Servicios de apoyo al plan de concienciación sobre protección de la información. GCS 17/12265

Transcripción

1 Dirección General de Servicis Marz de 2018 Servicis de apy al plan de cncienciación sbre prtección de la infrmación. GCS 17/12265 Plieg de Prescripcines Técnicas Departament de Sistemas de Infrmación

2 ÍNDICE 1 Objet de la cntratación 2 2 Requerimients generales Planteamient general del servici Estrategia Equip de trabaj asciad al servici Diseñ del plan de cncienciación Accines prpuestas Medición de la cultura en Prtección de la infrmación 6 3 Nivel de servici Rtación de persnal Gestión del Servici Cálcul del indicadr ttal de Servici Devlución del Servici 10 4 Presentación de la ferta técnica 10

3 1 Objet de la cntratación El bjet de este prcedimient es la cntratación de ls servicis de apy al plan de cncienciación sbre prtección de la infrmación del Banc de España. 2 Requerimients generales En ls últims añs la sciedad ha asistid a un desarrll nrmativ sin precedentes relacinad directa indirectamente cn la prtección de la infrmación. El buen gbiern, la gestión del riesg y el cumplimient nrmativ (Gbernance, Risk & Cmpliance) se han cnvertid en precepts básics. La frmación y la cncienciación eficaces en materia de prtección de la infrmación sn iniciativas básicas y fundamentales para el cumplimient de ests principis y, pr tant, accines imprtantes en el marc de la actividad de la rganización. Una estrategia eficaz de prtección de la infrmación debe mantener un equilibri entre la implantación de plíticas adecuadas, la inversión en tecnlgía y la cncienciación de tds ls agentes implicads en el desarrll de la actividad de la cmpañía, ya que buena parte de ls riesgs en las empresas han estad, empíricamente, relacinads cn las persnas. La pertenencia del Banc de España al Eursistema, así cm al Sistema Eurpe de Bancs Centrales y tras estructuras de Banca Central, cnlleva la aplicación de plíticas, alineamients y buenas prácticas en la prtección de la infrmación perteneciente a ess ámbits respectivs. Una adecuada cncienciación de ls empleads mitiga ds vulnerabilidades principales: Reduce el riesg crprativ pr realizar dejar de realizar accines cuys riesgs específics se ignran, lvidan incrrectamente asumen. Reduce el riesg crprativ al ser mens vulnerable ante tercers malintencinads: ataques de ingeniería scial, prtunistas, empleads desleales El plan de cncienciación en prtección de la infrmación para el Banc de España debe cntemplar la cnsecución de ls siguientes bjetivs fundamentales: Revisión y valración del actual plan de cncienciación y accines desarrlladas en prtección de la infrmación pr parte del Banc de España, en sus distints ámbits: Sesines presenciales Frmación a distancia Cibersede de prtección de la infrmación Campaña de cartelería y mensajería mensual Publicación periódica de guías y buenas prácticas Tras la revisión y valración, definición del plan ampliad de cncienciación y de las accines a desarrllar en prtección de la infrmación:

4 Métrica de la situación en prtección de la infrmación Evaluación de percepción pr ls empleads Objetivs a alcanzar en hits temprales Accines de clabración cn trs actres Estimación de requerimients y recurss Mdel de cntrl de avances Aplicación del plan definid, mediante la puesta en marcha de un servici de gestión de la cncienciación rientad a: Diseñ y ejecución de campañas de cncienciación Elabración cntinua de cntenids para ls distints canales de cmunicación existentes. Medición cntinua del nivel de cncienciación de la rganización Diseñ y crdinación de actividades presenciales de cncienciación Ejecución de actividades presenciales de cncienciación. Revisión y medida de la eficacia del plan Rediseñs crrectivs para alcanzar ls bjetivs prevists. Slucines adicinales a prpuesta de la Unidad de Prtección de la Infrmación de Banc de España y/ del servici de gestión de la cncienciación Cm bjetiv glbal del servici se establece aumentar la cncienciación en prtección de la infrmación y el nivel de madurez en prtección de la infrmación del Banc de España mediante la influencia en el cmprtamient de las persnas, la adecuación de ls prcess y el apy en la tecnlgía. Sin perder de vista el bjetiv glbal definid, la estrategia prpuesta para la ejecución de este servici deberá establecer un marc de trabaj cn bjetivs claterales beneficiss para ls empleads del Banc de España, cm: Cncienciar a td el persnal de Banc de España de la imprtancia de su actitud ante la ciberseguridad y la prtección de la infrmación: el emplead ha de ser la primera línea de defensa. Facilitar el aprendizaje de ls cncepts manejads al hablar de prtección de la infrmación y, pr tant, reducir el gap cnceptual entre el persnal más técnic y frmad en seguridad y prtección de la infrmación y ls empleads en general. Facilitar el mejr us psible de la tecnlgía y, pr tant, incrementar la cnfianza en las herramientas y la tranquilidad al utilizarlas, n sl en actividades prfesinales, sin también en uss particulares. Cncer y evitar las principales amenazas, prprcinand las señales de alerta para detectarlas y el cncimient para hacerles frente. Cncer y aplicar las medidas de prtección básicas. Cncienciar a empleads sin experiencia labral previa a aquells pc familiarizads cn el us crprativ de la infrmática sbre ls riesgs y prblemas de seguridad, a tds ls niveles, a ls que se enfrentan debid al us de tecnlgías en cnstante evlución, y especialmente en Internet.

5 2.1 Planteamient general del servici Estrategia La empresa adjudicataria deberá realizar una revisión y valración del plan actual de cncienciación y, en crdinación cntinua cn la Unidad de Prtección de la Infrmación, prpndrá una estrategia glbal de cncienciación en prtección de la infrmación. Una vez perfilada y aprbada la estrategia, la empresa adjudicataria deberá realizar la planificación de un calendari para la implementación y el despliegue de las actividades, definiend tres grandes líneas de trabaj: Capacitación: Dtar al emplead de las actitudes y aptitudes necesarias para pder realizar una adecuada gestión del riesg. Gestión del riesg persnal: Definición de una metdlgía adecuada que permita a ls empleads realizar una gestión práctica y eficaz del riesg. Mnitrización: Revisión cntinua de la gestión del riesg realizada pr cada un de ls empleads que trabajan en la rganización. La empresa acmeterá la implementación de dicha estrategia Equip de trabaj asciad al servici La empresa deberá dispner de un equip de trabaj que cuente cn experiencia demstrable en diseñ e implantación de Planes de Cncienciación de Seguridad, tant en el ámbit públic cm privad, en las siguientes actividades: Diseñ e impartición de sesines presenciales de cncienciación a empleads. Diseñ e impartición de sesines a persnal directiv y alta administración. Diseñ de planes de cncienciación a medida para clectivs específics del Banc. Diseñ y prgramación de sitis web rientads a la cncienciación de empleads. Diseñ de actividades de entrenamient y pruebas de simulación. Definición de métricas, a través de herramientas y encuestas que permitan la valración de la eficacia del plan. El equip de trabaj estará frmad pr un equip de cnsultres experts en cncienciación en prtección de la infrmación que participarán en la fase de definición de la estrategia de cncienciación así cm de un equip técnic especializad para la ejecución de las distintas actividades que se diseñen.

6 2.2 Diseñ del plan de cncienciación El plan deberá cubrir ls siguientes bjetivs: Creación de un Área de Cncienciación de Seguridad cn presencia física en el Banc de España cuyas funcines principales serán: - Elabración del Plan en función de las necesidades detectadas. - Establecer la planificación definitiva del Plan. - Crdinar las actividades necesarias para su desarrll. - Implementar ls indicadres y cntrles necesaris para evaluar la calidad del servici y el cumplimient de hits del pryect. - Se respnsabilizará de la planificación, realización, seguimient y medición de las accines prpuestas en el Plan Estratégic de Cncienciación en Seguridad de la Infrmación. Definir el alcance y qué clectivs deben recibir accines de cncienciación específicas, cm: - Alta Administración - Empleads en Sucursales - Áreas específicas de actividad (Operacines, Inspección ) - Persnal Directiv Definir ls cntenids de cncienciación a trasladar a cada clectiv. Seleccinar ls canales de cmunicación a utilizar para trasladar ls cntenids a ls distints clectivs. Diseñar las accines presenciales a realizar para cada un de ls clectivs. Definir las métricas de medición de impact de las accines realizadas. Definir el calendari de despliegue del plan de actividades y l hits del mism. Diseñ y realización de encuestas de tds ls events. Generación de infrmes mensuales de actividad, indicadres e infrmes específics baj demanda. 2.3 Accines prpuestas A md de ejempl se prpnen las siguientes accines, que el prveedr de servici deberá desarrllar:

7 Sesines de cncienciación a empleads, en cualquier frmat (presencial, n line ) Talleres de cncienciación. Sesines específicas para clectivs particulares Cnferencias técnicas Cmunicación cntinua Security Day Jrnadas de Seguridad Crprativa Live Hacking Re-diseñ y rerganización de la Cibersede de Cncienciación Generación de cntenids para la Cibersede de Cncienciación, en cualquier frmat Pas de cntenids estátics bidimensinales (paradigma papel) a presentacines dinámicas cn interactividad (gamificación) Diseñs de sprtes físics de cncienciación Diseñ y prgramación de salvapantallas de cncienciación Enseñanza a distancia (e-learning) Diseñ y ejecución de pruebas de simulación (HUMSEC) Actividades de entrenamient 2.4 Medición de la cultura en Prtección de la infrmación La empresa prveedra del servici deberá diseñar un mdel de medición eficaz para ptimizar las accines de cncienciación realizadas en la rganización, aumentand el nivel de participación activa de ls empleads en la misma. 3 Nivel de servici El nivel de servici estará basad en una serie de indicadres ANS (Acuerd de Nivel de Servici), que se utilizarán para determinar el nivel de servici alcanzad y las penalizacines que pudieran crrespnder cuand la calidad del Servici n sea la esperada. Las penalizacines pdrán alcanzar el 20% del cste anual del cntrat. Se establece un mdel que cntempla indicadres cuya medición cubre el períd anual del Servici y trs indicadres cuya medición es mensual. La puntuación pr cada indicadr será

8 creciente según disminuya la calidad del Servici. Cada indicadr tiene un máxim de punts de penalización. Cn el fin de analizar el nivel de servici prestad, cada mes se realizará un análisis de ls indicadres del nivel de servici prprcinads durante el mes inmediatamente anterir, ls indicadres mensuales se calcularán mensualmente y para ls anuales se acumularán ls valres para su cálcul anual, para l que la empresa adjudicataria deberá llevar el cntrl del trabaj realizad usand las herramientas que el Banc de España designe para ell, que se elevará al Cmité de Seguimient. En cas de exceder el númer máxim de punts de penalización, el Banc de España se reserva el derech de reslver el cntrat. Ls indicadres ANS que se utilizarán para medir la calidad del Servici sn ls siguientes: 3.1 Rtación de persnal Este indicadr (RP) debe medir el númer de desincrpracines n planificadas curridas en el períd de servici. Se cnsiderará sustitución planificada cuand ésta sea acrdada previamente cn el Banc de España y se asegure la transferencia y adquisición de cncimients entre ls cmpnentes del Servici invlucrads. Se utilizan las siguientes variables para el cálcul de la penalización: NR = Númer de desincrpracines n planificadas NP = Númer medi de persnas que frman parte del equip a l larg del períd IR = Índice de rtación NR IR = x 100 NP Tip de medición Indicadr Trams Punts Penalización Estabilidad del equip RP= Rtación de persnal 0% = IR 0 punts 0% < IR 20% 15 punts 20% < IR 40% 35 punts 40% < IR 50% 60 punts IR > 50% Ttal máxim 100 punts 100 punts

9 Se irá llevand un cálcul de rtacines ttales desde el inici de la prestación. En td el períd el valr máxim del Índice de Rtación n debe superar el 50%. Al sbrepasar el máxim indicad puede cnllevar, a elección del Banc de España la reslución de cntrat una penalización de 100 punts. En cualquier cas, el Banc de España pdrá estimar a su criteri, y mediante escrit mtivad de la empresa adjudicataria, causas de fuerza mayr para la rtación de ls recurss y pr las que n se cnsidere a efects del indicadr la rtación del recurs crrespndiente. Ls cambis cn respect a ls perfiles inicialmente prpuests en la ferta se valrarán cm desincrpracines n acrdadas, salv que Banc de España estime las alegacines indicadas pr el adjudicatari. 3.2 Gestión del Servici Este indicadr (GS) mide el númer de veces que se incumplen ls plazs prevists para la celebración del Cmité de Seguimient para la entrega del infrme de seguimient necesari para la celebración del Cmité de Seguimient y del acta crrespndiente. Ls Cmités, que tienen peridicidad mensual, estarán sujets a las siguientes reglas: Las reunines deberán realizarse entre el día 10 y 20 de cada mes. N se cnsiderará incumplimient cuand se acuerde explícitamente su traslad a tras fechas (prblemas de agenda de ls respnsables del Banc de España, períds vacacinales, etc.) El infrme de seguimient se enviará antes de tres días hábiles previs a la reunión de seguimient y el acta del Cmité de Seguimient se enviará en el plaz máxim de cinc días hábiles a cntar desde la fecha de celebración del Cmité. Cada regla es bjet de valración separada, según el siguiente esquema de penalizacines: Tip de medición Indicadr Trams Punts Penalización Nivel de gestión del Servici GS1= Celebración del Cmité en plaz 1 incumplimient 4 punts 2 incumplimients 10 punts 3 incumplimients 20 punts > 3 incumplimients 50 punts

10 Tip de medición Indicadr Trams Punts Penalización GS2= Infrme de Seguimient y Acta del Cmité en plaz 1 incumplimient 4 punts 2 incumplimients 10 punts 3 incumplimients 20 punts > 3 incumplimients 50 punts Ttal máxim 100 punts 3.3 Cálcul del indicadr ttal de Servici Cn el fin de analizar el nivel de servici prestad, cada mes se realizará un análisis glbal de ls indicadres de servici establecids para l que la empresa adjudicataria deberá llevar el registr de las peticines, sprtes, slicitudes planificadas, etc., que se llevará a ls cmités de seguimient crrespndientes. Ls indicadres mensuales se calcularán mensualmente y para ls anuales se acumularán ls valres para su cálcul anual. Ls dats calculads en cada períd mensual de seguimient, indicadres mensuales y acumulads anuales, se recgerán en las actas de ls Cmités de Seguimient. El resumen de indicadres ANS que determinan el nivel de servici es el siguiente: Tip de medición Ref. Punts penalización Peridicidad de Cálcul Rtación de Persnal RP 100 Períd anual del Servici GS1 50 Períd anual del Servici Gestión del Servici GS2 50 Períd anual del Servici Ttal máxim punts indicadres ANS 200 Al final del períd anual de servici se cntabilizará el indicadr ttal de servici que se cmpndrá de la suma aritmética de ls valres anuales de ls cuatr indicadres. Para calcular el valr anual de cada indicadr dependerá del tip de indicadr. Para ls indicadres cuy cálcul sea del tip períd anual del servici se realizará el cálcul del indicadr y para ls indicadres que sean del tip mensual se calcularán mensualmente y se hará la suma aritmética de ls valres calculads en ls meses del Servici. La penalización ecnómica a aplicar a la empresa adjudicataria será de 0,1 % pr cada punt resultante, cn un límite máxim del 20% del cste ttal. Ejempl 1: si la suma de ls cuatr indicadres es de 100 punts, crrespnde un 10% de penalización. Ejempl 2: supniend que la suma de ls cuatr indicadres ha sid de 210 punts, crrespnde un 20% de penalización, que es la máxima aplicable pr perid anual de servici.

11 3.4 Devlución del Servici Cuand pr cualquiera de las causas cntempladas en el cntrat se prceda a dar pr finalizad el Servici, se establecerá la fecha de inici y finalización de la fase de devlución del Servici, dnde el prveedr se cmprmete a facilitar tda la infrmación, herramientas, etc., cn bjet de facilitar la transferencia de cncimient y la cntinuidad del Servici a la nueva situación. Durante el períd de devlución, el Banc de España pdrá slicitar la incrpración de un recurs adicinal que prvea el cntrl de calidad de la devlución del Servici. El períd de devlución tendrá una duración máxima de tres meses. 4 Presentación de la ferta técnica La ferta deberá cntener la dcumentación cn la descripción detallada que se indica a cntinuación: Características generales Identificación de la prpuesta. Descripción de la slución técnica y adecuación funcinal Se incrprará al inici de este apartad el resumen de ls aspects más significativs y relevantes de la slución fertada. Si se ha prfundizad en el bjet del pryect, presentand slucines que demuestren una buena capacidad para llevarl a cab. Se deberá incluir infrmación detallada del plan prpuest cn distribución de las tareas, asignación de recurss, hits de revisión y aceptación de ls prducts finales. Se deberá incluir una descripción de cóm cumple cn ls requisits establecids en este plieg, así cm ls prcedimients prevists para la gestión del servici. Se incluirá en este capítul la descripción de las medidas dispuestas pr el ferente para asegurar la calidad de ls trabajs; metdlgías, medis materiales, aseguramient de calidad, seguridad y cnfidencialidad, así cm aquellas tras que se prevé aplicar para vigilar y garantizar el adecuad cumplimient del cntrat. Se indicarán ls distints prcedimients utilizads para definir las fases del pryect, sus actividades y el crngrama de trabajs e hits. Experiencia y calidad del equip de trabaj Dats relativs al Respnsable de Pryect. Histrial prfesinal.

12 Cmpsición del equip de trabaj que se prpne, rdenad pr categrías prfesinales. Cuestinaris de persnal según mdel recgid en el ANEXO I - Cuestinaris. Tds ls cmpnentes del equip de trabaj deberán tener perfect dmini, tant hablad cm escrit, del idima castellan. N incluir la participación en pryects n relacinads cn la presente licitación. Se adjuntarán tdas las certificacines de calidad y tecnlógicas de ls técnics asignads al pryect.

13 ANEJO 1. Cuestinaris. Se cumplimentarán tants Cuestinaris de Persnal cm recurss se prpnga incrprar en el equip. Identificación Recurs Histrial prfesinal Empresa Fecha de alta Fecha de baja Perman (Meses) Categría Categría fertada Frmación Títul del curs Hras Empresa Fecha inici Titulación académica Dats relativs a pryects Pryect denminación / Entidad usuaria Meses Categría Funcinalidad (Breve descripción de la/s funcinalidades del pryect)