Disposición 1/2014

Texto Original

JEFATURA DE GABINETE DE MINISTROS

SECRETARIA DE GABINETE Y COORDINACION ADMINISTRATIVA

SUBSECRETARIA DE TECNOLOGIAS DE GESTION

OFICINA NACIONAL DE TECNOLOGIAS DE INFORMACION

Disposición Nº 1/2014

Bs. As., 7/7/2014

VISTO el Expediente CUDAP: EXP-JGM:0014954/2014, el Decreto Nº 624 defecha 21 de agosto de 2003 y sus modificatorios, las Resoluciones Nº 41del 2 de diciembre de 2001 y Nº 27 del 30 de abril de 2002 de la exSUBSECRETARIA DE LA GESTION PUBLICA de la JEFATURA DE GABINETE DEMINISTROS, y la Disposición Nº 1 del 24 de Julio de 2013 de la OFICINANACIONAL DE TECNOLOGIAS DE INFORMACION de la SUBSECRETARIA DETECNOLOGIAS DE GESTION, de la entonces SECRETARIA DE GABINETE, de laJEFATURA DE GABINETE DE MINISTROS, y

CONSIDERANDO:

Que por el Artículo 1° de la Disposición Nº 1 del 24 de Julio de 2013de la OFICINA NACIONAL DE TECNOLOGIAS DE INFORMACION de laSUBSECRETARIA DE TECNOLOGIAS DE GESTION de la SECRETARIA DE GABINETE YCOORDINACION ADMINISTRATIVA de la JEFATURA DE GABINETE DE MINISTROS seaprobaron los “Estándares Tecnológicos para la Administración PúblicaNacional” (ETAPS) Versión 19.0, en materia de tecnologías deinformación y comunicaciones asociadas.

Que dichos estándares deben ser objeto de revisión periódica, de modode garantizar que sus contenidos reflejen los últimos adelantos en lamateria.

Que conforme a la normativa de aplicación, en particular el Decreto Nº624/03 y sus modificatorios, compete a esta Oficina Nacional manteneractualizados los estándares sobre tecnologías en materia informática,teleinformática o telemática, telecomunicaciones, ofimática o burótica.

Que por el Artículo 1° de la Resolución Nº 27/02 de la ex SUBSECRETARIADE LA GESTION PUBLICA se facultó a la OFICINA NACIONAL DE TECNOLOGIASDE INFORMACION a aprobar las especificaciones técnicas de los distintosítems que componen los “Estándares Tecnológicos para la AdministraciónPública Nacional” (ETAPS) que reemplacen en forma total o parcial a losvigentes, de acuerdo a lo reglamentado por la Resolución Nº 41/01 de laex SUBSECRETARIA DE LA GESTION PUBLICA.

Que la SUBSECRETARIA DE TECNOLOGIAS DE GESTION de la SECRETARIA DEGABINETE Y COORDINACION ADMINISTRATIVA de la JEFATURA DE GABINETE DEMINISTROS ha tomado la intervención de su competencia.

Que la DIRECCION GENERAL DE ASUNTOS JURIDICOS de la SUBSECRETARIA DECOORDINACION ADMINISTRATIVA de la SECRETARIA DE GABINETE Y COORDINACIONADMINISTRATIVA de la JEFATURA DE GABINETE DE MINISTROS ha tomado laintervención de su competencia.

Que la presente se dicta en virtud de las facultades conferidas por elartículo 1° de la Resolución Nº 27/02 de la ex SUBSECRETARIA DE LAGESTION PUBLICA de la JEFATURA DE GABINETE DE MINISTROS.

Por ello,

EL DIRECTOR NACIONAL DE LA OFICINA NACIONAL DE TECNOLOGIAS DE INFORMACION

DISPONE:

ARTICULO 1° — Actualízase los “Estándares Tecnológicos para laAdministración Pública Nacional” (ETAPS) Versión 19.0 que como Anexoforma parte integrante de la presente, en lo vinculado a los elementosde seguridad identificados con los Códigos SEG-001 y SEG-002, aprobadospor la Disposición Nº 1 del 24 de Julio de 2013 de la OFICINA NACIONALDE TECNOLOGIAS DE INFORMACION de la SUBSECRETARIA DE TECNOLOGIAS DEGESTION de la SECRETARIA DE GABINETE Y COORDINACION ADMINISTRATIVA dela JEFATURA DE GABINETE DE MINISTROS.

ARTICULO 2° — El equipamiento, las tecnologías, las guías ylineamientos y los modelos de pliegos no incluidos en el referidoAnexo, y que fueran aprobados por Disposición ONTI Nº 1/13, mantienensu código, nombre, vigencia y especificación técnica.

ARTICULO 3° — Las actualizaciones referidas en el artículo 1° de lapresente medida, serán de aplicación en toda la Administración PúblicaNacional, tanto centralizada como descentralizada, empresas depropiedad del Estado o en las que éste tenga mayoría accionaria, bancosoficiales y Fuerzas Armadas y de Seguridad, con la única salvedad delos organismos comprendidos en el Sistema Científico Nacional.

ARTICULO 4° — A partir de la entrada en vigencia de la presentedisposición, los organismos comprendidos dentro de su ámbito deaplicación deberán dar cumplimiento a las especificaciones técnicasestablecidas para todas las compras y contrataciones que se propongancelebrar en materia de tecnologías de información y comunicacionesasociadas.

ARTICULO 5° — Las actualizaciones referidas en el artículo 1° de lapresente medida, se publicarán en el sitio web de la JEFATURA DEGABINETE DE MINISTROS (www.jefatura.gov.ar) a fin de facilitar suutilización por parte de los distintos usuarios.

ARTICULO 6° — La presente Disposición entrará en vigencia a partir del día siguiente al de su publicación.

ARTICULO 7° — Comuníquese, publíquese, dése a la DIRECCION NACIONAL DELREGISTRO OFICIAL y archívese. — PEDRO JANICES, Director Nacional,Oficina Nacional de Tecnologías de Información.

ANEXO

ELEMENTOS DE SEGURIDAD (SEG-E)

Tabla de Contenidos

Elementos de Seguridad (SEG-E)

Tabla de Contenidos

Indice de Códigos

Consideraciones Preliminares

Dispositivos Criptográficos - TOKEN (Windows)

Dispositivos Criptográficos - TOKEN (Linux)

Indice de Códigos

SEG-001

SEG-002

Consideraciones Preliminares

Las páginas siguientes contienen los pliegos de especificacionestécnicas que deberán utilizarse para la adquisición de equipamiento. Elorganismo deberá completar el mismo del siguiente modo:

1. Se deberán elegir los opcionales (ver más abajo, en “Notas”, lasconsideraciones sobre los tipos de opcionales q y m) que más se adecuena las necesidades del organismo, eliminando aquellas especificacionesno seleccionadas. Por ejemplo:

2. Las especificaciones no deben ser transcriptas al pie de la letra,puesto que contienen comentarios para la realización del pliegodefinitivo que no deben figurar en la especificación final. A modo deejemplo, debajo figuran en color rojo aquellos textos que no debenincluirse en la versiónfinal:

a. Notas: [Nota: Un escáner de 30 ppm se debería considerar para grandes volúmenes de trabajo...];

c. Secciones en las que se debe completar con información: [...el edificio sede de ... (ORGANISMO)... sito en ...(DIRECCIÓN)... de esta Capital Federal...].

Notas:

Se recuerda tener en cuenta las siguientes consideraciones:

Dispositivos Criptográficos - TOKEN (Windows)

SEG-001

Dispositivos criptográficos con las siguientes características:

Presentación:

√Carcasa de protección compuesta de un material robusto, resistente alagua y firmemente sellado a fin de no permitir el ingreso de líquidos.√ Características de ‘tamper-evident’.√ Interfase USB estándar tipo A, versión 1.1 o superior.√ Debe tener un LED indicador de actividad.

Características Técnicas:

√ Tecnología Plug-and-Play para facilitar su utilización con aplicaciones cliente.√Debe permitir implementar ‘Doble Factor’ de autenticación, es decir quees necesario a tal fin poseer el dispositivo criptográfico y unacontraseña.√ Autenticación interna (on-board).√ Permitir la obtención del número de serie del dispositivo criptográfico mediante la API PKCS# 11.Nota para los organismos: En el marco de la Infraestructura de FirmaDigital creada por la Ley Nº 25.506 y sus normas complementarias, lacertificación FIPS 140-2 Nivel1/2 o superior puede ser requerida enalgunas Políticas de Certificación, por lo que si el uso al que sedestinará el TOKEN se encuentra entre los establecidos por lasreferidas normas, este opcional debe incluirse en la especificacióntécnica. Si el dispositivo se utilizará como un simple dispositivocriptográfico, este opcional no es obligatorio.

Aplicaciones Soportadas:

√ Windows logon (opcional)√ Clientes de e-mail:

- Microsoft Outlook / Outlook Express & Internet Explorer,

Especificaciones Técnicas del producto:

√ Plataformas soportadas

- Windows Vista/7/8/8.1 o superior

- Windows 2003/2008 Server R2 o superior

√ APIs y estándares soportados

- PKCS#11 v2.01 o superior,

- Microsoft Crypto API (CAPI) 2.0 o superior,

- Microsoft PC/SC (Personal Computer Smart Card),

- SSL v3,

- IPSec/IKE

√ Tamaño de memoria de al menos 32 Kbytes.√ Deberá soportar las siguientes funciones criptográficas (on board)

- Algoritmo de Generación Aleatoria de Números (RNG)

√ La generación aleatoria de números debe realizarse por hardware e internamente en el dispositivo.

Nota para los organismos: La opción de que el Generador de NúmerosAleatorios (RNG) esté certificado por FIPS-186-2 brinda mayor seguridaden el caso de que se opere con claves asimétricas del tipo DSA, ya queen este caso, un RNG vulnerable compromete la clave privada. Por lotanto, salvo en entornos donde la seguridad es crítica, seleccionaresta opción podría restringir innecesariamente el espectro de oferentesposibles.

- Generación interna, operación, almacenamiento y administración declaves criptográficas asimétricas del tipo RSA (1024 bits o superior),DSA o superior.

- Generación de claves simétricas: Generación interna, y operación declaves criptográficas simétricas del tipo Triple DES, AES o superior.

- Almacenamiento de certificados X509v3.

- Capacidad de exportación de Certificados Digitales x509 v3

- Algoritmo de Hash: Funciones de hash seguro del tipo SHA-1, SHA-2, o superior.

Características administrativas y de uso:

√ Losdispositivos deberán contar con sus respectivas licencias de uso (decorresponder) y los correspondientes drivers y aplicativos necesariospara su funcionamiento. √Deberá contar con software asociado que permita definir usuariosadministradores y usuarios comunes, formateo del dispositivo pararestaurar a valores de fábrica.√ No deberá tener posibilidad de exportar la clave privada, ni hacer copias de la misma.

OTRAS:

Deberá ser un producto vigente, con soporte técnico y no poseer fechade discontinuidad de fabricación al momento de efectuarse lapresentación de solicitud de homologación.

El oferente deberá garantizar también soporte de actualización de losdrivers y firmware del dispositivo, sin costo alguno para el organismo,durante un período no inferior a años a partir de lafecha de compra del mismo.

El oferente deberá brindar servicio de soporte a los usuarios poseedores de dispositivos.

Deberá tratarse de dispositivos criptográficos del fabricante cuyamarca y modelo y versión de hardware y firmware coincida con la marca,y modelo y versión declarada en las correspondientes CertificacionesFIPS 140, no pudiendo ser dispositivos criptográficos del tipo OEM(Original Equipment Manufacturer).

El oferente deberá entregar el software, los manuales y demásdocumentación, preferentemente en idioma español, o en su defecto, enidioma Inglés.

Adicionalmente, el oferente deberá acompañar:

• Detalle de los números de serie de los dispositivos criptográficosque componen cada uno de los lotes reservados por el fabricante,incluyendo además de los números de serie, la marca, modelo, versión de“software”, de “firmware” y de “hardware”, así como el número decertificación FIPS correspondiente.

• Declaración debidamente firmada por el proveedor señalando que poseela capacidad de brindar soporte técnico a los usuarios de losdispositivos criptográficos comercializados por un período no inferiora TRES (3) años.

• Nota original del fabricante de los dispositivos la que, de tratarsede persona extranjera, deberá contar con la pertinente legalizaciónconsular o, en su caso con la apostilla, conforme a la Convención de LaHaya, según el siguiente texto:

“Por cuanto [indicar apellido ynombre completo del fabricante], en el carácter de fabricante de losDispositivos Criptográficos marca [indicar marca] modelo [indicarmodelo] y sus licencias de “software” correspondientes, con domicilioen [agregar dirección completa del fabricante], por medio de lapresente informamos a Uds. que hemos procedido a reservar inicialmentepara la Infraestructura de Firma Digital de la República Argentina y/olos usuarios finales ante la Infraestructura de Firma Digital de laRepública Argentina, cuyos números de serie están incluidos en el siguiente rango [ingresar el rango].

Asimismo, por la presente autorizamosa [nombre del solicitante que pretende su incorporación comoproveedor], con domicilio en [indicar dirección completa delsolicitante en la República Argentina] a comercializar en la RepúblicaArgentina a los usuarios finales ante cualquier entidad que conforme laInfraestructura de Firma Digital de la República Argentina solamentelos dispositivos criptográficos Marca ........ Modelo ........, cuyosnúmeros de serie se encuentren comprendidos dentro del rango descriptoanteriormente como lote reservado para la Infraestructura de FirmaDigital de la República Argentina, así como a prestar los servicios desoporte técnico de dichos dispositivos”.

• Modalidad mediante la cual brindará soporte técnico a los usuarios de los dispositivos criptográficos comercializados.

Dispositivos Criptográficos - TOKEN (LINUX)

SEG-002

Dispositivos criptográficos con las siguientes características:

Presentación:

√Carcasa de protección compuesta de un material robusto, resistente alagua y firmemente sellado a fin de no permitir el ingreso de líquidos.√ Características de ‘tamper-evident’.√ Interfase USB estándar tipo A, versión 1.1 o superior.√ Debe tener un LED indicador de actividad.

Características Técnicas:

√ Tecnología Plug-and-Play para facilitar su utilización con aplicaciones cliente.√Debe permitir implementar ‘Doble Factor’ de autenticación, es decir quees necesario a tal fin poseer el dispositivo criptográfico y unacontraseña.√ Autenticación interna (on-board).√ Permitir la obtención del número de serie del dispositivo criptográfico mediante la

API PKCS# 11.

Nota para los organismos: En el marco de la Infraestructura de FirmaDigital creada por la Ley Nº 25.506 y sus normas complementarias, lacertificación FIPS 140-2 Nivel 1/2 o superior puede ser requerida enalgunas Políticas de Certificación, por lo que si el uso al que sedestinará el TOKEN se encuentra entre los establecidos por lasreferidas normas, este opcional debe incluirse en la especificacióntécnica. Si el dispositivo se utilizará como un simple dispositivocriptográfico, este opcional no es obligatorio.

Especificaciones Técnicas del producto:

√ Plataformas soportadas

- Linux

√ APIs y estándares soportados

- PKCS#11 v2.01 o superior,

- SSL v3,

- IPSec/IKE

√ Tamaño de memoria de al menos 32 Kbytes.√ Deberá soportar las siguientes funciones criptográficas (on board)

- Generación interna, operación, almacenamiento y administración declaves criptográficas asimétricas del tipo RSA (1024 bits o superior),DSA o superior.

- Generación de claves simétricas: Generación interna, y operación declaves criptográficas simétricas del tipo Triple DES, AES o superior.

- Almacenamiento de certificados X509v3.

- Capacidad de exportación de Certificados Digitales x509 v3.

- Algoritmo de Hash: Funciones de hash seguro del tipo SHA-1, SHA-2, o superior.

- Algoritmo de Generación Aleatoria de Números (RNG).

√ La generación aleatoria de números debe realizarse por hardware e internamente en el dispositivo.

Nota para los organismos: La opción de que el Generador de NúmerosAleatorios (RNG) esté certificado por FIPS-186-2 brinda mayor seguridaden el caso de que se opere con claves asimétricas del tipo DSA, ya queen este caso, un RNG vulnerable compromete la clave privada. Por lotanto, salvo en entornos donde la seguridad es crítica, seleccionaresta opción podría restringir innecesariamente el espectro de oferentesposibles.

Características administrativas y de uso:

√Los dispositivos deberán contar con sus respectivas licencias de uso(de corresponder) y los correspondientes drivers y aplicativosnecesarios para su funcionamiento.√Deberá contar con software asociado que permita definir usuariosadministradores y usuarios comunes, formateo del dispositivo pararestaurar a valores de fábrica.√ No deberá tener posibilidad de exportar la clave privada, ni hacer copias de la misma.

OTRAS:

Deberá ser un producto vigente, con soporte técnico y no poseer fechade discontinuidad de fabricación al momento de efectuarse lapresentación de solicitud de homologación. El oferente deberágarantizar también soporte de actualización de los drivers y firmwaredel dispositivo, sin costo alguno para el organismo, durante un períodono inferior a años a partir de la fecha de compra delmismo.

El oferente deberá brindar servicio de soporte a los usuarios poseedores de dispositivos.

Deberá tratarse de dispositivos criptográficos del fabricante cuyamarca y modelo y versión de hardware y firmware coincida con la marca,y modelo y versión declarada en las correspondientes CertificacionesFIPS 140, no pudiendo ser dispositivos criptográficos del tipo OEM(Original Equipment Manufacturer).

El oferente deberá entregar el software, los manuales y demásdocumentación, preferentemente en idioma español, o en su defecto, enidioma Inglés.

Adicionalmente, el oferente deberá acompañar:

• Detalle de los números de serie de los dispositivos criptográficosque componen cada uno de los lotes reservados por el fabricante,incluyendo además de los números de serie, la marca, modelo, versión de“software”, de “firmware” y de “hardware”, así como el número decertificación FIPS correspondiente.

• Declaración debidamente firmada por el proveedor señalando que poseela capacidad de brindar soporte técnico a los usuarios de losdispositivos criptográficos comercializados por un período no inferiora TRES (3) años.

• Nota original del fabricante de los dispositivos la que, de tratarsede persona extranjera, deberá contar con la pertinente legalizaciónconsular o, en su caso con la apostilla, conforme a la Convención de LaHaya, según el siguiente texto:

“Por cuanto [indicar apellido ynombre completo del fabricante], en el carácter de fabricante de losDispositivos Criptográficos marca [indicar marca] modelo [indicarmodelo] y sus licencias de “software” correspondientes, con domicilioen [agregar dirección completa del fabricante], por medio de lapresente informamos a Uds. que hemos procedido a reservar inicialmentepara la Infraestructura de Firma Digital de la República Argentina y/olos usuarios finales ante la Infraestructura de Firma Digital de laRepública Argentina, cuyos números de serie están incluidos en elsiguiente rango [ingresar el rango].

Asimismo, por la presente autorizamosa [nombre del solicitante que pretende su incorporación comoproveedor], con domicilio en [indicar dirección completa delsolicitante en la República Argentina] a comercializar en la RepúblicaArgentina a los usuarios finales ante cualquier entidadque conforme la Infraestructura deFirma Digital de la República Argentina solamente los dispositivoscriptográficos Marca… Modelo… cuyos números de serie se encuentrencomprendidos dentro del rango descripto anteriormente como lotereservado para la Infraestructura de Firma Digital de la RepúblicaArgentina, así como a prestar los servicios de soporte técnico dedichos dispositivos”.

• Modalidad mediante la cual brindará soporte técnico a los usuarios de los dispositivos criptográficos comercializados.

e. 14/07/2014 Nº 48670/14 v. 14/07/2014