Source: http://docplayer.es/1147136-Especificaciones-tecnicas-analisis-de-situacion-actual-en-materia-de-seguridad-de-la-informacion-del-ift.html
Timestamp: 2017-09-24 17:46:32+00:00

Document:
ESPECIFICACIONES TÉCNICAS Análisis de situación actual en materia de seguridad de la información del IFT. - PDF
ESPECIFICACIONES TÉCNICAS Análisis de situación actual en materia de seguridad de la información del IFT.
Download "ESPECIFICACIONES TÉCNICAS Análisis de situación actual en materia de seguridad de la información del IFT."
Marta Vázquez Venegas
1 ESPECIFICACIONES TÉCNICAS Análisis de situación actual en materia de seguridad de la información del IFT. Fecha: [29/05/2014] Página 1 de 18 Versión: va
2 Tabla de contenido 1. Glosario y Referencias Glosario Introducción Propósito de la solución Objetivos Beneficios esperados Alcance Componentes de la Solución Especificación de Componentes Componente 1: Análisis de situación actual del IFT Componente 2: Administración del Servicio Elementos dentro del Alcance Organización Interesados Procesos relacionados Marcos de Referencia y Mejores Prácticas Premisas Patrocinio Disponibilidad de Recursos en el IFT Acceso a la Información Relaciones y/o Dependencias con otros Proyectos Restricciones Temporalidad Aprobación de Pago Recursos provistos por el IFT para la prestación del servicio Lineamientos para el Proveedor Adjudicado Lineamientos específicos para la Planeación Inicio de Actividades Administrador del Servicio Lineamientos específicos para la Ejecución Apego al Cronograma del Servicio Entrega de Productos Lineamientos específicos para el Cierre Cierre Penalizaciones Garantía de cumplimiento Fecha: [29/05/2014] Página 2 de 18 Versión: va
3 6. Requisitos de Especialidad Recursos Humanos Perfil Empresarial Criterio de evaluación Firmas Fecha: [29/05/2014] Página 3 de 18 Versión: va
4 1. Glosario y Referencias 1.1 Glosario IFT o Instituto Término/Acrónimo Instituto Federal de Telecomunicaciones Descripción CGOTI OAP PAP CISSP CISA CISM ISO LA TIC Coordinación General de Organización y Tecnologías de la Información Oficina de Administración de Proyectos de TI de la CGOTI. Plan de Administración del Proyecto Certified Information Systems Security Professional Certified Information Systems Auditor Certified Information Security Manager Information Security Management System Lead Auditor Tecnologías de la Información y Comunicaciones 2. Introducción 2.1 Propósito de la solución La CGOTI ha identificado la necesidad de incrementar los niveles de seguridad de la información al interior del Instituto, tanto a nivel de las personas, como de los procesos y los activos relacionados con las Tecnologías de Información y Comunicaciones que los soportan. Esta contratación permitirá identificar de manera clara y objetiva los controles de seguridad que se encuentran en uso en las instalaciones de cómputo y comunicaciones del Instituto, así como su grado de madurez y distinguir aquellos controles de seguridad que siendo relevantes no se encuentran formalmente establecidos. Esta información se concentrará en un sitio de colaboración web para su consulta. Se considera utilizar ISO/IEC 27001:2013 por ser una norma reconocida a nivel internacional en materia de seguridad de la información y por ser una norma certificable por organismos disponibles tanto a nivel nacional como internacional. De manera adicional nos permitirá conocer el nivel de sensibilidad de los usuarios con respecto al tema de la seguridad de la información. 2.2 Objetivos Contar con un sitio de colaboración web que permita consultar las acciones de mejora en materia de seguridad de la información derivadas de la evaluación de los controles de seguridad del IFT y su apego a los establecidos en la norma ISO/IEC 27001:2013. Evaluar el nivel de cumplimiento del Instituto de los requerimientos establecidos en la norma ISO/IEC en su versión 2013, que en lo subsecuente se referirá sólo como norma ISO/IEC 27001:2013, para identificar la situación actual del IFT en materia de seguridad de la información. Fecha: [29/05/2014] Página 4 de 18 Versión: va
5 Contar con un documento de fortalezas, oportunidades, debilidades y amenazas (FODA) en materia de seguridad de información para el IFT. Identificar la ruta crítica que deberá seguirse para cubrir los requerimientos mínimos de seguridad de información en apego a la norma de referencia. Contar con un diagnóstico inicial del nivel de sensibilidad de los usuarios del IFT con respecto a la seguridad de la información. 2.3 Beneficios esperados Este proyecto permitirá identificar los controles de seguridad que se encuentran implementados en el Instituto y su grado de cumplimiento con respecto a una norma aceptada en materia de seguridad de la información (como referencia se usará ISO/IEC 27001:2013), la medición del beneficio se establecerá contabilizando los controles implementados y que se encuentran en operación contra los controles establecidos en la norma, el grado de madurez se establecerá sobre una escala cualitativa; esta medición se realizará durante la vigencia del proyecto y estará coordinada por la Dirección de Seguridad de Sistemas Informáticos. Se tomarán como base de referencia los 114 controles definidos en el Anexo A de la norma ISO/IEC 27001: Alcance 3.1 Componentes de la Solución La solución debe contemplar los componentes que se muestran gráficamente en la siguiente figura: Se deben considerar en este proyecto los siguientes componentes: 1. Análisis de situación actual del IFT, y 2. Administración del servicio. El Proveedor Adjudicado deberá proporcionar los recursos técnicos y humanos especializados en seguridad de la información para realizar el análisis e identificar oportunidades de mejora en los procesos de TIC, definir recomendaciones, crear y difundir acciones de sensibilización a personal del Instituto, en temas de seguridad de información, generación y ejecución de pruebas, así como la documentación de los resultados de tales pruebas Fecha: [29/05/2014] Página 5 de 18 Versión: va
6 para identificar niveles de apego a los requerimientos establecidos en la norma propuesta en materia de seguridad de información. El proyecto considera el diseño y desarrollo de un sitio de colaboración web que permita su consulta posterior con el fin de compartir avances en la implementación de las acciones de mejora propuestas. Este sitio deberá basarse en herramientas de TIC de uso en la CGOTI (sharepoint server 2010/2013). Para efecto de establecer una base de referencia, se deberá utilizar la norma ISO/IEC 27001:2013; el Proveedor Adjudicado podrá utilizar otras normas para la ejecución del proyecto, siempre y cuando los resultados finales se entreguen de acuerdo a la norma ISO/IEC 27001: Especificación de Componentes A continuación se presenta el detalle de los productos y servicios requeridos para cada uno de los componentes: Componente 1: Análisis de situación actual del IFT. El IFT busca a través de este componente evaluar los controles que se encuentran operando en el Instituto contra los establecidos en la norma ISO/IEC 27001:2013; en este componente el Proveedor Adjudicado deberá realizar las acciones de recolección de información que permitan identificar el nivel de madurez en el uso de los mismos y las desviaciones en la implementación de prácticas aceptadas en materia de seguridad de información tomando como marco de referencia la norma señalada. El alcance del proyecto considera la evaluación de controles implementados que se encuentran en operación en los procesos de la Dirección de Servicios Informáticos relacionados con la operación de las infraestructuras de TIC del Instituto, y de los servicios de soporte necesarios para la operación de las mismas (considerando al menos acceso a redes de telecomunicaciones, servicios de respaldo de energía eléctrica y seguridad física de las instalaciones). Para el caso de la ubicación del sitio secundario deberá realizarse una evaluación específica de riesgos para identificar condiciones de exposición del sitio se propone utilizar el Atlas Nacional de Riesgo como referencia para esta actividad. Como parte del proyecto deberán considerarse los controles de seguridad aplicables a la infraestructura de cómputo, comunicaciones y aplicaciones establecidos en el Anexo A de la norma de referencia que se encuentren en: Instalaciones físicas de la oficina central del Instituto, ubicadas en Insurgentes Sur 1143, Colonia Nochebuena, Delegación Benito Juárez en México D.F; se deberán considerar, al menos, los controles de acceso, la protección de instalaciones relevantes relacionadas con TIC; así como las instalaciones de soporte a las operaciones cotidianas del Instituto, a saber: soporte de energía eléctrica, seguridad física, exposición a vulnerabilidades derivadas de su ubicación. Controles de seguridad del centro de cómputo principal del Instituto. Adicionalmente se deberá considerar: Fecha: [29/05/2014] Página 6 de 18 Versión: va
7 Nivel de sensibilidad de los administradores de infraestructura de cómputo central y comunicaciones. Nivel de sensibilidad del personal directivo de la CGOTI (a partir de Directores de área y niveles superiores). Se debe considerar como parte fundamental del proyecto, la sensibilización a los usuarios sobre la importancia de la seguridad de la información. La sensibilización considerada en este componente debe incluir tanto a la norma de referencia como la identificación práctica de la importancia de la seguridad de la información en el Instituto; por lo tanto, para dar cumplimiento a este componente se convocará a personal técnico de la CGOTI y a personal de las áreas sustantivas para asistir de forma libre considerando al menos las sesiones de transferencia de conocimiento y cupos siguientes: Tema Conceptos básicos de seguridad de información Cupo (número de personas) Personal de CGOTI (25 personas) Se deberá considerar una sesión adicional para 25 personas de áreas sustantivas interesadas en el tema. Fundamentos de la norma ISO/IEC 27001:2013 y su implementación Seguridad de equipo portátil y dispositivos móviles (personal e institucional). Seguridad en redes sociales, correo electrónico y redes de acceso público. Uso y administración de contraseñas seguras y dispositivos de cifrado de datos. Personal de CGOTI (50 personas) 25 (Personas del Instituto interesadas en el tema). 25 (Personas del Instituto interesadas en el tema). Personal de CGOTI (50 personas) Se deberá considerar una sesión adicional para 25 personas de áreas sustantivas interesadas en el tema. Las sesiones en todos los casos serán impartidas por personal del Proveedor Adjudicado especializado en los temas abordados. El calendario con las fechas de las sesiones de transferencia de conocimiento se establecen en el Cronograma del servicio señalado en el punto de este documento. El material de apoyo utilizado en las sesiones deberá integrarse al sitio de colaboración que se desarrollará como parte del proyecto. Como parte del proyecto, se requiere que el Proveedor Adjudicado realice un análisis de Fortalezas, Oportunidades, Debilidades y Amenazas (FODA) respecto de la situación de la seguridad de la información en el IFT y proponga una ruta crítica en la implementación de controles relevantes por su impacto en el nivel general de seguridad de información del Instituto. Fecha: [29/05/2014] Página 7 de 18 Versión: va
8 El reporte final de resultados deberá integrar un análisis detallado de la situación del IFT con respecto a la norma seleccionada y las recomendaciones para la mejora continua del IFT en su nivel de cumplimiento. Si se requieren, el Proveedor Adjudicado deberá proporcionar las herramientas de hardware y software para la realización de las tareas, en caso de que sea necesario instalar y/o configurar las herramientas utilizadas, esta configuración será realizada por el Proveedor Adjudicado con el acompañamiento del personal responsable de administrar la infraestructura de red del Instituto y previo acuerdo de la fecha y hora en que se realizarán las actividades; ninguna actividad podrá realizarse sin la aprobación del personal del IFT. Las herramientas utilizadas no deberán ser intrusivas y no deberán degradar la prestación de los servicios que proporciona el Instituto a sus usuarios internos o externos. El personal que el Proveedor Adjudicado designe para la ejecución de estas actividades estará en sitio y bajo la coordinación del administrador del contrato por parte del IFT Productos Entregable Descripción Requerimientos E.1.1 Informe ejecutivo de situación actual del IFT Documento con la información resultante del análisis realizado, formulado en lenguaje claro y dirigido a la alta gerencia. Al menos debe contener: R Identificación del nivel de cumplimiento de la norma de referencia de acuerdo a la madurez de los controles existentes. R Identificación de debilidades de control, oportunidades y efectos de su explotación y amenazas detectadas y recomendaciones de solución. E.1.2 Informe técnico de situación actual del IFT Documento con la información detallada del análisis y pruebas realizadas, formulado en lenguaje claro y orientado a las áreas técnicas del IFT. Al menos debe contener: R Descripción detallada de los ambientes analizados. R Identificación detallada de los controles identificados y las desviaciones existentes con respecto a la norma de referencia. R Listado de herramientas utilizadas para realizar el análisis. R Recomendaciones de solución. E.1.3 Reporte de análisis FODA Documento con la identificación de amenazas, oportunidades, fortalezas y Al menos debe contener: R Análisis detallado. debilidades en materia de seguridad de información identificadas en el proyecto. E.1.4 Ruta crítica Documento con las recomendaciones de implementación de controles sugeridos Al menos debe contener: R Identificación de los controles críticos que deben ser implementados y propuesta de implementación. E.1.5 Sitio de colaboración web Sitio diseñado y desarrollado para compartir la información resultado del proyecto y el material de apoyo en materia de seguridad de la información a través de interfaces web accesibles a través de la red interna del IFT. Al menos deberá contener: R Identificación de los controles evaluados R Acciones de mejora establecidas R Mecanismos de control de acceso a través de directorio activo R Manejo de privilegios de los usuarios autorizados Los entregables señalados deberán ser entregados de acuerdo con el cronograma de servicio indicado en el punto Fecha: [29/05/2014] Página 8 de 18 Versión: va
9 Servicios S.1.1 Transferencia de conocimientos en materia de seguridad informática. Característica Descripción Propósito Sensibilizar a los usuarios sobre la importancia de incrementar el nivel de seguridad de información en el Instituto. Tipo de servicio Transferencia de conocimiento. Área geográfica o lógica de Las sesiones serán impartidas en las instalaciones del IFT en el DF, sitas en Insurgentes Sur 1143, colonia Nochebuena, cobertura delegación Benito Juárez. Vigencia Vigencia del proyecto Horario del servicio Las sesiones se impartirán en el horario de oficina del IFT. Lunes a Viernes de 9:00 a 18:00 hrs. Prioridad Alta Periodicidad de revisión del Para cada sesión impartida se deberá generar la información de cumplimiento del nivel de servicio. nivel de servicio Indicador de desempeño Indicador 1 - Nivel de sensibilidad del usuario sobre la seguridad de la información (El indicador se calculará sobre la muestra de la población que participe en las sesiones y deberá medirse el porcentaje de asistencia al mismo) Indicador 2 - Asistencia En cada sesión deberá definirse la cantidad de participantes invitados y se deberá medir el % de asistencia. Nivel de servicio mínimo Para el indicador 1, se establecerá una escala cualitativa que deberá considerar a menos los niveles: Bajo, Medio y esperado Alto, se deberá contrastar el nivel de los usuarios al inicio y al final de cada sesión e indicar el porcentaje de participantes que se encuentra en cada segmento de la escala. Requerimientos Adicionales El Proveedor Adjudicado deberá considerar dos líneas de acción, la primera dirigida a usuarios técnicos de las áreas de tecnologías de información (CGOTI) y la segunda orientada a usuarios de las áreas funcionales, no necesariamente personal de la CGOTI. En ambos casos deberá proponerse una estructura lógica de temas que permita difundir entre los usuarios del IFT los conceptos de seguridad de la información. El Proveedor Adjudicado deberá considerar como parte del servicio la elaboración del contenido de los talleres y proponerlo a la CGOTI a través del administrador del contrato del IFT para su aprobación. El material de apoyo de las sesiones podrá ser utilizado en sesiones posteriores, o bien, modificado por el Instituto o los terceros que éste designe para su actualización y difusión, por lo que deberán incorporarse los archivos fuente del material. El Proveedor Adjudicado deberá elaborar los materiales que permitan obtener la información para medir el indicador establecido; en cada sesión deberá aplicar, recopilar y evaluar los resultados y generar los informes de cumplimiento solicitados. El material de apoyo a los talleres podrá ser difundido a todos los colaboradores del Instituto, por lo que no deberá contener material protegido por derechos de autor que no sean en favor del propio Instituto Componente 2: Administración del Servicio El propósito de este componente es asegurar que el proyecto termine en tiempo, bajo el presupuesto acordado y cumpliendo con todos sus requerimientos Productos Entregable Descripción Requerimientos E.2.0 Plan de Administración del Contiene la metodología y planes utilizados R Documento que deberá incluir al menos: Proyecto para administrar el proyecto. Organigrama del Proyecto Plan de comunicación del proyecto Administración de riesgos Plan de Gestión de cambios Firmas del Administrador del Servicio del Proveedor Fecha: [29/05/2014] Página 9 de 18 Versión: va
10 Entregable Descripción Requerimientos Adjudicado y del Responsable de la supervisión del proyecto por parte del IFT E.2.1 Cronograma detallado Programación de actividades y metas específicas en el tiempo. R El cronograma debe ser dinámico en donde se definan claramente las dependencias entre tareas. E.2.2 Presentación de la Junta de inicio del proyecto Este Cronograma deberá integrarse en los primeros 10 días hábiles del proyecto y deberá detallar las actividades del proyecto de acuerdo a las fechas establecidas en el cronograma del servicio indicado en el punto Presentación de objetivos, metas y recursos del proyecto. R Evidencia de asistencia a la presentación de todos los involucrados en el proyecto. E.2.3 Reportes de Avance Informe periódico para el monitoreo y seguimiento del avance del proyecto. R Presentar de acuerdo a la periodicidad y medio establecido en el mecanismo de comunicación. E.2.4 Junta de Cierre Formaliza la entrega satisfactoria de los productos y/o servicios. R Describir los productos y servicios entregados de acuerdo a la estructura definida en el PAP. Los entregables señalados deberán ser entregados de acuerdo con el cronograma de servicio indicado en el punto Elementos dentro del Alcance Elementos que pueden impactar la ejecución del proyecto, por lo que deben ser considerados en la propuesta del Proveedor Adjudicado. El Proveedor Adjudicado deberá contar y dedicar al proyecto especialistas certificados en temas relacionados con seguridad de información y administración de proyectos, como mínimo deberá contar con personal certificado como CISSP, CISA, CISM e ISO27001 LA. Para verificar el cumplimiento de este punto se deberá considerar lo señalado en el punto de este documento Organización Área / Unidad Afectada / Observación / Comentario Involucrada CGOTI Involucrada Participa en la administración del proyecto y en la implementación de controles técnicos de acuerdo a la norma de referencia y a las guías de implementación aplicables. Otras áreas del IFT Involucradas Utilizan servicios proporcionados por CGOTI Interesados Interesado Rol Participación/Interés CGOTI Patrocinador y proveedor de servicios de TIC al interior del IFT Requiere mejorar el nivel de seguridad de los servicios que proporciona Otras áreas del Instituto Usuarios Utilizan los servicios proporcionados por CGOTI, requieren conocer el riesgo en el uso de servicios de TIC y la forma de manejarlos. Fecha: [29/05/2014] Página 10 de 18 Versión: va
11 3.3.3 Procesos relacionados Proceso Administración de servicios informáticos Impacto Provee servicios de TIC a todas las áreas del Instituto Marcos de Referencia y Mejores Prácticas Durante la realización de la solución, se deben utilizar los siguientes marcos de referencia y/o metodologías: Ámbito Modelo/Metodología/Lineamientos Proyectos Project Management Body of Knowledge (PMBoK ) Guide Seguridad ISO/IEC 27001:2013; ISO/IEC 27002: Premisas Para la realización y diseño de la solución tecnológica se deben considerar las siguientes premisas: Patrocinio El IFT, a través de la Coordinación General de Organización y Tecnologías de Información, proporciona el apoyo permanente y adecuado para garantizar que los recursos necesarios (presupuesto, personal, tiempo) están disponibles y hay colaboración suficiente de la organización para lograr los objetivos de acuerdo al Cronograma del servicio presentado como parte de la propuesta del Proveedor Adjudicado y aprobado por el Administrador del contrato por parte del IFT Disponibilidad de Recursos en el IFT El IFT, a través de la CGOTI cuenta con el presupuesto autorizado para la contratación del proyecto que permita realizar las actividades que permitirán identificar de manera clara y objetiva los controles de seguridad que se encuentran en uso en el Instituto, así como su grado de madurez y distinguir aquellos controles de seguridad que siendo relevantes no se encuentran formalmente establecidos y, de manera adicional, nos permitirá conocer el nivel de sensibilidad de los usuarios con respecto al tema de la seguridad de la información Acceso a la Información El IFT, a través de la CGOTI, provee el apoyo para acceder a información y entrevistas necesarias para el desarrollo de los servicios y productos. Fecha: [29/05/2014] Página 11 de 18 Versión: va
12 3.4.4 Relaciones y/o Dependencias con otros Proyectos Durante la realización de los servicios se deben considerar las dependencias que tengan impacto en la realización del proyecto, actualmente se tienen identificadas las siguientes: Proyecto Tipo de Descripción de la Dependencia Criticidad Dependencia 1 Comunicaciones Servicio Recientemente se realizó la actualización de equipo de comunicaciones del Instituto. Los Alta procesos de análisis deberán realizarse sobre la nueva infraestructura. 2 Servidores Servicio Los servidores con los que cuenta el Instituto dan soporte a los ambientes de producción, Alta pruebas y desarrollo del Instituto por lo que los trabajos de este proyecto no deben afectar la disponibilidad de los mismos. 3 Otras áreas del Instituto Requerimiento Se evaluará su nivel de sensibilidad con respecto a la seguridad de la información. Alta 3.5 Restricciones Para la realización y diseño de la solución tecnológica se consideran las siguientes restricciones: Temporalidad La vigencia del contrato será del 17 de septiembre al 31 de diciembre de Aprobación de Pago El pago se realizará de conformidad con el Artículo 53 de las Normas en materia de Adquisiciones, Arrendamientos y Servicios del Instituto Federal de Telecomunicaciones en un pago único al Proveedor Adjudicado dentro de los 20 días naturales contados a partir de la entrega de la factura respectiva, previa entrega de los servicios en los términos del contrato y una vez que se hayan aprobado, por parte del administrador del contrato del IFT, todos los entregables descritos en el numeral 3.2 Especificación Componentes. de Recursos provistos por el IFT para la prestación del servicio Recurso Cantidad Acceso Telefónico 1 compartido con otros proveedores y limitado a llamadas locales. Nodos para Internet Acceso a red inalámbrica durante la vigencia del proyecto Conexiones Eléctricas 2 Salas de juntas Se deberá establecer de manera previa la programación de las sesiones de trabajo con grupos, ya que el IFT debe agendar el uso de las salas de acuerdo a su capacidad y horarios. Las salas cuentan con proyector y conexiones eléctricas. Fecha: [29/05/2014] Página 12 de 18 Versión: va
13 Recurso Cantidad Espacio (m2 o por persona) Se proporcionará espacio para 4 personas en sitio para la realización del proyecto. 4. Lineamientos para el Proveedor Adjudicado Esta sección establece los lineamientos específicos que debe seguir el Proveedor Adjudicado durante la realización de las actividades y la vigencia del contrato. Para facilitar su referencia, los lineamientos específicos para las etapas de planeación, ejecución y cierre se señalan en los puntos 4.1, 4.2 y 4.3 de este documento. Nombre de la Etapa Criterios de término de la etapa Planeación Se ha firmado el contrato con el Proveedor Adjudicado. Se cuenta con el Cronograma autorizado del Servicio. Se ha efectuado la junta de Inicio del proyecto. Ejecución Todos los entregables descritos con las evidencias correspondientes, se han revisado y aprobado por parte del administrador del contrato del IFT. Cierre Se ha firmado el Acta de Cierre del servicio por parte del administrador del contrato del IFT. Se han entregado los productos y servicios. Se han liberado los recursos del proyecto. 4.1 Lineamientos específicos para la Planeación Inicio de Actividades El Proveedor Adjudicado deberá presentar una propuesta de trabajo previa a la ejecución de cualquier actividad que no se encuentre considerada en el Cronograma del servicio señalado en el punto al menos con dos días hábiles de anticipación a la ejecución de la misma y deberá contar con la aprobación del administrador del contrato del Instituto para su ejecución. Una vez recibida la propuesta, el administrador del contrato contará con dos días hábiles para la revisión y autorización de la misma Administrador del Servicio El Proveedor Adjudicado debe nombrar a un Administrador de Servicio como único punto de contacto para las cuestiones de control y evaluación del servicio. Se debe proporcionar el número de teléfono de su oficina, número de teléfono móvil y su dirección de correo electrónico. El Proveedor Adjudicado se compromete a notificar por escrito, al menos con cinco días de anticipación, en el domicilio del Instituto cualquier cambio en el punto de contacto. 4.2 Lineamientos específicos para la Ejecución Apego al Cronograma del Servicio El Proveedor Adjudicado debe realizar las actividades del servicio con apego al Cronograma. Cualquier Fecha: [29/05/2014] Página 13 de 18 Versión: va
14 tipo de omisión, retraso o cambio en las actividades del servicio que afecten los hitos de entrega de productos puede tener un fuerte impacto en cuanto a los tiempos asignados originalmente, por lo que debe considerarse una estrategia de resolución de esta afectación. Esta estrategia de resolución debe someterse a la evaluación del administrador del contrato del IFT para su aceptación y autorización de acuerdo al mecanismo establecido para este fin en el PAP. En caso de que se presente algún cambio en la fecha de fallo del proyecto, el cronograma se ajustará en el mismo número de días que se retrase la emisión del fallo. Entregable E.1.1 Informe ejecutivo de situación actual del IFT E.1.2 Informe técnico de situación actual del IFT E.1.3 Reporte de análisis FODA E.1.4 Ruta crítica E.1.5 Sitio de colaboración web Diseño Implementación Carga de contenido E.2.0 Plan de Administración del Proyecto E.2.1 Cronograma detallado E.2.2 Presentación de la Junta de inicio del proyecto E.2.3 Reportes de Avance E.2.4 Junta de Cierre Conceptos básicos de seguridad de información Fundamentos de la norma ISO/IEC 27001:2013 y su implementación Seguridad de equipo portátil y dispositivos móviles (personal e institucional). Seguridad en redes sociales, correo electrónico y redes de acceso público. Uso y administración de contraseñas seguras y dispositivos de cifrado de datos Septiembre Octubre Noviembre Dic Entrega de Productos Todos los productos del proyecto deben cumplir con los lineamientos del PAP antes de la firma de Actas de aceptación de entregables. Los productos aprobados por parte del administrador del contrato del IFT deben ser entregados en formato digital antes de firmarse el acta de cierre correspondiente. Fecha: [29/05/2014] Página 14 de 18 Versión: va
15 Los entregables deben ser digitalizados y resguardados en el repositorio del proyecto en el sitio de la OAP, salvo los casos en que el espacio requerido para su almacenamiento sea mayor al permitido en el repositorio. En caso de auditoría o revisión de cualquier organismo fiscalizador, el Responsable del Proyecto está obligado a presentar las evidencias requeridas así como a responsabilizarse por el contenido y calidad de las mismas. 4.3 Lineamientos específicos para el Cierre Cierre El servicio es considerado como terminado a satisfacción cuando todos los componentes, entregables y servicios descritos en el numeral 3 Alcance sean revisados y aprobados formalmente mediante la firma del Acta de Cierre correspondiente, así como la conformidad del Proveedor Adjudicado de que hasta en tanto ello no se cumpla, estos no se tendrán por recibidos o aceptados. Antes de firmar el Acta de Cierre la CGOTI, a través del administrador del contrato, debe garantizar: Que el Proveedor Adjudicado reciba la acreditación de que no ha quedado pendiente algún entregable, salvo lo que resulte por concepto de garantías. El Proveedor Adjudicado deberá considerar a su cargo las correcciones a los entregables en tanto éstos no sean considerados como definitivos mediante la aceptación del administrador del contrato del IFT a cargo del proyecto. El Proveedor Adjudicado deberá presentar a la CGOTI, a través del administrador del contrato del IFT, en una reunión de cierre, los resultados obtenidos. En esta reunión se entregarán formalmente los productos generados y revisados por el Administrador del Servicio del Proveedor Adjudicado y del Responsable de la supervisión del proyecto y administrador del contrato del IFT. La reunión deberá realizarse a más tardar el 15 de diciembre de Penalizaciones En la siguiente tabla se describen las penalizaciones que aplican en el proyecto, incluyendo las definidas para cada servicio el numeral 3.2 Especificación de Componentes. Pena Convencional Medio punto porcentual (0.5%) sobre el monto de los servicios no entregados oportunamente por causas imputables al proveedor, por cada día natural de atraso en la prestación del servicio especificado en el anexo técnico del contrato, de conformidad con lo dispuesto por el Artículo 55 de las Normas en materia de Adquisiciones, Arrendamientos y Servicios del Instituto Federal de Telecomunicaciones, la penalización máxima a aplicar es del 10% del valor de los servicios entregados con atraso. Deducciones Las deducciones serán equivalentes al 0.5% (cero punto cinco por ciento), en función de Los Servicios prestados de manera deficiente, las cuales se harán efectivas sobre la factura que se presente para su pago hasta por un 10 % (diez por ciento); en caso de que se supere dicho monto, se podrá cancelar o rescindir administrativamente el contrato correspondiente en términos de los Artículos 56 y 57 de las Normas en materia de Adquisiciones, Arrendamientos y Servicios del Instituto Federal de Telecomunicaciones y 86 de los Lineamientos en materia de Fecha: [29/05/2014] Página 15 de 18 Versión: va
16 La suma de las penas convencionales no deberá exceder del importe de la garantía de cumplimiento del contrato, en el entendido de que si el contrato es rescindido no procederá el cobro de dichas penas ni la contabilización de las mismas al hacer efectiva la garantía de cumplimiento. adquisiciones, arrendamientos y Servicios del Instituto Federal de Telecomunicaciones. 5.1 Garantía de cumplimiento El Proveedor Adjudicado para garantizar el cumplimiento de sus obligaciones, de conformidad con el artículo 92 de los Lineamientos en materia de adquisiciones, arrendamientos y servicios del Instituto Federal de Telecomunicaciones, podrá otorgar las garantías en alguna de las formas siguientes: depósito de dinero constituido a través de certificado o billete de depósito expedido por institución de crédito autorizada; fianza otorgada por institución autorizada; depósito de dinero constituido ante la Tesorería del Instituto; carta de crédito irrevocable, expedida por institución de crédito autorizada; cheque certificado o de caja expedido a favor del Instituto, y cualquier otra que, en su caso, autorice la Coordinación General de Administración. Para este proyecto se solicita preferentemente, que el Proveedor Adjudicado otorgue fianza expedida por institución autorizada para ello, a favor del Instituto Federal de Telecomunicaciones, por un importe equivalente al 10% (diez por ciento) del monto total del contrato correspondiente, sin considerar el Impuesto al Valor Agregado. Lo anterior, de conformidad con lo establecido en el artículo 50, fracción II y 51, de las Normas en materia de Adquisiciones, Arrendamientos y Servicios del Instituto Federal de Telecomunicaciones. Dicha garantía es indivisible y deberá presentarse en la Dirección de Recursos Materiales y Servicios Generales de la Coordinación General de Administración del Instituto Federal de Telecomunicaciones sita en Avenida Insurgentes Sur Número 838, Piso 5, Colonia del Valle, Delegación Benito Juárez, Código Postal 03100, México, Distrito Federal, dentro de los 10 días naturales posteriores a la firma del contrato correspondiente. 6. Requisitos de Especialidad Recursos Humanos El Licitante debe contar con el personal capacitado para proporcionar los servicios requeridos, de acuerdo con lo siguiente: Evidencia de Cumplimiento Como parte de su propuesta, el Licitante deberá entregar copias simples de los certificados solicitados para acreditar los recursos indicados en este documento. El Licitante deberá asignar al proyecto al menos Fecha: [29/05/2014] Página 16 de 18 Versión: va
17 a las personas cuyos certificados fueron presentados como parte de la propuesta, o bien, previa aceptación del Instituto deberá sustituir al personal con otro con el mismo grado de certificación sin afectar el calendario de actividades establecido para el proyecto. Cantidad Especialista Evidencia de Cumplimiento 1 Especialista certificado en auditoría de Comprobable mediante certificado de: sistemas. CISA (Certified Information Systems Auditor). 1 Especialista certificado en seguridad Comprobable mediante certificado de: de sistemas. CISSP (Certified Information Systems Security Professional). 1 Especialista en administración de Comprobable mediante certificado de: sistemas de seguridad de información. CISM (Certified Information Security Manager). Especialista en auditoria de seguridad Comprobable mediante certificado de: 1 de la información conforme a la norma ISO/IEC ISO LA (ISO Lead Auditor) Perfil Empresarial El Licitante deberá entregar como parte de su propuesta una copia simple de su acta constitutiva en donde se muestra que como parte de su objeto social se encuentra la prestación de servicios relacionados con la seguridad de la información. Asimismo, deberá presentar un ejemplar de su presentación corporativa en donde se muestre que cuenta con servicios relacionados con la seguridad de la información y la implementación de sistemas de gestión de seguridad de la información. Como parte necesaria de la propuesta el Licitante deberá adjuntar copia simple de tres contratos en donde se muestre que ha realizado proyectos similares en análisis de brecha, gap análisis o análisis de madurez en materia de seguridad de la información cuya ejecución se haya dado durante los últimos 3 años y se encuentren concluidos. Para acreditar que los contratos presentados concluyeron de manera satisfactoria, el Licitante deberá presentar: a) Para los contratos con instituciones sociales o privadas, una copia simple de la carta del cliente correspondiente o carta membretada, que acredite la conclusión satisfactoria del servicio prestado. b) Para el caso de contratos celebrados con instituciones públicas, una copia simple del documento de liberación de la garantía de cumplimiento debidamente firmada por la dependencia o entidad. 7. Criterio de evaluación Se utilizará el criterio de evaluación binario para este procedimiento de contratación de servicios, toda vez que no es necesario vincular las condiciones que deberán cumplir los proveedores con las características y especificaciones técnicas de los servicios ya que éstas no corresponden a una alta especialidad o innovación tecnológica, las características de su prestación pueden considerarse estandarizadas en el mercado al encontrarse apegadas a una norma de amplia difusión a nivel internacional en materia de seguridad de la información, las certificaciones solicitadas para el personal corresponden también a productos estandarizados provistos por las Entidades que las han definido y las herramientas tecnológicas indicadas para el diseño y desarrollo del sitio de colaboración tienen una amplia difusión en el mercado. Fecha: [29/05/2014] Página 17 de 18 Versión: va
18 8. Firmas Responsable del Proyecto y Contenido Revisión y Vo. Bo. Ney Galicia Arrocena Director de Seguridad de Sistemas Informáticos Guillermo Saavedra Suárez Director General Adjunto de Tecnologías de Información y Comunicaciones Autorizó Hugh Harleston López Espino Coordinador General de Organización Y Tecnologías de la Información Fecha: [29/05/2014] Página 18 de 18 Versión: va
CONTENIDO 1. Definición de los Servicios Requeridos... 2 2. Descripción de los Servicios.... 2 3. Tipos de servicios.... 2 4. Volumen de los Servicios.... 3 5. Metodología para la prestación de Servicios....

References: Artículo 53
 resolución 
 resolución 
 Artículo 55
 artículo 92
 artículo 50