INFORME TECNICO PREVIO DE EVALUACION DE SOFTWARE ESPECIALIZADO DE GESTIÓN DE SERVICIOS DE CERTIFICACI~N DIGITAL No lGCRDIRENIEC

Transcripción

1 "DECENIO DE LAS PERSONAS CON DISCAPACIDAD EN EL PERÚ" 'NAO DE LA PROMOCI~N DE LA INDUSTRIA RESPONSABLE Y DEL COMPROMISO CL INFORME TECNICO PREVIO DE EVALUACION DE SOFTWARE ESPECIALIZADO DE GESTIÓN DE SERVICIOS DE CERTIFICACI~N DIGITAL No lGCRDIRENIEC 1. NOMBRE DEL AREA: El área usuaria es la Sub Gerencia de Registro Digital - SGRD. El área encargada de la evaluación técnica para la adquisición de licencias de uso de un software acorde a las necesidades de la SGRD es la Gerencia de Certificación y Registro Digital - GCRD. 2. RESPONSABLE(S) DE LA EVALUACION: El responsable de la evaluación es el señor Alvaro Ernesto Cuno Parari como Especialista de la Gerencia de Certificación y Registro Digital, contando con la aprobación de Ricardo Javier Enrique Saavedra Mávila como Gerente de Certificación y Registro Digital. Alvaro Ernesto Cuno Parari - Especialista en Valor Añadido para la ECERNEP en la Gerencia de Certificación y Registro Digital. Ricardo Javier Enrique Saavedra Mávila - Gerente de Certificación y Registro Digital. FECHA X En cumplimiento de la Ley No 'Ley que norma el Uso, Adquisición y Adecuación del Software en la Administración Publica (18.0ct.2005), de su respectivo Reglamento aprobado con el Decreto Supremo No PCM (24.May.2006), y de la Guía Técnica sobre Evaluación del Software en la Administración Publica aprobada con Resolución Ministerial No PCM (27.May.2004), se determinan las características técnicas de un producto software que permitirá mejorar la calidad de los servicios brindados a los usuarios en el marco de la Ley No 'Ley de Firmas y Certificados Digitales, reglamento y sus modificatorias;, dando lugar a una gestión integrada y automatizada de los procesos de negocios asociados a los roles asignados como Entidad de Registro para el Estado Peruano (EREP) en el ámbito de la Infraestructura Oficial de Firma Electrónica - IOFE del Estado Peruano REGISTRO NACIGNAL DE IDENTIFICACIÓN Y ESTP.DO CIVIL c:l~ a '35 Eciiico Cenrrc C,vico - Cerceoc ce L,ma W\ZW reniec coo pe

2 "AÑ0 DE LA PROMOCIÓN DE LA INDUSTRIA RESPONSABLE Y DEL COMPROM~SO CLIMÁTICO~ Los interesados en la mejora de los servicios dados por la EREP son: Los ciudadanos. Las Entidades de la Administración Pública. Las Personas Jurídicas de derecho privado (Entidades Privadas) La Sociedad. Los usuarios de los servicios provistos por la EREP son los ciudadanos y las Entidades de la Administración Pública. Para el libre ejercicio de sus derechos, estos usuarios demandan certificados digitales de firma digital y autenticación en módulos y dispositivos criptográficos como tokens o tarjetas inteligentes, y en el Documento Nacional de Identidad Electrónico, a fin de acceder a servicios públicos electrónicos y efectuar operaciones de gobierno electrónico con pleno valor legal y eficacia jurídica. Para ello, el área usuaria debe atender la demanda de los usuarios a través de servicios electrónicos públicos seguros alineados a las normativas dadas por la Autoridad Administrativa Competente - AAC, en el ámbito de la IOFE del Estado Peruano. Así también, debe cumplir las directrices dadas a nivel de la Administración Pública, conducentes a la estandarización, interoperabilidad y mejora de servicios en el marco de las Políticas Nacional para la Calidad y de Gobierno Electrónico. Dada las expectativas sobre el crecimiento de la demanda por los servicios brindados por el área usuaria es necesario mejorar e incrementar su actual capacidad instalada para garantizar un servicio de calidad escalable, acorde a los estándares internacionales, en un entorno electrónico que exige seguridad y confianza, con validez y eficacia jurídica de las transacciones realizadas en entornos no presenciales. Por lo tanto, resulta necesaria la adquisición de un producto software que permita una gestión moderna, ágil, integrada y automatizada para cubrir este nuevo escenario. -/ 7 i'p",c'j DSat\i~, 'C ;SZ ~~*"BRGAs$corde a lo expuesto en la sección anterior, el área usuaria requiere mejorar la ',% K]iOBo atención de los servicios que actualmente brinda dentro del marco normativo que \.S &o rige, así como potenciar la expansión a nuevos servicios derivados de los E... existentes, debiendo cumplir cabalmente con los roles asignados en el ámbito de la IOFE. En ese sentido, en base a las necesidades del área usuaria, se determinan las características técnicas mínimas del producto software que integre y automatice los procesos de negocio y administrativos de la EREP, así como la gestión de sus expedientes electrónicos conforme a lo establecido por la IOFE del Estado Peruano. Entre los productos software evaluados en relación a las características técnicas mínimas requeridas por el área usuaria, tenemos los siguientes: l. Alternativa 1 : ESIGNA 2. Alternativa 2: SMART-CMS (FULL) REGISTRO NACIONAL DE IDENTIFICACIÓN Y ESTADO CIVIL Jr EGIIVIZ ÍOE EGI~ICIO Centro Civico - Cercaco de Lima www reniec 005 pe

3 "DECENIO DE LAS PERSONAS CON DISCAPACIDAD -- - EN EL PERU" "AÑ0 DE LA PROMOCIÓN DE LA INDUSTRIA RESPO~ABLE Y DEL COMPROMISO - CL - 3. Alternativa 3: ADSS-RA-Server I Y En aplicación de la Parte 3 de la 'Guía Técnica sobre Evaluación de Software para la Administración Pública' aprobado por Resolución Ministerial No PCM, se determinan las características técnicas mínimas del producto software que satisface las necesidades del área usuaria. a. Propósito de la Evaluación Determinar los atributos o características técnicas mínimas que debe cumplir el producto software, según la normativa vigente. b. Identificación del Tipo de Producto Producto software que permita mejorar e incrementar la calidad del servicio brindado a los usuarios en el marco de la Ley No 'Ley de Firmas y Certificados Digitales, reglamento y sus modificatorias', y que dé lugar a una gestión integrada y automatizada de los procesos de negocios asociados a los roles asignados en el ámbito de la Infraestructura Oficial de Firma Electrónica - IOFE del Estado Peruano. c. Especificación del Modelo de Calidad Se aplicó el Modelo de Calidad descrito en la Parte I de la 'Guía Técnica sobre Evaluación de Software para la Administración Pública' aprobado por Resolución Ministerial No PCM. d. Selección de Métricas Las métricas fueron seleccionadas en base al análisis técnico para la adquisición de un producto software que satisfaga las exigencias mínimas requeridas, en concordancia con lo manifestado en la sección: "6. ALTERNATIVASJ'. Las 'Características Técnicas Mínimas' que debe cumplir el producto software, son las siguientes: Características Mínimas ltem 1 Criterio Descripción Atributo Interno 1 Producto software que contenga formularios, opciones, módulos, ficheros y plantillas para la gestión documental y administrativa con firma digital acorde a las regulaciones de la IOFE Estar conformado por módulos, opciones, herramientas, componentes de software, que permita la gestión administrativa/documental ágil y dinámica a nivel de procesos, incorporando workflows personalizables, gestión de expedientes, y firmas digitales, para diversos tipos y formatos de documentos electrónicos, posibilitando la extensión de los servicios b&sicos a nuevos y derivados como parte del rol asignado en el marco de la IGFE del Estado Peruano. REGISTRO NACIONAL DE IDENTIFICACION Y ESTADO CIVIL Jr Bciibla 5 Eci- c o Centro Civico - Cercado oe Lima www reniec gob pe ;,l J

4 "DECENIO DE LAS PERSONAS CON DISCAPACIDAD EN EL PERU" "ANO DE LA PROMOCldN DE LA INDUSTRIA RESPONSABLE Y DEL COMPROMISO CLIMATICO~~ del Estado Peruano. Disponer de dos módulos principales: (1) interfaces gráficas orientadas a los usuarios internos que hagan las veces de administradores y operadores, y (2) funcionalidades orientadas al ciudadano o representante de la persona jurídica y suscriptores, las cuales estarán accesibles desde lnternet con servicios de gobierno electrónico (trámites y expedientes) basados en certificación digital. Permitir la definición de formularios de solicitud integrados a un portal de servicios electrónicos, para aquellos procesos que requieran la intervención del ciudadano en alguno de los casos. Almacenar todos los expedientes (incluidos sus documentos asociados) sobre la plataforma de gestión documental. El lenguaje de definición de procesos a usarse en el Gestor de Expedientes debe ser XPDL (XML Process Definition Language). La arquitectura de la solución debe ser orientada a servicios - SOA. Generar clientes de webservices de forma automática a partir de la especificación WSDL del webservice, sin necesidad de programación. Soportar certificados digitales tanto en software (instalados en el repositorio del SO o almacenados en archivos P12 o PFX) como en hardware (tokens y tarjetas inteligentes). Las herramientas deberán ser compatible con los navegadores web principales: lnternet Explorer 9.0, Mozilla Firefox 31 y Google Chrome 33, y versiones en adelante. Debe ejecutarse en ambiente WEB a través de un navegador de Internet. 1 Debe incor~orar una arauitectura Web en J2EE. 1 Debe ser escalable con funcionalidades de clustering, replicación y Web Service seguros. Debe ser compatible con Oracle o MySQL. Soportar una arquitectura de 64 bits, escalable, habilitada para integración, tres (3) capas independientes: Presentación, Reglas de Negocio y Base de datos. Debe permitir la generación de certificados digitales en tarjetas inteligentes, tokens y software. de metadatal clasificación, tipo documental y estados Permitir la parametrización de la metadata asociada a cada tipo documental. Por cada metadata, permitir la definición del tipo de dato y las validaciones que se deben realizar al ingresar la información, así como los posibles valores asociados. Permitir la inserción de la metadata a cada tipo documental. Permitir la integración de metadata con documentos digitalizados. Permitir heredar metadata. REGISTRO NACIONAL DE IDENTIFICACI~N Y ESTADO CIVIL i 11 Jr Eolivia :Ol Ec1:icio Centro Civico - Cercaoo de Lima www reniec gob pe

5 , "DECENIO DE LAS PERSONAS CON DISCAPACIDAD EN EL PERÚ" "AÑO DE LA PROMOCI~N DE LA INDUSTRIA RESPONSABLE Y DEL COMPROMISO CLIMÁTICO,, Manejo de criterios de Permitir la parametrización de identificadores consecutivos, así seguridad informática e como la configuración de la numeración de documentos por tipo interoperabilidad. documental. Debe permitir la gestión de seguridad de usuarios, grupos de usuarios y asignación de roles y perfiles de usuarios para protección del contenido y operación de las etapas de a robación. Permitir la definición de usuarios, roles y perfiles. -- Permitir la asociaci& de permisos a roles por documentos, dependiendo del estado en que se encuentre. I I I Permitir la definición de los diferentes estados que pueden estar asociados a los documentos. 1 4 Determinación de la documentación, expedientes Y registros, asociados a trámite~/flujo~, según la funcionalidad y operatividad requerida. Facilidad de integración a herramientas existentes en el entorno de trabajo actual. Permitir la parametrización de los diferentes niveles de seguridad 1 de la información. Permitir definir a nivel de documento o expediente la clasificación de la información (desde pública hasta privilegiada). Soportar el uso de canales cifrados SSLITLS en operaciones que ameriten la confidencialidad de datos Permitir el acceso al sistema haciendo uso de autenticación basada en certificados digitales. La autenticación debe ser inmune, como mínimo, a los siguientes ataques: ataque de suplantación, descubrimiento de PIN onlineloffline, ataque por 1 sesión aral lela v ataaue de hombre en el medio. 1 Para garantizar la interoperabilidad de las firmas digitales, éstas deben ser aeneradas usando formatos modernos de firma digital: - CA~ES, XA~ES y PA~ES. Permitir la definición de documentos, plantillas, formularios, trámites y expedientes. El sistema debe incorporar una herramienta que permita la definición de expedientes y sus trámites asociados, así como el catálogo de documentos, tipos documentales y plantillas de cada expediente. Permitir la definición de expedientes basado en una interfaz que permita definir la estructura del expediente de forma ágil. Automatizar la generación de documentos mediante el uso de plantillas normalizadas incorporadas en la definición de los procedimientos, o bien asistir al usuario en su generación. Debe estar construido de manera modular de tal forma que garantice la integridad de la información y la portabilidad e independencia de la infraestructura tecnológica. Soportar la integración nativa con el Active Directory. Soportar la integración con la PKI del Reniec. Atributo Externo 6 Adecuación del producto según las funcionalidades en uso Disponer de un módulo de administración. Permitir administrar los usuarios, perfiles y roles de forma visual, desde una interfaz gráfica de usuario. - REGISTRO NACIONAL DE IDENTIFICACI~N Y ESTADO CIVIL Jr Ec!ivia ; 25 Ed,'c-o Centro Civico - Cercado de Limz www reniec gob pe 5 '1 I

6 6-1 requeridas. "DECENIO DE LAS PERSONAS CON DISCAPACIDAD EN EL PERU" INDUSTRIA RESPONSABLE Y DEL COMPROMISO CLIMÁTICO~ Disponer de una opción para la definición de procedimientos de negocio y administrativos, que trabaje con nomenclatura BPMN 2.0 en adelante, permitiendo definir el ciclo de vida de los expedientes, así como las acciones asociadas en cada paso de su ciclo de vida. Versionar los procedimientos administrativos, permitiendo almacenar diferentes versiones de un mismo procedimiento, diferenciado de manera clara cuál de ellas es la versión en uso. Permitir la gestión de expedientes electrónicos que soporte la automatización de los procedimientos de negocio y administrativos. Permitir clasificar un documento en el expediente correspondiente, desde el momento en Que se ingresa al sistema. I Permitir el manejo de expedientes con múltiples entradas. 7 Capacidad de cambio de la funcionalidad según proceso de negocio por definirse. Facilitar el modelamiento de los procesos a configurar en un entorno gráfico, bajo estándares de notación BPMN versión 2.0 en adelante. Disponer de herramientas para la creación, parametrización y administración de los flujos de negocio. Permitir la creación y administración de trámites, especificando los plazos de atención para cada uno de ellos. Utilización de otros medios de comunicación que se integren al producto principal. Los expedientes podrán contener, tanto información alfanumérica 1 a completar durante el trámite del mismo, como documentos 1 creados con herramientas ofimáticas que deberán poderse añadir al expediente. Permitir la parametrización para el manejo de alertas, vía correo electrónico, sobre el cumplimiento de los plazos, previamente definidos y asociados con los documentos y expedientes. Permitir el escaneo, carga y almacenamiento de documentos por puesto de trabajo integrado a la plataforma de gestión documental. Permitir que un documento ingrese automáticamente a un flujo de trabajo desde su digitalización..o #tributo de Uso :i 9 Consultas, reportes, trazabilidad. Consultar trámites, expedientes y documentos por los diferentes criterios, a partir de la metadata 3 $ ~ " ~ r, ~ Integración a otros productos software Permitir automatizar el control de la producción, distribución y conservación de formularios e implementar el diligenciamiento y circulación vía digital de aquellos que así lo permitan y su asociación a la metadata que facilite su búsqueda. Visualización de la documentación según flujos de trabajo y estados, así como actividades, tramites y documentos pendientes, en proceso o atendidos (estados situacionales mínimos) Permitir el consumo de webservices publicados por otros sistemas, así como la publicación de webservices para el consumo desde otras aplicaciones. REGISTRO NACIONAL DE IDENTIFICACI~N Y ESTADO CIVIL 6,'11 Jr Bolivca?CS Eciiicio Centro Civico - Cercado de Lima WWLV reniec.gob.pe

7 \??[:!!E(, *t? '"'''''vk~ 3 &7-.2d Y "DECENIO DE LAS PERSONAS CON DISCAPACIDAD EN EL PERÚ" "AÑ0 DE LA PROMOCIÓN DE LA INDUSTRIA RESPONSABLE Y DEL COMPROMISO CLIMÁTICO" de software asociados 0 integrados. Facilidad de uso, operabilidad y aprendizaje. Uso de estándares internacionales en seguridad, procesos, producto software y buenas practicas. La solución debe permitir el manejo de certificados digitales emitidos por el RENIEC. El software de firma digital debe generar documentos electrónicos de larga duración (firma longeva), posibilitando la verificación de la validez de los mismos a lo largo del tiempo, disponiendo por tanto de un documento electrónico con ~lena garantía lega'l y con validez y eficacia jurídica en el largo' plazo, dentro del marco de la IOFE del Estado Peruano. Debe permitir soportar múltiples firmas. Un mismo expediente o documento deberá poder ser firmado múltiples veces por múltiples usuarios. En cuanto a las herramientas ofimáticas, debe permitir el uso de plantillas y documentos del estándar de edición de documentos ofimáticos del Office de Microsoft. Debe incluir los mecanismos necesarios para la validación de documentos firmados digitalmente. Debe incluir los mecanismos necesarios para la validación de documentos firmados digitalmente e impresos posteriormente. Debe permitir añadir la información de timestamping y estado de revocación (OCSP y CRL) de los certificados, con el fin de que los documentos firmados resultantes dispongan de todos los datos necesarios para las validaciones sin necesidad de conectarse on-line a REhIIEC. Los mecanismos de firma digital a aplicar deberán ser de fácil uso. Es por ello que la plataforma de firma digital a implantar, deberá disponer de los mecanismos de acceso vía PKCS#I 1 y MSCAPI, que permitan el acceso a los dispositivos criptográficos donde se almacenan los certificados digitales, posibilitando la firma digital en lote, sin la necesidad de introducir el PIN para la firma de cada uno de los documentos. Guiar a los usuarios en los distintos pasos a seguir en cada momento, por ello se debe disponer de una bandeja de tareas pendientes donde se encontrarán los trámites que tengan asignados. Permitir relacionar expedientes entre sí con el fin de facilitar el acceso a la información que corresponda durante la tramitación. Permitir la búsqueda de documentos a partir de parámetros definidos previamente por el área usuaria. Para las búsquedas contextuales, debe permitir la búsqueda de expedientes o documentos, a partir de palabras incluidas en su contenido. Los reportes deben ser ilustrativos. Incorporar estadísticas y tableros de control con indicadores de gestión y de producción definidos previamente por el área usuaria. Como parte del proceso de ciclo de vida del software se recomienda que el fabricante cuente con certificación ISOIIEC o ISOIIEC o CMMI. Como parte de la gestión de la calidad y de seguridad de la información se recomienda que el fabricante cuente con certificación ISOII EC 9001 y REGISTRO NACIONAL DE IDENTIFICACI~M Y ESTADO CIVIL Jr Bolivia ;O9 Edificio Centro Civico - Cercado de Lima www reniec.cob pe i l i

8 1 "DECENIO DE LAS PERSONAS CON DISCAPACIDAD EN EL PERÚ" "ANO DE LA PROMOCI~N DE LA INDUSTRIA RESPONSABLE Y DEL COMPROMISO CLIMÁTICO~I El componente de firma digital debe contar con acreditación por la Autoridad Administrativa Componente en el marco de la IOFE del Estado Peruano, como mínimo, en un nivel de seguridad medio. Uso del estándar de conservación de archivos electrónicos PDFIA, y la incorporación de códigos de verificación PDF417. e. Niveles, Escalas para las Métricas La escala asignada para las métricas seleccionadas según las necesidades de demanda existentes, son las siguientes: Definición de Atributos y Escala ltem 1 Criterio Escala Atributo Interno 1 Producto software que contenga formularios, opciones, módulos, ficheros y plantillas para la gestión documental y administrativa con firma digital acorde a las regulaciones de la IOFE del Estado Peruano. 2 3 Registro de metadata, clasificación, tipo documental y estados. Manejo de criterios de seguridad informática e interoperabilidad. Determinación de la documentación, expedientes y registros, asociados a tramiteslflujos, según la funcionalidad y operatividad requerida. 1 O 5 Facilidad de integración a herramientas existentes en el entorno de trabajo actual. 5 1 Atributo Externo l 1 Adecuación del producto según las funcionalidades en uso requeridas. Capacidad de cambio de la funcionalidad según proceso de negocio por definirse. Utilización de otros medios de comunicación que se integren al producto principal. 5 1 Atributo de Uso 1 g Consultas, reportes, trazabilidad. Integración a otros productos software mediante componentes de software asociados o integrados Facilidad de uso, o~erabilidad v a~rendizaie Uso de estándares internacionales en seguridad, 12 procesos, producto software y buenas pr2cticas. ' Escala de Valores del 1 al a razón de lograr un total de 0 en la \ialorización total de los ~iiibutcs cólificaoos. REGISTRO NACIONAL DE IDENTIFICACI~N Y ESTADO ClVlL Jr. Solivia?CS Ed:iicio Ce.i:rc Cibica - Cercaoo de Lima WWM' reniec cjob.pe 5 1 O 1 O0

9

10

11