INFORME N GTI INFORME TÉCNICO PREVIO DE EVALUACIÓN DE SOFTWARE

Transcripción

1 INFORME N GTI INFORME TÉCNICO PREVIO DE EVALUACIÓN DE SOFTWARE 1. Nombre del Área El área encargada de la evaluación técnica para la renovación del servicio de soporte técnico, actualización y mantenimiento del software IBM InfoSphere Guardium, que soporta las tareas relacionadas a la gestión de la seguridad de información y monitoreo de actividades de base de datos, es el Departamento de Soporte Técnico (DST) de la Gerencia de Tecnologías de Información (GTI) de esta Superintendencia. 2. Nombre y Cargo del Responsable de la Evaluación El funcionario responsable de la evaluación es el Sr. Marcos Azañedo Alva, Jefe del Departamento de Soporte Técnico (DST) de la Gerencia de Tecnologías de Información (GTI). 3. Fecha La fecha del presente informe es el 30 de enero de Justificación La Superintendencia de Banca, Seguros y Administradoras Privadas de Pensiones (SBS), para el cumplimiento de sus funciones de supervisión, así como para prevenir y detectar el Lavado de Activos y Financiamiento del Terrorismo, utiliza el software InfoSphere Guardium, del fabricante IBM, como herramienta para la gestión de la seguridad de la información y el monitoreo de actividades de bases de datos, la cual permite mitigar el riesgo relacionado con el acceso a la información sensible almacenada en la base de datos, así como crear políticas de seguridad para el control y la auditoría de los accesos a dicha información. Actualmente, como parte de su infraestructura tecnológica, la Superintendencia cuenta con mil cien (1,100) licencias PVUs del software IBM InfoSphere Guardium para las tareas relacionadas a la gestión de la seguridad de la información y el monitoreo de actividades de base de datos. Desde su adquisición en el año 2011, la Superintendencia mantiene el servicio de soporte técnico, actualización y mantenimiento del software provisto por el mismo fabricante, haciéndose necesaria la renovación de dicho servicio cada año, para asegurar la correcta funcionalidad y operatividad del software, actualizar el software a las nuevas versiones liberadas y preservar el valor económico de la inversión realizada. El software IBM InfoSphere Guardium es utilizado actualmente por la Gerencia de Tecnologías de Información (GTI) en el cumplimiento de las exigencias legales y regulatorias de protección de la información, en la implementación de requerimientos de auditoría, así como a las continuas exigencias de mejoras en la gestión del riesgo y gestión de la seguridad de la información. En ese sentido, el software proporciona herramientas que permiten controlar y auditar el acceso a la información de la base de datos, realizando el seguimiento (principalmente) sobre los usuarios con mayores privilegios de acceso a la información. La solución permite identificar e informar acerca de comportamientos fraudulentos, ilegales u otros restringidos, de cualquier usuario con acceso a través de aplicaciones que se conecten a la base de datos y/o cualquier herramienta informática que permita una conexión a la base de datos y la consiguiente Los Laureles Nº Lima 27 - Perú Telf. : (511) Fax: (511)

2 extracción de información. La solución también provee funcionalidad para impedir, en tiempo real, la consulta de información sensible o evitar la realización de modificaciones sobre los datos o la estructura de los objetos de la base de datos. En el caso de la base de datos Oracle, sobre la cual se ha implementado la solución InfoSphere Guardium, se cuenta con aproximadamente siete (07) Terabytes de volumen de datos, en base de datos de producción y desarrollo. En la siguiente tabla, se muestran los volúmenes de información, número de usuarios y objetos que se gestionan en las diferentes bases de datos de la Superintendencia: Tabla N 01 Volumen de Información y Objetos de las Bases de Datos de la Superintendencia Base de Tamaño SGA N Tablas y Store N Versión Datos (MB) (MB) Usuarios Vistas Procedures Índices SBS ,488 2, ,739 2,226 1,846 PRO ,022 2,512 1,347 1,214 1,100 1,269 CRAPRO ,968,244 5,008 1, SPP ,582 3, , ,382 CRWEB ,205 1, DM10G ,244,508 4, ,406 1,668 2,345 SISGED ,794 5, , ,599 RCDCRO ,091 6, SBSD ,679 1, ,859 2,806 3,253 SBST ,251 1, ,401 1,850 1,467 PROD ,420 1, ,673 3,993 6,985 CRAPROD , SPPD ,066 1, ,216 1,508 3,706 CRWEBD ,245 1, El software IBM InfoSphere Guardium permite realizar la auditoría y monitoreo del volumen de datos anteriormente indicados, sin afectar para ello el rendimiento de los equipos o el desempeño de los sistemas de información y del software manejador de base de datos Oracle RDBMS. Como resultado, se mantiene una eficiente y efectiva gestión de la seguridad de la información, a nivel de las siguientes bases de datos institucionales: Tabla N 02 Bases de Datos de la Superintendencia en RDBMS Oracle Base de Datos SBS PRO CRAPRO SPP CRWEB DM10G SISGED RCDCRO SBSD SBST Descripción Información del Sistema Integrado de Información Administrativa y Financiera (SIIAF) y de la Intranet Institucional. Información de los Sistemas Corporativos (SISCOR), de los sistemas de seguridad para los aplicativos locales y del Portal del Supervisado. Información del Sistema de la Central de Riesgos por Saldos. Información del Sistema de Inversiones e Instituciones de la Superintendencia Adjunta de Administradoras Privadas de Fondos de Pensiones y Seguros (SAAFPS). Información de la Central de Riesgos del Sistema Financiero (CRSF) del Portal del Supervisado. Modelos Dimensionales (Datamarts). Información del Sistema de Gestión Documental. Información del Sistema de la Central de Riesgos por Operaciones (CRO). Ambiente de desarrollo de la base de datos SBS. Ambientes de pruebas de las base de datos SBS. Los Laureles Nº Lima 27 - Perú Telf. : (511) Fax: (511) /7

3 Base de Datos PROD CRAPROD SPPD CRWEBD Descripción Ambiente de desarrollo de la base de datos PRO. Ambiente de desarrollo de la base de datos CRAPRO. Ambiente de desarrollo de la base de datos SPP. Base de datos de contingencia del Portal del Supervisado. En este contexto, la Gerencia de Tecnologías de Información (GTI) manifiesta la necesidad de continuar utilizando el software IBM InfoSphere Guardium en las tareas relacionadas a la gestión de la seguridad de información y el monitoreo de actividades que interactúan directamente con la base de datos, para lo cual se debe contar con el servicio de soporte técnico, actualización y mantenimiento respectivo, a fin de atender las necesidades de la Superintendencia y obtener las últimas modificaciones y actualizaciones que el fabricante del software libere durante la vigencia del contrato. 5. Alternativas Para la formulación y análisis de alternativas, se debe considerar que, por tratarse de un producto en funcionamiento, se procederá a comparar la renovación del servicio de soporte técnico, actualización y mantenimiento del software, con la posibilidad de adquirir otra solución de características similares. Alternativa Nº 01: Renovación del servicio de soporte técnico, actualización y mantenimiento del software IBM InfoSphere Guardium, por un período de un (01) año. En esta alternativa, está inherente el nivel de conocimientos técnicos (know how) adquiridos por el personal técnico en la gestión de dicha herramienta, lo cual posee un valor significativo intangible y que podría ser estimado. La licencia de la solución IBM InfoSphere Guardium, cuyo servicio de soporte técnico, actualización y mantenimiento debe ser renovado, comprende los siguientes módulos: InfoSphere DB Activity Monitor InfoSphere DB Activity Monitor Standby InfoSphere Config Audit Data InfoSphere DB Vulnerability Assess InfoSphere DB & Sensitive Data InfoSphere DB Protection Knowledge InfoSphere Central MGR & Aggregator Alternativa Nº 02: Adquisición de una nueva solución, sus respectivas licencias y contrato de soporte técnico, actualización y mantenimiento. En esta alternativa, se propone la adquisición de licencias e implementación de una herramienta con características similares, la cual será comparada con la herramienta actual. En esta propuesta deberán considerarse los costos asociados a esta adquisición, tales como la capacitación requerida para los usuarios responsables del software para asegurar su normal funcionamiento. Para realizar el análisis comparativo técnico y de costo-beneficio, se seleccionaron los siguientes productos para la gestión de la seguridad de información y monitoreo de actividades de base de datos: IBM InfoSphere Guardium Oracle Audit Vault & Database Firewall Los Laureles Nº Lima 27 - Perú Telf. : (511) Fax: (511) /7

4 En ese sentido, se han evaluado las características técnicas de los productos mencionados, de acuerdo a la funcionalidad definida y requerida por el área técnica usuaria del software. 6. Análisis Comparativo Técnico Adjunto al presente informe, se encuentra el Anexo Nº 01, en el que se comparan las características técnicas de las alternativas evaluadas para el software de seguridad de información y monitoreo de actividades de base de datos, para lo cual se ha tomado como base la Parte 3: Proceso de Evaluación de Software de la Guía de Evaluación de Software, aprobada por Resolución Ministerial N PCM. En dicho análisis, se presentan los resúmenes de los aspectos evaluados, habiéndose considerado los datos oficiales proporcionados por los fabricantes y los resultados de las pruebas efectuadas a las soluciones evaluadas. 7. Análisis Comparativo de Costo Beneficio En el Anexo N 02, se presentan los costos de los productos evaluados, los cuales han sido proporcionados por los representantes oficiales de los productos en el Perú u obtenidos desde sus página web oficiales. La propuesta de adquisición de un producto nuevo no incluye costos por capacitación, la cual es necesaria en caso de elegir la Alternativa N 02, debido a que se trataría de una herramienta nueva en la Superintendencia. Cabe señalar que estos costos son referenciales y han sido calculados para un servicio de soporte técnico, actualización y mantenimiento por un período de un (01) año. 8. Conclusiones Las conclusiones del presente informe son las siguientes: La Superintendencia de Banca, Seguros y Administradoras Privadas de Pensiones (SBS), para el cumplimiento de sus funciones de supervisión, así como para prevenir y detectar el Lavado de Activos y Financiamiento del Terrorismo, utiliza el software InfoSphere Guardium, del fabricante IBM, como herramienta para la gestión de la seguridad de la información y el monitoreo de actividades de bases de datos, la cual permite mitigar el riesgo relacionado con el acceso a la información sensible almacenada en la base de datos, así como crear políticas de seguridad para el control y la auditoría de los accesos a dicha información. Actualmente, como parte de su infraestructura tecnológica, la Superintendencia cuenta con mil cien (1,100) licencias PVUs del software IBM InfoSphere Guardium para las tareas relacionadas a la gestión de la seguridad de la información y el monitoreo de actividades de base de datos. Desde su adquisición en el año 2011, la Superintendencia mantiene el servicio de soporte técnico, actualización y mantenimiento del software provisto por el mismo fabricante, haciéndose necesaria la renovación de dicho servicio cada año, para asegurar la correcta funcionalidad y operatividad del software, actualizar el software a las nuevas versiones liberadas y preservar el valor económico de la inversión realizada. Un factor importante, a tener en cuenta y que favorece a la alternativa de renovación del servicio de soporte técnico, actualización y mantenimiento del software IBM InfoSphere Guardium, es el valor intangible relacionado al nivel de conocimientos (know how) que posee el personal técnico, lo cual no ha sido valorizado económicamente y que refuerza la alternativa mencionada. Esta Gerencia considera que se debe mantener el software IBM InfoSphere Guardium como herramienta para la gestión de la seguridad de información y el monitoreo de actividades de Los Laureles Nº Lima 27 - Perú Telf. : (511) Fax: (511) /7

5 base de datos en la Superintendencia, por lo cual se solicitará la estandarización del servicio de soporte técnico, actualización y mantenimiento del software IBM InfoSphere Guardium. El servicio de soporte técnico, actualización y mantenimiento garantiza la atención de problemas o fallas en el software, a cargo del propio fabricante. De esta manera, se asegura la correcta funcionalidad y operatividad del software, al contar con un servicio que permitirá canalizar consultas técnicas o reportar fallas en el mismo, directamente al fabricante. También, este servicio permitirá la actualización del software a las nuevas versiones liberadas, lo cual garantiza su funcionalidad al reducir la posibilidad de obsolescencia tecnológica, lo cual preserva el valor económico de la inversión realizada. Por lo expuesto, se requiere la renovación del servicio de soporte técnico, actualización y mantenimiento del software IBM InfoSphere Guardium, necesario para asegurar la correcta operatividad, funcionamiento, soporte técnico y actualización de versiones del software, el cual es utilizado en la Superintendencia para las tareas relacionadas a la gestión de la seguridad de información y monitoreo de actividades de base de datos por la Gerencia de Tecnologías de Información. 9. Firmas Igor Sakuma Carbonel Gerente de Tecnologías de Información Marcos Azañedo Alva Jefe del Departamento de Soporte Técnico Los Laureles Nº Lima 27 - Perú Telf. : (511) Fax: (511) /7

6 ANEXO Nº 01 ANÁLISIS COMPARATIVO TÉCNICO Características Flexibilidad en la definición de reglas y políticas de seguridad Permite crear un repositorio de auditoría centralizado Permite monitorear varios servidores de base de datos Permite monitorear varias instancias en un servidor de base de datos La solución se instala en forma independiente a la base de datos Se pueden definir las políticas de seguridad sobre tablas y columnas criticas de tablas Permite realizar un escaneo de vulnerabilidades de configuración de base de datos Permite modificar y crear nuevos reportes de auditoria Permite exportar los reportes de auditoría para su posterior análisis y elaboración de informes Permite desplegar la solución en alta disponibilidad. IBM InfoSphere Guardium Oracle Audit Vault & Database Firewall No No Los Laureles Nº Lima 27 - Perú Telf. : (511) Fax: (511) /7

7 ANEXO Nº 02 PRECIOS REFERENCIALES Nº Producto N o de Licencias Costo del Servicio (01 año) 1 IBM InfoSphere Guardium 1100 PVUs $ 42, Oracle Audit Vault & 08 Processors Database Firewall $ 71, Los precios incluyen los impuestos de ley. Los Laureles Nº Lima 27 - Perú Telf. : (511) Fax: (511) /7