FEDERACIÓN COLOMBIANA DE MUNICIPIOS DIRECCIÓN NACIONAL SIMIT. PROCESO DE SELECCIÓN No. 011 DE 2015 CONCURSO DE MÉRITOS

Transcripción

1 FEDERACIÓN COLOMBIANA DE MUNICIPIOS DIRECCIÓN NACIONAL SIMIT PROCESO DE SELECCIÓN No. 011 DE 2015 CONCURSO DE MÉRITOS Proyecto de Pliego de Condiciones OBJETO: Prestar a la Federación Colombiana de Municipios - Dirección Nacional Simit, sus servicios de consultoría, en el Sistema de Gestión de Seguridad de la Información (SGSI) para el Sistema Integrado de Información Sobre Multas y Sanciones por Infracciones de Tránsito Simit Bogotá D.C., junio de 2015 Página 1 de 52

2 INSTRUCCIONES Y RECOMENDACIONES PREVIAS La Federación Colombiana de Municipios Dirección Nacional Simit, recomienda a los oferentes que antes de elaborar y presentar sus propuestas, tengan en cuenta lo siguiente: 1. Verificar que no se encuentren dentro de las causales de inhabilidad e incompatibilidad o prohibición constitucional para contratar. 2. Examinar rigurosamente el contenido del Pliego de Condiciones, los documentos que hacen parte del mismo y las normas que regulan la contratación administrativa con Entidades del Estado. (Ley 80 de 1993, Ley 1150 de 2007, Decreto 1082 de 2015 y demás normas complementarias que modifiquen o adicionen y con arreglo a los principios consagrados en el artículo 209 de la Constitución Política, en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo, las disposiciones del Código Civil y Código de Comercio que le sean aplicables). 3. Adelantar oportunamente los trámites tendientes a la obtención de los documentos que deben allegar con las propuestas, y verificar que contienen la información completa que acredita el cumplimiento de los requisitos exigidos, en la Ley y en el presente pliego de condiciones. 4. Examinar que las fechas de expedición de los documentos se encuentren dentro de los plazos exigidos en el Pliego de Condiciones. 5. Cerciorarse de que cumple las condiciones y reúne los requisitos aquí señalados. 6. Suministrar toda la información requerida a través del Pliego de Condiciones, en el orden correspondiente. 7. Diligenciar totalmente los formatos contenidos en el Pliego de Condiciones. 8. Verificar cuidadosamente que se anexe la totalidad de los documentos exigidos y revisar que estén vigentes, debidamente firmados, sin enmendaduras y ordenados en el orden señalado para facilitar su ubicación y revisión. 9. Tener presente la fecha y hora previstas para el cierre del presente proceso, en ningún caso se recibirán por fuera del tiempo previsto. Página 2 de 52

3 CAPÍTULO I 1. DE LAS CONDICIONES GENERALES 1.1. OBJETO Prestar a la Federación Colombiana de Municipios - Dirección Nacional Simit, sus servicios de consultoría, en el Sistema de Gestión de Seguridad de la Información (SGSI) para el Sistema Integrado de Información Sobre Multas y Sanciones por Infracciones de Tránsito Simit ALCANCE DEL OBJETO El objeto del presente proceso está enfocado al fortalecimiento del Sistema de Gestión de Seguridad de la Información (SGSI) en la Federación Colombiana de Municipios Dirección Nacional Simit. El cual abarca los siguientes aspectos: a) acompañamiento especializado a la institución en el logro de sus objetivos particulares en seguridad de la información. Capacitando, concientizando y sensibilizando a los funcionarios de la Federación Colombiana de Municipios Dirección Nacional Simit. b) Suministrar un encargado de la seguridad en sitio (CISO) el cual prestará sus servicios como experto en Seguridad de la información (SGSI) en la Dirección Nacional del SIMIT. c) Identificación de vulnerabilidades en los sistemas de información de la Federación Colombiana de Municipios a través del Hacking Ético creando mecanismos de remediación que se deben aplicar a las vulnerabilidades encontradas. d) Asesorar y apoyar permanentemente a la Federación Colombiana de Municipios Dirección Nacional Simit en Seguridad de la información como lo es el Ethical Hacking, Fraudes electrónicos, Análisis Forense, buenas prácticas de TI y atención de incidentes. Todo enfocado al fortalecimiento del Sistema de Gestión de Seguridad de la Información (SGSI). Página 3 de 52

4 DESCRIPCIÓN DE ASPECTOS DEL ALCANCE DEL OBJETO Identificación de vulnerabilidades El contratista al iniciar el apoyo estratégico, debe realizar dos (2) Ethical Hacking externo, haciendo un reconocimiento de la visibilidad de los sistemas desde el exterior (tarea que debe ser autorizada previamente y más abajo se detalla). Comenzando por recopilar información sobre la Federación Colombiana de Municipios y sobre los sistemas informáticos de los que esta dispone. Este análisis debe permitir conocer qué tipo de información muestra la institución al exterior y puede ser accesible por cualquiera. Se debe adicionalmente realizar un Ethical Hacking interno contemplando la metodología OWASP Capacitación, concientización y sensibilización Entregar para la aprobación de la Federación Colombiana de Municipios Dirección Nacional Simit un plan de sensibilización en seguridad de la información. Una vez aprobado dará ejecución al mismo, basado en los resultados obtenidos a partir de la ejecución de los anteriores objetivos. Debe darse 1 capacitación en la vigencia del contrato Asesoría permanente Durante el plazo de ejecución del contrato se debe asesorar sin límite de horas en los siguientes temas: Análisis Forense Digital: Aplicación de técnicas científicas y analíticas especializadas a infraestructura tecnológica que permitan identificar, preservar, analizar y presentar datos que sean válidos dentro de un proceso legal. Dichas técnicas deben incluir reconstruir el bien informático, examinar datos residuales, autenticar datos y explicar las características técnicas del uso aplicado a los datos y bienes informáticos. Ethical Hacking: es una disciplina de la seguridad informática que se sustenta en que la mejor forma de evaluar las amenazas que representan los llamados hackers o piratas de la información. Este esquema es similar a tener un auditor verificando los libros del contratista. En el caso de seguridad de computadoras, los hackers éticos usarán las mismas herramientas y técnicas que utilizan los Página 4 de 52

5 intrusos. Ellos están en capacidad de reportar las vulnerabilidades que encuentren y la forma de remediarlas. Atención de incidentes y fraudes: un equipo de atención de incidentes es aquel que coordina y soporta la respuesta a un incidente de seguridad que involucra y actúa en las áreas formalmente constituidas por la organización. Esto es, el grupo de usuarios, sitios, redes u organizaciones a los cuales prestará sus servicios profesionales el oferente. Recomendando mejores prácticas a la entidad contemplando los siguientes temas: Pérdida de confidencialidad de la información, Compromiso de la integridad de la información, Negación del servicio, Indebida utilización de servicios, sistemas o información y daño a los sistemas IDENTIFICACIÓN DEL CONTRATO A CELEBRAR: El contrato a celebrar resultado del presente proceso de selección será un contrato de consultoría CLASIFICADOR UNSPSC Los proponentes podrán acreditar que se encuentran clasificados en el Registro Único de Proponentes RUP en el siguiente código: Clasificación Grupo Segmento Familia Clase Productos UNSPSC Servicios Servicios de Servicios de Servicios de Seguridad de gestión, servicios asesoría de consultoría de los profesionales de gestión negocios y computadores, empresa y administración redes o internet servicios administrativos corporativa Nota: No será causal de rechazo si el oferente no acredita que se encuentra clasificado en los anteriores códigos CONSULTA DE LOS DOCUMENTOS DEL PROCESO Los interesados en participar en el presente proceso de selección, pueden consultar los pliegos de condiciones y demás documentos relativos al proceso de selección a través del Portal Único de Contratación y/o en la página web de la Federación y Igualmente se establece como dirección: Federación Colombiana de Municipios Dirección Nacional Simit, Página 5 de 52

6 Carrera 7 No /64 piso 18 en Bogotá D.C., Jefatura de Asuntos Jurídicos Públicos, el buzón de correo electrónico; licitacionpublica@fcm.org.co, fax y PBX , extensión 1086, 1090 Las comunicaciones o solicitudes referentes al proceso de selección deberán radicarse por escrito en la ventanilla única de la Federación Colombiana de Municipios, con indicación expresa del nombre y número del proceso de selección, dirigida a la Jefatura de Asuntos Jurídicos Públicos de la Dirección Nacional Simit, oficina que canalizará la comunicación con los oferentes y la Federación; o podrán remitirse al correo electrónico dispuesto para tal efecto. Las solicitudes se responderán de manera expresa y serán publicadas en la página y/o COMPROMISO ANTICORRUPCIÓN En todas las actuaciones derivadas de los términos del presente proceso de selección y el contrato que forma parte del mismo, el proponente obrará con la transparencia y la moralidad que la Constitución Política y las leyes ordenan. En caso de que la Federación Colombiana de Municipios Dirección Nacional Simit, advierta hechos constitutivos de corrupción de parte de un proponente durante el proceso de selección, sin perjuicio de las acciones legales a que hubiere lugar, podrá rechazar la respectiva propuesta. Si los hechos constitutivos de corrupción tuvieren lugar durante la ejecución del contrato, tales circunstancias podrán dar lugar a la declaratoria de caducidad, de conformidad con las reglas previstas para el efecto en la Ley y en el respectivo contrato PARTICIPACIÓN CIUDADANA En cumplimiento de lo dispuesto en el artículo 66 de la Ley 80 de 1993, se convoca públicamente a las veedurías ciudadanas que estén interesadas en realizar control social al presente proceso de selección, a fin que de considerarlo procedente formulen las recomendaciones escritas necesarias, encaminadas a buscar la eficiencia institucional. 2. MODALIDAD DE SELECCIÓN DEL CONTRATO Y SU JUSTIFICACIÓN El artículo 2 de la Ley 1150 de 2007 adicionado por el artículo 94 de la Ley 1474 de 2011, señala que la escogencia de la oferta más favorable para la entidad, se efectuará con arreglo a las modalidades de selección de licitación pública, Página 6 de 52

7 selección abreviada, concurso de méritos, mínima cuantía y contratación directa. En el numeral 1 del citado artículo 2 de la Ley 1150 de 2007, se establece que por regla general la escogencia del contratista, se efectuará a través de licitación pública, con las excepciones que señalan en los numerales 2, 3 y 4, es decir, selección abreviada, concurso de méritos y contratación directa. En el numeral 3 del citado artículo 2 de la Ley 1150 de 2007, modificado por el artículo 219 del Decreto 019 de 2012, concordante con el artículo del Decreto 1082 de 2015, se establece que la modalidad de contratación prevista para la selección de consultores, es el concurso de méritos. El numeral 2 del artículo 32 de la Ley 80 de 1993 define el contrato de consultoría, así: 2. Son contratos de consultoría los que celebren las Entidades estatales referidos a los estudios necesarios para la ejecución de proyectos de inversión, estudios de diagnóstico, prefactibilidad o factibilidad para programas o proyectos específicos, así como a las asesorías técnicas de coordinación, control y supervisión. En lo que se refiere a la selección de consultores el numeral 4 del artículo 5 de la Ley 1150 de 2007, establece: En los procesos para la selección de consultores se hará uso de factores de calificación destinados a valorar los aspectos técnicos de la oferta o proyecto. De conformidad con las condiciones que señale el reglamento, se podrán utilizar criterios de experiencia específica del oferente y del equipo de trabajo, en el campo de que se trate. En ningún caso se podrá incluir el precio, como factor de escogencia para la selección de consultores. El objeto del proceso de selección que se adelantará, es el siguiente: Prestar a la Federación Colombiana de Municipios - Dirección Nacional Simit, sus servicios de consultoría, en el Sistema de Gestión de Seguridad de la Información (SGSI) para el Sistema Integrado de Información Sobre Multas y Sanciones por Infracciones de Tránsito Simit. Por comprender una consultoría, la modalidad de selección aplicable para la escogencia de la oferta más favorable es el concurso de méritos por el sistema abierto o sin precalificación, atendiendo a que no se trata de una consultoría compleja. Página 7 de 52

8 3. PRESUPUESTO OFICIAL ESTIMADO 3.1. JUSTIFICACIÓN El presupuesto oficial estimado para la ejecución del contrato que se derive del presente proceso de selección, con cargo al presupuesto de inversión para la vigencia fiscal de 2015, asciende a la suma de SEISCIENTOS CINCUENTA MILLONES DE PESOS M/CTE ($ oo), incluido IVA, el cual se encuentra respaldado por el certificado expedido de disponibilidad presupuestal N expedido el 09 de febrero del 2015, por la Dirección Administrativa y Financiera. Para determinar el valor estimado del contrato se tuvo en cuenta las actividades encaminadas al cumplimiento del mismo, tales como el trabajo a desarrollar, el grado de complejidad de los asuntos y temas que serán manejados por el contratista que preste los servicios de asesoría, las obligaciones de aquél, el plazo de ejecución y la experiencia con los que debe contar el contratista para cubrir la necesidad de la Federación. Adicionalmente el valor es consecuente con la experiencia, idoneidad, estudios y los conocimientos especializados en seguridad de la información que exige la entidad y está dentro del margen de la media de precios del mercado. Así mismo, el presente proceso está previsto en el plan anual de adquisiciones de la vigencia 2015 con el número El valor del contrato deberá cubrir todos los impuestos que deba asumir el contratista, así como los demás gastos directos e indirectos, inherentes que el oferente considere necesarios para cumplir a satisfacción el objeto del contrato. 4. CRONOGRAMA DEL PROCESO DE SELECCIÓN ACTIVIDAD FECHA LUGAR Publicación del aviso de convocatoria y proyecto de pliego de condiciones. Observaciones al 19 de junio de SECOP y Página Web de la Federación Colombiana de Municipios y Federación Colombiana de Municipios Carrera 7 No Piso 18 de Bogotá. Página 8 de 52

9 proyecto de pliego de condiciones Del 22 al 26 de junio de y/o correo electrónico Respuesta a las observaciones del proyecto de pliego. Del 22 al 30 de junio de SECOP y Página Web de la Federación Colombiana de Municipios y Expedición acto administrativo de apertura del proceso de selección y publicación del pliego de condiciones definitivo. 01 de julio de 2015 SECOP y Página Web de la Federación Colombiana de Municipios y Término para expedir adendas. 03 de julio de SECOP y Página Web de la Federación Colombiana de Municipios y Cierre del proceso Hasta las 4:00 p.m del 07 de julio de Federación Colombiana de Municipios Carrera 7 No Piso 18 de Bogotá D.C. Ventanilla única. Evaluación de las Ofertas Publicación del informe de evaluación Del 08 al 13 de julio de El 14 de julio de Comité evaluador designado. SECOP y Página Web de la Federación Colombiana de Municipios y Traslado del informe de evaluación. Del 15 al 17 de julios de Adjudicación 22 de julio de SECOP y Página Web de la Federación Colombiana de Municipios y SECOP y Página Web de la Federación Colombiana de Municipios y Página 9 de 52

10 Suscripción del Contrato Publicación del Contrato Dentro de los 3 días hábiles siguientes a la adjudicación. Dentro de los tres (3) días, siguientes a la suscripción. Federación Colombiana de Municipios Dirección Nacional Simit Carrera 7 No Piso 10 de Bogotá. SECOP y Página Web de la Federación Colombiana de Municipios. y 5. REQUISITOS HABILITANTES 5.1. CRITERIOS DE SELECCIÓN REFERIDOS A CONDICIONES Y CALIDADES DE LOS PROPONENTES Requisitos habilitantes del proponente De conformidad con lo dispuesto en el numeral 1 del artículo 5 de la Ley 1150 de 2007, y el artículo del Decreto 1082 de 2015, la capacidad jurídica, la capacidad financiera y de organización de los proponentes serán objeto de verificación de cumplimiento como requisitos habilitantes para la participación en el proceso de selección y no otorgarán puntaje, salvo lo dispuesto para el concurso de méritos en el numeral 4 del artículo 5 de la Ley 1150 de Verificación Criterio Resultado Capacidad jurídica Verificación de los requerimientos jurídicos Cumple/No cumple Condiciones de experiencia Verificación de los requerimientos de Cumple/No cumple experiencia Capacidad financiera Verificación de los requerimientos financieros Cumple/No cumple Capacidad de organización Verificación de los requerimientos de Cumple/No cumple organización Página 10 de 52

11 Capacidad jurídica A fin de verificar la capacidad jurídica de los proponentes, para llevar a cabo las actividades que se deriven de los ofrecimientos hechos a la entidad, se deberán allegar los siguientes documentos: Carta de presentación de la propuesta. La carta de presentación de la propuesta se diligenciará conforme al modelo y será firmada por el representante legal o apoderado del proponente, con facultad expresa de actuar en nombre y representación del mismo. Si la propuesta es presentada por unión temporal o consorcio, deberá venir suscrita por el representante legal, debidamente facultado en los términos de ley. Representación legal. El Certificado de Registro Único de Proponentes, expedido por la respectiva Cámara de Comercio dentro de los sesenta (60) días calendario anteriores a la fecha de presentación de la propuesta. El registro debe encontrarse en firme, para el momento del cierre del proceso de selección. En caso de que en el Registro Único de Proponentes no pueda verificarse el objeto social, salvo para el caso de las Sociedades por Acciones Simplificadas SAS-, deberá aportarse el Certificado de la Cámara de Comercio sobre existencia, reformas y representación legal, con fecha de expedición no superior a 30 días calendario anteriores a la fecha de cierre del proceso, en el cual conste que dentro de su objeto social se contemplan las actividades o servicios que son materia del presente proceso, y que su duración no podrá ser inferior al plazo del contrato y tres años más. Igual duración deberá acreditar cada uno de los miembros del consorcio o unión temporal. La entidad consultará en los sistemas de información de las entidades encargadas, los antecedentes judiciales, disciplinarios y fiscales del representante legal y de la persona jurídica que representa. Cuando se trate de consorcios o uniones temporales, la consulta por parte de la entidad se efectuará sobre cada uno de los integrantes. (Representante legal y persona jurídica). Cuando el monto de la propuesta fuere superior al límite autorizado al Representante Legal, el oferente deberá anexar la correspondiente autorización impartida por la Junta de Socios, o el estamento de la sociedad que tenga esa función, y que lo faculte específicamente para presentar la Página 11 de 52

12 propuesta en este proceso de selección y celebrar el contrato respectivo, en caso de resultar seleccionado. Si la propuesta se presenta a nombre de una Sucursal, se deberá anexar los certificados tanto de la Sucursal como de la Casa Principal. Las personas jurídicas extranjeras deberán acreditar mediante documento idóneo expedido por la Cámara de Comercio o la entidad quien haga sus veces en el país respectivo validado en Colombia, su existencia, el nombre o razón social, facultades del representante legal, objeto social y vigencia. El proponente extranjero deberá acreditar que tiene legalmente constituida una sucursal en el territorio nacional o un apoderado domiciliado en Colombia, con facultad para presentar ofertas y para suscribir el contrato en el evento de resultar favorecido en la adjudicación del contrato, así como para representarlo judicial y extrajudicialmente. Los proponentes extranjeros que no tengan sucursal en el país deben acreditar un apoderado autorizado para representarlos judicial y extrajudicialmente. Los documentos para acreditar las condiciones del proponente deberán cumplir con las condiciones y exigencias del país de origen. Documento de conformación del consorcio o unión temporal. Si la oferta es presentada por una unión temporal o un consorcio, se deberá anexar el documento suscrito por sus integrantes (formatos adjuntos según aplique), en el cual se demuestre el estricto cumplimiento a lo establecido en el artículo 7º de la Ley 80 de 1993, donde, entre otros, se debe: a. Indicar en forma expresa si su participación es a título de unión temporal o consorcio. b. Designar la persona, que para todos los efectos, representará la unión temporal o el consorcio. c. Señalar las reglas básicas que regulen las relaciones entre los miembros de la unión temporal o el consorcio y sus respectivas responsabilidades, conforme a lo señalado en el parágrafo 1º del artículo 7º de la Ley 80 de d. Señalar en forma clara y precisa, en el caso de la unión temporal, los términos y extensión de la participación en la propuesta y en su Página 12 de 52

13 ejecución, las obligaciones y responsabilidades de cada uno en la ejecución del contrato. e. La duración del consorcio o unión temporal, no deberá ser inferior a la duración del contrato y un (1) año más. f. Debe tenerse en cuenta que quienes se presenten como consorcios o uniones temporales no podrán participar como persona jurídica individual, ni podrán ceder internamente su participación en caso de que sea aceptada su oferta. Certificado de inscripción, clasificación y calificación en el registro único de proponentes. Los proponentes deberán acreditar su inscripción en el RUP, en las siguientes clasificaciones, de acuerdo a lo dispuesto en el artículo y del Decreto 1082 de 2015, así: Clasificación UNSPSC Servicios Grupo Segmento Familia Clase Productos Servicios de gestión, servicios profesionales de empresa y servicios administrativos Servicios de asesoría de gestión Servicios de consultoría de negocios y administración corporativa Seguridad de los computadores, redes o internet Nota: No será causal de rechazo si el oferente no acredita que se encuentra clasificado en los anteriores códigos. Compromiso de transparencia. El proponente deberá aportar junto con su propuesta, el compromiso de transparencia debidamente diligenciado. En caso de consorcio o unión temporal esta declaración deberá estar suscrita por cada uno de los integrantes que lo conforman. Ver Anexo No. 3. Documentos adicionales. De la misma forma los proponentes deberán adjuntar los siguientes documentos: Fotocopia de la cédula de ciudadanía del representante legal. Página 13 de 52

14 Copia del Registro Único Tributario RUT expedido por la DIAN, actualizado con las nuevas actividades económicas. Certificación expedida por el revisor fiscal en los casos que aplique de acuerdo con los requerimientos de ley, o por el representante legal, en donde conste que durante los últimos seis (6) meses anteriores a la fecha del cierre del presente proceso de selección, han pagado los aportes al sistema de seguridad social integral. Formato Único de Hoja de Vida de la Función Pública para personas jurídicas. Nota: Cada uno de los proponentes de manera individual, y cada uno de los miembros de un Consorcio o Unión Temporal deberán presentar individualmente los documentos anteriormente relacionados. Original de la garantía de seriedad de la propuesta con sus condiciones generales. Para cubrir la sanción derivada del incumplimiento de la oferta, en los eventos previstos en el artículo del Decreto 1082 de 2015, el proponente debe constituir y entregar junto con la propuesta, una garantía de seriedad de la oferta. De conformidad con lo establecido en el artículo del Decreto 1082 de 2015, los oferentes podrán otorgar como mecanismos de cobertura una de las siguientes garantías: - Contrato de seguro contenido en una póliza. - Patrimonio autónomo. - Garantía bancaria. Para evaluar la suficiencia de la garantía se aplicarán las reglas establecidas en el artículo del referido Decreto 1082 de 2015, así: En el caso de que el oferente opte por una póliza de seguros, debe allegar garantía de seriedad de la propuesta, la cual debe constituirse de la siguiente manera: Beneficiario: Federación Colombiana de Municipios Dirección Nacional Simit, NIT Afianzado: El oferente. Página 14 de 52

15 Vigencia: Sesenta (60) días calendario contados a partir de la fecha de cierre del concurso de méritos. Cuantía: El equivalente al 10% del valor total estimado para la contratación de la suma de SEISCIENTOS CINCUENTA MILLONES DE PESOS ($ oo) IVA incluido. A la propuesta deberá anexarse el original de la correspondiente póliza debidamente firmada por el proponente; la póliza debe estar referida expresamente al presente proceso de concurso de méritos. Si la oferta se presenta bajo la modalidad de consorcios y uniones temporales, la garantía de seriedad de la propuesta deberá ser otorgada por todos los integrantes del proponente plural. En caso de prorrogarse el plazo del proceso, el proponente deberá mantener vigentes todos los plazos y condiciones originales de su propuesta y ampliar la validez de la garantía de seriedad por el término adicional que señale la Federación Colombiana de Municipios Dirección Nacional Simit. En caso de presentarse garantía bancaria, esta deberá tener la siguiente leyenda: La presente garantía será pagada por el garante dentro de los treinta (30) días siguientes a la fecha del acto administrativo que declare el incumplimiento del oferente. La suficiencia de esta garantía será verificada por la entidad contratante al momento de la evaluación de las propuestas. Póliza de responsabilidad civil profesional errores y omisiones. Junto con la propuesta el proponente deberá presentar póliza vigente de responsabilidad civil profesional, por medio de la cual se cubren los posibles perjuicios patrimoniales provenientes de la responsabilidad civil profesional en que incurra el intermediario como consecuencia de los actos negligentes, errores u omisiones cometidos en desarrollo de su actividad como prestadores de servicios en Seguridad de la Información. Cuando la oferta se presente bajo la modalidad de Consorcio o Unión Temporal, cada uno de los integrantes deberá adjuntarla. Página 15 de 52

16 5.1.2 Experiencia específica mínima Con el fin de garantizar que el oferente cuenta con experiencia específica relevante y suficiente que le permita cumplir con el objeto del contrato que se pretende celebrar mediante el presente proceso de selección, deberá acreditar que cuenta con la experiencia a través de las siguientes certificaciones: a) Experiencia especifica de dos (2) años en fortalecimiento de Sistemas de Gestión de Seguridad de la Información (SGSI) y/o Asesoramiento en Sistemas de Gestión de Seguridad de la Información y/o Análisis o descubrimiento de Vulnerabilidades y/o Análisis de Riesgos. b) Las certificaciones deben corresponder a contratos celebrados y en ejecución durante los últimos cuatro (4) años. c) Para demostrar la experiencia específica, deberá presentar hasta cinco (5) contratos certificados cuya sumatoria en valor sea igual o superior al treinta por ciento (30%) del presupuesto establecido para el presente proceso de selección. Las anteriores certificaciones deberán ser expedidas por la entidad contratante, y deberán contener como mínimo los siguientes datos: Nombre o razón social de la entidad que certifica, dirección, teléfono, nombre y cargo de quien expide la certificación. Objeto del contrato Fecha de suscripción o iniciación del contrato Plazo Fecha de terminación Valor del contrato Nota 1: Sin perjuicio de las certificaciones solicitadas por la entidad para verificar requisitos puntuales de los contratos, la experiencia que se acredite por el oferente, deberá constar en el RUP. Nota 2: Para todos los proponentes: Las certificaciones podrán sumar en conjunto la experiencia mínima requerida. Página 16 de 52

17 Reglas sobre la experiencia Cuando los proponentes participantes en el presente proceso de selección, hayan hecho parte de algún consorcio o unión temporal que haya ejecutado el contrato, la certificación para acreditar la experiencia obtenida en dicho contrato, debe discriminar claramente el porcentaje de participación en el mismo; de no hacerlo, se dividirá el valor del contrato por el número de integrantes del respectivo consorcio o unión temporal que ejecutó el contrato. En cuanto a personas jurídicas extranjeras, la sumatoria de la experiencia especifica se contará a partir de la fecha de constitución de la empresa (esta información será tomada del documento que acredite la existencia y representación legal de la empresa o del documento que permita corroborar tal información, expedido por el organismo y/o autoridad competente del país de origen de la misma). Consideraciones en relación con las certificaciones que acreditan la experiencia del proponente. En relación con las certificaciones que acreditan la experiencia, el proponente debe tener en cuenta los siguientes aspectos: 1. No se tendrán en cuenta auto certificaciones, ni copias de minutas de contratos. 2. Las copias de contratos, actas de liquidación, referencias comerciales, etc., se aceptarán como documentos aclaratorios de las certificaciones de experiencia presentadas y no como documentos presentados para acreditar la información exigida en las mismas. 3. Todos los documentos otorgados en el exterior para acreditar lo dispuesto en este numeral, deberán presentarse legalizados en la forma prevista en el artículo 251 del Código General del Proceso y el artículo 480 del Código de Comercio. Si se tratare de documentos expedidos por autoridades de países miembros del Convenio de La Haya de 1961, se requerirá únicamente de la Apostille. 4. Para efectos de la acreditación de la experiencia no se tendrán en cuenta subcontratos, los contratos válidos para acreditar la experiencia serán aquellos suscritos entre el ente y/o persona contratante y el oferente (contratista de primer orden), cualquier otra derivación de estos se entenderá para efectos del proceso como subcontrato. Página 17 de 52

18 5. Para las certificaciones presentadas en moneda extranjera se calculará el valor a la Tasa Representativa del Mercado (TMR) vigente a la fecha de suscripción del contrato que se certifica. 6. El Comité evaluador designado se reserva el derecho de verificar la información que suministre el proponente. En el caso de requerirse aclaraciones sobre los datos contenidos en las certificaciones, la Federación podrá solicitarlas al proponente por escrito Capacidad Financiera En concordancia con el numeral 6.1, del artículo 6 De la verificación de las condiciones de los proponentes de la Ley 1150 de 2007, las Cámaras de Comercio harán la verificación documental de la información presentada por los interesados al momento de inscribirse en el registro único de proponentes - RUP, el cual será plena prueba de las circunstancias que en él se hagan constar. Por lo tanto, la verificación de las condiciones establecidas en el numeral 1 del artículo 5, de la Ley 1150 de 2007, se demostrarán exclusivamente con el respectivo certificado del RUP. La información financiera acreditada para el proceso, corresponderá a la suministrada a la Cámara de Comercio para el Registro Único de Proponentes - RUP. Por lo anterior, el proponente deberá acreditar su capacidad financiera únicamente mediante la presentación del registro único de proponentes expedido por la Cámara de Comercio de su domicilio social en original o copia legible, donde debe estar actualizada la información financiera con corte a 31 de diciembre de La fecha de expedición del certificado debe ser de treinta (30) días calendario anterior a la fecha de presentación de la oferta. Para que la propuesta sea considerada hábil financieramente, se deben cumplir los siguientes indicadores: Indicadores Financieros - Índice de Liquidez: Se evaluará con la siguiente razón y deberá ser igual o mayor a 1, así: IL= Activo Corriente Página 18 de 52

19 Pasivo corriente Donde: IL= índice de liquidez AC= Activo Corriente PC= Pasivo Corriente IL= mayor o igual a 1.0 En el caso de Uniones Temporales o Consorcios, este indicador será el resultado de la suma de los activos corrientes de cada integrante multiplicado por su porcentaje de participación dividido entre la suma de los pasivos corrientes de cada integrante, multiplicado por su porcentaje de participación. IL = (AC 1 * % de participación) + (AC 2 * % de participación) (PC 1 * % de participación) + (PC 2 * % de participación) IL= mayor o igual a Indicador de Endeudamiento ET= PASIVO TOTAL/ACTIVO TOTAL X 100 = hasta el 83% Donde: ET= Endeudamiento Total En el caso de Uniones Temporales o Consorcios, este indicador será el resultado de la suma de los pasivos de cada integrante multiplicado por su porcentaje de participación dividido entre la suma de los activos totales de cada integrante, multiplicado por su porcentaje de participación. Endeudamiento = (PT 1 * % de participación*100) + (PT 2 * % de participación* 100) (AT 1 * % de participación) + (AT 2 * % de participación) Endeudamiento = hasta el 83% Página 19 de 52

20 - Razón de Cobertura de Intereses Dónde: RCI = UTILIDAD OPERACIONAL GASTOS DE INTERESES RCI= Cobertura de Intereses, mayor o igual a 1 UP= Utilidad Operacional GI= Gastos de Intereses En el caso de Uniones Temporales o Consorcios, este indicador será el resultado de la suma de la utilidad operacional de cada integrante multiplicada por su porcentaje de participación dividido entre la suma de los gastos de intereses de cada integrante, multiplicado por su porcentaje de participación. IL = RCI = mayor o igual a 1 (UP 1 % de participación) + (UP 2 % de participación) (GF 1 % de participación) + (GF 2 % de participación) Nota 1: Para los proponentes cuyo gasto de intereses sea igual a cero ($0), no será necesario calcular el indicador de razón de cobertura de intereses, ya que su resultado es indeterminado. En este caso, la Entidad habilitará al proponente frente al indicador de razón de cobertura de intereses, si su utilidad operacional es positiva, en caso contrario no será habilitado. Nota 2: Las propuestas presentadas bajo la modalidad de consorcio o unión temporal, deberán anexar la documentación solicitada para todos y cada uno de sus miembros. La Federación Colombiana de Municipios - Dirección Nacional Simit se reserva el derecho de solicitar documentos aclaratorios a los solicitados y de verificar la información suministrada por el proponente. Si la información presentada por el proponente no cumple con la capacidad financiera requerida en el presente pliego, no será habilitado financieramente en el proceso. Página 20 de 52

21 Registro Único Tributario El proponente debe allegar fotocopia del registro único tributario RUT, en el que indique a que régimen pertenece. En caso de consorcios y/o uniones temporales, cada uno de sus integrantes debe presentar este documento Capacidad Organizacional Conforme a lo establecido en el artículo del Decreto 1082 de 2015, los indicadores que miden el rendimiento de las inversiones y la eficiencia en el uso de activos del interesado son la rentabilidad del patrimonio y la rentabilidad del activo. La capacidad de organización del proponente nacional o extranjero con domicilio o sucursal en Colombia deberá ser: Rentabilidad del Patrimonio RENTABILIDAD DEL PATRIMONIO = UTILIDAD OPERACIONAL / PATRIMONIO = igual o superior a 0.28 Rentabilidad del Activo RENTABILIDAD DEL ACTIVO = UTILIDAD OPERACIONAL / ACTIVO TOTAL = igual o superior a 0.12 Las propuestas presentadas bajo la modalidad de consorcio o unión temporal, deberán anexar la documentación solicitada para todos y cada uno de sus miembros. El proponente extranjero debe adjuntar certificación del revisor fiscal o contador público, según corresponda, donde conste que el cálculo de los indicadores se realizó con la información fiel de los estados financieros a 31 de diciembre de 2014, detallando el cálculo y su resultado. Para la verificación de esta documentación se tendrá en cuenta los requisitos de validez de los documentos otorgados en el exterior. En relación con las personas jurídicas privadas extranjeras que no tengan establecida sucursal en Colombia para verificar la organización operacional exigida en el presente numeral, el proponente extranjero debe adjuntar certificación del revisor fiscal o contador público, según corresponda, donde conste que el cálculo de Página 21 de 52

22 los indicadores se realizó con la información fiel de los estados financieros a 31 de diciembre de 2014, detallando el cálculo y su resultado. Para la verificación de esta documentación se tendrá en cuenta los requisitos de validez de los documentos otorgados en el exterior. La Federación Colombiana de Municipios Dirección Nacional Simit se reserva el derecho de solicitar documentos aclaratorios a los solicitados y de verificar la información suministrada por el proponente. Nota 1: Las propuestas presentadas bajo la modalidad de consorcio o unión temporal, deberán anexar la documentación solicitada para todos y cada uno de sus miembros. Nota 2: Para el cálculo de los indicadores se sumará la certificación presentada por cada uno de los miembros del consorcio o unión temporal, multiplicada por su porcentaje de participación y del resultado se calculará el indicador respectivo para el año solicitado (2014). 5.2 CRITERIOS DE SELECCIÓN REFERIDOS A LA OFERTA Oferta económica La oferta económica no debe superar el presupuesto oficial estimado por la entidad para el presente proceso de selección. La propuesta económica deberá presentarse conforme al Formato No. 1 Propuesta Económica. La propuesta económica deberá incluir IVA, así como los costos directos, gastos administrativos, transporte, tasas y demás elementos que el oferente considere necesarios para cumplir a cabalidad con el objeto contratado. Adicionalmente todos los impuestos y retenciones que surjan del presente contrato correrán por cuenta del contratista, la Federación Colombiana de Municipios Dirección Nacional Simit hará las retenciones del caso y cumplirá con las obligaciones fiscales que ordene la ley. En caso de no incluir estos costos directos e indirectos, o no expresar que éstos se encuentran incluidos en el valor de la propuesta económica, se entenderán haciendo parte de dicho valor. Página 22 de 52

23 Metodología Los proponentes junto con la propuesta harán entrega de la metodología (s), guías, herramientas y tecnologías a utilizar en cada uno de los servicios de la consultoría, con su correspondiente descripción, componentes, alcance, cronograma, cargas y plan de trabajo Personal mínimo de trabajo Para el desarrollo de actividades y recomendaciones en el fortalecimiento del Sistema de Gestión de Seguridad de la Información (SGSI), se requiere la aplicación de conocimientos especializados en materia de seguridad de la información. Consultor en sitio (CISO): El CISO (Chief Information Security Officer, o director de seguridad de la información) debe ser un ejecutivo de alto nivel responsable de alinear las iniciativas de seguridad con los programas corporativos y los objetivos de negocio, garantizando que los bienes y tecnologías de la información estén adecuadamente protegidos. Sus deberes y responsabilidades en el acompañamiento estratégico deben ser: Recomendar políticas relacionadas con la seguridad de la información. Supervisar el cumplimiento normativo en materia de seguridad de la información. Garantizar la privacidad de los datos. Administrar al Equipo de Respuesta ante Incidentes de seguridad. Supervisar la administración de identidades y acceso. Establecer y supervisar la arquitectura de seguridad de la organización. Llevar a cabo el descubrimiento electrónico y las investigaciones forenses digitales. Página 23 de 52

24 Trabajar con los actores para establecer los planes de recuperación de desastres (DR) y continuidad del negocio. Por lo anterior y a efectos de determinar que los oferentes cuentan con personal calificado para satisfacer la necesidad de la entidad, se requiere que los oferentes cuenten con un encargado de la seguridad en sitio (CISO) el cual estará apoyado por un equipo de trabajo mínimo de tres personas. El equipo requerido debe acreditar que cuenta con la experiencia y certificaciones que se describe a continuación: Cantidad Perfil Director de Seguridad (CISO) Consultor ethical Hacking y análisis forense Consultor tecnología de la información y gestión de incidentes de seguridad Títulos y/o Certificaciones CISSP CEH, CHFI ITIL, ECIH Experiencia Cinco (5) años de experiencia específica en: definir políticas y procedimientos de seguridad de la información y/o implementación o fortalecimiento de (SGSI). Dos (2) años de experiencia en penetration tester, ethical hacker e investigador forense informático. Dos (2) años de experiencia en gestión de incidentes, con conocimiento de infraestructura de TI. 1 Profesional en seguridad de la información CISSP Cinco (5) años como auditor y/o implementador en sistemas de gestión de seguridad de la información. Para efectos de la verificación de la formación académica y experiencia antes señalada, los proponentes deberán tener en cuenta los siguientes requisitos: La certificacion ITIL debe ser emitida por un ente certificador reconocido en Colombia y avalada por un ente de acreditación Internacional. Página 24 de 52

25 Las certificaciones CEH, CISSP, ECIH y CHFI son certificaciones Internacionales validas en Colombia y el resto del mundo, y deben ser emitidas directamente por la entidad Internacional Emisora. Para la verificación de la experiencia de cada uno de los miembros del equipo mínimo de trabajo el proponente deberá presentar las respectivas certificaciones de experiencia, las cuales deberán incluir como mínimo Nombre o razón social del contratante Nombre o razón social del contratista Objeto del contrato Funciones u obligaciones desempañadas Fecha de iniciación (día, mes, año) y de terminación (día, mes, año) del contrato o plazo del contrato. Dirección y teléfono del contratante Firma e identificación (nombre) de la persona que suscribe la certificación Se acepta como equivalente a la certificación, copia de los contratos, siempre que se acompañen con la respectiva acta de liquidación, o de recibo final y de ellos se extracte la información antes señalada. NOTA 1: con el fin de contabilizar los años de experiencia, los tiempos traslapados solo se contaran una vez. NOTA 2: si la experiencia de los integrantes del equipo de trabajo ha sido adquirida con el oferente debe aportar los siguientes documentos. Copia de la certificación expedida por la firma contratista en mención, que acredite las funciones desarrolladas por el profesional como parte del equipo de trabajo para el mencionado contrato y los proyectos y empresas donde ha participado. Copia del contrato, en virtud del cual el profesional, presta o presto los servicios para la firma contratista. NOTA 3: no se tendrán en cuenta certificaciones expedidas por el profesional para sí mismo, ni cuentas de cobro o facturas. NOTA 4: dentro de la propuesta presentada, cada profesional se debe proponer para un solo rol so pena de rechazo de la misma. NOTA 5: En ningún caso se aceptará que alguno de los profesionales que componen el equipo de trabajo mínimo haya sido propuesto en el equipo Página 25 de 52

26 de trabajo de otro oferente. En ese caso SE RECHAZARÁN LAS PROPUESTAS en las cuales se haya presentado dicho profesional. Dedicación horaria del equipo de trabajo Cantidad Perfil Horas Mes 1 Director de Seguridad (CISO) Consultor ethical Hacking y Forense 96 1 Consultor Gestión de Incidentes de seguridad e IT 96 1 Profesional Seguridad de la información CONDICIONES TÉCNICAS Identificación de vulnerabilidades El proponente deberá contar con todos los sistemas (software y hardware) necesarios para realizar las pruebas de Ethical Hacking tanto internas como externas. Deberá garantizar que dichas pruebas no afectarán el funcionamiento del sistema ni de la infraestructura tecnológica de la Federación Colombiana de Municipios. Deberá contar con la autorización del supervisor del contrato para la fecha y hora de realización de cada prueba de Ethical Hacking. Realizar el análisis de vulnerabilidades para determinar las debilidades existentes de los servicios a nivel interno y externo, aplicando como mínimo las recomendaciones de la metodología OWASP Realizar la delimitación del perímetro y verificación de la red del Simit Evaluar la configuración de los firewalls, entre otros: Lista de acceso, análisis de los puertos y los servicios abiertos. Realizar prueba de intrusión en la red de área local (LAN) tanto alámbrica como inalámbrica y con base en esta determinar el estado actual de la infraestructura tecnológica. Realizar pruebas de Hacking Etico: Buffer-Overflows, descubrimiento de contraseñas a la fuerza, cracking de Página 26 de 52

27 contraseñas sobre cuentas privilegiadas de Base de Datos, secuestro de sesiones, errores en aplicaciones o configuraciones débiles, entre otras. Realizar pruebas de penetración en la IPs públicas con el fin de determinar el estado actual de la infraestructura tecnológica y la seguridad de su interconexión, para ello la consultoría podrá utilizar diferentes herramientas de ataque de todos los rangos públicos. Realizar análisis de vulnerabilidades en los host del Simit incluyendo como mínimo: Pruebas de patchlevel, de sistemas operativos y aplicaciones Pruebas de registro de Windows Pruebas de IDS-IPS (Intrusion Detection System-Intrusion Prevention System), Routers, Switches. Pruebas de Hosts y redes VPN Auditar prácticamente todo tipo de equipo Red, todo servicio TCP-UDP Escaneo de host virtuales Análisis externo e interno El oferente deberá entregar como producto de las pruebas realizadas como mínimo lo siguiente: Documento que contenga la metodología utilizada, resumen de actividades, principales hallazgos, conclusiones y recomendaciones. Documento técnico de seguridad. Que incluya como mínimo: o Descripción de las pruebas o Elemento evaluado o Listado de vulnerabilidades encontradas o Descripción de las vulnerabilidades y nivel de la criticidad. o Acciones de mitigación de las vulnerabilidades detectadas o Recomendaciones con el paso a paso para remediar cada vulnerabilidad. o Plan de acción para reducir las brechas encontradas Documento que contenga como mínimo: o Descripción de las tareas llevadas a cabo para cada una de las actividades o Información recopilada en el proceso o Conclusiones del estudio o Recomendaciones asociadas Capacitación, concientización y sensibilización Página 27 de 52

28 Previa iniciación ejecución del plan de sensibilización deberá contar con la aprobación de la Federación Colombiana de Municipios Dirección Nacional Simit. En caso de requerir logística o instalaciones externas, en ningún caso podrá trasmitir el costo de estas a la Federación Colombiana de Municipios. Todas las actividades que impliquen la asistencia de personal perteneciente a la Federación Colombiana de Municipios Dirección Nacional Simit deberá llevar un control de asistencia Realizar capacitaciones a un máximo de 100 funcionarios de la Federación Colombiana de Municipios Dirección Nacional Simit Asesoría Permanente El Oferente deberá asistir a las reuniones en que la Federación Colombiana de Municipios Dirección Nacional Simit considere necesario. Realizar la revisión de los documentos que la Federación Colombiana Municipios Dirección Nacional Simit. Entregar los documentos o conceptos técnicos relacionados a seguridad de la información que la entidad le solicite Atención de Incidentes y Fraudes Realizar acompañamiento a la respuesta a cualquier incidente de seguridad de las áreas de la entidad. Para acreditar el cumplimiento de las condiciones técnicas mínimas establecidas por la entidad el oferente deberá diligenciar el formato 2 Condiciones Técnicas, so pena de habilitarse. 6. CRITERIOS PARA SELECCIONAR LA OFERTA MÁS FAVORABLE En lo que respecta a la determinación de la oferta más favorable para la entidad, el artículo del Decreto 1082 de 2015 señala: Artículo Ofrecimiento más favorable. La entidad Estatal debe determinar la oferta más favorable teniendo en cuenta las normas aplicables a cada modalidad de selección del contratista Página 28 de 52

29 ( ). El numeral 1 del artículo 5 de la Ley 1150 de 2007 señala: La capacidad jurídica y las condiciones de experiencia, capacidad financiera y de organización de los proponentes serán objeto de verificación de cumplimiento como requisitos habilitantes para la participación en el proceso de selección y no otorgarán puntaje, con excepción de lo previsto en el numeral 4 del presente artículo. La exigencia de tales condiciones debe ser adecuada y proporcional a la naturaleza del contrato a suscribir y a su valor. La verificación documental de las condiciones antes señaladas será efectuada por las Cámaras de Comercio de conformidad con lo establecido en el artículo 6o de la presente ley, de acuerdo con lo cual se expedirá la respectiva certificación.(subrayado fuera de texto). El numeral 2 del artículo 5 de la Ley 1150 de 2007 señala: 2. <Numeral modificado por el artículo 88 de la Ley 1474 de El nuevo texto es el siguiente:> La oferta más favorable será aquella que, teniendo en cuenta los factores técnicos y económicos de escogencia y la ponderación precisa y detallada de los mismos contenida en los pliegos de condiciones o sus equivalentes, resulte ser la más ventajosa para la entidad, sin que la favorabilidad la constituyan factores diferentes a los contenidos en dichos documentos. En los contratos de obra pública, el menor plazo ofrecido no será objeto de evaluación. La entidad efectuará las comparaciones del caso mediante el cotejo de los ofrecimientos recibidos y la consulta de precios o condiciones del mercado y los estudios y deducciones de la entidad o de los organismos consultores o asesores designados para ello (:::) En lo que se refiere a la selección de consultores el numeral 4 del artículo 5 de la Ley 1150 de 2007, establece: En los procesos para la selección de consultores se hará uso de factores de calificación destinados a valorar los aspectos técnicos de la oferta o proyecto. De conformidad con las condiciones que señale el reglamento, se podrán utilizar criterios de experiencia específica del oferente y del equipo de trabajo, en el campo de que se trate. En ningún caso se podrá incluir el precio, como factor de escogencia para la selección de consultores. El artículo del Decreto 1082 de 2015 señala: Artículo Procedimiento del concurso de méritos. Además de las reglas generales previstas en la ley y en el presente decreto, las siguientes reglas son aplicables al concurso de méritos abierto o con precalificación: 1. La entidad estatal en los pliegos de condiciones debe indicar la forma como calificará, entre otros, los siguientes criterios: a) la Página 29 de 52