SECRETARIA DE ADMINISTRAÇÃO DE MATERIAL
COMISSÃO DE CONTRATAÇÕES

São Paulo, 08 de janeiro de 2024.
.

REF.: Pregão Eletrônico Federal 141/2023 – Contratação de plataforma unificada de solução de Gestão de Vulnerabilidades Cibernéticas para ativos de tecnologia da informação, containers e aplicações Web, voltada para a gestão de vulnerabilidades do ambiente do TRE-SP, na modalidade SaaS (software como um serviço), incluindo licenciamento (por subscrição), implantação, treinamento e suporte técnico.

Prezados(as) senhores(as).

Em atendimento à consulta formulada por empresa interessada em participar da licitação em epígrafe, segue abaixo o devido esclarecimento:

PERGUNTA 1
Conforme escrito:
“Refiro-me ao edital, especificamente ao ITEM 3.16, que menciona: "A solução deve permitir, no mínimo, 3 (três) métodos de varredura". Gostaria de solicitar esclarecimentos adicionais para garantir a adequação e o correto licenciamento das soluções oferecidas, conforme descrito a seguir:

ITEM 3.16.1 - Varredura Ativa: Entendemos que esta varredura envolve o uso de um scanner de rede, tanto interno quanto externo, com o objetivo de identificar vulnerabilidades por meio de uma comunicação de rede ativa. Esta interpretação está correta?

ITEM 3.16.2 - Varredura com Uso de Agentes: Neste método, presume-se a necessidade de um agente instalado dentro do sistema operacional dos ativos, para a detecção de vulnerabilidades. Poderiam confirmar se essa é a expectativa?

ITEM 3.16.3 - Varredura Passiva: Por fim, este item sugere o uso de tecnologia de espelhamento de rede para monitorar e identificar vulnerabilidades em tempo real, analisando o fluxo de dados espelhados. Esta é a interpretação correta para este método?

RESPOSTA
Manifestação da unidade técnica:
“Os entendimentos estão corretos.”

PERGUNTA 2
Conforme escrito:
Com referência ao requisito de integração nativa via API para todos os módulos ofertados, gostaria de solicitar esclarecimentos adicionais para uma correta precificação e licenciamento das soluções.
Conforme o edital, entendemos que a base para o licenciamento deve considerar a volumetria total de chamadas API, estipulada em um mínimo de 12.474 chamadas por hora na plataforma centralizada. Para assegurar nossa compreensão, utilizamos os seguintes valores na nossa estimativa:

12.147 chamadas/hora para o item relacionado a ativos;
291 chamadas/hora para o item de FQDNs (Fully Qualified Domain Names);
36 chamadas/hora para o item de containers.

Desejamos confirmar se estes valores estão alinhados com as expectativas do edital. Adicionalmente, gostaríamos de saber se há flexibilidade na alocação dessas chamadas entre os diferentes módulos, considerando variações nas necessidades de integração ao longo do tempo, está correto o nosso entendimento?

RESPOSTA
Manifestação da unidade técnica:
“A base para licenciamento deve considerar a quantidade de ativos constantes do item 4 do Termo de Referência, não existindo referência no Edital a módulos a serem ofertados, cabendo à licitante elaborar e precificar sua solução a ser ofertada, de modo a atender aos requisitos especificados.”

PERGUNTA 3
Conforme escrito:
“Considerando as exigências do ITEM 1 – Solução de Gestão de Vulnerabilidade e Auditoria de Configuração, que deverá ser entregue como SaaS em nuvem, solicitamos esclarecimentos sobre a conformidade com a Instrução Normativa GSIPR Nº 5 de 30/08/2021, especialmente quanto à hospedagem de dados e metadados em território brasileiro. Poderiam confirmar se:

As comunicações criptografadas e o armazenamento de informações dos ativos atendem às diretrizes de localização de dados estabelecidas pela referida Instrução Normativa?

As atualizações e manutenções constantes da plataforma respeitam os requisitos de soberania de dados?

A API para integração com aplicações terceiras segue as regulamentações de proteção de dados brasileiras, incluindo as outras normativas mencionadas no edital?

Além disso, caso a Instrução Normativa não se aplique a esta solução SaaS, requeremos a confirmação de que nossa organização não será responsabilizada por medidas legais de outros países e solicitamos a lista dos países aceitáveis para hospedar a infraestrutura de SaaS.

Se faz necessário a confirmação desses pontos para garantir a segurança e conformidade dos dados gerenciados e evitar potenciais responsabilidades legais.”

RESPOSTA
Manifestação da unidade técnica:
“Conforme item 3.9.1. "A solução deve ser entregue como um serviço Software-as-a-Service (SaaS) em uma nuvem proprietária do fabricante para todos os seus serviços e aplicativos exigidos neste documento", não sendo, portanto, a infraestrutura em nuvem, objeto a ser entregue pela contratada, devendo os demais itens atender aos requisitos do Edital.”

PERGUNTA 4
Conforme escrito:
“Conforme exigido no item 3.2.1.1, a licitante deverá comprovar a implementação em ambiente com no mínimo 50% dos quantitativos de ativos de TIC do item 1, assim, em consonância ao determinado pela jurisprudência, entendemos que o quantitativo solicitado poderá ser comprovado por meio da somatória de quantitativos diversos em atestados disponibilizados pela licitante. Está correto o entendimento?”

RESPOSTA
Manifestação da unidade técnica:
“O entendimento está correto.”

Atenciosamente

Ricardo Mendonça Falcão
Pregoeiro TRE-SP