INFORME TÉCNICO PREVIO DE EVALUACIÓN DE SOFTWARE CONTRATACION DEL SERVICIO DE SOPORTE Y MANTENIMIENTO DE LICENCIAS DE FIREWALL DE BASE DE DATOS

Transcripción

1 INFORME TÉCNICO PREVIO DE EVALUACIÓN DE SOFTWARE CONTRATACION DEL SERVICIO DE SOPORTE Y MANTENIMIENTO DE LICENCIAS DE FIREWALL DE BASE DE DATOS 1. Nombre del Área : Gerencia de Sistemas y Tecnologías de la Información 2. Responsables de la Evaluación: Hernán Berrospi Durand Eduardo Vásquez Diaz 3. Cargos : Gerente de Sistemas y Tecnologías de la Información Especialista Técnico en Operaciones en Infraestructura TICs 4. Fecha : 06 de abril del Justificación I-GSTI El Organismo Supervisor de la Inversión en Energía y Minería (OSINERGMIN), utiliza el software InfoSphere Guardium del fabricante IBM, como el software que soporta las tareas relacionadas a la gestión de la seguridad de información y monitoreo de actividades de base de datos de los principales sistemas y aplicaciones institucionales, la cual permite mitigar el riesgo relacionado con el acceso a la información sensible almacenada en la base de datos, así como crear políticas de seguridad para el control y la auditoría de los accesos a dicha información, permitiendo el cumpliendo las normas NTP ISO/lEC y NTP ISO/IEC Actualmente, como parte de su infraestructura tecnológica Osinergmin, dispone de mil cuatrocientos (1,400) licencias PVUs del software IBM InfoSphere Guardium para las tareas relacionadas a la gestión de la seguridad de la información y el monitoreo de las actividades de las bases de datos de las principales aplicaciones de OSINERGMIN (Ver Anexo 01). 6. Alternativas Considerando los requerimientos de OSINERGMIN, se ha buscado alternativas de software en el mercado local que cumpla con dichos requerimientos y disponga de soporte local. Por lo tanto, la herramienta seleccionada debe permitir manejar de manera clara, sencilla y ordenada un conjunto de datos y sobre todo que sea una herramienta segura. Se ha procedido a evaluar las siguientes alternativas en el mercado: Software IBM Infosphere Guardium Advanced Activity Monitor y Infosphere Guardium Collector. Software ORACLE Audit Vault and Database Firewall 7. Análisis comparativo técnico El análisis técnico ha sido realizado en conformidad con la metodología establecida en la Guía Técnica sobre evaluación de software e la administración pública (R.M. Nº PCM) tal como exige en el reglamento de la Ley Nº Propósito de evaluación

2 Validar que las alternativas seleccionadas sean las más convenientes para el uso en OSINERGMIN Identificar el tipo de producto Software de Gestión de la Seguridad de Información y Monitoreo de Actividades de Base de datos Identificación del modelo de calidad Para la evaluación técnica del Software de Gestión de Seguridad de Información y Monitoreo de Actividades de Base de Datos se va utilizar la guía de evaluación de software aprobado por Resolución Ministerial Nº PCM Selección de métricas Las métricas fueron seleccionadas en base al análisis de los requerimientos del área usuaria y a la información técnica de los productos de software señalados en el punto 6 Alternativas. Del análisis realizado, se han determinado las siguientes características técnicas mínimas y sus respectivas métricas. ITEM 1 CARACTERISTICAS Flexibilidad en la definición de reglas y políticas de seguridad PUNTAJE MÁXIMO 2 Permite crear un repositorio de auditoría centralizado 3 Permite monitorear varios servidores de base de datos Permite monitorear varias instancias en un servidor de base de datos La solución se instala en forma independiente a la base de datos Se pueden definir las políticas de seguridad sobre tablas y columnas criticas de tablas Permite realizar un escaneo de vulnerabilidades de configuración de base de datos Permite modificar y crear nuevos reportes de auditoria Permite exportar los reportes de auditoría para su posterior análisis y elaboración de informes Permite desplegar la solución en alta disponibilidad. PUNTAJE TOTAL 0 Luego de determinar las características técnicas mínimas y las métricas aplicables, se procedió al análisis comparativo técnico, para lo cual se aplicó el Modelo de Calidad de Software descrito en la Parte I de la Guía Evaluación de Software por Resolución Ministerial No PCM. ITEM CARACTERISTICAS IBM Infosphere Guardium Advanced Activity Monitor y Infosphere Guardium Collector Oracle - Audit Vault and Database Firewall

3 Flexibilidad en la definición de reglas y políticas de seguridad Permite crear un repositorio de auditoría centralizado Permite monitorear varios servidores de base de datos Permite monitorear varias instancias en un servidor de base de datos La solución se instala en forma independiente a la base de datos Se pueden definir las políticas de seguridad sobre tablas y columnas criticas de tablas Permite realizar un escaneo de vulnerabilidades de configuración de base de datos Permite modificar y crear nuevos reportes de auditoria Permite exportar los reportes de auditoría para su posterior análisis y elaboración de informes Permite desplegar la solución en alta disponibilidad. 5 5 PUNTAJE TOTAL Análisis comparativo de costo beneficio A. Licenciamiento A continuación, se ha realizado un análisis de costos referencial (en dólares americanos, no incluye el IGV) de los productos y complementos necesarios para cumplir con la evaluación técnica realizada. El análisis se ha realizado para el periodo de tres (03) años. Productos Costo total del producto por 3 años (Sin IGV) IBM Infosphere Guardium Advanced Activity Monitor y Infosphere Guardium Collector Oracle - Audit Vault and Database Firewall S/. 461, Costo total del producto por 3 años (Con IGV) S/. 199, S/. 461, Total S/. 199, S/. 461, Para el análisis de beneficios se ha comprobado: Costo de la Licencia del producto. Para el Software Infosphere Guardium Advanced Activity Monitor y Infosphere Guardium Collector de la marca IBM, se considera el costo de lista de dichos productos los cuales, ya

4 incluye el pago del soporte por tres (03) años, el licenciamiento es por PVU (Unidad de medida de licenciamiento de IBM). (Ver Anexo 02). Para el Software Oracle - Audit Vault and Database Firewall de la marca ORACLE, se considera el costo de lista de dichos productos los cuales, ya incluye el pago del soporte por tres (03) años, el licenciamiento es por Procesador. (Ver Anexo 03). B. Hardware necesario para su funcionamiento El software Infosphere Guardium Advanced Activity Monitor y Infosphere Guardium Collector de la marca IBM operan sobre un servidor IBM POWER 770+, el cual ya cuenta la institución. C. Soporte y Mantenimiento Externo Se va contar con el soporte y actualizaciones durante el primer año; posteriormente se renovará el servicio de soporte y actualizaciones cada año. D. Personal y Mantenimiento Interno El personal del OSINERGMIN será capacitado en el software adquirido, para el apoyo en sostenimiento del sistema ante cualquier inconveniente. E. Capacitaciones Los representantes de los productos evaluados cuentan con el personal calificado para brindar las capacitaciones. F. Otros puntos El software Infosphere Guardium Advanced Activity Monitor y Infosphere Guardium Collector de la marca IBM, fue adquirido el año 2012, la compra de dicho producto fuer realizado en el concurso LP Osinergmin. En general, si se cambiara el software Infosphere Guardium Advanced Activity Monitor y Infosphere Guardium Collector de la marca IBM, esto implicaría un alto impacto en la actual plataforma tecnológica de OSINERGMIN, pues sería necesario volver a desarrollar las políticas de seguridad establecidas en las base de datos de producción las cuales son utilizadas por las principales Gerencias de OSINERGMIN. Por otro lado, se deberían modificar y actualizar todos los manuales técnicos y de usuario que hacen referencia específica al software Infosphere Guardium Advanced Activity Monitor y Infosphere Guardium Collector de la marca IBM. Adicionalmente, el cambio de la plataforma del software IBM por otro software, implicaría también la reconfiguración de la plataforma de hardware (servidores) sobre la cual está instalada e implementada el software Infosphere Guardium Advanced Activity Monitor y Infosphere Guardium Collector de la marca IBM. Esto demandaría horas-hombre para la instalación y configuración del nuevo software. Así mismo, el uso de un nuevo software obligaría a remplazar las licencias del software IBM con que ya se cuenta OSINERGMIN, con la consecuencia pérdida de la inversión realizada para su adquisición. 9. Conclusiones Las conclusiones de la evaluación realizada son las siguientes:

5 Se ha realizado una inversión previa en la adquisición de licencias y la implementación del software de Infosphere Guardium Advanced Activity Monitor y Infosphere Guardium Collector de la marca IBM desde el año En el análisis comparativo de Costo Beneficio, el costo del Infosphere Guardium Advanced Activity Monitor y Infosphere Guardium Collector de la marca IBM, es de menor costo para OSINERGMIN. El software Infosphere Guardium Advanced Activity Monitor y Infosphere Guardium Collector de la marca IBM en el análisis comparativo técnico obtienen el mayor puntaje, los factores han sido definidos para la evaluación de software de Gestión de Seguridad de Información y Monitoreo de Actividades de Base de Datos. Se recomienda mantener los productos de software Infosphere Guardium Advanced Activity Monitor y Infosphere Guardium Collector de la marca IBM, como software base para la implementación de políticas de seguridad para las bases de datos de producción de la institución con el fin de garantizar el cumplimiento de las normas NTP ISO/lEC y NTP ISO/IEC Finalmente, se recomienda realizar la estandarización del software Infosphere Guardium Advanced Activity Monitor y Infosphere Guardium Collector de la marca IBM por los beneficios técnicos y económicos.. FIRMA Atentamente, Hernan Berrospi Durand Gerente de Sistemas y Tecnologías de la Información Eduardo Vásquez Díaz Especialista Técnico en Operaciones e Infraestructura TICs