Concurso para un nuevo Centro de Soporte de Seguridad informática externalizado del SERMAS: el CESEAS-CERT

Recientemente se ha publicado en el BOCM (nº 144 de 18/6 /2010) la convocatoria de licitación por parte de la Consejería de Sanidad del contrato de servicios denominado "Servicios de despliegue y gestión del centro de soporte especializado en el área de seguridad de sistemas y tecnologías de la información del Servicio Madrileño de Salud (CESEAS-CERT)>" especificándose que el contrato tendrá una duración de 24 meses y un presupuesto base de más de 2 millones de euros (2.226.400 euros).

Recordemos que a finales de 2008 se adjudicó a Indra por 686 mil euros en 2 años, renovables a otros 2, un contrato de servicios de gestión y soporte centralizado en el área de la seguridad informática del Servicio Madrileño de Salud cuyos pliegos de condiciones ya comentamos aquí.

Según los pliegos de condiciones del nuevo concurso, se tiene como objeto contratar "los Servicios de Despliegue y Gestión para la puesta en marcha y explotación de un Centro de Soporte especializado en el Área de Seguridad de sistemas y tecnologías de la información del Servicio Madrileño de Salud", centro que se denominará CESEAS-CERT y que será de la competencia de la Dirección General de Sistemas de Información Sanitaria del SERMAS [DGSIS].

El pliego de condiciones técnicas aclara que el futuro CESEAS será un "instrumento de prevención, detección, respuesta a amenazas e incidentes de seguridad" y el "órgano responsable de la coordinación e implantación de políticas y medidas de seguridad de la organización, prestando a los diferentes centros dependientes de la Consejería de Sanidad, una serie de servicios tanto reactivos, como preventivos, con el objetivo de impulsar y dar soporte a la implantación de las medidas de seguridad por parte de dichos centros".

Según dicho pliego, la DGSIS "desea evolucionar el servicio de seguridad hacia un nuevo modelo" caracterizado, entre otros aspectos, por:

• seguridad gestionada
  
• cumplimiento de la normativa, en especial del recientemente aprobado Esquema Nacional de Seguridad
• sistema de alerta temprana y prevención de incidentes con respuesta protocolizadas
• provisión a los centros como un servicio, manteniendo siempre éstos un grado de autonomía suficiente para implantación de las medidas de seguridad
  

y para el desarrollo de este modelo ha decidido disponer de un servicio externalizado y centralizado pero no exclusivo, es decir no el único en sus funciones de materias de seguridad al ser diseñado en convivencia con funciones de seguridad realizadas en los propios centros, servicio que constituirá el denominado CESEAS.

En este concurso no están incluidos la ejecución de los propios proyectos de seguridad ni las obligadas auditorías.

El CESEAS se articulará en 5 Unidades:

• Unidad de Planificación y gestión de la seguridad
• Unidad de cumplimiento normativo
• Unidad de implantación y continuidad de servicio
• Unidad de desarrollo y gestión de proyectos de seguridad
• Unidad de Operaciones
  

teniendo que interralacionarse con el resto de unidades centrales ya externalizadas

• CESUS: Centro de atención a usuarios.
• CGR: Centro de Gestión de Red.
• CEDAS: Centro de proceso de datos y su Grupo de Gestión de Seguridad(CGS).
• MEDAS: Centro de desarrollo de aplicaciones.
  

así como con las Oficinas de proyectos de los distintos ámbitos (primaria, hospitales, otros), ICM (Agencia de Informática y Comunicaciones de la Comunidad de Madrid) y el Responsable de informática de los distintos centros.

Entradas relacionadas:

• [21/10/2008] Adjudicado a Indra el contrato de servicios de seguridad informática de la Consejería de Sanidad (entrada nuestra)
• [21/10/2008] Foro Técnico 2008 de la SEIS: ponencia del Responsable de Seguridad informática del Sercicio Madrileño de Salud (entrada nuestra)
• [21/04/2009] La seguridad de la informática de la Comunidad de Madrid en SECURMATICA 2009 (Securmatica)
  
• [05/09/2009] ISO 27799:2008, un paso más en la Seguridad de la Información del sector sanitario (Blog IT 360º)
• [02/02/2010] Seguridad e interoperabilidad en la Admón. Electrónica (Barrapunto)
• [27/02/2010] Esquema Nacional de Seguridad (CriptoRed)
  
• [13/03/2010] Entendiendo el Esquema Nacional de Seguridad (CriptoRed)
• [24/06/2010] Seguridad de la Información ISO 27000, LOPD y su integración con otras normas (Exponent Consultores)
  
• [06/07/2010] Elementos de optimización en la gestión de la seguridad de la información orientada a la continuidad del negocio (CriptoRed)