INVITACIÓN A COTIZAR OUTSOURCING DE MONITOREO DE RED Fecha de elaboración 21 July 2008
VICEPRESIDENCIA DE OPERACIONES
DEPARTAMENTO DE SISTEMAS
CONTENIDO INVITACIÓN A COTIZAR
1. ALCANCE ...3
2. CONDICIONES TECNICAS ...3
2.1 ANÁLISIS DE VULNERABILIDADES A LOS SERVIDORES Y FIREWALL... 3
2.1.1 Ejecución del Proceso ...3
2.1.2 Análisis de Resultados ...3
2.2 ACTUALIZACIONES DE SOFTWARE... 3
2.3 OBTENCIÓN DE PARCHES / SERVICE PACKS... 3
2.4 MONITOREO DE LA RED... 4
2.5 MONITOREO DE BITÁCORAS/LOGS DE AUDITORIA... 4
2.6 MONITOREO DE PUERTOS... 4
2.7 MONITOREO DE FILTRADO DE CONTENIDO/INTERNET... 4
2.8 MONITOREO DEL FIREWALL... 4
2.8.1 Monitorear el funcionamiento del firewall ...4
2.8.2 Monitorear el estado y los eventos de seguridad de todo el entorno de red...4
2.8.3 Monitoreo preventivo de los eventos del Firewall...4
2.9 PERIODICIDAD DE MONITOREO... 5
2.10 REQUISITOS... 5
2.10.1 Requisito equipo humano ...5
2.10.2 Requisito empresa ...5
2.11 ENTREGABLES... 5
2.11.1 Reunión Quincenal de seguimiento ...5
2.11.2 Informes de las herramientas de monitoreo ...5
3. MODALIDADES DE PRESENTACIÓN DE LA PROPUESTA...6
3.1 OUTSOURCING REMOTO... 6
3.2 OUTSOURCING LOCAL... 6
4. DOCUMENTOS ...6
5. CONDICIONES DE LA PROPUESTA...6
5.1 VALOR DE LA PROPUESTA... 6
INVITACIÓN A COTIZAR OUTSOURCING DE MONITOREO DE RED Fecha de elaboración 21 July 2008 5.3 PRESENTACIÓN DE LA PROPUESTA... 6
5.4 FECHA DE PRESENTACIÓN DE LA PROPUESTA... 6
5.5 LUGAR DE PRESENTACIÓN DE LA PROPUESTA... 6
5.6 CLAUSULA DE RESERVA... 7
INVITACIÓN A COTIZAR OUTSOURCING DE MONITOREO DE RED Fecha de elaboración 21 July 2008 1. ALCANCE
El Banco de Comercio Exterior de Colombia – BANCÓLDEX S.A., está interesado en contratar los servicios de una compañía especializada en Outsourcing de monitoreo de red, servidores Windows y firewall Checkpoint, con el fin de detectar alarmas criticas, posteriormente realizar escalamiento al Ingeniero que corresponda internamente a través de la herramienta de atención de incidentes que posee el Banco (DEXON); realizar monitoreo preventivo de comportamientos anómalos encontrados en los servidores y realizar la parametrización correcta de las herramientas para que sean detectados dichos comportamientos. Las herramientas de monitoreo presentadas por el proveedor seleccionado serán evaluadas con las que posee el Banco en la actualidad y deben cumplir con las condiciones técnicas que se numeran en el presente documento. Es importante mencionar que el detalle de algunas tareas estará sujeto a las modificaciones que se realicen en el Sistema de Gestión de Seguridad Informática (SGSI) de BANCOLDEX S.A.
2. CONDICIONES TECNICAS
Se deben cumplir con los siguientes requerimientos:
2.1 Análisis de vulnerabilidades a los servidores y firewall
Detectar oportunamente posibles vulnerabilidades y actualizaciones de seguridad requeridas en los servidores y el firewall, con el propósito de instalar las actualizaciones que apliquen y de ésta forma minimizar el riesgo de que se presenten inconsistencias en la red o se vea afectada por algún incidente de seguridad, producto de las vulnerabilidades.
2.1.1 Ejecución del Proceso
Obtener un diagnóstico del estado de seguridad de los servidores Windows y los servicios de Internet Information Server (IIS) de Microsoft que se encuentran el dominio y el firewall CheckPoint, de acuerdo con las últimas actualizaciones reportadas por los fabricantes.
2.1.2 Análisis de Resultados
Identificar las vulnerabilidades y el impacto de su instalación en los equipos, antes de su instalación y después del análisis periódico, teniendo en cuenta el reporte de configuración de seguridad y vulnerabilidades por cada equipo analizado y boletín de seguridad del fabricante (detalle de cada tipo de vulnerabilidad).
2.2 Actualizaciones de Software
Realizar el monitoreo de las actualizaciones de los servidores Windows y estaciones de trabajo del Banco en cuanto a parches y service pack, con el propósito de minimizar el riesgo de contar con fallos de seguridad y posibilidad de ser atacados con éxito a través de la explotación de vulnerabilidades o posibles huecos de seguridad en el software instalado. En la aplicación de las actualizaciones de seguridad se debe realizar un análisis de impacto previo a la instalación de los mismos para no afectar la disponibilidad de los servicios y aplicaciones del Banco.
2.3 Obtención de parches / service packs
INVITACIÓN A COTIZAR OUTSOURCING DE MONITOREO
DE RED
Fecha de elaboración 21 July 2008
service pack correspondiente teniendo en cuenta la identificación de actualizaciones/cambios a realizar en los servidores de la red Windows. En la aplicación de los parches/ service packs se debe realizar un análisis de impacto previo a la instalación de los mismos para no afectar la disponibilidad de los servicios y aplicaciones del Banco.
2.4 Monitoreo de la Red
Monitorear la carga de CPU, utilización de memoria, espacio en disco, ancho de banda, disponibilidad y fallos de red a través de diferentes tipos de alerta parametrizables, con el propósito de minimizar el tiempo sin servicio y optimizar el uso de los recursos, teniendo en cuenta la información de la red, las políticas y procedimientos de seguridad informática y los parámetros para definir alertas y reportes. (Incluye equipos de comunicaciones, firewall y servidores)
2.5 Monitoreo de bitácoras/logs de auditoria
Monitorear en tiempo real y de forma centralizada, los logs de eventos de los diferentes equipos, utilizando una herramienta que facilite la función, con el propósito de detectar oportunamente alertas y realizar el respectivo escalamiento al Helpdesk del Banco, adjuntando toda la información relacionada con el incidente.
2.6 Monitoreo de Puertos
Minimizar el riesgo de un ataque que acceda a la red del Banco o explote servicios vulnerables, como parte de la evaluación de seguridad de la red, de tal forma que solamente se encuentre habilitado lo que se requiera para servicios específicos.
2.7 Monitoreo de filtrado de contenido/Internet
Aprovechar de la mejor forma posible los recursos tecnológicos del Banco (Ancho de banda, uso de correo electrónico, uso de Internet, entre otros), monitoreando las páginas Web no deseadas y en caso de encontrar páginas anómalas realizar el reporte al helpdesk de BANCOLDEX para crear el caso respectivo y escalarlo al ingeniero correspondiente. Contar con reportes detallados de actividades en Internet de los usuarios del Banco.
2.8 Monitoreo del Firewall
2.8.1 Monitorear el funcionamiento del firewall
El Banco cuenta con un firewall CheckPoint NGX R62, el cual controla el tráfico hacia la red del Banco, proporciona control de acceso, seguridad de contenido, autenticación y gestión centralizada. Ver numerales 2.1 y 2.4.
2.8.2 Monitorear el estado y los eventos de seguridad de todo el entorno de red
A través del visor de logs, verificar todos los eventos generados por cada conexión que pasa por el firewall y por el módulo IDS: Intrusión Detection System.
Ver numerales 2.1 y 2.4.
2.8.3 Monitoreo preventivo de los eventos del Firewall
Una vez por semana, se revisa el tráfico a partir de los reportes del sistema para verificar el comportamiento de las conexiones y para cualquier anomalía encontrada, se debe crear el caso en DEXON asignándolo al ingeniero que corresponda.
INVITACIÓN A COTIZAR OUTSOURCING DE MONITOREO DE RED Fecha de elaboración 21 July 2008 2.9 Periodicidad de Monitoreo
La periodicidad de monitoreo y las herramientas que el Banco utiliza actualmente son las siguientes:
Actividad Herramienta Utilizada por el
Banco Periodicidad
2.1 Análisis de Vulnerabilidades MBSA (Microsoft Baseline Security Analizer) Mensual 2.2 Actualización de software (parches) WSUS-Windows Software Update Services Diario 2.3 Monitoreo de la Red Solar Winds Permanente 2.4 Monitoreo de bitácoras o logs de
auditoría
GFI LANguard Security Event Log Monitor (S.E.L.M.),
Permanente 2.5 Revisión de puertos Port Explorer Cada dos meses 2.6 Filtrado de contenido Surf Control Permanente 2.7 Análisis de log del firewall Firewall Check Point NGX R62 Permanente 2.10 Requisitos
2.10.1 Requisito equipo humano
Anexar las hojas de vida de los recursos con lo cuales contara el proyecto (Gerente de proyecto, ingeniero, entre otros.).
2.10.2 Requisito empresa
Presentar certificaciones de Microsoft y Checkpoint en soporte a sus productos.
2.11 Entregables
Los entregables para el proyecto son los siguientes:
2.11.1 Reunión Quincenal de seguimiento
Se realizara una reunión quincenal de seguimiento entre el Gerente de Proyecto que asigne el proveedor y el Gerente del Proyecto que asigne Bancoldex para evaluar los siguientes temas:
?? Entrega de informes de monitoreo.
?? Sugerencias de mejora sobre los elementos de la plataforma.
?? Sugerencias de parametrización de las herramientas.
2.11.2 Informes de las herramientas de monitoreo
Se deben generar los siguientes informes de monitoreo con la siguiente periodicidad:
Actividad Herramienta Utilizada Periodicidad
2.1 Análisis de Vulnerabilidades MBSA (Microsoft Baseline Security Analizer) Mensual 2.2 Actualización de software (parches) WSUS-Windows Software Update Services Diario 2.3 Monitoreo de la Red Solar Winds Diario 2.4 Monitoreo de bitácoras o logs de
auditoría
GFI LANguard Security Event Log Monitor (S.E.L.M.)
Diario 2.5 Revisión de puertos Port Explorer Cada dos meses 2.6 Filtrado de contenido Surf Control Mensual 2.7 Análisis de log del firewall (Incluye
log de auditoria)
INVITACIÓN A COTIZAR OUTSOURCING DE MONITOREO
DE RED
Fecha de elaboración 21 July 2008
3. MODALIDADES DE PRESENTACIÓN DE LA PROPUESTA
Teniendo en cuenta las nuevas tendencias que existen hoy día en el mercado, en lo relacionado al tema de Outsourcing, las propuestas deben presentarse en las siguientes modalidades:
3.1 Outsourcing Remoto
El monitoreo se realizará en las oficinas del proveedor, con los ingenieros situados en las oficinas del proveedor, y con acceso remoto a través de la herramienta que el BANCO decida, previa firma de acuerdos de confidencialidad y aseguramiento de la información (Canal seguro). Las herramientas de gestión se evaluaran de acuerdo al alcance de este documento.
3.2 Outsourcing Local
El monitoreo se realizará en las oficinas de BANCOLDEX, con los ingenieros situados en las oficinas de BANCOLDEX, previa firma de acuerdos de confidencialidad y aseguramiento de la información. Las herramientas de gestión se evaluaran de acuerdo al alcance de este documento.
4. DOCUMENTOS
La propuesta comercial y económica debe presentarse en formato original, debidamente firmada por el representante del proponente autorizado para dicho fin, junto con el registro de proveedores del Banco debidamente diligenciado, con sus respectivos anexos.
Para que la propuesta sea considerada, es necesario que los documentos exigidos se presenten completos.
Ver pagina http://www.bancoldex.com/contratacion/contratacion.aspx 5. CONDICIONES DE LA PROPUESTA
5.1 Valor de la propuesta
Todos los ítems de la oferta y su valor total pueden ser cotizados en pesos colombianos o en dolares americanos incluyendo el IVA, discriminando precios de cada ítem cotizado.
5.2 Periodo de validez de la propuesta
La propuesta tendrá un periodo de validez de tres (3) meses, contados a partir de su fecha de presentación.
5.3 Presentación de la propuesta
Para que la propuesta sea considerada, es necesario que los documentos exigidos se presenten completos y debidamente diligenciados (Impreso y en medio magnetico ). No se reciben propuestas por ningún otro medio.
5.4 Fecha de presentación de la propuesta
Las propuestas podrán ser entregadas hasta el día 4 de Agosto de 2008 hasta las 4 PM.
5.5 Lugar de presentación de la propuesta
Las propuestas técnicas y económicas deberán ser presentadas en sobres cerrados e independientes debidamente identificados y para ambos casos con carta remisoria. Estos deberán ser radicados en el área de correspondencia de Bancoldex, ubicada en
INVITACIÓN A COTIZAR OUTSOURCING DE MONITOREO
DE RED
Fecha de elaboración 21 July 2008
la Calle 28 #13A-15 Piso 40. Las propuestas deben ir dirigidas a la Ingeniera Ana Ruth Martinez Peña, Directora del Departamento de Sistemas.
5.6 Clausula de reserva
BANCOLDEX S.A se reserva el derecho de rechazar cualquiera o todas las propuestas que se presenten, si así lo conviene a sus intereses, sin necesidad de dar explicación alguna a los proponentes
5.7 Consultas adicionales
Para consultas, favor enviar correo electrónico a
[email protected]
(3821515 Ext. 2201).
