SECRETARIA DE ADMINISTRAÇÃO DE MATERIAL
COMISSÃO DE CONTRATAÇÕES

São Paulo, 09 de janeiro de 2024.
.

REF.: Pregão Eletrônico Federal 136/2023 – Registro de preços para contratação de subscrição de ferramenta de software para realização de análise de qualidade e segurança de código-fonte e dependências durante o desenvolvimento de software.

Prezados(as) senhores(as).

Em atendimento à consulta formulada por empresa interessada em participar da licitação em epígrafe, segue abaixo o devido esclarecimento:

PERGUNTA
Conforme escrito:
“Gostaríamos de um esclarecimento sobre o escopo do fornecimento do processo de licitação do Edital no 136/23 da ata de registro de preços para contratação de subscrição de ferramenta de software para análise de qualidade e segurança de código fonte e dependências durante o desenvolvimento de software.

Solicitamos o detalhamento das funcionalidades que deverão ser fornecidas pela ferramenta para atender o item 3.1.3.9 - Verificação dinâmica (DAST) para evitar que a aplicação seja implantada com vulnerabilidades. O conceito de DAST é abrangente e pode envolver diferentes componentes da solução assim como ter escopos distintos em cada solução. É necessário que o órgão indique com clareza os entregáveis que a solução deve fornecer para atender este requisito funcional, visando garantir que as soluções propostas possam ser comparadas de forma equânime.”

RESPOSTA
Manifestação da unidade técnica:
“O conceito de verificação dinâmica (DAST) é amplamente divulgado. Contudo, para fins de esclarecimento da empresa, podemos utilizar o conceito da fundação Owasp, uma organização sem fins lucrativos que tem como missão melhorar a segurança de software por meio dos diversos projetos de código aberto, publicações realizadas globalmente, dezenas de milhares de membros, e por organizar eventos relativos a segurança de software. A definição de verificação dinâmica DAST presente no site em OWASP DevSecOps Guideline - v-0.2 | OWASP Foundation coloca que DAST é uma análise do tipo caixa-preta, ou seja, uma análise automatizada que é realizada simulando o comportamento do usuário no acesso ao sistema pelo envio de dados maliciosos para identificar falhas potenciais de segurança que permitiriam ataques como Injeção de SQL (SQL Injection), execução de scripts cross-sites (XSS), dentre outros. Por ser do tipo caixa-preta, essa análise é realizada sem que seja necessário o código-fonte das aplicações. 

O link da página da Fundação OWASP sobre DAST é este:

https://owasp.org/www-project-devsecops-guideline/latest/02b-Dynamic-Application-Security-Testing”

Atenciosamente

Ricardo Mendonça Falcão
Pregoeiro TRE-SP