2.- DESCRIPCIÓN DE LOS TRABAJOS A REALIZAR

Transcripción

1 PLIEGO DE PRESCRIPCIONES TÉCNICAS PARTICULARES QUE HA DE REGIR LA ADJUDICACIÓN MEDIANTE PROCEDIMIENTO ABIERTO, TRAMITACIÓN ORDINARIA DEL CONTRATO ADMINISTRATIVO DE SERVICIO PARA LA AUDITORÍA BIENAL DE LAS POLÍTICAS DE SEGURIDAD EN EL TRATAMIENTO Y PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL EN EL EXCMO. AYUNTAMIENTO DE SANTA CRUZ DE TENERIFE Y SUS ORGANISMOS AUTONOMOS. 1.- INTRODUCCIÓN 1.1. Este documento es el Pliego de prescripciones técnicas que han de regir para la contratación de la realización de una auditoria bienal de cumplimiento de medidas de seguridad en materia de protección de datos de carácter personal en los Sistemas de Información del Excmo. Ayuntamiento de Santa Cruz de Tenerife y sus Organismos Autónomos, en los términos del art. 97 del Real Decreto 1720/2007, de 21 de diciembre, que aprueba el Reglamento de desarrollo de la LOPD. La legislación española en materia de protección de datos de carácter personal tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar. La legislación es de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado El objeto del contrato deberá realizarse conforme al proyecto y plan de trabajo que resulte de la proposición presentada por los licitadores al presente contrato, que, a su vez, resulte aceptada y seleccionada por el Ayuntamiento de Santa Cruz de Tenerife. Con el objeto de cumplir con la legislación vigente, principalmente la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal ( en adelante LOPD) y el Real Decreto 1720/2007, de 21 de diciembre, que aprueba el Reglamento de desarrollo de la LOPD ( en adelante RLOPD), ha llevado a cabo diversas acciones encaminadas a homogeneizar y coordinar el proceso de adecuación a la Legislación de Protección de Datos de Carácter Personal. El objetivo principal del contrato, es verificar el cumplimiento por parte del EXCMO. AYUNTAMIENTO DE SANTA CRUZ DE TENERIFE, de las exigencias derivadas de la Legislación de Protección de Datos de Carácter Personal y en concreto que los sistemas de información e instalaciones de tratamiento de datos municipales, cumplan con los procedimientos e instrucciones vigentes en materia de seguridad de datos y normativa reguladora, respecto a los ficheros municipales ( inscritos o en trámite de inscripción en el Registro Público de Protección de Datos de la Agencia Española de Protección de Datos) que contengan datos de carácter personal a los que se les apliquen los niveles de seguridad básico, medio y alto. 2.- DESCRIPCIÓN DE LOS TRABAJOS A REALIZAR 2.1 Alcance y ámbito del proyecto La función informática del EXCMO. AYUNTAMIENTO DE SANTA CRUZ DE TENERIFE se articula a través de los servicios de Informática, el objetivo de esta 25 / 31

2 contratación es disponer de una auditoria de cumplimiento de medidas de seguridad en materia de protección de datos de carácter personal referida a los sistemas de información e instalaciones de tratamiento y almacenamiento de datos cuya responsabilidad de explotación reside en el Ayuntamiento. La empresa adjudicataria deberá realizar al menos las mencionadas auditorias en: Organismo Autónomo Gerencia Municipal de Urbanismo. Organismo Autónomo de Deportes. Organismo Autónomo de Cultura. Organismo Autónomo de Fiestas y Actividades Recreativas. Excmo. Ayuntamiento de Santa Cruz de Tenerife Objeto del trabajo El objeto de los trabajos del presente contrato es la prestación de los servicios y trabajos necesarios para realizar la auditoria bienal de cumplimiento de medidas de seguridad en materia de protección de datos de carácter personal, materializándose las mismas en un documento de auditoria para el EXCMO. AYUNTAMIENTO DE SANTA CRUZ DE TENERIFE. El documento de auditoria debe en cualquier caso cumplir lo exigido en el artículo 97 RLOPD. 2.3 Resultado de los trabajos La empresa adjudicataria deberá aportar como entregables al menos: Informe sobre la adecuación de las medidas y controles a la LOPD y desarrollo reglamentario, identificar sus deficiencias y proponer las medidas correctoras o complementarias necesarias. Deberá, igualmente, incluir los datos, hechos y observaciones en que se basen los dictámenes alcanzados y las recomendaciones propuestas. Informe de adecuación del Documento de Seguridad. Los informes deberán referirse con la debida separación a las entidades incluidas en el objeto de aplicación ( Excmo. Ayuntamiento y Organismos Autónomos). 3.- CARACTERÍSTICAS DEL TRABAJO. Los trabajos se realizarán siguiendo las siguientes etapas: Fase 0: Preparación de los trabajos. Como cuestión previa, se desarrollarán las tareas necesarias para llevar a cabo los posteriores trabajos que constituirán el proceso de auditoria de Seguridad. En particular y sin perjuicio de las tareas que los licitadores puedan contemplar dentro de la metodología de sus ofertas, se incluirán las siguientes: Planificación detallada de las actuaciones, incluyendo el lanzamiento del proyecto, la coordinación con los distintos órganos y Centros afectados y la constitución de los equipos de trabajo. Preparación de los materiales y documentación necesarios para llevar a cabo el proceso de auditoria. En particular, deberá confeccionarse un modelo de Documento-tipo de auditoria de seguridad que contemple los requerimientos del RLOPD y las particularidades de los sistemas de información del EXCMO. AYUNTAMIENTO DE SANTA CRUZ DE TENERIFE. Fase I: Verificación preliminar de medidas. 26 / 31

3 La verificación preliminar de medidas puede dividirse, a su vez, en dos niveles, con el fin de minimizar la repetición de tareas cuyo resultado puede esperarse que sea común a varios Sistemas de Información de distintos centros por tratarse de plataformas comunes o equiparables tecnológicamente. En un primer nivel, se procederá al análisis de las características y medidas de seguridad contempladas en el diseño de cada uno de los Sistemas de Información implantados en el Ayuntamiento y en los Organismos Autónomos. En particular y sin perjuicio de las tareas que los licitadores puedan contemplar dentro de la metodología de sus ofertas, se deberán contemplar, al menos, las siguientes: 1.- Verificación de características a nivel de Sistemas de Información: Se procederá, como primera tarea, a la verificación de las características generales de cada uno de los Sistemas de información y en especial los siguientes aspectos: Identificación y clasificación de ficheros con datos de carácter personal Mecanismos de identificación y autenticación de las aplicaciones Tratamiento de la seguridad en las comunicaciones 2.- Análisis de Documentos de Seguridad a nivel de Sistemas de Información: Se procederá, en su caso, a la revisión detallada del Documento de Seguridad, y en especial los siguientes aspectos: Medidas, normas, procedimientos, reglas y estándares orientados a garantizar el nivel de seguridad establecido. Funciones, obligaciones y responsabilidades del personal que accede o custodia el fichero. Procedimientos de notificación, gestión y respuesta a incidencias sobre los ficheros. 3.- Revisión de los procedimientos técnicos y organizativos Se deberá evaluar el grado de adecuación de los procedimientos existentes. En especial, se revisarán aquellos procedimientos generales que establecen el marco para la aplicación de las medidas de seguridad descritas en el RLOPD, contemplando, al menos, los siguientes: Existencia de políticas, directrices, normativa y procedimientos de seguridad implantados y difundidos, así como la adecuación de este marco de seguridad al RLOPD. Organización interna de la seguridad, definición de funciones y responsabilidades. Existencia, utilización y protección de las medidas y procedimientos para la gestión de usuarios y mantenimiento de contraseñas. Procedimientos de control de acceso a través de redes de comunicaciones. Gestión de incidencias de seguridad. 27 / 31

4 4.- Revisión de las Medidas de Seguridad exigidas en el Reglamento. Se deberá realizar una revisión de las medidas particulares de seguridad que se hayan implantado para llevar a cabo las políticas de seguridad, a nivel de cada una de las instalaciones de cada Centro. En concreto, se analizarán aquellas medidas técnicas específicas que debieran estar implantados sobre los ficheros de carácter personal y sistemas que los tratan, de acuerdo con el nivel de seguridad que le corresponde. Los principales parámetros que habrán de revisarse comprenderán, al menos, los siguientes: Medidas de protección de los principales ficheros del sistema operativo. Medidas de protección de las aplicaciones y bases de datos que gestionen información de carácter personal. Medidas de identificación y autenticación de usuarios. Activación de las herramientas de control de acceso. Activación de las herramientas de registro de incidencias. Medidas de seguridad y control en la transferencia de datos. Seguridad física. 5.- Dictamen preliminar Como resultado de esta primera fase se producirá un Dictamen Preliminar sobre la adecuación de las medidas de seguridad existentes, en el que se contemplarán las recomendaciones oportunas para alcanzar la necesaria adecuación. Dicho Dictamen se tratará de forma absolutamente confidencial y se pondrá a disposición del Ayuntamiento además de entregarse a la Dirección del proyecto. Fase II: Contraste de la auditoria En esta segunda fase, se abrirá un plazo a fin de que por parte de cada uno de los centros realicen alegaciones exponiendo las discrepancias que les hayan podido surgir con el Dictamen preliminar, las cuales serán estudiadas por el adjudicatario para ser rectificadas o reafirmadas. Este plazo nunca será superior a un mes y con el mismo se persigue la validación por parte del Ayuntamiento u Organismo Autónomo de los aspectos reflejados en el dictamen. Fase III: Definición del plan de Acción e Informe de auditoria Finalmente, en una tercera fase, una vez que se haya validado el dictamen preliminar se procederá a formalizar el informe de auditoria, que debe contemplar un plan de acción que defina las medidas correctoras necesarias para la adecuación al Reglamento. El contenido del documento de auditoria, que habrá de explicitarse con detalle en la oferta, comprenderá, al menos lo siguiente: Metodología y plan de trabajo desarrollado. Aspectos contemplados en la auditoria. 28 / 31

5 Cumplimiento de las medidas requeridas en cada uno de ellos. Síntesis de las no conformidades o carencias detectadas. Propuesta de acciones correctoras y de mejora. Resumen del resultado de la auditoria y cuadro resumen del grado de cumplimiento con respecto a la normativa vigente de protección de datos. 4.- PRESENTACIÓN DE LA OFERTA 4.1 Memoria Técnica de la oferta. 1.- Se describirán las condiciones de desempeño de las tareas a desarrollar, en los términos ajustados al presente Pliego de Prescripciones Técnicas, en particular las referentes a la metodología a seguir, recursos materiales disponibles para la ejecución del contrato, prestaciones superiores a las solicitadas, así como cualesquiera otras circunstancias que incidan en la prestación del trabajo. 2.- La memoria contendrá una planificación temporal pormenorizada de las tareas, así como la composición y distribución de los diferentes equipos de trabajo que se oferten, incluyendo: Descripción detallada de las actividades a realizar. Plazo de ejecución y diagrama temporal de actividades (cronograma). Dedicación por cada categoría del equipo de trabajo. Resultados y productos intermedios. Resultados y productos finales. Informes de seguimiento y control del proyecto. 4.2 Equipo de trabajo 1.- Los licitadores deberán incluir información detallada sobre el equipo de trabajo puesto a disposición del contrato, con indicación expresa de: Identificación, categoría, función asignada y disponibilidad para el contrato (total, parcial u ocasional). Titulación académica y formación complementaria. Experiencia profesional, detallando los proyectos en que han participado en los últimos cinco años relacionados con auditoria o consultoría de seguridad informática. 2.- El adjudicatario deberá mantener la adscripción ofertada del equipo de trabajo a este contrato, de acuerdo con la disponibilidad asignada a cada miembro, debiendo informar a la Dirección del proyecto del cambio de situación profesional de cualquier integrante del equipo de trabajo. 4.3 Experiencia de la empresa en trabajos similares 1.- Los licitadores deberán incluir una relación de los principales servicios o trabajos realizados por la empresa en los últimos tres años, relacionados con el objeto del contrato. 2.- Podrán incluir cuanta documentación consideren oportuna para acreditar el conocimiento y uso de las herramientas y metodologías alegadas, así como de la adhesión a estándares y organizaciones relacionados con seguridad informática a que pertenezcan. 29 / 31

6 5.- CONDICIONES GENERALES 5.1. Planificación, dirección y seguimiento de los trabajos. Corresponde al EXCMO. AYUNTAMIENTO DE SANTA CRUZ DE TENERIFE la supervisión y dirección de los trabajos, proponer las modificaciones que convenga introducir o, en su caso, proponer la suspensión de los trabajos si existiese causa suficientemente motivada. El EXCMO. AYUNTAMIENTO DE SANTA CRUZ DE TENERIFE designará un Director Técnico cuyas funciones en relación con el objeto del presente pliego serán las siguientes: - Velar por el cumplimiento de los trabajos exigidos y ofertados. - Dictar instrucciones de ejecución del servicio. - Asistir a las reuniones del Comité de Seguimiento. - Proponer la formalización de penalidades. - Determinará si la prestación realizada por el contratista se ajusta a las prescripciones establecidas para su ejecución y cumplimiento, requiriendo, en su caso, la realización de las prestaciones contratadas y la subsanación de los defectos observados con ocasión de su recepción. - El Director Técnico podrá delegar sus funciones en una persona de su equipo. Asimismo, podrá incorporar al proyecto durante su realización, las personas que estime necesarias para verificar y evaluar todas las actuaciones a su cargo. El equipo de trabajo que el adjudicatario aporte podrá integrarse, a juicio del Director Técnico, en un grupo de trabajo mixto en el que también participarán técnicos propios del centro directivo. Las tareas, funciones y competencias de cada uno de los integrantes del grupo mixto se determinarán en todo momento a criterio del Director Técnico del proyecto. El calendario de realizaciones será planificado y ajustado, bajo la iniciativa y coordinación de los responsables del Proyecto por parte del centro directivo, con la participación y obligada aceptación del mismo por parte del adjudicatario. bases: El seguimiento y control del proyecto se efectuará sobre las siguientes Seguimiento continuo y concomitante de la evolución del proyecto entre el responsable del equipo de trabajo por parte del adjudicatario y el Director Técnico. El centro directivo podrá determinar los procedimientos y herramientas a utilizar para poder llevar a cabo la planificación, seguimiento y control del proyecto. Reuniones de seguimiento y revisiones técnicas del responsable del equipo de trabajo por parte del adjudicatario, y del Director Técnico o persona en quien delegue, al objeto de revisar el grado de cumplimiento de los objetivos, las reasignaciones y variaciones de efectivos de personal dedicado al proyecto, las especificaciones funcionales de cada uno de los objetivos y la validación de las programaciones de actividades realizadas. Tras las revisiones técnicas, de las que se levantará acta, el Director Técnico podrá rechazar en todo o en parte los trabajos realizados, en la medida que no respondan a lo especificado en las reuniones de planificación o no superasen los controles de calidad acordados. 30 / 31

7 5.2. Valoración Económica El importe máximo de la presente contratación asciende a , 00 euros (I.G.I.C. incluido), que se financiará con cargo a la partida presupuestara adecuada al efecto en el Presupuesto General Municipal correspondiente al ejercicio 2008, identificada como F00 121LO Lugar de presentación de los trabajos El lugar de presentación de los trabajos será la sede del EXCMO. AYUNTAMIENTO DE SANTA CRUZ DE TENERIFE. Santa Cruz de Tenerife, 8 de agosto de EL DIRECTOR GENERAL DE SEGURIDAD Y PROTECCIÓN DE DATOS, Sergio Prieto Galván. CONFORME, LA CONCEJALA DE RECURSOS HUMANOS, CALIDAD, TECNOLOGÍA Y PROTECCIÓN DE DATOS PERSONALES, Begoña Ortiz Lestón. 31 / 31