1 Introducción. Alcaldía. 1.1 Objeto del contrato

Transcripción

1 PLIEGO DE PRESCRIPCIONES TÉCNICAS PARA EL SUMINISTRO E INSTALACIÓN DE EQUIPAMIENTO FIREWALL PARA LA GESTION DE SEGURIDAD PERIMETRAL Y CONTROL DE ACCESO A INTERNET DEL AYUNTAMIENTO DE SEVILLA 1 Introducción 1.1 Objeto del contrato En el del Ayuntamiento de Sevilla, en adelante ITAS, se requiere disponer de sistemas firewall de nueva generación que permitan controlar el tráfico que se recibe y envía a Internet. Debido a los requisitos de disponibilidad de los dos CPDs del ITAS la solución permitirá la instalación de un sistema de tolerancia a fallos en el CPD principal y disponer de un dispositivo adicional en modo standby en el CPD secundario. Teniendo en cuenta los requisitos de seguridad que presenta el uso de Internet en la actualidad son necesarias capacidades de Sistema de Protección de Intrusos, Prevención de Amenazas, Filtrado de URLs, Gestión de Ancho de Banda. VPN, Protección contra Malware y Gestión de Conductas Maliciosas, incluyendo su actualización en línea y programada desde el fabricante. Además es necesaria la integración con los servicios de directorio del ITAS y la administración y gestión de informes de la solución de forma intuitiva y sencilla, preferiblemente mediante consola web. Dada la infraestructura de red del ITAS el sistema permitirá la configuración en sistemas virtuales con administración independiente y plena funcionalidad en cada uno de ellos. Como característica principal en las capacidades de firewall se requiere tener visibilidad de las aplicaciones que atraviesan el perímetro de red y poder vincular a los usuarios de la red con dichas aplicaciones mediante políticas de acceso. Es por esto que los sistemas ofertados deberán poder llegar, en la gestión de reglas y políticas, hasta la capa 7 del modelo OSI. El suministro incluirá los equipamientos, garantías y licencias necesarias para la plena funcionalidad de las capacidades indicadas en los requisitos técnicos del presente pliego. Se incluirá también en el suministro el traslado de las reglas de acceso y seguridad en producción y la formación necesaria para la correcta administración del sistema. 1.2 Situación actual Los sistemas de seguridad perimetral y control de acceso a Internet del ITAS son heterogéneos y dispares, incluyendo tecnologías de software libre y propietarias. Esto hace que el trazado y revisión de los accesos desde y hacia Internet sean difíciles de realizar ya que se deben evaluar múltiples ficheros de registro. La sustitución de estos sistemas por un equipamiento único permitirá una gestión global e integral en el mismo sistema facilitando identificar tendencias y conductas anómalas de forma más sencilla e inmediata. La mayoría de estos sistemas se encuentran fuera de su ciclo de vida siendo necesaria su sustitución. El entorno actual es el siguiente: Varios Firewall perimetrales basados en sofware libre con capacidades de NAT y NAT Reverso. Sistema IPS propietario para securización de la DMZ Varios Firewall de acceso a Internet de fabricante con capacidades de NAT, NAT Reverso, VPN Server y Proxy. Este sistema se encuentra integrado con nuestro servicio de directorio para la creación de reglas de acceso basadas en usuario y grupo. Sistema proxy de fabricante para gestión del acceso a Internet incluyendo servicios de Prevención de Amenazas, Filtrado de URLs, Gestión de Ancho de Banda. VPN y Protección contra Malware. Este sistema se encuentra integrado con nuestro servicio de directorio para la creación de reglas de acceso basadas en usuario y grupo. Varios Firewall perimetrales de fabricante con capacidades de NAT y NAT Reverso Pág. 1 de 7 Observaciones Página 1/7

2 1.3 Ubicación de los equipamientos El equipamiento propuesto consistirá en tres dispositivos firewall idénticos en cuanto a fabricante, modelo y capacidades que se instalarán de la siguiente forma: Dos dispositivos conformando un cluster de alta disponibilidad en las dependencias del CASSI, dentro de la ciudad de Sevilla. Un dispositivo adicional en modo standby en el CASSI de respaldo, dentro de la ciudad de Sevilla. Es preciso de que la solución incluya un sistema de configuración del sistema de Standby mediante ejecución manual y programable. La comunicación entre ambos CPDs, se realiza mediante una red propia del Ayuntamiento de Sevilla, consistente en un doble anillo de fibra a 1 Gbps sobre capa 3. 2 Requisitos técnicos del suministro e instalación. 2.1 Equipamiento a suministrar Certificaciones del Equipamiento: Certificación de producto modular en la especialidad de firewalls (ICSA) Certificación centrada en la funcionalidad del cifrado (FIPS 140-2) Certificación de conformidad de Ipv6 (USGV6) Certificación de seguridad informática, cumpliendo los criterios comunes en nivel de garantía de evaluación (EAK 4+) Parámetros mínimos de Rendimiento y Capacidad: Rendimiento del firewall (con función de gestión de aplicaciones): 4 Gbps Rendimiento de la prevención contra amenazas: 2 Gbps Rendimiento de VPN IPSec: 500 Mbps Número de sesiones nuevas por segundo: Número máximo de sesiones: Interfaces de tunel / túneles IPSec: Usuarios concurrente SSL VPN: Usuarios simultáneos VPN: Sesiones de descifrado SSL: Routers virtuales: 10 Sistemas virtuales: 6 Número de políticas: 5000 Además, es necesario que el sistema tenga la capacidad de inspeccionar 2 Gbps de tráfico mediante una cadena de filtros compuesta por Antivirus, IPS, AntiSpyware, Bloqueo de archivos y filtrado URL con el 100% de las firmas disponibles aplicadas sobre cada uno de los filtros y que el rendimiento del sistema no se degrade en función del número de flujos que atraviesan el equipo Administración y Generación de Informes Interfaz web integrada Integración con Syslog, SNMP v2/v3 y Splunk Creación de diferentes cuentas de administración con diferentes niveles de acceso Auditoria de cambios en la configuración que permita comparar entre dos versiones de la configuración, proporcionando información sobre cambios realizados, quién y cuándo se realizaron. Resumen gráfico de aplicaciones, categorías de URL y amenazas. Pág. 2 de 7 Observaciones Página 2/7

3 Generación de informes totalmente personalizable. Análisis y estudio del tráfico en tiempo real Integración con los Servicios de Directorio y Gestión de Políticas de Acceso Visibilidad de la actividad del usuario en la aplicación Control de políticas en función del usuario / grupo Visibilidad basada en usuario /grupo, no sólo en función de la IP Análisis, generación de informes e investigación en función de los usuarios Utilización de la aplicación como base para las políticas Posibilidad de clasificar las aplicaciones no identificadas mediante políticas Políticas del uso de navegación web Detección y control de transferencia de archivos / datos no autorizados Posibilidad de clasificar el tráfico de las aplicaciones con el fin de priorizar el ancho de banda. Identificación, control e inspección del tráfico SSL, tanto entrante como saliente. Identificación y control del tráfico SSH Características de Router, IPS y QoS Disponer de enrutamiento dinámico Creación de políticas de enrutamiento con grupos de direccionamiento dinámico Bloqueo de exploits Protección contra ataques de denegación de servicio (DoS) y de denegación distribuida de servicio (DdoS) Posibilidad de configuraciones transparentes para unir dos puertos de modo que se pueda evaluar el tráfico que pasa por dichos puertos (Virtual Wire) Supervisión del ancho de banda en tiempo realización QoS por marcado de Diffserv de política 6 interfaces físicas compatibles con QoS Características físicas del Equipamiento 12 puertos de red Ethernet 100/ puertos SFP ópticos Gibabit 1 puerto de administración independiente Disco duro físico o Unidad de Estado Sólido (SSD) de 120 GB Formato Rack Tamaño máximo 1 U Prevención de Amenazas Control de Virus, Filtrado de URLs y Filtrado de Datos Análisis de las amenazas desconocidas en un entorno aislado proporcionado por el fabricante. El dispositivo enviará, al menos, los ficheros ejecutables y dlls y se subscribirá a las actualizaciones del fabricante. Vistas comparada de patrones de tráfico y amenazas Disponer de una base de datos de reputación de botnets Análisis exhaustivo de todas las actividades relacionadas con el tráfico y los dispositivos Elaboración de informes sobre las actividades de tráfico y de dispositivos Autorizar aplicaciones y bloquear archivos por tipo no aprobados o peligrosos Permitir o denegar el uso de funciones de transferencia de archivos Identificación de los contenidos basada en modelos. Control de la navegación web Notificaciones personalizadas para el usuario final Uso de lista de categorías de navegación con posibilidad de configurar listas blancas de URLs Control web basado en políticas de uso web Pág. 3 de 7 Observaciones Página 3/7

4 Actualización de datos sobre URLs maliciosas Protección contra virus y malware (incluidos los incrustables en HTML, Javascript, archivos PDF y archivos comprimidos Actualizaciones de firmas de virus y malware Protección sobre descargas ocultas 2.2 Servicios asociados Suministro e instalación. La ejecución del proyecto es bajo el concepto de "llave en mano", es decir el licitador tiene que realizar todas las acciones necesarias para el suministro, instalación y puesta en marcha de todos los elementos de la oferta. El licitador presentará una descripción de la solución propuesta, cumpliendo los requisitos y donde puede manifestar las mejoras que presenta su oferta, experiencia en trabajos similares, solvencia técnica del personal encargado de la ejecución del proyecto y plan de implantación. El periodo máximo de ejecución será de 3 meses, a contar desde la formalización del contrato. Al finalizar los trabajos, se firmará por parte del Director del proyecto y Jefe del proyecto la recepción del suministro e instalación, empezando a contar el periodo de garantía del equipamiento Suministro. El equipamiento se suministrará a cada una de las dos dependencias descritas en el "apartado 1.3 Ubicación de los equipamientos", teniendo en cuenta que el suministro en el centro de respaldo tendrá que ser planificado con al menos 2 días de antelación Instalación, configuración y puesta en marcha. Previo a las tareas que se describen a continuación, se establecerá una sesión técnica, donde participarán la dirección del proyecto de Hispalnet, la empresa gestora de Hispalnet, el empresa adjudicataria y la empresa fabricante del producto, con la finalidad de detallar el diseño final de la solución. En este apartado se incluyen los siguientes apartados mínimos: Desembalaje de los equipos. Instalación de todos los dispositivos hardware de la oferta. Conexionado de todo el equipamiento. Instalación software incluida en la oferta. Configuración básica y creación de sistemas virtuales. Migración de las reglas y servicios actuales en los sistemas indicados en el apartado 1.2, la estimación de reglas a migrar es de 800. Puesta en marcha y migración de los sistemas virtuales. Plan de pruebas del correcto funcionamiento y comprobación de redundancia Documentación a entrega, en papel y formato electrónico: o Memoria de instalación o Inventario o Pruebas realizadas o Garantías y soportes incluidas en la oferta Plan de migración y consolidación. El licitador aportará el plan de migración y consolidación propuesto para su valoración, donde se detallarán el personal propuesto para su ejecución, tanto propio como del fabricante del producto, y la descripción de las fases y su cronología. Pág. 4 de 7 Observaciones Página 4/7

5 La implantación de este tipo de dispositivos supone una importante evolución en las directivas de seguridad informática del Ayuntamiento de Sevilla. La ejecución de los trabajos de suministro y configuración podría tener gran impacto en la continuidad de los procesos de negocio del Ayuntamiento de Sevilla. Es por esto que el licitador presentará en su oferta un plan de migración y consolidación de los servicios y reglas definidos en los equipamientos en producción actuales, definidos en el punto 1.2 del presente pliego, que permitirá evaluar la idoneidad de los diseños planteados, y que incluirá al menos las siguientes fases: 1. Definición de fases incluyendo la toma de datos de los sistemas actuales 2. Propuesta de consolidación y diseño de los sistemas actuales tanto en servicios y reglas como en capacidades 3. Diseño de una prueba piloto, incluyendo una prueba de contingencia 4. Proceso de paso a producción de los nuevos sistemas 5. Transferencia de conocimientos y formación Una vez instalado todo el equipamiento, el adjudicatario ejecutará el procedimiento de migración a realizar para redefinir la reglas y políticas de acceso actual al nuevo sistema. Se utilizarán, en lo posible, las herramientas de migración proporcionadas por el fabricante de los nuevos dispositivos. Dada la importancia del cambio en la gestión de las políticas, servicios y reglas, el diseño de las políticas de seguridad, basadas en aplicaciones, no en puertos/protocolos, será definido por técnicos del fabricante de la solución y se apoyará en el equipo de ingeniería de la empresa adjudicataria para la ejecución de los trabajos. Para su aceptación, será preciso el visto bueno por parte de los técnicos del fabricante de los trabajos realizados por el equipo de ingeniería del adjudicatario. Al mismo tiempo y dado lo crítico de la definición de los sistemas virtuales, esta tarea se realizará conjuntamente entre el personal técnico del fabricante, del adjudicatario y del ayuntamiento Formación. La formación se detallará en la oferta y tendrá que ser para un mínimo de 12 técnicos del ayuntamiento y en doble sesión, es decir dos cursos para 6 técnicos en cada uno de ellos, y con una duración mínima de 15 horas por curso. Esta formación se llevará a cabo en las instalaciones del ITAS, en horario de mañana y en 3 horas al día en cada sesión. Los alumnos recibirán en formato electrónico toda la documentación asociada al curso. El contenido del curso incluirá como mínimo, apartados de operación, gestión, configuración y monitorización de la solución ofertada Transmisión de conocimientos Durante la ejecución del proyecto, el adjudicatario estará disponible para realizar la transmisión de conocimientos a los administradores mientras se realizan las tareas de instalación, sobre la solución implantada y los procedimientos y funcionalidades que se utilizarán para su administración, con el objetivo principal de profundizar en las tareas referidas a la operación, administración, configuración, dimensionamiento y mejora de la solución. 3 Equipo de trabajo. Se establecen las siguientes figuras para la organización del proyecto: 3.1 Director del proyecto: Será un técnico informático designado por el Servicio de Informática del Ayuntamiento de Sevilla entre su personal y que asumirá las siguientes funciones: Supervisión y seguimiento de la correcta realización de todo el trabajo asociado al suministro y servicio asociados al proyecto. Participar en el análisis y en la planificación del proyecto Velar por el nivel de calidad de los trabajos. Facilitar al adjudicatario el acceso a la información necesaria para la realización de su trabajo. Pág. 5 de 7 Observaciones Página 5/7

6 Informar a la dirección del ITAS del avance y situación de los trabajos realizados por el adjudicatario en los plazos establecidos a requerimiento de éste. Decidir sobre la aceptación de las modificaciones técnicas propuestas por el Jefe del Proyecto a lo largo del desarrollo de los trabajos. Hacer cumplir las normas de funcionamiento y las condiciones estipuladas en este documento. Informar a la dirección del ITAS de cualquier incidencia en el desarrollo del proyecto que pueda afectar a su normal desarrollo. Autorizar cualquier alteración de la metodología empleada, tanto en los productos finales, como en la realización de las fases, módulos, actividades y tareas. Aprobar la participación en el proyecto de las personas del equipo del proyecto aportado por la empresa adjudicataria, así como sugerir o exigir la sustitución de alguna o algunas de las personas miembros del equipo (tanto del Jefe de Proyecto como del equipo del Proyecto) si a su juicio su participación en el mismo dificulta o pone en peligro la calidad o la realización de los trabajos. Una vez aprobada por el Director del Proyecto la composición del equipo de trabajo aportado por la empresa adjudicataria, el Jefe de Proyecto tiene la obligación de mantenerle informado sobre cualquier modificación que se pueda producir en el equipo de trabajo. Estas modificaciones no podrán llevarse a efecto sin la aprobación expresa del Director del Proyecto. Aprobar los resultados parciales y totales de la realización del proyecto; a estos efectos deberá recibir y analizar los resultados y documentación elaborados a la finalización de cada etapa, pudiendo introducir las modificaciones o correcciones oportunas antes del comienzo de las siguientes, requiriéndose su aprobación final. Decidir sobre todos los aspectos técnicos y funcionales sobrevenidos durante el desarrollo, o sobre los que surjan dudas o no estén suficientemente especificados en estos pliegos. 3.2 Jefe del proyecto. Será el responsable jerárquico nombrado por el adjudicatario para el equipo del proyecto y se responsabilizará de: Disponer de certificación profesional de fabricante correspondiente a la solución ofertada. Actuar como interlocutor del adjudicatario a lo largo del desarrollo del proyecto. Elaboración del Plan de Instalación. Informar al Director del Proyecto del avance y situación de los trabajos realizados en los plazos establecidos por el Comité de Dirección o a requerimiento de este. Participar en los estudios que se realicen para toma de decisiones tecnológicas necesarias para el desarrollo adecuado del proyecto. Dirigir y coordinar a las personas y entidades que intervengan en el proyecto, ostentando su representación en sus relaciones con el Ayuntamiento de Sevilla en lo referente a la ejecución de los trabajos. Planificar todos los aspectos del proyecto. Organizar la ejecución del proyecto de acuerdo con el Programa de realización de los trabajos y poner en práctica las instrucciones del Director del Proyecto. Responder ante el Director del Proyecto de la realización de los procesos técnicos realizados. Proponer al Director del Proyecto las modificaciones que estime necesarias, surgidas durante el desarrollo de los trabajos. Asegurar el nivel de calidad de los trabajos. Presentar al Director del Proyecto, para su aprobación, los resultados parciales y totales de la realización del proyecto. 3.3 Equipo del proyecto. Formado por el personal de la empresa adjudicataria y del fabricante, siendo su responsabilidad la ejecución de los trabajos. Las empresas licitadoras están obligadas a presentar junto con las ofertas económicas, relación de las personas que se encargarán de los trabajos, aportando datos e informes sobre su titulación académica, cursos y experiencia en los entornos operativos descritos, para constatar el cumplimiento de los requisitos exigidos Pág. 6 de 7 Observaciones Página 6/7

7 por el personal de la empresa. Como mínimo será imprescindible contar con 1 año de experiencia en este tipo de implantaciones requeridas en el apartado 2.2 del PPT. 4 Gastos de transporte e instalación Todos los gastos de transporte, instalación y seguros que conlleve el suministro serán por cuenta del adjudicatario, incluyendo la instalación de los mismos en los locales designados, salvando cualquier limitación física del edificio o su entorno. El adjudicatario se responsabiliza de la instalación de los sistemas y sus elementos y de la plena operatividad de los mismos. 5 Requisitos de soporte y mantenimiento En la presente contratación están incluido el soporte y mantenimiento integral in-situ prestado por el adjudicatario y/o fabricante del hardware y software suministrados que asegure que todas las infraestructuras, funcionalidades y elementos de dicha solución se encuentran disponibles y en condiciones de su utilización por un periodo de un año contados a partir del acta de finalización del suministro e instalación. El horario de esta asistencia se realizará en horario de oficina, de lunes a viernes y en días laborables, tiempo de resolución de la avería o incidencia es de 24 horas. EL JEFE DE LA SECCIÓN DE INFRAESTRUCTURAS TIC Pág. 7 de 7 Observaciones Página 7/7