DIRECCIÓN FINANZAS EMPRESARIALES SOLICITUD PUBLICA DE OFERTA 588 ROADMAP DE SEGURIDAD INFORMÁTICA

Transcripción

1 DIRECCIÓN FINANZAS EMPRESARIALES SOLICITUD PUBLICA DE OFERTA 588 ROADMAP DE SEGURIDAD INFORMÁTICA Medellín, Enero de 2014

2 Roadmap de Seguridad Informática 2 TABLA DE CONTENIDO 1.1 INVITACIÓN OBJETO DE LA SOLICITUD ALCANCE DE LA SOLICITUD NEGOCIACIÓN LEGISLACIÓN IDIOMA MODIFICACIONES Y ACLARACIONES PUBLICACIÓN INFORME DE EVALUACIÓN DE LA OFERTA OFERTA BÁSICA, DESVIACIONES Y ALTERNATIVAS Oferta básica CONVENIENCIA DE LAS OFERTAS CONFIDENCIALIDAD DE LA INFORMACIÓN FIRMA DIGITAL DE LA MINUTA CÓDIGO DE ÉTICA: LÍNEA ÉTICA: CORRESPONDENCIA: PREPARACIÓN DE LA OFERTA REQUISITOS DE PARTICIPACIÓN SER PERSONA JURÍDICA GARANTÍA DE SERIEDAD DE LA OFERTA INFORMACIÓN BÁSICA Y LEGAL. FORMULARIOS A Carta de presentación. Formulario A INHABILIDADES E INCOMPATIBILIDADES PARA CONTRATAR Pago de aportes a la seguridad social y parafiscales. Formulario A Experiencia del Proponente Certificación internacional en seguridad informática del Rol Analista de Seguridad de TI INFORMACIÓN TÉCNICA. FORMULARIOS B METODOLOGÍA FORMULARIO B ORGANIZACIÓN DE LOS TRABAJOS FORMULARIO B EXPERIENCIA DE LOS PROFESIONALES PROPUESTOS FORMULARIO B

3 Roadmap de Seguridad Informática CERTIFICACIÓN EXPERIENCIA DEL PROPONENTE EN PROYECTOS DE SEGURIDAD EN REDES SCADA EMS (SUPERVISORY CONTROL AND DATA ACQUISITION - ENERGY MANAGEMENT SYSTEMS): INFORMACION COMERCIAL. FORMULARIOS C Plazos garantizados de entrega Oferta económica de suma global. Formulario C Descuentos ofrecidos OTRA INFORMACIÓN. FORMULARIOS D SUBCONTRATACIÓN DE SERVICIOS. FORMULARIO D FORMULARIOS DE LA OFERTA CHECK LIST PLAZOS MÁXIMOS ORDEN DE INICIACIÓN MODIFICACIÓN DEL ALCANCE CONDICIONES ECONÓMICAS Y FORMA DE PAGO Impuestos ADMINISTRACIÓN DEL CONTRATO PERSONAL DEL CONTRATISTA OBLIGACIONES LABORALES, DE SEGURIDAD SOCIAL INTEGRAL Y SALUD OCUPACIONAL CALIFICACIÓN Y EVALUACIÓN DEL DESEMPEÑO MINUTA DEL CONTRATO... 54

4 Roadmap de Seguridad Informática 4 CAPITULO 1 INFORMACIÓN GENERAL

5 Roadmap de Seguridad Informática 5 1. INFORMACION GENERAL 1.1 INVITACIÓN XM S.A. E.S.P., le invita a presentar Oferta para la Solicitud Pública de Ofertas 588, cuyo objeto se describe en el numeral 1.2 -Objeto de la solicitud-. La oferta deberá ser presentada de acuerdo con lo que se indica a continuación: 1. La oferta económica, Formulario C.1, deberá ser entregada en un (1) original en sobre cerrado independiente de la oferta técnica, formularios y demás información. 2. La oferta técnica, formularios y demás información deberá ser entregada en dos (2) originales y una (1) copia en papel, el Proponente puede optar por entregar la copia de su Oferta, digitalizada en CD independiente. Estos documentos deberán ser entregados en la oficina de Recepción de Documentos de XM, en la sede principal, ubicada en la Calle 12 Sur , Bloque 2 Piso 2, Medellín, a más tardar a las 4:00 p.m., hora de la República de Colombia, el 31 de Enero de 2014, hora y fecha límite para el recibo de Ofertas. Cuando XM lo estime conveniente, podrá prorrogar el plazo para presentar la Oferta, antes de la fecha límite para el recibo de la misma. En tal caso lo comunicará mediante Adendo, de acuerdo con lo establecido en el numeral 1.7- Modificaciones y aclaraciones-. La Oferta presentada por fuera del día y hora estipulados en este numeral, será rechazada y no será objeto de evaluación. 1.2 OBJETO DE LA SOLICITUD El objeto de la presente solicitud es: contratar la prestación de los servicios de consultoría especializada para la construcción del Roadmap de seguridad informática, identificando las iniciativas, prioridades, tecnologías, costos, estrategias y planes de implementación que permitan fortalecer la seguridad tecnológica, conforme al presente documento. 1.3 ALCANCE DE LA SOLICITUD El alcance de la presente solicitud comprende: El contratista deberá realizar el diseño del roadmap de seguridad informática, a cinco (5) años, que adopte estándares internacionales y mejores prácticas para garantizar la integridad, disponibilidad y confidencialidad de la información de la

6 Roadmap de Seguridad Informática 6 plataforma tecnológica transaccional y de los sistemas de tiempo real (SCADA EMS Supervisory Control and Data Acquisition - Energy Management Systems) de XM. Entendemos el roadmap como el plan estratégico de seguridad informática, alineado con los objetivos estratégicos del negocio y con la estrategia de la Gerencia de Información y Tecnología, que incluya los objetivos a corto, mediano y largo plazo; las rutas o iniciativas para la consecución de los objetivos planteados; los tiempos y costos estimados, y las tecnologías requeridas para su implementación. El roadmap propuesto debe facilitar a XM lograr en este plazo, la consolidación de sus procesos de seguridad informática, la protección de sus datos y alcanzar la visión propuesta en este ámbito. Los aspectos mínimos a trabajar en el roadmap, sin que ello limite las propuestas para lograr las premisas anteriores, son: Estructura del proceso de seguridad Informática. Propuestas de metodologías e indicadores que apoyen la estructuración de un proceso completo de gestión de seguridad informática y continuidad, incluyendo matriz RACI (Responsible, Accountable, Consulted, Informed). Control de fuga de información. Propuestas de metodologías y tecnologías apropiadas para que XM mitigue el riesgo de fuga de información estructurada o no, teniendo como principio clave la protección del dato, más allá de la protección de la infraestructura o los sistemas informáticos. Seguridad en controles de acceso a la red corporativa. Para contribuir a la adecuada gestión de acceso a servicios de red, aplicativos y demás servicios informáticos, mediante mecanismos de autenticación y autorización apropiados y su correspondiente facilidad de monitoreo y auditoría. Debe contemplarse acceso interno y externo, por parte de empleados, contratistas, personal temporal, proveedores de servicios y organismos de control. En este capítulo es clave considerar soluciones para la Gestión de Identidades que aporten a mejorar la granularidad y gestión de cuentas registradas en directorio activo y módulos de seguridad independientes que se utilizan en aplicaciones antiguas de negocio. Seguridad en sistemas de Tiempo Real (SCADA - Supervisory Control and Data Acquisition). Propuestas para el fortalecimiento de la seguridad en los sistemas SCADA tomando en cuenta protección perimetral, interacción con sistemas de negocio, uso de protocolo TCPIP (Transmission Control Protocol/Internet Protocol) en estos sistemas. Considerar que no es válido el tradicional concepto de seguridad por oscuridad. Es muy importante conocer a profundidad las normas NERC CIP (The North American Electric Reliability Corporation Critical infrastructure protection) y tenerlas como referente para el desarrollo de estas propuestas.

7 Roadmap de Seguridad Informática 7 Manejo seguro de datos en dispositivos portátiles y móviles. Mediante la protección de computadores portátiles y equipos móviles con el fin de minimizar riesgos y gestionar las amenazas asociadas a estas tecnologías. Importante considerar que XM está implementando estrategias de virtualización de escritorios y BYOD (Bring your own device), lo que constituye un nivel mayor de exigencia en seguridad, monitoreo y auditoría en estas tecnologías. Mejoramiento de niveles de confidencialidad. Protegiendo datos sensibles y registros claves para las operaciones de negocio, conservando trazabilidad, auditoría y garantizando el no repudio. Protección de datos almacenados. Para conservar su confidencialidad, integridad y disponibilidad en ambientes productivos y en ambientes de pruebas y de calidad, en los cuales el personal de desarrollo y proveedores requieren niveles de acceso con mayores privilegios. Es importante considerar en las propuestas planteadas, los distintos ambientes tecnológicos para la gestión de software, soluciones de archiving y la gestión de copias de seguridad. Gestión de incidentes para gestionar los incidentes de seguridad de información y la centralización de estos. Importante considerar metodología y herramientas, consolidación de eventos (SIEM - Security Information and Event Management) y reportes ejecutivos para la gestión y toma de decisiones. Incremento en la seguridad de aplicativos de negocio. Incorporando lineamientos de desarrollo seguro de software, identificación de riesgos y aplicación de controles técnicos en aplicativos de negocio. En este capítulo es importante enfocarse en la evaluación de seguridad a los aplicativos y los modelos de desarrollo seguro (owasp/samm - Open Web Application Security Project/ Microsoft Software Asset Management) para definir los requisitos de seguridad informática que deben cumplir los aplicativos desarrollados para XM y/o adquiridos al fabricante. XM es una organización que hace uso intensivo de desarrollos a la medida, por lo cual es muy relevante contar con requisitos claros y lineamiento para el desarrollo seguro de aplicativos. Esquema de seguridad para almacenamiento en nube. Considerando que el tener servicios corporativos desde la nube hace parte de la visión estratégica de la empresa. Es importante definir criterios y aspectos de seguridad que se deban evaluar al momento de implementar estas tecnologías. Así mismo, el mapa de iniciativas que entregará el proyecto deberá considerar la evaluación de alternativas en la nube para la implementación del roadmap. Implementación de esquema de seguridad para BYOD (Bring your own device) y para VDI (Virtual Desktop Infrastructure). Como mencionamos, XM está en la etapa de implementación de VDI (Virtual Desktop Infrastructure) y espera en el mediano plazo incorporar esquemas de BYOD (Bring your own

8 Roadmap de Seguridad Informática 8 device), por lo cual se requiere incluir en el roadmap la estrategia para materializar de forma segura estas iniciativas. Otras propuestas de seguridad informática del proponente. Dado que hemos planteado temas mínimos, sin limitar el alcance, esperamos que luego de la etapa de diagnóstico, el proponente identifique otras necesidades de negocio que deben hacer parte del roadmap propuesto. El contratista deberá presentar los siguientes entregables: 1. Diagnóstico estado actual de seguridad Informática XM: Análisis del estado actual de la seguridad informática en XM, tomando en cuenta las prácticas, estructura, arquitecturas y modelo de gobernabilidad. Los frentes de seguridad informática a trabajar serán acordados con el contratista según el diagnóstico realizado. 2. Estructurar iniciativas de seguridad Informática: Determinar las iniciativas a implementar para lograr desarrollar un roadmap de seguridad informática acorde con las características empresariales y necesidades del negocio XM, con el fin de aportar al logro de objetivos en seguridad informática. El documento preliminar debe contener la lista de iniciativas sugeridas y una breve descripción. El documento definitivo además de esto, contendrá los beneficios y justificaciones de las mismas. 3. Diseñar la Arquitectura de seguridad Informática: Determinar la arquitectura de seguridad que se ajuste a los estándares internacionales y mejores prácticas para XM y que garantice la integridad, disponibilidad y confidencialidad en la información. El documento preliminar no requiere ser detallado en cuanto a configuraciones e interrelaciones de la arquitectura. Esto si se deberá incluir en el documento definitivo de Arquitectura de Seguridad informática. 4. Roadmap Seguridad Informática Preliminar: Entregar el documento que contenga el plan de implementación de iniciativas o Roadmap preliminar, para evaluación del equipo de trabajo. Este plan (roadmap preliminar) debe contener las iniciativas a implementar, criterios seguidos para definir su prioridad, orden propuesto para su implementación, tecnologías sugeridas, estimación de costos aproximados y recursos requeridos. 5. Documentos definitivos de diagnóstico, iniciativas, diseño de arquitectura: Posterior a la revisión de los documentos preliminares por parte del personal de XM a cargo del proyecto y dados sus comentarios y sugerencias, se ajustarán los documentos de los numerales 1, 2 y 3, para que el Contratista entregue una versión final que cumpla con los criterios de calidad solicitados por XM.

9 Roadmap de Seguridad Informática 9 6. Roadmap Seguridad Informática Definitivo: Evaluar y aplicar ajustes sugeridos por XM a la propuesta preliminar (numeral 4). Entregar el Roadmap definitivo de seguridad informática, que contenga el plan de implementación de iniciativas, cronograma de implementación, criterios seguidos para definir su prioridad, orden propuesto para su implementación, tecnologías sugeridas y evaluadas, estimación de costos de adquisición de la tecnología recomendada y recursos requeridos. Elaborar y proponer indicadores que permitan hacer seguimiento a la implementación del roadmap en el tiempo. Dentro de los seis (6) días hábiles siguientes a la firma del presente contrato de Prestación de servicios, el representante legal del proponente y sus trabajadores deberán suscribir el acuerdo de confidencialidad que hace parte de la solicitud de oferta, y presentarlo a XM S.A. E.S.P. como requisito para expedir la orden de inicio. 1.4 NEGOCIACIÓN Previamente a la adjudicación y en caso de considerarse necesario, XM S.A. E.S.P. en cabeza del Directivo competente para suscribir el contrato, podrá llevar a cabo una etapa de ajuste y negociación de la oferta. Esta etapa podrá agotarse en caso de que solo una propuesta fuere considerada elegible. Si se trata de Solicitud Pública de Ofertas, dicha etapa se llevará a cabo cuando sea del caso, una vez efectuada la publicación del informe de evaluación, y una vez sean resueltas las observaciones presentadas por los proponentes. Esta etapa se adelantará con los proponentes según el orden de elegibilidad, iniciando con el que obtenga el primer lugar. De no llegarse a un acuerdo con este, se podrá llevar a cabo con el proponente que obtuvo el segundo lugar, de conformidad con los criterios de evaluación. En la actuación y en el resultado de la negociación se deberá buscar que se cumplan los fines de la empresa al disponer la contratación. Formulada la nueva propuesta económica por parte del proponente que obtuvo el primer lugar, y por el que obtuvo el segundo lugar, según el caso, se redactarán las actas respectivas. Todo lo acordado con el proponente respectivo deberá quedar estipulado en el Contrato y regirá durante la ejecución del mismo. Durante la etapa de ajuste y negociación, ningún proponente podrá introducirle modificaciones a su oferta, que la hagan más desfavorable para XM.

10 Roadmap de Seguridad Informática 10 Las actas de la etapa de ajuste y negociación de la oferta deberán ser firmadas por las partes así: Por parte de XM, la firmará el Directivo competente para suscribir el contrato o el Directivo de la Dirección interesada en la adquisición del bien o servicio, según el caso, y por parte del Proponente, el representante legal o la persona autorizada por este. Cuando el Directivo competente para suscribir el contrato sea el Gerente General de XM, este delegará en el Directivo de la Dirección interesada en la adquisición del bien o servicio, la etapa de ajuste y negociación. 1.5 LEGISLACIÓN Los Proponentes deberán someterse en todo a las leyes colombianas vigentes, que sean aplicables en los aspectos laborales, de salud ocupacional y seguridad industrial, gestión ambiental, tributarios, de industria y comercio, de contratación, de importación y exportación, de transportes, de seguros, de aportes a los sistemas de seguridad social, al régimen de inhabilidades e incompatibilidades que tratan los Artículos 8 a 10 de la Ley 80 de 1993, a las normas que reglamentan las actividades relacionadas con la prevención del lavado de activos y financiación del terrorismo, con el boletín de responsabilidad fiscal, con el ejercicio de las ingenierías, sus profesiones afines y sus profesiones auxiliares, etc. XM no aceptará como causal de reclamo o incumplimiento la ignorancia de la ley colombiana. En general, las normas legales aplicables serán las estipuladas en este documento, en los reglamentos internos de XM y las propias de los negocios entre particulares en la República de Colombia. 1.6 IDIOMA El idioma oficial será el Castellano, por tanto, todos los documentos e información de cualquier índole, deberán ser redactados en este idioma, a menos que se permita la utilización de otro. 1.7 MODIFICACIONES Y ACLARACIONES Dentro del plazo previsto para la elaboración y presentación de la Oferta, el posible Proponente puede hacer consultas. Este trámite podrá llevarse a cabo siempre y cuando las consultas se formulen mínimo tres (3) días hábiles antes de la fecha límite para el recibo de las Ofertas; es decir hasta el 28 de enero de Si como resultado de tales consultas o por iniciativa propia, XM decide hacer modificaciones o aclaraciones y si es del caso ampliara el plazo para la entrega de las Ofertas, lo hará mediante Adendos, los cuales serán publicados en la página WEB en la siguiente dirección: Proveedores Solicitud de Ofertas.

11 Roadmap de Seguridad Informática 11 Todos los Adendos que sean publicados por XM con anterioridad a la fecha límite para el recibo de Ofertas, deberán ser tenidos en cuenta en la Oferta y formarán parte del documento de Solicitud de Ofertas. 1.8 PUBLICACIÓN INFORME DE EVALUACIÓN DE LA OFERTA La evaluación de las ofertas será publicada en la página WEB de XM en la siguiente dirección: Proveedores Solicitud de Ofertas. Estas evaluaciones estarán publicadas durante tres (3) días hábiles, para que los proponentes presenten las observaciones que estimen pertinentes. En ejercicio de esta facultad, los proponentes no podrán completar, adicionar, modificar o mejorar sus ofertas. 1.9 OFERTA BÁSICA, DESVIACIONES Y ALTERNATIVAS Oferta básica Es la Oferta que se ajusta a todos los aspectos y estipulaciones del documento de Solicitud de Ofertas y que será comparada en la evaluación con todas las demás Ofertas recibidas por XM. De acuerdo con lo anterior cada Proponente deberá presentar una Oferta básica CONVENIENCIA DE LAS OFERTAS XM se reserva el derecho de consultar las listas establecidas a nivel local o internacional para el control de lavado de activos y financiamiento del terrorismo, con el fin de verificar que los Proponentes, sean personas naturales, jurídicas, consorcios, uniones temporales, o cualquier otra agrupación de empresas, o en las que sus miembros de Junta Directiva o Junta de Socios, sus Representantes Legales o su Revisor Fiscal, no estén incluidos en dichas listas. En caso de que alguna de estas personas se encuentren registrados en las citadas listas, XM desestimará por inconvenientes las Ofertas presentadas. En caso de presentarse una (1) sola Oferta y XM considerarla conveniente, podrá adjudicar el Contrato y terminar con ello el proceso de selección objetiva. XM podrá desestimar por inconvenientes todas las propuestas o, cancelar en cualquier momento el proceso de contratación o, adjudicar en todo o en parte a uno o a varios Contratistas, cuando el objeto sea divisible. Cualquier intento de un Proponente para influenciar a XM en el proceso de evaluación y comparación de Ofertas y en las decisiones concernientes a la adjudicación del Contrato, puede dar como resultado el rechazo de la Oferta de dicho Proponente.

12 Roadmap de Seguridad Informática CONFIDENCIALIDAD DE LA INFORMACIÓN Los proponentes se obligan a mantener la reserva de la información obtenida con ocasión de la presente solicitud de oferta, que tenga el carácter de confidencial, con independencia del medio en el cual se encuentre soportada, y deberán utilizar todos los medios a su alcance para garantizar que los empleados, asesores, colaboradores o cualquier otra persona natural o jurídica a su servicio y demás personas autorizadas por ellos, respeten la obligación de reserva y confidencialidad sobre dicha información. La obligación de reserva de los proponentes sobre la Información Confidencial, no se extenderá en ningún caso a: (i) Información que sea del dominio público con anterioridad a la fecha en la cual hubiere sido entregada a los proponentes, (ii) Información que se haya hecho pública lícitamente antes o durante el proceso de contratación correspondiente a la presente solicitud de ofertas, (iii) Información desarrollada por separado por cada uno de los proponentes sin utilizar la Información Confidencial de XM, (iv) Información que deba ser entregada por mandato legal a las autoridades de cualquier orden, (v) Información sobre la cual sea aprobada su divulgación por medio de autorización escrita de XM y sólo hasta el límite de dicha autorización. La información que le sea entregada a los proponentes pertenece a XM S.A. E.S.P., o al tercero que haya autorizado a XM S.A. E.S.P., para suministrar la información confidencial, y la misma se revela únicamente con el propósito de facilitar a los proponentes la preparación de su oferta. En consecuencia, los proponentes deberán eliminarla de forma segura y sin recuperación, de cualquier medio impreso, digital o magnético donde se encuentre, una vez concluya su utilización. La obligación de reserva tendrá vigencia mientras subsistan las características para considerar la información como confidencial FIRMA DIGITAL DE LA MINUTA XM informa que la minuta del contrato, resultante del presente proceso de contratación, podrá ser enviada al contratista con firma digital, garantizando la autenticidad e integridad de la misma, mediante la autorización dada por el ordenador del gasto en el sistema utilizado por XM para la aprobación de las minutas CÓDIGO DE ÉTICA: XM, filial de ISA, pone a su disposición el Código de Ética de ISA y sus empresas, como un marco de referencia basado en los valores corporativos de la Organización. Su fin es orientar las decisiones de ISA y sus empresas, que puedan afectar a las personas que hacen parte de sus grupos de interés, lo que implica un

13 Roadmap de Seguridad Informática 13 relacionamiento fundado en valores, políticas y compromisos que fortalecen la identidad corporativa y la coherencia institucional. Usted puede consultar el Código de Ética de ISA y sus empresas en la página web de XM ( siguiendo esta ruta: Nuestra empresa/gobiernos Corporativo/Marco de Actuación/ Código de Ética ISA y sus Empresas LÍNEA ÉTICA: Con el ánimo de seguir promoviendo la transparencia como uno de los atributos éticos de XM, hemos puesto a disposición de nuestros grupos de interés una Línea Ética como medio de contacto para que tengan la posibilidad de realizar consultas, reportes y denuncias sobre violaciones reales o potenciales al Código de Ética. La línea está disponible en los siguientes canales: - Página web de XM: Pestaña Contáctenos, opción Denuncias por corrupción - Línea telefónica: Correo electrónico: lineaetica@xm.com.co 1.15 CORRESPONDENCIA: Toda la correspondencia del Proponente debe dirigirse en la siguiente forma: Originales de la oferta técnica, formularios y demás información a: XM S.A. E.S.P. Centro Documental Calle 12 sur , Bloque 2, Piso 2 Medellín, Colombia Copia de la oferta técnica, formularios y demás información a: Dirección Clientes y Soluciones Ruben Darío Villa Trujillo Original de la oferta económica Formulario C.1 a: Adquisiciones XM En caso de preguntas o inquietudes, estas pueden remitirse al correo electrónico abastecimientoxm@xm.com.co

14 Roadmap de Seguridad Informática 14 CAPITULO 2 ELABORACIÓN Y PRESENTACIÓN DE LA OFERTA

15 Roadmap de Seguridad Informática ELABORACIÓN Y PRESENTACIÓN DE LA OFERTA 2.1 PREPARACIÓN DE LA OFERTA La elaboración y presentación de la Oferta deberá hacerse de acuerdo con las instrucciones y formularios que se detallan en este Capítulo y la Oferta deberá acompañarse de los documentos que se exigen. Las enmendaduras y otros cambios que se hagan en la Oferta, deberán confirmarse en la misma con la firma del Proponente. En caso de discrepancias entre el original de la Oferta y sus copias, primará el original. Los costos que se causen por la preparación de la Oferta, serán de cargo exclusivo del Proponente y XM en ningún caso reconocerá costos por este concepto. 2.2 REQUISITOS DE PARTICIPACIÓN SER PERSONA JURÍDICA El proponente debe ser persona jurídica. En consecuencia no se permitirá la presentación de Ofertas en Consorcio, Unión Temporal, Agrupación de Empresas o cualquier otra forma de colaboración empresarial GARANTÍA DE SERIEDAD DE LA OFERTA El Proponente deberá presentar una Garantía de Seriedad de la Oferta, expedida por una compañía de seguros que tenga autorización para operar en Colombia por parte de la Superintendencia Financiera; por un valor asegurado equivalente al diez por ciento (10%) del valor de la oferta antes de IVA, y con una vigencia de noventa (90) días calendario, contados a partir de la hora y fecha límite para el recibo de las ofertas. XM podrá solicitar la prórroga de la vigencia de la Garantía hasta por treinta (30) días calendario. En caso que el Proponente sea seleccionado, la Garantía deberá mantenerse vigente con prórrogas sucesivas, hasta que entre en vigencia la Garantía de Cumplimiento. El Proponente no estará eximido de la presentación de esta garantía bajo ninguna circunstancia. La Garantía debe llevar anexa la constancia de pago de la prima y debe estar firmada por la compañía aseguradora. Si el Proponente retira su Oferta antes de haber transcurrido el período para la adjudicación, o si una vez adjudicado el Contrato no lo firma dentro del plazo

16 Roadmap de Seguridad Informática 16 especificado para ello, o en caso que resulte favorecido en este proceso, y no otorgue la Garantía de Cumplimiento, o incumpla en cualquier forma el compromiso contraído con XM por el hecho de la presentación de la Oferta, XM podrá hacer efectiva la Garantía de Seriedad INFORMACIÓN BÁSICA Y LEGAL. FORMULARIOS A El Proponente deberá diligenciar los Formularios A.1 y A.2, de acuerdo con las siguientes instrucciones: Carta de presentación. Formulario A.1 La Carta de Presentación debe ser suscrita por el representante legal del Proponente o por la persona debidamente autorizada para el efecto, de acuerdo con el modelo que se adjunta para tal fin. Las ofertas que presenten los Proponentes para las solicitudes de ofertas cuyo objeto implique el desarrollo de las actividades catalogadas como ejercicio de la ingeniería en el territorio nacional, deberán además, estar avaladas, por un ingeniero inscrito y adjuntar copia de la tarjeta de matrícula profesional en la respectiva rama de la ingeniería. Cuando se trate de personas domiciliadas en el exterior, se debe adjuntar copia del permiso temporal o licencia especial según se trate, para ejercer la profesión en el territorio nacional, expedida según la Ley. Si el representante legal del Proponente o la persona que suscriba la Carta de Presentación, tiene limitaciones para contratar, en la oferta deberá adjuntar acta de autorización de la asamblea de accionistas o de la Junta Directiva o copia de los estatutos sociales. El Proponente deberá anexarle a la Carta de Presentación los documentos que se relacionan a continuación: Persona jurídica colombiana La persona jurídica colombiana de derecho privado, deberá adjuntar a su Oferta un Certificado de Existencia y Representación Legal, en original o fotocopia, expedido por el organismo competente con una antelación no superior a noventa (90) días calendario, con respecto a la fecha de presentación de la Oferta. Persona jurídica extranjera. La persona jurídica extranjera deberá acreditar su existencia y representación legal conforme a la legislación de su país de origen, con documentos en original o fotocopia autenticada ante la autoridad competente de ese país, cuya expedición no sea superior a noventa (90) días calendario en relación con la fecha de su presentación ante XM. Los documentos con los que acreditó la existencia y

17 Roadmap de Seguridad Informática 17 representación legal, así como el Poder otorgado en el exterior, si se actúa mediante apoderado deberán ser, apostillados o legalizados mediante el trámite Consular y del Ministerio de Relaciones Exteriores, artículo 480 del Código de Comercio. Si estos documentos son expedidos en lengua diferente al Castellano, se deberán presentar traducidos a éste por el Ministerio de Relaciones Exteriores de Colombia o por un traductor oficial. (Art. 260 del C. de P.C.). Si la autoridad oficial del país de origen que expide o certifique los documentos de existencia y representación, hace constar que la sociedad existe y ejerce su objeto conforme a las leyes del respectivo país, para su legalización bastará con la apostilla, de acuerdo con la Ley 455 de 1998, por medio de la cual se aprobó "La Convención sobre la abolición del requisito de legalización para documentos públicos extranjeros". En caso contrario, dichos documentos deben ser autenticados por los funcionarios competentes para ello en el respectivo país y la firma de tales funcionarios lo será a su vez por el Cónsul Colombiano, quien al autenticar los documentos deberá hacer constar expresamente que la sociedad existe y ejerce su objeto social conforme a las leyes del respectivo país. La firma del Cónsul deberá ser abonada por el Ministerio de Relaciones Exteriores de Colombia (Artículo 259 del Código de Procedimiento Civil). Si los documentos con los que se pretende acreditar la existencia, representación legal o empoderamiento, son expedidos en lengua diferente al Castellano, se deberán presentar traducidos a éste por un traductor oficial del país del Proponente. Podrán anexarse a la solicitud de oferta, los documentos que acrediten la existencia y representación legal del proponente conforme a la legislación de su país de origen, que hayan sido presentados debidamente apostillados en procesos de contratación adelantados por XM dentro del año inmediatamente anterior y que no hayan sufrido variaciones en cuanto a lo allí consignado. En caso de algún cambio se deberá presentar nuevamente los documentos debidamente apostillados. La sucursal en Colombia de persona jurídica extranjera, cuando presente la Oferta a nombre de ésta, deberá adjuntar a la Oferta el respectivo certificado de la Cámara de Comercio de su domicilio, expedido con igual anticipación a la anteriormente señalada. La sociedad extranjera, sin sucursal en Colombia, podrá constituir un Apoderado, con domicilio en Colombia y ampliamente facultado, para suscribir y ejecutar el contrato, así como para representarla judicial y extrajudicialmente. En tal caso, además deberá presentar con la Oferta el Poder otorgado en el exterior debidamente autenticado ante la autoridad competente de ese país, según las leyes del país en el que se otorga. Si los documentos con los que se pretende acreditar la existencia, representación legal o empoderamiento, son expedidos en lengua diferente al Castellano, se deberán presentar traducidos a éste por un traductor oficial del país del Proponente.

18 Roadmap de Seguridad Informática 18 Disposiciones comunes a la persona jurídica nacional y extranjera En el evento que el Representante Legal o la persona que suscribe el Formulario A.1 no tenga facultad para presentar la Oferta y suscribir el Contrato, por la naturaleza del Contrato o por exceder la cuantía señalada en el respectivo mandato, deberá acompañar copia del Acta en la que conste la correspondiente autorización de la asamblea de accionistas o de la Junta de Socios o de la Junta Directiva o el poder respectivo. Si el certificado de existencia y representación legal remite a los estatutos sociales en materia de limitaciones del representante legal, deberá anexar fotocopia de los mismos. Adjudicado el contrato, se tramitará con el Certificado de Existencia y Representación Legal presentado con la Oferta, siempre y cuando este documento tenga máximo 90 días calendario de haber sido expedido por el organismo competente. Cuando los Estatutos de la(s) persona(s) jurídica(s) sean modificados durante el tiempo transcurrido entre la presentación de la Oferta y la adjudicación del contrato, el adjudicatario deberá informarlo de inmediato a XM, so pena de asumir la responsabilidad pertinente y la indemnización por reclamaciones de terceros. Matricula profesional para poder ejercer legalmente la Ingeniería, sus profesiones afines o sus profesiones auxiliares en el territorio nacional. (Ley 842 de 2003 y ley 51 de 1986): Todo trabajo relacionado con el ejercicio de la Ingeniería, deberá ser dirigido por un ingeniero inscrito en el registro profesional de ingeniería y con tarjeta de matrícula profesional en la rama respectiva. Lo anterior incluye los estudios, la dirección técnica, la ejecución de los trabajos o la interventoría. Los oferentes nacionales deberán anexar una copia de la respectiva tarjeta de matrícula profesional del personal profesional que proponen para la ejecución de los trabajos, expedido por el Consejo Profesional Nacional de Ingeniería-COPNIA, o por el Consejo Profesional Nacional de Ingenierías eléctrica, mecánica y profesiones afines, según se trate. Permiso temporal de ingeniero o profesional auxiliar o afín (ley 842 de 2003 y ley 51 de 1986): Como requisito para la expedición de la orden de inicio, el proponente al cual se le adjudique el contrato deberá anexar copia del permiso temporal de los ingenieros, profesionales auxiliares o afines domiciliados en el exterior, del personal profesional que proponen para la ejecución de los trabajos y que ejerzan temporalmente la profesión en el territorio nacional, expedido por el Consejo Profesional Nacional de

19 Roadmap de Seguridad Informática 19 Ingeniería -COPNIA, o la licencia especial expedida por el Consejo Profesional Nacional de Ingenierías eléctrica, mecánica y profesiones afines, según se trate INHABILIDADES E INCOMPATIBILIDADES PARA CONTRATAR Si la oferta es presentada por Persona Jurídica y su naturaleza corresponde a alguna de las señaladas en los literales que a continuación se relacionan, no podrá encontrarse en alguna de las circunstancias señaladas en el respectivo literal. Si después de analizar las siguientes circunstancias de Inhabilidad e Incompatibilidad, el Proponente concluye que no se encuentra incurso en ninguna de ellas, podrá suscribir el Formulario A.1. Carta de Presentación, que contiene una Declaratoria respecto de Inhabilidades e Incompatibilidades. Si por el contrario, el Proponente concluye que se encuentra incurso en alguna de las circunstancias descritas, deberá informarlo por escrito inmediatamente a XM o a más tardar, al momento de presentar la oferta. En la comunicación deberá indicar en cual inhabilidad o incompatibilidad está incurso el Proponente. En este caso deberá diligenciar el Formulario A.1. Carta de Presentación, suprimiendo el párrafo referente a la Declaratoria de Inhabilidades e Incompatibilidades. La comunicación se anexará a la oferta, y será revisada con los documentos de la solicitud de oferta. A. CUANDO SE TRATE DE: CORPORACIONES, ASOCIACIONES, FUNDACIONES Y SOCIEDADES ANÓNIMAS QUE NO TENGAN EL CARÁCTER DE ABIERTAS (*3), SOCIEDADES POR ACCIONES SIMPLIFICADAS (S.A.S), SOCIEDADES DE RESPONSABILIDAD LIMITADA Y DEMÁS SOCIEDADES DE PERSONAS (*4), existirá Inhabilidad e Incompatibilidad para contratar: 1. Si alguna persona que tenga participación en la entidad o que desempeñe un cargo de dirección o manejo en la misma, tiene un cargo en los niveles directivo, asesor o ejecutivo, o es miembro de la Junta Directiva en XM S.A. E.S.P. 2. Si alguna persona que tenga participación en la entidad o que desempeñe un cargo de dirección o manejo en la misma, es cónyuge o compañero(a) permanente, o tiene alguna relación de parentesco hasta el segundo grado de consanguinidad, afinidad o civil, con alguna persona que desempeñe un cargo en los niveles directivo, asesor o ejecutivo, o que sea miembro de la Junta Directiva en XM S.A. E.S.P. B. CUANDO SE TRATE DE: SOCIEDAD COLECTIVA, SOCIEDAD DE RESPONSABILIDAD LIMITADA, SOCIEDAD COMANDITA SIMPLE, SOCIEDAD COMANDITA POR ACCIONES, SOCIEDADES ANÓNIMAS CERRADAS, S.A.S., existirá Inhabilidad e Incompatibilidad para contratar:

20 Roadmap de Seguridad Informática Si su representante legal o cualquiera de sus socios o accionistas, tiene alguna relación de parentesco en segundo grado de consanguinidad o segundo de afinidad, con el representante legal o con cualquiera de los socios o accionistas de una sociedad que formalmente haya presentado propuesta para esta misma Solicitud de Ofertas. 2. Si alguno de sus socios o accionistas, o alguno de los socios o accionistas de sus matrices o subordinadas, ha sido declarado responsable judicialmente por la comisión de delitos contra la administración pública cuya pena sea privativa de la libertad o que afecten el patrimonio del Estado. 3. Si alguno de sus socios o accionistas, o alguno de los socios o accionistas de sus matrices o subordinadas, ha sido condenado por delitos relacionados con la pertenencia, promoción o financiación de grupos ilegales, delitos de lesa humanidad, narcotráfico en Colombia o en el exterior, o soborno transnacional, con excepción de delitos culposos. 4. Si el representante legal o alguno de sus socios o accionistas, ha financiado campañas políticas a la Presidencia de la República, con aportes superiores al 2,5% de las sumas máximas a invertir por los candidatos en la campaña electoral y su candidato ha sido elegido y actualmente es el Presidente de la República o es el Presidente Electo C. CUANDO SE TRATE DE: TODAS LAS SOCIEDADES DE PERSONAS, existirá Inhabilidad e Incompatibilidad para contratar: 1. Si algún socio de la sociedad ha sido socio de una sociedad de personas a la cual se haya declarado la caducidad 2. Si la sociedad o alguno de sus socios, ha sido objeto de imposición de cinco (5) o más multas durante la ejecución de uno o varios contratos estatales en una misma vigencia fiscal, con una o varias entidades estatales 3. Si la sociedad o alguno de sus socios, ha sido objeto de declaratorias de incumplimiento contractual en por lo menos dos (2) contratos, durante una misma vigencia fiscal, con una o varias entidades estatales. 4. Si la sociedad o alguno de sus socios, ha sido objeto de imposición de dos (2) multas y un (1) incumplimiento durante una misma vigencia fiscal, con una o varias entidades estatales D. CUANDO SE TRATE DE: TODAS LAS PERSONAS JURÍDICAS, CUALQUIERA SEA LA FORMA SOCIETARIA, existirá Inhabilidad e Incompatibilidad para contratar: