Termo de Referência
Termo de Referência
Aquisição de
Aquisição de licença perpétua de biblioteca JAVA –
SDK (Software Development Kit), para
desenvolvimento,
implementação
e
operacionalização da tecnologia de certificação
digital nos sistemas desenvolvidos pela DATAPREV
.Termo de Referência
Aquisição de licença perpétua de biblioteca JAVA – SDK (Software Development Kit), para desenvolvimento, implementação e operacionalização da tecnologia de certificação digital nos sistemas desenvolvidos pela DATAPREV.
Equipe Responsável
Elaboração
Assinatura
Data
Aprovação Motivada
Considerando que o Termo de Referência elaborado se apresenta de forma conveniente e oportuna para atender a demanda exposta na RQ CGSI nº 001/2009, aprovo este Termo. Os elementos para que as empresas especifiquem seus preços estão no Termo de Referência e o valor da estimativa será incluído oportunamente no processo, após pesquisa ao mercado pela área competente.
Assinatura
Data
Coordenação Geral de Segurança de Informações
CGSI
Coordenação Geral de Arquitetura de Software
1. Objeto
1.1. Aquisição de licença de uso perpétua de biblioteca JAVA – SDK (Software Development Kit), para desenvolvimento, implementação e operacionalização da tecnologia de certificação digital nos sistemas desenvolvidos pela DATAPREV, conforme Especificação Técnica apresentada no Anexo I, incluindo serviços de mentoria, garantia de atualização de versão e suporte técnico.
2. Entrega
2.1. A solução deverá ser entregue no prazo máximo de 15 (quinze) dias úteis, a contar da data de assinatura da respectiva Autorização de Fornecimento (AF)/Contrato, nas instalações da Dataprev no Rio de Janeiro.
2.2. Os produtos de software componentes da solução deverão vir acompanhados de todas as mídias originais necessárias ao seu uso. Tais mídias devem vir necessariamente em DVD ou CD, a critério da Dataprev.
2.3. As mídias devem ser entregues em perfeitas condições da garantia e apropriadamente acomodadas. Caso a mídia impossibilite o uso do produto, a contratada deverá substituir a mesma. 2.4. A contratada deve garantir, durante o período da garantia e, quando solicitado pela Dataprev, a entrega de mídia(s) de reposição.
2.5. A contratada deverá entregar pelo menos 4 (quatro) conjuntos de mídias completas com todos os componentes da biblioteca de software.
2.6. Deverá ser fornecida documentação técnica completa original do produto fornecido, em língua portuguesa ou inglesa. A documentação poderá ser fornecida em meio impresso ou eletrônico.
2.7 A solução deverá ser fornecida para uso preferencialmente no idioma Português Brasil (pt_br) ou Inglês.
1. Homologação
3.1.A empresa licitante vencedora do certame deverá se reunir com técnicos da Dataprev no Rio de Janeiro, no prazo máximo de 1 (um) dia útil após a assinatura do contrato, para apresentação do manual técnico, documento indicando os itens do manual técnico que comprovam o atendimento das especificações técnicas da solução a ser fornecida e o planejamento da homologação.
3.2.Após aprovação pela Dataprev deverá ser marcada a data de início da homologação.
3.3. A homologação deve ser feita com uma aplicação de referência do fornecedor, executar todos os procedimentos para a integração da biblioteca de certificação digital à aplicação de referência, teste para a comprovação do atendimento às especificações técnicas.
3.4. Todos os procedimentos da homologação devem ser documentados e ao final será lavrado o
Atividades que visam o repasse de conhecimento de forma ordenada, por meio de técnicas específicas (Coaching) visando a internalização das melhores práticas na tecnologia da solução fornecida.
O objetivo do mentoring é ter um profissional experiente para guiar o "novato" através de um processo de aprendizagem, mostrando como utilizar a nova técnica, ferramenta ou metodologia.
Desta forma, objetivando otimizar o processo de internalização da solução adquirida, a CONTRATADA deverá disponibilizar 500 (quinhentas) horas de consultoria especializada “on site”para atividades
de mentoria, no local da instalação inicial da solução fornecida, a serem utilizadas, sob demanda, em
“blocos” de, no mínimo, 16 (dezesseis) horas, de acordo com as necessidades da Dataprev.
4.1.Estes serviços deverão estar disponíveis a partir da data de emissão do Termo de Aceite da solução fornecida, de segunda a sexta-feira, exceto feriados nacionais, das 9:00h às 18:00h.
4.2.A central de atendimento para registro das solicitações deverá permitir discagem gratuita (0800) ou qualquer outro meio de acesso de disponibilidade imediata, sem ônus para DATAPREV.
4.3.Toda solicitação de mentoria deverá ser retornada no prazo máximo de 2 horas após o seu respectivo registro, entendido este retorno como um contato inicial para fins de programação do seu atendimento.
4.4.Excepcionalmente, mediante autorização expressa da Dataprev, estas atividades poderão ser realizadas de forma remota (telesuporte), utilizando, se for o caso, das ferramentas autorizadas para esta finalidade.
4.5.O registro de solicitação de serviços de mentoria poderá ser feito via website, e-mail, fax ou telefone, onde constarão as seguintes informações: data, hora, descrição da demanda, número da Ordem de Serviço, identificação do solicitante e atendente.
4.6.Os registros de solicitação de serviços poderão ser feitos no horário de 9:00 às 18:00 horas, de segunda à sexta-feira, excluídos os feriados nacionais.
4.7.O horário para realização dos serviços solicitados (quando realizados nas dependências da DATAPREV) será de 9:00 às 18:00 horas, de segunda à sexta-feira, excluídos os feriados nacionais. 4.8.Será elaborado pela CONTRATADA um Relatório Mensal de Atendimento, devendo constar deste
relatório as seguintes informações: data, hora, descrição dos serviços, número de Registro, identificação do solicitante, atendente, data e hora do término dos serviços e numero de horas consumidas para execução do serviço, detalhadas por atividades desempenhadas, visando garantir o repasse do conhecimento e das melhores práticas para as equipes da DATAPREV.
1. Faturamento
● Produtos componentes da solução: Após a entrega do produto.
● Mentoria: Mensal, de acordo com a quantidade de horas efetivamente utilizadas.
1. Garantia
6.1 Todos os produtos de software componentes da solução fornecida deverão ter garantia de atualização de versão e suporte técnico remoto ao seu uso pelo período mínimo de 24 meses a partir da data de recebimento do produto, ou seja, a partir da data em que foi dada como concluída a instalação da solução.
6.3 Para atendimento aos serviços em garantia aos produtos componentes da solução instalada, a contratada deverá oferecer atendimento através de Centro de Suporte Técnico, que poderá pertencer ao fabricante dos produtos, à contratada ou ainda a empresa terceirizada/parceira formalmente designada como responsável pela assistência técnica aos produtos ofertados.
6.4 A central de atendimento de Suporte Técnico indicada pela CONTRATADA deve estar disponível para a abertura de chamados durante 7 dias por semana, 24 horas por dia, inclusive feriados. 6.5 A CONTRATADA deve garantir o sigilo e a inviolabilidade das informações a que eventualmente
possa ter acesso, durante os procedimentos de suporte ao seu produto.
6.6 Qualquer despesa decorrente do suporte técnico realizado durante o período de garantia do produto será de responsabilidade da CONTRATADA.
6.7 Quaisquer atualizações das documentações deverão ser fornecidas, sem ônus, durante o período de garantia do produto.
6.8 O serviço de suporte poderá ser prestado na forma de serviço remoto (tele-suporte), disponível 24 horas por dia, 5 dias por semana, excluindo-se os feriados.
6.9 Não deverá haver qualquer limitação para o número de solicitações de suporte técnico.
6.10 Não deverá haver qualquer limitação para o número de técnicos da Dataprev autorizados a abrir chamados técnicos.
6.11 DEFINICÕES E PRAZOS PARA ATENDIMENTO DAS OCORRÊNCIAS PRAZOS PARA INÍCIO DE ATENDIMENTO DAS OCORRÊNCIAS
(A PARTIR DO REGISTRO DA OCORRÊNCIA) Prioridade
Informada Início do Atendimento
0 2 horas
1 4 horas
2 8 horas
● Prioridade (0) - Ocorrência de alto impacto/Falha verificada em um componente da biblioteca que ocasione parada total ou parcial das aplicações que dele fizerem uso.
● Prioridade (1) - Ocorrência de médio impacto/Falha verificada em uma determinada funcionalidade da biblioteca que impeça a obtenção do resultado esperado , mas a solução permanece funcionando para outras finalidades.
● Prioridade (2) - Ocorrência de baixo impacto/Sanar dúvidas de utilização da biblioteca ou para resolver problemas de funcionamento de recursos da biblioteca que não ocasionem paradas nas aplicações que deles fazem uso.
Admite-se para todos os casos a adoção de solução de contorno (workaround), sem prejuízo da solução definitiva cabível, devendo a contratada nestes casos emitir um laudo de acordo com a periodicidade exigida pela Dataprev, informando sobre a evolução dos trabalhos visando solucionar
7. Sigilo e Inviolabilidade
7.1 A contratada deverá garantir o sigilo e a inviolabilidade das informações a que eventualmente possa ter acesso, durante os procedimentos atendimento em garantia.
8. Penalidades
8.1 Pelo descumprimento dos prazos relacionados à entrega, instalação dos produtos e disponibilidade inicial das atividades de mentoria, será aplicada multa à razão de 1% (um por cento) do valor total do contrato, por dia de atraso, limitado ao teto de 10%.
8.2 Pelo descumprimento dos prazos relacionados ao atendimento em garantia e retorno às solicitações de mentoria, será aplicada multa à razão de 1% (um por cento) do valor total caucionado em garantia do contrato, por hora de atraso, limitado ao teto de 10%.
9. Gestão Contratual
9.1 Gestão Técnica - Operacional – Coordenação Geral de Arquitetura de Software.
9.2 Gestão Executiva – Coordenação Geral de Análise e Classificação de Demandas / CGAD. O Gestor Técnico-Operacional será responsável:
● pela abertura e registro de chamados técnicos / ordens de serviços; ● pelo acompanhamento da execução dos serviços solicitados; ● pela avaliação do impacto e comunicação de problemas ocorridos;
● pelo acompanhamento da resolução de problemas reportados e chamados abertos;
● pelo registro dos serviços mantidos sob contrato e seu encaminhamento ao Gestor Executivo, até
o 2º dia útil do mês subseqüente à prestação dos serviços;
● pelo atesto da execução dos serviços;
O Gestor Executivo será responsável:
● pela prestação de informações à contratada sobre os resultados do controle e acompanhamento
dos serviços, bem como observações ou apontamentos de irregularidades;
● pelo recebimento e, quando necessário, pelo reencaminhamento de todos os documentos
pertinentes ao objeto do Contrato;
● por manter o Gestor Técnico-Operacional informado acerca da execução do contrato, zelando
pelo cumprimento das cláusulas contratuais;
● pela consolidação dos registros das ocorrências relacionadas ao objeto do contrato;
● pelo encaminhamento das informações e documentação necessárias para atendimento ao órgão
de Controladoria;
● pela coordenação de reuniões periódicas para avaliação, em conjunto com a contratada, de
contratual;
● pela coordenação para o atendimento de demandas de órgãos de controle interno e externo;
10. Planilha de Orçamento
ITEM DESCRIÇÃO QUANT. (A)
LICENÇAS/SERVIÇOS INSTALAÇÃO GARANTIA
(24 MESES) TOTAL VALOR UNITÁRIO (B) SUB-TOTAL AxB (1) VALOR UNITÁRIO (C) SUB-TOTAL AxC (2) VALOR UNITÁRIO (D) SUB-TOTAL AxD (3) TOTAL (1+2+3) 1 Solução Biblioteca Java 1 Mentoria (horas) 500 --- --- --- ---TOTAL GERAL 11. Habilitação Básica
Considerando a importância dos objetivos a serem alcançados, serão exigidos, sem prejuízo de outros, os seguintes requisitos de habilitação deverão ser fornecidos:
• Declaração emitida por empresa pública ou privada, atestando o fornecimento, de forma satisfatória pela empresa proponente, de biblioteca JAVA – SDK (Software Development Kit), para desenvolvimento, implementação e operacionalização da tecnologia de certificação digital em sistemas.
• Declaração emitida por empresa pública ou privada, atestando a prestação, de forma satisfatória
pela empresa proponente, de serviços mentoria que envolvam o desenvolvimento e implantação de sistemas utilizando a tecnologia de certificação digital.
ESPECIFICAÇÕES TÉCNICAS
1. Licenciamentoa) A modalidade de licenciamento deverá permitir a distribuição livre de aplicativos gerados com o uso da biblioteca independente do número de usuários de cada aplicativo;
b) Oferecer garantia de atualização e correção pelo período de 2 anos, contados da data do aceite da biblioteca pela área técnica responsável.
c) O fornecedor a liberar o código fonte para fins de auditoria ou no caso de encerramento das atividades.
2. Plataforma
a) A biblioteca deverá ser fornecida para instalação e funcionamento nas plataformas Windows, Linux, AIX, HPUX , com 32 bits e 64 bits visando compatibilidade;
a) A biblioteca deverá ser compatível com a plataforma Java Runtime Edition 1.5 e suas versões superiores.
b) A biblioteca deverá ser compatível com as especificações Java Enterprise Edition 1.4 e suas versões superiores.
c) A biblioteca deverá ser compatível com servidores de aplicação Oracle Application Server 10.1.3.1, Jboss 4.2.2, Tomcat 5.0 e suas respectivas versões superiores.
3. Características Técnicas
a) Estar de acordo com todos os padrões da ICP-Brasil e E-PING;
b) Ser compatível com o uso de Smart-Card, Token, HSM e qualquer dispositivo que implemente o padrão PKCS#11;
c) Deve suportar a verificação e assinatura de arquivos 1. Incluindo a cadeia de certificados;
2. Nos padrões PKCS#7, CADES(CMS Advanced Electronic Signature), XMLDSig e XADES (XMLSignature Advanced Electronic Signature);
3. No servidor (Server-side) e no cliente (Client-Side). d) Deve suportar verificação e assinatura de documentos XML
1. Incluindo a cadeia de certificados
2. Nos padrões XMLDSig (Embedded, Wrapping, De tached) e XADES; 3. No servidor (Server-side) e no cliente (Client-Side).
4. Documentos XML com tamanho de no mínimo 500 MiB e) Deve suportar a verificação e assinatura de e-mail S/MIME; f) Deve suportar múltiplas assinaturas e destinatários
g) Deve realizar consulta de revogação em LCR
1. Instalar e consultar LCRs básicas, sobre-emitidas, segmentadas e delta. 2. Manter cache das LCRs utilizadas para facilitar e acelerar sua utilização. 3. Auto-atualização das LCRs no cache
h) Consulta de Revogação via OCSP (Online Certificate Status Protocol) i) Deve realizar leitura de certificado X-509 e extensões da ICP-Brasil
1. Responsável por interpretar um certificado e obter estas informações a partir dos dados do certificado padrão X-509 e extensões da ICP-Brasil.
j) Deve possuir gerenciador de certificados
1. Responsável por armazenar os certificados confiáveis, tanto raízes como intermediários, necessário para que outros componentes do sistema possam verificar cadeias de certificação e conhecer quais são os certificados que podem ser utilizados. k) Deve solicitar e aplicar timestamp (Selo Cronológico);
l) Deve suportar cálculo de hash com funções SHA-(1, 256, 384, 512), HMAC(SHA-1, SHA-256, SHA-384, SHA-512);
m) Deve realizar a leitura de certificado nos formatos PEM, DER, PKCS#12 e JKS; n) Deve gerar gerar de chaves nos algoritmos RSA, 3DES e AES;
o) Deve possuir geração de números aleatórios; p) Autenticação com SSLv3;
q) Autenticação Web com Desafio/Resposta 1. Criar um desafio no servidor
r) Assinatura de Formulários Web
1. Ler todos os dados do formulário e criar um XML
2. Selecionar os certificados disponíveis (inclusive em hardware) 3. Assinar os dados com o certificado selecionado
4. Colocar um timestamp com a data e hora da assinatura
5. Criar um pacote PKCS#7 com o XML, o carimbo de tempo (timestamp) e a assinatura ou criar um arquivo XML no padrão XMLDSig;
6. Salvar o PKCS#7 ou XML no padrão XMLDSig no formulário. s) Padrão para criptografia e decriptografia de Formulários Web
1. Implementada com um componente (Applet) e códigos em Javascript, será responsável por facilitar o uso de criptografia em formulários ;
2. O usuário poderá escolher quais serão os certificados de destino para a criptografia; 3. Poderá ser utilizado em conjunto com o de assinatura para a criação de um só pacote
PKCS#7 assinado e criptografado. t) Assinatura de Arquivos no Browser
1. Assinatura digital de arquivos que serão enviados para o servidor web via upload (INPUT TYPE='file');
2. Ler o campo do formulário com o caminho do arquivo no disco; 3. Selecionar os certificados disponíveis (inclusive em hardware); 4. Ler o arquivo e assinar os dados com o certificado selecionado; 5. Colocar um timestamp com a data e hora da assinatura;
6. Criar um pacote PKCS#7 ou XMLDSig com o timestamp e a assinatura; 7. Salvar o PKCS#7 ou XMLDSig no formulário.
u) Criptografia de Arquivos no Browser
1. Encriptar arquivos que serão enviados para o servidor web via upload (INPUT TYPE='file'); 2. Ler o campo do formulário com o caminho do arquivo no disco;
3. Selecionar os certificados disponíveis (inclusive em hardware); 4. Ler o arquivo e encriptar os dados com o certificado selecionado;
