control de las incidencias y realizará informes trimestrales donde se indiquen las actuaciones realizadas como consecuencia de los tres servicios prestados: atención de incidencias, mantenimiento preventivo y soporte al personal del SIC. Con periodicidad trimestral se deberán recoger y documentar las incidencias surgidas durante dicho periodo, en el que constarán los momentos de apertura y cierre de las mismas, las soluciones propuestas y las realmente llevadas a cabo y todos aquéllos aspectos que deban destacarse. Igualmente, en el caso de que hayan llevado a cabo recomendaciones o acciones de tipo preventivo, se harán constar en dicho informe. Se mantendrá como mínimo una reunión semestral entre el personal del SIC y la empresa adjudicataria y se elaborará un acta en la que quede constancia del seguimiento realizado por ambas partes al servicio de mantenimiento y se puedan establecer las siguientes actuaciones de mejora de servicio. 6. HORARIOS DE ATENCIÓN DE INCIDENCIAS Y TIEMPOS DE RESPUESTA y RESOLUCIÓN Se define el tiempo de respuesta como el tiempo en que la empresa confirma haber recibido la notificación de la incidencia. Se define el tiempo de resolución el tiempo que transcurre desde que se notifica una incidencia hasta que se repone el funcionamiento normal de la red. Página 7 de 9

8 Soporte on-line y telefónico: El horario de soporte telefónico y on-line será 7 días a la semana durante las 24 horas del día. El horario laboral será como mínimo de lunes a viernes de 8:00 a 20:00h. Los tiempos de respuesta y resolución dependerán de la prioridad de la avería: Prioridad 1 (Alta): La red de la Universidad está fuera de servicio. El tiempo de respuesta deberá ser inmediato y el de intervención de 2 horas laborables (como máximo), a partir de la recepción del aviso de avería. Prioridad 2 (Media): La red no funciona a pleno rendimiento, pero sigue siendo operativa. El tiempo de respuesta deberá ser como máximo de 2 horas y el de intervención de 4 horas laborables (como máximo), a partir de la recepción del aviso de avería. Prioridad 3 (Baja): Funcionamiento de la red que presenta problemas de efecto limitado o poco importante. El tiempo de respuesta deberá ser como máximo de 4 horas y el de intervención se acordará con el personal técnico de la Universidad de Burgos. En todos los casos se incluye la intervención en el lugar de instalación de los equipos, en caso de que el personal del SIC lo considere necesario para la buena resolución de la avería. Se incluye además cualquier revisión previa y de mantenimiento preventivo que sea necesario efectuar. La empresa adjudicataria deberá disponer de un sistema para el seguimiento del estado de las incidencias (preferiblemente en entorno web). La Universidad facilitará al equipo de soporte de la empresa adjudicataria, el acceso remoto al sistema a efectos del diagnóstico y la solución de incidencias, el seguimiento y supervisión de los parámetros de disponibilidad y rendimiento, y para eventuales modificaciones del software, configuración, consultas, ajustes, y en general, para cualquier tarea indispensable para el cumplimiento de las cláusulas previstas en este pliego. 7. DELIMITACIÓN DE RESPONSABILIDADES EN DECISIONES TÉCNICAS El personal del Área de Comunicaciones del S.I.C. es responsable del óptimo funcionamiento de la red de datos de la Universidad de Burgos. Por ello, cualquier decisión que afecte a la conexión, parada, modificación de configuraciones, sustitución, etc. de los equipos objeto del contrato, debe ser consensuada previamente con los miembros de dicho Área. Llegado el caso de que una solución adoptada sin consentimiento del personal del Área de Comunicaciones del S.I.C. provoque posteriormente mal funcionamiento o Página 8 de 9

9 interrupciones del servicio de la red, se podrá proceder a una sanción económica proporcional al número de horas de fallo provocadas por dicha anomalía; independientemente de que la resolución del problema se produzca dentro de los plazos establecidos en el acuerdo de nivel de servicio. 8. SEGURIDAD Y CONFIDENCIALIDAD DE LA INFORMACIÓN El adjudicatario adoptará las medidas oportunas para asegurar la confidencialidad e integridad de la información y aplicaciones a las que pudiera tener acceso para realizar los servicios de mantenimiento, de acuerdo a los principios de la protección de datos establecidos en la Ley 15/99, de 13 de diciembre de Protección de Datos de Carácter Personal. Asimismo, la empresa adjudicataria deberá comprometerse a adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal, si los hubiera, y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural y en especial las medidas previstas en el Real Decreto 1720/2007 de 21 de Diciembre. El adjudicatario se compromete asimismo a efectuar un borrado lógico de la información que garantice su irrecuperabilidad, en aquellos equipos que contengan información no cifrada de carácter reservado o de carácter personal que como consecuencia de la ejecución del contrato sea preciso sacar fuera de las instalaciones de la UBU. Burgos, a 26 de Abril de 2013 La Jefa del S.I.C. Fdo: Zulema Furones Fernández Página 9 de 9