PLIEGO DE PRESCRIPCIONES TÉCNICAS PARA LA ADQUISICIÓN DE UNA CONSOLA DE GESTIÓN CENTRALIZADA DE LA SEGURIDAD

Índice PRIMERA: INTRODUCCIÓN... 3 SEGUNDA: OBJETO DEL CONTRATO... 5 TERCERA: REQUERIMIENTOS TÉCNICOS... 5 CUARTA: SERVICIOS DE INSTALACIÓN... 9 QUINTA: SERVICIO POST-VENTA... 10 SEXTA: METODOLOGÍA Y PLAN DE TRABAJO... 12 SÉPTIMA: SEGURIDAD... 12 OCTAVA: PLAZO DE EJECUCIÓN DEL PROYECTO... 12 NOVENA: PROPIEDAD INTELECTUAL... 13 DÉCIMA: SEGURIDAD... 13 Página 3 de 15

PRIMERA: INTRODUCCIÓN La Dirección General de Tecnología y Comunicaciones es el órgano responsable de dotar de infraestructuras de tecnología de la información a las distintas aplicaciones y servicios del Govern de les Illes Balears. Toda esta infraestructura tecnológica se halla en su Centro de Proceso de Datos, formado por 60 servidores Windows, 100 servidores Linux, distribuidos en diferentes subredes (DMZ, Intranet, gestión,...) Esta Dirección General dispone actualmente de: Productos capaces de detectar y bloquear accesos no autorizados a los sistemas de información. Estas herramientas se basan en el análisis pormenorizado del tráfico de red, comparándolo con firmas de ataques conocidos, comportamientos sospechosos, como el escaneo de puertos y paquetes mal formados, proporcionando una protección proactiva contra ataques. Herramientas de análisis de vulnerabilidades, capaces de obtener un informe de todas las vulnerabilidades que actualmente hay en cada uno de los sistemas de información. Registros de los accesos en cada uno de los sistemas de información. Todos estos sistemas tiene una serie de deficiencias tales como: No se dispone de una única consola donde poder visualizar y analizar los posibles eventos, independientemente de la herramienta que ha generado el evento (firewalls, IDS, IPS, registro local de un servidor,...). Hay una gran cantidad de eventos diarios y dispersos, y dado su volumen, dispersión y formatos diferentes, es muy difícil su filtrado y análisis con las herramientas actuales Incapacidad de interrelacionar eventos sobre un determinado sistema con las vulnerabilidades o inventario del mismo. No es posible priorizar eventos en función del tipo de ataque, la vulnerabilidad del sistema y la importancia del activo Incapacidad para interrelacionar eventos ocurridos en diferentes sistemas Por este motivo, durante el año 2.007, esta Dirección General realizó un estudio pormenorizado de las distintas alternativas existentes en el mercado para la mejora del sistema actual, fruto de la cual se determinaron los requerimientos que mejor se adaptan a los requisitos funcionales y de gestión de la red corporativa del Govern. Como fruto de este estudio, se procede a la contratación, mediante concurso público, del hardware, software y servicios necesarios para la adquisición del equipamiento necesario para conseguir mejorar las deficiencias enumeradas. Página 4 de 15

SEGUNDA: OBJETO DEL CONTRATO El objeto del contrato consta de: Suministro de los componentes hardware y software necesarios para implantar la consola de gestión de la seguridad Servicios de instalación y configuarción de los componentes hardware y software. Servicios de soporte durante un año posterior a su instalación. TERCERA: REQUERIMIENTOS TÉCNICOS La solución ofertada debe constar de los siguientes componentes: Hardware y software necesario para la recolección de todos los eventos y almacenaje de los mismos integrándose y complementando a los sistemas actuales Software necesario para el análisis y filtrado de todos los eventos almacenados, así como interrelación de eventos en tiempo real Software de integración de todas las herramientas utilizadas en una única consola Entre las características, son de obligado cumplimiento: A. ORIGEN DE LOS EVENTOS Debe permitir recopilar eventos generados por los sistemas operativos más comunes Windows y Linux Debe permitir recopilar eventos generados por los equipos de seguridad más habituales: Cisco, Fortigate, Juniper, Checkpoint, ISS e Intrushield. Debe permitir recopilar eventos generados por sistemas de detección de software no deseado, tales como anti-virus, anti-troyanos e IDS de host. Debe permitir recopilar información de tráfico y disponibilidad generada por los sistemas de gestión de la red Página 5 de 15

Capacidad de inventario: Debe permitir la confección de un inventario del software y hardware del parque de servidores, tanto de forma remota como en base a la distribución de agentes. Debe permitirse la clasificación de activos y eventos según su nivel de criticidad, con posibilidad de reclasificación. Adicionalmente, el sistema debe permitir agrupar los activos en función de los sistemas de información o procesos a los que da soporte. B. RECOPILACIÓN DE EVENTOS Debe permitir recopilar eventos relativos a seguridad generados por los activos mediante mecanismos estándar de comunicaciones, como Syslog o SNMP. Debe permitir alternativamente la recopilación de eventos de seguridad mediante agentes propios. La carga producida por la monitorización no debe tener un impacto significativo en la red corporativa Toda la información de seguridad recopilada de los activos o de las sondas instaladas se ha de almacenar en un repositorio estructurado y centralizado común, garantizando coherencia temporal e integridad Posibilidad de poder realizar análisis de eventos, a través de la consola de seguridad y del motor de correlación, clasificándolos y asignando prioridades C. PROCESO DE LA INFORMACIÓN Debe ser capaz de interrelacionar eventos, inventario y vulnerabilidades. En función de la información recopilada debe ser capaz de generar alarmas en función del tipo de ataque y de las vulnerabilidades existentes en los activos, o alternativamente la eliminación de falsos positivos. D. EXPLOTACIÓN DEL SISTEMA El sistema ha de permitir el almacenamiento estructurado y búsquedas en el Página 6 de 15

histórico de eventos durante un periodo mínimo de 6 meses. Este almacenamiento de los registros generados por los diferentes activos han de permitir la eliminación permanente en la fuente original, sin pérdida de información que pudiese ser necesaria en un hipotético análisis forense. Pasado el periodo mínimo de almacenamiento, debe ser posible su exportación de la base de datos para liberar espacio si es necesario. En caso necesario, debería ser posible recuperar y acceder a esos datos (puede ser utilizando otro sistema o base de datos diferente). Se deben proporcionar los procedimientos para la exportación, recuperación y acceso a los datos obsoletos. La información debe mostrarse a través de una consola única de seguridad para la monitorización, gestión y búsquedas de todos los eventos, alarmas y comportamientos anómalos relativos a la seguridad. El sistema ha de permitir analizar tendencias, generar reportes, estadísticas y la realización de búsquedas complejas en el histórico para evaluar patrones de ataque Posibilidad de establecer métricas e históricos de las mismas para analizar los niveles de seguridad y establecer un cuadro de mandos E. GESTIÓN DE INCIDENTES Se deben proporcionar las herramientas necesarias para realizar el seguimiento de aquellas alarmas y eventos que se consideren constitutivas de un incidente de seguridad. Se debe permitir la integración con herramientas de terceros que permitan realizar el seguimiento y gestión de incidentes de seguridad. F. ADMINISTRACIÓN Y GESTIÓN Es necesario proporcionar procedimientos de backup y recuperación de la solución aportada Escalabilidad: ha de ser posible aumentar el número de redes a analizar, el número de sistemas o el número de eventos diarios a analizar con mejoras puntuales de la solución ofertada Página 7 de 15

G. USO DE SOFTWARE LIBRE En el caso de utilizar algún proyecto de código abierto, todos los desarrollos que se realicen se aportarán como contribución a ese proyecto. Página 8 de 15

CUARTA: SERVICIOS DE INSTALACIÓN El contratista deberá prestar los servicios de instalación y soporte necesarios para la puesta operativa del conjunto, teniendo especial relevancia las siguientes tareas antes de la finalización del año 2008 : Suministro de los componentes servidores y licencias Instalación y configuración de los componentes (servidores, sondas, motor de correlación,...). Estudio del tráfico y comportamiento de la red, así como de las posibles vulnerabilidades existentes, eventos generados y criticidad de los activos, para realizar un ajuste inicial personalizado de la solución ofertada y todos sus componentes. De esta forma se realizaría una correlación de los eventos y una parametrización personalizada inicial para la eliminación de falsos positivos o configuración de alarmas que pudiesen ser importantes para la organización Integración y recolección de eventos de los sistemas actuales: Sondas: McAfee Intrushield Appliance y Snort Sistemas de detección de vulnerabilidades: ISS SiteProtector Servidores: Windows 2000/2003, Red Hat Linux Advanced server 3 / 4 Firewalls/VPN: FW-1, Fortigate, Juniper (Netscreen) Servidor de aplicación: JBoss y Apache Antispam: Fortimail Antivirus: Consola epolicy Orchestrator Formación y ayuda inicial en la administración de la solución Página 9 de 15

QUINTA: SERVICIO POST-VENTA Durante un año a contar a partir de la fecha de recepción del producto, el adjudicatario deberá ofrecer los siguientes servicios: Acceso a actualizaciones de los diferentes elementos de la solución ofertada: versiones de software, parches, firmas de detección, motores y mejoras Soporte telefónico, vía web o por correo electrónico 8x5, con un tiempo de respuesta de 4 horas Comunicación por parte del proveedor de mejoras, aparición de parches, recomendaciones, mejores prácticas, etc. durante la duración del contrato de soporte Análisis y supervisión de las alarmas por parte de personal cualificado: análisis de las incidencias y reporte en función de la criticidad de las mismas al personal asignado de la DGTIC Monitorización de todos los sistemas relacionados con la consola de seguridad (estado de la base de datos de eventos, funcionamiento correcto de las sondas y agentes, etc.) Análisis forense, informes de incidencias y de seguridad periódicos Análisis externos de vulnerabilidades: se realizarán periódicamente análisis externos de vulnerabilidades de servidores públicos críticos de la CAIB Soporte a las actualizaciones de los sistemas asociados a la consola de monitorización, tanto de los diferentes elementos de la solución ofertada como de las sondas actualmente instaladas (ISS Proventia / McAfee Intrushield): versiones de software, parches, firmas de detección, motores y mejoras. En el caso de actualizaciones que supongan riesgo para el correcto funcionamiento de la consola y/o elementos relacionados será necesario una notificación al personal de la DGTIC asignado y una autorización. En esos casos será necesario tener en cuenta un plan de vuelta al estado anterior en el caso de problemas con la actualización. Página 10 de 15

Cuando la naturaleza de las tareas lo permita, los servicios se desarrollarán de forma remota, mediante el uso de un túnel VPN. La DGTIC dispone de concentrador de túneles, que sería utilizado a tal efecto. La conexión se realizará siguiendo las especificaciones de la DGTIC. El contratista deberá ofrecer los servicios de mantenimiento, reparación y soporte a las incidencias del software o hardware instalado. A estos efectos, el adjudicatario se comprometerá a realizar el mantenimiento y actualización o adaptación de programas. Todos estos servicios serán ejecutados en las instalaciones que la DGTIC tiene a tal efecto en el CPD de C/Sant Pere, 7. Página 11 de 15

SEXTA: METODOLOGÍA Y PLAN DE TRABAJO El oferente incluirá un Plan de Trabajo detallado así como la Metodología a seguir en el que se explicará el contenido de cada una de las fases, los hitos y actividades, indicando las estimaciones de tiempo y perfil de las personas implicadas que puedan requerirse para llevarse a cabo. Adicionalmente, el oferente deberá detallar los planes y acciones que llevará a término para garantizar la calidad del proyecto. Aquí tienen cabida las actividades encaminadas a la gestión de documentación, gestión de cambios en el proyecto, gestión de calidad y planes de comunicación y divulgación. Se establecerán los mecanismos de control necesarios por parte del Comité Director para evaluar el cumplimiento del plan de trabajo y los hitos marcados. Así mismo se deberá señalar la parte del precio total ofertado que corresponda a cada una de las fases. El adjudicatario en todo caso deberá integrar en su equipo de trabajo a colaboradores de la CAIB a efectos de poder corregir, subsanar o establecer modificaciones sin necesidad de pérdidas de tiempo por falta de comunicación entre el adjudicatario y los usuarios de la aplicación. Página 12 de 15

SÉPTIMA: SEGURIDAD Los licitadores aportarán una memoria descriptiva de las medidas que adoptarán para asegurar la disponibilidad, confidencialidad e integridad de los datos manejados y de la documentación facilitada. Asimismo, deberán incluir en su oferta la designación de la persona o personas que, sin perjuicio de la responsabilidad propia de la empresa, estarán autorizadas para las relaciones con la Administración a efectos del uso correcto del material y de la información a manejar. Se adjuntará una descripción de su perfil profesional, y sólo podrán ser sustituidas con la conformidad de la Administración. El adjudicatario se compromete a no dar la información y datos proporcionados por la Administración, o cualquier uso no previsto en el presente Pliego. En particular, en cumplimiento de la Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de carácter Personal (LOPD), el contratista se compromete a: No aplicar o utilizar los datos personales obtenidos para fines distintos a los que figuran en el presente contrato y sus anexos, ni cederlos a terceros, ni tan siquiera para su conservación. Guardar secreto profesional respecto a ellos mismos, incluso después de finalizar la relación con el Govern de les Illes Balears. Trasladar las citadas obligaciones al personal que dediquen al cumplimiento del presente contrato. Página 13 de 15

OCTAVA: PLAZO DE EJECUCIÓN DEL PROYECTO El plazo previsto para la ejecución de los servicios de instalación será de 3 meses a partir de la firma del contrato. El periodo del servicio post-venta será de un año a contabilizar desde la fecha de recepción de finalización de los servicios de instalación y configuración. NOVENA: PROPIEDAD INTELECTUAL Sin perjuicio de lo dispuesto por la legislación vigente en materia de propiedad intelectual, el adjudicatario acepta expresamente que todos los derechos sobre los programas, códigos fuente y documentación realizada en el marco del presente contrato corresponde únicamente a la CAIB, con exclusividad y a todos los efectos. DÉCIMA: ESTRUCTURA NORMALIZADA DE OFERTAS Para poder valorar de manera eficiente las ofertas presentadas, se recomienda al licitador ajustarse a la siguiente estructura genérica en capítulos. Se presentará la oferta, siguiendo la siguiente estructura, en sobres separados para los criterios de valoración no evaluables de manera automática (anexo C) y para los criterios de valoración evaluables de manera automática (anexo D). Capítulo 1: descripción de la solución técnica ofertada Se explicará en detalle la arquitectura y funcionamiento de la solución técnica ofertada. Por cada apartado de los requerimientos técnicos del pliego, se confirmará que el producto o servicio ofrecido cumple los requerimientos, explicando de qué manera si la explicación no es inmediatamente evidente. Descripción detallada de todos los elementos que componen la oferta y en qué cantidad. Cada elemento de hardware se deberá identificar con su marca, modelo y características técnicas distintivas. Cada licencia de software se deberá identificar con el nombre y versión del software. Los servicios se identificarán con un nombre lo más descriptivo posible y el número de horas-persona. Capítulo 2: mejoras Para cada apartado de los criterios de valoración del anexo C o D, según el sobre que corresponda, se especificará de qué manera la oferta aporta mejoras cualitativas o cuantitativas respecto a los mínimos exigidos en el pliego. La oferta económica, valorable según los criterios del anexo E, se presentará a su Página 14 de 15

vez en otro sobre separado y no requiere de una estructura especial. Página 15 de 15