UNIVERSIDAD DEL VALLE VICE-RECTORIA ADMINISTRATIVA. PLIEGO DE CONDICIONES DE LA SOLICITUD DE OFERTAS No. 011 DE 2007

Transcripción

1 UNIVERSIDAD DEL VALLE VICE-RECTORIA ADMINISTRATIVA PLIEGO DE CONDICIONES DE LA SOLICITUD DE OFERTAS No. 011 DE 2007 OBJETO: CONSULTORÍA PARA LA IMPLANTACIÓN DEL SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN - SGSI - FASE I PRESUPUESTO DE LA SOLICITUD DE OFERTAS : $ FECHA DE APERTURA: 18 DE SEPTIEMBRE DE 2007 HORA: 4:00 P.M. FECHA DE CIERRE: 25 DE SEPTIEMBRE DE 2007 HORA: 4:00 P.M.

2 CAPITULO I INSTRUCCIONES GENERALES 1. OBJETO DE LA SOLICITUD DE OFERTAS La Universidad del Valle solicita propuestas que cumplan con los requisitos y especificaciones del presente Pliego de Condiciones, para la contratación del CONSULTORÍA PARA LA IMPLANTACIÓN DEL SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN - SGSI - FASE I. La fase I se compone de las siguientes actividades: Adiestramiento del personal para poder definir, implementar, operar y mantener un SGSI. Obtener el inventario y clasificación de los activos de información de la Oficina de Informática y Telecomunicaciones de la Universidad del Valle. Realizar el análisis de riesgos de seguridad de la información a los activos de información de la Oficina de Informática y Telecomunicaciones de la Universidad del Valle. Definición de las Políticas de Seguridad de la Información de la Universidad del Valle. Recomendaciones acerca de la implementación de elementos de control de seguridad y Arquitectura de Seguridad. 2. CONSULTA DE PLIEGO, APERTURA Y CIERRE DE LA SOLICITUD DE OFERTAS 2.1 Apertura de la Convocatoria y Pliego de condiciones La presente Solicitud de Ofertas inicia su apertura el día 18 de Septiembre de 2007 a partir de las 4:00 p.m., hora colombiana. La Universidad realizará invitaciones a proponentes que cumplan las condiciones para ejecutar el objeto contractual, entregando el presente pliego de condiciones. 2.2 Lugar y Cierre de la Solicitud de Ofertas Las propuestas deberán depositarse en la Urna destinada para tal fin, hasta el día 25 de Septiembre de 2007, a las 4:00 pm, en la Oficina de la Sección de Compras y Administración de Bienes, ubicada en el segundo piso del Edificio de La Administración Central espacio 2062, de la sede Meléndez, Edificio 301, en la ciudad de Santiago de Cali, en sobres cerrados y se abrirán el día y hora fijados para el cierre de la Solicitud de Ofertas, en presencia de los funcionarios designados de la Universidad del Valle y de los Proponentes que deseen asistir a dicho acto. Se levantará un acta en la cual quedarán especificados los resúmenes de las propuestas. 2

3 No se recibirán propuestas presentadas en lugar o en oportunidad diferentes a las señaladas anteriormente. No se aceptarán propuestas enviadas por correo o medio telemáticos ni entregas en otras dependencias de la Universidad del Valle. 3. GARANTÍA DE SERIEDAD DE LA PROPUESTA El Proponente deberá constituir en favor de la Universidad del Valle una garantía de seriedad de la propuesta, en una Compañía de Seguros o Entidad Bancaria, cuya póliza matriz esté debidamente aprobada por la Superintendencia Bancaria, por una cuantía igual al diez por ciento (10%) del valor de la propuesta. La garantía de seriedad de la propuesta responderá por el cumplimiento de las obligaciones establecidas en este Pliego de Condiciones, así como por las estipulaciones y especificaciones contenidas en la propuesta, y especialmente las de suscribir el Contrato, constituir las pólizas contractuales y legalizar el Contrato en los términos indicados en este Pliego, con una vigencia de cuatro (4) meses contados a partir de la fecha inicial de cierre de la presente Solicitud de Ofertas inclusive. Para el efecto, deberá adjuntar a la propuesta el original de dicha póliza y el recibo de pago de la prima correspondiente o el original del comprobante de pago de la garantía bancaria, salvo que en la póliza o en el documento de la garantía se especifique tal pago, documentos que deben venir debidamente firmados por el Proponente. A los adjudicatarios se les devolverá la garantía de seriedad de la propuesta cuando esté legalizado el Contrato; a los demás dos (2) meses después de adjudicados o a la legalización de los Contratos si ello ocurriere antes, a menos que manifiesten por escrito no tener interés en la adjudicación. Salvo fuerza mayor o caso fortuito debidamente comprobados, si el adjudicatario no cumple con las obligaciones establecidas en este pliego y especialmente la de suscribir el contrato, constituir las pólizas contractuales y legalizar el mismo dentro de los términos establecidos, la Universidad podrá hacer efectiva la garantía de seriedad de la propuesta. En el evento en que el Proponente presente su propuesta a través de un representante o apoderado legalmente autorizado, la garantía de seriedad deberá ser expedida a nombre del Proponente, vale decir la persona representada. La seriedad de la propuesta igualmente podrá ser garantizada por una Entidad Bancaria. Esta garantía deberá ser expedida por su Representante Legal, anexando a la propuesta certificación de la Superintendencia Bancaria en que se acredite tal condición. 4. PRESUPUESTO OFICIAL El presupuesto asignado por la Universidad del Valle para la presente Solicitud de Ofertas es de cien millones de pesos M/CTE. ($ ). 5. ENTREGA DE PROPUESTAS La entrega de las propuestas deberá hacerse en la oficina de la Sección de Compras y Administración de Bienes de la Universidad del Valle, situada en la Ciudad Universitaria, de 3

4 la ciudad de Santiago de Cali hasta el día 25 de Septiembre de 2007, a las 4:00 p.m, hora colombiana, en la Urna correspondiente a la Solicitud de Ofertas No. 011 de RÉGIMEN APLICABLE El Régimen aplicable al presente proceso es el Estatuto de Contratación de la Universidad del Valle (Resolución No. 046 de expedida por El Consejo Superior), El Código de Comercio y el Código Civil. 4

5 1. OBSERVACIONES GENERALES CAPITULO II INSTRUCCIONES PARA OFERTAR Los Proponentes deberán tener en cuenta todas las condiciones contenidas en el presente Pliego que puedan afectar los costos. En caso de posponerse la fecha de cierre de la Solicitud de Ofertas, este hecho se dará a conocer a los proponentes invitados, indicando la nueva fecha de cierre. Después del cierre de la Solicitud de Ofertas no podrá hacerse reclamo alguno con respecto al contenido o alcance del Pliego de Condiciones. En ningún caso se aceptarán modificaciones o adiciones a la propuesta. La presentación de una propuesta por cualquiera de los Proponentes será prueba evidente de que ha examinado cuidadosamente los Pliegos de Condiciones y especificaciones y obtenido por escrito las aclaraciones del caso, dando por aceptados los documentos completos y adecuados para definir los servicios a suministrar. 2. ACLARACIONES Y/O MODIFICACIONES AL PLIEGO DE CONDICIONES Y A LAS PROPUESTAS Si alguno de los Proponentes encuentra discrepancias u omisiones en cualquiera de los puntos del pliego o tuviere alguna duda acerca de su significado, podrá solicitar y obtener de la Universidad, por escrito, las aclaraciones necesarias. Los Proponentes deberán formular y radicar sus consultas en la oficina de la Sección de Compras y Administración de Bienes de la Universidad del Valle, por lo menos con dos (2) días hábiles de anticipación a la fecha prevista para el cierre de la Solicitud de Ofertas No No se considerarán las consultas que los Proponentes hagan con posterioridad a este plazo. Cualquier aclaración o modificación al Pliego de Condiciones que la Universidad considere oportuno hacer antes de la fecha límite del cierre de la Solicitud de Ofertas, será contestada como adendo, el cual será enviado a todos los proponentes invitados. Las consultas y las respuestas no producirán efecto suspensivo para la presentación de las propuestas. Así mismo, la Universidad podrá pedir por escrito aclaraciones a cualquiera de los Proponentes sobre sus propuestas, pero éstas en ningún caso podrán modificar las propuestas. 5

6 3. COMPONENTES DE LA SOLICITUD DE OFERTAS Forman parte de la presente Solicitud de Ofertas: - El Pliego de Condiciones y sus anexos. - Los adendos y demás documentos que se produzcan antes de la fecha prevista para el cierre de la presente Solicitud de Ofertas. 4. CORRESPONDENCIA Y COMUNICACIONES Para efectos de la presente Solicitud de Ofertas, la correspondencia y comunicaciones deberán ser dirigidas en idioma Español por correo o vía fax así: UNIVERSIDAD DEL VALLE SECCIÓN DE COMPRAS Y ADMINISTRACIÓN DE BIENES CIUDAD UNIVERSITARIA MELÉNDEZ CALLE 13 No EDIFICIO 301, PISO 2, OFICINA 2062 TELEFAX : Correo electrónico: compras@univalle.edu.co 5. QUIENES PUEDEN OFERTAR Podrán ofertar las personas naturales, jurídicas nacionales, consorcios y uniones temporales siempre y cuando cumplan con los siguientes requisitos: 5.1 Haber sido legalmente establecidas y constituidas con no menos de seis (6) meses de anterioridad a la fecha de apertura de la presente Solicitud de Ofertas, y acreditar que duración no será inferior al un año (1) año y cinco meses contados a partir del cierre de la Solicitud de Ofertas. 5.2 Estar debidamente inscrito, clasificado y calificado en el Registro Único de Proponentes de la Cámara de Comercio de su jurisdicción, a la fecha de presentación de la oferta. 5.3 El proponente debe tener una capacidad máxima de contratación (K de Contratación), establecida en el Registro Único de Proponentes de la Cámara de Comercio, de por lo menos el doble del valor de su propuesta expresada en SMMLV. 5.4 Las Empresas que presenten propuestas, deberán hacerlo por intermedio de quien tenga capacidad civil y comercial para obligarla. 5.5 Estar a Paz y Salvo por concepto de pagos parafiscales, aportes a cajas de compensación, salud y pensiones, de acuerdo con lo establecido en el artículo 50 de la Ley 789 de 2002 y las establecidas en la Ley 828 de Quienes no se encuentren en el boletín de responsables de la Contraloría General de la República, de acuerdo con lo establecido en la Ley 610 de

7 5.7 El proponente deberá haber ejecutado satisfactoriamente al menos tres (3) contratos de consultoría con objeto similar al de la presente Solicitud de Ofertas, en los últimos cinco años. Cada contrato deberá haber sido por un valor mínimo del 50% del valor de la oferta presentada por el proponente. Solo serán válidas las certificaciones diligenciadas con la información solicitada en el Anexo No No encontrarse incurso en ninguna de las siguientes causales de inhabilidad e incompatibilidad para contratar, establecidas en la Resolución 046 de 2004 expedida por el Consejo superior de la Universidad del Valle: a) Quienes en sentencia judicial hayan sido condenados a la pena accesoria de interdicción de derechos y funciones públicas y quienes hayan sido sancionados disciplinariamente con destitución. b) Quienes sin justa causa se abstengan de suscribir el contrato adjudicado. c) Los servidores públicos. d) Quienes sean cónyuges o compañeros permanentes, y quienes se encuentren dentro del segundo grado de consanguinidad, o segundo de afinidad, con cualquiera otra persona que formalmente haya presentado oferta para una misma Convocatoria Pública o Privada. e) Las sociedades, distintas de las anónimas abiertas, en las cuales el representante legal, o cualquiera de sus socios, tenga parentesco en segundo grado de consanguinidad, o segundo de afinidad, con el oferente, con el representante legal o con cualquiera de los socios de una sociedad que formalmente haya presentado oferta para una misma Convocatoria Privada o Pública. f) Los socios de sociedades de personas a las cuales se haya declarado la caducidad, así como las sociedades de personas de las que aquellos formen parte con posterioridad a dicha declaratoria. g) Quienes fueron miembros del Consejo Superior o servidores públicos de la Universidad. Esta incompatibilidad solo comprende a quienes desempeñaron funciones en los niveles directivo, asesor y ejecutivo y se extiende por el término de un (1) año, contado a partir de la fecha del retiro. h) Las personas que tengan vínculos de parentesco, hasta el segundo grado de consanguinidad, segundo de afinidad o primero civil con los servidores públicos de la Universidad de los niveles directivos, asesor, ejecutivo o con los miembros del Consejo Superior, o con las personas que ejerzan el control interno o fiscal en la Universidad del Valle. i) El cónyuge, compañero o compañera permanente del servidor público en los niveles directivo, asesor, ejecutivo, o de un miembro del Consejo Superior, o de quien ejerza funciones de control interno o de control fiscal en la Universidad del Valle. j) Las corporaciones, asociaciones, fundaciones y las sociedades anónimas que no tengan el carácter de abiertas, así como las sociedades de responsabilidad limitada y las demás 7

8 sociedades de personas en las que el servidor público en los niveles directivo, asesor o ejecutivo, o el miembro del Consejo Superior, o el cónyuge, compañero o compañera permanente o los parientes hasta el segundo grado de consanguinidad, afinidad o civil de cualquiera de ellos, tengan participación o desempeñe cargos de dirección o manejo. k) Los miembros del Consejo Superior de la Universidad. l) Hallarse incurso en alguna otra causal de inhabilidad o de incompatibilidad definidas en la Constitución y la ley. En todos los casos, el oferente, deberá afirmar bajo juramento, el cual se entiende prestado con la presentación de la oferta y de la firma del contrato, que no se encuentra incurso en las inhabilidades e incompatibilidades señaladas en el Estatuto de Contratación de la Universidad, la Constitución, o en la Ley. 6. DOCUMENTOS QUE DEBEN ANEXARSE A LA PROPUESTA La propuesta deberá venir acompañada de los documentos que a continuación se relacionan: De orden Jurídico 6.1 Carta de Presentación de la Propuesta, según formato Anexo No. 1, escrita y debidamente firmada por el representante legal del Proponente. 6.2 Original o copia del certificado de existencia y representación legal expedido por la Cámara de Comercio si se trata de persona jurídica en el que conste que su objeto social contempla la actividad de comercio de la presente Solicitud de Ofertas, y que su termino de duración es de un año y seis meses, contados a partir del cierre de la Solicitud de Ofertas, o Certificado de Registro Mercantil expedido por la Cámara de Comercio de su domicilio principal, si el oferente es persona natural o propietario de establecimiento de comercio. 6.3 Debe incluir autorización de la Junta de Socios en el evento de que la autorización del representante legal para contratar directamente, sea inferior al monto de la oferta. 6.4 El Proponente deberá acompañar a la propuesta certificado en original o copia de la Cámara de Comercio en que conste su inscripción en el Registro Único de Proponentes de la Cámara de Comercio. Dicha certificación deberá contener la clasificación, calificación y capacidad de contratación respectiva. La inscripción en el registro Único de proponentes debe estar vigente en la fecha inicial de cierre de la Solicitud de Ofertas. Verificar en el Decreto Original de la póliza de garantía de seriedad de la propuesta expedida de acuerdo a las instrucciones contenidas en el numeral tres (3) del capítulo I. 6.6 Certificación expedida por el Revisor Fiscal si la sociedad está legalmente obligada a tenerlo o por el Representante Legal cuando no esté obligada, en la cual se acredite el pago de los aportes de sus empleados a los sistemas de salud, riesgos profesionales, 8

9 pensiones y aportes a cajas de compensación familiar, ICBF y SENA, si a ello hubiere lugar, durante los seis (6) meses anteriores a la presentación de las ofertas, conforme al artículo 50 de la Ley 789 de 2002 y Ley 828 de 2003 (Anexo No. 2). 6.7 Cuando se presenten los oferentes bajo la figura de Consorcio o Unión Temporal, deberán cumplir con los siguientes requisitos: Los oferentes indicarán si su participación es a título de Consorcio o Unión Temporal; en este último caso, señalarán los términos, condiciones y porcentajes de participación en la oferta y en la ejecución del contrato, los cuales no podrán ser modificados sin el consentimiento previo de La Universidad Documento de constitución del Consorcio o de la Unión Temporal, en donde acrediten su conformación y la designación de la persona que para todos los efectos, los representará, señalando las reglas básicas que regulen las relaciones entre ellos y su responsabilidad. En el documento de conformación del Consorcio o de la Unión Temporal, se indicará la forma en la cual se adoptarán las decisiones, en caso contrario la Entidad se atendrá a lo decidido por el representante legal designado Deberán adjuntar a la oferta las certificaciones del respectivo órgano directivo de las Personas Jurídicas, mediante las cuales se autorice expresamente a los representantes legales de dichas sociedades a presentar la oferta en Consorcio o Unión Temporal. De orden Técnico 6.8 Suministrar documento técnico donde se detalle la propuesta, incluyendo los aspectos técnicos de la Consultoría y los entregables resultantes de la misma. 6.9 Certificados de experiencia contractual, de acuerdo con las instrucciones del Anexo No. 3. Se deberán presentar al menos tres (3) certificaciones. Cada certificación de contrato u orden se analizará por separado; en caso de presentar certificaciones que incluyan contratos u órdenes adicionales al principal, el valor adicional se sumará al valor del contrato u orden principal, quedando esta como una sola certificación. En el evento en que el proponente presente certificaciones de experiencia en las cuales haya participado en Consorcio o Unión Temporal, para efectos de la evaluación de este factor, se tomará el valor equivalente al porcentaje de participación del proponente en el Consorcio o Unión Temporal del cual acredite la experiencia. En este caso, el proponente deberá en la certificación de experiencia indicar el porcentaje de participación. 6.10Certificados, documentos y/o títulos que acrediten la escolaridad y experiencia requerida en el numeral 2.2 del capítulo IV. 6.11Copia del certificado en que conste estar certificado ISO 9001:2000. En caso de ser una norma equivalente deberá anexar copia de dicha norma en idioma español, con el fin de verificar la información y especificaciones allí contenidas. 9

10 6.12Documentos e información requerida en el numeral 2.4 del capítulo IV. 6.13Detalle de la propuesta de la forma de cumplir lo requerido en el numeral 3 del capítulo IV. Las fechas de expedición de las certificaciones a que se refieren los numerales 6.2 y 6.4 no pueden ser superiores a 60 días calendario anteriores a la fecha inicial de cierre de la presente Solicitud de Ofertas. En aplicación de lo dispuesto en el numeral 10º del artículo 5º de la Resolución de Consejo Superior de la Universidad del Valle No. 046 de 2004, dentro del proceso de evaluación y adjudicación y en un plazo no mayor a dos (2) días hábiles posteriores a la solicitud de la Universidad del Valle, serán subsanables en su presentación los numerales 6.2, 6.4 y 6.6, sin embargo, su inscripción y las condiciones exigidas en el presente pliego deberán estar vigentes al momento de la presentación de la oferta. El numeral 6.3 será subsanable en todos sus aspectos. Respecto del numeral 6.5 garantía de seriedad de la propuesta, será saneable su presentación, sin embargo, una vez requerida, la póliza que se allegue deberá haber sido expedida a más tardar en la fecha establecida para el cierre de la presente Solicitud de Ofertas. Respecto de los demás aspectos tales como la vigencia, el valor asegurado, la acreditación del pago de la prima de póliza y demás aspecto de forma, serán saneables en etapa de la evaluación de las propuestas. 7. PRESENTACIÓN Y ENTREGA DE LAS PROPUESTAS 7.1Las propuestas deberán presentarse en idioma Español, salvo los términos técnicos que usualmente utilicen idioma diferente. La propuesta se presentará en original y una (1) copia, en paquetes separados debidamente cerrados y sellados. Los dos (2) paquetes deberán contener exactamente la misma información. Así mismo, la propuesta se deberá presentar debidamente legajada y foliada (numeradas todas sus páginas) y contar con índice. 7.2 Los paquetes que contengan la propuesta deberán dirigirse así: UNIVERSIDAD DEL VALLE CIUDAD UNIVERSITARIA - MELÉNDEZ SECCIÓN DE COMPRAS Y ADMINISTRACIÓN DE BIENES CONTIENE PROPUESTA PARA SOLICITUD DE OFERTAS NUMERO PROPONENTE:... DIRECCIÓN... TELÉFONO... CORREO ELECTRÓNICO... NUMERO DE FOLIOS... ORIGINAL...1a.COPIA La propuesta deberá ser firmada por el representante legal u otra persona autorizada expresamente para obrar en nombre de la misma. 10

11 7.4 Con la entrega de la propuesta, el Proponente se da por suficientemente enterado de las obligaciones derivadas del Pliego de Condiciones, del Contrato que se suscribirá y de la Ley. En consecuencia, no podrá después alegar su desconocimiento. 7.5 El sobre con la propuesta deberá ser depositado personalmente en la urna triclave previamente cerrada e instalada para el efecto en las oficinas del Sección de Compras y Administración de Bienes de la Universidad, ubicada en Santiago de Cali, dentro de los días y hora señalados para la recepción de las propuestas. No se aceptarán ofertas que se reciban por correo. 8. MODIFICACIÓN Y RECHAZO DE LAS PROPUESTAS Una vez depositada la propuesta dentro de la urna, la misma no podrá ser adicionada o modificada por el Proponente. Las propuestas podrán ser rechazadas en el momento del cierre de la Solicitud de Ofertas o con posterioridad en los siguientes casos: 8.1 Cuando se hubiere presentado después de la fecha y hora exacta, señalada en el presente Pliego de Condiciones. 8.2Propuestas que presenten borrones, tachaduras o enmendaduras que puedan alterar las cantidades, valores unitarios, valores totales, a menos que se hayan hecho las salvedades correspondientes. 8.3Cuando se compruebe mediante fallo expedido por autoridad competente falsedad en la información presentada. 8.4Cuando la inscripción en la Cámara de Comercio o el Registro Único de Proponentes no se encuentren vigentes en el momento de presentar la propuesta. 8.5Cuando se encuentre que el oferente se halla incurso en algunas de las causales de inhabilidad e incompatibilidad establecidas en la Constitución y la Resolución No. 046 de 2004 expedida por El Consejo Superior de la Universidad del Valle. 8.6Cuando el oferente influya o presione sobre el estudio de la propuesta. 8.7Cuando no cumpla con las condiciones para participar, no presente la documentación no susceptible de subsanar o no se logre subsanar dentro del plazo concedido por la Universidad para tal fin. 8.8Cuando la duración de las personas jurídicas oferentes no sea superior a un (1) año y cinco meses, contados a partir de la fecha inicial de cierre de la Solicitud de Ofertas. 8.9Cuando el oferente no se encuentre a paz y salvo por concepto de pagos parafiscales, aportes a cajas de compensación y sistemas de seguridad social en pensiones y salud. 8.10Cuando el oferente aparezca registrado en el boletín de responsables fiscales de la Contraloría General de la República. 8.11Cuando la propuesta supere el valor del presupuesto establecido por la Universidad El rechazo de las propuestas se decidirá de plano por los funcionarios designados por la Universidad, dentro de la diligencia de cierre de la Solicitud de Ofertas o la evaluación de las propuestas. Contra las decisiones de estos funcionarios no procederá recurso alguno por la vía gubernativa. 11

12 9. APERTURA DE URNA Y DE LAS DE PROPUESTAS En el día y hora señalados para el cierre de la Solicitud de Ofertas se procederá en acto público a la apertura de la urna y de las propuestas. En la diligencia de cierre de la Solicitud de Ofertas, se abrirá la urna y se extraerán los sobres de las propuestas, las cuales serán firmadas por los funcionarios designados por la Universidad. Igualmente, se levantará un Acta de Apertura de urna, la cual será firmada por los funcionarios de la Universidad y los asistentes que lo deseen. 12

13 CAPITULO III CONDICIONES FINANCIERAS 1. FINANCIACIÓN El valor de la presente Solicitud de Ofertas será financiado con el presupuesto de inversión por estampilla Pro-Universidad del Valle. 2. PRECIOS Y MONEDA DE LA PROPUESTA Las propuestas deberán ser cotizadas en pesos incluyendo en el precio todos los costos y gastos en que el proponente tenga que incurrir para ejecutar la Consultoría entregar sus productos y cumplir con los demás compromisos que adquiera al ser contratado. 3. FORMA DE PAGO La Universidad pagará un máximo del 30% del valor del contrato antes de IVA por concepto de anticipo. El resto del valor se pagará, en cuotas mensuales, dependiendo del avance de los compromisos adquiridos, amortizando el anticipo que se entregue. 13

14 1. FORMA DE ENTREGA CAPITULO IV INFORMACIÓN TÉCNICA GENERAL El proponente deberá especificar el tiempo de entrega de ejecución de la Consultoría, el cual no podrá ser superior a cuatro (4) meses. 2. REQUERIMIENTOS DE LOS SERVICIOS DE CONSULTORÍA 2.1. NORMAS DE CALIDAD Todas las actividades llevadas a cabo por el PROPONENTE deberán dar cumplimiento, como mínimo, a lo establecido en las normas ISO/IEC 17799:2005, ISO/IEC 27001:2005 y BS7799-3:2006. El proponente será el responsable de poner a disposición de la Universidad del Valle los consultores necesarios para llevar a cabo, durante un periodo de cuatro meses, las actividades requeridas RECURSO HUMANO El recurso humano propuesto para la ejecución del objeto del presente proceso de selección, debe cumplir con los requisitos de escolaridad y experiencia y se debe acreditar los documentos de títulos y experiencia. El recurso humano deben cumplir con los siguientes requisitos: GERENCIA DE PROYECTO Y ASEGURAMIENTO DE LA CALIDAD Cantidad (1). Profesional de Ingeniería de sistemas y computación, Ingeniería electrónica o áreas afines, con matricula profesional y con mínimo 4 años de experiencia profesional, para lo cual deberá adjuntar la correspondiente documentación que permita evidenciar el cumplimiento de este requerimiento mediante acta de grado. Debe tener diplomado o especialización en gerencia de proyectos, Gerencia en Informática, Sistemas Gerenciales de Ingeniería ó afines, preferible certificado como PMP (Project Management Professional) Experiencia Específica: Haber participado como Director de Proyecto o como ingeniero consultor en proyectos que cumplan con las siguientes características: El objeto del contrato debe referirse a Seguridad de la Información ó análisis de riesgos ó seguridad informática o en proyectos de objeto similar al solicitado en los presentes términos de referencia. 14

15 El monto del contrato debió haber sido al menos un 50% del valor de lo solicitado en estos términos. Debió haberse efectuado después del 1ro de Enero del Para acreditar esta experiencia, el proponente deberá presentar certificación expedida directamente por la entidad contratante del proyecto, en las que se debe incluir como mínimo la siguiente información: Nombre de la entidad contratante. Objeto del contrato o servicio prestado. Fecha de inicio y terminación del contrato o servicio prestado. Datos de contacto de la persona responsable dentro de la entidad contratante. Se tendrá en cuenta únicamente la experiencia específica relacionada en proyectos, contratos u órdenes, suscritos a partir del 1 de enero de (Esta certificación debe ser expedida por la(s) Empresa(s) donde se ejecutaron los trabajos). CONSULTOR SENIOR EN SEGURIDAD INFORMÁTICA Cantidad (2). Profesional de Ingeniería de sistemas y computación, Ingeniería electrónica o áreas afines, que cumpla con los siguientes requerimientos: Mínimo de 4 años como profesional, tomando como referencia la fecha de grado. Diplomado o especialización en Seguridad Informática o Especialización ó Maestría en Áreas Afines. Debe ser certificado ISC 2 CISSP (Certfied Information Systems Security Professional). Para lo cual debe anexar los correspondientes documentos soportes como diplomas y/o certificaciones. Experiencia específica en al menos dos (2) proyectos clasificados dentro de alguna de las siguientes categorías: Consultoría para el desarrollo de pruebas de intrusión a plataforma informáticas. Estudio, análisis y desarrollo de diagnóstico general de seguridad informática, incluyendo actividades de análisis de vulnerabilidades. Definición y caracterización de procesos de gestión de tecnología de información, incluyendo aspectos de seguridad informática, basados en metodologías y estándares reconocidos en la industria. Definición de recomendaciones acerca de la implementación de elementos de Control y Arquitecturas de Seguridad. Análisis de riesgos de seguridad. 15

16 Para acreditar esta experiencia, el proponente deberá presentar certificación expedida directamente por la entidad contratante del proyecto, en las que se debe incluir como mínimo la siguiente información: Nombre de la entidad contratante. Objeto del contrato o servicio prestado. Fecha de inicio y terminación del contrato o servicio prestado. Datos de contacto de la persona responsable dentro de la entidad contratante. Se tendrá en cuenta únicamente la experiencia específica relacionada en proyectos, contratos u órdenes, suscritos a partir del 1 de enero de (Esta certificación debe ser expedida por la(s) Empresa(s) donde se ejecutaron los trabajos). Certificaciones adicionales que el Consultor Senior en Seguridad Informática puede aportar Para efecto de obtener puntaje adicional, se puede anexar los correspondientes documentos de soporte como diplomas o certificaciones. ABCP CISM CISA Lead Auditor BS ó ISO CONSULTOR EXPERTO EN SISTEMAS DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN Cantidad (1). Profesional de Ingeniería de sistemas y computación, Ingeniería electrónica o áreas afines, que cumpla con los siguientes requerimientos: Mínimo de 4 años como profesional, tomando como referencia la fecha de grado. Especialización en Gerencia en Informática, Sistemas Gerenciales de Ingeniería o Maestría en Áreas Afines. Debe ser certificado Auditor Líder en la norma BS o ISO/IEC 27001:2005 con certificación vigente. Para lo cual debe anexar los correspondientes documentos soportes como diplomas y/o certificaciones vigentes. Para acreditar esta experiencia, el proponente deberá presentar certificaciones expedidas directamente por las entidades contratantes de los proyectos, en las cuales se deberá incluir como mínimo la siguiente información: Nombre de la entidad contratante. 16

17 Objeto del contrato o servicio prestado. Fecha de inicio y terminación del contrato o servicio prestado. Datos de contacto de la persona responsable dentro de la entidad contratante. Se tendrá en cuenta únicamente la experiencia específica relacionada en proyectos, contratos u órdenes, suscritos a partir del 1 de enero de (Esta certificación debe ser expedida por la(s) Empresa(s) donde se ejecutaron los trabajos). Certificaciones adicionales que el consultor Experto en Sistemas de Gestión de Seguridad de la Información puede aportar Para efecto de obtener puntaje adicional, se puede anexar los correspondientes documentos de soporte como diplomas o certificaciones. ABCP CISM CISA CISSP 2.3. RECIBO DEFINITIVO DE LOS SERVICIOS. El recibo definitivo de los servicios se realizará cuando se cumplan las siguientes actividades: Cuando la Universidad del Valle tenga los servicios y productos adquiridos por el valor total del contrato. Recibo a satisfacción de la Universidad del Valle. Cumplimiento de todas las obligaciones contractuales CONDICIONES DE ENTREGA. El oferente debe responder todos y cada uno de los requerimientos solicitados especificando claramente si puede o no cumplir con los requisitos mínimos con la referencia de Folio/catálogo/página de donde se encuentra descrito la forma en que cumple. El oferente está en libertad de dar toda la información adicional que desee especificar, más allá de lo estipulado por los requerimientos. Mínimo solicitado Cumple (SI / NO) El proponente debe anexar a su propuesta el cronograma detallado de trabajo. Este cronograma debe ser realizado en Microsoft Project. El proyecto debe ser entregado a satisfacción de la Universidad del Valle en máximo cuatro (4) meses a partir de la legalización del contrato. Para cada una de las actividades planeadas, el proponente Folio/Catálogo/ Página 17

18 establecerá el tiempo, los recursos necesarios, los responsables y su dedicación. El proponente debe señalar expresamente los productos y/o entregables de cada fase, los cuales deben ser aprobados por la Universidad del Valle, estar acordes con los estándares propuestos de seguridad y ser acordes con los requisitos mínimos exigidos. El proponente deberá entregar una propuesta donde se indiquen las actividades a través de las cuales da cumplimiento a los requisitos exigidos en los presentes pliegos. 3. REQUERIMIENTOS DE LOS SERVICIOS DE CONSULTORÍA Todas las actividades llevadas a cabo por el PROPONENTE deberán dar cumplimiento como mínimo a lo establecido en las normas ISO/IEC 17799:2005, ISO/IEC 27001:2005 y BS El proponente será el responsable de poner a disposición de la Universidad del Valle los consultores necesarios para llevar a cabo, durante un periodo de cuatro (4) meses, las siguientes actividades: 3.1. INVENTARIO Y CLASIFICACIÓN DE ACTIVOS DE INFORMACIÓN. Mediante la definición de un Inventario se especifica y se reconocen los activos de información que se deben clasificar y proteger. El inventario debe permitir identificar los activos de información a los que se les debe brindar protección. Las actividades realizadas para obtener un inventario de activos son un prerrequisito de la gestión de riesgos de seguridad de la información. La clasificación de activos de información tiene como objetivo asegurar que la información recibe los niveles de protección adecuados. La información con base en su valor y de acuerdo a los requisitos de confidencialidad tiene diferentes grados de protección o manejo especial que se definen en la clasificación de activos de información. Se debe definir el esquema de clasificación para estipular los niveles de protección para cada activo de información y señalar así las consideraciones especiales de manejo, restricciones, distribución, almacenamiento y destrucción de la información. Mínimo solicitado El proponente deberá realizar un inventario de los activos de información que apoyan los diferentes procesos de negocio de la Oficina de Informática de la Universidad del Valle. Dar cumplimiento a los lineamientos definidos en la norma ISO/IEC 17799:2005 en el ítem de Gestión de Activos. Realización de entrevistas con el personal de la Universidad del Cumple (SI / NO) Folio/Catálogo/ Página 18

19 Valle y levantamiento de información de procesos del negocio y procedimientos en general que permitan identificar la siguiente información: Nombre del Activo: Es un campo que define la manera como se va a reconocer el activo de información dentro la Universidad del Valle con un nombre particular y diferenciable. Tipo: Se define el tipo al cual pertenece el activo, para este campo se utilizan los siguientes valores: o Información: bases de datos y archivos de datos, contratos y acuerdos, documentación del sistema, información sobre investigación, manuales de usuario, procedimientos operativos o de soporte, planes para la continuidad del negocio, acuerdos sobre retiro, pruebas de auditoría e información archivada, entre otra información crítica que se encuentre en medio físico. o Software: software de aplicación, software del sistema, herramientas de desarrollo y utilidades de la Universidad del Valle. o Físico: equipos de computación, equipos de comunicaciones, medios removibles y otros equipos. o Servicio: servicios de computación y comunicaciones. Ubicación: Es la información acerca de donde se encuentra físicamente ubicado el activo de información, puede ser un archivo físico de oficina, archivo digital, sistema de información, computador, base de datos, o aplicación. Propietario: Es la persona que tiene la responsabilidad de disponer del activo de información de la Universidad del Valle, y de determinar cuales son los requisitos para que el mismo se salvaguarde ante accesos no autorizados, modificación, pérdida de la confidencialidad o destrucción deliberada. Custodio Técnico: Es la persona encargada de administrar y hacer efectivos los controles de seguridad que el propietario del activo ha definido, con base en los controles de seguridad disponibles en la Universidad del Valle. Usuario: Cualquier persona que genere, obtenga, transforme, conserve o utilice información de la Universidad del Valle en papel o en medio digital, físicamente o a través de las redes de datos y los sistemas de información de la Universidad del Valle. Son las personas que utilizan la información para 19

20 propósitos propios de su labor, adecuados y que tienen el derecho manifiesto de uso dentro del documento de inventario y clasificación de activos de información. Valor: Es el valor del activo para el negocio. Su medición es cualitativa. El proponente debe definir el Instructivo para el proceso de inventario de activos de información. El proponente deberá dar todas las recomendaciones para la revisión, gestión y actualización del inventario de activos de información. El proponente deberá definir los niveles de Clasificación y de Confidencialidad, y las recomendaciones de manejo asociadas en cuanto: a. Acceso permitido. b. Métodos de distribución. c. Restricciones en la distribución electrónica. d. Almacenamiento y archivado. e. Destrucción. f. Penalizaciones por revelación o alteración deliberada o inadvertida de la información. El proponente deberá llevar a cabo la definición del instructivo de clasificación de activos de información. El proponente deberá dar las recomendaciones para la revisión, gestión y actualización de la clasificación de la información. Los entregables mínimos de esta actividad son los siguientes: Informe de resultados del levantamiento de información. Inventario de activos de información que apoyan los diferentes procesos de negocio de la Oficina de informática de la Universidad del Valle. Instructivo de clasificación de activos de información que apoyan los diferentes procesos de negocio de la Oficina de informática de la Universidad del Valle y su nivel de clasificación, incluyendo las recomendaciones en cuanto: o o o o o o Acceso permitido. Métodos de distribución. Restricciones en la distribución electrónica. Recomendaciones a cerca de el Almacenamiento y/o archivado. Recomendaciones a cerca de su disposición y destrucción. Penalizaciones por la revelación, acceso no autorizado, alteración deliberada o inadvertida de la información clasificada (para los casos en que apliquen penalizaciones disciplinarias y/o legales por parte de la Universidad del Valle). Activos de información clasificados, según inventario e instructivo de clasificación. 20

21 3.2. EVALUACIÓN Y FORMULACION DEL PLAN TRATAMIENTO DE RIESGOS DE SEGURIDAD DE LA INFORMACIÓN. La metodología de Análisis de Riesgos utilizada por el PROPONENTE deberá basarse como mínimo en las recomendaciones de las normas ISO/IEC 17799:2005, ISO/IEC 27001, y BS7799-3:2006 aplicables. Mínimo solicitado EL Contratista deberá determinar las amenazas potenciales asociadas a los sistemas de información de la Universidad del Valle, para determinar la probabilidad de que una amenaza se materialice en un ataque al sistema de información a través de una vulnerabilidad, y el impacto que esto puede tener en la organización. Mediante este proceso el PROPONENTE deberá identificar los controles necesarios para minimizar o transferir los riesgos identificados y priorizados. Controles a nivel de tecnología o procedimientos. El PROPONENTE debe llevar a cabo el análisis de amenazas y se deberá basar en un análisis cuidadoso de todos los actores que interactúan con los sistemas, las posibles vulnerabilidades de los sistemas, y de los controles de seguridad existentes. El PROPONENTE debe llevar a cabo un completo análisis de vulnerabilidades para determinar las debilidades reales existentes en los sistemas de información, en sus componentes Tecnológicos (software, hardware), humano y organizacional. Mediante el análisis de vulnerabilidades tecnológico y pruebas de penetración se deben determinar las fallas existentes en los sistemas de información que pueden ser utilizadas para vulnerar efectivamente su seguridad lógica. Esta evaluación deberá realizarse para detectar vulnerabilidades de los servicios a nivel externo e interno. El PROPONENTE deberá llevar a cabo una identificación y análisis de vulnerabilidades para determinar las debilidades reales existentes para la Universidad del Valle en sus componentes Tecnológico, humano y organizacional. El PROPONENTE deberá llevar a cabo la identificación y análisis de amenazas para los sistemas y de los controles de seguridad existentes. El PROPONENTE deberá llevar a cabo la evaluación del riesgo mediante la realización de una matriz de niveles de riesgo, en la que se refleja la probabilidad de que una amenaza identificada explote una vulnerabilidad, la magnitud del impacto en caso de que se vulnere el sistema, y recomendaciones acerca de los controles planeados o existentes que permitirían reducir el riesgo a un nivel aceptable. En la matriz de riesgo se debe incluir como mínimo: El activo de información a proteger. Riesgo al que está expuesto el activo. Cumple (SI / NO) Folio/Catálogo/ Página 21

22 Vulnerabilidades del Activo. Amenaza de la cual se debe proteger. Probabilidad de ocurrencia del riesgo. Definición de controles para el tratamiento del riesgo. Análisis de impacto ante la materialización de un riesgo. Se debe llevar a cabo un análisis de impacto para lo cual el PROPONENTE deberá realizar un estudio cuidadoso de la organización y su dependencia de la tecnología, la misión del sistema de información, su criticidad, y la sensibilidad de la información que contiene. A partir de este estudio, el PROPONENTE deberá determinar el impacto cualitativo por pérdida de integridad, disponibilidad y confidencialidad para la información y para cada uno de sus componentes. El proponente debe incluir dentro de sus entregables como mínimo los siguiente: Matriz de valoración riesgos de seguridad de la información priorizada, identificando los activos, las amenazas, las vulnerabilidades, impactos, los riesgos y las recomendaciones para su mitigación. Informe de identificación de procedimientos y controles necesarios para mitigar o transferir el riesgo. Formulación del Plan de tratamiento de riesgos y definición de prioridades de implementación DEFINICIÓN DE ARQUITECTURA DE SEGURIDAD. Mínimo solicitado Cumple (SI / NO) El PROPONENTE deberá definir en este punto la arquitectura de seguridad sugerida para la Universidad del Valle la cual deberá incluir como mínimo: Definición del esquema de Autenticación, Autorización y Auditoria: La infraestructura informática de la Universidad del Valle posee servidores de diferentes sistemas, los cuales interactúan entre sí a través de una infraestructura de red. Con el fin de minimizar los riesgos en cuanto a la identificación y autenticación de los usuarios en la utilización de recursos, es necesario implementar un esquema que permita establecer la certeza de la persona que usa el servicio esta autorizada para hacerlo. Definición de seguridad perimetral: Es necesario asegurarse que las personas sólo accedan a aquellos sistemas y servicios a los cuales tengan autorización, por lo cual debe diseñarse un esquema de seguridad para la red que cumpla esto y al mismo tiempo que no afecte el desempeño de la misma. A su vez el esquema de seguridad perimetral permitirá mitigar muchos riesgos asociados a las conexiones con redes públicas como Internet, redes WAN internas o de proveedores de servicio. Folio/Catálogo/ Página 22

23 Definición de conectividad segura: Las conexiones con otras redes y las conexiones acceso remoto se han convertido en un requisito para el intercambio de información. Se pretende implementar un esquema de conexión adecuado, de tal forma que no se viole la confidencialidad, integridad y disponibilidad de la información sobre las redes de datos de la Universidad del Valle. Definición de esquema de monitoreo: El monitoreo proactivo de la seguridad permite identificar ataques y remediar vulnerabilidades presentes en los sistemas antes de que estos ocurran. El tener un esquema de monitoreo efectivo es una ventaja para cualquier organización para mitigar los riesgos de seguridad de la información. Definición de administración centralizada. Se busca con este trabajo definir una proyección óptima del esquema de seguridad de la información que posee actualmente la Universidad del Valle, para que de acuerdo a las políticas de seguridad definidas se especifiquen los niveles de seguridad que deben ser implementados a futuro trabajando diferentes fases de implementación de acuerdo a los requerimientos de seguridad identificados. El PROPONENTE deberá entregar el diseño que contiene todos los ítems descritos para la implementación en la red, con sus características y la descripción técnica de la función de cada uno de ellos en la arquitectura propuesta y las interacciones que existen entre los elementos de la arquitectura. El PROPONENTE deberá entregar el diseño de requerimientos de los equipos necesarios para la implementación de la arquitectura de seguridad solicitada en estos pliegos, de acuerdo a las necesidades del cliente y basados en los estándares técnicos recomendados independiente de marcas en el mercado. Para esto se deberán definir cantidades, características y descripción de cada una de los elementos requeridos. En este sentido el proponente debe indicar los proyectos de seguridad y tecnología que debe llevar a cabo la Universidad del Valle en el corto, mediano y largo plazo DEFINICIÓN DE POLÍTICAS DE SEGURIDAD. El proponente deberá llevar a cabo la consultoría requerida para poder identificar los objetivos y los requerimientos corporativos con relación a la creación de las políticas, normas y procedimientos de seguridad para la Universidad del Valle, junto con sus oportunidades de mejoramiento y definir estas de acuerdo a las mejores prácticas, con base en las normas ISO17799:2005 y ISO/IEC

24 Mínimo solicitado Cumple (SI / NO) Revisión de las políticas de seguridad que poseen en la actualidad la Universidad del Valle, para identificar su aplicabilidad actual y debilidades de acuerdo a las nuevas necesidades. Definición de la política de seguridad corporativa y definición de los objetivos de las políticas de seguridad. Folio/Catálogo/ Página El PROPONENTE deberá definir las Políticas que reflejen las necesidades de seguridad de la información para la Universidad del Valle, así como tener en cuenta todos los requerimientos de seguridad de la información del Estado Colombiano e internacionales y que por ley deberían ser tenidos en cuenta. Los dominios mínimos sobre los cuales el proponente deberá desarrollar las políticas de primer nivel, con base en las normas ISO/IEC e ISO17799:2005, son los siguientes: 1.Política de Seguridad 2.Organización de la seguridad de la información 3.Gestión de activos 4.Seguridad de los recursos humanos 5.Seguridad física y del entorno 6.Gestión de las comunicaciones y operaciones 7.Control de Acceso 8.Adquisición, desarrollo y mantenimiento de sistemas de información 9.Gestión de los incidentes de seguridad de la información 10.Gestión de la continuidad del negocio. 11.Cumplimiento. Desarrollo de la DA (declaración de aplicabilidad) la cual contendrá una lista de todos los controles identificados en el anexo A de la norma ISO/IEC 27001:2005, junto con la declaración de si aplica o no dicho control a la Universidad del Valle, para los controles que aplique se describirá y se justificará brevemente como se aplica y los procedimientos y políticas que apoyan el control. Definición del proceso de control de documentos del manual de políticas, en cuanto: aprobación, revisión, actualización, manejo de versiones, identificación, distribución. El PROPONENTE deberá definir la estructura de seguridad a lo largo y ancho de la Institución que debe incluir las responsabilidades directas e indirectas de los funcionarios en seguridad de la información (Se deben definir específicamente: cantidad de personal, perfil, rol, funciones y responsabilidades). El PROPONENTE debe hacer entrega de toda la documentación en donde quede plasmado el producto de todas las actividades exigidas en los presentes pliegos, además debe generar los 24

25 siguientes entregables: Documento de políticas de Seguridad de la información (De acuerdo a los requerimientos exigidos en estos pliegos) Informe de revisión de las políticas de seguridad que poseen en la actualidad la Universidad del Valle. Política de seguridad corporativa, objetivos de las políticas para gestión de la seguridad. Declaración de aplicabilidad. Proceso de control de documentos y de control de registros OBJETIVOS ESPECIFICOS DEL TEST DE INTRUSION El PROPONENTE debe aceptar y cumplir con cada uno de los siguientes requerimientos: Mínimo solicitado El PROPONENTE deberá proporcionar lo equipos de cómputo necesarios para la realización de las pruebas. El PROPONENTE diligenciará las actas donde conste el inicio y terminación de cada una de las pruebas. El PROPONENTE debe presentar un listado de las herramientas que serán utilizadas para la ejecución de las pruebas y la correspondiente explicación de su propósito. El PROPONENTE debe usar herramientas licenciadas o libres de código abierto, según lista previa proporcionada por el PROPONENTE. El funcionario asignado por la organización revisará que sólo estén instaladas las herramientas indicadas por el PROPONENTE. Para el inicio de cada prueba la Organización entregará la información necesaria de cada equipo que se incluirán en el test. El PROPONENTE comunicará al funcionario asignado por la Organización, el inicio y finalización de cada prueba, así como cualquier eventualidad presentada durante las pruebas y consultará previamente la ejecución de procesos críticos con el objeto de evitar afectar la disponibilidad de los servicios. Las vulnerabilidades de carácter crítico deberán ser comunicadas de manera inmediata para que su corrección sea coordinada por el funcionario de la Organización. El PROPONENTE realizará una presentación a nivel estratégico de los resultados de las pruebas realizadas y sus hallazgos. El PROPONENTE debe realizar pruebas de intrusión tanto internas como externas. Las pruebas realizadas por el PROPONENTE deben ser de carácter no intrusivo e intrusivo. Las pruebas a realizar deben evaluar tanto las redes inalámbricas, como las redes cableadas y de igual manera los servidores y aplicaciones considerados por la Universidad del Valle como Cumple (SI / NO) Folio/Catálogo/ Página 25