PLIEGO DE PRESCRIPCIONES TÉCNICAS QUE REGIRÁN LA REALIZACIÓN DEL CONTRATO DE SERVICIO DE EXPLOTACIÓN DE SISTEMAS EXP.: 140/12-SI

Transcripción

1 11/04/2013 PLIEGO DE PRESCRIPCIONES TÉCNICAS QUE REGIRÁN LA REALIZACIÓN DEL CONTRATO DE SERVICIO DE EXPLOTACIÓN DE SISTEMAS PROCEDIMIENTO SIMPLIFICADO Este archivo está almacenado en la sede electrónica de Red.es, accesible desde csv.red.es con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

2 INDICE 1. INTRODUCCIÓN CONTEXTO ACTUAL 4 2. REQUISITOS DE SERVICIO REQUISITOS PARTICULARES NIVELES DE SERVICIO FASES DE PRESTACION DEL SERVICIO REQUISITOS GENERALES CONTROL ECONÓMICO Y DE FACTURACIÓN Hitos de facturación FORMATO Y CONTENIDO DE LA PROPUESTA Propuesta relativa a los criterios cuya valoración depende de un juicio de valor (Sobre 3) Propuesta relativa a los criterios cuantificables mediante la mera aplicación de fórmulas (Sobre 4) 38 Nota: Cualquier consulta en relación con el presente procedimiento de licitación debe dirigirse por correo electrónico a la dirección sg.contratacion.consultas@red.es, indicando: Asunto: número de expediente. Cuerpo: nombre de la empresa, datos de la persona que realiza la consulta y texto de la consulta. El plazo de recepción de consultas finalizará 3 días hábiles antes del fin del plazo de presentación de ofertas. Red.es no tendrá obligación de responder las consultas realizadas transcurrido dicho plazo. Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 2 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

3 1. INTRODUCCIÓN Red.es se enfrenta al reto de desarrollar los programas de fomento de la Sociedad de la Información y las Telecomunicaciones, que le han sido encomendados, bajo unos criterios de eficiencia y eficacia, transparencia, coordinación y control que le permitan conseguir la excelencia en el desempeño de sus funciones. Para lograr dichos objetivos, la entidad debe disponer de una serie de infraestructuras técnicas de sistemas, comunicaciones y seguridad, que permitan el correcto funcionamiento de Red.es en la prestación de los servicios que tiene encomendados. Los servicios prestados por Red.es pueden ser Corporativos, de la propia entidad, o pueden ser servicios prestados a Terceros: Corporativos: Se enmarcan en esta categoría los servicios en los que el usuario (o cliente) es interno, es decir personal de Red.es. Son los servicios del tipo: Aplicaciones de uso corporativo (Gestores de contenidos, gestores documentales, gestión económica financiera, firma electrónica, aplicación de gestión de proyectos, suites de gestión de incidentes, activos, etc.) Portales corporativos ( etc.) A Terceros: Se enmarcan en esta categoría aquellos servicios que sirven para desarrollar las actividades encomendadas a Red.es por parte de la Administración Pública, o los servicios que Red.es presta directamente a ciudadanos y/o empresas. Podemos citar a modo de ejemplo: Gestión de los nombres de dominio bajo el indicativo.es Servicio de pago telemático ( Portales para campañas, iniciativas de Desarrollo de Sociedad de la Información, etc (chaval.es, cumbreiberoamericana.es, vendesentinternet.es, ). Con objeto de dar continuidad a la prestación de los servicios anteriormente mencionados, Red.es pone en marcha el presente procedimiento de licitación con el objeto de contratar un Servicio de Explotación de Sistemas (en adelante SES ) que incluye la monitorización, soporte, operación y gestión de la infraestructura tecnológica de sistemas de Red.es. Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 3 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

4 1.1 CONTEXTO ACTUAL A continuación se incluye una breve descripción, a título meramente informativo, del dimensionamiento y características de la infraestructura tecnológica que tiene Red.es en la actualidad y sobre la que se presta el servicio. Red.es dispone de dos centros de procesos de datos (CPDs), en diferentes ubicaciones geográficas de la Comunidad de Madrid. Uno de los CPDs se encuentra en modalidad de Housing, y otro es gestionado completamente en las instalaciones de la entidad. Del mismo modo, existen algunos servicios gestionados por la entidad en modalidad de Outsourcing y Cloud Computing. El parque de servidores está compuesto aproximadamente por 60 servidores, y la infraestructura de red y comunicaciones consta aproximadamente de 90 equipos (networking, seguridad, telefonía, WIFI, etc.), además de cabinas de almacenamiento y librerías de backup, cursándose diferentes proyectos de consolidación, y que conforman los entornos de pre-producción, demo y producción de la entidad. Los aplicativos albergados en la infraestructura de sistemas de Red.es tienen que ver con servicios horizontales, corporativos y servicios de negocio de los distintos departamentos de Red.es, y comprenden aplicaciones de gestión documental, de gestión de contenidos, gestión de proyectos, herramientas de ticketing, Enterprise Resource Planning (ERP), aplicaciones de administración electrónica, gestión de nombres de dominios y DNS de la zona.es, distintos portales y servicios web, así como cualquier servicio requerido de soporte al negocio, desde las distintas direcciones de la entidad. Red.es dispone de un sistema de Gestión de Calidad y de Gestión de Seguridad de la Información, que regula sus procesos y actuaciones, por lo que el adjudicatario del presente pliego deberá adaptarse y colaborar plenamente en el seguimiento y la consecución de los mismos, y especialmente en el ámbito de la gestión de las Tecnologías de la Información. La arquitectura tecnológica de la mayoría de los servicios operados en la entidad, responde a una arquitectura en tres capas y especificación J2EE, si bien existen algunas aplicaciones, portales webs en su mayoría, que responden a estándares de lenguajes de scripts de servidor, y algunos servicios corporativos que responden a arquitecturas.net o cliente servidor. A continuación, se muestra un resumen de orientación sobre los componentes tecnológicos que actualmente conforman las distintas arquitecturas a explotar, si bien, de nuevo destacamos que la información Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 4 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

5 es orientativa, y que siendo un proceso dinámico, puede ser susceptible de cambios motivados por necesidades del servicio. Cliente SUSE Linux Apache (Linux/SuSE) PHP Aplicación SUSE Linux Datos Windows Server TOMCAT, JBOSS, WEBLOGIC, IIS JDK, Drupal Solaris SUSE Linux Windows Server Oracle MySQL SQL Server Virtualización Citrix XenServer VMware Virtual Center La información proporcionada en este apartado es meramente informativa, susceptible de variación o cambio, en función de las necesidades de la entidad. Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 5 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

6 2. REQUISITOS DE SERVICIO En este apartado se especifican las características de los servicios que deberá prestar el Adjudicatario. Las actividades a realizar por la empresa que resulte adjudicataria serán como mínimo las que se recogen en este apartado. Las propuestas que incumplan u ofrezcan características inferiores no serán tomadas en consideración en el procedimiento de licitación. El licitador puede ofertar prestaciones superiores a las solicitadas. Durante la ejecución de los trabajos, se dará lugar a la generación de entregables, que como norma general irán acompañados de un resumen ejecutivo y de una presentación de diapositivas con el objeto de permitir presentar el resultado obtenido de forma resumida a terceros. Adicionalmente, el adjudicatario será el encargado de realizar y distribuir las actas de todas las reuniones realizadas en ejecución del servicio. Toda la documentación generada será realizada en el formato que la entidad determine y siempre conforme a las disposiciones de los apartados 3.1 del Pliego de Condiciones Particulares y Obligaciones de información y documentación del presente Pliego. Toda la documentación generada deberá contar con la aprobación expresa por parte del Director Técnico designado por Red.es. No obstante lo anterior, se podrán introducir modificaciones a cualquier entregable si existe mutuo acuerdo entre el adjudicatario y Red.es, siempre y cuando sea aprobado formalmente por parte del Director Técnico de Red.es. 2.1 REQUISITOS PARTICULARES El servicio comprende la realización de actividades destinadas a la gestión y resolución de cualquier proceso TIC objeto del presente procedimiento (gestión de incidencias, peticiones, cambios, problemas, configuración, capacidad, etc.) y, en general, cualquier tarea adicional que contribuya a lograr los objetivos de Red.es dentro de la gestión de los servicios operados por la Entidad. El adjudicatario deberá prestar un servicio que comprende la realización de las actuaciones que se detallan a continuación: MONITORIZACIÓN Y GESTIÓN DE EVENTOS Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 6 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

7 El adjudicatario deberá prestar un Servicio de Monitorización que garantice la calidad, disponibilidad y rendimiento de los servicios ofrecidos por Red.es, disponiendo de todos los medios técnicos y materiales necesarios (hardware, software, comunicaciones, etc.) para la efectiva prestación del servicio. Con carácter general, las características mínimas deben responder a las siguientes necesidades: ( ) Definición y configuración de parámetros y umbrales en las herramientas de monitorización, y construcción de mapas de monitorización y detección de alarmas o eventos. ( ) Vigilancia continua y detección de las alarmas, para detectar las incidencias que se puedan producir en los sistemas o servicios, en cuyo caso, serán escaladas al primer nivel de operación según se describe en el apartado 2.1.2, y se realizará el registro de la incidencia y comunicación a los responsables o contactos autorizados de Red.es. ( ) El alcance el servicio, comprende las 24 horas, los 7 días de la semana y los 365 días al año (en adelante 24x7). ( ) La actividad se podrá realizar de forma remota desde las instalaciones del adjudicatario excepto si, a criterio del Director Técnico designado por Red.es, se considera adecuada una modalidad de servicio insitu o mixta. ( ) El adjudicatario será responsable de definir, implementar y ejecutar el proceso de gestión de Eventos y Monitorización de los servicios, de acuerdo con los requisitos establecidos en el presente procedimiento y con las necesidades de la entidad, responsabilizándose del mismo y de reportar la información y métricas asociadas. Además de las características globales enunciadas con carácter general, se distinguen varios ámbitos de monitorización integrados en el servicio: Monitorización de Sistemas y Comunicaciones El adjudicatario deberá prestar un servicio de monitorización en el ámbito de los sistemas y las comunicaciones, destinado a determinar el estado de todos los equipos que componen la infraestructura de sistemas y comunicaciones de la entidad, y de las funcionalidades configuradas en dichos equipos, en términos de disponibilidad, rendimiento y capacidad. Con carácter general, las características mínimas deben responder a las siguientes necesidades: ( ) Definición e implantación de la solución tecnológica que se utilizará para acceder, recoger y analizar los datos a monitorizar. ( ) El sistema debe permitir como mínimo los siguientes requisitos: Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 7 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

8 o Monitorización distribuida. o Monitorización web integrada. o Autodescubrimiento de sistemas. o Herramienta de predicción de tendencias. o Monitorización IPv4 e IPv6. o Posibilidad de invocar agentes/clientes de otras herramientas. o Ejecución de acciones remotas sobre nodos distintos al origen de la alarma. o Estadísticas SNMP. o Funcionalidad syslog Monitorización de Usuario El adjudicatario deberá prestar un servicio de monitorización en el ámbito de la experiencia de usuario real, destinado a determinar el rendimiento y la calidad que percibe el usuario de los servicios que se prestan. Las características mínimas del servicio, son las siguientes: ( ) Definición e implantación de la solución tecnológica que se implementará para acceder, recoger y analizar los datos a monitorizar. ( ) El sistema debe permitir como mínimo los siguientes requisitos de monitorización en páginas web: - Monitorización activa de acciones de usuario final. - Monitorización de tiempos de respuesta por dominio. - Verificación de contenido por texto, enlaces u objetos. - Captura de pantalla en caso de error. - Descarga de ficheros. - Consumo de CPU y Memoria por el navegador. - Monitorización desde dispositivos móviles. - Internet/Intranet ( ) Cada nodo o sonda de monitorización, debe tener la capacidad de poder ser configurada en función de las necesidades de la entidad, con el mayor número de opciones posibles de cada uno de los siguientes elementos: -Sistema operativo. -Navegadores web. -Tipos de Dispositivo. ( ) El adjudicatario implementará para dos servicios web que Red.es determine a monitorizar, un mínimo de dos métricas por servicio, considerando cada una de estas como una transacción completa del servicio, con una frecuencia máxima de una hora, y desde al menos dos nodos o sondas de monitorización. Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 8 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

9 Las transacciones y características de cada métrica serán proporcionadas por Red.es, contando con el soporte y asesoramiento del adjudicatario, quien configurará las mismas. (#) Se valorará como criterio cuantificable mediante la mera aplicación de fórmulas, la monitorización de más de dos servicios web por el adjudicatario, conforme lo establecido en el apartado 10.2 del Pliego de Condiciones Particulares Soporte a la Monitorización de Seguridad Red.es podrá disponer de otros sistemas o servicios de monitorización en el ámbito de la seguridad, en cuyo caso el adjudicatario deberá dar soporte y colaborar en la operativa de su actividad, con el objeto de garantizar el correcto estado de los activos de Red.es y generar las alertas correspondientes en caso de eventos que pueden afectar a la seguridad de la información, con las siguientes características mínimas: ( ) Facilitar y proporcionar el acceso a la información necesaria por el sistema de monitorización de seguridad que Red.es determine, así como almacenar y resguardar los eventos recolectados para, en caso de necesidad, realizar un análisis forense y obtener datos relativos al origen, destino y traza de los incidentes de seguridad. ( ) Configurar los elementos de sistemas de información para permitir el funcionamiento correcto del sistema de monitorización. ( ) Colaborar en discernir entre falsos positivos o negativos analizando las diferentes alertas detectadas, con los grupos de soporte o monitorización de seguridad de Red.es SERVICE DESK: CENTRO DE ATENCIÓN DE USUARIOS Y PRIMER NIVEL DE OPERACIÓN Y SOPORTE El adjudicatario deberá proporcionar un punto de contacto técnico centralizado para la recepción y registro de eventos (incidencias, peticiones, consultas, cambios y cualquier otro proceso estimado por la entidad, relacionado con el SES) y la ejecución de procedimientos de operación y soporte de primer nivel para su resolución, gestión o escalado y seguimiento en el caso que corresponda, con las siguientes características a considerar: ( ) Definición e implantación del servicio de atención y de los procedimientos de primer nivel de operación y soporte. ( ) Definición e implantación operativa de solución de inventario de activos de la entidad. ( ) La actividad se podrá realizar de forma remota, excepto si a criterio del responsable del contrato se considera adecuada una modalidad Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 9 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

10 de servicio in-situ o mixta. En todo caso se realizará siempre desde un centro ubicado dentro del territorio Español. ( ) El alcance del servicio, comprende las 24 horas, los 7 días de la semana y los 365 días al año (en adelante 24x7), para el siguiente ámbito: o Servicios de prioridad alta o crítica. o Incidencias relativas a la seguridad de los servicios TIC alojados en la red de Red.es, relativas a las vulnerabilidades y ataques a la misma que comprometan el funcionamiento de los servicios que presta la entidad. o Aquellos que red.es considere como causa justificada por el impacto o contexto aplicable. Para el resto de ámbitos del servicio, será de aplicación el horario especificado en el apartado La clasificación y determinación de los servicios por prioridad corresponde a Red.es, y serán comunicados al adjudicatario al inicio del contrato. La clasificación y prioridad podrá estar sujeta a modificación en función de las necesidades de la entidad, dichos cambios serán comunicados al adjudicatario con la suficiente antelación. ( ) Los usuarios del servicio, podrán ser cualquier usuario de la entidad, incluido el personal considerado como VIP (personal considerado de especial tratamiento o criticidad), y aquellos usuarios o grupos de interés que Red.es determine y autorice de manera expresa, tanto usuarios finales de servicios que explote la entidad por ejemplo: contactos de agentes registradores del servicio de Dominios, proveedores tecnológicos de distintos procesos relacionados con los servicios (por ejemplo, mantenedores de infraestructuras o administradores de aplicativos), o empresas colaboradoras en el ámbito de la seguridad o las administraciones públicas (CERTs, fuerzas de seguridad del estado, etc). En todos los casos, los usuarios del servicio serán acotados, determinados y autorizados por Red.es, y en ningún caso se prestará el servicio de atención de usuarios a grupos no limitados o ciudadanos en general. ( ) El servicio se prestará en idioma Castellano, pero debido al alcance internacional de determinados servicios de la entidad, el adjudicatario deberá garantizar que el servicio se pueda prestar en Inglés. ( ) Red.es podrá integrar en el servicio, en función de sus necesidades, otros Centros de Atención de Usuarios, Service Desk, o servicios de soporte y operación específicos, permitiendo incluso la sustitución total o parcial del requerido en el presente apartado. En cualquier caso, el adjudicatario deberá integrarse de manera operativa de acuerdo a los requisitos que le serán comunicados por parte de la entidad. ( ) El adjudicatario será responsable de definir, implementar y ejecutar el proceso de gestión de Service Desk, de acuerdo con los requisitos establecidos y con las necesidades de la entidad, responsabilizándose del proceso y de reportar la información y métricas del mismo. Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 10 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

11 2.1.3 GESTIÓN Y SEGUNDO NIVEL DE OPERACIÓN Y SOPORTE El adjudicatario deberá realizar todas las tareas de gestión, operación y administración técnica de toda la infraestructura tecnológica de sistemas, comunicaciones y seguridad, con el objeto de garantizar la calidad de los servicios operados y dar respuesta a los objetivos estratégicos de la entidad. Con carácter general, las características mínimas deben responder a las siguientes necesidades: ( ) Definición e implantación del servicio de gestión y segundo nivel de operación y soporte. ( ) La actividad se podrá realizar de forma remota, excepto si a criterio del Director Técnico designado por Red.es, se considera adecuada una modalidad de servicio in-situ o mixta, en todo caso se realizará siempre desde un centro ubicado dentro del territorio nacional. ( ) El servicio se deberá prestar 12 horas al día, estableciéndose de manera preliminar un horario de 8:00 horas a 20:00 horas, durante todos los días laborables (en adelante 12x5), conforme lo expuesto en el apartado Horario y lugar de realización de los trabajos del presente Pliego de Prescripciones Técnicas. ( ) De manera adicional a lo enunciado en el párrafo anterior y para aquellos cambios que sean planificados en ventanas de actuación que deben ser realizados fuera del horario establecido de manera preliminar, pudiendo hacerse incluso en horario nocturno, fines de semana o festivos. Dichas actividades no supondrán ningún coste adicional para red.es, y con carácter general seguirán las normas descritas en el apartado del Pliego de Prescripciones Técnicas. ( ) El adjudicatario prestará asesoramiento tecnológico y de cualquier proceso actual o futuro relativo al servicio a Red.es. ( ) Enfoque del servicio basado en buenas practicas ITIL, por lo que se prestaran servicios destinados a la gestión de cualquier proceso y actividad que Red.es determine en el ámbito del servicio, y en particular a los enunciados a continuación: Gestión de Incidencias, Peticiones y Problemas. ( ) El adjudicatario será el responsable de ejecutar la efectiva gestión y control de los incidentes y peticiones del servicio, ajustándose a los procedimientos establecidos a tal efecto, proponiendo e implantando en su caso, las modificaciones, necesidades y mejoras posibles del proceso, con el objeto de asegurar el correcto funcionamiento de los servicios. ( ) El servicio, deberá prestar especial soporte a las incidencias relacionadas con la seguridad de la información, reaccionando ante cualquier alerta e incidencia, y proporcionando un nivel de alerta temprana Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 11 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

12 ante amenazas emergentes, aunque estas aún no se hayan materializado en los activos de RED.ES. Ante riesgos motivados por un aprovechamiento de una vulnerabilidad emergente o existente en los sistemas de Red.es, el adjudicatario se encargará de proponer planes de actuación para minimizar el impacto de dicho riesgo, así como de implementar los cambios necesarios en los activos protegidos afectados, si Red.es lo solicita. ( ) El adjudicatario deberá utilizar canales de comunicación seguros para el intercambio de información que garanticen la confidencialidad, integridad y origen legítimo de las notificaciones. ( ) El adjudicatario será responsable del proceso de Gestión de Incidencias y Peticiones, y por lo tanto de su ciclo de vida desde su apertura hasta el cierre, así como proveer la información y métricas del proceso. ( ) El adjudicatario, reportará en el caso de incidencias que causen interrupción del servicio, las relativas a la seguridad o que por su impacto, la entidad considere su justificación detallada, en el plazo de tres días naturales o al siguiente día laboral, un informe justificativo del detalle de la incidencia y de la actuación del servicio. ( ) Como complemento del proceso de gestión de incidentes, el adjudicatario será el responsable de definir, implementar y ejecutar el proceso de gestión de Problemas. (Ø) El licitador realizará una propuesta del Proceso de Gestión de Problemas para Red.es, que será valorada como criterio cuya valoración depende de un juicio de valor conforme lo establecido en el apartado 10.1 del Pliego de Condiciones Particulares Gestión de Cambios, Capacidad y Configuración. ( ) El adjudicatario será el responsable de ejecutar la gestión y control de los cambios del servicio, ajustándose a los procedimientos establecidos a tal efecto, proponiendo e implantando en su caso, las modificaciones, necesidades y mejoras posibles del proceso, con el objeto de minimizar los riesgos en los cambios, y en consecuencia asegurar la calidad de los servicios. ( ) El adjudicatario será el responsable de ejecutar la efectiva gestión y control de la configuración de los elementos de configuración, ajustándose a los procedimientos establecidos a tal efecto, proponiendo e implantando en su caso, las modificaciones, necesidades y mejoras posibles del proceso, con el objeto de controlar la calidad de los servicios. El adjudicatario deberá hacer uso y administrar en su caso, la Base de datos de gestión de la configuración (CMDB) propuesta por la entidad para la efectiva gestión de los elementos de configuración de la entidad. ( ) El adjudicatario deberá proponer requerimientos de seguridad en cuanto a la gestión de cambios en la infraestructura de RED.ES. ( ) El adjudicatario será responsable de los procesos de Gestión de cambios y configuración, y por lo tanto del ciclo de vida de cualquier cambio Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 12 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

13 y de la configuración de los componentes, así como de proveer la información y métricas de los procesos. ( ) El adjudicatario, con periodicidad semanal liderará los Comités de cambios, y en los mismos reportará el estado de los cambios realizados en la semana anterior al comité, así como la planificación de los cambios propuestos para la semana en curso. Dichos Comités, exigen la presencia in situ en las dependencias de red.es del adjudicatario, conforme a las normas establecidas en el apartado ( ) Como complemento de los procesos de gestión de Cambios y Configuración, el adjudicatario será el responsable de definir, implementar y ejecutar el proceso de gestión de Capacidad para red.es. (Ø) El licitador realizará una propuesta del Proceso de Gestión de Capacidad para Red.es, que será valorada como criterio cuya valoración depende de un juicio de valor conforme lo establecido en el apartado 10.1 del Pliego de Condiciones Particulares Gestión de la Seguridad. ( ) El adjudicatario será el responsable de ejecutar la gestión y el control efectivo de la continuidad de la infraestructura, así como la seguridad y disponibilidad de los servicios ajustándose a los procedimientos establecidos a tal efecto, proponiendo e implantando en su caso, las modificaciones, necesidades y mejoras posibles del proceso, con el objeto de minimizar los riesgos en Sistemas de Información, y en consecuencia asegurar la calidad de los servicios. ( ) El adjudicatario será responsable de los procesos de Seguridad, así como de proveer la información y métricas. ( ) El adjudicatario será el responsable de definir, implementar y ejecutar los procesos de gestión de la Seguridad Gobierno TI. ( ) El adjudicatario deberá definir e implantar un sistema de Gobierno de las Tecnologías de la Información en el marco de Explotación de Sistemas, (en adelante, Gobierno TI ), siendo el responsable de ejecutar la gestión y control de las estructuras, relaciones y procesos sobre las Tecnologías de la Información de la entidad, para alcanzar los objetivos de Red.es y proporcionar el máximo valor al negocio y optimizar el retorno de la inversión. ( ) Como parte del sistema de Gobierno TI, el adjudicatario será responsable de definir, implementar y ejecutar el proceso de Gestión de Niveles de servicio, así como de proveer la información y métrica del proceso ( ) El adjudicatario reportará mensualmente salvo que red.es determine otra periodicidad, un informe del estado del servicio y gobierno Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 13 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

14 TI, que contenga como mínimo la información y métricas significativas de los siguientes procesos - Gestión de eventos y monitorización. - Gestión de Service Desk. - Gestión de incidencias, peticiones y problemas. - Gestión de cambios, capacidad y configuración. - Gestion de la seguridad. (Ø) El licitador realizará una propuesta del Sistema de Gobierno TI para Red.es, que será valorada como criterio cuya valoración depende de un juicio de valor conforme lo establecido en el apartado 10.1 del Pliego de Condiciones Particulares SOPORTE TECNICO DE TERCER NIVEL El adjudicatario prestará servicios destinados a la realización de soporte técnico para incidencias de los servicios operados, con especial énfasis a las incidencias de servicios críticos y de seguridad, con el objeto de garantizar la disponibilidad, continuidad, seguridad y calidad de los servicios. Con carácter general, las características mínimas deben responder a las siguientes necesidades: ( ) Definición e implantación del servicio de soporte técnico de tercer nivel. ( ) La actividad se podrá realizar de forma remota, excepto si a criterio del Director Técnico se considera adecuada una modalidad de servicio in-situ o mixta. ( ) El alcance el servicio, comprende las 24 horas, los 7 días de la semana y los 365 días al año (en adelante 24x7). ( ) El adjudicatario deberá definir e implementar un procedimiento de gestión y actuación de incidencias para todos los servicios críticos y los relacionados con la seguridad de los sistemas de la información de la entidad, en el que se refleje en detalle los pasos y mecanismos de contingencia a realizar, el flujo y medios de comunicación, escalados, y cualquier otro aspecto que se considere de interés. (Ø) El licitador realizará una propuesta del procedimiento de gestión y actuación de incidencias para servicios críticos e incidencias de seguridad en Red.es, que será valorada como criterio cuya valoración depende de un juicio de valor conforme lo establecido en el apartado 10.1 del Pliego de Condiciones Particulares SOPORTE ESPECIALIZADO Y APOYO A PROYECTOS Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 14 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

15 ( ) El adjudicatario prestará servicios adicionales de soporte especializado para proyectos, tareas de ingeniería o consultoría técnica, que por su complejidad, criticidad, magnitud, relación con el negocio o tecnología, precise de un soporte de alto nivel especializado o de recursos adicionales, o que no se encuentre contemplado en el resto de requisitos objeto del presente procedimiento, y siempre que tenga relación con el objeto del servicio. ( ) La actividad se podrá realizar in-situ, de forma remota o mixta, dependiendo de las necesidades o naturaleza del proyecto o soporte, y deberá prestarse siempre conforme con las condiciones generales establecidas en el apartado 2.4. Requisitos Generales, con la salvedad que serán facturadas con cargo a una bolsa de horas de servicios técnicos especializados. 2.2 NIVELES DE SERVICIO ( ) El adjudicatario deberá cumplir los acuerdos de nivel de servicio, Service Level Agreement (en adelante SLA), establecidos en el presente pliego (Red.es se reserva el derecho de modificar o introducir nuevos indicadores específicos en función de las necesidades del servicio, los cuales serán comunicados al adjudicatario con una antelación nunca inferior a 7 días naturales). El incumplimiento de estos Acuerdos de Nivel de Servicio podrá dar lugar a la aplicación de las penalizaciones establecidas en el apartado 6 Penalizaciones del Pliego de Condiciones Particulares. La medición de cumplimiento de los niveles de servicio se realizará con carácter mensual, mediante el estudio del grado de cumplimiento del acuerdo de nivel de servicio establecido. El adjudicatario deberá suministrar a Red.es informes que permitan conocer, de forma detallada, unificada o desglosada el cumplimiento de los parámetros contemplados en el SLA. Estos informes deberán poder ser consultados por Red.es en cualquier momento. Del mismo modo, el adjudicatario deberá disponer de herramientas y procedimientos que pondrán a disposición de Red.es para el adecuado seguimiento y verificación de los niveles de servicio ofertados. No obstante, para evaluar correctamente el conjunto de requisitos de calidad y nivel de servicio, Red.es se reserva el derecho a realizar Auditorías de Calidad del Servicio en función de sus normas y procedimientos de Gestión de Calidad, con la periodicidad que estime oportuna. Corresponde a Red.es, determinar la clasificación de los servicios, conforme el impacto, necesidades o urgencia de los mismos, etiquetándolos con prioridad alta, media o baja, así como evaluar que se disponga de la Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 15 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

16 infraestructura necesaria para dar respuesta a la prioridad establecida, comunicando cualquier cambio al adjudicatario con la antelación suficiente. Todos los tiempos aplicables para la medición de los acuerdos de nivel de servicio, son tiempos máximos, no permitiéndose la realización de medias o agrupación de tiempos, excepto las expresamente indicadas en el presente procedimiento o las autorizadas expresamente por Red.es. Para el supuesto de falsos positivos (eventos que generan una alerta, petición o incidencia, y que se demuestra que no corresponden con las premisas establecidas inicialmente y por tanto no existe afectación del servicio en ningún grado), el adjudicatario podrá no tener en cuenta los tiempos aplicables sobre dicho evento para el cálculo de los niveles de servicio correspondientes, siempre condicionado a la adecuada justificación y a la aceptación de Red.es, así como cuando se determine que la causa del evento o incumplimiento es por causas ajenas al servicio o existe una justificación aceptada por Red.es. Al comienzo del servicio, Red.es consensuará con el adjudicatario, la definición de los distintos estados (aceptado, en espera, en progreso, etc) posibles de un tique o evento, así como la clasificación de los tipos de eventos (incidencias, peticiones, cambios, problemas, tareas, etc), en base a los procedimientos operativos y de calidad de la entidad, y podrá ser revisada a instancias de las partes en cualquier momento durante la ejecución del servicio en reuniones periódicas. Si durante la prestación del servicio, existen discrepancias con el adjudicatario sobre el estado o clasificación de los tickets o eventos, prevalecerá el criterio de Red.es a través de la figura del Director Técnico designado, aceptando el adjudicatario la resolución a todos los efectos, así como las implicaciones derivadas de los acuerdos de nivel de servicio del presente apartado. Cada Nivel de Servicio se establece sobre un volumen determinado inicialmente, de los indicadores objeto de medición, de modo que la variación en el mismo, implique a su vez una variación porcentual del cumplimiento exigido. Cualquier cambio en el volumen asociado a un nivel de servicio y en consecuencia la variación porcentual que implique, debe ser aceptado por Red.es. En caso de discrepancia, prevalecerá en cualquier caso, el criterio de Red.es. A efectos del cómputo de penalizaciones, se entenderán por horas laborables las comprendidas en la franja horaria de 8:00 a 20:00, de lunes a viernes, excepto festivos nacionales y de la Comunidad de Madrid, de acuerdo con lo establecido en el apartado del presente Pliego de Prescripciones Técnicas. Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 16 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

17 2.2.1 Disponibilidad de servicios. Se considera que un servicio está indisponible cuando queda interrumpido o gravemente afectado, impidiendo la prestación operativa de manera razonable y sin existir una solución alternativa aceptable. Para el cálculo del número de minutos indisponibles por prioridad, se sumarán los minutos de indisponibilidad de cada servicio, computando y sumando el tiempo de indisponibilidad de cada servicio, atendiendo a su prioridad de manera individual aunque la indisponibilidad de un servicio fuese causada por otro servicio con el que esté relacionado directa o indirectamente. o Disponibilidad de servicios con prioridad alta: Indicador: Minutos de indisponibilidad por servicio. Métrica: % Disponibilidad = (1 Número minutos sin servicio/ Número total de minutos) x 100. Cumplimiento SLA: Disponibilidad igual o mayor al 99,94% o Disponibilidad de servicios con prioridad media: Indicador: Minutos de indisponibilidad por servicio. Métrica: % Disponibilidad = (1 Número minutos sin servicio/ Número total de minutos) x 100. Cumplimiento SLA: Disponibilidad igual o mayor al 99% o Disponibilidad de servicios con prioridad baja: Indicador: Minutos de indisponibilidad por servicio. Métrica: % Disponibilidad = (1 Número minutos sin servicio/ Número total de minutos) x 100. Cumplimiento SLA: Disponibilidad igual o mayor al 95% El cociente entre el número de minutos sin servicio y el número total de minutos del mes sobre el que se realiza la medición, se expresará como norma general con cuatro decimales Volumen asociado y cumplimiento SLA Disponibilidad. Se considera volumen asociado de servicios a la suma de todos los servicios operativos en el mes objeto de medición, diferenciando los servicios por prioridad. Volumen asociado servicios prioridad alta: 20 Servicios Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 17 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

18 Variación permitida en cumplimiento SLA: Un 0,01 % en el SLA de disponibilidad por prioridad alta, por cada servicio adicional con prioridad alta. Volumen asociado servicios prioridad media: 30 Servicios Variación permitida en cumplimiento SLA: Un 0,1 % en el SLA de disponibilidad por prioridad media, por cada servicio adicional con prioridad media. Volumen asociado servicios prioridad baja: 40 Servicios Variación permitida en cumplimiento SLA: Un 0,1 % en cada SLA de disponibilidad por prioridad baja, por cada servicio adicional con prioridad baja Registro de eventos. Se considera tiempo de registro de un evento, al transcurrido desde que la herramienta de monitorización produzca una alerta o un usuario, colaborador, proveedor o CAU autorizado, informe de un nuevo evento y se registre en la plataforma de gestión. En el supuesto que no sea posible el registro en la plataforma, el adjudicatario deberá tenerlo en cuenta y reflejarlo en cuanto sea posible para su correcta medición en la herramienta. Para el cálculo del incumplimiento del tiempo de eventos registrados se considerará que dentro de un mismo evento con una misma prioridad, cada vez que se incumpla el indicador de tiempo asignado a dicho evento, computará como un evento adicional a efecto del cumplimiento del Acuerdo de Nivel de Servicio. Por ejemplo, si de un total de cincuenta eventos sobre servicios de prioridad alta, una incidencia dada tiene un tiempo de registro de once minutos, computara como dos eventos que incumplen el indicador sobre un total de cincuenta (% Eventos registrados= 96 %). o Registro para eventos relacionados con servicios de prioridad alta: Indicador: Tiempo de registro menor o igual a cinco (5) minutos por evento. Métrica: % Eventos registrados = (1 Número de eventos que incumplen indicador / Número total de eventos) x 100 Cumplimiento SLA: 99% de eventos registrados. o Registro para eventos relacionados con servicios de prioridad media: Indicador: Tiempo de registro menor o igual a quince (15) minutos por evento. Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 18 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

19 Métrica: % Eventos registrados = (1 Número de eventos que incumplen indicador / Número total de eventos) x 100. Cumplimiento SLA: 95% de eventos registrados. o Registro para eventos relacionados con servicios de prioridad baja: Indicador: Tiempo de registro menor o igual a veinte (20) minutos por evento. Métrica: % Eventos registrados = (1 Número de eventos que incumplen indicador / Número total de eventos) x 100. Cumplimiento SLA: 90% de eventos registrados Volumen asociado y cumplimiento SLA Registro de eventos. Se considera volumen total de servicios a la suma de todos los servicios operativos en el mes objeto de medición. Volumen asociado: 90 Servicios Variación permitida en cumplimiento de SLA: Un 0,1 % en cada SLA de eventos registrados por prioridad, por cada 1 % de desviación sobre el volumen asociado Tiempo de respuesta Se considera tiempo de respuesta al transcurrido desde la apertura de un tique hasta la comunicación del técnico asignado por el adjudicatario con el interlocutor correspondiente de Red.es para informar de la aceptación o tratamiento del ticket. Para el cálculo del tiempo de respuesta ante eventos, se considerará que dentro de un mismo evento cada vez que se incumpla el indicador, computará como un evento adicional a efecto del cumplimiento del Acuerdo de Nivel de Servicio. Por ejemplo, si sobre cincuenta incidencias del periodo de medición para servicios con prioridad alta, sólo una incidencia dada tiene un tiempo de respuesta de dieciocho minutos, computara como tres eventos que incumplen el indicador sobre los cincuenta totales (% Respuesta Eventos= 94 %) o Tiempo de respuesta servicios con prioridad alta: Indicador: Tiempo de respuesta menor o igual a cinco (5) minutos por evento. Métrica: % Respuesta Eventos = (1 Número de eventos que incumplen indicador / Número total de eventos) x 100 Cumplimiento SLA: 99% de respuesta eventos. Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 19 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

20 o Tiempo de respuesta servicios con prioridad media: Indicador: Tiempo de respuesta menor o igual a quince (15) minutos por evento. Métrica: % Respuesta Eventos = (1 Número de eventos que incumplen indicador / Número total de eventos) x 100 Cumplimiento SLA: 95% de respuesta Incidencias. o Tiempo de respuesta servicios con prioridad baja: Indicador: Tiempo de respuesta menor o igual a veinte (20) minutos por evento. Métrica: % Respuesta Eventos = (1 Número de eventos que incumplen indicador / Número total de eventos) x 100 Cumplimiento SLA: 90% de respuesta Incidencias Volumen asociado y cumplimiento SLA Tiempo de respuesta: Se considera volumen asociado de eventos a la suma de todos los tipos de eventos (incidencias, peticiones, cambios, tareas, problemas, etc) posibles abiertos en un mes, considerando que aquellos eventos que NO han sido resueltos en el mes de medición, no pueden volver a contabilizarse en el mes siguiente como volumen de eventos). Volumen asociado: 350 eventos. Variación en cumplimiento SLA: Un 0,5 % en cada SLA de tiempo de respuesta por prioridad, por cada 1 % de desviación sobre el volumen asociado Tiempo de resolución. Se considera tiempo de resolución al transcurrido desde la respuesta de un ticket hasta la comunicación del técnico asignado por el adjudicatario con el interlocutor correspondiente de Red.es para informar de la resolución o tratamiento del ticket. Para el cálculo del tiempo de resolución ante eventos, se considerará que dentro de un mismo evento cada vez que se incumpla el indicador de tiempo que a continuación se expone en cada subapartado, computará como un evento adicional a efecto del cumplimiento del Acuerdo de Nivel de Servicio. Por ejemplo, si sobre cincuenta incidencias del periodo de medición sobre servicios con prioridad alta, sólo una incidencia dada tiene un tiempo de respuesta de dieciocho horas, computara como cuatro eventos que incumplen el indicador sobre los cincuenta totales (% Resolución Incidencias = 92%). Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 20 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

21 Tiempo de resolución Incidencias o Tiempo de resolución Incidencias de servicios con prioridad alta: Indicador: Tiempo de resolución menor o igual a cuatro (4) horas naturales. Métrica: % Resolución incidencias = (1 Número de incidencias que incumplen indicador / Número total de incidencias) x 100 Cumplimiento SLA: 99% de resolución incidencias. o Tiempo de resolución Incidencias de servicios con prioridad media: Indicador: Tiempo de resolución menor o igual a ocho (8) horas laborables. Métrica: % Resolución incidencias = (1 Número de incidencias que incumplen indicador / Número total de incidencias) x 100 Cumplimiento SLA: 95% de resolución Incidencias. o Tiempo de resolución Incidencias de servicios con prioridad baja: Indicador: Tiempo de resolución menor o igual a veinticuatro (24) horas laborables. Métrica: % Resolución incidencias = (1 Número de incidencias que incumplen indicador / Número total de incidencias) x 100 Cumplimiento SLA: 90% de resolución Incidencias Volumen asociado y cumplimiento SLA Tiempo resolución Incidencias. Se considera volumen asociado de incidencias a la suma de todas las incidencias posibles abiertas en un mes, considerando que aquellas incidencias que NO han sido resueltas en el mes de medición, no pueden volver a contabilizarse en el mes siguiente como volumen de incidencias. Volumen asociado: 100 Incidencias. Variación en cumplimiento SLA: Un 0,5 % en cada SLA de tiempo de resolución de incidencias por prioridad, por cada 1 % de desviación sobre el volumen asociado Tiempo de resolución Peticiones Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 21 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

22 o Tiempo de resolución Peticiones de servicios con prioridad alta: Indicador: Tiempo de resolución menor o igual a ocho (8) horas laborables. Métrica: % Resolución peticiones = (1 Número de peticiones que incumplen indicador / Número total de peticiones) x 100 Cumplimiento SLA: 99% de resolución peticiones. o Tiempo de resolución Peticiones de servicios con prioridad media: Indicador: Tiempo de resolución menor o igual a veinticuatro (24) horas laborables. Métrica: % Resolución peticiones = (1 Número de peticiones que incumplen indicador / Número total de peticiones) x 100 Cumplimiento SLA: 95% de resolución Peticiones. o Tiempo de resolución Peticiones de servicios con prioridad baja: Indicador: Tiempo de resolución menor o igual a cuarenta y ocho (48) horas laborables. Métrica: % Resolución peticiones = (1 Número de peticiones que incumplen indicador / Número total de peticiones) x 100 Cumplimiento SLA: 90% de resolución Peticiones Volumen asociado y cumplimiento SLA Tiempo resolución Peticiones. Se considera volumen asociado de peticiones a la suma de todas las peticiones posibles abiertas en un mes, considerando que aquellas peticiones que NO han sido resueltas en el mes de medición, no pueden volver a contabilizarse en el mes siguiente como volumen de peticiones). Volumen asociado: 150 Peticiones. Variación en cumplimiento SLA: Un 0,5 % en cada SLA de tiempo de resolución de peticiones por prioridad, por cada 1 % de desviación sobre el volumen asociado Tiempo de resolución Tareas de Explotación y Problemas. o Tiempo de resolución Tareas y Problemas de servicios con prioridad alta: Indicador: Tiempo de resolución menor o igual a veinticuatro (24) horas laborables. Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 22 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=

23 Métrica: % Resolución tareas = (1 Número de tareas que incumplen indicador / Número total de tareas) x 100 Cumplimiento SLA: 99% de resolución tareas. o Tiempo de resolución Tareas y Problemas de servicios con prioridad media: Indicador: Tiempo de resolución menor o igual a sesenta (60) horas laborables. Métrica: % Resolución tareas = (1 Número de tareas que incumplen indicador / Número total de tareas) x 100 Cumplimiento SLA: 95% de resolución Tareas. o Tiempo de resolución Tareas y Problemas de servicios con prioridad baja: Indicador: Tiempo de resolución menor o igual a ciento veinte (120) horas laborables. Métrica: % Resolución tareas = (1 Número de tareas que incumplen indicador / Número total de tareas) x 100 Cumplimiento SLA: 90% de resolución Tareas Volumen asociado y cumplimiento SLA Tiempo resolución Tareas y Problemas. Se considera volumen asociado de tareas y problemas a la suma de todas las tareas y problemas posibles abiertas en un mes, considerando que aquellas que NO han sido resueltas en el mes de medición, no pueden volver a contabilizarse en el mes siguiente como volumen de tareas y problemas). Volumen asociado: 40 Tareas y problemas. Variación permitida en cumplimiento SLA: Un 0,5 % en cada SLA de tiempo de resolución de tareas y problemas por prioridad, por cada 1 % de desviación sobre el volumen asociado Cambios planificados y urgentes. Se considera cambio planificado, todo aquel que ha sido aprobado por el comité de cambios de la entidad, y cambio urgente aquel que ha sido aprobado por el comité de cambios urgentes, o en su defecto por un miembro autorizado del mismo. Para el cálculo de la desviación sobre cambios planificados, es preciso tener en cuenta que dentro de un mismo cambio cada vez que se incumpla el indicador de tiempo que a continuación se expone, computará como un cambio adicional a efecto del cumplimiento del Acuerdo de Nivel Este archivo está almacenado en la sede electrónica de Red.es, accesible desde Pág. csv.red.es 23 de 43 con el código seguro de verificación 4i/SsZEzpKEaNTEBN3GjjkNh5Ks=