En el marco de la Licitación Pública 20/2013 cuyo objeto es la adquisición e

Transcripción

1 Montevideo, 10 de Febrero de En el marco de la Licitación Pública 20/2013 cuyo objeto es la adquisición e implementación de un sistema de emisión de documento de identidad electrónico con destino a este Inciso en Modalidad Llave en mano, se informa que: CONSULTA 1: Por favor confirmar: a. la personalización del componente sin contacto para la parte personalización ICAO será realizada con una conexión hacia la PKI a implementar? RESPUESTA:Correcto. b. la personalización del componente contacto por la parte egov será realizada con una conexión ya existente en la DNIC? RESPUESTA: La personalización del componente PKI requiere la solicitud de un certificado electrónico a una CA ya implementada en el Ministerio del Interior. Se proveerá la conexión física entre DNIC y el Ministerio para realizar esta solicitud. CONSULTA 2: Durante la personalización del título en modo descentralizado, la personalización chip sin contacto será realizada a través del material de personalización, en caso de la personalizaci2ón chip con contacto, esta será realizada

2 también a través del material de personalización o será a través de una etapa siguiente a través de un lector de mesa. RESPUESTA: La personalización será realizada en todos los casos a través del sistema de personalización. CONSULTA 3: En el Anexo II punto número 13, está mencionado que las impresoras podrán personalizar las tarjetas rechazadas durante el proceso de personalización, podés precisar este punto? RESPUESTA: Este punto refiere a que, de existir un problema en la personalización que sea detectado automáticamente por lo controles de calidad y provoque el rechazo del documento, el sistema debe poder volver a imprimir ese documento en forma automática, es decir, sin intervención explícita de un usuario. CONSULTA 4: En el Anexo II punto número 9, cuando se hará una personalización en modo descentralizado, cual es modo operativo para la elección del código PIN para el ciudadano. RESPUESTA: El sistema de personalización genera un PIN aleatorio y lo imprime en un sobre sellado que le es entregado al ciudadano al finalizar su enrolamiento.

3 CONSULTA 5: En la descripción del procediminento futuro de renovación, está mencionado que el usuario personalizará las aplicaciones del chip de contacto. Con que componente de la solución este punto será realizado? RESPUESTA: El procedimiento expuesto en el anexo 2 es ilustrativo, y puede que la personalización de las aplicaciones se realizará en forma previa durante el enrolamiento. CONSULTA 6: El ancho de banda de la red ya instalada cual servirá a la transferencia de datos está compatible con la arquitectura pedida en el proyecto? RESPUESTA: Sí. El Ministerio cuenta con una red privada con suficiente ancho de banda para las transferencias. Si la solución del proveedor requiere un ancho de banda mínimo, lo debe especificar. CONSULTA 7: Podes confirmar si el AFIS actual que esta mantenido en la solución del proyecto, está ya conectado a un web service? O si lo será ulteriormente y con cuanto tiempo. RESPUESTA: La confrontación con el AFIS la realiza el sistema de enrolamiento actual que ya posee DNIC. La solución del proveedor tomará los datos desde esta aplicación, por lo que no tendrá necesidad de interactuar con el AFIS.

4 CONSULTA 8: En el artículo 12 está indicando que el sistema será completamente operacional, 6 meses despúes la orden de compra. Entedemos que se trata de la personalización centralizada, o nos equivocamos? RESPUESTA: Es correcto, el plazo de 6 meses es para la implementación del sistema en las oficinas centrales. Las demás sucursales se irán sumando progresivamente luego de ésta, pero se deben tener en cuenta en el plan de proyecto. CONSULTA 9: Han Uds. ya imaginado el plan de descentralización? RESPUESTA: La implementación del proceso de emisión en las sucursales secundarias se realizará en forma progresiva en un plazo máximo de 3 meses, pero es parte del plan que el proveedor debe presentar. CONSULTA 10: Identificación sobre el componente contacto de la tarjeta. Pueden confirmar que la aplicación ICAO con una estructura LDS, ya presente en el parte sin contacto, esta duplicado en la parte contacto?. RESPUESTA: Es Correcto. La información de la aplicación de identificación del chip con contacto debe ser la misma que la que está presente en la aplicación ICAO sin contacto. Sin embargo, no es necesario que se mantengan las estructuras de datos compatibles con ICAO.

5 CONSULTA 11: La aplicación match on card es una aplicación independiente de las otras aplicaciones? RESPUESTA: Sí. CONSULTA 12: La Administración se reserva el derecho de atribuir el objeto de esta licitación a la oferta que considera la pertinente para sus intereses pero también de rechazar a su entera discreción la totalidad de la oferta, Confirman uds. que según sus intereses el contrato puede ser dividido a varios proveedores? Si positivo la respuesta según cual criterio? RESPUESTA: La adjudicación se hace a un único oferente (proveedor único o consorcio) quedando facultada la Administración de hacer una adjudicación parcial. No se adjudicará dividido entre varios proveedores el objeto del presente llamado.. CONSULTA 13: Atribución y TO: Cual es el valor del acta de adjudicación, en comparación con el tiempo de realización cuando el artículo 12 precisa que el sistema deberá ser completamente operacional:::: en un tiempo de 6 meses a partir de la emisión de la orden de compra? RESPUESTA: El acta de adjudicación no es vinculante para el Jerarca. El plazo de 6 meses comienza a regir una vez emitida la orden de compra.

6 CONSULTA 14: Entedemos que las fuente del SDK no deben ser entregadas, estámos de acuerdo? RESPUESTA: De acuerdo, se debe entregar el SDK para su uso libre pero no es necesario entregar los fuentes. CONSULTA 15: El confrontador, armador del sitio secundario puede manipular las cartas con o sin chip en el intervalo de 2 personalizaciones de tarjetas? RESPUESTA: Se valorará que la impresión de tarjetas con chip y sin chip requiera la menor intervención posible de parte de los operadores. CONSULTA 16: Esta exigencia es válida para el modo centralizado o desentralizado? RESPUESTA: Para ambos CONSULTA 17: Cuales son las características técnicas del papel en cual será impreso el código pin RESPUESTA: Estas características son parte de la solución de impresión de PIN, y por lo tanto deben ser determinadas por el proveedor. Mínimamente se requiere que sean impresos en sobre sellado que no permita su lectura desde fuera. CONSULTA 18: La solución de impresión de PIN consiste en una sola máquina que imprime los correos y que los cierran?

7 RESPUESTA: Sí, pero se debe considerar que habrá mínimamente una solución de impresión de PIN en la casa central, y potencialmente una en cada Oficina secundaria.- CONSULTA 19: Si proponemos un proceso con varias máquinas cuales son las exigencias imperativas? RESPUESTA: Reformule su consulta. CONSULTA 20: Les agradecemos darnos más detalles sobre sus exigencias en cuanto a la entrega de las tarjetas (correos etc) RESPUESTA: La entrega de las tarjetas no forma parte del alcance para el proveedor. Una vez impresas serán enviadas por DNIC. CONSULTA 21: Debemos preveer un sistema que pega la tarjeta sobre el papel de envío o entrega de la tarjeta (cédula) RESPUESTA: Sí, este sistema será implementado únicamente en casa central. CONSULTA 22: La solución de impresión del correo de las cédulas hechas debe estar ligado a la máquina de personalización De manera que la operación de personalización de las cédulas y el correo de envío al ciudadano se hagan de manera automática?

8 RESPUESTA: No necesariamente, pero se valorará que el proceso tenga la menor intervención posible por parte de operadores. CONSULTA 23: Cuales son los criterios que participan a la evaluación de la modularidad? RESPUESTA: No hay un criterio cerrado para esto, es simplemente una característica deseable para el producto. CONSULTA 24: Entendemos que una vez los card let personalizados hay que ser capaz de personalizar cinco certificados con 40KO de memoria libre en el chip de contacto. Pueden confirmarlo? RESPUESTA: No. Los 40 KB libres son independientes de los 5 certificados. El objetivo de este punto es tener la posibilidad de agregar alguna aplicación más adelante. CONSULTA 25: Cuales son las interacciones y el papel entre la PKI actual del Ministerio y la que deberá ser implementada? RESPUESTA:Ningunas. La PKI actual del Ministerio se utiliza para emitir los certificados para el aplicativo de autenticación y Firma electrónica, mientras que la PKI a implementar es para la firma de los documentos de viaje ICAO.

9 CONSULTA 26: No hay CVCA ni DV mencionados? RESPUESTA: Es correcto. Esto es porque se implementará ICAO con perfil BAC. No estás dentro del alcance implementar EAC, y por lo tanto no se solicita CVCA ni DV. CONSULTA 27: Debemos preveer una plataforma de supervición de los servicios, o el Ministerio ya tiene una? (Es decir reporte a los centralizadores de logs o SNMP) RESPUESTA: El ministerio ya cuenta con plataformas de monitoreo SNMP y similares (Nagios y Cacti), con las que debe integrarse la solución. CONSULTA 28: P30 Art. 30: Con el fin de mejorar la seguridad del proceso de abastecimiento y de optimizar los costos del proyecto es posible proponer un centro único centralizado de personalización (personalización por lotes) que asegurará la expedición de las cédulas y los códigos pin? RESPUESTA: La impresión de cédulas tiene que poder hacerse también en otras sucursales, no sólo en casa central. CONSULTA 29: Punto 4: Entendemos que el tiempo de 4 meses vale en relación con la fecha de validación de las especificaciones del proyecto que incluye la validación de la concepción de la cédula, es esto?

10 RESPUESTA: El plazo de 4 meses para entregar el sistema funcionando comienza a correr una vez aprobado el diseño de la nueva cédula. CONSULTA 30: Punto 9: Entendemos que hay que asociar al ciudadano, la identificación de los chips con el certificado númerico de su CNIe: esta asociación puede limitarse a su número de CI que por definción es único. RESPUESTA: Efectivamente, se debe comunicar al sistema de enrolamiento el número de chip utilizado para que almacene en su registro. No obstante, el sistema de personalización también puede almacenar esa asociación como registro, siendo el número de CI un identificador válido por ser único. CONSULTA 31: La capacidad de memoria del chip deberá ser tal que despúes de la personalización con las aplicaciones definidas abajo, y el cargamiento de 5 certificados, su espacio disponible deberá ser a lo menos de 40KB? RESPUESTA: La cantidad de 40 KB es aproximada, para dar un entorno, puede ser entre 35 y 45 KB por ejemplo. La cantidad de datos a almacenar en el chip es la suma de las cantidades de datos que requiere cada una de las aplicaciones.

11 CONSULTA 32: En lo que se trata del espacio de memoria disponible, pueden confirmarnos que los 40KB sean redhibitorios? Porque lees llamamos la atención sobre dos puntos: - La disponibilidad de una tal cantidad de memoria es relativamente sorprendente si tomamos en cuenta que el estado de arte compromete los fabricantes sobre 3 componentes. Además según ciertos reportes en la porfesión, particularmente los de los gobiernos el cargamento de otra aplicación despúes de la emisión de una cédula, es raramente ejecutado ya casi nunca realizado. Entonces siempre y a fin de optimizar nuestra colaboración, cuales son las cantidades de datos que deberán estar cargados en el chip? RESPUESTA: La cantidad de 40 KB es aproximada, para dar un entorno, puede ser entre 35 y 45 KB por ejemplo. La cantidad de datos a almacenar en el chip es la suma de las cantidades de datos que requiere cada una de las aplicaciones. CONSULTA 33: El sistema de explotación deberá ser abierto y ser disponible con 3 fabricantes de chip distintos, el sistema deberá usar java card, por lo menos versión 3.0 (JCRE) y ser certificado EAL5+ conformemente al menos Common criteria Protección Profile para Java Cardt TM System.

12 En lo que es Java 3.0 podrían indicarnos si versiones anteriores a este son aceptadas? Según nuestro criterio esta prerrogativa es mínima en relación con la seguridad exigida, es decir Java 2.2 no sería aceptado? Sabiendo que la certificación EAL5+ es obligatorio y debe ser mantenido. El chip deberá poder soportar la autentificación y la firma electrónica con una llave RSA de 2048 bits y curvas elípticas de minimum 256 bits, con hashes de por lo menos SHA-256. Confirman una puesta en marcha inmediata de las curvas elípticas en la aplicación de la firma electrónica? Y no en la aplicación de identidad? Porque esta solución es bastante dificil a generalizar en el comienzo de un tal proyecto de gobierno, según nuestra experiencia no esta prevista al comienzo pero si esta prevista para una puesta en marcha futura, cual es su idea en cuanto a este punto? Podemos pensar en una subida en gama? Lo decimos únicamente por un tema financiero. RESPUESTA: Respecto al JavaCard, es aceptable usar la 2.2 siempre y cuando se garantice que se cumple con todos los requerimientos del llamado. La aplicación de identificación no utiliza claves, es simplemente para leer en forma automática los datos del ciudadano. Respecto a la aplicación de Autenticación y Firma Electrónica,

13 actualmente en Uruguay está estandarizado de facto RSA, pero desde la unidad reguladora se quiere promover el uso de curvas elípticas a nivel de suscriptores finales (ciudadanos). En este sentido, si no se incluye el soporte para curvas elípticas desde el inicio, se debe especificar con especial claridad las implicancias de la realización de una subida de gama posterior para soportarlas (renovación de tarjetas, de software, etc.)