Archivo adjunto de la aclaración Nº 25

MINISTERIO DEL INTERIOR
Montevideo, 10 de Febrero de 2014.
En el marco de la Licitación Pública 20/2013 cuyo objeto es “la adquisición e
implementación de un sistema de emisión de documento de identidad electrónico con
destino a este Inciso en “Modalidad Llave en mano”, se informa que:
CONSULTA 1: Por favor confirmar:
a. la personalización del componente sin contacto para la parte personalización ICAO
será realizada con una conexión hacia la PKI a implementar?
RESPUESTA:Correcto.
b. la personalización del componente contacto por la parte egov será realizada con una
conexión ya existente en la DNIC?
RESPUESTA: La personalización del componente PKI requiere la solicitud de un
certificado electrónico a una CA ya implementada en el Ministerio del Interior. Se
proveerá la conexión física entre DNIC y el Ministerio para realizar esta solicitud.
CONSULTA 2: Durante la personalización del título en modo descentralizado, la
personalización chip sin contacto será realizada a través del material de
personalización, en caso de la personalizaci2ón chip con contacto, esta será realizada
MINISTERIO DEL INTERIOR
también a través del material de personalización o será a través de una etapa siguiente
a través de un lector de mesa.
RESPUESTA: La personalización será realizada en todos los casos a través del sistema
de personalización.
CONSULTA 3: En el Anexo II punto número 13, está mencionado que las impresoras
podrán personalizar las tarjetas rechazadas durante el proceso de personalización,
podés precisar este punto?
RESPUESTA: Este punto refiere a que, de existir un problema en la personalización
que sea detectado automáticamente por lo controles de calidad y provoque el rechazo
del documento, el sistema debe poder volver a imprimir ese documento en forma
automática, es decir, sin intervención explícita de un usuario.
CONSULTA 4: En el Anexo II punto número 9, cuando se hará una personalización
en modo descentralizado, cual es modo operativo para la elección del código PIN para
el ciudadano .
RESPUESTA: El sistema de personalización genera un PIN aleatorio y lo imprime en
un sobre sellado que le es entregado al ciudadano al finalizar su enrolamiento.
MINISTERIO DEL INTERIOR
CONSULTA 5: En la descripción del procediminento futuro de renovación, está
mencionado que el usuario personalizará las aplicaciones del chip de contacto. Con que
componente de la solución este punto será realizado?
RESPUESTA: El procedimiento expuesto en el anexo 2 es ilustrativo, y puede que la
personalización de las aplicaciones
se realizará en forma previa durante el
enrolamiento.
CONSULTA 6: El ancho de banda de la red ya instalada cual servirá a la transferencia
de datos está compatible con la arquitectura pedida en el proyecto?
RESPUESTA: Sí. El Ministerio cuenta con una red privada con suficiente ancho de
banda para las transferencias. Si la solución del proveedor requiere un ancho de banda
mínimo, lo debe especificar.
CONSULTA 7: Podes confirmar si el AFIS actual que esta mantenido en la solución
del proyecto, está ya conectado a un web service? O si lo será ulteriormente y con
cuanto tiempo.
RESPUESTA: La confrontación con el AFIS la realiza el sistema de enrolamiento
actual que ya posee DNIC. La solución del proveedor tomará los datos desde esta
aplicación, por lo que no tendrá necesidad de interactuar con el AFIS.
MINISTERIO DEL INTERIOR
CONSULTA 8: En el artículo 12 está indicando que el sistema será completamente
operacional, 6 meses despúes la orden de compra. Entedemos que se trata de la
personalización centralizada, o nos equivocamos?
RESPUESTA: Es correcto, el plazo de 6 meses es para la implementación del sistema
en las oficinas centrales. Las demás sucursales se irán sumando progresivamente luego
de ésta, pero se deben tener en cuenta en el plan de proyecto.
CONSULTA 9: Han Uds. ya imaginado el plan de descentralización?
RESPUESTA: La implementación del proceso de emisión en las sucursales
secundarias se realizará en forma progresiva en un plazo máximo de 3 meses, pero es
parte del plan que el proveedor debe presentar.
CONSULTA 10: Identificación sobre el componente contacto de la tarjeta. Pueden
confirmar que la aplicación ICAO con una estructura LDS, ya presente en el parte sin
contacto, esta duplicado en la parte contacto?.
RESPUESTA: Es Correcto. La información de la aplicación de identificación del chip
con contacto debe ser la misma que la que está presente en la aplicación ICAO sin
contacto. Sin embargo, no es necesario que se mantengan las estructuras de datos
compatibles con ICAO.
MINISTERIO DEL INTERIOR
CONSULTA 11: La aplicación match on card es una aplicación independiente de las
otras aplicaciones?
RESPUESTA: Sí.
CONSULTA 12: La Administración se reserva el derecho de atribuir el objeto de esta
licitación a la oferta que considera la pertinente para sus intereses pero también de
rechazar a su entera discreción la totalidad de la oferta, Confirman uds. que según sus
intereses el contrato puede ser dividido a varios proveedores? Si positivo la respuesta
según cual criterio?
RESPUESTA: La adjudicación se hace a un único oferente (proveedor único o
consorcio) quedando facultada la Administración de hacer una adjudicación parcial. No
se adjudicará dividido entre varios proveedores el objeto del presente llamado..
CONSULTA 13: Atribución y TO: Cual es el valor del acta de adjudicación, en
comparación con el tiempo de realización cuando el artículo 12 precisa que “ el sistema
deberá ser completamente operacional:::: en un tiempo de 6 meses a partir de la
emisión de la orden de compra”?
RESPUESTA: El acta de adjudicación no es vinculante para el Jerarca. El plazo de 6
meses comienza a regir una vez emitida la orden de compra.
MINISTERIO DEL INTERIOR
CONSULTA 14: Entedemos que las fuente del SDK no deben ser entregadas, estámos
de acuerdo?
RESPUESTA: De acuerdo, se debe entregar el SDK para su uso libre pero no es
necesario entregar los fuentes.
CONSULTA 15: El confrontador, armador del sitio secundario puede manipular las
cartas con o sin chip en el intervalo de 2 personalizaciones de tarjetas?
RESPUESTA: Se valorará que la impresión de tarjetas con chip y sin chip requiera la
menor intervención posible de parte de los operadores.
CONSULTA 16: Esta exigencia es válida para el modo centralizado o desentralizado?
RESPUESTA: Para ambos
CONSULTA 17: Cuales son las características técnicas del papel en cual será impreso
el código pin
RESPUESTA: Estas características son parte de la solución de impresión de PIN, y
por lo tanto deben ser determinadas por el proveedor. Mínimamente se requiere que
sean impresos en sobre sellado que no permita su lectura desde fuera.
CONSULTA 18: La solución de impresión de PIN consiste en una sola máquina que
imprime los correos y que los cierran?
MINISTERIO DEL INTERIOR
RESPUESTA: Sí, pero se debe considerar que habrá mínimamente una solución de
impresión de PIN en la casa central, y potencialmente una en cada Oficina secundaria.CONSULTA 19: Si proponemos un proceso con varias máquinas cuales son las
exigencias imperativas?
RESPUESTA: Reformule su consulta.
CONSULTA 20: Les agradecemos darnos más detalles sobre sus exigencias en cuanto
a la entrega de las tarjetas (correos etc)
RESPUESTA: La entrega de las tarjetas no forma parte del alcance para el proveedor.
Una vez impresas serán enviadas por DNIC.
CONSULTA 21: Debemos preveer un sistema que pega la tarjeta sobre el papel de
envío o entrega de la tarjeta (cédula)
RESPUESTA: Sí, este sistema será implementado únicamente en casa central.
CONSULTA 22: La solución de impresión del correo de las cédulas hechas debe estar
ligado a la máquina de personalización ¿De manera que la operación de
personalización de las cédulas y el correo de envío al ciudadano se hagan de manera
automática?
MINISTERIO DEL INTERIOR
RESPUESTA: No necesariamente, pero se valorará que el proceso tenga la menor
intervención posible por parte de operadores.
CONSULTA 23: Cuales son los criterios que participan a la evaluación de la
modularidad?
RESPUESTA: No hay un criterio cerrado para esto, es simplemente una característica
deseable para el producto.
CONSULTA 24: Entendemos que una vez los card let personalizados hay que ser
capaz de personalizar cinco certificados con 40KO de memoria libre en el chip de
contacto. Pueden confirmarlo?
RESPUESTA: No. Los 40 KB libres son independientes de los 5 certificados. El
objetivo de este punto es tener la posibilidad de agregar alguna aplicación más
adelante.
CONSULTA 25: Cuales son las interacciones y el papel entre la PKI actual del
Ministerio y la que deberá ser implementada?
RESPUESTA:Ningunas. La PKI actual del Ministerio se utiliza para emitir los
certificados para el aplicativo de autenticación y Firma electrónica, mientras que la PKI
a implementar es para la firma de los documentos de viaje ICAO.
MINISTERIO DEL INTERIOR
CONSULTA 26: No hay CVCA ni DV mencionados?
RESPUESTA: Es correcto. Esto es porque se implementará ICAO con perfil BAC. No
estás dentro del alcance implementar EAC, y por lo tanto no se solicita CVCA ni DV.
CONSULTA 27: Debemos preveer una plataforma de supervición de los servicios, o el
Ministerio ya tiene una? (Es decir reporte a los centralizadores de logs o SNMP)
RESPUESTA: El ministerio ya cuenta con plataformas de monitoreo SNMP y
similares (Nagios y Cacti), con las que debe integrarse la solución.
CONSULTA 28: P30 Art. 30: Con el fin de mejorar la seguridad del proceso de
abastecimiento y de optimizar los costos del proyecto es posible proponer un centro
único centralizado de personalización (personalización por lotes) que asegurará la
expedición de las cédulas y los códigos pin?
RESPUESTA: La impresión de cédulas tiene que poder hacerse también en otras
sucursales, no sólo en casa central.
CONSULTA 29: Punto 4: Entendemos que el tiempo de 4 meses vale en relación con
la fecha de validación de las especificaciones del proyecto que incluye la validación de
la concepción de la cédula, es esto?
MINISTERIO DEL INTERIOR
RESPUESTA: El plazo de 4 meses para entregar el sistema funcionando comienza a
correr una vez aprobado el diseño de la nueva cédula.
CONSULTA 30: Punto 9: Entendemos que hay que asociar al ciudadano, la
identificación de los chips con el certificado númerico de su CNIe: esta asociación
puede limitarse a su número de CI que por definción es único.
RESPUESTA: Efectivamente, se debe comunicar al sistema de enrolamiento el
número de chip utilizado para que almacene en su registro. No obstante, el sistema de
personalización también puede almacenar esa asociación como registro, siendo el
número de CI un identificador válido por ser único.
CONSULTA 31: La capacidad de memoria del chip deberá ser tal que despúes de la
personalización con las aplicaciones definidas abajo, y el cargamiento de 5 certificados,
su espacio disponible deberá ser a lo menos de 40KB?
RESPUESTA: La cantidad de 40 KB es aproximada, para dar un entorno, puede ser
entre 35 y 45 KB por ejemplo. La cantidad de datos a almacenar en el chip es la suma de
las cantidades de datos que requiere cada una de las aplicaciones.
MINISTERIO DEL INTERIOR
CONSULTA 32: En lo que se trata del espacio de memoria disponible, pueden
confirmarnos que los 40KB sean redhibitorios? Porque lees llamamos la atención sobre
dos puntos:
- La disponibilidad de una tal cantidad de memoria es relativamente sorprendente si
tomamos en cuenta que el estado de arte compromete los fabricantes sobre 3
componentes. Además según ciertos reportes en la porfesión, particularmente los de
los gobiernos el cargamento de otra aplicación despúes de la emisión de una cédula, es
raramente ejecutado ya casi nunca realizado. Entonces siempre y a fin de optimizar
nuestra colaboración, cuales son las cantidades de datos que deberán estar cargados en
el chip?
RESPUESTA: La cantidad de 40 KB es aproximada, para dar un entorno, puede ser
entre 35 y 45 KB por ejemplo. La cantidad de datos a almacenar en el chip es la suma de
las cantidades de datos que requiere cada una de las aplicaciones.
CONSULTA 33: El sistema de explotación deberá ser abierto y ser disponible con 3
fabricantes de chip distintos, el sistema deberá usar java card, por lo menos versión 3.0
(JCRE) y ser certificado EAL5+ conformemente al menos Common criteria Protección
Profile para Java Cardt TM System.
MINISTERIO DEL INTERIOR
En lo que es Java 3.0 podrían indicarnos si versiones anteriores a este son aceptadas?
Según nuestro criterio esta prerrogativa es mínima en relación con la seguridad exigida,
es decir Java 2.2 no sería aceptado?
Sabiendo que la certificación EAL5+ es obligatorio y debe ser mantenido.
El chip deberá poder soportar la autentificación y la firma electrónica con una llave
RSA de 2048 bits y curvas elípticas de minimum 256 bits, con hashes de por lo menos
SHA-256. Confirman una puesta en marcha inmediata de las curvas elípticas en la
aplicación de la firma electrónica? Y no en la aplicación de identidad?
Porque esta solución es bastante dificil a generalizar en el comienzo de un tal proyecto
de gobierno, según nuestra experiencia no esta prevista al comienzo pero si esta
prevista para una puesta en marcha futura, cual es su idea en cuanto a este punto?
Podemos pensar en una subida en gama? Lo decimos únicamente por un tema
financiero.
RESPUESTA: Respecto al JavaCard, es aceptable usar la 2.2 siempre y cuando se
garantice que se cumple con todos los requerimientos del llamado. La aplicación de
identificación no utiliza claves, es simplemente para leer en forma automática los datos
del ciudadano. Respecto a la aplicación de Autenticación y Firma Electrónica,
MINISTERIO DEL INTERIOR
actualmente en Uruguay está estandarizado de facto RSA, pero desde la unidad
reguladora se quiere promover el uso de curvas elípticas a nivel de suscriptores finales
(ciudadanos). En este sentido, si no se incluye el soporte para curvas elípticas desde el
inicio, se debe especificar con especial claridad las implicancias de la realización de una
subida de gama posterior para soportarlas (renovación de tarjetas, de software, etc.)