TERMO DE REFERÊNCIA. 1. Objeto. 2. Antecedentes. 3. Objeto da Licitação - PDF
Download "TERMO DE REFERÊNCIA. 1. Objeto. 2. Antecedentes. 3. Objeto da Licitação"
Carla Angelim Andrade
1 TERMO DE REFERÊNCIA 1. Objeto 1.1. Contratação de empresa especializada em auditoria de tecnologia da informação e comunicações, com foco em segurança da informação na análise de quatro domínios: Processos de negócio, Aplicações WEB, Bancos de dados e Ambiente de infra-estrutura e gestão. 2. Antecedentes 2.1. A Secretaria Nacional de Segurança Pública SENASP, órgão do Ministério da Justiça está iniciando vários projetos na área de tecnologia da informação que visam atender às necessidades da própria Secretaria e dos órgãos de segurança pública em todo o país Os sistemas de informações mantidos pela Secretaria e os novos projetos que incluem a modernização dos sistemas existentes, representam uma das principais ações no combate à criminalidade e na orientação às políticas públicas na área de segurança Visando aperfeiçoar o trabalho de seus agentes e obter melhores resultados no âmbito da segurança pública, a Secretaria optou por expandir e aprimorar os sistemas de informação existentes que atuam como ferramentas integradoras dos dados de justiça e segurança e que são utilizados por todos os órgãos envolvidos nas ações gestoras, preventivas e operacionais de segurança pública, justiça e fiscalização Nesse contexto, o projeto trata da contratação de empresa especializada em auditoria de tecnologia da informação e comunicação, com foco em segurança da informação na análise de quatro domínios: Processos de negócio, Aplicações WEB, Bancos de dados e Ambiente de infra-estrutura e gestão A SENASP prioriza esse projeto dentro de suas ações, permitindo assim assegurar a aderência dos objetos analisados às melhores práticas em segurança da informação, em especial as normas ISO/IEC 15408, e relativas à segurança da informação e outras correlatas ao tema Vale ressaltar, que o projeto trará grandes benefícios para todos os órgãos envolvidos nas ações operacionais de segurança pública, justiça e fiscalização. 3. Objeto da Licitação 3.1. Contratação de empresa especializada em auditoria de tecnologia da informação e comunicação, com foco em segurança da informação na análise de quatro domínios: Processos de negócio, Aplicações WEB, Bancos de dados e Ambiente de infra-estrutura e gestão.
2 4. Escopo dos Serviços 4.1. A contratada deverá: Avaliar o sistema de controle interno, com ênfase na segurança da informação, aplicado à Rede INFOSEG na disponibilização de seus serviços aos clientes; Realizar avaliações preliminares especificando os objetos de análise, escopo, riscos, limitações, cronograma, intervenientes, recursos envolvidos e comunicação, desenvolvendo o Plano de Auditoria Analisar processos internos em cada um dos quatro domínios de atuação: Processos de negócio: procedimento de autorização e cadastro de usuários na Rede INFOSEG; forma e método de disponibilização de acesso aos usuários às aplicações WEB da Rede INFOSEG; forma e método de disponibilização de acesso às Instituições clientes dos serviços ofertados pela Rede INFOSEG; método e informações disponíveis de auxilio ao usuário da Rede INFOSEG em seus diversos níveis, a ser seguido pela equipe de atendimento ao usuário da Rede Aplicações WEB: Serviço de criptografia de dados no fluxo usuários x Rede INFOSEG e instituições x Rede INFOSEG; Sistema de controle de acesso; Metodologia e processo de desenvolvimento de aplicações; Análise de Vulnerabilidades e Programação Defensiva Bancos de Dados e Armazenamento Processo de atualização das informações do banco de dados pelas instituições clientes; Segurança das trilhas de auditoria e registros de acesso, tanto para consultas a sistemas quanto de atualizações dos índices de dados; Sistema de segurança de dados; Módulo administrador de usuários, incluindo definição de permissão de acesso por perfil Ambiente de Infra-estrutura e Gestão Gestão de projetos; Gestão de mudanças;
3 Ambiente de desenvolvimento x homologação x produção; Sistemas operacionais; Sistema Gerenciador de Banco de dados; Plano de contingência; Sistema e Política de cópias de segurança; Segurança nas comunicações Auditar os processos e sistemas de informação da Rede INFOSEG nos aspectos determinados na: ISO/IEC Segurança no processo de desenvolvimento de software common criteria; ISO/IEC Sistemas de gestão de segurança da informação requisitos; ISO/IEC Código de prática para gestão da segurança da informação; outros normativos internos e externos de boas práticas em segurança da informação Executar ações de teste do grau de segurança da informação implantado no ambiente da Rede INFOSEG, acompanhadas essas por servidores e/ou colaboradores da Rede Apresentar relatórios de conformidades e não conformidades, com sugestões práticas de melhorias, com o resultado de aderência aos padrões estabelecidos das melhores práticas de segurança da informação O relatório de conclusão deverá conter uma avaliação dos resultados dos processos e execuções e conter o registro em nível executivo e detalhado das constatações de segurança da informação na auditoria. 5. Abrangência 5.1. A Contratada deve adequar os recursos e prazos para desenvolvimento dos trabalhos de forma a atender o Escopo dos Serviços no objeto da contratação Se um determinado quesito não for atendido pela indefinição de controles compensatórios, deverão ser relatadas as não conformidades. Para tanto, aplicar-se-ão testes para avaliar o nível de atendimento do controle compensatório ao objetivo do requisito, sustentado nas normas, base de conhecimentos, e, experiência e bom senso do auditor Não constituem escopo desta auditoria a validação dos dados das bases de índices da Rede INFOSEG, bem como avaliação de conformidade dos ambientes tecnológicos dos clientes e instituições integrantes da Rede INFOSEG. 6. Requisitos:
4 6.1. Metodológicos: Para o gerenciamento do projeto, a contratada deverá seguir as práticas do Project Management Institute - PMI ; As soluções deverão ser propostas preferencialmente em padrões abertos 1, respeitando as definições de interoperabilidade adotadas pela SENASP; O relacionamento entre a contratada, a contratante, os usuários e os demais envolvidos, para fins de levantamento de dados e no exercício de qualquer atividade pertinente, deverão ser realizados sempre na presença de representante da contratante ou autorizado pela mesma, em conformidade com os procedimentos e diretrizes estabelecidas em Termo de Conduta a ser acordado antes da assinatura do contrato; 6.2. Garantia dos Produtos: Garantir a aderência das soluções propostas pelo período de 12 (doze) meses, contados a partir da data de encerramento do contrato A contratada deverá manter registros dos chamados realizados pela Contratante e das medidas adotadas para solucionar os problemas e apresentará ao final de cada período de 30 (trinta) dias, relatório à Contratante A contratada deverá considerar as políticas e normas da Contratante sobre segurança da informação e de acesso físico, disponibilidade de pessoal e horário de trabalho da Rede INFOSEG, sem prejuízo a responsabilidade da contratada em entregar os resultados descritos no escopo; 7. Da Execução: 7.1. A Contratada deverá utilizar os equipamentos da SENASP quando atuar nas dependências da SENASP. Caso seja necessária a utilização de equipamentos e/ou softwares de próprios, os mesmos deverão ser autorizados pela Contratante; 7.2. A Contratada será representada tecnicamente por um Gerente de Projetos por ela indicado e comunicado à SENASP; 7.3. Os membros da equipe alocados para atuar no projeto pela Contratada deverão ser previamente identificados, com seus dados cadastrais repassados à Gerência da SENASP; 1 Significa que a solução deverá adotar padrões abertos, ou seja, softwares livres em detrimento a soluções proprietárias.
5 7.4. Os membros da equipe alocados para atuar no projeto pela Contratada deverão firmar termo de conduta e confidencialidade junto a SENASP A composição da equipe de auditoria, alocada de forma fixa e dedicada aos trabalhos, deverá ser no mínimo na quantidade e perfil profissional abaixo; Gerente de Projetos Gerenciar e coordenar todos os recursos, prazos e atingimento dos objetivos da contratação Perfil Profissional Curso superior completo na área de informática ou qualquer curso superior com especialização na área de informática; Experiência de 5 anos em gerenciamento de projetos de auditoria de segurança da informação; Certificação PMI (Project Management Institute); Conhecimento dos princípios que regem os modelos de análise de processos de segurança da informação (normas ISO e outras) Auditores de Segurança da Informação Sênior Responsáveis por definir o escopo dos controles a serem auditados, assegurar a conformidade das análises aos padrões técnicos da contratação, dirimir questões técnicas e orientar a equipe de analistas de segurança da informação Perfil Profissional Curso superior completo na área de informática ou qualquer curso superior com especialização na área de informática; Experiência de 10 (dez) anos em auditoria e análise de segurança da informação com atividades nos quatro domínios descritos anteriormente; Ao mínimo um dos Auditores deverá possuir certificação CISA (CERTIFIED INFORMATION SYSTEMS AUDITOR) Analistas de Segurança da Informação Responsáveis pela execução dos procedimentos de auditoria definidos no Plano de Auditoria Perfil Profissional
6 Curso superior completo na área de informática ou qualquer curso superior com especialização na área de informática; Experiência de 5 anos em auditoria e análise de segurança da informação com atividades nos quatro domínios descritos anteriormente; 7.6. A Contratada fornecerá o relatório quinzenal de desempenho do projeto à SENASP e o Gerente de Projetos representante da Contratada participará de reuniões de avaliação de desempenho realizadas mensalmente nas dependências da SENASP em Brasília; 7.7. O direito patrimonial e a propriedade intelectual, em caráter definitivo, dos produtos desenvolvidos e dos resultados produzidos em conseqüência desta contratação será da SENASP, entendendo-se por resultados quaisquer estudos, relatórios, especificações, descrições técnicas, protótipos, dados, esquemas, plantas, desenhos, diagramas, fontes dos códigos de serviços em qualquer mídia, páginas na Intranet e Internet e documentação didática em papel ou em mídia eletrônica A contratada fica proibida de veicular e comercializar os produtos gerados relativos ao objeto da prestação dos serviços, salvo se houver a prévia autorização por escrito da CONTRATANTE Os produtos desenvolvidos e os resultados produzidos desta contratação, referente às tecnologias, produtos, serviços, métodos e técnicas estarão classificados sob grau de sigilo SECRETO, dentro da Política de Segurança da Informação da Rede INFOSEG, não podendo ser divulgados em qualquer hipótese, bem como proibida sua duplicação, cópia ou qualquer outro processo de reprodução, para qualquer propósito que não seja o de analisar, avaliar e decidir pela apropriada execução dos serviços Todas as cópias geradas, independente da mídia utilizada, deverão ser controladas e numeradas pela Rede INFOSEG, sendo entregues ao fim da prestação dos serviços todos os documentos e relatórios utilizados para realização das atividades do Escopo dos Serviços. 8. Produtos do Projeto 8.1. No Escopo dos Serviços a serem prestados deverão ser entregues, de acordo com o cronograma de execução três produtos, considerados marcos no desenvolvimento dos trabalhos Produtos para o projeto: Plano de Auditoria Relatório das avaliações preliminares realizadas pela equipe de auditoria;
7 Plano de ações, especificando os objetos de análise, escopo, riscos, limitações, cronograma, intervenientes, recursos envolvidos e alocação, comunicações e decisões Prazo máximo de execução: 60 dias Relatório de Execução Relatório de avaliação do sistema de controle de cada objeto de análise em confronto com os controles previstos no Escopo dos Serviços e Plano de Auditoria Prazo máximo de execução: 60 dias Relatório de Conformidade Relatório de análise de aderência aos padrões do Escopo dos Serviços e Plano de Auditoria, apresentando a conclusão da análise e os registros de constatação em nível executivo e detalhado Relatório de aprimoramento dos processos nos quatro domínios analisados aderente às melhores práticas aplicáveis Prazo máximo de execução: 30 dias. 9. Composição da Proposta de Habilitação (Envelope A) CAPA: PROPOSTA DE HABILITAÇÃO (Envelope A) Programa das Nações Unidas para o Desenvolvimento Projeto BRA/04/029/ - Projeto Segurança Cidadã Edital < deste edital> Licitante <razão social da licitante> Índice: <capítulos abaixo discriminados, com a numeração de página correspondente> Portfólio da Licitante <Documentos necessários à avaliação da Licitante(empresa/instituição) conforme exigências contidas no Termo.> Metodologia de trabalho Descrição da metodologia de desenvolvimento constando, no mínimo: Profissionais envolvidos e atividades a serem exercidas por cada profissional Métodos, técnicas e ferramentas a serem utilizadas
8 Procedimentos para atuação junto ao cliente/usuários Procedimentos para apresentação e aprovação de produtos Metodologia de gestão do contrato Descrição da metodologia de gestão do contrato, que possibilite o acompanhamento e avaliação do andamento do projeto. Deve conter, no mínimo: Principais pontos de controle do projeto Procedimentos para relacionamento com o cliente Procedimentos para ação corretiva e preventiva Procedimentos para controle de documentos Outros temas relevantes Cronograma Físico <Cronograma Físico, compatível com o Termo de Referência, incluindo fases e etapas com os respectivos produtos.> Currículo do Coordenador do Projeto Currículo contendo declaração do consultor concordando com sua participação como coordenador do projeto objeto deste termo de referência, na condição de coordenador, acompanhado de diploma(s) ou cópia autenticada que comprove(m) a formação acadêmica indicada. Currículo da Equipe Técnica Currículo dos profissionais seniores, contendo declaração de concordância com a participação na equipe para o desenvolvimento do projeto objeto deste termo de referência, acompanhando de diploma(s) ou cópia autenticada que comprove(m) a formação acadêmica e de especialização dos técnicos. Documentos Complementares Documentos complementares que, a critério da licitante, possam esclarecer ou elucidar os termos da proposta. 10. Composição da proposta comercial (Envelope B) Na proposta comercial, (Envelope B) deverão constar, obrigatoriamente, os seguintes elementos: Valor em reais de cada produto/subproduto; Cronograma de Desembolso, por produto(s), compatível com o Cronograma Físico constante da proposta Técnica; Valor total da proposta, em Reais (R$), expressa numericamente e por extenso;
9 A validade da proposta será de no mínimo 90 (noventa) dias Nos custos deverão estar incluídas todas as despesas adicionais necessárias ao desempenho das atividades tais como impostos, taxas, diárias, passagens, deslocamentos, alimentação e outros. 11. Pagamento dos Serviços O Pagamento dos serviços será realizado, de acordo com o cronograma de desembolso apresentado e aprovado entre as partes. 12. Prazo O prazo máximo para a realização dos serviços será de 150 (cento e cinqüenta) dias, a contar da data da assinatura do contrato. 13.CRITÉRIO DE AVALIAÇÃO Será considerada vencedora a empresa que atender a todos os requisitos constantes do Edital e do Termo de Referência e apresentar o menor preço global. Observações: As informações referentes ao percentual de 70% da avaliação constantes do item 21. Avaliação e Comparação das Propostas das Instruções aos Consultores do presente edital não serão consideradas para efeito de avaliação das propostas.