INFORME Nº 023-2008-GTI INFORME TÉCNICO PREVIO DE EVALUACIÓN DE SOFTWARE 1. Nombre del Área El área encargada de la evaluación técnica para la renovación del sistema de filtro de contenido web es el Departamento de Soporte Técnico de la Gerencia de Tecnologías de Información (GTI) de esta Superintendencia. 2. Nombre y Cargo del Responsable de la Evaluación El analista responsable de la evaluación es el Sr. Manuel Escudero Cervantes, Analista de Redes y Comunicaciones del Departamento de Soporte Técnico de la Gerencia de Tecnologías de Información (GTI). 3. Fecha La fecha del presente informe es el 17 de diciembre del 2008. 4. Justificación La Superintendencia de Banca, Seguros y Administradoras Privadas de Fondos de Pensiones (SBS) utiliza los servicios de Internet como medio para obtener, transmitir e intercambiar información con las entidades supervisadas y el mundo en general. Sin embargo, este medio está sometido a diversas actividades y/o usos que trascienden los objetivos habituales de dichos servicios, perjudicando directa o indirectamente a los usuarios finales de los mismos. Actualmente, la SBS utiliza el producto IBM ISS Proventia Web Filter (500 licencias) como sistema de filtrado de contenido Web, sistema que permite un mejor uso de los recursos de Internet, adecuándolos a las necesidades de la institución y minimizando la vulnerabilidad de los sistemas internos y de la información contenida en ellos. Sin embargo, la fecha límite del vencimiento de las licencias de este producto es el 18 de febrero del 2009, haciéndose necesario renovar dichas licencias o adquirir un producto con características similares o superiores, a fin de que los servicios de seguridad implementados no sean interrumpidos. Adicionalmente, se requiere la adquisición de 100 licencias adicionales, las cuales permitirán asegurar el acceso a Internet a nuevos usuarios. En este contexto, la Gerencia de Tecnologías de Información (GTI) manifiesta la necesidad de seguir contando con un sistema de filtrado de contenido Web, a fin de continuar proporcionando un óptimo nivel de seguridad para los sistemas de la SBS y los servicios que la SBS proporciona. 5. Alternativas Para la formulación y análisis de alternativas, en el caso del filtro de contenidos Web, se debe considerar que, por tratarse de productos en funcionamiento, se procederá a comparar la renovación de sus licencias de uso con la posibilidad de adquirir otro software de características similares.
Alternativa Nº 01: Renovación del Servicio de Mantenimiento del sistema filtro Web ISS Proventia Web Filter. Esta alternativa incluye la renovación de las licencias actuales. En esta alternativa está inherente el nivel de conocimientos técnicos (know how) adquiridos por los usuarios responsables de esta herramienta, lo cual posee un valor significativo intangible y que podría ser estimado. Alternativa Nº 02: Adquisición de Licencias de Nuevo Software. En esta alternativa, se propone la compra de licencias de nuevos productos con características similares, las cuales serán comparadas con el software actual. En esta propuesta deberán considerarse costos asociados a esta adquisición, tales como la capacitación requerida para los usuarios responsables del software para asegurar su normal funcionamiento. Para realizar este análisis comparativo técnico, se seleccionaron los siguientes productos: Secure Computing Webwahser Websense Enterprise Edition IBM ISS Proventia Web Filter Así, se han evaluado las características técnicas de los productos mencionados, cada uno de los cuales es de fácil implementación, uso y mantenimiento, no siendo necesario realizar modificaciones o cambios radicales en la plataforma actualmente en uso. Los productos evaluados cumplen las especificaciones solicitadas en el Anexo Nº 01. 6. Análisis Comparativo Técnico y de Costo Beneficio Adjunto al presente informe, se encuentra el Anexo Nº 02, en el que se comparan las características técnicas de las alternativas evaluadas para las soluciones de sistema de filtro de contenidos Web. En dicho análisis, se presentan los resúmenes de los aspectos evaluados, habiéndose considerado los datos oficiales proporcionados por los fabricantes y los resultados de las pruebas efectuadas a las soluciones evaluadas. El análisis realizado puede incluir a más de un producto, por lo que se mencionan los aspectos más resaltantes de cada uno de los productos evaluados. Adicionalmente, se presenta la Tabla Nº 2.1, en la cual se incluye los costos de los productos evaluados. Estos costos han sido proporcionados por los representantes oficiales de los productos en el Perú. Las propuestas de adquisición de productos nuevos incluyen costos por inducción de uso para los usuarios administradores, necesaria en caso de elegir la Alternativa N 2, debido a que se trataría de una herramienta nueva en la plataforma de seguridad de la SBS. De acuerdo a este análisis, se observa que, evaluando las alternativas económicas (a 3 años), no es conveniente para la institución la renovación del actual filtro de contenidos, el cual, adicionalmente, tecnológicamente es superado por los demás productos evaluados, especialmente en la granularidad del filtrado que ofrecen.
7. Conclusiones Las conclusiones del presente informe son las siguientes: 8. Firmas La proximidad de la fecha de vencimiento de las licencias del producto ISS Proventia Web Filter, actualmente en uso por parte de la SBS, hace necesario considerar la renovación de estas licencias o la implementación de un producto nuevo equivalente. Las características técnicas de los productos de filtrado web analizadas para el sistema de filtrado de contenido son superiores al producto actualmente en uso. Adicionalmente, la propuesta económica de los productos Webwasher y Websense (líderes del segmento) son más económicas a la propuesta de renovación del producto ISS actualmente en uso (a 3 años). Los servicios ofrecidos por los sistemas de la SBS son críticos y de alta importancia para las labores diarias de los usuarios, por lo que se requiere contar con una plataforma de seguridad acorde con las tecnologías y amenazas actuales existentes, que asegure a su vez el correcto funcionamiento de los sistemas institucionales. Los nuevos proyectos a desarrollar por la Gerencia de Tecnologías de Información durante los próximos meses necesitan también de una plataforma segura. Por las razones anteriormente expuestas, se recomienda la adquisición de un sistema filtro de contenidos Web para 600 usuarios, de acuerdo a las especificaciones técnicas descritas en el Anexo N o 01. Igor Sakuma Carbonel Gerente de Tecnologías de Información Manuel Alcides Escudero Cervantes Analista de Redes y Comunicaciones
ANEXO Nº 01 ESPECIFICACIONES TECNICAS PARA EL SISTEMA DE FILTRO DE CONTENIDOS WEB La SBS requiere adquirir un sistema de filtro de contenidos web. Dicho sistema puede ser software o tipo appliance (hardware dedicado de propósito específico) y deberá cumplir los siguientes requisitos mínimos: A. Requisitos Mínimos Cobertura para 600 usuarios concurrentes. La solución deberá soportar crecimiento hasta 1,000 usuarios. Para el crecimiento, la SBS sólo deberá adquirir licencias adicionales. La solución deberá permitir el filtrado de contenido para estaciones de trabajo con sistemas operativos Windows 2000/2003/XP/Vista y con diferentes navegadores Web, como Internet Explorer, Mozilla, entre otros. Lista precargada de direcciones URL para filtrado clasificada por categorías (mínimo 50 categorías) para facilitar el filtrado de contenido. Listas predefinidas de las más problemáticas o peligrosas (pornografía, violencia, juegos, chat, armas, descarga de software, proxy avoidance systems, entre otros). Páginas registradas en 10 idiomas (español, inglés, francés, alemán, portugués, italiano, japonés, coreano, chino simplificado y tradicional) como mínimo. Actualización gratuita, continua y automática de la lista y distribución diaria de la lista. Las actualizaciones deben efectuarse on-line sin requerir corte, reinicio o apagado del sistema y deben ser proporcionadas por la empresa fabricante de la solución. La solución deberá ser capaz de escanear y hacer seguimiento al tráfico saliente y direcciones URL, protocolos HTTP, FTP, HTTPS y otros protocolos estándar de Internet a nivel de usuario, de grupo o institución. La solución deberá permitir definir listas negras y blancas. Deberá permitir generar categorías nuevas (personalizables de acuerdo a políticas propias de la SBS) y permitir clasificación por categorías (acceso a noticias, deportes, chats, entre otros). Debe permitir definir reglas de control de navegación en Internet y filtrado de contenidos para la aplicación de políticas individuales y/o grupales. Las políticas y categorías deberán ser personalizables por usuario, grupo de usuarios, estación de trabajo o grupo de estaciones, dirección IP o grupo de direcciones, protocolo, tipo de archivo, palabras clave, entre otros. Filtrado de Instant Messaging, programas clientes web de IM (AOL Instant Messenger, ICQ, Microsoft MSN Messenger, SIMP (Jabber), Yahoo Messenger, entre otros). Control de la transmisión (envío y recepción) de archivos a través de programas clientes web de IM (AOL Instant Messenger, Microsoft MSN Messenger y Yahoo Messenger, entre otros). Bloqueo de señales audio y video por Internet, sitios de almacenamiento / copias de seguridad personales, telefonía por Internet, y compartimiento de archivos P2P. Debe permitir la detección y bloqueo de Host Virtuales que actúan como Proxies y conexiones P2P file sharing (BitTorrent, edonkey, Fast Track (Kazaa, KazaaLite), Gnutella (Morpheus, Xolox), Hotline, entre otros). Debe ser capaz de bloquear imágenes y servicios de publicidad, tales como banners, pop-ups, archivos flash y adware. Debe poder detectar y bloquear páginas de phishing sites (falsificación de sitios comerciales legítimos).
Gestión del acceso a streamings de audio, video e imágenes (MMS- Windows Media Player, RTSP - Real Player, Quick Time, entre otros). Análisis de contenido de texto e imagen. Capacidad de bloqueo por tipo de archivo detectado y contenido Web inapropiado según criterio de la SBS. Bloqueo de la transmisión de información y acceso a sitios que distribuyen y/o alojan software Spyware, keyloggers y código malicioso (Controles ActiveX, VBScript, JavaScript y Java Applets), notificando al administrador. Notificación inmediata al usuario cuando se le restringe el acceso a través de e-mail o navegador. La notificación deberá ser personalizable a criterio de la SBS. La solución deberá permitir configurar el día, hora, categorías, tipo de ficheros y usuarios para permitir y restringir accesos. Capacidad de generar políticas basadas en horarios y establecimiento de cuotas de tiempo de navegación (máximo tiempo de navegación permitido). Administración de las descargas desde la Web por tipos de archivos, agrupados en categorías de selección simplificada. Los tipos de archivo deben ser actualizados vía las descargas automáticas de la base de datos. Capacidad de redireccionar sitios bloqueados. La solución debe permitir el uso de plantillas de políticas de seguridad de tal forma que se pueda alternar rápidamente entre uno u otro esquema de seguridad previamente definido. Cada plantilla consistirá de un conjunto de reglas las cuales definen el esquema de seguridad a aplicar, a criterio de la SBS. Administración centralizada e integral del sistema. Debe permitir configurar y ejecutar políticas según criterio de la SBS y monitorear la efectividad de su protección de seguridad. Las políticas deben poder configurarse para incluir reglas para usuarios individuales o para grupos de usuarios. La interfaz administrativa debe permitir definir, administrar y controlar las políticas. Inferfaz administrativa en idioma inglés como mínimo. Acceso remoto a la consola de administración (GUI o WEB - https). Restricción de acceso por usuario y password. Debe proveer herramientas para respaldar y restaurar la configuración de la aplicación. La solución deberá poder implementarse en modo stand-alone (como proxy) o integrarse con MS Windows ISA Server 2004/2006. La solución deberá ser totalmente integrable con LDAP y Microsoft Active Directory. Debe permitir visualizar y generar registros e informes multinivel y auditoría gráficos y detallados para proporcionar visibilidad dentro de la organización. Los informes y reportes deberán ser configurables y personalizables (top ten de páginas visitadas, top ten de páginas bloqueadas, entre otros) para usuarios individuales y grupos por categoría. Debe permitir programar la generación de reportes en intervalos predeterminados (diario, semanal, mensual), a criterio de la SBS. Debe permitir la personalización y exportación de informes en formatos como Cristal Reports, RTF, PDF, HTML, CSV u otros. Debe permitir el envío automático de los informes al administrador vía SMTP u otros. Debe contar con una consola o monitor en tiempo real que registre el tráfico de navegación de los usuarios. La consola debe incluir información tipo usuarios conectados, páginas web visitadas, tiempo de conexión, categoría a la que pertenece a página web visitada, entre otros. Debe incluir opciones para automatizar el mantenimiento del sistema como por ejemplo purgar o compactar la base de datos. La solución deberá incluir la base de datos de registros e informes (MSDE, MS SQL Server, Oracle o propietaria) y su respectiva licencia (si aplica). La base de datos deberá ser capaz de escribir un alto número de eventos (log events) por segundo.
Debe permitir hacer una revisión (feedback) de la categorización efectuada por el fabricante para cualquier sitio Web. Debe permitir el envío al fabricante de los sitios filtrados inadecuadamente (falsos positivos) para su corrección en futuras actualizaciones. La solución deberá ser la última versión lanzada al mercado por el fabricante de la solución y además debe contemplarse los upgrade correspondientes mientras dure el período del servicio. En el caso de proponer una solución de software, éste deberá poder ser instalado sobre servidores MS Windows 2000 / 2003 server (incluyendo SP2). La solución deberá permitir integraciones futuras con soluciones antivirus y antispyware (antimalware en general) Gateway internet. A.1 Arquitectura del Hardware (si aplica) Hardware de propósito específico (appliance). Tipo de chasis: RACK. 02 RU como máximo. Accesorios necesarios para la instalación en rack de 19. Fuente de Poder 110 ~ 220 Voltios 60 Hz autovoltaje. Dos (02) puertos RJ-45 10/100/1000 como mínimo. Un (01) puerto serial (RS-232) DB9 o similar dedicado a la consola de administración (deberá proveerse el cable correspondiente para acceder al dispositivo). Un (01) disco duro SATA de 160GB como mínimo. Memoria RAM: 2GB como mínimo. Disponibilidad mensual del sistema de 99.999%. La solución appliance deberá ser "plug and play". NOTA: De proponer una solución software, la SBS proporcionará los equipos necesarios para la instalación. De proponer una solución appliance, el proveedor deberá proveer dos (02) unidades para trabajo en Alta Disponibilidad (HA). Adicionalmente, el proveedor deberá certificar mediante carta del fabricante el mes y año de la fabricación del equipo ofertado, el cual deberá ser a partir del tercer trimestre del año 2008. B. Servicios Complementarios Además, el proveedor deberá realizar los servicios de: Instalación, configuración y soporte del sistema propuesto, incluyendo cliente, consola de administración y sensores (si aplica) a nivel hardware y software, a satisfacción de la SBS. Entregar toda bibliografía (en formato físico o electrónico) considerada necesaria para utilizar la solución ofrecida, actualizada a la última versión y con la obligación permanente, durante la vigencia del servicio, de remitir toda modificación. Capacitación a los usuarios administradores la solución. Considerar cinco (05) personas como mínimo. El proveedor deberá contemplar:
o Plan de Capacitación. Debe considerar entrenamiento en la instalación de la solución y entrenamiento en la configuración y administración de la consola administrativa y del equipo (si aplica). o Duración mínima de ocho (08) horas. o Lugar (instalaciones de la SBS). o Material didáctico. o Equipos, manuales. o Currículum Vitae de los instructores, con datos académicos y experiencia laboral. La SBS se reserva el derecho de solicitar cambio de instructor. El proveedor deberá proporcionar la respectiva licencia de funcionamiento. C. Garantía, Soporte Técnico y Mantenimiento Esta garantía estará referida tanto al servicio de soporte, como al servicio de mantenimiento preventivo y correctivo de la solución ofrecida. La garantía entrará en vigencia a partir de la fecha de aceptación de la solución por escrito por parte de la SBS. A fin de garantizar que el mantenimiento sea de óptima calidad y los repuestos sean originales, la garantía, soporte y mantenimiento del equipo (si aplica) deberá ser asumido por el fabricante o representante oficial local, quien podrá delegar estas funciones al postor. Sin embargo, en caso de que el postor se vea imposibilitado de cumplir estas funciones, éstas deberán ser delegadas a otra empresa, por lo cual el postor deberá presentar una carta de garantía, soporte y mantenimiento emitido por el fabricante. El postor deberá acreditar ser agente autorizado en el Perú para brindar el Servicio de Soporte, Mantenimiento y Actualización de la solución ofertada, para lo cual deberá presentar una Carta del Fabricante o del Distribuidor Oficial que respalde estos servicios. La garantía al hardware (si aplica) para el sistema de filtro de contenidos Web no deberá ser inferior a tres (03) años. En cuanto al servicio de mantenimiento preventivo y correctivo de la solución ofrecida, en adición a lo antes especificado, éste deberá contemplar lo siguiente: a) Ante un problema o incidente comunicado por la SBS al proveedor, el tiempo de respuesta deberá ser no mayor a treinta (treinta) minutos luego de recibida la notificación, las 24 horas. b) Una nota de aceptación indicando un número de identificación de los problemas reportados. c) Los servicios de mantenimiento correctivo de las soluciones deberán estar disponibles las 24 horas, sin límite de horas por intervención, ni cantidad de intervenciones mensuales del personal del proveedor; dándose por atendido un problema cuando es solucionado en su totalidad. El proveedor deberá concluir con la solución del problema en un plazo no mayor cuatro (04) horas; de ser mayor el plazo el proveedor deberá entregar, si se aplica, a la SBS una solución con similares o mayores características técnicas para reemplazar éste, hasta que concluya con la solución del problema. d) El personal técnico del proveedor, para solucionar un problema o incidente reportado, deberá apersonarse a las instalaciones de la SBS, salvo que previamente y por mutuo acuerdo entre el personal técnico de ambas partes, se convenga que dicho soporte sea telefónico. e) Proveerá información del estado del problema reportado.
f) Para situaciones que se pueden calificar como críticas, el proveedor deberá generar un procedimiento alternativo para evitar el problema o una solución temporal de parche en espera de una solución definitiva. g) El personal de soporte del proveedor deberá ser certificado con comprobada experiencia y solvencia para la solución de los problemas e incidentes que pudieran presentarse. h) No podrá modificarse el nivel, calidad, periodicidad, categoría o cualquier otra característica de estos servicios durante el período de garantía, sin consentimiento de la SBS. i) Mano de obra y repuestos para cualquier servicio de atención por hardware (si aplica). j) Mantenimiento preventivo cada seis (06) meses en las instalaciones de la SBS, a realizarse únicamente en días no laborables. k) Mantenimiento correctivo cada vez que se presente una falla o mal funcionamiento propio de la solución. l) Deberá garantizarse un stock de repuestos originales que cubran los requerimientos de los servicios de mantenimiento preventivo y correctivo por un periodo no menor a cinco (05) años. m) El postor deberá contar como mínimo con una (01) persona certificada por el fabricante en soluciones similares a las ofrecidas y una (01) persona certificada por el fabricante en hardware (si aplica) similares a los ofrecidos, debiendo tener como mínimo un (01) año de experiencia. D. Inicio del Servicio 19 de febrero del 2009. E. Lugar de Instalación Lima, Los Laureles Nº 214, San Isidro. F. Duración del Servicio El servicio tendrá un plazo de duración de tres (03) años.
ANEXO N o 02 Análisis Comparativo Técnico para Sistemas de Filtro de Contenido Web CARACTERISTICA SECURE COMPUTING Webwahser WEBSENSE Enterprise Edition IBM ISS Proventia Web Filter WW500E Facilidad de Uso Ambiente Windows. Solución tipo appliance. Integrable con Active Directory. Trabajo como Proxy. Ambiente Windows. Solución tipo software. Integrable con Active Directory y LDAP. Ambiente Windows. Solución tipo software. Integrable con Active Directory y LDAP. Características técnicas del análisis y filtrado La base de datos se encuentra en la Web. Categorización en 90 categorías. Permite generar reglas de filtrado propias. Filtrado por listas blancas y listas negras. Análisis de texto e imágenes. Filtrado HTTP, FTP, IM, P2P, Base de datos precargada de más de 50M de direcciones. Permite generar reglas de filtrado propias. Filtrado por listas blancas y listas negras. Análisis de texto e imágenes. Filtrado HTTP, FTP, IM, P2P, entre otros. Base de datos precargada de más de 20M de direcciones. Categorización en 58 categorías. Permite generar reglas de filtrado propias. Filtrado por listas blancas y listas negras. Filtrado HTTP, IM, P2P, entre otros. entre otros. Permite generar políticas para Capacidad de trabajo Capacidad de trabajo administrar aplicaciones. programable por horas. programable por horas. Capacidad de trabajo No bloquea virus, pero permite Permite instalar módulos de programable por horas. anular URL asociadas a virus. filtrado y de seguridad No bloquea virus, pero permite adicionales. anular URL asociadas a virus. Incluye sistema antimalware. Consola Administración vía consola WEB. Administración vía consola WEB. Administración centralizada por Administrativa y Administración en tiempo real. Administración en tiempo real. software propietario Proventia Herramientas de Capacidad de exportación en Capacidad de exportación en Filter Management Console. reporte estadístico varios formatos. varios formatos. Administración en tiempo real. Reportes con formato gráfico. Envío de reportes automáticos al administrador vía SMTP. Período de envío configurable. Reportes con formato gráfico. Envío de reportes automáticos al administrador vía SMTP. Período de envío configurable. Reportes con formato gráfico. Envío de reportes automáticos al administrador vía SMTP, SNMP. Periodo de envío configurable. Reportes personalizables por Reportes personalizables por Reportes personalizables por usuario, grupo, categoría, fecha, hora, entre otros. usuario, grupo, categoría, fecha, hora, entre otros. usuario, grupo, categoría, fecha, hora, entre otros. Idioma Inglés. Inglés. Inglés. Servicio de Mantenimiento Actualizaciones diarias, gratuitas y en tiempo real por el período de soporte contratado. No requiere reinicio ni apagado del equipo. Licencia por usuario final. Actualizaciones diarias, gratuitas y en tiempo real por el período de soporte contratado. No requiere reinicio ni apagado del equipo. Licencia por usuario final. Tabla Nº 2.1 Cuadro Resumen Económico de Alternativas Actualizaciones diarias, gratuitas y en tiempo real por el período de soporte contratado. No requiere reinicio ni apagado del equipo. Licencia por usuario final. Nº Alternativa Producto N o de Licencias Costo del servicio a 1 año Costo del servicio a 3 años 1 SECURE COMPUTING Webwasher WW500E 600 US$ 39,950.00 más IGV US $ 42,000.00 inc IGV (02 unidades) 2 WEBSENSE Enterprise Edition mas 600 US $ 21,205.80 inc IGV US $ 42,497.28 inc IGV Security Filtering 3 IBM ISS Proventia URL Filter 600 US $ 14,250.00 más IGV US $ 42,750.00 más IGV