SECRETARÍA DISTRITAL DE MOVILIDAD CONTRATO DE PRESTAMO BID No. 2136/OC-CO PROYECTO APOYO INSTITUCIONAL AL SISTEMA INTEGRADO DE TRANSPORTE PÚBLICO

Transcripción

1 SECRETARÍA DISTRITAL DE MOVILIDAD CONTRATO DE PRESTAMO BID No. 2136/OC-CO PROYECTO APOYO INSTITUCIONAL AL SISTEMA INTEGRADO DE TRANSPORTE PÚBLICO DOCUMENTO DE ACLARACIONES NÚMERO UNO PROCESO SDM LPN No.BID 024 de 2013 OBJETO: Adquisición y puesta en funcionamiento de la infraestructura de gestión de seguridad de la información para el Sistema de Movilidad Urbano regional SIMUR PREGUNTAS Y RESPUESTAS PREGUNTA 1. En la (clausula) sección VI 1. Lista de bienes y plan de entregas Nro Articulo 1.5 indica servidor tipo appliance de protección de bases de datos y en la sección indica solución de protección de bases de datos, es posible que el Nro de Artículo 1.5 se llame igual que el item es decir "Solución de protección de bases de datos" para evitar confusiones con la palabra appliance. Respuesta 1. Para evitar confusiones con la utilización del término appliance se unifican las descripciones de los siguientes ítems asociados de la solución de protección de bases de datos mediante adenda, así: En el numeral 1 Lista de Bienes y Plan de entrega, de la sección VI. Lista de requisitos se modificará la descripción de los bienes del No de articulo 1.5, así: 1.5 Solución protección de bases de datos En el numeral 2. Lista de Servicios Conexos y Cronograma de Cumplimiento, de la sección VI. Lista de requisitos, el nombre del numeral 2.4 se modificará mediante adenda así: 2.4 Servicios conexos solución de protección de bases de datos En el numeral 3. Especificaciones Técnicas, el nombre del numeral 3.1.5, de la sección VI. Lista de requisitos, el nombre del numeral se modificará mediante adenda así: Solución de protección de bases de datos PREGUNTA 2. En la IAO 11.1 (i) la experiencia del oferente se requiere en dos ítems 1. Equipos de seguridad perimetral. 2. Implementación de sistemas gestión de seguridad de la información. Se solicita que el primer ítem quede Equipos de seguridad informática o soluciones de seguridad informática Página 1 de 19

2 Respuesta 2. Con el fin de ofrecer igualdad de oportunidades a posibles oferentes interesados en el proceso y considerando que los términos Equipos de seguridad perimetral están cubiertos por el término equipos de seguridad informática o soluciones de seguridad informática, se acoge la recomendación se modificará mediante adenda el ítem (i) de las IAO 11.1 así: Se ajusta la descripción de los contratos que acreditan la experiencia a los siguientes ítems: 1. Equipos de seguridad informática o soluciones de seguridad informática. 2. Implementación de sistemas gestión de seguridad de la información. PREGUNTA 3. En el numeral el agente de End Point debe conectarse con el FW por medio de VPN. Se requiere una certificación de parte de los fabricantes que acredite está función RESPUESTA 3. No se requiere certificación de fabricante para acreditar el cumplimiento del requisito de conexión. Mediante la documentación técnica del fabricante se puede realizar la validación. PREGUNTA Funcionalidades segundo Ítem: sobre Cliente de VPN se solicita dejar los clientes VPN en el ítem de Firewall ya que dependen de este elemento y no de las soluciones de End Point. RESPUESTA 4. La solución de ENDPOINT debe tener el agente que permita conectarse en forma segura contra los firewall perimetrales de la Entidad. En ese sentido el proponente puede ofertar una solución ENDPOINT que tenga incluida dentro de sus funcionalidades el agente de conexión VPN o suministrar los agentes VPN para cada uno de los agentes ENDPOINT para que tengan la capacidad de conectarse de forma segura contra los firewalls perimetrales de la entidad. Por lo anterior el oferente puede suministrar los agentes de conexión VPN en la solución ENDPOINT o en el firewall PREGUNTA 5. Dentro de las generalidades de las especificaciones Técnicas en la página 75 solicitan: El Oferente anexará certificación ISO 9001:2008 del fabricante sobre fabricación de los equipos, vigente a la fecha de cierre del presente proceso contractual. Página 2 de 19

3 El Oferente anexará certificación ISO del fabricante de los equipos, vigente a la fecha de cierre del presente proceso contractual. El Oferente anexará certificación ISO 9001 del fabricante del software del sistema integrado de gestión Teniendo en cuenta que de acuerdo la ley 1150 de 2007 Articulo 5 Parágrafo 2 y demás decretos reglamentarios, las entidades no pueden solicitar certificaciones de sistemas de gestión de calidad como documentos habilitantes en Licitaciones o concursos; por lo tanto solicitamos de la manera más respetuosa se excluya la solicitud de las certificaciones ISO 9001:2008 tanto para el fabricante de los equipos como para el fabricante de software, así como la ISO ya que este criterio iría en contra de la ley antes mencionada y aún más cuando se trata de dinero de orden público. RESPUESTA 5. En cuanto a la solicitud de retirar las certificaciones ISO a los fabricantes de los elementos de la licitación argumentando como fundamento el parágrafo del articulo 5 de la ley 1150 de 2007, se reitera que este proceso esta financiado con recursos del Banco Interamericano de Desarrollo BID por lo cual no esta sujeto o limitado por la reglamentación de contratación nacional y señala que se pueden requerir todas las condiciones técnicas que garanticen el cumplimiento de la necesidad de la entidad. Sin embargo con el fin de promover la participación de múltiples empresas que no cuentan con esta certificación de calidad o protección del medio ambiente; la SDM mediante adenda modificará el ítem Generalidades del numeral 3.Especificaciones Técnicas. PREGUNTA 6. En el ítem ) de la página 79 2) Debe tener capacidad de funcionar en un esquema de alta disponibilidad, para evitar que exista un solo momento de pérdida de funcionalidad de administración. Por favor confirmar si la solución de este ítem puede ser virtual y/o tipo Appliance RESPUESTA 6. Para el caso del appliance tipo servidor, el proponente puede ofertar un servidor físico de propósito general o un dispositivo tipo appliance físico teniendo en cuenta que el concepto de appliance se entiende como: "Un dispositivo o pieza de equipamento diseñada para una tarea específica", Diccionario Oxford. Para el caso específico del Servidor tipo Appliance de Administración/ Gestión & Correlación, el appliance se entiende como un dispositivo físico específicamente diseñado para los propósitos descritos en los términos de referencia numerados del al del numeral 3. Especificaciones Técnicas. En consecuencia el interesado debe ofertar un servidor físico o un appliance físico. PREGUNTA 7 En el ítem ) de la página 87: Página 3 de 19

4 1) GNU GPL sin limite de numero de objetivos (IP/Hostname) que se puedan diagnosticar Nota aclaratoria. La secretaría distrital de Movilidad requiere que la solución de análisis de vulnerabilidades no tenga limitación sobre el número de objetivos a diagnosticar, complementariamente las políticas Distritales de la Comisión Distrital de Sistemas buscan que se fomente el uso del Software de código Abierto. Ante al fomento de esta política distrital es posible plantear una solución propietaria de cualquier fabricante que cubra los requerimientos del alcance de este ítem; en objetivos y tiempo, sin menos cabo al cumplimiento de los objetivos de la seguridad de la información? Se recomienda que se modifique el ítem, para una solución de propósito específico, donde no sea un requerimiento que sea GNU/GPL, ya que daría solamente opción a software libre, se recomienda que se aclare que pueden ser soluciones de software de fabricantes, que abarque el licenciamiento ilimitado mientras la vigencia del contrato ya que el fin principal es no tener restricciones de licenciamiento. Así mismo no se deberían indicar los requerimientos de hardware, ya que dependiendo del oferente las características pueden cambiar de acuerdo a lo que ofrezcan los diferentes fabricantes. RESPUESTA 7. Con relación al requerimiento de licenciamiento GNU/GPL, se informa que para definir esto, en los términos de referencia la SDM analizó la normatividad vigente y las condiciones de mercado de las diferentes soluciones disponibles tanto propietarias como de software libre, conforme a lo anterior el propósito de la entidad al solicitar software libre en uno de los componentes no críticos de la infraestructura de seguridad para SIMUR, es fomentar el aprovechamiento de nuevas soluciones tecnológicas en las Entidades buscando que dentro del marco de la políticas de Gobierno Distrital Digital y las políticas gubernamentales de generación de empleo se aprovechen las tecnologías de información y comunicaciones como medios para la creación de unidades productivas que puedan ofrecer servicios al Estado. Considerando que la utilización de software de código abierto bajo licenciamiento GNU/GPL no solo busca la implementación de soluciones costo-eficientes, sino que además da cumplimiento a las estrategias TIC del Plan de Desarrollo vigente, la Entidad se mantiene en el requerimiento del numeral del numeral 3. Especificaciones Técnicas. PREGUNTA 8. En el numeral SOLUCIÓN DE ENDPOINT, mencionan en Funcionalidades, como requerimiento Tener un agente que permita conectarse de forma segura contra los firewalls perimetrales de la entidad (via VPN), si los usuarios se encuentran fuera de la oficina. Esperan que los agentes de EndPoint tengan incluido un agente de VPN para conexión remota a través de VPN IPSec? RESPUESTA 8. Página 4 de 19

5 La solución de ENDPOINT debe tener el agente que permita conectarse en forma segura contra los firewall perimetrales de la Entidad. En ese sentido el proponente puede ofertar una solución ENDPOINT que tenga incluida dentro de sus funcionalidades el agente de conexión VPN o suministrar los agentes VPN para cada uno de los agentes ENDPOINT para que tengan la capacidad de conectarse de forma segura contra los firewalls perimetrales de la entidad, las especificaciones técnicas de los términos de referencia no limitan esta condición. PREGUNTA 9. En el numeral SOLUCIÓN DE ENDPOINT, mencionan en Funcionalidades, como requerimiento Tener un agente que permita conectarse de forma segura contra los firewalls perimetrales de la entidad (via VPN), si los usuarios se encuentran fuera de la oficina. En caso de ser afirmativa la respuesta anterior, que marca, modelo y versión de firewall recibirá dichos clientes de VPN? Respuesta 9. El documento de licitación en el literal de l numeral 3. Especificaciones técnicas señala que en la solución se requieren 2 servidores tipo appliance de virtualización firewall de nueva generación, la solución EndPoint propuesta debe conectarse a los equipos ofertados por el proponente. PREGUNTA 10. En el numeral SOLUCIÓN DE ENDPOINT, mencionan en Funcionalidades, como requerimiento Contar con un mecanismo, que eduque al usuario (según su perfil) en las políticas de protección de datos. A qué se refieren específicamente con éste requerimiento? Respuesta 10. Cuando se violen políticas de seguridad el agente debe notificar al usuario de la violación mediante mecanismos como ventanas emergentes, notificaciones por correo electrónico, mensajes en barras de estado u otro mecanismos de las soluciones propuestas. PREGUNTA 11. En el numeral SERVIDOR CON SOFTWARE DE MONITOREO DE ESTADO DE RED Y SISTEMAS Y ANÁLISIS DE VULNERABILIDADES, mencionan en Componente, como requerimiento Consola integral de monitoreo de eventos de seguridad de la información y análisis de vulnerabilidades tipo open source. Necesariamente la solución a ofrecer debe ser Open Source? Respuesta 11. Si, porque este tipo de soluciones no limita el número de direcciones IP que pueden estar bajo la supervisión del software de monitoreo. De igual forma se está dando cumplimiento a la política de orden distrital en el uso de este tipo de soluciones (Ver respuesta a Pregunta 7). PREGUNTA 12. En el numeral SERVIDOR CON SOFTWARE DE MONITOREO DE ESTADO DE RED Y SISTEMAS Y ANÁLISIS DE VULNERABILIDADES, mencionan en Elementos para Monitorear, como requerimiento Ilimitado (sin límite para el número de elementos de configuración a supervisar). Sabiendo que la solución a ofrecer no es Página 5 de 19

6 Open Source y por ende no posee licenciamiento ilimitado, a cuantas direcciones IP se les llevaría a cabo el análisis de vulnerabilidades? Respuesta 12. Ver respuesta a la pregunta 11 PREGUNTA 13. En el numeral 3.1.1, se solicita: Favor aclarar si la solución propuesta ya debe incluir estos 10 firewalls virtuales o puede ser una solución sin firewall virtuales y que a futuro se le pueda licenciar esta funcionalidad. Respuesta 13. El requerimiento al que hace referencia el interesado corresponde a los pliegos de la licitación LPN No: BID 014 de 2013, la cual fue declarada desierta. El requerimiento de numero de sistemas virtuales en la licitación LPN No: BID 024 de 2013 es: Sistemas Virtuales La solución debe suministrarse con licenciamiento para 10 Sistemas Virtuales. Esta información se encuentra consignada en la página Nro 77 del pliego de la licitación LPN No: BID 024 de 2013 PREGUNTA 14. De igual forma si la respuesta es que incluya esta funcionalidad de firewalls virtuales, favor aclarar cuantos firewalls virtuales se deben configurar? Respuesta 14. Como se establece en el numeral 2) del ítem del numeral 2. Lista de Servicios Conexos y Cronograma de Cumplimiento de la lista de requisitos se establece que El proveedor deberá instalar los equipos que forman parte del cluster de firewall y configurar cuatro (4) instancias virtuales de firewall que se definirán y probaran en conjunto con la Secretaría Distrital de Movilidad PREGUNTA 15. Para el mismo numeral Página 6 de 19

7 Favor aclarar si es necesario cotizar los 2 puertos de 10 Gigas o se debe cotizar solo los 8 puertos 10/100/100? Respuesta 15. El requerimiento al que hace referencia el interesado corresponde a los pliegos de la licitación LPN No: BID 014 de 2013, la cual fue declarada desierta. El requerimiento de número de sistemas virtuales en la licitación LPN No: BID 024 de 2013 es: Interfaces y conectividad 1) Los appliance se deben suministrar con con dos (2) interfaces 10G (fibra optica) y la posibilidad de realizar agregacion entre las interfaces (LACP) 2) El proponente debe suministras las fibras opticas con conectores ST para realizar la conexión de los appliance al swirtch de core de la Secretaría Distrital de Movilidad. El rack del switch de core estará ubicado al lado del rack de instalación de los appliance firewall. 3) Cada firewall debe ser suministrado con mínimo 8 puertos 10/100/1000 y al menos dos (2) puertos 10G (fibra) Como lo especifica el numeral Interfaces y conectividad de la licitación LPN No: BID 024 de 2013 Cada firewall debe ser suministrado con mínimo 8 puertos 10/100/1000 y al menos dos (2) puertos 10G (fibra). En consecuencia el proponente debe ofertar 8 puertos 10/100/1000 y al menos dos (2) puertos 10G (fibra). El requerimiento se puede confirmar en la página Nro. 77 pliego de la licitación LPN No: BID 024 de PREGUNTA Servicios conexos Servidor tipo appliance de protección de bases de datos nos permitimos hacer las siguientes preguntas de aclaración: Cuantas son las transacciones por segundo de estas bases de datos o en su defecto el número de cores (nucleos) de los procesadores asignados a cada una de estas bases de datos. Las 3 bases de datos están en un mismo servidor o de lo contrario por favor especificar en cuantos servidores están. Las 3 bases de datos están en el mismo sitio físicamente? Página 7 de 19

8 Las 3 bases de datos están en servidores físicos o virtuales? Las 3 bases de datos están en cluster o stand alone? Cuantos son los segmentos de red que debemos monitorear por los que pasan el tráfico hacia / desde los servidores de base de datos? Qué tipo de interfaces tienen los servidores con las 3 bases de datos, es decir, fibra óptica a Giga o 10G, o cobre? Es posible tener un diagrama de red con la topología donde se incluyan los 3 servidores? Qué tipo de base de datos es: Oracle, SQL??? Qué versión? Respuesta 16. Su observación es acogida y las respuestas a las preguntas se detallan mediante adenda PREGUNTA 17. De acuerdo a lo establecido en los pliegos de condiciones del proceso BID 024 de 2013, respetuosamente solicitamos a la entidad aclarar las siguientes inquietudes: 1. Nivel de liquidez. Los pliegos de condiciones bajo el numeral 4. Requisitos para Calificación Posterior (IAO 38.2) bajo el inciso (a) capacidad fianaciera relacionan como requerimiento mínimo habilitante, que el proveedor deberá contar con un nivel de liquidez igual o superior de 1.2 veces. En referencia a este requerimiento solicitamos a la entidad revaluar, permitiendo que el indicador de liquidez sea de 1.0 o superior, dicha solicitud obedece a que para compañías del sector de tecnología es usual valor, el cual no por no representan debilidad ni incapacidad financiera. Igualmente solicitamos a la entidad saber cuál es la política de aproximación del segundo digito para este indicador. Respuesta 17. El Contratante mantiene el indicador en los términos señalados. Los porcentajes expresados en los indicadores financieros deberán contener un (1) decimal, en el evento de contemplar dos (2), o más, se aproximará al digito más cercano, bien sea por exceso (cuando el digito sea superior a 5) o por defecto (cuando el digito sea inferior a 5). Si el número más cercano al primer decimal es 5, no se aproximará. PREGUNTA 18. Los pliegos de condiciones relacionan en la Sección II. Datos de la Licitación (DDL) bajo el numeral 4. IAO 11.1(i) (página 37) el siguiente requerimiento : Experiencia: Relación de por lo menos un (1), con un máximo de tres (3) contratos terminados satisfactoriamente en los últimos tres (3) años por el Oferente (sea oferente único, en consorcio o unión temporal), ó en ejecución con un avance físico de mínimo del cincuenta por ciento (50%) Página 8 de 19

9 o cuyo componente se encuentre relacionado específicamente los dos ítem presentados a continuación: 1. Equipos de seguridad perimetral. 2. Implementación de sistemas gestión de seguridad de la información. Solicitamos a la entidad revaluar este requerimiento, permitiendo que los oferentes puedan certificar la experiencia de los ítems anteriormente relacionados en proyectos separados. Dicha solicitud obedece a que la son muy poco frecuentes los proyectos que involucran en un solo alcance estos ítems. Respuesta 18. Se acoge su observación y se modificada mediante adenda. PREGUNTA 19. Los pliegos de condiciones relacionan en la Sección II. Datos de la Licitación (DDL) bajo el numeral IAO 18.3 El período de tiempo estimado de funcionamiento de los Bienes (para Efectos de repuestos) es mínimo de dos (2) años. Es nuestra interpretación que el soporte y/o licenciamiento de los diferentes ítems de la presente oferta deberá ser de dos (2) años. Favor aclarar si es correcta nuestra interpretación. Respuesta 19. El soporte y/o licenciamiento de los diferentes ítems (a excepción del licenciamiento del ítem SERVIDOR CON SOFTWARE DE MONITOREO DE ESTADO DE RED Y SISTEMAS Y ANÁLISIS DE VULNERABILIDADES, el cual GNU/GPL) deberá ser de dos (2) años. Revisar la adenda que modificará el numeral 2. Lista de Servicios Conexos y Cronograma de Cumplimiento. PREGUNTA 20. Según las generalidades de las Especificaciones Técnicas Todos los equipos ofrecidos deben ser de un fabricante con representación en Colombia. Aclarar si la marca debe tener oficina en Colombia o se permite su representación a través de un distribuidor mayorista. Respuesta 20. Los equipos ofrecidos deben ser de un fabricante con representación en Colombia. El esquema de representación puede ser cualquiera de los especificados por la normatividad Colombiana para la representación de los equipos. PREGUNTA 21. Aclarando la el alcance de la solución de análisis de vulnerabilidades, es claro que no se debe tener limite en la cantidad de dispositivos a escanear, por favor aclarar si en los 2 años de duración del contrato hay un número mínimo o máximo de escaneos que pueda soportar la herramienta. Página 9 de 19

10 Respuesta 21 Como lo específica la nota aclaratoria del numeral Licenciamiento Nota aclaratoria. La secretaría Distrital de Movilidad requiere que la solución de análisis de vulnerabilidades no tenga limitación sobre el número de objetivos a diagnosticar, complementariamente las políticas Distritales de la Comisión Distrital de Sistemas buscan que se fomente el uso del Software de código Abierto. En consecuencia y considerando que el proponente debe ofertar una solución con licenciamiento GNU/GPL, no debe existir ningún límite para el numero de escaneos de vulnerabilidades a dispositivos ni durante los dos años de soporte y mantenimiento, ni tampoco después de pasados los dos años de soporte y mantenimiento de los dispositivos ofertados. PREGUNTA 22. En la solución de análisis de vulnerabilidades La solución debe tener la posibilidad de que los usuarios puedan desarrollar sus propios plugins (conectores) de chequeo de servicios. Nota Aclaratoria considerando el requerimiento de ser una solución de código abierto la Secretaría de Movilidad requiere tener la capacidad de desarrollar o instalar nuevos plugins de monitoreo sin incurrir en costos asociados a licenciamiento de funcionalidades. Por favor aclarar sí se puede ofrecer una solución diferente a Linux en donde cumpla con el requerimiento mencionado. Respuesta 22. Como lo especifica el requerimiento Sistema Operativo, Distribución de Linux de 64 bits open source., el sistema operacional del Servidor con Software de Monitoreo de Estado de Red y Sistemas y Análisis de Vulnerabilidades, debe ser Linux. PREGUNTA 23. Preguntas Ítem Solución de Protección de Bases de Datos. En referencia al ítem de protección de Bases de Datos y con le fin de validar la compatibilidad de las soluciones, solicitamos a la entidad suministrar la siguiente información: 7. Solicitamos aclarar que tipo(s) de motor(es) de bases de datos están implementados en la entidad. 8. Solicitamos especificar cuantos cores o nucleos tienen los procesadores asignados a esas bases de datos. 9. Solicitamos aclarar si todas las bases de datos están todas en el mismo segmento de red o VLANs? Respuesta 23. Se da respuesta a sus inquietudes mediante la adenda 2 al proceso PREGUNTA 24. Página 10 de 19

11 Dado el limitado tiempo para la validación y consecución de la información de los diferentes ítems de la propuesta al igual que las respuestas a las presentes observaciones, solicitamos a la entidad se amplíe el plazo para la entrega de la oferta en 5 días hábiles. Respuesta 24. Se atiende su observación, la cual será modificada mediante adenda. VER RESPUESTA 26 El requisito que el oferente señala "El fabricante del hardware debe ser el mismo fabricante del software", en la licitación que nos ocupa no corresponde a los numerales Solución de Protección de Bases de Datos y Servidor con Software de Monitoreo de Estado de Red y Sistemas y Análisis de Vulnerabilidades, por lo anterior la solicitud no será acogida por la entidad. De otra parte, el requisito que señala aplica al numeral Servidor tipo Appliance de virtualización de firewall de nueva generación, teniendo en cuenta que este componente si es de misión critica y requiere que el software este adaptado al hardware que lo va a soportar. PREGUNTA 25. Observación 1. En el punto 3. Especificaciones Técnicas solicitan los siguientes requerimientos: El Oferente anexará certificación ISO 9001:2008 del fabricante sobre fabricación de los equipos, vigente a la fecha de cierre del presente proceso contractual. El Oferente anexará certificación ISO del fabricante de los equipos, vigente a la fecha de cierre del presente proceso contractual. El Oferente anexará certificación ISO 9001 del fabricante del software del sistema integrado de gestión Solicitamos a la entidad que elimine estos requerimientos de pliego de condiciones ya que no deben ser documentos habilitantes, esta solicitud la sustentamos con el Parágrafo 2º del Artículo 5º de la Ley 1150 de 2007 el cual dice: Las certificaciones de sistemas de gestión de calidad no serán objeto de calificación, ni podrán establecerse como documento habilitante para participar en licitaciones o *(concursos)* Respuesta 25. Ver respuesta a la PREGUNTA 5. PREGUNTA 26. Observación 2 En el punto Solución de Protección de Bases de Datos y en el punto Servidor con Software de Monitoreo de Estado de Red y Sistemas y Análisis de Vulnerabilidades Página 11 de 19

12 solicitan como requisito de cumplimiento que "El fabricante del hardware debe ser el mismo fabricante del software" Este cumplimiento implicaría que la circuitería del hardware sea de propiedad del fabricante de Software, algo que no cumpliría ningún proponente puesto que ninguno es especialista en microprocesadores, CPU, módulos etc. Solicitamos de manera respetuosa a la entidad eliminar este requerimiento, ya que en el caso de que el fabricante del hardware no sea el mismo del software tanto para la Solución de Protección de Bases de Datos y el Servidor con Software de Monitoreo de Estado de Red y Sistemas y Análisis de Vulnerabilidades; si existirían las garantías de respaldo y calidad soportadas completamente y del mismo modo que su software. Respuesta 26. El requisito que el oferente señala "El fabricante del hardware debe ser el mismo fabricante del software", en la licitación que nos ocupa no corresponde a los numerales Solución de Protección de Bases de Datos y Servidor con Software de Monitoreo de Estado de Red y Sistemas y Análisis de Vulnerabilidades, por lo anterior la solicitud no será acogida por la entidad. De otra parte, el requisito que señala aplica al numeral Servidor tipo Appliance de virtualización de firewall de nueva generación, teniendo en cuenta que este componente si es de misión critica y requiere que el software este adaptado al hardware que lo va a soportar. PREGUNTA 27. En el punto Solución de Endpoint solicitan que dentro de las funcionalidades se debe contar con los mecanismos necesarios, para ayudar a recuperar contraseñas de los usuarios, para el correcto enrolamiento de estos en la red. El control de acceso a la red de los usuarios bajo un entorno de enrolamiento utilizando usuario y contraseña será centralizada (LDAP, RADIUS, AD etc.), las contraseñas no se almacenarán en los equipos de los usuarios. Solicitamos a la entidad que este requisito no debe ser evaluado. Respuesta 27. Con el fin de dar mayor claridad al interesado en el alcance del requerimiento, reiteramos que la entidad requiere que la solución de Endpoint cuente con los mecanismos necesarios para ayudar a recuperar contraseñas de los usuarios, el oferente puede incluir dentro de sus funcionalidades cualquier mecanismo que cumpla dicha función, la entidad verificará durante la etapa de inspección y pruebas que los mecanismos efectivamente ayuden a recuperar la contraseña, el requerimiento se hace particularmente necesario cuando se cifra el disco duro del usuario y por diversas circunstancias es necesario recuperar la clave del cifrado del disco para restaurar la información o para recuperar su clave de acceso a la red (ejemplo preguntas de confirmación del identidad) La entidad mantiene el requerimiento sin cambios y no considera la observación para modificar los requerimientos mínimos del pliego de condiciones Página 12 de 19

13 PREGUNTA 28. En el punto Servidor con Software de Monitoreo de Estado de Red y Sistemas y Análisis de Vulnerabilidades solicitan que Soporte a protocolos IPV4, IPV6. Dado que este dispositivo no realizará funciones de pasarela en la red, no debe ser requisito el cumplimiento en protocolo IPv6. Los entornos de direccionamiento IPv6 en arquitecturas LAN aún no están ampliamente difundidos, caso contrario para arquitecturas WAN. Solicitamos a la entidad que este requisito no debe ser evaluado. Respuesta 28. La entidad requiere que se soporte el protocolo IPV6 en el Servidor con Software de Monitoreo de Estado de Red y Sistemas y Análisis de Vulnerabilidades debido a que los proyectos a corto plazo de ampliación de servicios de la red implicaran la utilización de equipos que soportan protocolo IPV6 y será necesario gestionar su disponibilidad. La observación no será tenida en cuenta debido a que implicaría una restricción a futuras funcionalidades de gestión de los equipos de la Entidad. PREGUNTA 29. Observación 1. La entidad, en el punto 3. Especificaciones Técnicas de los pliegos solicitan los siguientes requerimientos: El Oferente anexará certificación ISO 9001:2008 del fabricante sobre fabricación de los equipos, vigente a la fecha de cierre del presente proceso contractual. El Oferente anexará certificación ISO del fabricante de los equipos, vigente a la fecha de cierre del presente proceso contractual. El Oferente anexará certificación ISO 9001 del fabricante del software del sistema integrado de gestión Muy respetuosamente, Solicitamos a la entidad eliminar los anteriores requerimientos de los pliegos de condiciones, pues vulnera los principios de concurrencia y participación al proceso, ya que no todas los fabricantes y productos de los equipos y servicios que van a ofrecer los futuros proponentes cuentan con estas certificaciones. Además que amparados en la ley y consagrados en el Estatuto de Contratación mencionamos aparte que enuncia el principio de la Selección Objetiva. Parágrafo 2º del Artículo 5º de la Ley 1150 de 2007 el cual dice: Las certificaciones de sistemas de gestión de calidad no serán objeto de calificación, ni podrán establecerse como documento habilitante para participar en licitaciones o *(concursos)* Respuesta 29. Ver respuesta a pregunta 5 PREGUNTA 30. Muy respetuosamente solicitamos a la entidad en el punto Solución de Protección de Bases de Datos y en el punto Servidor con Software de Monitoreo de Estado de Red y Sistemas y Análisis de Vulnerabilidades solicitan como requisito de cumplimiento que "El fabricante del hardware debe ser el mismo fabricante del software" Página 13 de 19

14 Informamos a la entidad que en este requerimiento específico, implica que los componentes del hardware de la solución ofrecida, deban ser propietario del mismo desarrollador del Software premisa que no se cumple en este aspecto, pues el foco de los fabricantes del producto objeto del presente proceso no es la fabricación de CPU, módulos ni procesadores de los equipos en que corren las aplicaciones. Por consiguiente, Solicitamos a la entidad eliminar este requerimiento, ya que en el caso de que el fabricante del hardware no sea el mismo del software tanto para la Solución de Protección de Bases de Datos y el Servidor con Software de Monitoreo de Estado de Red y Sistemas y Análisis de Vulnerabilidades; si existirían las garantías de respaldo y calidad soportadas completamente y del mismo modo que su software. Respuesta 30. Ver respuesta a pregunta 26 PREGUNTA 31. Observación No 3. Muy respetuosamente solicitamos a la entidad, en el punto Solución de Endpoint en la cual dentro de las funcionalidades se requiere que se cuente con los mecanismos necesarios, para ayudar a recuperar contraseñas de los usuarios para el correcto enrolamiento de estos en la red. Informamos a la entidad que el control de acceso a la red de los usuarios bajo un entorno de enrolamiento utilizando usuario y contraseña será centralizada (LDAP, RADIUS, AD etc.) por lo que las contraseñas no serán almacenadas en los equipos de los usuarios. Por tal motivo, solicitamos a la entidad que este requisito no se tenga en cuenta para la evaluación. Respuesta 31. Ver respuesta a pregunta 27 PREGUNTA 32. Observación No 4. Solicitamos muy respetuosamente a la entidad en el punto Servidor con Software de Monitoreo de Estado de Red y Sistemas y Análisis de Vulnerabilidades solicitan que Soporte a protocolos IPV4, IPV6. Informamos a la entidad que dado que este dispositivo no realizará funciones de pasarela en la red, no debe ser requisito el cumplimiento en protocolo IPv6. Los entornos de direccionamiento IPv6 en arquitecturas LAN aún no están ampliamente difundidos, caso contrario para arquitecturas WAN. Por tal motivo, solicitamos a la entidad que este requisito no se tenga en cuenta para la evaluación. Respuesta 32. Ver respuesta a pregunta 28 PREGUNTA En el pliego de condiciones se solicita certificación ISO 9001:2008 del fabricante sobre la fabricación de los equipos, del fabricante del software del sistema integrado de Página 14 de 19

15 gestión y certificación ISO del fabricante de los equipos, está vigente a la fecha de cierre del presente proceso de contratación. Respetuosamente nos permitimos solicitar a la entidad elimine esta solicitud ya que de acuerdo al artículo 5 de la Ley 1150 de 2007,no se pueden solicitar certificaciones de sistemas de gestión de calidad como documentos habilitantes en Licitaciones o concursos, y más al tratarse de dineros de orden público Si bien es cierto algunas empresas cuentan con estos documentos también es cierto que no es un documento indispensable para la comparación de las propuestas y teniendo en cuenta la ley no exige que este documento sea obligatorio para los procesos de selección. Por lo anterior solicitamos se tenga en cuenta la observación. Respuesta 33. Ver respuesta a pregunta 5 PREGUNTA Encontramos que el numeral marca_ la solución deberá estar calificada en el segmento de líder de soluciones de Firewall Enterprise en el cuadrante mágico de Gartner para el año 2013 En lo que respecta a esta solicitud podemos observar que es una causal de exclusión dentro de la licitación, y la misma cierra las posibilidades de participación de otros proponentes ya que de acuerdo al cuadrante y a los exigencias realizados por la entidad solo dos compañías cumplen con este requisito, es decir que las demás compañías fabricantes se encuentran por fuera de toda posibilidad de participar en el proceso de la referencia. Teniendo en cuenta lo anterior es importante aclarar que los estudios de Gartner tienen en cuenta aspectos como niveles de ventas, notoriedad en el mercado, tamaño, fortaleza financiera y NO se basan exclusivamente en el performance de la solución que es lo que realmente debe importarle a cualquier entidad del estado, el hecho de estar en el cuadrante de líderes no garantiza que la solución satisfaga las necesidades especificas de los mercados verticales o nichos especializados, como lo advierte el mismo consultor, por lo que consideramos no debería ser un parámetro excluyente en este proceso. De acuerdo a los principios de la contratación estatal es deber de la entidad permitir la pluralidad de oferentes; lo que hace referencia a que las reglas de los procesos sean en igualdad de condiciones para todas y cada una de las compañías dedicadas al objeto de la contratación, pero en el caso que nos atañe observamos claramente que se están obviando estos principios y por lo tanto se está incumpliendo con la Ley. Se solicita se modifique este requerimiento permitiendo no solo a los líderes del cuadrante Gartner la participación él en proceso de la referencia. Página 15 de 19

16 Teniendo en cuenta el punto anterior y al tratar de cumplir con todas las especificaciones técnicas, con los dos fabricantes (Palo alto y Chekpoint) que cumplen con la condición de líderes en el Cuadrante Gartner podemos observar que los detalles técnicos se sesgan hacia uno de ellos (Chekpoint) ; como es el caso del numeral numeral 2 Funcionalidades: El agente de End Point debe poder conectar mediante agente VPN a los Firewall de la solución de seguridad que se describen en el numeral que permita conectarse de forma segura contra los firewalls de la solución firewall que se describió en el numeral Servidor tipo Appliance de vitalización de firewall de nueva cuando los usuarios se encuentran fuera de la re local de la Secretaria de Movilidad. Es importante tener en cuenta lo que al respecto establece la Ley 1150 de 2007 en su artículo 5, así: DE LA SELECCIÓN OBJETIVA. Es objetiva la selección en la cual la escogencia se haga al ofrecimiento más favorable a la entidad y a los fines que ella busca, sin tener en consideración factores de afecto o de interés y, en general, cualquier clase de motivación subjetiva. En consecuencia, los factores de escogencia y calificación que establezcan las entidades en los pliegos de condiciones o sus equivalentes, tendrán en cuenta los siguientes criterios: 1. La capacidad jurídica y las condiciones de experiencia, capacidad financiera y de organización de los proponentes serán objeto de verificación de cumplimiento como requisitos habilitantes para la participación en el proceso de selección y no otorgarán puntaje. La exigencia de tales condiciones debe ser adecuada y proporcional a la naturaleza del contrato a suscribir y a su valor. Si bien las especificaciones técnicas son un requisito para el cumplimiento del objeto contractual, no tiene sentido que las mismas condición se convierta en el factor limitante de escogencia, más aun siendo tan subjetiva al requerir especificaciones técnicas directamente relacionadas con un único proveedor, pues para nada resulta un criterio objetivo que permita a la entidad dirimir selección justa y en igualdad de condiciones. Por lo anterior, y con el fin de apoyar a la Entidad en dar curso a un proceso amplio y benéfico, con la participación de empresas en igualdad de condiciones y capacidades para la correcta prestación del servicio sugerimos se modifiquen estos criterios y permitan la participación de otros interesados en el proceso. Respuesta 34. Se aclara a los proponentes, que el proyecto es financiado con recursos del Banco Interamericano de Desarrollo, por tanto la adquisición de los bienes, de las obras y de los servicios conexos, se rigen por las Políticas para la Adquisición de Bienes y Obras Financiados por el Banco Interamericano de Desarrollo GN Por otra parte, los documentos de licitación pública nacional (LPN) deberán ser usados en los proyectos financiados total o parcialmente por el Banco Interamericano de Desarrollo o el Banco Mundial. Los términos y condiciones técnicas deben garantizar que desde todos los aspectos los productos entregados satisfagan la necesidad mínima presentada por la entidad; por lo cual el análisis de evaluación de los criterios de Gartner se establece como una evaluación técnica objetiva de las diferentes soluciones de este tipo en el mercado a nivel internacional, no siendo Página 16 de 19

17 este el único criterio técnico de selección, de igual forma cada una de las especificaciones técnicas solicitadas corresponden al cumplimiento mínimo de la necesidad de seguridad de la información de la entidad Como se aclaró en la respuesta 4 del presente documento de aclaraciones: La solución de ENDPOINT debe tener el agente que permita conectarse en forma segura contra los firewall perimetrales de la Entidad. En ese sentido el proponente puede ofertar una solución ENDPOINT que tenga incluida dentro de sus funcionalidades el agente de conexión VPN o suministrar los agentes VPN para cada uno de los agentes ENDPOINT para que tengan la capacidad de conectarse de forma segura contra los firewalls perimetrales de la entidad. Por lo anterior independientemente del ítem en donde se encuentre el requerimiento, este debe ser cumplido por el oferente. Contrario a la observación planteada por el interesado que señala que esta condición sesga a un único fabricante pues la entidad no esta limitando la ubicación del agente VPN para la solución ENDPOINT, solo se esta solicitando el cumplimiento de esta especificación técnica en la solución propuesta; condición que es cumplida por todos los lideres del cuadrante de Gartner. Las especificaciones técnicas de los productos a adquirir si son fundamentales en la selección del proveedor de los mismos, teniendo en cuenta que este tipo de procesos no tiene ningún factor de calificación ponderable diferente al precio. Como el interesado lo señala en su observación la Secretaría esta interesada en adquirir una solución de seguridad de la información de última generación por lo cual las exigencias de orden técnico deben ser del mas alto nivel para garantizar la protección de la información que se gestiona en la entidad y por ende en el SIMUR. PREGUNTA Verificando el valor global de la solución tecnológica solicitada por la Secretaria de Movilidad y teniendo en cuenta que estos requerimientos son de última generación, no es posible que se pueda cumplir con el presupuesto solicitado debido a que no se ajustan a los valores reales del mercado aun con descuentos significativos por parte de los distribuidores directos; Lo que nos demuestra una vez más la que este proceso se encuentra dirigido a una sola compañía puesto que cumple con los requisitos anteriormente expuestos así como casualmente es la única que logra obtener el descuento necesario para cumplir con el presupuesto planteado por ustedes. Respuesta 34. La SDM adelanto los estudios de mercado correspondientes que permitieron definir el valor del proceso con todos y cada uno de sus componentes (hardware, software, servicios conexos y garantías). En este estudio de mercado se estableció el valor del proceso garantizando la pluralidad de oferentes con diversos componentes y soluciones para satisfacer la necesidad de la entidad. Pregunta 35: Página 17 de 19

18 Los pliegos de condiciones relacionan en el numeral IAO 36.6 " Los oferentes deberán cotizar todos los ítems, no se aceptaran propuestas parciales. soltamos a la entidad evaluar este requerimiento, permitiendo a los participantes presentar ofertar parciales y a la entidad parcialmente los ítems que componen el presente proceso. Respuesta 35: El proyecto de adquisición y puesta en funcionamiento de la infraestructura de gestión de seguridad de la información para el Sistema de Movilidad Urbano regional SIMUR, es un proyecto que requiere que todos los componentes de hardware, software y servicios, estén perfectamente integrados con el fin de minimizar los riesgos asociados al acoplamiento de interfaces entre servicios profesionales, componentes de hardware y software, la entidad determinó que la mejor alternativa era la adquisición de un único proyecto en el cual el integrador brindará a la entidad las garantías necesarias para el armónico funcionamiento de los diversos componentes. Por lo anterior la Entidad no considera la observación de permitir ofertas parciales y los términos de referencia no serán modificados en este sentido. Pregunta 36 Dado el limitado tiempo para la validación y consecución de la información de los diferentes ítems de la propuesta al igual que las respuestas a las presentes observaciones, solicitamos a la entidad se amplié el plazo para la entrega de la oferta en 5 días hábiles. RESPUESTA 36 Se atiende su observación, la cual será modificada mediante adenda. Pregunta 37 En el punto 3. Especificaciones Técnicas solicitan los siguientes requerimientos: El Oferente anexará certificación ISO 9001:2008 del fabricante sobre fabricación de los equipos, vigente a la fecha de cierre del presente proceso contractual. El Oferente anexará certificación ISO del fabricante de los equipos, vigente a la fecha de cierre del presente proceso contractual. El Oferente anexará certificación ISO 9001 del fabricante del software del sistema integrado de gestión Se le solicitamos a la entidad que estos requerimientos sean eliminados del pliego de condiciones para que haya una pluralidad de oferente en dicho proceso. Página 18 de 19

19 Respuesta 37 Remitirse a la respuesta de la pregunta 5 PREGUNTA 38 En el punto Solución de Protección de Bases de Datos y en el punto Servidor con Software de Monitoreo de Estado de Red y Sistemas y Análisis de Vulnerabilidades solicitan como requisito de cumplimiento que "El fabricante del hardware debe ser el mismo fabricante del software" Se le solicita a la entidad eliminar este requerimiento dado que es algo que no cumpliría ningún proponente ya que ninguno es especialista en módulos, microprocesadores, CPU entre otros. Respuesta 38 Remitirse a la respuesta de la pregunta 26 Elaboró: Juan Carlos Alarcon Suescún Consultor Experto en Seguridad de la Información SDM Ana Milena Granados Rodriguez Ingeniera Especializada SDM Revisó: Catherine Ruiz - Especialista de adquisiciones Crédito BID 2136 Claudia Isabel Osorio - Coordinadora crédito BID2136 Aprobó: Bismark Benjamin Buenaños Mosquera Jefe Oficina de Información Sectorial Página 19 de 19