1. Lista de Bienes y Plan de Entregas

Transcripción

1 SECRETARIA DISTRITAL DE MOVILIDAD Programa de Urbanos para Bogotá, Proyecto de Apoyo Institucional al Sistema Integrado de Transporte Público (SITP) Préstamo BID 2136/CO CO Proceso SDM - LPNBID No: Adquisición y puesta en funcionamiento de la infraestructura de gestión de seguridad de la información para el Sistema de Urbano regional SIMUR. ADENDA No. 2 La suscrita Subsecretaria de Política Sectorial, en su condición de ordenadora del gasto del Préstamo BID 2136/CO CO en uso de sus facultades y de acuerdo con lo establecido en los numerales 7.2. y 8 de la Sección I. Instrucciones a los oferentes IAO del Documento de Licitación, informa: PRIMERO: Se modifica el numeral 1 de la Sección VI Lista de Requisitos del Documento de Licitación, correspondiente a la Lista de Bienes y Plan de Entrega, aclarando la descripción de los bienes del artículo 1.5, en consecuencia el numeral queda así:: N de Artículo Descripción de los Bienes 1.1 Servidor tipo Appliance de virtualización de firewall de nueva generación 1.2 Servidor tipo Appliance de administración/correlación 1.3 Servidor tipo Appliance de protección contra DDOS (Denegación de Servicio Distribuida) 1.4 (Agentes) Solución de End Point Cantidad 1. Lista de Bienes y Plan de Entregas Física Lugar de destino convenido según se indica en los DDL Fecha más temprana de entrega Fecha de Entrega Fecha límite de entrega Fecha de entrega ofrecida por el Oferente [a ser especificada por el Oferente]

2 1.5 Solución protección de bases de datos 1.6 Servidor con software de monitoreo de estado de red y sistemas y análisis de vulnerabilidades. 1.7 Plataforma de administración de sistema integrado de gestión (ISO9001, NTCGP1000, ISO27001, ISO31000, ISO22301 ) 1.8 Rack para montaje de servidores 1.9 Suministro de licenciamiento seguridad de la información ISO 27001por 2 años 1.10 Suministro de licenciamiento riesgos ISO por 2 años 1.11 Suministro de licenciamiento riesgos ISO por 2 años 1.12 Suministro de licenciamiento continuidad de negocio ISO22301 por 2 años Suministro de licenciamiento calidad ISO 9001 por 2 años Suministro de licenciamiento cumplimiento por 2 años Depende de la solución del fabricante

3 1.15 Suministro de licenciamiento indicadores BSC (Balance Score Card) por 2 años SEGUNDO Se modifica el nombre del numeral 2.4, 2.5, 2.6 y 2.7 de la Sección VI Lista de Requisitos del Documento de Licitación, correspondiente a la lista de servicios conexos y cronograma de cumplimiento. En consecuencia el numeral queda así: 2.4 conexos solución de protección de bases de datos Servicio Descripción del Servicio Cantidad Instalación, configuración, integración y puesta en funcionamiento de los equipos de cómputo suministradosque conforman la solución de protección de bases de datos Configuración, integración y puesta en funcionamiento de la solución de protección de bases de datos en Cuatro (4) Bases de datos y un máximo de 60 tablas de datos, designadas por la. Las características de los servidores en donde se encuentran las bases de datos a ser protegidas son: 1 N/A Lugar donde los servicios serán ServidorNo. 1 SIMUR DB1, S.O Linux red hat enterprise 5.6, HP Proliant DL380 7 Generación 1 procesador XEAN Cuad Core 2.4Giga Hertz 53 GB RAM, 2 discos (SAS) de 300 GB en raid 1 Disco Virtual de 1.58TB de un storage P2000 HP Contiene las bases de datos: SIMURORACLE 11 R2 4 N/A ServidorNo. 2 SIMUR DB2 S.O Linux red hat enterprise 5.6, HP Proliant DL380 7 Generación, 1 procesador XEAN Cuad Core 2.4 Giga Hertz, 53 GB RAM, 2 discos (SAS) de 300 GB en raid 1, Disco Virtual de 1.58TB de un storage P2000 HP Contiene las bases de datos: GEOS (Sistema de información geográfico) Oracle 11 Release 2 Servidor No. 3 SIMURBIS

4 Servicio Descripción del Servicio Cantidad S.O Linux red hat enterprise 5.6, HP Proliant DL380 7 Generación, 1 procesador XEAN Cuad Core 2.4 Giga Hertz, 53 GB RAM, 2 discos (SAS) de 300 GB en raid 1, Disco Virtual de 400GB del storage P2000 HP Contiene las bases de datos: OIS BI PRU Oracle 11 Release 2 Lugar donde los servicios serán ServidorNo. 4 SICAPITAL SO. Windows 2003 enterprise service pack 2, Proliant DL580 3 generación, 12 Gigas en RAM 2 procesadores Xean Dual core 3,33 Gigahertz, 2 discos de 300 Gigas en raid 1 2 discos de 72Gigas en raid 1, 1 disco virtual de 150GB de storage EVA 300 Contiene la base de datos: Sicapital Oracle 10 Release Ninguna de las bases de datos está configurada en Cluster, Ninguna de los servidores está en Cluster, todos los servidores se encuentran en la misma VLAN en el mismo segmento de red. Cada base de datos tiene solo UNA (1) instancia. Realizar pruebas y validación del correcto funcionamiento tanto a nivel de hardware como de software en modalidad llave en mano. Soporte 7x24 para la solución deprotección de bases de datos ofrecidos a 24 meses con cambio de repuestos y con garantía del fabricante original del equipo tiempo de atención en sitio no superior a 8 horas (incluye horas hábiles y horas no hábiles) Nota aclaratoria: La requiere contar con un servicio de soporte en modalidad 7x24 para los equipos definidos en este requerimiento. El proveedor puede proponer modelos para la prestación del servicio considerando el uso de: soporte por medios virtuales de diversa naturaleza, manos remotas y desplazamiento a sitio cuando el evento así lo demande el evento Mantenimiento preventivo: Cuatro (4) mantenimientos preventivos en el periodo de 24 meses previsto. Mantenimiento Correctivo: los que se requiera que garanticen la disponibilidad de los equipos permanentemente. La indisponibilidad de los equipos no puede ser superior a 4 horas, en caso de que el equipo requiera reemplazo deberá realizarlo de acuerdo a los Niveles de Servicio que sedefinan con la Entregar manuales de instalación y configuración, de acuerdo con las políticas de protección del medio ambiente la documentación 1 N/A 2 Años 4 MANTENI MIETOS 1 Paquete

5 Servicio Descripción del Servicio Cantidad se puede suministrar en medio electrónico. Transferencia de conocimientos de la solución de protección de bases de datos para mínimo 5 personas designadas por la de 8 Horas Lugar donde los servicios serán 2.5 conexos Servidor con software de monitoreo de estado de red y sistemas y análisis de vulnerabilidades. Servicio Descripción del Servicio Cantidad Instalación, configuración, integración y puesta en funcionamiento de los equipos de cómputo suministradosque conforman el Servidor con software de monitoreo de estado de red y sistemas y análisis de vulnerabilidades Realizar pruebas y validación del correcto funcionamiento tanto a nivel de hardware como de software en modalidad llave en mano. Programación de 10 equipos para ser monitoreados su disponibilidad dentro de la red LAN de la SDM. Programación de 10 servicios para ser monitoreada su disponibilidad dentro de la red LAN de la SDM. Escaneo de 10 direcciones IP dentro de la red LAN del cliente y generación de los respectivos reportes. Las direcciones IP corresponden a la red Interna de la Ejecución de pruebas de explotación de vulnerabilidades para 5 direcciones IP públicas asociadas a servicios o sistemas de información acordados con la de la movilidad Ejecución de pruebas de explotación de vulnerabilidades para 5 IP privadas asociadas a servicios o sistemas de información acordados con la de la movilidad 1 N/A 1 PRUEBAS Programacio nes Programacio nes 10 Escaneo 5 5 Lugar donde los servicios serán Presentación, Sustentación de y ajustes si es requerido de informe de resultados de las pruebas de explotación de vulnerabilidades Soporte 5x8 para la solución del hardware del Servidor ofrecidos 2 Años

6 Servicio Descripción del Servicio Cantidad a 24 meses con cambio de repuestos y con garantía del fabricante original del equipo tiempo de atención en sitio no superior a 8 horas hábiles Lugar donde los servicios serán Nota aclaratoria: La requiere contar con un servicio de soporte en modalidad 5x8 para los equipos definidos en este requerimiento. El proveedor puede proponer modelos para la prestación del servicio considerando el uso de: soporte por medios virtuales de diversa naturaleza, manos remotas y desplazamiento a sitio cuando el evento así lo demande el evento Mantenimiento preventivo: Cuatro (4) mantenimientos preventivos en el periodo de 24 meses previsto. Mantenimiento Correctivo: los que se requiera que garanticen la disponibilidad de los equipos permanentemente. La indisponibilidad de los equipos no puede ser superior a 8 horas en caso de que el equipo requiera reemplazo deberá realizarlo de acuerdo a los Niveles de Servicio que sedefinan con la. Entregar manuales de instalación y configuración, de acuerdo con las políticas de protección del medio ambiente la documentación se puede suministrar en medio electrónico. Transferencia de conocimientos Servidor con software de monitoreo de estado de red y sistemas y análisis de vulnerabilidades para 5 personas designadas por la de 4 1 Paquete 4 Horas 2.6 conexos Solución de End Point. Servicio Descripción del Servicio Cantidad Lugar donde los servicios serán Instalación, configuración, integración y puesta en funcionamiento de Solución de End Point suministradaen servidor de la plataforma de administración/correlación Distrital de Instalación, configuración de licencias para solución de End Point suministradas 1000 Distrital de Configuración, integración y puesta en funcionamiento de Solución de End Point en 15 estaciones de trabajo designados por la de la. Los sistemas operacionales de las 15 Distrital de

7 estaciones de trabajo son versiones de Microsoft Windows Configuración, integración y puesta en funcionamiento de Solución de End Point en 2 servidores designados por la de la.. Los sistemas operacionales de los servidores son versiones de Microsoft Windows 2 Distrital de Realizar pruebas y validación del correcto funcionamiento tanto a de software en modalidad llave en mano. Distrital de Soporte 5x8 para la solución de End Point a 24 meses con tiempo de atención en sitio no superior a 8 horas hábiles Nota aclaratoria: La requiere contar con un servicio de soporte en modalidad 5x8 para los componentes definidos en este requerimiento. El proveedor puede proponer modelos para la prestación del servicio considerando el uso de: soporte por medios virtuales de diversa naturaleza, manos remotas y desplazamiento a sitio cuando el evento así lo demande el evento Entregar manuales de instalación y configuración, de acuerdo con las políticas de protección del medio ambiente la documentación se puede suministrar en medio electrónico. Transferencia de conocimientos para la Solución de End Point para 5 personas designadas por la de 2 Años 4 Horas Distrital de Distrital de Distrital de 2.7 conexos Plataforma de administración de sistema integrado de gestión Servicio Descripción del Servicio Cantidad Lugar donde los servicios serán Instalación de Plataforma de administración de sistema integrado de gestión suministradas 2 Años Realizar pruebas y validación del correcto funcionamiento tanto a de software en modalidad Entregar manuales de instalación y configuración, de acuerdo con las políticas de protección del medio ambiente la documentación se puede suministrar en medio electrónico. Transferencia de conocimientos para la Plataforma de administración de sistema integrado de gestión para 15 personas designadas por la 1 Paquete 40 Horas

8 TERCERO: Se modifica las Generalidades del numeral 3 Especificaciones Técnicas, de la Sección VI Lista de Requisitos del Documento de Licitación, en los siguientes términos Generalidades: No se aceptarán equipos que no estén respaldados por los correspondientes certificados internacionales de calidad. Del mismo modo, no se aceptarán equipos producto de ensamblados con partes genéricas o equipos clónicos. El Oferente debe proveer todos los elementos necesarios para la instalación, puesta en funcionamiento e integración de todos los elementos de Hardware y Software, lo anterior teniendo en cuenta que los elementos de la licitación deben ser entregados en la modalidad llave en mano. Los equipos deberán ser entregados y probados de acuerdo con el plan de pruebas especificado en la sección 5. Todos los equipos ofrecidos deben ser de un fabricante con representación en Colombia. El Oferente anexará carta del fabricante o del representante del fabricante en Bogotá y municipios aledaños (firmada por el representante legal y/o por la persona autorizada), donde garantice que cuenta con centros autorizados de servicio. El Oferente anexará certificación del fabricante o del representante del fabricante en Colombia que acredite que cuenta con personal calificado para instalación, la configuración y puesta en funcionamiento de cada uno de los bienes y elementos adquiridos mediante la presente licitación. La proveerá el espacio físico (Centro de Monitoreo y Data Center), los equipos de almacenamiento y procesamiento de información CUARTO: Se modifica el numeral de la Sección VI Lista de Requisitos del Documento de Licitación, correspondiente a las Soluciones de Protección de Base de Datos. En consecuencia, el numeral queda así: SOLUCIÓN DE PROTECCIÓN DE BASES DE DATOS Descripción Requerimiento mínimo Cumple No cumple Componente SOLUCIÓN DE PROTECCIÓN DE BASES DE DATOS Cantidad 1 Observaciones (referencia a la documentación que soporta el requerimiento)

9 Descripción Requerimiento mínimo Cumple No cumple Observaciones (referencia a la documentación que soporta el requerimiento) 1) El equipo debe ser suministrado con el cableado de conectividad de red (Patch Cord en Cobre o Fibra Óptica) necesario para su puesta en funcionamiento. El rack del switch de Core de la de estara ubicado al lado del rack en donde el proponente instalara su rack para el montaje de los apliance de firewall Cableados 2) El equipo debe ser suministrado con el cableado de potencia electríca necesarios para su puesta en funcionamiento. La suministrará el punto de conexión eléctrica en la ubicación designada para el rack. El proponente suministrara los conectores macho y hembra para la energización del rack en el punto electrico suministrado por la Accesorios para montaje en rack Funcionalidades El oferente debe suministrar todos los accesorios internos para el montaje de sus equipos dentro del rack (tornillos, rieles, organizadores para cables eléctricos, organizadores para cables de datos) 1) La solución debe proporcionar la capacidad a la Distrial de de supervisar y monitorzar las acciones que se realicen sobre las bases de datos. Nota aclaratoria. En caso de que la solución requiera el uso de agentes de monitoreo a instalar en las bases de datos a monitorear, los mismos deben estar incluidos en la propuesta del oferente así como los servicios de instalación y configuración de los mismos, junto con el licenciamiento por un período igual al de la solución de seguridad de la base de datos 2) La solución de protección de bases de datos debe estar en capacidad de supervisar y auditar mínimo bases de datos Oracle (ver sección conexos Servidor de protección de bases de datos ) y Microsoft SQL Server. Nota aclaratoria. La Distrial de requiere que la instalación y configuración de la solución de seguridad de bases de datos se realice para las bases de datos especificadas en el numeral conexos Servidor de protección de bases de datos, el oferte puede especificar sobre que otros motores de bases de datos puede realizar acciones de supervisión, monitoreo o auditoria. 3) La solución debe ser capaz de realizar busqueda automática de bases de datos dentro de la red de datos de la Secretraria. 4) La solución debe permitir programar busqueda de bases de datos periódicos con el fin de evitar la inclusion de Bases de datos falsas a la infraestructura. 5) La solución debe ser capaz de identificar datos identificados como confidenciales en las bases de datos y eqtiquetarlos de acuedo a las políticas de seguridad de la organización 6) La solución debe ser capaz de examinar la infraestructura de base de datos y descubrir vulnerabilidades. 7) La solucuión debe ser capaz de encontrar vulnerabilidades como parches faltantes, privilegios mal configurados y cuentas predeterminadas.

10 Descripción Requerimiento mínimo Cumple No cumple 8) La solución debe ser capaz de producir un informes detallado de los resultados de las vulnerabilidades encontradas e incluir las recomendaciones para solucinarlos. 9) La solución debe tener formatos de informes preconfigurados 10) La solución debe tener la posibilidad (ver nota aclaratoria en este mismo item) de producir reportes de sus diagnósticos y análisis que se puedan importar a sistemas de correlación de eventos. 11) Nota Aclaratoria. El oferente debe explicar como cumple con el requisito y que elementos son necesarios para lograr la importación de los reportes de la solución de seguridad de bases de datos a herramientas de correlación de eventos e indicar con que herramientas de correlación se puede lograr la importación 12) La solución debe contar con mecanismos que garanticen la actualización de sus registros de vulnerabilidades existentes para garantizar la generación de diagnósticos reales sobre la infraestructura de bases de datos de la. 13) La solución debe ser capaz de establecer una línea base de configuración de las bases de datos y generar auditoria basada en dicha línea base de configuración. 14) La solución debe permitir la identificación y reporte de acciones no autorizadas o sospechosas o ataques identificables sobre las bases de datos de al 15) La solución debe ser capaz de identificar a usuarios de la aplicación cuando realizan cambios no autorizados en las bases de datos mediante aplicaciones propietarias. 16) La solución debe permitir debe permitir alertar y auditar los cambios que se realicen sobre la estructura de las de bases de datos 17) La solución debe permitir ser gestionada por el personal de seguridad de la información sin la intervención de los administradores de las bases de datos (DBAs). 18) La solución debe permitir definir políticas de acceso granular que limiten el acceso a tablas específicas basadas en el inicio de sesión del Sistema Operativo, dirección IP o MAC, aplicación de origen, hora del día, protocolo de red y tipo de comando SQL. 19) La solución debe poseer una interfaz que permita un rapido muestreo de incidentes de seguridad, y que mantenga un resgistro de los incidentes abiertos, con su nivel de gravedad y duración de los incidentes. Observaciones (referencia a la documentación que soporta el requerimiento)

11 QUINTO: Se modifica el numeral I.A.O (i) de la Sección II Datos de la Licitación del Documento de Licitación, correspondiente a la presentación de ofertas, en los siguientes términos: IAO 11.1(i) Los oferentes deberán presentar los siguientes documentos con su oferta: Requisitos de Calificación: a) Sin perjuicio de lo estipulado en el numeral 11 de las IAO, el proponente deberá presentar todos y cada uno de los siguientes documentos para permitir su calificación. Toda oferta que no incluya la información aquí solicitada o que no cumpla con lo aquí estipulado será rechazada: Experiencia: Relación de por lo menos tres (3), con un máximo de seis (6) contratos terminados satisfactoriamente en los últimos tres (3) años por el Oferente (sea oferente único, en consorcio o unión temporal), ó en ejecución con un avance físico de mínimo del cincuenta por ciento (50%) o cuyo componente se encuentre relacionado específicamente los dos ítem presentados a continuación: 1. Equipos de seguridad informática o soluciones de seguridad informática. 2. Implementación de sistemas gestión de seguridad de la información. Nota. El oferente podrá presentar por separado sus experiencias pero deberá acreditar experiencia en los dos ítems. La sumatoria de los contratos relacionados debe ser igual o superior al valor estimado del presente proceso por parte de la SDM (Setecientos Quince Millones Ciento Once Mil Ochocientos Veintiocho Pesos Colombianos-$ ,00 o Trescientos Noventa y Cuatro Mil Dólares Americanos-USD $ ) incluido el Valor a Impuesto Agregado IVA. El Oferente deberá relacionar la información solicitada, en una tabla que contenga la totalidad de los siguientes datos: Objeto del Cantidad de los bienes Nombre del comprador y País Año de suministro (Indicando fecha de inicio y fecha de finalización del contrato en formato dd/mm/aaaa) Valor componente de acuerdo a los ítem 1y 2 del literal (a) de la IAO 11.1(h) % de avance del contrato Valor total del % de Participación en el contrato (si aplica)

12 b) El oferente deberá cumplir con todos y cada uno de los requerimientos o condiciones relacionados con el cumplimiento de las Generalidades del numeral 3. Especificaciones Técnicas, Sección VI. Lista de Requisitos. c) Informes sobre la solvencia económica del Oferente: La firma debe presentar los siguientes estados financieros del último año, teniendo en cuenta que corresponda al 2012 con corte a 31 de diciembre, los cuales deberán estar suscritos por un Contador Público y un Revisor Fiscal, cuando las normas que los regulan así lo exigen en el caso de los Oferentes Nacionales. En el caso de los Oferentes que provengan de países diferentes al país del comprador deberán presentar los documentos o sus equivalentes de acuerdo con las normas del país de origen: i. Balance General. ii. Notas a los Estados Financieros. iii. Estado de Resultados. iv. Dictamen o Informe anual de auditoría sobre cada uno de los estados financieros. v. Tarjeta Profesional y certificado de antecedentes disciplinarios del Contador Público y/o Revisor Fiscal, firmantes de los estados financieros, para las firmas nacionales. El certificado adjunto debe tener fecha de expedición no mayor a tres meses a la fecha de cierre del presente proceso. d) Certificado de existencia y representación legal o registro mercantil. Los oferentes, o cada uno de los integrantes de Asociación en Participación, Consorcio y Asociación (APCA) deberán presentar el certificado de existencia y representación legal expedido por la Cámara de Comercio de su domicilio, o por quien haga sus veces en el país de origen de la firma, con una antelación no mayor a treinta (30) días calendario de la fecha de cierre de la presentación de ofertas. En éste se acreditará que la duración de la sociedad no será inferior a la del plazo del contrato y un (1) año más. En el evento en que el representante legal tenga alguna limitación para contratar, deberá anexar la autorización del órgano competente para comprometer a la sociedad en la presentación de la oferta y en la firma del contrato que le fuere adjudicado. El objeto social de la sociedad deberá incluir actividades relacionadas con el objeto de la presente licitación. e) Carta de intención o documento de conformación de Asociación en Participación, Consorcio y Asociación (APCA). Cuando la propuesta sea presentada en Asociación en Participación, Consorcio y Asociación (APCA), se deberán indicar mediante comunicación la conformación de la Asociación en Participación, Consorcio y Asociación (APCA) señalando los términos y extensión de la participación en la propuesta y en su ejecución. El documento de constitución deberá contener como mínimo lo siguiente: Cada firma asociada debe expresar su participación y las reglas básicas que regulen la relación con las demás firmas asociadas. Así mismo se debe indicar los términos y extensión de la participación en la propuesta y en la ejecución del contrato, los cuales no podrán ser modificados sin el consentimiento previo escrito de la, Indicar el término de duración de la asociación, que deberá ser como mínimo por el lapso comprendido entre la fecha de Suscripción del contrato, la terminación del mismo y un año más. Los miembros de la asociación deberán, a través de poder especial, designar la persona que para todos los efectos, representará a la Asociación y que será la responsable ante el contratante en la ejecución del. Los miembros de la APCA deberán declarar que son responsables mancomunada y solidariamente. Todos y cada uno de los integrantes del (APCA) deberán anexar copia de los Informes sobre la solvencia económica del Oferente citadas en el literal (c) de la presente IAO, en el caso de los Oferentes que provengan de países diferentes al país del comprador deberán presentar los documentos o sus equivalentes de acuerdo con las normas del país de origen.

13 SEXTO: Las demás disposiciones consagradas en el Documento de Licitación y Llamado a Licitación que no hayan sido modificadas en el presente documento, continúan vigentes en los mismos términos. Dado en Bogotá D. C., a los doce (12) días del mes de agosto de dos mil trece (2013). ORIGINAL FIRMADA POR MARIA CONSTANZA GARCÍA ALICASTRO Subsecretaria de Política Sectorial Revisó: Gloria Inés Bohórquez Torres Directora de Asuntos Legales Catherine Ruiz - Especialista de adquisiciones Crédito BID 2136 Claudia Isabel Osorio - Coordinadora crédito BID2136 Aprobó: Bismark Benjamin Buenaños Mosquera Jefe Oficina de Información Sectorial Ana Milena Granados Rodriguez Ingeniera Especializada SDM Juan Carlos Alarcon Suescún Consultor Experto en Seguridad de la Información SDM Proyectó: Claudia Milena Melo Guevara Dirección de Asuntos legales,