Timbre

SERVIÇO PÚBLICO FEDERAL

MSP - POLÍCIA FEDERAL

SERVIÇO DE SUPORTE TÉCNICO - SST/DINF/DTI/PF

 

NOTA TÉCNICA N° 8330716/2018-SST/DINF/DTI/PF

 

PROCESSO Nº 08206.300186/2016-75

Interessado:   THALES GROUP.

                        FABIO BERNARDES.

 

 Referência:    Audiência Pública nº 001/2018-DTI/PF, de 24 de abril de 2018.

              Caderno de Especificações ABIS - Nota Técnica nº 5899965-DTI/PF.

              Processo Administrativo nº 08206.300186/2016-75.

                        E-mail Perguntas - Empresa Thales (SEI nº 6548424)

 

1.      OBJETIVO

1.1.            A presente Nota Técnica visa esclarecer os questionamentos apresentados pelo interessado, em relação às exigências e especificações contidas no Caderno de Especificações dos Requisitos Funcionais e Técnicos do ABIS - Nota Técnica nº 5899965-DTI/PF, e avaliar a conveniência da Administração em atender ou não a(s) sugestão(ões) de alteração(ões) da redação original, com o objetivo de manter ou incrementar, na seguinte ordem de priorização: a acurácia do sistema, a adequação das funcionalidades às atividades a serem desenvolvidas, a eficiência do sistema e ampliar o número de fornecedores possíveis.

2.      QUESTIONAMENTOS E ANÁLISE

2.1.            Conforme acordado na Audiência Pública nº 001/2018-DTI/PF, o interessado no certame, Sr. Fabio Bernardes, representando a(s) empresa(s) Thales Group, apresentou os seguintes questionamentos:

- No item 6.1.10 – “Módulo de Monitoramento”, sugerimos alterar o título para “6.1.10 – Módulo de Monitoramento e Proteção de Dados Sensíveis (cybersegurança)”.

2.2.            O item 3.1.7 Segurança da Informação do Caderno de Especificações ABIS, já aborda aspectos de proteção dos dados. Dessa forma, a sugestão é indeferida.

- No item 6.1.10, incluir especificação técnica que trate da proteção dos dados biométricos e biográficos armazenados nos sistema ABIS, baseado na justificativa abaixo:

Tomamos a liberdade de propor uma solução de criptografia e controle dos acessos à tal informação, face a experiência da Thales em projetos de similar ou ainda maior complexidade, por exemplo proteção de transações bancárias, mercado onde a Thales é líder mundial. Nossa expectativa é apresentar um controle eficiente para proteção dos dados biométricos e biográficos (“dados sensíveis”) do sistema ABIS, garantindo o uso dos mesmos dentro dos procedimentos autorizados pela DPF e evitar assim o seu uso indevido, dentro de um valor de investimento relativamente superficial em relação ao investimento total esperado para o Projeto. Atualmente, os custos associados ao vazamento de informações sensíveis são muito altos, tanto os tangíveis (sistemas sequestrados fora de operação, restauração de ambientes e de bases de dados, gastos com processos civis e criminais, ...) quanto os intangíveis (imagem da organização,...).

Desta forma, seguem nossas recomendações:

= sugerimos incluir como segundo parágrafo no item 6.1.10

“- A solução proposta deve incluir componente para proteção de dados sensíveis – biométricos e biográficos, contemplando quaisquer dados armazenados no Sistema Operacional das estações/sítios relacionados diretamente ao Sistema ABIS, através de uma abordagem de criptografia transparente, com o objetivo de introduzir um controle eficiente para a proteção dos dados biométricos e biográficos e garantir o uso dos mesmos dentro dos procedimentos autorizados pela DPF e evitar seu uso indevido como o vazamento e manipulação dos mesmos”.

= Como “Requisitos técnicos e funcionais”, sugerimos incluir no item 6.1.10:

“Proteção de Dados Sensíveis:

Um agente de software deve ser adicionado ao Sistema Operacional de cada estação para monitorar todas as chamadas de E/S no sistema de arquivos, autorizando somente as operações previamente configuradas para realização por um usuário e aplicação específicos. Em outras palavras, somente a aplicação autorizada poderá escrever nas pastas designadas para armazenar os arquivos (de vídeo, texto, etc.), com as credenciais do usuário autorizado, podendo ser um usuário de sistema (nem mesmo superusuários, como administradores, poderão contornar este controle).

Para consulta pelo sistema central, as operações de leitura podem ser designadas para uma outra aplicação, com credenciais de outro usuário, controlando e monitorando o acesso aos arquivos.

Tentativas de acesso não autorizados são reportados através de protocolo syslog para sistemas do tipo SIEM usado pela DPF.

A implementação deve ser realizada através de “configuração” e “parametrização”, sem necessidade de nenhuma customização das aplicações em nível de código e sem comprometimento dos níveis de serviço de performance e disponibilidade definidos nesta especificação.

Módulos mínimos a serem incluídos na solução de proteção de dados sensíveis:

- Módulo Gerenciador de Segurança

Sistema que centraliza as funções de gerenciamento de chaves criptográficas (key management) em harmonia com as melhores práticas do mercado para segurança de chaves criptográficas (FIPS 140-2 L3). Concentra também as configurações dos parâmetros operacionais para os agentes de criptografia transparente, incluindo mapeamento das pastas protegidas, identificação dos programas e usuários autorizados, além dos tipos de operação autorizada para cada usuário nas pastas e arquivos protegidos.

Especificações técnicas:

- Interface administrativa: Secure Web, CLI, SOAP, REST

- Suporte API: PKCS #11, Microsoft Extensible Key Management (EKM), SOAP, REST

- Autenticação de Segurança: Username/Password, RSA multi-factor authentication (opcional)

- Suporte a plataforma de virtualização: VMWare, Hyper-V e ‘ bare metal’ via IBM SoftLayer

- Gestão de redes: SNMP, NTP, Syslog-TCP

- Formato Syslog: CEF, LEEF, RFC 5424.

- Certificações e validações: FIPS 140-2 Level 3

- Suporte Multi-tenancy

- Módulo de Criptografia Transparente

Agente de software a ser adicionado ao Sistema Operacional de cada estação/sítio, para monitoramento das operações de E/S ao sistema de arquivos. Este agente receberá as chaves de operação (“working Keys”) do Módulo Gerenciador de Segurança, bem como as regras de operação e políticas de controle de acesso. Tentativas de acesso não autorizado serão identificadas por este agente e enviadas ao Módulo Gerenciador de Segurança, para repasse ao sistema SIEM.

Especificações técnicas:

- Plataformas suportadas: Microsoft Windows Server 2008, 2012 e 2016, Red Hat Enterprise Linux (RHEL), SuSE Linux Enterprise Server & Ubuntu

- Bancos de dados suportados:Microsoft SQL Server, MySQL, NoSQL, Oracle, Sybase.

- Suporte a Containers: Docker, Red Hat Open Shift

- Certificações e Validações: FIPS 140-2 Level 1

- Suporte a chaves criptográficas: AES128, AES256, ARIA128, ARIA256, and 3DES

- Autenticação via Lightweight Directory Access Protocol (LDAP) e Active Directory (AD)”

Sem mais, ficamos a disposição de V.Sas. para realizar uma reunião de detalhamento de nossa visão e sugestão sobre a implementação desta tecnologia de proteção de dados sensíveis, atualmente em uso por organizações bancárias em todo o mundo e por outras sujeitas à regulações fortes como as do mercado norte americano e europeu (ex. GDPR)..

 

2.3.            Os parâmetros de segurança mínimos exigidos para a plataforma de identificação biométrica estão definidos nos itens 3.1.7 Segurança da Informação, 6.1.10. Módulo de Monitoramento, 6.1.14. Gerenciamento e Auditoria e respectivos subitens. A ferramenta de segurança proposta não é um recurso integrante da solução ABIS, a qual pretende-se adquirir. Adotar ferramenta desta natureza faz parte de escopo divergente do ora discutido, envolve outros aspectos de segurança da informação e não está restrito às estações de trabalho utilizadas no sistema de comparação biométrica.

2.4.            As especificações de segurança, monitoramento e auditoria apresentados no Caderno de Especificações dos Requisitos Funcionais e Técnicos do ABIS, ora em questionamento, são complementares a outros recursos e políticas de segurança que são aplicadas ao parque computacional da PF. Dessa forma, as sugestões de alterações são indeferidas.

3.      CONCLUSÃO

3.1.            Devidamente prestados os esclarecimentos e sem alterações a serem produzidas no Caderno de Especificações dos Requisitos Funcionais e Técnicos do ABIS, encerra-se a presente Nota Técnica.

 

 


logotipo

Documento assinado eletronicamente por SERGIO RAMALHO REZENDE, Perito(a) Criminal Federal, em 20/09/2018, às 17:18, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.


logotipo

Documento assinado eletronicamente por CLAUBER FRANCO MIRANDA, Papiloscopista Policial Federal, em 24/09/2018, às 16:06, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.


logotipo

Documento assinado eletronicamente por ANDRE LUIZ DE ALMEIDA PORTO, Papiloscopista Policial Federal, em 24/09/2018, às 16:15, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.


logotipo

Documento assinado eletronicamente por ALESSANDRO ORTEGA AMARAL, Papiloscopista Policial Federal, em 25/09/2018, às 11:24, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.


logotipo

Documento assinado eletronicamente por EDUARDO ALEX PEIXOTO RUIZ, Perito(a) Criminal Federal, em 25/09/2018, às 17:39, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.


logotipo

Documento assinado eletronicamente por LUIZ CARLOS ALVES DE MORAIS, Agente Administrativo, em 26/09/2018, às 14:25, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.


QRCode Assinatura

A autenticidade deste documento pode ser conferida no site http://sei.dpf.gov.br/sei/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 8330716 e o código CRC C091D88E.




Referência: Processo nº 08206.300186/2016-75 SEI nº 8330716