INFORME Nº GTI. A : José Kanashiro Uechi Superintendente Adjunto de Administración General. DE : Gerente de Tecnologías de Información

Transcripción

1 INFORME Nº GTI A : José Kanashiro Uechi Superintendente Adjunto de Administración General DE : Gerente de Tecnologías de Información ASUNTO : Informe Técnico Previo de Evaluación de Software REFERENCIA : Informe N DST FECHA : 04 de abril de Antecedentes El presente informe ha sido elaborado en cumplimiento con lo dispuesto por el Reglamento de la Ley Nº 28612, Ley que norma el uso, adquisición y adecuación del software en la Administración Pública, y formará parte del requerimiento que será formulado por esta gerencia para la contratación del servicio de soporte técnico y actualización del software para seguridad perimetral de correo electrónico. 2. Nombre del Área El área encargada de la evaluación técnica para la contratación del servicio de soporte técnico y actualización del software para seguridad perimetral de correo electrónico es la Gerencia de Tecnologías de Información de esta Superintendencia. 3. Nombre y Cargo del Responsable de la Evaluación El funcionario responsable de la evaluación es el Sr. Edgar Pajuelo Rubina, Analista de Redes y Comunicaciones del Departamento de Soporte Técnico, de la Gerencia de Tecnologías de Información. 4. Fecha La fecha del presente informe es el 04 de abril de Justificación La Superintendencia de Banca, Seguros y Administradoras Privadas de Fondos de Pensiones (SBS), para el cumplimiento de sus funciones de supervisión y regulación, así como para prevenir y detectar el Lavado de Activos y el Financiamiento del Terrorismo, ha implementado una plataforma para la protección perimetral del correo electrónico, basada en productos Symantec, que permite brindar una protección efectiva contra la propagación de virus informáticos a través del uso del correo electrónico por Internet, filtrar y eliminar correos electrónicos no deseados y gestionar el cumplimiento de políticas de contenido y seguridad basadas en reglas de negocio para el servicio de correo electrónico de la Superintendencia. Los Laureles Nº Lima 27 - Perú Telf. : (511) Fax: (511)

2 Actualmente, la Superintendencia cuenta con una infraestructura compuesta por 900 licencias para correos electrónicos entrantes y 600 licencias correos electrónicos salientes del software Symantec Messaging Gateway. Todas las licencias actuales se encuentran en completo uso por parte de la Superintendencia y cuentan con su respectivo servicio de soporte técnico y actualización, el cual incluye los derechos para las actualizaciones a nuevas versiones de software, las descargas de firmas/parches para el servicio de antivirus y los patrones y base de datos para el servicio de protección anti-spam, que se encuentren disponibles durante la vigencia del servicio. El software de seguridad perimetral de correo electrónico cumple con las funcionalidades de antispam (correo electrónico no deseado), anti-malware y filtrado de contenidos. Todas estas funcionalidades están enfocadas en brindar un adecuado nivel de protección contra amenazas externas, que son distribuidas mediante el servicio de correo electrónico. La Superintendencia utiliza dicho software como primera línea de defensa de seguridad perimetral para el servicio de correo electrónico, la cual permite disminuir la carga de procesamiento y análisis en los servidores internos de correo electrónico, ya que elimina un alto porcentaje (mayor al 97%) de los correos entrantes que son considerados como spam (correo no deseado). Asimismo, sobre los correos que son procesados para su entrega, el software realiza un análisis exhaustivo del contenido de los mensajes entrantes, evitando así ataques por malware (virus), phising, pharming, entre otros. Al prevenir el ingreso de estos ataques vía correo electrónico, se reduce el riesgo de fraude y fuga de información en la organización y sus usuarios. Por otro lado, existen también otros tipos de ataques a través del servicio de correo electrónico, que tienen por finalidad extraer información de la organización, tales como la búsqueda recursiva de directorios, en la cual los atacantes automatizan la validación de cuentas de correo electrónico a través de los destinarios. Al prevenir estos tipos de ataques, se evita que se extraigan bases de datos de los correos electrónicos de usuarios internos y se valida también la entrega de correo a únicamente a destinarios válidos. De acuerdo a las siguientes estadísticas obtenida por el software de seguridad perimetral actualmente en uso (ver Figura N 01), se observa que del 100% de correos recibidos durante una semana, solo el 16.8% representa correos electrónicos limpios o válidos, es decir, correos electrónicos que realmente cumplen con las políticas de seguridad de la Superintendencia, al no presentar spam, virus, phishing y/o pharming y ser destinados a usuarios finales válidos. Figura N 01 Estadística de Correo Electrónico (a marzo de 2017) Los Laureles Nº Lima 27 - Perú Telf. : (511) Fax: (511) /7

3 De esta manera, se observa que de la muestra obtenida en el periodo de una semana, la Superintendencia recibe un aproximado de 140,000 correos electrónicos que presentan alguna amenaza de seguridad informática, sea que estos contienen algún virus, enlaces de fraude o fuga de información, o principalmente, ataques de suplantación de identidad (phishing attacks). Este último punto es sumamente importante, ya que es el principal punto de vulnerabilidad que pone en riesgo la información de los usuarios y la organización, debido a su alto grado de complejidad de identificación por parte de los sistemas de seguridad perimetral y de los usuarios finales. Para mitigar estas amenazas, se adquirió y actualizó los dispositivos (appliances) de seguridad perimetral de correo electrónico (antivirus y anti-spam) en el año 2014 y, posteriormente, se incorporaron en la plataforma de virtualización VMware (mediante appliances virtuales), segregando los roles de gestión y de análisis de spam, phishing y malware. Estas acciones permitieron cubrir la creciente demanda de volumen de correo electrónico y dotar de un servicio redundante, empleando para ello tecnologías de virtualización y alta disponibilidad, con la finalidad de garantizar la continuidad de las operaciones de la Superintendencia. En tal sentido, el servicio de seguridad perimetral de correo electrónico es el primer punto de contacto externo para el servicio electrónico corporativo y presenta un rol importante en la seguridad informática de la Superintendencia, en la medida que el canal de correo electrónico es uno de los principales focos amenaza sobre infección de virus, fuga de información y suplantación de identidad. Si este servicio estuviese comprometido, podría afectar seriamente las comunicaciones y operaciones de la Superintendencia y pondría en riesgo la información de la red interna. Por lo tanto, tal como lo explica el Departamento de Soporte Técnico, en el Informe N DST, se requiere mantener en óptimas condiciones de funcionamiento la plataforma de seguridad perimetral de correo electrónico Symantec, para lo cual se debe contar con el servicio de soporte técnico y actualización correspondiente. 6. Alternativas Desde su adquisición, el software de seguridad Symantec sido utilizado en la seguridad perimetral del correo electrónico (anti-spam, anti-phishing y anti-malware), servicio principal de las comunicaciones y la cual brinda soporte a las operaciones diarias de la Superintendencia. Si se optara por un cambio de software, sería necesario volver a implementar una nueva plataforma de seguridad perimetral para correo electrónico y migrar la totalidad de políticas de seguridad, reglas de contenido, reglas de excepción e integración con los servicios y aplicaciones actuales, con el consecuente esfuerzo en horas-hombre y el potencial riesgo de, en ese proceso, perder información y funcionalidad ya incorporada en las actuales aplicaciones. Adicionalmente, el cambio de la plataforma de seguridad del software Symantec por otro software, implicaría también la reconfiguración de la plataforma de seguridad a nivel de servidores, infraestructura de red y estaciones de trabajo de usuarios finales. Esto demandaría horas-hombre para la instalación y configuración del nuevo software, el cual podría requerir de equipos adicionales o de distinta configuración a los ya adquiridos por la Superintendencia. Asimismo, el uso de un nuevo software obligaría a reemplazar las licencias del software Symantec Messaging Gateway con que ya cuenta la Superintendencia, con la consecuente pérdida de la inversión realizada para su adquisición. Como resultado, mediante Resolución SBS N , de fecha 25 de junio de 2015, se aprobó la estandarización del uso y del servicio de soporte técnico y actualización del software Symantec Messaging Gateway en la Superintendencia, cumpliendo para ello con lo dispuesto por la Directiva Los Laureles Nº Lima 27 - Perú Telf. : (511) Fax: (511) /7

4 N OSCE/CD, que refería los lineamientos para la contratación que hace referencia a una determinada marca o tipo particular de producto o servicio. Adicionalmente, es necesario considerar el grado de familiaridad, conocimiento y experiencia que ha adquirido el personal de la Gerencia de Tecnologías de Información en el uso, soporte y administración de los productos de software Symantec durante estos últimos seis años. Por otro lado, es importante considerar que el servicio de soporte técnico y actualización requerido garantiza la atención de problemas o fallas en el software, a cargo del propio fabricante. De esta manera, se asegura la correcta funcionalidad y operatividad del software, al contar con un servicio de soporte técnico que permita canalizar consultas técnicas o reportar fallas directamente al fabricante, como se ha suscitado en situaciones anteriores y las cuales han sido resultas. Además, este servicio permite la actualización del software a las nuevas versiones liberadas, lo cual garantiza su funcionalidad al reducir la posibilidad de obsolescencia tecnológica, lo cual preserva el valor económico de la inversión realizada. En tal sentido, el Departamento de Soporte Técnico, a través del Informe N DST, considera que se debe mantener el software Symantec en la plataforma de seguridad perimetral de correo electrónico de la Superintendencia y no se evaluarán alternativas para su reemplazo, debido al nivel de inversión realizado, los riesgos de compatibilidad y continuidad operativa en las comunicaciones, y el alto costo que implicaría migrar hacia otra plataforma de software de seguridad perimetral. 7. Análisis Comparativo Técnico Dado que el Departamento de Soporte Técnico, a través del Informe N DST, considera que se debe mantener el software Symantec como plataforma de seguridad perimetral de correo electrónico en la Superintendencia, y que mediante Resolución SBS N , de fecha 25 de junio de 2015, se aprobó la estandarización del uso y del servicio de soporte técnico y actualización del software Symantec Messaging Gateway en la Superintendencia, no se realizará el análisis comparativo técnico basado en la Parte 3: Proceso de Evaluación de Software de la Guía de Evaluación de Software, aprobada por Resolución Ministerial N PCM, al no ser posible su aplicación puesto que no se evaluarán alternativas para el reemplazo del citado software. Esta excepción está contemplada en el Reglamento de la Ley Nº 28612, Ley que Regula el Uso, Adquisición y Adecuación del Software en la Administración Pública, y será comunica a la Oficina Nacional de Gobierno Electrónico e Informática (ONGEI), tal como está establecido en el mencionado Reglamento. Por otro lado y como referencia, se debe señalar que para la contratación del servicio de soporte técnico y actualización y la adquisición de licencias adicionales del software Symantec, mediante Resolución SBS N , de fecha 25 de junio de 2015, se aprobó la estandarización del uso y del servicio de soporte técnico y actualización del software Symantec Messaging Gateway en la Superintendencia, por un período de tres (03) años, cumpliendo para ello con lo dispuesto en su momento por la Directiva N OSCE/CD, que refería los lineamientos para la contratación que hace referencia a una determinada marca o tipo particular de producto o servicio. De esta forma, se confirmó la decisión de la Superintendencia en continuar utilizando el software Symantec como plataforma de seguridad perimetral de correo electrónico. Los Laureles Nº Lima 27 - Perú Telf. : (511) Fax: (511) /7

5 Por otro lado, la necesidad de que el servicio de soporte técnico y actualización del software Symantec sea provisto por el mismo fabricante o por un distribuidor autorizado para tal fin, responde a que es indispensable asegurar los siguientes puntos: El soporte técnico es prestado por personal del fabricante o del distribuidor que, formalmente, está autorizado por el fabricante para revisar código fuente, librerías, modificar programas o resolver problemas, asumiendo la responsabilidad de los cambios realizados. De esta forma, no se pierde la garantía sobre el software. La condición de distribuidor autorizado asegura que el personal está en capacidad de resolver problemas recurriendo a las fuentes de información provistas por el fabricante, algo a lo que un distribuidor no autorizado no tendría acceso. La actualización de las versiones del software garantiza su vigencia tecnológica en el tiempo, además de permitir el acceso a mejoras en la funcionalidad del software, en beneficio de los usuarios. Un distribuidor autorizado comparte con el fabricante, por contrato, la responsabilidad sobre el desempeño del software y cualquier eventualidad que el mismo pueda originar. En ese sentido, todo incidente de orden técnico o funcional es atendido por el fabricante, a través de su distribuidor original, el cual provee las instrucciones o realiza los contactos con el fabricante. En ese sentido, contar con un servicio de soporte provisto por el fabricante del software, garantiza la correcta operatividad, funcionamiento, soporte técnico y actualización de versiones del software. Caso contrario, la inversión realizada podría estar en riesgo de pérdida ante la eventualidad de una falla o error, que no estaría cubierta por la garantía del fabricante al no contar la Superintendencia con un servicio que permita atender estos requerimientos. Adicionalmente, este servicio no puede ser brindado por otra empresa, debido a que no se contaría con la autorización (por derechos de propiedad intelectual) para modificar el software, por lo cual la contratación de un servicio de soporte brindado por una empresa no autorizada resultaría contraproducente, desde el punto de vista operativo y económico. 8. Análisis Comparativo de Costo Beneficio Dado que el Departamento de Soporte Técnico, a través del Informe N DST, considera que se debe mantener el software Symantec como plataforma de seguridad perimetral de correo electrónico en la Superintendencia, no se realizará el análisis comparativo de costo beneficio, puesto que no se evaluarán alternativas para el reemplazo del citado software. A partir de las cotizaciones solicitadas a los representantes autorizados del software Symantec, el costo de la contratación del servicio de soporte técnico y actualización para 900 licencias del software Symantec Messaging Gateway es de S/.72,900.00, mediante pago único e incluido los impuestos de Ley. 9. Conclusiones Las conclusiones del presente informe son las siguientes: La Superintendencia de Banca, Seguros y Administradoras Privadas de Fondos de Pensiones (SBS), para el cumplimiento de sus funciones de supervisión y regulación, así como para prevenir y detectar el Lavado de Activos y el Financiamiento del Terrorismo, ha implementado una plataforma para la protección perimetral del correo electrónico, basada en Los Laureles Nº Lima 27 - Perú Telf. : (511) Fax: (511) /7

6 productos de software Symantec, que permite brindar una protección efectiva contra la propagación de virus informáticos a través del uso del correo electrónico por Internet, filtrar y eliminar correos electrónicos no deseados y gestionar el cumplimiento de políticas de contenido y seguridad basadas en reglas de negocio para el servicio de correo electrónico de la Superintendencia. La Superintendencia utiliza dicho software como primera línea de defensa de seguridad perimetral para el servicio de correo electrónico, el software realiza un análisis exhaustivo del contenido de los mensajes entrantes, evitando así ataques por malware (virus), phising, pharming, entre otros. Al prevenir el ingreso de estos ataques vía correo electrónico, se reduce el riesgo de fraude, fuga de información en la organización y sus usuarios, y ataques de suplantación de identidad. Como parte de su infraestructura tecnológica, la Superintendencia cuenta con 900 licencias para correos electrónicos entrantes y 600 licencias correos electrónicos salientes del software Symantec Messaging Gateway, las cuales componen actualmente la plataforma de seguridad perimetral de correo electrónico. De dicha plataforma pre-existente, se contratará el servicio de soporte técnico y actualización para 900 licencias Symantec Messaging Gateway. Mediante la Resolución SBS N , de fecha 25 de junio de 2015, se aprobó el proceso de estandarización del uso y del servicio de soporte técnico y actualización del software Symantec Messaging Gateway en la Superintendencia, cumpliendo para ello con lo dispuesto por la Directiva N OSCE/CD, que refería los lineamientos para la contratación que hace referencia a una determinada marca o tipo particular de producto o servicio. El Departamento de Soporte Técnico, a través del Informe N DST, considera que se debe mantener el software Symantec como plataforma de seguridad perimetral de correo electrónico de la Superintendencia, y no se evaluarán alternativas para su remplazo, debido al nivel de inversión realizado, al número de servicios y aplicaciones integradas a este servicio, y al alto costo y riesgo que implicaría migrar hacia otra plataforma de software de seguridad perimetral para correo electrónico. Esta excepción está contemplada en el Reglamento de la Ley Nº 28612, Ley que Regula el Uso, Adquisición y Adecuación del Software en la Administración Pública, y será comunicada a la Oficina Nacional de Gobierno Electrónico e Informática (ONGEI), tal como está establecido en el mencionado Reglamento. Otro factor a tener en cuenta y que favorece a la alternativa de contratación del servicio de soporte técnico y actualización del software Symantec, es el valor intangible relacionado al nivel de conocimientos (know-how) que posee el personal técnico, lo cual no ha sido valorizado económicamente y que refuerza la alternativa mencionada. El servicio de soporte técnico y actualización garantiza la atención de problemas o fallas en el software, a cargo del propio fabricante. De esta manera, se asegura la correcta funcionalidad y operatividad del software, al contar con un servicio de soporte técnico, actualización y mantenimiento que permita canalizar consultas técnicas o reportar fallas en el mismo, directamente al fabricante. También, este servicio permite la actualización del software a las nuevas versiones liberadas, lo cual garantiza su funcionalidad al reducir la posibilidad de obsolescencia tecnológica, lo cual preserva el valor económico de la inversión realizada. Por lo expuesto, se requiere la contratación del servicio de soporte técnico y actualización del software Symantec, necesario para asegurar la correcta operatividad, funcionamiento, soporte técnico y actualización de versiones del software, el cual es utilizado como plataforma de seguridad perimetral de correo electrónico en la Superintendencia. Los Laureles Nº Lima 27 - Perú Telf. : (511) Fax: (511) /7

7 10. Firmas Igor Sakuma Carbonel Gerente de Tecnologías de Información Edgar Pajuelo Rubina Técnico de Redes y Comunicaciones Los Laureles Nº Lima 27 - Perú Telf. : (511) Fax: (511) /7