Objeto: O presente Pregão Eletrônico tem por objeto a obtenção de proposta mais vantajosa, com a finalidade de registrar o preço da Solução Integrada de Proteção, Controle e Resposta a Incidentes de Rede do Centro de Inteligência do Exército (CIE), composta por hardware, software, serviços de instalação, treinamento e suporte técnico, garantia pelo período de 12 (doze) meses, e Unidades de Serviço Técnico – UST, visando atender às necessidades da gestão de segurança de tecnologia da informação do CIE, e prover os recursos indispensáveis para oferecer uma camada de proteção à rede e sistemas de inteligência da organização, assim como oferecer a infraestrutura necessária para permitir uma reação rápida e assertiva aos incidentes de segurança que possam impactar negativamente a disponibilidade do ambiente, e consequentemente a ação do CIE.
A solução foi planejada de forma que a aquisição contemple ascaracterísticas acima descritas e visa aumentar a segurança dos sistemas de inteligência do CIE, melhorar a infraestrutura física e lógica das redes do CIE, aumentar a segurança da rede de inteligência do CIE; elevar a capacidade dos sistemas de segurança do CIE de identificar e bloquear ameaças modernas/avançadas, proporcionar a criação de zonas de segurança com perfis de acesso controlado, elevar o nível de disponibilidade da rede de inteligência e sistemas do CIE, elevar a capacidade técnica da equipe do CIE no combate às ameaças cibernéticas, prover tecnologia em conformidade com os investimentos já realizados, proporcionando uma infraestrutura de segurança coesa e eficaz e permitir maior assertividade na identificação de problemas que possa causar impacto negativo na disponibilidade dos sistemas e rede de inteligência do CIE.


















  
13










  

termos gerais, prover a capacidade de prestação contra o desconhecido, ou seja, ameaças criadas especificamente para ultrapassar as barreiras tradicionais de defesa.
O Centro de Inteligência do Exército, em sua missão estratégica, tem a demanda constante de se manter atualizado tecnologicamente. Deixar de observar a necessidade de evolução da estratégia de defesa, perante o nível de desenvolvimento das novas ameaças, implica na incapacidade de oferecer a proteção necessária para a organização.
O investimento em soluções de proteção das informações sigilosas da rede de inteligência do CIE, portanto, não apenas é essencial para a organização, como também está em total conformidade com as iniciativas no contexto de segurança da informação do governo federal brasileiro como um todo.
O CIE entende que as soluções de segurança a serem adquiridas precisam necessariamente oferecer funcionalidades de apoio ao seu processo de gestão de riscos. Levando em consideração que a segurança de uma rede corporativa não deve ser mensurada apenas com base nos mecanismos de proteçao em uso no ambiente, mas também à sua capacidade de reagir no menor prazo possível aos incidentes de segurança, é essencial a qualquer solução a ser adquirida possua foco também no processo de resposta a incidentes estabelecidos na organização.
- Desta forma, justifica-se a necessidade de investir em novas tecnologias capazes de elevar o nível de segurança do ambiente, assim como prover as ferramentas necessárias para viabilizar uma resposta assertiva aos incidentes que porventura venham a ser identificados. São requisitos para construir a arquitetura de proteção à rede e sistemas de inteligência da organização. Além disso, visa atender as seguintes demandas dentro do projeto:
Atender às demandas do Exército Brasileiro e do Centro de Inteligência do Exército (CIE) no tocante à Tecnologia da Informação (TI) a fim de atender o previsto no Plano Diretor de Tecnologia da Informação (PDTI) do CIE;
- Prover proteção aos sistemas de inteligência críticos do CIE, com focos nos quesitos de confidencialidade, integridade e disponibilidade;

- Prover a camada de proteção à rede e sistemas de inteligência do CIE; - Prover tecnologia para proteção, detecção e identificação de ameaças conhecidas e desconhecidas, e identificação de problemas que afetem negativamente os serviços de inteligência do CIE;
- Prover tecnologia para proporcionar resposta assertiva aos incidentes de segurança;
- Prover solução de apoio à gestão de segurança da informação aderente às necessidades do CIE;
- Melhorar a infraestrutura física e lógica das redes do CIE;
- Capacitar a equipe técnica da Divisão de Suporte à Inteligência (DSI) a manter e gerenciar os equipamentos e sistemas fornecidos, assim como atuar com mais assertividade no combate às ameaças digitais, e defesa dos ativos do CIE.
A iniciativa de adquirir soluções de defesa contra ameaças cibernéticas, com o objetivo de prover segurança às informações existentes na rede de inteligência do CIE, está em conformidade com as políticas de segurança governamentais do Estado Brasileiro.
O Gabinete de Segurança Institucional da Presidência da República (GSI/PR), na Instrução Normativa GSI/PR n° 1, a define a segurança da informação como “ações que objetivam viabilizar e assegurar a disponibilidade, a integridade, a confidenciabilidade e autenticidade das informações”. Trata também da Gestão de Segurança da Informação e Comunicações nos seguintes termos: “ações e métodos que visam à integração das atividades de gestão de riscos, gestão de continuidade do negócio, tratamento de incidentes, tratamento da informação, conformidade, credenciamento, segurança cibernética, segurança física, segurança lógica, segurança orgânica e segurança organizacional aos processos institucionais estratégicos, operacionais e táticos, não se limitando, portanto, à tecnologia da informação e comunicações”.
Ainda citando a Instrução Normativa GSI/PR n° 1, é importante observar a responsabilidade do Gestor de Segurança da Informação e Comunicações no contexto:
Instrução Normativa GSI/PR n° 1
“Art.7º Ao Gestor de Segurança da Informação e Comunicações,

de que trata o inciso IV do art. 5º, no âmbito de suas atribuições, incumbe: III- propor recursos necessários às ações de segurança da informação e comunicações; V- realizar e acompanhar estudos de novas tecnologias, quanto a possíveis impactos na segurança da informação e comunicações;”
A busca por soluções capaz de combater as novas ameaças também é citada no material do GSI/PR, como pode ser visto neste trecho da Norma Complementar nº 05/IN01/DSIC/GSIPR:
“2.1 Nos últimos anos os órgãos públicos vêm implementando e consolidando redes locais de computadores cada vez mais amplas, como exigência para suportar o fluxo crescente de informações, bem como permitir que seus funcionários acessem à rede mundial de computadores para melhor desempenharem suas funções. Manter a segurança da informação e comunicações de uma organização em um ambiente computacional interconectado nos dias atuais é um grande desafio, que se torna mais difícil à medida que são lançados novos produtos para a Internet e novas ferramentas de ataque são desenvolvidas.” A necessidade e responsabilidade de proteção da informação também são fundamentadas na Lei 12.527, de 18 de novembro de 2011, conhecida como “Lei de Acesso à Informação”:
“DO ACESSO A INFORMAÇÕES E DA SUA DIVULGAÇÃO Art. 6º Cabe aos órgãos e entidades do poder público, observadas as normas e procedimentos específicos aplicáveis, assegurar a: II - proteção da informação, garantindo-se sua disponibilidade, autenticidade e integridade; e III - proteção da informação sigilosa e da informação pessoal, observada a sua disponibilidade, autenticidade, integridade e eventual restrição de acesso. Art. 25. É dever do Estado controlar o acesso e a divulgação de informações sigilosas produzidas por seus órgãos e entidades, assegurando a sua proteção”

Neste contexto, é possível citar as instruções normativas e normas complementares publicados pelo GSI/PR:
Instrução Normativa GSI Nº 1:
“Art.5º Aos demais órgãos e entidades da Administração Pública Federal, direta e indireta, em seu âmbito de atuação, compete: I - coordenar as ações de segurança da informação e comunicações; V - instituir e implementar equipe de tratamento e resposta a incidentes em redes computacionais”
Norma Complementar nº 05/IN01/DSIC/GSIPR:
“5 RESPONSABILIDADE Os Gestores de Segurança da Informação e Comunicações são os responsáveis por coordenar a instituição, implementação e manutenção da infraestrutura necessária às Equipes de Tratamento e Resposta a Incidentes em Redes Computacionais, nos órgãos e entidades da Administração Pública Federal, direta e indireta, conforme descrito no inciso V do art. 5º da Instrução Normativa nº 01, do Gabinete de Segurança Institucional, de 13 de junho de 2008. 8.6 O Gestor de Segurança da Informação e Comunicações da organização será o responsável por prover os meios necessários para a capacitação e o aperfeiçoamento técnico dos membros da Equipe, bem como prover a infraestrutura necessária. “
Norma Complementar nº 08/IN01/DSIC/GSIPR:
“2.1 O gerenciamento de incidentes de segurança em redes de computadores requer especial atenção da alta administração dos órgãos e entidades da APF.”
A solução objeto deste processo foi especificada com foco específico nas necessidades da organização, principalmente na proteção da rede de inteligência do CIE, visando manter seus atributos de confidencialidade, integridade e disponibilidade.
Unidades de serviço técnico

A prestação de serviços técnicos de informática pretendida neste processo objetiva primordialmente o atendimento aos projetos estratégicos do CIE e das necessidades da gestão de riscos da organização, com foco na implantação, manutenção e melhoria contínua da solução a ser adquirida.
Parte dos serviços a serem prestados pode ser dividida em algumas categorias, de acordo com suas características distintas. Entre estas, é possível citar:
 Implantação da solução: compreende os serviços necessários para implantar a solução no ambiente do CONTRATANTE;
 Treinamento: compreende os serviços de transferência de conhecimento referentes à solução para o CONTRATANTE;
 Suporte Técnico: compreende os serviços com foco na garantia e resolução de problemas funcionais da solução;
Existem serviços, porém, que não se enquadram nas categorias citadas. Em se tratando de uma solução de segurança da informação, que possui interação com praticamente todo o ambiente computacional da organização, é impraticável definir antecipadamente cada demanda de serviço que porventura possa ser necessária na vida útil da solução. Fatores como mudanças no ambiente, introdução de novas tecnologias e mesmo otimizações em face de desafios encontrados podem demandar a execução de serviços especializados adicionais.
O modelo de contratação mais usual no mercado para prestação deste tipo serviços é o de postos de trabalho, em que os técnicos prestadores são inseridos no quadro e distribuídos entre as áreas conforme suas especialidades, modelo esse, pouco recomendado pelo TCU. Esse, além de oneroso para a organização, visto que cada técnico inserido tem a funcionalidade especificada conforme categoria de atividade é avaliado como pouco produtivo se considerar que o prestador contratado permanecerá boa parte do tempo sem realizar quaisquer serviços diretamente relacionados com sua especialidade, sendo deslocado, na maior parte do exercício, para execução de atividades cujos custos mercadológicos seriam bem inferiores ao realmente pago pelo profissional. Também há de considerar os períodos de férias e licenças em que, mesmo sendo substituídos por outros especialistas,

proporcionam resultados pouco produtivos pela falta de conhecimento deste no negócio da Organização e no funcionamento do setor.
Algumas entidades contrataram sob a demanda de serviços estimados por hora de realização, por contratação de uma estimativa global de horas. Nesse método, a empresa contratada instala os especialistas conforme previsão de tarefas repassadas e executa os serviços demandados dentro da estimativa de tempo acordada com a contratante. Muito mais eficiente que o primeiro modelo, deixa ainda pontos de falhas, tanto na estipulação do preço de concorrência, quanto na estimativa dos serviços. Neste caso, as empresas estipulariam o custo orçamentário pelo tipo de profissional mais alto, mesmo considerando que mais de 60% das atividades realizáveis são de cunho operacional. Durante a montagem da planilha de custos, por não conhecer quais tarefas especificamente seriam realizadas, acaba estimando um quadro de serviços focado principalmente em analistas e especialistas. Também, levaria em conta a possibilidade de, durante alguns períodos, não receber da contratante a demanda dentro do mínimo necessário para sanar suas despesas de encargos trabalhistas e sociais, inclinando-se em apor no custo inicial uma margem de segurança que a protegesse quanto a esses percalços.
Outro método aplicado em alguns casos é o da demanda por escopo, onde a contratante define em contrato todas as atividades a serem executados, os resultados esperados, os padrões de qualidade exigidos e os procedimentos de execução em conformidade com os adotados pela organização, cabendo à pretendente estimar o custo de cada atividade. O conceito promove um orçamento mais próximo da realidade dos serviços e é bem recebido para realização de rotinas constantes. Nesse caso, atenderia a situação inicial de uma Organização. O lado negativo é que engessaria o crescimento e a evolução tecnológica, principalmente considerando a velocidade em que elas ocorrem, além das mudanças de prioridades e paradigmas que acontecem nas mudanças de gestão da Instituição. Para suprir isso, seriam necessários ajustamentos das evoluções, mas pouco mexeria nas rotinas inicialmente contratadas.
A partir da análise destes diversos modelos, foi desenvolvido pelo Superior Tribunal de Justiça um novo, baseado em linha de produção











  













  




  


  






















  
16