Encargo a la Sociedad Andaluza para el Desarrollo de las Telecomunicaciones S.A. (SANDETEL) el servicio de oficina de apoyo a la ciberseguridad en la Agencia de Medio Ambiente y Agua de Andalucía

El servicio de apoyo a la ciberseguridad en la Agencia realizará al menos las siguientes tareas:

• AndalucíaCert: atención, análisis, gestión, tramitación y finalización de incidentes de seguridad TIC reportados a través de la herramienta LUCIA.
• Incidencias: atención, gestión, tramitación y finalización de incidentes de seguridad TIC reportados a través de la herramienta de tickets interna de la Agencia.
• Firewall: bastionado completo, revisión continua de reglas, objetos y visibilidades en firewall (actualmente Fortinet). Propuestas e implantación de mejoras.
• Proxy: revisión continua de reglas, objetos y visibilidades en proxy web (actualmente Fortinet). Propuestas e implantación de mejoras.
• Antivirus y EDR: revisión continua de configuración y alertas, despliegues. La herramienta actual es Sophos Central/EDR. Propuestas e implantación de mejoras.
• Herramientas CCN-CERT y AndaluciaCERT: gestión y uso de todas las herramientas necesarias (INES, Microclaudia, Clara, Pilar, Reyes, etc.).
• Herramientas de apoyo a la ciberseguridad: gestión y uso de las herramientas existentes en la Agencia, tales como Sistema de gestión de eventos de seguridad (SIEM), Sistema de prevención de pérdida de datos (DLP), Gestión de identidades (IM), Análisis de vulnerabilidades, Control de acceso a red (NAC), etc.
• GPO: creación, control, revisión, actualización, pruebas y despliegue de políticas de grupo en Directorio Activo.
• Políticas de seguridad en entornos Linux/HPUX: creación, control, revisión, actualización, pruebas y despliegue de políticas.
• Revisión de software: inventario, revisión del software instalado respecto a las licencias disponibles (actualmente herramientas OCS, Lansweeper).
• RCJA: revisión de visibilidades existentes desde Red Corporativa y desde Internet.
• Actualización equipos de usuarios: aprobación de parches, revisión y corrección en caso de incidencias.
• Actualización de servidores (Windows, Linux, HPUX): aplicación de parches, revisión y corrección en caso de incidencias.
• Reportes Abuse: reporte de SPAM y phishing de correo a Abuse, análisis previo y posibles medidas a acometer.
• Revisión de cuentas Directorio Activo: revisión de cuentas obsoletas, caducadas, deshabilitadas, bajas de usuarios.
• Revisión de cuentas Directorio Corporativo JA: revisión de cuentas obsoletas, caducadas, deshabilitadas, bajas de usuarios.
• Adecuación al ENS: revisión de los trabajos ya realizados en la Agencia, elaboración de una propuesta de adecuación al ENS, ejecución proyectos necesarios para la adecuación.
• Revisión y actualización, si procede, de la normativa en materia de ciberseguridad: políticas, normas, procedimientos, instrucciones y otra documentación de gestión en materia de ciberseguridad. Si se considera oportuno, toda la revisión normativa contará con la colaboración del Delegado de Protección de Datos de la Agencia, de forma que todas las metodologías y normativas en materia de ciberseguridad consideren ambos ámbitos, ENS y LOPDGG.
• Inventario de activos TI: creación y mantenimiento, revisión y ajuste de la categorización de activos, así como generar el listado de sistemas que exige el ENS.
• Revisión de plan de mejora de la ciberseguridad.
• Revisión y actualización de las métricas e indicadores de seguridad aplicables incluyendo, como mínimo, los necesarios para cumplimentar el informe INES y otros equivalentes que se definan a nivel andaluz.
• Preparación, apoyo y asesoramiento al Responsable de Seguridad para las reuniones del Comité de Seguridad de la Información de la Agencia.
• Apoyo a la auditorías y declaraciones de conformidad que la Agencia requiere en materia de ciberseguridad: ENS, ISO27002, … Si la Agencia dispone de sistemas de categoría media y/o alta, se apoyará en las labores de preparación de la auditoría requerida por el ENS. Las tareas descritas NO incluyen la realización de las auditorías.
• Apoyo y asesoramiento al Delegado de Protección de Datos: revisión y actualización, si procede, del registro de actividades de tratamiento; apoyo y asesoramiento para atender las solicitudes de la ciudadanía; revisión de los contratos de encargado del tratamiento relacionados con la Agencia; apoyo y asesoramiento para la realización de evaluaciones de impacto.
• Seguridad TIC en el desarrollo: revisión y asesoramiento en diseño seguro de aplicaciones (aplicación de OWASP y otras guías del CCN-Cert).
• Apoyo y asesoramiento para la obtención del certificado profesional exigido al Responsable de Seguridad.
• Formación y concienciación de usuarios y técnicos. Apoyo y asesoramiento en el diseño y la planificación de un conjunto de actividades de formación y concienciación de los usuarios, técnicos y responsables de la Agencia.
• Otras tareas relacionadas con la ciberseguridad y la protección de datos.