Secretaría de Planeación Administración y Finanzas DIRECCIÓN … · Salvador González...
17
Página 1 de 17 Contrato número 384 /15 Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA Contrato número 384/15 Contrato que celebran en esta ciudad de Guadalajara, Jalisco, el día 10 diez del mes de noviembre del año 2015 dos mil quince, por una parte El Gobierno del Estado de Jalisco, por conducto de la Secretaría de Planeación Administración y Finanzas del Gobierno del Estado de Jalisco, representado en este acto por el Licenciado Salvador González Reséndiz, Subsecretario de Administración de la Secretaría de Planeación, Administración y Finanzas, en lo subsecuente “LA SECRETARÍA”, y por la otra la empresa denominada REDES TECNOLOGICAS DE OCCIDENTE, S.A. DE C.V., representada por el C. Rodrigo Ramírez Arellano, a quien en lo sucesivo se le denominará como “ EL PROVEEDOR”, documento que sujetan a los siguientes declaraciones y cláusulas: D E C L A R A C I O N E S I.- Declara el representante de “LA SECRETARÍA”: a).- Que es la dependencia facultada para representar al Gobierno del Estado de Jalisco en las adquisiciones de bienes y servicios, en atención a lo dispuesto por los artículos 14 fracción LXVI y Sexto Transitorio del decreto 24395/LX/13, aprobado el día 24 veinticuatro del mes de febrero del año 2013 dos mil trece y publicado el día 27 veintisiete del mes febrero de la misma anualidad, bajo el número 21 Ter. Edición especial, que contiene la expedición de citado ordenamiento jurídico. b).- Comparece por conducto del Lic. Salvador González Reséndiz, Subsecretario de Administración de la Secretaría de Planeación Administración y Finanzas del Gobierno del Estado de Jalisco, con las facultades para contratar y obligarse de conformidad con los artículos 4, 5, 6, 33 fracciones IV, XVI, XV del Reglamento Interior de la Secretaría de Planeación, Administración y Finanzas, y con las facultades para contratar y obligarse que le han sido delegadas mediante acuerdo número ACU/SEPAF/019/2013, de fecha 1º primero del mes Octubre del año 2013 dos mil trece, suscrito por el Mtro. Ricardo Villanueva Lomelí, en su carácter de Secretario de Planeación Administración y Finanzas de Gobierno de Estado de Jalisco. c).- Que para los efectos del presente contrato se señala como domicilio, el ubicado en la Prolongación Avenida Alcalde Número 1221 mil doscientos veintiuno, Colonia Miraflores, Zona Centro, C.P. 44270 de esta Ciudad. II.- Declara el apoderado de “EL PROVEEDOR”: a).- Que mediante la Escritura Pública número 23,465 veintitrés mil cuatrocientos sesenta y cinco, de fecha 30 treinta del mes de julio del año 2013 dos mil trece, pasada ante la fe del Licenciado Miguel Heded Maldonado, Notario Público número 31 de Zapopan, Jalisco, se constituyó la sociedad REDES TECNOLOGICAS DE OCCIDENTE, S.A. DE C.V., inscrita en el Registro Público el día 22 veintidós del mes de agosto del año 2013 dos mil trece, bajo el Folio Electrónico 76448*1 en el Registro Público de la Propiedad y de Comercio del Estado de Jalisco b).- Que el C. Rodrigo Ramírez Arellano se encuentra facultado legalmente para contratar y obligarse a nombre de su representada, en su carácter de Administrador Único de la Sociedad Anónima de Capital Variable denominada REDES TECNOLOGICAS DE OCCIDENTE, S.A. DE C.V., tal como lo acredita en la escritura pública número 23,465 veintitrés mil cuatrocientos sesenta y cinco, de fecha 30 treinta del mes de julio del año 2013 dos mil trece, pasada ante la fe del Licenciado Miguel Heded Maldonado, Notario Público número 31 de Zapopan, Jalisco, declarando bajo protesta de decir verdad que a la fecha, dicho carácter no le ha sido limitado, restringido, ni revocado. c).- Que señala como su domicilio convencional para los fines de éste contrato, en Lago Superior No. 2222, Colonia Lagos del Country, en la ciudad de Zapopan, Jalisco, código postal 45177 y cuenta con Registro Federal de Contribuyentes bajo la homo clave RTD130731GF3 (letra “R”, “T”, “D”, número UNO, TRES, CERO,SIETE, TRES, UNO, letra “G”, “F”, número TRES).
Transcript of Secretaría de Planeación Administración y Finanzas DIRECCIÓN … · Salvador González...
Página 1 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
Contrato número 384/15
Contrato que celebran en esta ciudad de Guadalajara, Jalisco, el día 10 diez del mes de noviembre del año
2015 dos mil quince, por una parte El Gobierno del Estado de Jalisco, por conducto de la Secretaría de
Planeación Administración y Finanzas del Gobierno del Estado de Jalisco, representado en este acto por el
Licenciado Salvador González Reséndiz, Subsecretario de Administración de la Secretaría de Planeación,
Administración y Finanzas, en lo subsecuente “LA SECRETARÍA”, y por la otra la empresa denominada
REDES TECNOLOGICAS DE OCCIDENTE, S.A. DE C.V., representada por el C. Rodrigo Ramírez
Arellano, a quien en lo sucesivo se le denominará como “ EL PROVEEDOR”, documento que sujetan a los
siguientes declaraciones y cláusulas:
D E C L A R A C I O N E S
I.- Declara el representante de “LA SECRETARÍA”:
a).- Que es la dependencia facultada para representar al Gobierno del Estado de Jalisco en las adquisiciones
de bienes y servicios, en atención a lo dispuesto por los artículos 14 fracción LXVI y Sexto Transitorio del
decreto 24395/LX/13, aprobado el día 24 veinticuatro del mes de febrero del año 2013 dos mil trece y
publicado el día 27 veintisiete del mes febrero de la misma anualidad, bajo el número 21 Ter. Edición
especial, que contiene la expedición de citado ordenamiento jurídico.
b).- Comparece por conducto del Lic. Salvador González Reséndiz, Subsecretario de Administración de la
Secretaría de Planeación Administración y Finanzas del Gobierno del Estado de Jalisco, con las facultades
para contratar y obligarse de conformidad con los artículos 4, 5, 6, 33 fracciones IV, XVI, XV del Reglamento
Interior de la Secretaría de Planeación, Administración y Finanzas, y con las facultades para contratar y
obligarse que le han sido delegadas mediante acuerdo número ACU/SEPAF/019/2013, de fecha 1º primero
del mes Octubre del año 2013 dos mil trece, suscrito por el Mtro. Ricardo Villanueva Lomelí, en su carácter
de Secretario de Planeación Administración y Finanzas de Gobierno de Estado de Jalisco.
c).- Que para los efectos del presente contrato se señala como domicilio, el ubicado en la Prolongación
Avenida Alcalde Número 1221 mil doscientos veintiuno, Colonia Miraflores, Zona Centro, C.P. 44270 de
esta Ciudad.
II.- Declara el apoderado de “EL PROVEEDOR”:
a).- Que mediante la Escritura Pública número 23,465 veintitrés mil cuatrocientos sesenta y cinco, de fecha
30 treinta del mes de julio del año 2013 dos mil trece, pasada ante la fe del Licenciado Miguel Heded
Maldonado, Notario Público número 31 de Zapopan, Jalisco, se constituyó la sociedad REDES
TECNOLOGICAS DE OCCIDENTE, S.A. DE C.V., inscrita en el Registro Público el día 22 veintidós del mes
de agosto del año 2013 dos mil trece, bajo el Folio Electrónico 76448*1 en el Registro Público de la
Propiedad y de Comercio del Estado de Jalisco
b).- Que el C. Rodrigo Ramírez Arellano se encuentra facultado legalmente para contratar y obligarse a
nombre de su representada, en su carácter de Administrador Único de la Sociedad Anónima de Capital
Variable denominada REDES TECNOLOGICAS DE OCCIDENTE, S.A. DE C.V., tal como lo acredita en la
escritura pública número 23,465 veintitrés mil cuatrocientos sesenta y cinco, de fecha 30 treinta del mes de
julio del año 2013 dos mil trece, pasada ante la fe del Licenciado Miguel Heded Maldonado, Notario Público
número 31 de Zapopan, Jalisco, declarando bajo protesta de decir verdad que a la fecha, dicho carácter no
le ha sido limitado, restringido, ni revocado.
c).- Que señala como su domicilio convencional para los fines de éste contrato, en Lago Superior No. 2222,
Colonia Lagos del Country, en la ciudad de Zapopan, Jalisco, código postal 45177 y cuenta con Registro
Federal de Contribuyentes bajo la homo clave RTD130731GF3 (letra “R”, “T”, “D”, número UNO, TRES,
CERO,SIETE, TRES, UNO, letra “G”, “F”, número TRES).
Página 2 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
e).- Que tiene la capacidad legal, financiera, técnica y productiva necesaria para dar cumplimiento al
presente contrato y manifiesta que se encuentra debidamente registrado en el Padrón de Proveedores del
Gobierno del Estado bajo el número de registro P24073 (letra “P” número dos, cuatro, cero, siete, tres)
y que la información contenida en el expediente respectivo no ha sufrido modificación alguna.
III.- Ambas partes declaran:
PRIMERO.- Que el presente contrato, cuyo objeto será solventado con recursos Estatales, el cual se origina
con motivo del Concurso C51/2015 para la adquisición de “POLIZA DE MANTENIMIENTO PARA LOS
COMPONENTES DE SEGURIDAD INFORMATICA PERIMETRAL”, del que resultó adjudicado EL
PROVEEDOR. Así mismo, se obliga a cumplir con todas y cada una de las obligaciones derivadas de la
propuesta de fecha 26 veintiséis del mes de octubre del año 2015 dos mil quince, en lo subsecuente LA
PROPUESTA, presentada por el representante de EL PROVEEDOR, a la cual deberá sujetarse en virtud de
que forma parte integral del presente contrato. Así mismo EL PROVEEDOR se obliga a cumplir con todas y
cada una de las obligaciones derivadas de las especificaciones de dicho proceso de adjudicación, en lo
subsecuente LAS BASES.
SEGUNDO.- Ambas partes se reconocen recíprocamente el carácter con el que comparecen y sujetan el
presente contrato al tenor de las siguientes:
C L Á U S U L A S
PRIMERA.- DE LA DEPENDENCIA. Las partes acuerdan que la SECRETARÍA DE PLANEACIÓN,
ADMINISTRACIÓN Y FINANZAS, en lo subsecuente LA DEPENDENCIA, será la receptora final del objeto
de este contrato.
SEGUNDA.- DEL OBJETO. La adquisición del servicio de “POLIZA DE MANTENIMIENTO PARA LOS
COMPONENTES DE SEGURIDAD INFORMATICA PERIMETRAL”, con las especificaciones que se
señalan a continuación:
1.- Robustecimiento, actualización tecnológica y licenciamiento del fabricante.
Se solicita el diseño, suministro, instalación y reemplazamiento de la plataforma de Seguridad informática perimetral requerido para el robustecimiento y actualización tecnológica de la plataforma, mismo que deberá de contar con el licenciamiento y soporte del fabricante requerido para su correcta operación durante 12 meses. A continuación se muestran las funcionalidades y lineamientos técnicos mínimos de los componentes requeridos: 1.1.- Sistema de Seguridad Lógica “Tipo A”
El subcomponente solicitado en este apartado es el suministro, instalación, configuración, puesta a punto y el licenciamiento requerido por 12 meses de un “Sistema de Seguridad Lógica”, que consiste en un Cortafuegos con funciones de Gestión Unificada de Amenazas (Firewall UMT) que cumpla como mínimo con los siguientes lineamientos técnicos y funcionalidades en un solo equipo (Appliance):
El dispositivo deberá de ser de propósito específico “Hardware”, no se aceptarán soluciones basadas en equipos de propósito genérico ejecutadas sobre un Sistema Operativo Convencional, (Linux, Unix, Microsoft Windows, Mac OS, FreeBSD).
El dispositivo deberá de estar basado en tecnología ASIC “Application-Specific Integrated Circuit”. El sistema operativo debe incluir un servidor de DNS que permita resolver de forma local ciertas consultas de acuerdo
a la configuración del administrador. Las reglas de Firewall deben analizar las conexiones que atraviesen en el equipo, entre interfaces, grupos de
interfaces (o Zonas) y VLANs. Será posible definir políticas de firewall que sean independientes del puerto de origen y puerto de destino. El firewall deberá poder especificar políticas tomando en cuenta puerto físico fuente y destino. Esto es, el puerto
físico fuente y el puerto físico destino deberán formar parte de la especificación de la regla de firewall. Las reglas de firewall deberán poder tener limitantes y/o vigencia en base a tiempo que indique. Debe poder definirse el tiempo de vida de una sesión inactiva de forma independiente por puerto y protocolo (TCP y
UDP). Deberán poder definirse reglas de firewall para servicios sobre protocolo SCTP. Debe soportar la capacidad de definir nuevos servicios TCP y UDP que no estén contemplados en los predefinidos. Capacidad de hacer traslación de direcciones estático, uno a uno, NAT. Capacidad de hacer traslación de direcciones dinámico, muchos a uno, PAT. La solución deberá tener la capacidad de balancear carga entre servidores. Esto es realizar una traslación de una
única dirección a múltiples direcciones de forma tal que se distribuya el tráfico entre ellas. En la solución de balanceo de carga entre servidores, debe soportarse persistencia de sesión al menos mediante
HTTP Cookie o SSL Session ID.
Página 3 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
En la solución de balanceo de carga de entre servidores deben soportarse mecanismos para detectar la disponibilidad de los servidores, de forma tal de poder evitar enviar tráfico a un servidor no disponible.
Deberá soportar reglas de firewall en IPv6 configurables tanto por CLI (Command Line Interface, Interface de línea de comando) como por GUI (Graphical User Interface, Interface Gráfica de Usuario)
Soporte a reglas de firewall para tráfico de multicast, pudiendo especificar puerto físico fuente, puerto físico destino, direcciones IP fuente, dirección IP destino.
Soporte para conexión de 64,000 VPN´s IPSEC para acceso remoto multiplataforma Windows, Mac OX, Android, IOS.
Soporte para conexión de 20,000 VPN´s IPSEC Sitio a Sitio. Soporte para conexión de 30,000 VPN´s SSL para acceso remoto multiplataforma Windows, Mac OX, Android, IOS. Soporte de autenticación de dos factores para la gestión del equipo y para el acceso a las VPN de acceso remoto. Capacidades de Detección y Prevención de Intrusos, estas se deben de poder implementar tanto en línea como fuera
de línea de manera simultánea en diferentes segmentos de red, donde el término en línea significa que el tráfico a ser inspeccionado pasará a través del equipo.
El detector y preventor de intrusos deberá de soportar captar ataques tanto basados en Anomalías como basados en firmas, pudiendo soportar la mitigación de ataques de denegación de servicios.
Capacidad de poder asignar parámetros de modelado de tráfico (traffic shapping) sobre reglas de firewall, aplicado en distintos sentidos de una misma sesión y con capacidad de definir el ancho de banda máximo y el garantizado.
Soporte para configuraciones de alta disponibilidad en activo/activo, activo/pasivo y clúster. Licencias ilimitadas por usuarios. Capacidad de integrarse con servidores de autenticación RADIUS. Capacidad nativa de integrarse con directorios LDAP. Permitir la integración con Microsoft Windows Active Directory o Novell eDirectory, de autenticar transparentemente
usuarios sin preguntarles username o password. Esto es, aprovechar las credenciales del dominio de Windows bajo un concepto “Single-Sign-On”.
Soporte a certificados PKI X.509 para construcción de VPNs cliente a sitio (client-to-site). Deberá de contener la aplicación de antivirus integrado a la plataforma y permitir la configuración de antivirus en
tiempo real sobre los protocolos HTTP, SMTP, IMAP, POP3 y FTP. El antivirus deberá incluir capacidades de detección y detención de tráfico SPYWARE, ADWARE y otros tipos de
MALWARE/GRAYWARE que pudieran circular por la red. El antivirus deberá proveer acciones específicas para la detección y neutralización de “Botnet”. Deberá de contener la aplicación de AntiSPAM mediante el protocolo SMTP, los mensajes encontrados como SPAM
podrán ser etiquetados o rechazados (descartados). En el caso de etiquetamiento del mensaje, debe tenerse la flexibilidad para etiquetarse en el motivo (subject) del mensaje o a través un encabezado en el mensaje.
En cuanto a filtro de URL´s deberá de permitir diferentes perfiles de utilización de la web (permisos diferentes para categorías) dependiendo de fuente de la conexión o grupo de usuario al que pertenezca la conexión siendo establecida.
Los mensajes entregados al usuario por parte del URL Filter (por ejemplo, en caso de que un usuario intente navegar a un sitio correspondiente a una categoría no permitida) deberán ser personalizables.
Deberá de contar con optimización de WAN debe configurarse mediante reglas que definirán el tráfico a optimizar al menos con los siguientes parámetros:
o Dirección IP o grupo de direcciones IP de origen. o Dirección IP o grupo de direcciones IP de destino. o Rango de puertos de destino.
Capacidad de obtener reportes sobre el comportamiento del tráfico mostrando información al menos de aplicaciones, direcciones IP, dispositivos, sistemas operativos y GeoIP.
Soporte para la virtualización de los servicios de seguridad mediante Firewalls virtuales, Sistemas virtuales o dominios virtuales, cada instancia deberá de estar aislada lógicamente de las demás y soportar las funcionalidades de VPN, URL Filtering, IPS, y antivirus.
Deberá de contar con licencia para al menos 10 instancias virtuales. Permitir la inspección de contenido encriptado por SSL y no debe requerir ningún cambio de configuración en las
aplicaciones o sistema operativo del usuario. Deberá de permitir el control de aplicaciones a partir de la inspección de los datos independientemente del puerto y
el protocolo por el cual se direccione el tráfico, pudiéndose realizar las siguientes acciones: permitir, bloquear y registrar en logs.
Deberá de soportar prevención de fuga de información (DLP) con reglas que al menos analicen los archivos de tipo MS-Word, PDF, Texto y comprimidos, que se han enviados por los protocolos, HTTP, POP3, SMTP, IMAP y FTP. Ante la detección de una posible fuga de información deben aplicarse al menos las siguientes acciones: Bloquear el tráfico del usuario, bloquear el tráfico de la IP origen, registrar el evento.
Deberá de contar con Certificación por ICSA Labs para Firewall, IPSec, IPS, Antivirus y SSL VPN. Utilizar Técnicas de calidad de servicio estándares: DSCP y WMM/802.11e. Capacidades de visibilidad y control de aplicaciones y contenidos. Facilidad para incorporar control de sitios a los cuales naveguen los usuarios, mediante categorías. Por flexibilidad,
el filtro de URLs debe tener por lo menos 75 categorías y por lo menos 54 millones de sitios web en la base de datos. Los mensajes entregados al usuario por parte del URL Filter (por ejemplo, en caso de que un usuario intente navegar
a un sitio correspondiente a una categoría no permitida) deberán ser personalizables. Capacidad de filtrado de scripts en páginas web (JAVA/Active X). La solución de Filtraje de Contenido debe soportar el forzamiento de “Safe Search” o “Búsqueda Segura”
independientemente de la configuración en el browser del usuario. Esta funcionalidad no permitirá que los buscadores retornen resultados considerados como controversiales. Esta funcionalidad se soportará al menos para buscadores tales como Google, Yahoo! y Bing.
Será posible definir cuotas de tiempo para la navegación. Dichas cuotas deben poder asignarse por cada categoría y por grupos.
Será posible exceptuar la inspección de HTTPS por categoría. Sera posible configurar el equipo para que automáticamente redirija el tráfico de www.youtube.com a
http://www.youtube.com/education para que se acceda únicamente a contenido categorizado por el portal como contenido educativo.
Página 4 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
Modo de operación NAT o también llamada Gateway y el modo Puente o también llamado transparente. En modo transparente, el equipo no requerirá de hacer modificaciones en la red en cuanto a ruteo o direccionamiento
IP. Las instancias virtuales podrán de igual forma trabar en modo NAT o transparente. Soporte de protocolos IPv4 e IPv6. Soporte de políticas de ruteo basado en protocolo, puertos, interfaz fuente y destino, direcciones IP fuente y destino. Soporte de rutas estáticas. Soporte de Protocolos de enrutamiento OSPF, RIP, BGP y Multicast PIM Sparse Mode y Dense Mode. Soporte a ruteo dinámico RIPng, OSPFv3, BGP4+. Soporte balanceo de tráfico mediante ECMP (EqualCostMulti-Path) Soporte de ECMP con peso. En este modo el tráfico será distribuido entre múltiples rutas pero no en forma equitativa,
sino en base a los pesos y preferencias definidas por el administrador. Soporte de ECMP basado en comportamiento. En este modo, el tráfico será enviado de acuerdo a la definición de
una ruta hasta que se alcance un umbral de tráfico. En este punto se comenzará a utilizar en paralelo una ruta alternativa.
Manejo y etiquetado de VLAN’s 802.1Q. Gestión y configuración del equipo vía HTTPS y SSH. La solución permitirá la integración con analizadores de tráfico mediante el protocolo sFlow. Permitir políticas basadas en el sistema operativo del usuario. Actualización automática de las firmas de seguridad tanto del antivirus como del preventor de intrusos. El sistema deberá de estar conformado por al menos dos equipos ( Appliances) en una configuración de alta
disponibilidad Activo – Activo y en caso de alguno de ellos fallase el equipo que quede activo automáticamente deberá de mantener todas las capacidades y funcionalidades descritas en el presente apartado.
Características de Desempeño por equipo.
El equipo debe contar con un Throughput en Firewall tanto en IPv4 como en IPv6 de al menos 80 Gbps para paquetes UDP de 1518 y 512 bytes y de 50 Gbps en paquetes UDP de 64 bytes.
El equipo debe contar con un Throughput en firewall de 75 Mpps en paquetes UDP de 64 bytes con una latencia de 3µs.
El equipo debe contar con un Throughput VPN de por lo menos 50Gbps. El equipo debe contar con un Throughput IPS de al menos 14 Gbps. El equipo debe contar con un Throughput en la funcionalidad de AntiVirus de 5.7 Gbps. El equipo debe soportar al menos 50 millones de Sesiones concurrentes. El equipo debe soportar 400,000 nuevas sesiones por segundo. El equipo debe de contar desde un inicio con la funcionalidad y licenciamiento de por lo menos 30,000 usuarios de
VPN SSL. El equipo debe poder generar al menos 64,000 VPN’s IPSec Client to Gateway. El equipo debe poder generar al menos 20,000 VPN’s IPSec Gateway to Gateway El equipo debe soportar la configuración de 100,000 políticas.
Características de Hardware por equipo. El equipo deberá de contar con al menos 16 Interfaces 10 GE SFP+ / 1 GE SFP. El equipo deberá de contar con al menos 2 Interfaces 1 GE RJ45, un puertos de consola y un puerto USB para la gestión
del equipo. El equipo deberá de contar con al menos una memoria de 480 GB de almacenamiento interno. El equipo deberá de contar con dos fuentes de poder redundantes con características de Hot Swap mismas que deberán
de operar a 100-240v AC, 50-60 Hz. Módulos de interconexión por equipo. Cada equipo deberá de incluir los siguientes módulos de interconexión: 12 módulos SFP 1 GE RJ45 UTP Cobre. 4 módulos SFP+ 10 GE SR Fibra óptica MMF.
Certificaciones que deberá de tener el equipo.
ICSA Labs: Firewall, IPsec, IPS, Antivirus, SSL-VPN. 1.2.- Sistema de Seguridad Lógica “Tipo B” El subcomponente solicitado en este apartado es el suministro, instalación, configuración, puesta a punto y el licenciamiento requerido por 12 meses de un “Sistema de Seguridad Lógica”, que consiste en un Cortafuegos con funciones de Gestión Unificada de Amenazas (Firewall UMT) que cumpla como mínimo con los siguientes lineamientos técnicos y funcionalidades en un solo equipo (Appliance):
El dispositivo deberá de ser de propósito específico “Hardware”, no se aceptarán soluciones basadas en equipos de propósito genérico ejecutadas sobre un Sistema Operativo Convencional, (Linux, Unix, Microsoft Windows, Mac OS, FreeBSD).
El dispositivo deberá de estar basado en tecnología ASIC “Application-Specific Integrated Circuit”. El sistema operativo debe incluir un servidor de DNS que permita resolver de forma local ciertas consultas de acuerdo
a la configuración del administrador. Las reglas de Firewall deben analizar las conexiones que atraviesen en el equipo, entre interfaces, grupos de
interfaces (o Zonas) y VLANs. Será posible definir políticas de firewall que sean independientes del puerto de origen y puerto de destino.
Página 5 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
El firewall deberá poder especificar políticas tomando en cuenta puerto físico fuente y destino. Esto es, el puerto físico fuente y el puerto físico destino deberán formar parte de la especificación de la regla de firewall.
Las reglas de firewall deberán poder tener limitantes y/o vigencia en base a tiempo que indique. Debe poder definirse el tiempo de vida de una sesión inactiva de forma independiente por puerto y protocolo (TCP y
UDP). Deberán poder definirse reglas de firewall para servicios sobre protocolo SCTP. Debe soportar la capacidad de definir nuevos servicios TCP y UDP que no estén contemplados en los predefinidos. Capacidad de hacer traslación de direcciones estático, uno a uno, NAT. Capacidad de hacer traslación de direcciones dinámico, muchos a uno, PAT. La solución deberá tener la capacidad de balancear carga entre servidores. Esto es realizar una traslación de una
única dirección a múltiples direcciones de forma tal que se distribuya el tráfico entre ellas. En la solución de balanceo de carga entre servidores, debe soportarse persistencia de sesión al menos mediante
HTTP Cookie o SSL Session ID. En la solución de balanceo de carga de entre servidores deben soportarse mecanismos para detectar la disponibilidad
de los servidores, de forma tal de poder evitar enviar tráfico a un servidor no disponible. Deberá soportar reglas de firewall en IPv6 configurables tanto por CLI (Command Line Interface, Interface de línea
de comando) como por GUI (Graphical User Interface, Interface Gráfica de Usuario) Soporte a reglas de firewall para tráfico de multicast, pudiendo especificar puerto físico fuente, puerto físico destino,
direcciones IP fuente, dirección IP destino. Soporte para conexión de 5,000 VPN´s IPSEC para acceso remoto multiplataforma Windows, Mac OX, Android, IOS. Soporte para conexión de 2,000 VPN´s IPSEC Sitio a Sitio. Soporte para conexión de 300 VPN´s SSL para acceso remoto multiplataforma Windows, Mac OX, Android, IOS. Soporte de autenticación de dos factores para la gestión del equipo y para el acceso a las VPN de acceso remoto. Capacidades de Detección y Prevención de Intrusos, estas se deben de poder implementar tanto en línea como fuera
de línea de manera simultánea en diferentes segmentos de red, donde el término en línea significa que el tráfico a ser inspeccionado pasará a través del equipo.
El detector y preventor de intrusos deberá de soportar captar ataques tanto basados en Anomalías como basados en firmas, pudiendo soportar la mitigación de ataques de denegación de servicios.
Capacidad de poder asignar parámetros de modelado de tráfico (traffic shapping) sobre reglas de firewall, aplicado en distintos sentidos de una misma sesión y con capacidad de definir el ancho de banda máximo y el garantizado.
Soporte para configuraciones de alta disponibilidad en activo/activo, activo/pasivo y clúster. Licencias ilimitadas por usuarios. Capacidad de integrarse con servidores de autenticación RADIUS. Capacidad nativa de integrarse con directorios LDAP. Permitir la integración con Microsoft Windows Active Directory o Novell eDirectory, de autenticar transparentemente
usuarios sin preguntarles username o password. Esto es, aprovechar las credenciales del dominio de Windows bajo un concepto “Single-Sign-On”.
Soporte a certificados PKI X.509 para construcción de VPNs cliente a sitio (client-to-site). Deberá de contener la aplicación de antivirus integrado a la plataforma y permitir la configuración de antivirus en
tiempo real sobre los protocolos HTTP, SMTP, IMAP, POP3 y FTP. El antivirus deberá incluir capacidades de detección y detención de tráfico SPYWARE, ADWARE y otros tipos de
MALWARE/GRAYWARE que pudieran circular por la red. El antivirus deberá proveer acciones específicas para la detección y neutralización de “Botnet”. Deberá de contener la aplicación de AntiSPAM mediante el protocolo SMTP, los mensajes encontrados como SPAM
podrán ser etiquetados o rechazados (descartados). En el caso de etiquetamiento del mensaje, debe tenerse la flexibilidad para etiquetarse en el motivo (subject) del mensaje o a través un encabezado en el mensaje.
En cuanto a filtro de URL´s deberá de permitir diferentes perfiles de utilización de la web (permisos diferentes para categorías) dependiendo de fuente de la conexión o grupo de usuario al que pertenezca la conexión siendo establecida.
Los mensajes entregados al usuario por parte del URL Filter (por ejemplo, en caso de que un usuario intente navegar a un sitio correspondiente a una categoría no permitida) deberán ser personalizables.
Deberá de contar con optimización de WAN debe configurarse mediante reglas que definirán el tráfico a optimizar al menos con los siguientes parámetros:
o Dirección IP o grupo de direcciones IP de origen. o Dirección IP o grupo de direcciones IP de destino. o Rango de puertos de destino.
Capacidad de obtener reportes sobre el comportamiento del tráfico mostrando información al menos de aplicaciones, direcciones IP, dispositivos, sistemas operativos y GeoIP.
Soporte para la virtualización de los servicios de seguridad mediante Firewalls virtuales, Sistemas virtuales o dominios virtuales, cada instancia deberá de estar aislada lógicamente de las demás y soportar las funcionalidades de VPN, URL Filtering, IPS, y antivirus.
Deberá de contar con licencia para al menos 10 instancias virtuales. Permitir la inspección de contenido encriptado por SSL y no debe requerir ningún cambio de configuración en las
aplicaciones o sistema operativo del usuario. Deberá de permitir el control de aplicaciones a partir de la inspección de los datos independientemente del puerto y
el protocolo por el cual se direccione el tráfico, pudiéndose realizar las siguientes acciones: permitir, bloquear y registrar en logs.
Deberá de soportar prevención de fuga de información (DLP) con reglas que al menos analicen los archivos de tipo MS-Word, PDF, Texto y comprimidos, que se han enviados por los protocolos, HTTP, POP3, SMTP, IMAP y FTP. Ante la detección de una posible fuga de información deben aplicarse al menos las siguientes acciones: Bloquear el tráfico del usuario, bloquear el tráfico de la IP origen, registrar el evento.
Deberá de contar con Certificación por ICSA Labs para Firewall, IPSec, IPS, Antivirus y SSL VPN. Utilizar Técnicas de calidad de servicio estándares: DSCP y WMM/802.11e. Capacidades de visibilidad y control de aplicaciones y contenidos. Facilidad para incorporar control de sitios a los cuales naveguen los usuarios, mediante categorías. Por flexibilidad,
el filtro de URLs debe tener por lo menos 75 categorías y por lo menos 54 millones de sitios web en la base de datos.
Página 6 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
Los mensajes entregados al usuario por parte del URL Filter (por ejemplo, en caso de que un usuario intente navegar a un sitio correspondiente a una categoría no permitida) deberán ser personalizables.
Capacidad de filtrado de scripts en páginas web (JAVA/Active X). La solución de Filtraje de Contenido debe soportar el forzamiento de “Safe Search” o “Búsqueda Segura”
independientemente de la configuración en el browser del usuario. Esta funcionalidad no permitirá que los buscadores retornen resultados considerados como controversiales. Esta funcionalidad se soportará al menos para buscadores tales como Google, Yahoo! y Bing.
Será posible definir cuotas de tiempo para la navegación. Dichas cuotas deben poder asignarse por cada categoría y por grupos.
Será posible exceptuar la inspección de HTTPS por categoría. Sera posible configurar el equipo para que automáticamente redirija el tráfico de www.youtube.com a
http://www.youtube.com/education para que se acceda únicamente a contenido categorizado por el portal como contenido educativo.
Modo de operación NAT o también llamada Gateway y el modo Puente o también llamado transparente. En modo transparente, el equipo no requerirá de hacer modificaciones en la red en cuanto a ruteo o direccionamiento
IP. Las instancias virtuales podrán de igual forma trabar en modo NAT o transparente. Soporte de protocolos IPv4 e IPv6. Soporte de políticas de ruteo basado en protocolo, puertos, interfaz fuente y destino, direcciones IP fuente y destino. Soporte de rutas estáticas. Soporte de Protocolos de enrutamiento OSPF, RIP, BGP y Multicast PIM Sparse Mode y Dense Mode. Soporte a ruteo dinámico RIPng, OSPFv3, BGP4+. Soporte balanceo de tráfico mediante ECMP (EqualCostMulti-Path) Soporte de ECMP con peso. En este modo el tráfico será distribuido entre múltiples rutas pero no en forma equitativa,
sino en base a los pesos y preferencias definidas por el administrador. Soporte de ECMP basado en comportamiento. En este modo, el tráfico será enviado de acuerdo a la definición de
una ruta hasta que se alcance un umbral de tráfico. En este punto se comenzará a utilizar en paralelo una ruta alternativa.
Manejo y etiquetado de VLAN’s 802.1Q. Gestión y configuración del equipo vía HTTPS y SSH. La solución permitirá la integración con analizadores de tráfico mediante el protocolo sFlow. Permitir políticas basadas en el sistema operativo del usuario. Actualización automática de las firmas de seguridad tanto del antivirus como del preventor de intrusos. El sistema deberá de estar conformado por al menos dos equipos ( Appliances) en una configuración de alta
disponibilidad Activo – Activo y en caso de alguno de ellos fallase el equipo que quede activo automáticamente deberá de mantener todas las capacidades y funcionalidades descritas en el presente apartado.
Características de Desempeño por equipo.
El equipo debe contar con un Throughput en Firewall tanto en IPv4 como en IPv6 de al menos 3 Gbps para paquetes UDP de 1518, 512 y 64 bytes.
El equipo debe contar con un Throughput en firewall de 4.5 Mpps en paquetes UDP de 64 bytes con una latencia de 2µs.
El equipo debe contar con un Throughput VPN de por lo menos 1.3 Gbps. El equipo debe contar con un Throughput IPS de al menos 1.7 Gbps. El equipo debe contar con un Throughput en la funcionalidad de AntiVirus de 600 Mbps. El equipo debe soportar al menos 3.2 millones de Sesiones concurrentes. El equipo debe soportar 77,000 nuevas sesiones por segundo. El equipo debe de contar desde un inicio con la funcionalidad y licenciamiento de por lo menos 300 usuarios de VPN
SSL. El equipo debe poder generar al menos 5,000 VPN’s IPSec Client to Gateway. El equipo debe poder generar al menos 2,000 VPN’s IPSec Gateway to Gateway
Características de Hardware por equipo. El equipo deberá de contar con al menos 18 Interfaces 1 GE RJ45. El equipo deberá de contar con al menos 2 Interfaces 1 GE SFP. El equipo deberá de contar con al menos 1 interface 1 GE RJ45, un puerto de consola y un puerto USB para la
administración del equipo. El equipo deberá de contar con al menos una memoria de 64 GB de almacenamiento interno. El equipo deberá de contar con una fuente de poder que deberá de operar a 100-240v AC, 50-60 Hz.
Certificaciones que deberá de tener el equipo.
ICSA Labs: Firewall, IPsec, IPS, Antivirus, SSL-VPN. 1.3.- Sistema de Seguridad Lógica “Tipo C” El subcomponente solicitado en este apartado es el suministro, instalación, configuración, puesta a punto y el licenciamiento requerido por 12 meses de un “Sistema de Seguridad Lógica”, que consiste en un Cortafuegos con funciones de Gestión Unificada de Amenazas (Firewall UMT) que cumpla como mínimo con los siguientes lineamientos técnicos y funcionalidades en un solo equipo (Appliance):
Página 7 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
El dispositivo deberá de ser de propósito específico “Hardware”, no se aceptarán soluciones basadas en equipos de propósito genérico ejecutadas sobre un Sistema Operativo Convencional, (Linux, Unix, Microsoft Windows, Mac OS, FreeBSD).
El dispositivo deberá de estar basado en tecnología ASIC “Application-Specific Integrated Circuit”. El sistema operativo debe incluir un servidor de DNS que permita resolver de forma local ciertas consultas de acuerdo
a la configuración del administrador. Las reglas de Firewall deben analizar las conexiones que atraviesen en el equipo, entre interfaces, grupos de
interfaces (o Zonas) y VLANs. Será posible definir políticas de firewall que sean independientes del puerto de origen y puerto de destino. El firewall deberá poder especificar políticas tomando en cuenta puerto físico fuente y destino. Esto es, el puerto
físico fuente y el puerto físico destino deberán formar parte de la especificación de la regla de firewall. Las reglas de firewall deberán poder tener limitantes y/o vigencia en base a tiempo que indique. Debe poder definirse el tiempo de vida de una sesión inactiva de forma independiente por puerto y protocolo (TCP y
UDP). Deberán poder definirse reglas de firewall para servicios sobre protocolo SCTP. Debe soportar la capacidad de definir nuevos servicios TCP y UDP que no estén contemplados en los predefinidos. Capacidad de hacer traslación de direcciones estático, uno a uno, NAT. Capacidad de hacer traslación de direcciones dinámico, muchos a uno, PAT. La solución deberá tener la capacidad de balancear carga entre servidores. Esto es realizar una traslación de una
única dirección a múltiples direcciones de forma tal que se distribuya el tráfico entre ellas. En la solución de balanceo de carga entre servidores, debe soportarse persistencia de sesión al menos mediante
HTTP Cookie o SSL Session ID. En la solución de balanceo de carga de entre servidores deben soportarse mecanismos para detectar la disponibilidad
de los servidores, de forma tal de poder evitar enviar tráfico a un servidor no disponible. Deberá soportar reglas de firewall en IPv6 configurables tanto por CLI (Command Line Interface, Interface de línea
de comando) como por GUI (Graphical User Interface, Interface Gráfica de Usuario) Soporte a reglas de firewall para tráfico de multicast, pudiendo especificar puerto físico fuente, puerto físico destino,
direcciones IP fuente, dirección IP destino. Soporte para conexión de 50,000 VPN´s IPSEC para acceso remoto multiplataforma Windows, Mac OX, Android,
IOS. Soporte para conexión de 20,000 VPN´s IPSEC Sitio a Sitio. Soporte para conexión de 10,000 VPN´s SSL para acceso remoto multiplataforma Windows, Mac OX, Android, IOS. Soporte de autenticación de dos factores para la gestión del equipo y para el acceso a las VPN de acceso remoto. Capacidades de Detección y Prevención de Intrusos, estas se deben de poder implementar tanto en línea como fuera
de línea de manera simultánea en diferentes segmentos de red, donde el término en línea significa que el tráfico a ser inspeccionado pasará a través del equipo.
El detector y preventor de intrusos deberá de soportar captar ataques tanto basados en Anomalías como basados en firmas, pudiendo soportar la mitigación de ataques de denegación de servicios.
Capacidad de poder asignar parámetros de modelado de tráfico (traffic shapping) sobre reglas de firewall, aplicado en distintos sentidos de una misma sesión y con capacidad de definir el ancho de banda máximo y el garantizado.
Soporte para configuraciones de alta disponibilidad en activo/activo, activo/pasivo y clúster. Licencias ilimitadas por usuarios. Capacidad de integrarse con servidores de autenticación RADIUS. Capacidad nativa de integrarse con directorios LDAP. Permitir la integración con Microsoft Windows Active Directory o Novell eDirectory, de autenticar transparentemente
usuarios sin preguntarles username o password. Esto es, aprovechar las credenciales del dominio de Windows bajo un concepto “Single-Sign-On”.
Soporte a certificados PKI X.509 para construcción de VPNs cliente a sitio (client-to-site). Deberá de contener la aplicación de antivirus integrado a la plataforma y permitir la configuración de antivirus en
tiempo real sobre los protocolos HTTP, SMTP, IMAP, POP3 y FTP. El antivirus deberá incluir capacidades de detección y detención de tráfico SPYWARE, ADWARE y otros tipos de
MALWARE/GRAYWARE que pudieran circular por la red. El antivirus deberá proveer acciones específicas para la detección y neutralización de “Botnet”. Deberá de contener la aplicación de AntiSPAM mediante el protocolo SMTP, los mensajes encontrados como SPAM
podrán ser etiquetados o rechazados (descartados). En el caso de etiquetamiento del mensaje, debe tenerse la flexibilidad para etiquetarse en el motivo (subject) del mensaje o a través un encabezado en el mensaje.
En cuanto a filtro de URL´s deberá de permitir diferentes perfiles de utilización de la web (permisos diferentes para categorías) dependiendo de fuente de la conexión o grupo de usuario al que pertenezca la conexión siendo establecida.
Los mensajes entregados al usuario por parte del URL Filter (por ejemplo, en caso de que un usuario intente navegar a un sitio correspondiente a una categoría no permitida) deberán ser personalizables.
Deberá de contar con optimización de WAN debe configurarse mediante reglas que definirán el tráfico a optimizar al menos con los siguientes parámetros:
o Dirección IP o grupo de direcciones IP de origen. o Dirección IP o grupo de direcciones IP de destino. o Rango de puertos de destino.
Capacidad de obtener reportes sobre el comportamiento del tráfico mostrando información al menos de aplicaciones, direcciones IP, dispositivos, sistemas operativos y GeoIP.
Soporte para la virtualización de los servicios de seguridad mediante Firewalls virtuales, Sistemas virtuales o dominios virtuales, cada instancia deberá de estar aislada lógicamente de las demás y soportar las funcionalidades de VPN, URL Filtering, IPS, y antivirus.
Deberá de contar con licencia para al menos 10 instancias virtuales. Permitir la inspección de contenido encriptado por SSL y no debe requerir ningún cambio de configuración en las
aplicaciones o sistema operativo del usuario. Deberá de permitir el control de aplicaciones a partir de la inspección de los datos independientemente del puerto y
el protocolo por el cual se direccione el tráfico, pudiéndose realizar las siguientes acciones: permitir, bloquear y registrar en logs.
Página 8 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
Deberá de soportar prevención de fuga de información (DLP) con reglas que al menos analicen los archivos de tipo MS-Word, PDF, Texto y comprimidos, que se han enviados por los protocolos, HTTP, POP3, SMTP, IMAP y FTP. Ante la detección de una posible fuga de información deben aplicarse al menos las siguientes acciones: Bloquear el tráfico del usuario, bloquear el tráfico de la IP origen, registrar el evento.
Deberá de contar con Certificación por ICSA Labs para Firewall, IPSec, IPS, Antivirus y SSL VPN. Utilizar Técnicas de calidad de servicio estándares: DSCP y WMM/802.11e. Capacidades de visibilidad y control de aplicaciones y contenidos. Facilidad para incorporar control de sitios a los cuales naveguen los usuarios, mediante categorías. Por flexibilidad,
el filtro de URLs debe tener por lo menos 75 categorías y por lo menos 54 millones de sitios web en la base de datos. Los mensajes entregados al usuario por parte del URL Filter (por ejemplo, en caso de que un usuario intente navegar
a un sitio correspondiente a una categoría no permitida) deberán ser personalizables. Capacidad de filtrado de scripts en páginas web (JAVA/Active X). La solución de Filtraje de Contenido debe soportar el forzamiento de “Safe Search” o “Búsqueda Segura”
independientemente de la configuración en el browser del usuario. Esta funcionalidad no permitirá que los buscadores retornen resultados considerados como controversiales. Esta funcionalidad se soportará al menos para buscadores tales como Google, Yahoo! y Bing.
Será posible definir cuotas de tiempo para la navegación. Dichas cuotas deben poder asignarse por cada categoría y por grupos.
Será posible exceptuar la inspección de HTTPS por categoría. Sera posible configurar el equipo para que automáticamente redirija el tráfico de www.youtube.com a
http://www.youtube.com/education para que se acceda únicamente a contenido categorizado por el portal como contenido educativo.
Modo de operación NAT o también llamada Gateway y el modo Puente o también llamado transparente. En modo transparente, el equipo no requerirá de hacer modificaciones en la red en cuanto a ruteo o direccionamiento
IP. Las instancias virtuales podrán de igual forma trabar en modo NAT o transparente. Soporte de protocolos IPv4 e IPv6. Soporte de políticas de ruteo basado en protocolo, puertos, interfaz fuente y destino, direcciones IP fuente y destino. Soporte de rutas estáticas. Soporte de Protocolos de enrutamiento OSPF, RIP, BGP y Multicast PIM Sparse Mode y Dense Mode. Soporte a ruteo dinámico RIPng, OSPFv3, BGP4+. Soporte balanceo de tráfico mediante ECMP (EqualCostMulti-Path) Soporte de ECMP con peso. En este modo el tráfico será distribuido entre múltiples rutas pero no en forma equitativa,
sino en base a los pesos y preferencias definidas por el administrador. Soporte de ECMP basado en comportamiento. En este modo, el tráfico será enviado de acuerdo a la definición de
una ruta hasta que se alcance un umbral de tráfico. En este punto se comenzará a utilizar en paralelo una ruta alternativa.
Manejo y etiquetado de VLAN’s 802.1Q. Gestión y configuración del equipo vía HTTPS y SSH. La solución permitirá la integración con analizadores de tráfico mediante el protocolo sFlow. Permitir políticas basadas en el sistema operativo del usuario. Actualización automática de las firmas de seguridad tanto del antivirus como del preventor de intrusos.
Características de Desempeño del equipo.
El equipo debe contar con un Throughput en Firewall tanto en IPv4 como en IPv6 de al menos 80 Gbps para paquetes
UDP de 1518 y 512 bytes y de 55 Gbps en paquetes UDP de 64 bytes. El equipo debe contar con un Throughput en firewall de 82.5 Mpps en paquetes UDP de 64 bytes con una latencia
de 3µs. El equipo debe contar con un Throughput VPN en IPSEC de por lo menos 50Gbps. El equipo debe contar con un Throughput IPS de al menos 11 Gbps. El equipo debe contar con un Throughput en la funcionalidad de AntiVirus de 4.3 Gbps. El equipo debe soportar al menos 12 millones de Sesiones concurrentes. El equipo debe soportar 300,000 nuevas sesiones por segundo. El equipo debe de contar desde un inicio con la funcionalidad y licenciamiento de por lo menos 10,000 usuarios de
VPN SSL. El equipo debe poder generar al menos 50,000 VPN’s IPSec Client to Gateway. El equipo debe poder generar al menos 20,000 VPN’s IPSec Gateway to Gateway El equipo debe soportar la configuración de 100,000 políticas.
Características de Hardware del equipo. El equipo deberá de contar con al menos 8 Interfaces 10 GE SFP+ / 1 GE SFP. El equipo deberá de contar con al menos 16 Interfaces 1 GE SFP. El equipo deberá de contar con al menos 16 Interfaces 1 GE RJ45. El equipo deberá de contar con al menos 2 Interfaces 1 GE RJ45, un puerto de consola y un puerto USB para la gestión
del equipo. El equipo deberá de contar con al menos una memoria de 240 GB de almacenamiento interno. El equipo deberá de contar con dos fuentes de poder redundantes con características de Hot Swap mismas que deberán
de operar a 100-240v AC, 50-60 Hz. Módulos de interconexión del equipo. Cada equipo deberá de incluir los siguientes módulos de interconexión: 4 módulos SFP+ 10 GE SR Fibra óptica MMF.
Certificaciones que deberá de tener el equipo.
ICSA Labs: Firewall, IPsec, IPS, Antivirus, SSL-VPN.
Página 9 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
1.4.- Sistema de Seguridad Lógica “Tipo D” El subcomponente solicitado en este apartado es el suministro, instalación, configuración, puesta a punto y el licenciamiento requerido por 12 meses de un “Sistema de Seguridad Lógica”, que consiste en un Cortafuegos con funciones de Gestión Unificada de Amenazas (Firewall UMT) que cumpla como mínimo con los siguientes lineamientos técnicos y funcionalidades en un solo equipo (Appliance):
El dispositivo deberá de ser de propósito específico “Hardware”, no se aceptarán soluciones basadas en equipos de propósito genérico ejecutadas sobre un Sistema Operativo Convencional, (Linux, Unix, Microsoft Windows, Mac OS, FreeBSD).
El dispositivo deberá de estar basado en tecnología ASIC “Application-Specific Integrated Circuit”. El sistema operativo debe incluir un servidor de DNS que permita resolver de forma local ciertas consultas de acuerdo
a la configuración del administrador. Las reglas de Firewall deben analizar las conexiones que atraviesen en el equipo, entre interfaces, grupos de
interfaces (o Zonas) y VLANs. Será posible definir políticas de firewall que sean independientes del puerto de origen y puerto de destino. El firewall deberá poder especificar políticas tomando en cuenta puerto físico fuente y destino. Esto es, el puerto
físico fuente y el puerto físico destino deberán formar parte de la especificación de la regla de firewall. Las reglas de firewall deberán poder tener limitantes y/o vigencia en base a tiempo que indique. Debe poder definirse el tiempo de vida de una sesión inactiva de forma independiente por puerto y protocolo (TCP y
UDP). Deberán poder definirse reglas de firewall para servicios sobre protocolo SCTP. Debe soportar la capacidad de definir nuevos servicios TCP y UDP que no estén contemplados en los predefinidos. Capacidad de hacer traslación de direcciones estático, uno a uno, NAT. Capacidad de hacer traslación de direcciones dinámico, muchos a uno, PAT. La solución deberá tener la capacidad de balancear carga entre servidores. Esto es realizar una traslación de una
única dirección a múltiples direcciones de forma tal que se distribuya el tráfico entre ellas. En la solución de balanceo de carga entre servidores, debe soportarse persistencia de sesión al menos mediante
HTTP Cookie o SSL Session ID. En la solución de balanceo de carga de entre servidores deben soportarse mecanismos para detectar la disponibilidad
de los servidores, de forma tal de poder evitar enviar tráfico a un servidor no disponible. Deberá soportar reglas de firewall en IPv6 configurables tanto por CLI (Command Line Interface, Interface de línea
de comando) como por GUI (Graphical User Interface, Interface Gráfica de Usuario) Soporte a reglas de firewall para tráfico de multicast, pudiendo especificar puerto físico fuente, puerto físico destino,
direcciones IP fuente, dirección IP destino. Soporte para conexión de 500 VPN´s IPSEC para acceso remoto multiplataforma Windows, Mac OX, Android, IOS. Soporte para conexión de 200 VPN´s IPSEC Sitio a Sitio. Soporte para conexión de 100 VPN´s SSL para acceso remoto multiplataforma Windows, Mac OX, Android, IOS. Soporte de autenticación de dos factores para la gestión del equipo y para el acceso a las VPN de acceso remoto. Capacidades de Detección y Prevención de Intrusos, estas se deben de poder implementar tanto en línea como fuera
de línea de manera simultánea en diferentes segmentos de red, donde el término en línea significa que el tráfico a ser inspeccionado pasará a través del equipo.
El detector y preventor de intrusos deberá de soportar captar ataques tanto basados en Anomalías como basados en firmas, pudiendo soportar la mitigación de ataques de denegación de servicios.
Capacidad de poder asignar parámetros de modelado de tráfico (traffic shapping) sobre reglas de firewall, aplicado en distintos sentidos de una misma sesión y con capacidad de definir el ancho de banda máximo y el garantizado.
Soporte para configuraciones de alta disponibilidad en activo/activo, activo/pasivo y clúster. Licencias ilimitadas por usuarios. Capacidad de integrarse con servidores de autenticación RADIUS. Capacidad nativa de integrarse con directorios LDAP. Permitir la integración con Microsoft Windows Active Directory o Novell eDirectory, de autenticar transparentemente
usuarios sin preguntarles username o password. Esto es, aprovechar las credenciales del dominio de Windows bajo un concepto “Single-Sign-On”.
Soporte a certificados PKI X.509 para construcción de VPNs cliente a sitio (client-to-site). Deberá de contener la aplicación de antivirus integrado a la plataforma y permitir la configuración de antivirus en
tiempo real sobre los protocolos HTTP, SMTP, IMAP, POP3 y FTP. El antivirus deberá incluir capacidades de detección y detención de tráfico SPYWARE, ADWARE y otros tipos de
MALWARE/GRAYWARE que pudieran circular por la red. El antivirus deberá proveer acciones específicas para la detección y neutralización de “Botnet”. Deberá de contener la aplicación de AntiSPAM mediante el protocolo SMTP, los mensajes encontrados como SPAM
podrán ser etiquetados o rechazados (descartados). En el caso de etiquetamiento del mensaje, debe tenerse la flexibilidad para etiquetarse en el motivo (subject) del mensaje o a través un encabezado en el mensaje.
En cuanto a filtro de URL´s deberá de permitir diferentes perfiles de utilización de la web (permisos diferentes para categorías) dependiendo de fuente de la conexión o grupo de usuario al que pertenezca la conexión siendo establecida.
Los mensajes entregados al usuario por parte del URL Filter (por ejemplo, en caso de que un usuario intente navegar a un sitio correspondiente a una categoría no permitida) deberán ser personalizables.
Deberá de contar con optimización de WAN debe configurarse mediante reglas que definirán el tráfico a optimizar al menos con los siguientes parámetros:
o Dirección IP o grupo de direcciones IP de origen. o Dirección IP o grupo de direcciones IP de destino. o Rango de puertos de destino.
Capacidad de obtener reportes sobre el comportamiento del tráfico mostrando información al menos de aplicaciones, direcciones IP, dispositivos, sistemas operativos y GeoIP.
Página 10 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
Soporte para la virtualización de los servicios de seguridad mediante Firewalls virtuales, Sistemas virtuales o dominios virtuales, cada instancia deberá de estar aislada lógicamente de las demás y soportar las funcionalidades de VPN, URL Filtering, IPS, y antivirus.
Deberá de contar con licencia para al menos 10 instancias virtuales. Permitir la inspección de contenido encriptado por SSL y no debe requerir ningún cambio de configuración en las
aplicaciones o sistema operativo del usuario. Deberá de permitir el control de aplicaciones a partir de la inspección de los datos independientemente del puerto y
el protocolo por el cual se direccione el tráfico, pudiéndose realizar las siguientes acciones: permitir, bloquear y registrar en logs.
Deberá de soportar prevención de fuga de información (DLP) con reglas que al menos analicen los archivos de tipo MS-Word, PDF, Texto y comprimidos, que se han enviados por los protocolos, HTTP, POP3, SMTP, IMAP y FTP. Ante la detección de una posible fuga de información deben aplicarse al menos las siguientes acciones: Bloquear el tráfico del usuario, bloquear el tráfico de la IP origen, registrar el evento.
Deberá de contar con Certificación por ICSA Labs para Firewall, IPSec, IPS, Antivirus y SSL VPN. Utilizar Técnicas de calidad de servicio estándares: DSCP y WMM/802.11e. Capacidades de visibilidad y control de aplicaciones y contenidos. Facilidad para incorporar control de sitios a los cuales naveguen los usuarios, mediante categorías. Por flexibilidad,
el filtro de URLs debe tener por lo menos 75 categorías y por lo menos 54 millones de sitios web en la base de datos. Los mensajes entregados al usuario por parte del URL Filter (por ejemplo, en caso de que un usuario intente navegar
a un sitio correspondiente a una categoría no permitida) deberán ser personalizables. Capacidad de filtrado de scripts en páginas web (JAVA/Active X). La solución de Filtraje de Contenido debe soportar el forzamiento de “Safe Search” o “Búsqueda Segura”
independientemente de la configuración en el browser del usuario. Esta funcionalidad no permitirá que los buscadores retornen resultados considerados como controversiales. Esta funcionalidad se soportará al menos para buscadores tales como Google, Yahoo! y Bing.
Será posible definir cuotas de tiempo para la navegación. Dichas cuotas deben poder asignarse por cada categoría y por grupos.
Será posible exceptuar la inspección de HTTPS por categoría. Sera posible configurar el equipo para que automáticamente redirija el tráfico de www.youtube.com a
http://www.youtube.com/education para que se acceda únicamente a contenido categorizado por el portal como contenido educativo.
Modo de operación NAT o también llamada Gateway y el modo Puente o también llamado transparente. En modo transparente, el equipo no requerirá de hacer modificaciones en la red en cuanto a ruteo o direccionamiento
IP. Las instancias virtuales podrán de igual forma trabar en modo NAT o transparente. Soporte de protocolos IPv4 e IPv6. Soporte de políticas de ruteo basado en protocolo, puertos, interfaz fuente y destino, direcciones IP fuente y destino. Soporte de rutas estáticas. Soporte de Protocolos de enrutamiento OSPF, RIP, BGP y Multicast PIM Sparse Mode y Dense Mode. Soporte a ruteo dinámico RIPng, OSPFv3, BGP4+. Soporte balanceo de tráfico mediante ECMP (EqualCostMulti-Path) Soporte de ECMP con peso. En este modo el tráfico será distribuido entre múltiples rutas pero no en forma equitativa,
sino en base a los pesos y preferencias definidas por el administrador. Soporte de ECMP basado en comportamiento. En este modo, el tráfico será enviado de acuerdo a la definición de
una ruta hasta que se alcance un umbral de tráfico. En este punto se comenzará a utilizar en paralelo una ruta alternativa.
Manejo y etiquetado de VLAN’s 802.1Q. Gestión y configuración del equipo vía HTTPS y SSH. La solución permitirá la integración con analizadores de tráfico mediante el protocolo sFlow. Permitir políticas basadas en el sistema operativo del usuario. Actualización automática de las firmas de seguridad tanto del antivirus como del preventor de intrusos.
Características de Desempeño del equipo.
El equipo debe contar con un Throughput en Firewall de al menos 1.5 Gbps para paquetes UDP de 1518 y 512 bytes y 64 bytes.
El equipo debe contar con un Throughput en firewall de 2.2 Mpps en paquetes UDP de 64 bytes con una latencia de 4µs.
El equipo debe contar con un Throughput VPN en IPSEC de por lo menos 1Gbps. El equipo debe contar con un Throughput IPS de al menos 200 Mbps. El equipo debe contar con un Throughput en la funcionalidad de AntiVirus de 35 Mbps. El equipo debe soportar al menos 500,000 mil Sesiones concurrentes. El equipo debe soportar 4,000 nuevas sesiones por segundo. El equipo debe soportar la configuración de 5,000 políticas.
Características de Hardware por equipo. El equipo deberá de contar con al menos 10 Interfaces 1 GE RJ45. El equipo deberá de contar con al menos, un puerto de consola y un puerto USB para la gestión del equipo. El equipo deberá de contar con una fuente de poder que deberá de operar a 100-240v AC, 50-60 Hz. Certificaciones que deberá de tener el equipo.
ICSA Labs: Firewall, IPsec, IPS, Antivirus, SSL-VPN.
Página 11 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
1.5.- Sistema de Consolidación de Logs y Administración de Reportes El sistema de Consolidación de Logs y Administración de Reportes consiste en un equipo que permita el reporte, análisis y almacenamiento de bitácoras, que incluye capacidades de correlación y análisis de vulnerabilidades en la red para Cortafuegos con funciones de Gestión Unificada de Amenazas
Funcionalidades y características
La solución propuesta deberá cumplir con las siguientes funcionalidades:
El Sistema deberá permitir el Almacenamiento de Logs y Reportes. El sistema debe ser tipo “appliance” (dispositivo de propósito específico “Hardware”) Interface de administración gráfica (GUI) vía Web (HTTPS) Interface de administración vía CLI (Línea de comando) vía protocolo SSH y consola accediendo directamente en el
equipo por puerto especifico. Capacidad de definir administradores para la solución, de modo que pueda segmentarse la responsabilidad de los
administradores por tareas operativas. Permite integrar dispositivos para que reporten actividad o logs, estableciendo comunicaciones de tipo seguras con dichos
dispositivos. Permite asignar cuotas de espacio en disco por dispositivo, de modo que un solo dispositivo no consuma la totalidad del
disco de la solución. Debe tener la posibilidad de enviar los Logs a bases de datos remotas de SQL. Todas las funciones están consolidadas en el dispositivo. Generación de reportes:
Permite generar reportes personalizados, permite al administrador de la solución el definir el contenido de los reportes. El contenido de los reportes incluye los datos en formato tabular (tablas) y/o gráficas (pie-chart, graph-chart) Genera reportes de: Utilización de la red (ancho de banda o conexiones), usuarios, direcciones IP y/o servicios con mayor
consumo de recursos. Genera reportes de los ataques detectados/detenidos con mayor frecuencia en la red, por fuente y/o por destino. Genera reportes de las páginas y/o categorías de URL visitadas con mayor frecuencia, por fuente y/o por destino. Permite de generar la incidencia de virus detectados/removidos a nivel red por fuente y/o por destino. Permite generar un reporte de las actividades administrativas (ingresos de administradores, cambios de configuración)
realizadas. Permite personalizar los criterios bajo los cuales será obtenido el reporte, tales como origen, destinos, servicios, fechas
y/o día de la semana. Permite especificar el período de tiempo específico para el cual el reporte va a ser obtenido, por períodos relativos (hoy,
ayer, esta semana, semana pasada, este mes, mes pasado) o bien por períodos absolutos (de la fecha día/mes/año a la fecha día/mes/año).
Permite la calendarización de reportes. Permite generar reportes en formato PDF y DOC. Tiene la opción de generar reportes en idioma inglés y en idioma español Permite enviar el reporte vía correo electrónico.
Análisis forense y correlación de eventos:
Permite hacer búsquedas por usuario (Username) o dirección IP, para que toda la información almacenada de dicho Username o dirección IP sea mostrada en un reporte donde pueda darse seguimiento a su actividad.
Permite hacer análisis de vulnerabilidades y generar un reporte de cuales vulnerabilidades fueron encontradas, Esta funcionalidad no debe de tener límite de equipos.
Almacenamiento de Contenido:
Permite recibir bitácoras de los protocolos HTTP, SMTP para poder almacenar los mensajes que han fluido en la red a través de dichos protocolos, para su posterior visualización y análisis.
Los mensajes pueden ser almacenados completamente, o solo un “resumen” de la conexión. El mensaje completo exhibirá el contenido completo, mientras que el resumen solo mostrará fuente y destino de la comunicación, así como su duración.
Permite hacer búsquedas sobre los mensajes almacenados
Capacidades de Desempeño Almacenamiento incluido como mínimo de 8 TB Maneja por lo menos 1000 Logs por segundo. Conectividad con al menos 6 interfaces GE RJ45 Conectividad con al menos 2 interfaces GE SFP. El equipo deberá de poder particionar el arreglo de disco duros en al menos Raid 0, 1, 5, 6, 10, 50, 60 El equipo deberá tener la capacidad de recibir los logs de al menos 2000 dispositivos desde un inicio sin necesidad de un
licenciamiento adicional. El equipo deberá de poder manejar al menos 85 Millones de Sesiones por Día. El equipo deberá de contar con fuente de poder redundante tipo Hot wap. El equipo deberá ser de la misma marca que la solución propuesta en los Subcomponentes 1.1, 1.2, 1.3 y 1.4 del presente
documento. 1.6.- Sistema de Gerenciamiento Unificado de Amenazas
Página 12 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
El Sistema de Gerenciamiento Unificado de Amenazas consiste en una consola de gestión centralizada que realiza aprovisionamiento basado en políticas, configuración de dispositivos, gerenciamiento de actualizaciones, monitoreo y control de dispositivos de seguridad que sean del tipo UTM. El componente solicitado tendrá como mínimo con los siguientes lineamientos técnicos y funcionalidades: Funcionalidades y caracteristicas
Centralización de configuración y monitoreo de todos los dispositivos de seguridad UTM. Así como todas sus funciones de protección de red.
El sistema deberá de instalarse en una máquina virtual soportando los siguientes hipervisores VMWare ESX/ESXi, Microsoft Hyper-V, Citrix XenServer, KVM y Amazon Web Services.
Se incluye la administración de dispositivos “virtuales” que residen en una misma unidad física. Estos equipos virtuales pueden ser administrados como un dispositivo completamente independiente dentro de la consola, con su propia configuración y administración. Esta capacidad permite consolidar en el número menor posible de consolas, preferentemente una, la administración de las diversas funcionalidades de protección completa de contenido.
Creación, almacenamiento e implementación automatizada de configuraciones de dispositivos.
Deberá de permitir tener un solo repositorio de almacenamiento centralizado y administración de configuraciones, para simplificar las tareas de administración de una gran cantidad de dispositivos de seguridad con protección completa de contenido.
Las comunicaciones entre la consola de administración y los dispositivos administrados deben ser cifradas (Encriptadas).
La interface de administración es basada en Web Seguro (HTTPS).
Para un eficiente almacenamiento de las configuraciones, debe incluirse una base de datos relacional integrada compatible con la solución.
Administración basada en roles para permitir a los administradores delegar los derechos a dispositivos específicos con los privilegios adecuados de lectura/escritura.
Configuración basada en scripts para una mejor flexibilidad y control. Esta funcionalidad permite la automatización de tareas operativas, cuya implementación puede ser de forma masiva, con tiempos de aplicación mínimos a los dispositivos administrados
Se debe poder realizar automatización calendarizada de respaldos de la configuración y las bitácoras.
Se debe poder realizar operaciones sobre grupos de dispositivos, y añadir/cambiar/borrar dispositivos de esos grupos.
Permitir el hospedaje local de actualizaciones de firmas de AV / IPS y filtrado de contenido web y Antispam, de los dispositivos UTM. Esto permite el almacenamiento de forma local de las bases de datos de protección AV e IPS, además de Filtrado de Contenido y Anti-SPAM, con la finalidad de disminuir el tráfico de consultas de actualizaciones a Internet a lo mínimo, evitando el consumo innecesario de ancho de banda.
Deberá de tener un administrador de Software UTM de Escritorio que permite la consolidación de las consolas de seguridad informática en el menor número posible de dispositivos, con el ideal de reducirlo a uno, disminuyendo al mínimo las tareas de operación de diferentes tecnologías en diferentes equipos.
La administración de software de escritorio posibilita la administración de la funcionalidad de Antivirus, Anti-SPAM, Firewall para host, Anti-Spyware, Cliente de VPN IPSEC y Filtrado de contenido para el PC. Todo desde la misma consola de administración, para permitir el aseguramiento y aplicación de políticas de seguridad y contenido desde un solo punto de administración.
Mediante una conexión a un dispositivo externo de almacenamiento y procesamiento de bitácoras en tiempo real, el dispositivo de administración puede solicitar reportes en línea, con una interfaz de administración completamente integrada.
Capacidad de crear, exportar y almacenar versiones de configuración de los dispositivos administrados, antes de aplicar cambios a un dispositivo. De esta forma, se disminuye la posibilidad de cometer un error no intencional al modificar una política y permite regresar a una configuración en un estado operacional después de haber aplicado una implementación con resultados no esperados.
Debe tener la funcionalidad de monitoreo en Tiempo-Real. Esto permite al equipo de monitoreo y administración obtener el estado actual de la infraestructura de dispositivos administrados, y permitir actuar proactivamente ante un evento de seguridad y operación de los dispositivos de seguridad administrados.
Posibilidad de administrar el firmware de los dispositivos de seguridad, permitiendo programar y aplicar actualizaciones de sistema operativo de forma desatendida a un equipo o grupo de equipos administrados por la consola, reduciendo tiempos de operación y administración del personal que administra los equipos de seguridad.
La consola de administración permite configuración en Alta Disponibilidad, de tal forma que en caso de falla pueda existir otro equipo en línea que tome las tareas del equipo dañado con una pérdida mínima en la disponibilidad del servicio.
Capacidad de creación y aplicación de configuraciones de VPN entre los dispositivos de seguridad administrados.
Deberá de tener la funcionalidad de monitoreo especial para los túneles de VPN de tal forma que el área de operación puede monitorear desde una sola pantalla el estado de todos los túneles de VPN establecidos, administrados y operados desde la consola de administración.
Debe soportar los modelos de UTM citados en los componente 1.1, 1.2, 1.3 y 1.4.
La consola de administración centralizada debe de tener la capacidad de aprovisionar y monitorear dispositivos OTP (tokens) en cualquier dispositivo que administre.
En esquemas de alta disponibilidad, en los cuales existan dos consolas funcionando en activo/pasivo, los cambios de activo a pasivo deben realizarse sin la necesidad de reiniciar las consolas.
Los usuarios administradores deben de tener la posibilidad de ingresar con su usuario y contraseña a la consola por los protocolos HTTP, HTTPS, SSH y TELNET desde direcciones IPv4 o IPv6.
La consola debe de tener la capacidad de generar reportes basado en los logs enviados por los dispositivos administrados, dichos logs deben poder almacenarse en una base de datos SQL.
La consola debe poseer esquemas de reportes pre-configurados de todas las funcionalidades de los dispositivos administrados.
Página 13 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
El equipo debe tener la capacidad de realizar reportes 100% personalizados.
La consola debe de tener la posibilidad de recibir o entregar información de los dispositivos administrados, vía APIs para que los mismos puedan ser consultados y/o configurados.
La administración de las políticas de seguridad de los dispositivos gerenciados debe de tener la facilidad de poder modificarlas con un “drag and drop” en la interface gráfica.
Deberá de tener la capacidad de administrar al menos 10 dispositivos desde un inicio sin requerirse licenciamiento adicional.
2.- Póliza de Soporte 24x7 e Ingeniero en sitio.
Se deben tener las siguientes consideraciones: - Se debe considerar un esquema de soporte las 24 horas del día los 7 días de la semana. - El horario de soporte debe de contemplar asesoría por los siguientes medios:
o Asesoría telefónica: Cuando se presente alguna situación que el cliente pueda resolver o que no sea catalogada como “critica”, o que no sea causada por la solución de seguridad con que cuente el cliente, con un tiempo de respuesta máximo de 1 hora.
o Asesoría vía Correo electrónico: Cuando se presente alguna situación que el cliente pueda resolver o que no sea catalogada como “critica”, o que no sea causada por la solución de seguridad con que cuente el cliente, con un tiempo de respuesta máximo de 1 hora.
o Asesoría en sitio: Cuando se presente alguna situación que el cliente no pueda resolver o que sea catalogada como “critica” , o que sea causada por la solución de seguridad con la que cuente el cliente, con un tiempo de respuesta máximo de 2 horas.
- Ingeniero en sitio 5 x8 para ejecución de actividades de administración y soporte de primer nivel. Las actividades que desarrollará son las siguientes:
o Administración y Control de políticas de Seguridad en Firewall. o Monitoreo de la infraestructura de seguridad contemplada en el presente concurso. o Administración de usuarios, cambios y modificaciones. o Registro de bitácora de actividades y cambios. o Actualización permanente de Memoria Técnica. o Escalación y gestión de tickets con soporte nivel 2 y con el fabricante, así como proveedores internos. o El ingeniero en sitio deberá de contar con entrenamiento y certificación por parte del fabricante. o El proveedor deberá de proporcionarle computadora personal portátil con hardware y software necesario
para que el ingeniero pueda desempeñar sus actividades. Niveles de servicio.
Actividad / Evento Tiempos Observaciones
Notificación de existencia de
actualizaciones y parches
Cuando lo publique el fabricante Vía lista de distribución por
correo electrónico.
Soporte para la instalación de
actualizaciones y parches
relevantes por parte del
fabricante.
Cuando lo publique el fabricante Vía telefónica y correo
electrónico.
Soporte para la resolución de
dudas para la administración del
producto.
Sobre demanda vía correo
electrónico.
Vía telefónica y correo
electrónico.
Notificación de problemas
potenciales de hardware /
software.
Cuando se presenten de
acuerdo a alertas del sistema de
monitoreo.
Vía telefónica y correo
electrónico.
Entrega de reportes de
desempeño de la infraestructura.
Una vez al mes. Vía telefónica y correo
electrónico.
Soporte para resolución de
incidentes y problemas de
operación de la solución de
manera remota.
Cuando se presenten en un
horario de atención 24 x7.
Vía telefónica y correo
electrónico.
Soporte para resolución de
incidentes y problemas de
operación de la solución de
manera local en sitio.
Cuando se presenten en un
horario de atención 24 x7.
En sitio.
3.- Renovación por 1 año al servicio de software analizador de vulnerabilidades informáticas Nessus Professional, en la versión más reciente vendida por el fabricante.
Página 14 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
Se debe considerar subscripción por 1 año al software analizador de vulnerabilidades informáticas Nessus Professional, que tiene las siguientes características:
Análisis inteligente.
Arquitectura modular.
Compatible con listas registradas de vulnerabilidades de seguridad (CVE).
Ejecución de pruebas a varios host de forma simultánea.
Reconocimiento de servicio inteligente.
Compatibilidad con protocolos SSL.
Informes Inteligentes. Condiciones Generales
El participante deberá de cumplir con los siguientes requisitos:
Carta expedida por el fabricante de los componentes de Seguridad Informática, haciendo referencia al presente concurso y enunciando que el participante es un distribuidor autorizado y certificado para proporcionar el soporte requerido en un esquema de colaboración en conjunto con el fabricante.
El licitante deberá de contar con al menos 2 ingenieros certificados a nivel profesional o similar por parte del fabricante para realizar las actividades de instalación, configuración y puesta a punto y en marcha. El concursante deberá de incluir una carta expedida por el fabricante en donde indique que el certificado es válido y es la versión más reciente de su programa de certificaciones y el ingeniero esta dado de alta ante el fabricante como personal del licitante, haciendo referencia al presente concurso.
El licitante alineará todos sus procesos y funciones relacionados con la administración del servicio, a la biblioteca de mejores prácticas de ITIL en su versión 3 ( Information Technology Infraestructure Library). Esto engloba todos los procesos de entrega y soporte del servicio:
o Gestión de Configuraciones y Activos del Servicio. o Gestión de Cambios. o Gestión de Peticiones. o Gestión de Accesos. o Gestión de Incidentes. o Gestión de Problemas. o Gestión de Liberaciones e Implementaciones o Gestión de Nivel de Servicio. o Función de Mesa de Servicio. o Función de Gestión Técnica.
Se deberán adjuntar copias de las certificaciones de ITIL en su versión 3 actualización 2011 emitidas por AXELOS así como documentación que valide que realmente la persona certificada forma parte de la empresa concursante.
o ITIL Foundation o ITIL Service Strategy o ITIL Operational Support and Analysis
Reporte de fallas: El licitante deberá de contar con un número telefónico local para el reporte de fallas y se deberán de utilizar número de identificadores únicos para referencia y seguimiento de los tickets.
Mesa de ayuda: El licitante deberá de contar con una mesa de ayuda, para el seguimiento y atención de os reportes con horario 7 x 24 de acuerdo los lineamientos descritos por ITIL.
El licitante deberá de comprobar que cuenta con domicilio fiscal en el estado de Jalisco. Se deberá comprobar mediante Cedulad de identificación fiscal.
La solución deberá considerar el ofrecimiento de un Centro de Asistencia Técnico proporcionado por el fabricante siendo este el conducto para solicitar Asistencia Técnica en español, en México.
El participante deberá demostrar su experiencia en la ejecución de proyectos de características similares en los últimos 24 meses, mismo que deberá de probar mediante documentación adjunta.
El proveedor adjudicado realizará un plan de trabajo calendarizado.
Todas las especificaciones señaladas en este anexo son mínimas, por lo tanto el Concursante podrá ofertar bienes y servicios con especificaciones superiores, si así lo considera conveniente.
Atenderá la convocatoria a la junta aclaratoria que la Dirección General de Abastecimientos y demás disposiciones legales aplicables. Se aclara el numeral 2 del aparado Alcances del Proyecto, en cuanto a que la Póliza de servicios de soporte que considere
niveles de atención 24x7, el ingeniero en sitio no será un requisito indispensable, por lo que se puede prescindir y substituir por atención o soporte telefónico, en línea o presencial.
El servicio descrito con anterioridad, deberá cumplir con las especificaciones que se detallaron en LAS
BASES, JUNTA ACLARATORIA y con LA PROPUESTA presentada por EL PROVEEDOR respecto del
Concurso C51/2015 “POLIZA DE MANTENIMIENTO PARA LOS COMPONENTES DE SEGURIDAD
INFORMATICA PERIMETRAL”.
TERCERA.- DE LA ENTREGA. El proveedor deberá prestar el servicio dentro de un término de 42 días
naturales a partir de la fecha de firma del contrato, en el almacén de parcialidades ubicado en Av.
Prolongación Alcalde, 1221 de 9:00 horas a 15:00 horas, teléfonos 38182823 para que realicen la cita de
entrega; con las especificaciones establecidas en el Anexo 1 de las Bases.
Página 15 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
De acuerdo con la Junta Aclaratoria celebrada en el marco legal del proceso de adquisición, se estableció
que se entenderán por bienes todo el software, hardware, licenciamiento o cualquier otro suministro
requerido para el debido cumplimiento del objeto del contrato.
Se considerará que el Proveedor ha entregado correctamente los bienes objeto de este proceso de
adquisición, una vez que en la factura correspondiente se plasme el sello y firma del área designada de la
Secretaría de Planeación, Administración y Finanzas.
CUARTA.- DE LA VIGENCIA. El presente instrumento contractual comenzará a surtir sus efectos a partir
del día 10 diez del mes de noviembre del 2015 dos mil quince al 31 treinta y uno del mes de diciembre
del año 2015 dos mil quince.
QUINTA.- DEL PRECIO. EL PROVEEDOR fija un precio por el objeto de este contrato la cantidad de
$5’393,478.12 (Cinco millones trescientos noventa y tres mil cuatrocientos setenta y ocho pesos
12/100 Moneda Nacional) Impuesto al Valor Agregado incluido.
SEXTA.- DE LA FORMA DE PAGO. El pago se realizará en Moneda Nacional, dentro de los 20 días hábiles siguientes, contados a partir de la fecha en que presentada la facturación para el inicio de su validación en la Secretaría de Planeación, Administración y Finanzas en el inmueble ubicado en Prolongación Avenida Alcalde No. 1221, Col. Miraflores, Guadalajara, Jalisco, respectivamente de lunes a viernes en días hábiles, de 9:00 a 15:00 horas. La Secretaría de Planeación, Administración y Finanzas realizará el pago a EL PROVEEDOR en una sola exhibición contra entrega de la PÓLIZA, a entera satisfacción de LA DEPENDENCIA, dentro de los 20 veinte días hábiles siguientes a partir de que se presenten los documentos siguientes: Para pago: a) Original y 3 copias de la factura correspondiente a nombre de la Secretaría de Planeación, Administración y Finanzas, con domicilio en la calle Pedro Moreno no. 281, Guadalajara Centro, Guadalajara, Jalisco, C.P. 44100, R.F.C. SPC130227L99, validada por LA DEPENDENCIA. b) Original del oficio donde conste la recepción de la póliza objeto de este contrato a entera satisfacción LA DEPENDENCIA. c) 2 dos copias del Contrato. d) 2 dos copias de la garantía de cumplimiento del contrato por el 10% del valor total del mismo.
SÉPTIMA.- DE LA GARANTÍA PARA EL CUMPLIMIENTO DE LAS OBLIGACIONES. A la firma del
presente contrato, EL PROVEEDOR se obliga entregar una garantía que responda por el cumplimiento de
las obligaciones del presente contrato, así como por la calidad, defectos que llegara a presentar los bienes
y servicios objeto del presente contrato, a favor de la Secretaría de Planeación, Administración y Finanzas,
a través de cheque certificado o de caja, en efectivo mediante billete de depósito tramitado ante la
Recaudadora N° 000 de la Secretaría de Planeación, Administración y Finanzas o mediante fianza expedida
por una institución mexicana legalmente autorizada, por el importe del 10% diez por ciento, del monto total
señalado en la cláusula quinta del presente contrato, con el Impuesto al Valor Agregado incluido y con una
vigencia de 12 doce meses, contados a partir de la firma del presente contrato, con el fin de garantizar el
cumplimiento de este instrumento, la calidad del objeto del mismo así como los defectos que pudieran
resultar después de su recepción. La garantía aludida solo podrá ser cancelada mediante comunicación
escrita por parte de LA SECRETARÍA.
La garantía referida podrá ser exigible y aplicada en cualquier tiempo en caso de presentarse defectos, o
mala calidad en el objeto del presente proceso de adquisición, así como por cualquier incumplimiento en las
obligaciones establecidas en este contrato, y será independiente de las acciones que deban ejercitarse por
los daños y perjuicios que se originen con motivo del incumplimiento en cualquiera de las obligaciones
contratadas por parte de El PROVEEDOR de conformidad con lo dispuesto por el artículo 21 del Reglamento
de la Ley de Adquisiciones y Enajenaciones del Gobierno del Estado de Jalisco.
OCTAVA.- DE LA GARANTIA DE LOS BIENES Y SERVICIOS. EL PROVEEDOR garantiza la calidad de
los bienes y servicio objeto de la Póliza y el presente contrato, esta garantía inicia a partir de la fecha de
recepción y aceptación del bien y servicio.
Página 16 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
NOVENA.- DE LA PENALIZACION POR ATRASO EN EL SERVICIO. En caso que EL PROVEEDOR no
realice en tiempo y forma el servicio por cualquier causa que no sea imputable a LA SECRETARÍA o a LA
DEPENDENCIA, LA SECRETARÍA podrá descontar a EL PROVEEDOR del monto total del servicio el 3%
tres por ciento cuando el atraso en el servicio se encuentre entre 1 uno a 10 diez días naturales, el 6% seis
por ciento cuando el atraso en el servicio se encuentre entre 11 once a 20 veinte días naturales y el 10%
diez por ciento, cuando el atraso en el servicio se encuentre de 21 veintiuno a 30 treinta días naturales, y
de 31 treinta y un días naturales en delante se podrá rescindir el contrato.
LA SECRETARÍA podrá aplicar la penalización que corresponda en caso de atraso en la entrega, o podrá
rescindir el contrato a causa del incumplimiento en la prestación del servicio en el término y/o condiciones
establecidas en el presente contrato. En caso de rescisión por esta causa EL PROVEEDOR pagará como
pena convencional el 10% diez por ciento del monto total del contrato.
En caso de que EL PROVEEDOR se encontrara en una situación que impidiera la entrega oportuna del
bien por caso fortuito o fuerza mayor necesariamente justificadas, deberá notificar de inmediato por escrito
a LA SECRETARÍA, las causas de demora y su duración probable, solicitando en su caso prórroga para su
regularización, mínimo 3 tres días hábiles anteriores al vencimiento del plazo de entrega pactado en el
presente contrato. La prórroga se gestionara, en caso de no ser contestada la prorroga o se conteste en
forma negativa, se estará a lo señalado en los párrafos anteriores de la presente clausula.
DÉCIMA.- DE LA RESCISIÓN. LA SECRETARÍA podrá optar por el cumplimiento forzoso del contrato y/o
su rescisión, sin necesidad de declaración judicial alguna para que operen, siempre y cuando EL
PROVEEDOR incumpla con cualquier obligación establecidas en LAS BASES, LA PROPUESTA y en el
presente contrato, cuando los bienes y servicios objeto de este contrato sean de características inferiores a
las especificadas en LAS BASES. Este hecho será notificado de manera indubitable a EL PROVEEDOR.
En caso de incumplimiento de las obligaciones de LA PROPUESTA, así como del contrato, además de
solicitar el cumplimiento forzoso del contrato y/o su rescisión, LA SECRETARÍA podrá exigir el pago de
daños y perjuicios de conformidad con el artículo 21 del Reglamento de la Ley de Adquisiciones y
Enajenaciones del Gobierno del Estado de Jalisco.
DÉCIMA PRIMERA.- DE LA CESION. EL PROVEEDOR no podrá gravar o ceder a otras personas físicas
o jurídicas de forma parcial o total, los derechos y obligaciones que se derivan del presente contrato, salvo
los de cobro que se generen en los términos de este contrato, en cuyo caso deberá contar con la
conformidad previa de LA SECRETARÍA.
DÉCIMA SEGUNDA.- DE LAS RELACIONES LABORALES. Ambas partes manifiestan expresamente que
la relación que se deriva del presente contrato, no crea respecto de una y otra relación alguna de patrón,
mandatario, subordinado, dependiente o empleado. En tal razón, EL PROVEEDOR será responsable por el
personal que contrate o emplee con motivo de la prestación del servicio objeto de este contrato, obligándose
a responder y sacar a salvo a LA SECRETARÍA, LA DEPENDENCIA y/o entidad pública involucrada, de
cualquier acción o derecho derivado por concepto de prestaciones contenidas en la ley federal del trabajo,
de seguridad social, fiscal, civil, penal o cualquier otra, en el entendido que lo señalado con anterioridad
queda subsistente por el periodo que la legislación aplicable señale, y no por el periodo que dure vigente
este contrato.
DÉCIMA TERCERA.- PATENTES, MARCAS Y DERECHOS DE AUTOR. EL PROVEEDOR asumirá la
responsabilidad total para el caso de que se infrinjan derechos inherentes a la propiedad intelectual,
patentes, marcas o cualquier otro derecho de tercero, con motivo de la firma del presente contrato.
DÉCIMA CUARTA.- DE LA TERMINACIÓN ANTICIPADA. En cualquier momento LA SECRETARÍA podrá
dar por terminado el presente contrato sin responsabilidad para ésta, cuando se extinga la necesidad de
requerir los bienes objeto del presente contrato, por tratarse de causas de interés general o público, ó por
caso fortuito o fuerza mayor, bastando únicamente la notificación que se realice a EL PROVEEDOR, o por
acuerdo entre las partes. En ambos casos se realizará el pago de los gastos generados hasta el momento
que se notifique la terminación, siempre y cuando dichos gastos estén debidamente comprobados.
Página 17 de 17 Contrato número 384 /15
Secretaría de Planeación Administración y Finanzas ___________________________ DIRECCIÓN GENERAL JURÍDICA
DÉCIMA QUINTA.- DE LA INSPECCIÓN Y VIGILANCIA. LA DEPENDENCIA será la encargada de vigilar
e inspeccionar que los bienes y servicios objeto del presente contrato cumplan con las especificaciones
detalladas en LAS BASES, teniendo las facultades para designar al personal que estime necesario para tal
efecto.
Sin perjuicio de lo anterior, LA SECRETARÍA podrá en todo momento verificar el cumplimiento de las
obligaciones derivadas del presente contrato, así como llevar a cabo las acciones necesarias para su
cumplimiento.
DÉCIMA SEXTA.- DE LAS NOTIFICACIONES. La comunicación entre las partes será por escrito a través
de cualquier medio que de forma fehaciente e indubitable haga constar su notificación.
DÉCIMA SÉPTIMA.- DE LA COMPETENCIA Y JURISDICCIÓN. Para la interpretación y cumplimiento del
presente contrato, así como para resolver todo aquello que no esté previamente estipulado en él, las partes
acuerdan en regirse en primer término por lo dispuesto en LAS BASES, LA PROPUESTA y para lo no
previsto en los anteriores se sujetarán a la legislación aplicable en el Estado de Jalisco, sometiéndose
expresamente a la jurisdicción de los Tribunales que se encuentran en la circunscripción territorial del Primer
Partido Judicial del Estado de Jalisco, renunciando al fuero que por razón de su domicilio presente o futuro
les pudiera corresponder.
Leído que fue el presente contrato por ambas partes y enterados de su alcance y contenido, lo firman las
partes de común acuerdo en la ciudad de Guadalajara, Jalisco.
LA SECRETARÍA EL PROVEEDOR
RUBRICA
Licenciado Salvador González Reséndiz
Subsecretario de Administración de la Secretaría de
Planeación, Administración y Finanzas,
RUBRICA
C. Rodrigo Ramírez Arellano
Administrador Único de la sociedad
REDES TECNOLOGICAS DE OCCIDENTE, S.A.
DE C.V.
TESTIGO TESTIGO
RUBRICA
Lic. Enrique Moreno Villalobos
Director General de Abastecimientos de la Secretaría
de Planeación, Administración y Finanzas del
Gobierno del Estado de Jalisco
RUBRICA
Lic. Pedro Salvador Delgado Jiménez.
Director de Instrumentos Jurídicos de la Secretaría
de Planeación, Administración y Finanzas del
Gobierno del Estado de Jalisco. *JAPG
La presente hoja forma parte del contrato número 384/15 de fecha 10 diez del mes de noviembre del año 2015 dos mil quince, celebrado
por el Gobierno del Estado de Jalisco por conducto de la Secretaría de Planeación, Administración y Finanzas del Poder Ejecutivo del
Estado de Jalisco y REDES TECNOLOGICAS DE OCCIDENTE, S.A. DE C.V..
