PLIEGO DE PRESCRIPCIONES TÉCNICAS QUE HAN DE REGIR LA CONTRATACIÓN DE NUEVOS SERVICIOS DE ADMINISTRACIÓN ELECTRÓNICA PARA EL AYUNTAMIENTO DE BENIEL.

Transcripción

1 AYUNTAMIENTO DE BENIEL Plaza Ramón y Cajal, Beniel (Murcia) Telf Fax PLIEGO DE PRESCRIPCIONES TÉCNICAS QUE HAN DE REGIR LA CONTRATACIÓN DE NUEVOS SERVICIOS DE ADMINISTRACIÓN ELECTRÓNICA PARA EL AYUNTAMIENTO DE BENIEL. Contenido 1. Objeto del contrato Objetivos del servicio Descripción del Servicio a realizar Alcance del proyecto Descripción de las actividades y requerimientos funcionales Actividades de Planificación, Control y Seguimiento del Proyecto Actividades sobre el conjunto de procedimientos de administración electrónica Actividades sobre el porta firmas electrónico y sistema de gestión de expedientes Actividades sobre el Portal del Proveedor Actividades sobre el Cuadro de Mandos Integral Actividades de Gestión del Cambio/Formación Condiciones de ejecución Marco temporal del proyecto Dirección y seguimiento de los trabajos Equipo de trabajo Metodología a utilizar Requerimientos de seguridad Métricas de calidad...18

2 4.7 Productos resultantes...19 ANEXO I: Gestión de la seguridad...21 Actividades de Seguridad durante el ciclo de desarrollo...21 Áreas de requisitos de seguridad a considerar...22 Personal y organización...23 Entorno de desarrollo...24 Librerías, frameworks y productos...24 Gestión de vulnerabilidades...24 ANEXO II: Listado de procedimientos ya implantados en el Ayuntamiento de Beniel. 26 Pag. 2

3 1. Objeto del contrato El presente pliego tiene por objeto la contratación de un conjunto de nuevos servicios y procedimientos que se consideran necesarios para completar el Catálogo de Servicios de Administración Electrónica del Ayuntamiento de Beniel. Esta propuesta atiende a las necesidades derivadas de la evolución de la sociedad en el uso de las TIC y sobre todo pensando en las soluciones que desde las TIC se muestran más eficaces, para alcanzar mejores cotas de competitividad y eficacia en las empresas, lo que redundará en mejorar las cifras de empleo y de bienestar social de esta comunidad. La ejecución del contrato se ajustará a las condiciones expresadas en el presente pliego. 2. Objetivos del servicio Beniel, Encrucijada Digital, es un programa que engloba una serie de actuaciones que van a permitir llegar a toda la ciudadanía benielense, introduciéndola así en el uso de las nuevas tecnologías de la información y la comunicación. Este proyecto pretende ampliar el catálogo de servicios de administración electrónica que recientemente el Ayuntamiento de Beniel ha implantando. Los objetivos a conseguir serían: Mejorar y ampliar las funcionalidades de la plataforma SIGEM instalada en el Ayuntamiento (en el Anexo II se relacionan los procedimientos ya implantados) Pag. 3

4 Ampliar el catálogo de trámites disponibles para el ciudadano e implementar los cambios procedimentales detectados en los expedientes actuales. Desarrollar nuevos procedimientos electrónicos tanto para uso interno del Ayuntamiento como orientados a emprendedores, autónomos y empresas. Introducir nuevas aplicaciones de interés para el ciudadano y el Ayuntamiento. 3. Descripción del Servicio a realizar 3.1 Alcance del proyecto El alcance del servicio a realizar comprenderá: 1. Actualización de la actual Sede Electrónica, mediante la incorporación de un nuevo conjunto de procedimientos, cuya gestión se realice con la plataforma SIGEM. 2. Actualización del actual Porta Firmas Electrónico y del Sistema Gestión de Expedientes. 3. Actualización del Portal del Proveedor. 4. Implantación de un cuadro de mandos integral. 5. Formación, gestión del cambio y soporte post-implantación. 6. Mantenimiento. Cubrirá el soporte evolutivo. Se valorará positivamente uso de software sin coste de licencia y código abierto. Pag. 4

5 3.2 Descripción de las actividades y requerimientos funcionales. Las actividades a realizar en el ámbito del proyecto se incluyen en los siguientes subapartados: Actividades de Planificación, Control y Seguimiento del Proyecto Serán las actividades centradas en la monitorización del proyecto, la resolución de problemas y la provisión de información sobre el estado del proyecto al Comité de Seguimiento del proyecto. Este comité será constituido en el arranque del proyecto y estará compuesto, por parte del adjudicatario, por el Jefe de Proyecto y por parte del Ayuntamiento de Beniel, por un Responsable del Contrato y por las personas designadas a tal fin tras la adjudicación del contrato. En este conjunto de actividades se incluirán también los servicios de gestión y planificación de la implementación. Estas actividades deberán permitir corregir las desviaciones y detectar los problemas y riesgos que se presenten. Permanentemente se capturará la información pertinente sobre el estado del proyecto y la comparación del estado real con el planificado, analizando los indicadores de desviación actuales y previstos, con el objetivo de solucionar los potenciales problemas que se planteen. Los entregables por parte del adjudicatario de este conjunto de actividades incluirán: - Presentación del lanzamiento del proyecto. - Planificación general del proyecto. - Gestión de la configuración. - Inventario de riesgos. Pag. 5

6 - Informe para el Comité de Seguimiento. - Agendas y actas de reunión Actividades sobre el conjunto de procedimientos de administración electrónica. A través de la Sede Electrónica, se incorporarán los nuevos procedimientos de administración electrónica, de acuerdo con la selección de prioridades que determine el Ayuntamiento de Beniel. Pueden tratarse de procedimientos dirigidos a los ciudadanos o empresas, o de procedimientos internos que faciliten y den mayor fluidez a procesos de trabajo internos. Implementación de nuevos procedimientos y subprocesos. Se contempla la incorporación progresiva de nuevos procedimientos administrativos cuya gestión electrónica se realice con SIGEM. El licitador ofertará el número de procedimientos a implementar, con un mínimo de tres (3). Entre los posibles, se destacan algunas de las necesidades detectadas por el personal municipal para este módulo: o Subprocesos de fin de expediente y caducidad de expediente para cada departamento. o Procedimientos de registro de actas de sesión: administrativa y de órganos de gobierno con incorporación de ficheros multimedia. Para la implementación de estos procedimientos se seguirá el procedimiento habitual, que contempla las siguientes fases: Pag. 6

7 o Determinar el procedimiento o Entrevista con los actores principales para realizar la toma de datos y de documentación asociada o Estudio de reingeniería o Presentación de la propuesta y toma de datos de modificaciones sobre ella o Presentación y validación de la propuesta definitiva o Implementación en SIGEM o Presentación del procedimiento al departamento responsable y los actores que intervienen o Validación del procedimiento o Formación y Gestión del Cambio Modificación sobre procedimientos y funcionalidades ya implantados Se contemplan todas aquellas modificaciones o cambios que deban realizarse sobre los procedimientos o funcionalidades puestos en marcha durante los Proyectos de Modernización. Estas modificaciones pueden deberse, entre otras, a: o Cambios estructurales en la organización o Introducción de nuevas herramientas informáticas que modifiquen la operativa o Desarrollo de servicios web que permitan la intercomunicación con otras bases de datos o Cambios en la propia operativa del procedimiento o Cambios en ordenanzas o etc Actividades sobre el porta firmas electrónico y sistema de gestión de expedientes. Pag. 7

8 La implantación de SIGEM se realizó con la versión 2.1, que en aquél momento constituía la última versión liberada del producto por parte del Ministerio, pero que todavía introducía numerosos errores en la funcionalidad de la aplicación, pese que fueron minimizados gracias a la modificación del código fuente de la aplicación. Actualmente está anunciada la liberación de la versión 2.3 de SIGEM, la cual, además de solucionar algunos de los problemas de su antecesor, incluirá nuevas funcionalidades que serán de provecho y que deberán testearse exhaustivamente antes de su puesta en marcha, modificando el código fuente si fuera necesario para garantizar su correcto funcionamiento. De este modo, el Ayuntamiento actualizará SIGEM a una versión más reciente y funcional, en la que además se ha mejorado ligeramente la experiencia final del usuario. Proceso de migración. El proceso de migración podríamos resumir que se trata de un proceso mediante el cual: o Se realizará la instalación de la nueva versión de SIGEM, que se distribuirá en 3 máquinas virtuales diferenciadas: una albergará las aplicaciones internas (de gestión y de administración), otra albergará las aplicaciones para el ciudadano (la tramitación on-line, el publicador, etc.) y la tercera va a contener los repositorios documentales y las bases de datos. o Una vez finalizada la instalación, se comprobará el correcto funcionamiento de las funcionalidades implementadas hasta el momento en la versión 2.1 Pag. 8

9 o Se realizará el traspaso de datos entre versiones en entorno de pruebas, y se comprobará la integridad de todo el sistema o Finalmente, se acordará una fecha para iniciar el uso de la nueva versión de SIGEM. En esta fecha se realizará una actualización de los datos en la base de datos de la nueva versión y se desactivarán las máquinas virtuales de SIGEM 2.1 Nuevas funcionalidades Alguna de las nuevas funcionalidades que se plantea incluir en la versión 2.3 son las siguientes. o Añadir la posibilidad de Firmar con Reparos documento. Añadiendo un motivo de reparo. Se dará la posibilidad a un documento del portafirmas de firmar con reparo, indicando el motivo del reparo. Esta información quedará almacenada en la información telemática del documento para futuras consultas. o Añadir la posibilidad de Rechazar la firma. Añadiendo motivo de rechazo, quedando constancia del mismo en el trámite y avisando al generador del documento de dicho rechazo. Además se añadirá un listado de rechazos, tal y como está el histórico de firmas. Además de la anterior, también se posibilitará la opción de rechazar una firma, indicando el motivo del mismo. Así pues, el usuario encargado de la redacción, será avisado de dicho rechazo, para que pueda tomar las acciones oportunas. Además se incluirá un listado del histórico de rechazos, tal como existe el histórico de firmas. Pag. 9

10 o Posibilidad de que un firmante pueda ver todo el contenido del expediente. Se incluirá un botón de Ver Expediente en el listado de documento pendientes de firmas, para que el firmante pueda ver toda la información relativa al mismo sin necesidad de salir de la pantalla de firmas o Tratamiento de listados masivos para expedientes relacionados. Posibilidad de modificación de campos de manera masiva para expedientes de inscripción además de generación de listados a partir de un valor. Se incluirá la posibilidad de en un listado de expedientes del mismo tipo relacionados a un expediente padre (como puede ser la inscripción a una prueba selectiva), de modificar valores de manera masiva especificando cuales son los expedientes a modificar. Además se posibilitará la generación de informes en.pdf con los que cumplan con un determinado valor para su publicación o Incluir en la banda de firma, los datos de registro de salida. Para aquellos documentos, que una vez firmados, sea necesario su registro de salida, se incluirá una vez registrado, la información del mismo en la banda de firma, tal como el número de registro, la fecha y la hora. o Archivar automáticamente los registros aceptados y/o rechazados. Actualmente, los pasos para el tratamiento de los registros de entrada desde el tramitador, es aceptarlos y una vez aceptados, archivarlos (para que desaparezcan del listado). Se ofrece la posibilidad de aceptar y archivar en un solo paso Pag. 10

11 o Posibilidad de incluir avisos mediante o sms, cuando llegue un documento al portafirmas de un Usuario, para que no se retrase ésta. Se incluirá un sistema de avisos mediante o SMS (no certificado) para que cada vez que se active una firma de un circuito, el usuario responsable sea avisado por los métodos indicados para agilizar el proceso. o Inclusión de un sistema de avisos en el que se indique que un circuito de firma ha finalizado. Al igual que actualmente se muestran en la sección de avisos urgentes, los registros telemáticos, las firmas pendientes o los plazos caducados. Se incluirá una línea más para circuitos finalizados, que se activará a los responsables del trámite de redacción, cuando un documento de dicho trámite haya finalizado su firma. Así pues, ya no será necesario la comprobación manual de dicha finalización. o Posibilidad de anular circuito. Actualmente en caso de error a la hora de mandar un circuito a firmar, es necesario eliminar el documento y regenerarlo. Se ofrece la posibilidad de anular el circuito de firma y lanzar otro, siempre y cuando ningún firmante haya estampado ya su firma digital en el mismo. Pag. 11

12 3.2.4 Actividades sobre el Portal del Proveedor. Actualmente, el Ayuntamiento de Beniel en su Sede Electrónica, ha implantado el trámite de Envío de Factura Electrónica donde el proveedor podrá anexar el archivo de la factura electrónica, creándose así el registro telemático y su correspondiente expediente. Por este motivo la actividad a desempeñar será la implantación de una aplicación Web integrada en el portal municipal que sirva de plataforma de facturación electrónica a disposición de los proveedores del ayuntamiento. La plataforma dispondrá de todos los elementos necesarios para la creación por parte de los proveedores de facturas electrónicas al ayuntamiento a través de la Web, sin necesidad de que estos tengan que realizar ninguna inversión. Una vez creada la factura electrónica deberá permitir el inicio del trámite Envío de Factura Electrónica. Entre los elementos más importantes del sistema se encuentran: o Firma electrónica de las facturas por parte del proveedor directamente desde el portal Web del Ayuntamiento. o Posibilidad de cargar y firmar facturas en múltiples formatos. o Posibilidad de introducción manual de facturas desde el Portal. o Presentación de facturas por parte del proveedor. El Portal del Proveedor permitirá la creación de las facturas electrónicas con dos escenarios posibles: o Cumplimentando manualmente la factura en un formulario Web del portal y posterior firma electrónica por parte del proveedor en la propia plataforma Web. o Carga de documentos (facturas) en formato estructurado predefinido, y posterior firma electrónica por parte del proveedor en la propia plataforma Web. Pag. 12

13 3.2.5 Actividades sobre el Cuadro de Mandos Integral. Esta acción está orientada a la definición e implementación de un sistema de indicadores global a todas las áreas y actividades del ayuntamiento que permita a los organismos de gobierno tener información real sobre el estado de cada una de las iniciativas que se ponen en marcha de cara a la toma de decisiones. El Cuadro de Mando estará compuesto, como mínimo, por los siguientes indicadores: o Índice de eficacia en la tramitación de expedientes administrativos ( nº de expedientes resueltos en relación al nº de expedientes abiertos) o Índice de eficiencia en la tramitación de expedientes administrativos ( nº de expedientes resueltos en relación al nº de funcionarios) o Número de visitantes presenciales al mes, a las dependencias municipales. o Número de visitantes virtuales al portal municipal. o Número de trámites realizados on-line. o Número de certificados digitales expedidos o Número de quejas y reclamaciones realizadas mensualmente. o Otros específicos que varían temporalmente Actividades de Gestión del Cambio/Formación Se incluirán las actividades derivadas de la gestión del cambio habituales en una implantación de este tipo para una institución pública. Para asegurar el éxito de la implantación, el adjudicatario, a lo largo de la vida del contrato, ha de crear y ejecutar un plan de formación específico del sistema para los usuarios designados por el Ayuntamiento de Beniel, el cual Pag. 13

14 deberá ser previamente aprobado por el Responsable del Contrato, y elaborar un conjunto de documentación adecuada para la formación. Los entregables por parte del adjudicatario de este conjunto de actividades incluirán: - Plan General para la Gestión del Cambio, incluyendo objetivos, directrices y fases. - Plan de Formación, y contenido de ésta. - Cuestionarios de evaluación de la formación, a cumplimentar debidamente por los usuarios asistentes. - Manuales de explotación. - Manuales de usuario. - Manuales de instalación. 4. Condiciones de ejecución El conjunto de servicios enmarcados dentro del proyecto deberá ajustarse a las condiciones de ejecución que se detallan a continuación. 4.1 Marco temporal del proyecto El plazo máximo de ejecución de este proyecto será de dos (2) meses, contados a partir de la firma del contrato. Por causas justificables, y previo acuerdo con el Ayuntamiento, se podrá prorrogar hasta un máximo de cuatro (4) meses. 4.2 Dirección y seguimiento de los trabajos Los trabajos objeto de este contrato se realizarán bajo la dirección del Departamento de Informática del Ayuntamiento de Beniel, que desempeñará la función de Dirección del Contrato a efectos del presente contrato. Pag. 14

15 El Órgano de Contratación designará la persona o personas de ese departamento que vayan a asumir las funciones de Responsable del Contrato por parte del Ayuntamiento de Beniel, con relación a la prestación de los servicios del presente contrato, serán las siguientes: - Velar por el cumplimiento de los servicios exigidos y ofrecidos. - Valorar, priorizar, diligenciar y validar las acciones y trabajos a realizar. - Conformar las facturas por prestación del servicio. - Aprobar o rechazar la sustitución del personal dedicado al contrato y autorizar su acceso a las instalaciones. Las personas propuestas en su oferta por la empresa adjudicataria como Jefe del Proyecto y Director Técnico serán los que actúen como interlocutores con el Responsable del Contrato que designe el Ayuntamiento de Beniel, con el objeto de gestionar la buena marcha del contrato. Se realizará una reunión de seguimiento quincenal a la cual asistirá el Responsable del Contrato del Ayuntamiento de Beniel, incluyendo a los miembros de su equipo de trabajo que crea oportunos, y por parte del adjudicatario, el Jefe de Proyecto, con los colaboradores que estimen necesarios. Sin perjuicio de lo anterior, el Ayuntamiento de Beniel podrá solicitar la correspondiente convocatoria de reuniones de seguimiento extraordinarias cuando lo considere pertinente. Para el desarrollo de estas reuniones la empresa adjudicataria aportará en formato electrónico y papel una memoria que recoja: - Planificación y avance detallado del proyecto. - Análisis de desviaciones del proyecto (plazos y esfuerzos). - Informe de gestión y control de cambios. Pag. 15

16 - Informe de control de riesgos del proyecto. - Informe de seguimiento. - Informe de gestión de incidencias. - Actas de reuniones. El grado de progreso y de riesgo del proyecto se ha de medir de forma objetiva en función de resultados. Se habrán de adjuntar planes de acción para la corrección de desviaciones significativas. Durante la ejecución de los trabajos objeto del contrato, el adjudicatario se compromete a facilitar en todo momento al Responsable del Contrato designado por el Ayuntamiento de Beniel la información y documentación que éstas soliciten para disponer de un pleno conocimiento de las circunstancias en que se desarrollan los trabajos, así como de los eventuales problemas que puedan plantearse y de las tecnologías, métodos, herramientas y otros recursos utilizados para resolverlos. 4.3 Equipo de trabajo Para la prestación de los servicios objeto del presente contrato, las empresas licitantes deberán ofrecer un servicio integral, que permita disponer de los recursos técnicos necesarios en cada momento para poder dar respuesta con los niveles de calidad requeridos y dentro de los plazos exigidos. De este modo, las empresas licitantes deberán dirigir sus proposiciones técnicas hacia un enfoque orientado al servicio y no a los recursos, debiendo concretar en sus respectivas ofertas el nivel de flexibilidad ofrecido en cuanto a composición del equipo de trabajo, ubicación del mismo (que podrá ser tanto en las oficinas del Ayuntamiento de Beniel como en las del licitante, incluyendo soluciones mixtas), disponibilidad de equipos expertos para absorber trabajos específicos y/o puntas de trabajo, etc. El Ayuntamiento de Beniel se reserva la Pag. 16

17 decisión última sobre la ubicación de todo o parte del equipo, en sus instalaciones o en las del adjudicatario, en relación a las distintas fases del proyecto, en función de criterios de seguridad y eficacia u otros que se estimen como relevantes para la buena marcha del proyecto. El equipo de técnicos ofrecido deberá cubrir conjuntamente todo el entorno tecnológico de los sistemas, debiendo reunir la suficiente experiencia y conocimientos en el mismo como para trabajar de forma autónoma, sin requerir el apoyo de técnicos del Ayuntamiento de Beniel más allá del tratamiento de las interfaces con otros sistemas. En particular, el equipo incorporará los recursos apropiados para realizar las pruebas necesarias para que el software resultante alcance los niveles de calidad requeridos: pruebas unitarias, integradas, de sistema, de carga, de rendimiento, de seguridad, funcionales, de usabilidad, etc. 4.4 Metodología a utilizar Con el fin de garantizar el cumplimiento de los objetivos marcados y estandarizar la planificación, el control de ejecución y el control de calidad de los trabajos, el equipo de trabajo que realice el proyecto se adaptará preferentemente a la metodología de Planificación y Desarrollo de Sistemas MÉTRICA 3, promovida por el Consejo Superior de Informática. El licitante podría ofrecer otra metodología de desarrollo, en cuyo caso deberá justificarlo adecuadamente. La documentación generada en el proyecto deberá ajustarse, por tanto, a lo recomendado por la metodología utilizada para cada fase, adaptando la profundidad de los documentos a las dimensiones del proyecto en cuestión. Esta documentación deberá ser entregada en formato electrónico al Ayuntamiento de Beniel y se revisará en las reuniones de seguimiento. Pag. 17

18 4.5 Requerimientos de seguridad La seguridad debe estar presente durante todas las etapas del desarrollo del Proyecto. En el Anexo I se detallan los aspectos principales que se habrán de tener en cuenta en materia de seguridad, a nivel de desarrollo y de sistemas, así como la gestión de errores y vulnerabilidades. 4.6 Métricas de calidad Además de lo indicado en el apartado anterior de metodología, el adjudicatario del servicio se compromete a cumplir con estándares de desarrollo del Ayuntamiento de Beniel y de los fabricantes correspondientes sobre programación y documentación. El adjudicatario llevará a cabo las acciones que considere necesarias para garantizar la calidad en el proyecto tanto en el proceso de producción como en los productos resultantes. De forma específica, el adjudicatario estará obligado a: - Obtener la validación del Ayuntamiento de Beniel al documento descriptivo de sus necesidades, objetivos y alcance del proyecto. - Obtener la validación del Ayuntamiento de Beniel a la especificación de diseño de la solución, mediante prototipos. - Probar el cumplimiento de los requisitos funcionales de cada módulo mediante pruebas unitarias. - Probar el cumplimiento de los requisitos funcionales del conjunto del sistema mediante pruebas de integración y de sistema. Probar casos extremos y de error mediante pruebas de anomalías. Pag. 18

19 - Probar el cumplimiento de los requisitos de disponibilidad y tiempos de respuesta mediante pruebas de rendimiento, por lo que se someterá al sistema a cargas de trabajo similares a las puntas reales. - Obtener la aceptación del sistema por parte del Ayuntamiento de Beniel mediante la validación del resultado de las pruebas realizadas por el adjudicatario. - Realizar un control permanente que asegure la realización de las pruebas y la aplicación de los estándares de programación y documentación definidos. 4.7 Productos resultantes Las tareas objeto del presente contrato deberán realizarse en el marco de la metodología definida para el proyecto. El adjudicatario deberá entregar toda aquella documentación técnica y de gestión del proyecto contemplada en la citada metodología, así como cualquier documentación adicional que, a juicio de la Dirección del Contrato, sea necesaria para alcanzar los objetivos del proyecto en cada momento. La documentación técnica del proyecto, documentación asociada al análisis, diseño, construcción e implantación del sistema de información, incluirá los documentos de: - Análisis funcional: requisitos funcionales y descripción de modelos del sistema. - Entorno tecnológico: requisitos técnicos, descripción de la arquitectura lógica y física, descripción de la seguridad y descripción de los requerimientos de capacidad de los distintos componentes y entornos del sistema. - Diseño técnico: diseño de las diferentes capas y componentes del sistema a construir, y de los aspectos de seguridad de los mismos. Pag. 19

20 - Pruebas: especificación de las pruebas de desarrollo, rendimiento, seguridad y aceptación del comportamiento del sistema. - Implantación: acciones, operaciones y procedimientos necesarios para implantar los diferentes módulos del sistema en el entorno de preproducción y en el de producción. Incluirá el manual de implantación, formación e implantación. - Explotación: acciones, operaciones y procedimientos necesarios para el pleno funcionamiento de la aplicación. Incluirá manual de explotación y plan de contingencia del sistema. - Usuario: presentación y descripción de las funcionalidades del sistema para su uso y administración. La documentación de gestión del proyecto incluirá además, como mínimo, los siguientes documentos: - Plan de proyecto: documento que debe recoger aspectos fundamentales de la organización y gestión del proyecto, entre los que deben incluirse: la descripción del proyecto (objetivos, enfoque, alcance, duración, etc.), la organización y estructura del mismo, su planificación y la relación de entregables. - Plan detallado del proyecto: documento de uso generalizado a lo largo del proyecto que recopila la planificación temporal del mismo y en el que se detallan las actividades en que se desglosa la ejecución del proyecto, así como los hitos intermedios identificados. - Informes de seguimiento con la periodicidad que se fije por el Ayuntamiento de Beniel al inicio del proyecto. - Actas de reunión que recogerán los temas tratados, así como los acuerdos o conclusiones a las que se han llegado, en las reuniones celebradas en el marco del proyecto. - Código fuente de los diferentes módulos de la aplicación. Pag. 20

21 ANEXO I: Gestión de la seguridad Actividades de Seguridad durante el ciclo de desarrollo La seguridad debe estar presente durante todas las etapas del ciclo de desarrollo. Aunque no se trata de generar documentación de forma gratuita, cada etapa debería producir un resultado palpable en lo concerniente a seguridad que sirva como base para la siguiente etapa y como apoyo para la posterior evaluación de la seguridad. Las etapas son las siguientes: 1. Análisis de requisitos. Se debe elaborar por parte del adjudicatario una especificación de requisitos de seguridad detallada. 2. Diseño. Los desarrolladores documentarán las opciones de diseño adoptadas para cumplir cada uno de los requisitos de seguridad. Se especificará claramente si la solución recae en software a medida o en la plataforma. 3. Implementación. Los desarrolladores seguirán directrices de codificación segura que incluya menciones específicas sobre cómo evitar las vulnerabilidades más frecuentes, como las marcadas por el TOP 10 de OWASP. Todo el código debería ser revisado por otro programador para comprobar el cumplimiento de los requisitos de seguridad y de las directrices de codificación segura. 4. Pruebas y análisis de seguridad. Los desarrolladores crearán y seguirán un plan de pruebas para comprobar que se cumplen todos los requisitos de seguridad. 5. Despliegue seguro. La configuración por defecto del software debe ser segura. Adicionalmente, los desarrolladores crearán un documento Pag. 21

22 describiendo como se debe desplegar la aplicación de forma segura, incluyendo la información relevante que tenga que ver con la plataforma. Áreas de requisitos de seguridad a considerar Cuando se elabore la especificación de requisitos de la aplicación, además del resto de requisitos de seguridad, se deben considerar al menos las siguientes áreas: 1. Validación y codificación. Los requisitos especificarán las reglas para canonizar, validar y codificar cada entrada a la aplicación, ya provenga del usuario, del sistema de ficheros, de las bases de datos o de sistemas externos. Por defecto se debe considerar inválida cualquier entrada que no encaja con una especificación detallada de los que está permitido. Adicionalmente se debe especificar la acción a ejecutar cuando la entrada es inválida. 2. Autenticación y gestión de sesiones. Los requisitos deben especificar cómo se protegerán las credenciales y los identificadores de sesión. También se deben incluir requisitos sobre funciones relacionadas como gestión de la contraseña (cambio, pérdida, recordatorio), entrada y salida de la aplicación y múltiples entradas simultáneas. 3. Control de acceso. Se debe incluir una descripción detallada de todos los roles usados en la aplicación, junto con sus derechos de acceso a activos y funciones. Se propone una matriz de control de acceso para expresar estas reglas. 4. Manejo de errores. Los requisitos deben detallar como se manejarán los errores: algunos programas o formularios deberán terminar el procesamiento inmediatamente mientras que otros deberán intentar recuperarse del error. Pag. 22

23 5. Trazas. Los requisitos deberán especificar que eventos son relevantes desde la perspectiva de la seguridad y que información se debe guardar sobre dichos eventos. 6. Conexión a sistemas externos. Se debe especificar cómo se tratará la autenticación y encriptación con sistemas externos como bases de datos, directorios o servicios web. Las credenciales para comunicarse con esos sistemas deben almacenarse fuera del código y de la forma más segura posible. 7. Encriptación. Los requisitos especificarán qué datos deben encriptarse, con qué algoritmos y cómo se gestionarán los certificados y otras credenciales necesarias. Las aplicaciones usarán algoritmos estándar implementados en una librería de cifrado de uso generalizado y suficientemente probada. 8. Disponibilidad. Los requisitos especificarán como se protegerá la aplicación de los ataques de denegación de servicio. 9. Configuración segura. Los requisitos especificarán que todos los valores por defecto deben ser seguros. 10. Vulnerabilidades específicas. Los requisitos incluirán un conjunto de vulnerabilidades específicas que no deben aparecer en el software, proponiéndose el conjunto constituido por el TOP 10 de OWASP como repositorio base. Personal y organización 1. Responsable de seguridad. El adjudicatario designará un responsable que certificará la seguridad de cada entregable. 2. Formación en seguridad. Se valorará que todos los desarrolladores reciban formación en técnicas de programación segura. Pag. 23

24 3. Confianza. El grado de confianza en los programadores debe ser consistente con el grado de criticidad del proyecto abordado. Entorno de desarrollo 1. Gestión del código. Se deberá usar un sistema de control de versiones que autentique y registre los cambios sobre el código y sobre los ficheros de configuración y construcción del software. 2. Distribución. Durante el desarrollo del Proyecto será responsabilidad del adjudicatario la verificación de la integridad del software entregado. Librerías, frameworks y productos 1. Declaración. Se debe declarar todo el software de terceros utilizado, ya sean frameworks, librerías, componentes u otros productos de código abierto. 2. Evaluación. Las librerías, frameworks y otros productos cuyo código forme parte de la aplicación desarrollada, deben ser evaluadas siguiendo los criterios marcados en este anexo. Gestión de vulnerabilidades 1. Registro y seguimiento. Se deberán registrar y seguir todas las vulnerabilidades encontradas durante el ciclo de vida de la aplicación, desde la especificación de requisitos hasta el despliegue y la explotación. A cada vulnerabilidad encontrada se le asignará un nivel de criticidad asociada al riesgo que determinará la premura con la que debe ser solventada. Pag. 24

25 2. Confidencialidad. La información referida a las vulnerabilidades será confidencial hasta que éstas hayan sido solventadas y desplegadas en el entorno de explotación. Pag. 25

26 ANEXO II: Listado de procedimientos ya implantados en el Ayuntamiento de Beniel. Id Denominación 01 Alegación o Recurso de Pago de Multas 02 Alta en el Padrón de Habitantes 03 Baja y Modificación de Vado 04 Cédula de Habitabilidad Conforme 05 Cédula de Primera Ocupación 06 Cédula Urbanística 07 Certificación de Tira de Cuerdas 08 Certificado de NO Existencia de Expediente Sancionador 09 Certificado o Volante del Padrón 10 Curso de Formación Manipulador de Alimentos 11 Envío de Factura Electrónica 12 Inscripción a Pruebas Selectivas 13 Licencia de Apertura de Establecimientos 14 Licencia de Obra Mayor 15 Licencia de Obra Menor 16 Licencia de Parcelación o Segregación 17 Licencia de Vado 18 Matrimonios Civiles 19 Solicitud de Ocupación de la Vía Pública 20 Solicitud o Instancia Genérica Borrador de pliego de prescripciones técnicas que, para su aprobación, presenta TAISA-Técnicos Asociados Informática, S.A., adjudicataria del servicio de Consultoría y Asistencia Beniel, Encrucijada Digital, en cumplimiento de las obligaciones previstas en el contrato de servicio indicado. Beniel, octubre de ************************************************** Informe técnico favorable: La pongo yo el Técnico Informático, Juan Ignacio Martínez Manzano, para hacer constar que el presente pliego se considera adecuado a las necesidades del Ayuntamiento. Beniel, octubre de Pag. 26