SEI/ANAC - 9355370 - Nota Técnica

Respostas às recomendações relativas proferidas no Parecer nº. 180/2023/PROT/PFEANAC/PGF/AGU e ajustes pontuais na especificação técnica da solução.

Esta Nota Técnica tem por objetivo analisar e responder às recomendações do Parecer Jurídico exarado pela Procuradoria Federal junto à ANAC, referente à Minuta de Edital e seus anexos, e demais documentos de planejamento da contratação de TI, cujo objeto é a escolha da proposta mais vantajosa para a Aquisição de equipamentos de firewall de próxima geração (NGFW), compreendendo gerência centralizada, instalação e configuração da solução, com garantia e suporte técnico pelo período de 60 (sessenta) meses, tal como o fornecimento de atualização das licenças de uso, garantia e suporte técnico para a solução BIG-IP F5 implantada no ambiente tecnológico da ANAC.

Por oportuno, registra-se nessa nota técnica ajustes pontuais feitos na especificação técnica da solução que poderão promover um aumento de competitividade.

Inicialmente é necessário registrar que esta Nota Técnica tem por objetivo a análise e respostas às recomendações que tratam dos aspectos da fase de planejamento da contratação e dos aspectos técnicos do objeto que se pretende contratar. Dentre as recomendações, serão tratadas as identificadas pelos itens 18 e 19, 20 e 21, 26, 29 e 30, 35, 39, 44, 45 e 46, 49, 54 e 64 a 68, do Parecer nº. 180/2023/PROT/PFEANAC/PGF/AGU (SEI nº 9337259).

"18. Na situação posta, afirma a Administração, por intercessão do Termo de Referência (SEI 9284916) e da Nota Técnica nº. 359/2023/GTLC/GEST/SAF (SEI nº. 9261681), que os bens e serviços que se pretende contratar caracterizam-se como comuns, fato que determinou na aplicação da modalidade pregão eletrônico.

19. Por fim, deve-se enfatizar e recomendar que as normas disciplinadoras dessa modalidade de licitação devem ser interpretadas em favor da ampliação da disputa entre os interessados, desde que não comprometam o interesse da Administração, o princípio da isonomia, a finalidade e a segurança da contratação."

O objeto pretendido enquadra-se como bens comuns, pois possuem especificações usuais do mercado e padrões de desempenho e qualidade objetivamente definidos no Edital e no Termo de Referência, em consonância com o inciso XIII do art. 6º da Lei 14.133/2021, e também justificado no item 1.3 do TR.

"26. Em relação ao planejamento estratégico, sobretudo nas contratações relacionadas à área de Tecnologia da Informação, foram destacados pelo TCU, como forma de evitar irregularidades, algumas recomendações a serem observadas, no que couber, pela Administração. Dentre elas, destaca-se o compilado abaixo, delineado, especialmente, nos Acórdãos nº. 224/2020 - TCU/Plenário, 122/2020 - TCU/Plenário, 265/2010 - TCU/Plenário, 2037/2019 - TCU/Plenário e 508/2020 - TCU/Plenário:"

Primeiramente é salutar observar que os Acórdãos de TCU que dizem respeito a práticas e recomendações para contratação de TI são absorvidos pelos órgãos centrais e refletidos em normativos de contratação, em especial a Instrução Normativa SGD/ME nº 94/2022. Assim, na medida que a equipe de planejamento busca atender a todas as recomendações dos normativos que tratam de contratações de TI, em especial a IN SGD/ME nº 94/2022, espera-se que as recomendações de que tratam os Acórdãos mais antigos estejam atendidos. Resta a preocupação da equipe de contratação para Acórdãos mais novos, posteriores a pública da IN SGD/ME nº 94 de 2022.

Ainda assim, em atendimento à recomendação da Procuradoria-ANAC, procedeu-se a análise minuciosa dos Acórdãos citados e não se verificou necessidades de ajustes aos documentos de planejamento da contratação ou ao Termo de Referência.

"29. É obrigatória a execução de todas as etapas da fase de Planejamento da Contratação, independentemente do tipo de contratação, salvo para contratações cuja estimativa de preços seja inferior ao disposto no inciso II do artigo 75 da Lei nº. 14.133/2021, ou seja, contratações diretas por dispensa em razão do valor que são regidas pela Instrução Normativa SEGES/ME nº. 67, de 8 de julho de 2021.

30. Os artefatos de planejamento da contratação, nos termos da IN SGD/ME n°. 94, de 23 de dezembro de 2022, deverão ser elaborados de forma digital, em sistema disponibilizado pela Secretaria de Gestão da Secretaria Especial de Desburocratização, Gestão e Governo Digital do Ministério da Economia."

Os artefatos foram elaborados de forma digital, em sistemas específico denominado ETP Digital e TR Digital, disponibilizados em https://www.comprasnet.gov.br/seguro/loginPortal.asp. Os documentos elaborados de forma digital, foram então anexados ao processo 00058.017849/2023-51, a saber: ETP Firewall (SEI 9238967), TR (SEI 9284916), para fins de instrução processual.

"No artigo 9º, § 6º da IN SGD/ME n°. 94/2022 consta que, caso a solução escolhida, resultante do Estudo Técnico Preliminar, contenha item presente nos Catálogos de Soluções de TIC com Condições Padronizadas publicados pelo Órgão Central do SISP no âmbito do processo de gestão estratégica das contratações de soluções baseadas em software de uso disseminado previsto no § 2º do artigo 43 da Lei nº. 14.133/2022, os documentos de planejamento da contratação deverão utilizar todos os elementos constantes no respectivo Catálogo, tais como: especificações técnicas, níveis de serviços, códigos de catalogação, PMC-TIC, entre outros. Nesse sentido, recomenda-se que a Agência avalie tal dispositivo. Ademais, faz-se referência ao Acórdão nº. 2037/2019 do Plenário/TCU (publicado quando vigorava a IN SGD/ME nº. 1/2019), cujo teor, ainda válido, recomendou que: “a autoridade máxima da área de TI (ou seu superior hierárquico – [...]) de cada órgão e entidade sob sua supervisão manifestar-se-á, após a conclusão do Estudo Técnico Preliminar, declarando explicitamente a adequação do respectivo conteúdo às disposições da Instrução Normativa 1/2019-SGD/ME”. Conclusivamente, o TCU, no Acórdão 488/2019 – Plenário, orientou que o Estudo Técnico Preliminar seja publicado como anexo do edital de pregão eletrônico."

Em consulta ao site https://www.gov.br/governodigital/pt-br/contratacoes/catalogo-de-solucoes-de-tic, verificou-se que nenhum dos Catálogos de Soluções de TIC com Condições Padronizadas lá existentes possuem oferta de solução com escopo igual ou semelhante ao ser contratado. Entende-se, portanto, que está atendida a recomendação.

"Relativamente às outras exigências, pode-se dizer que o ETP observou, de forma geral, os requisitos legais. Apesar disso, no que se refere ao seu conteúdo, recomenda-se que a área técnica realize minucioso cotejo entre os requisitos apontados no artigo 11 da Instrução Normativa nº. 94/2022, com todo o conteúdo do Estudo Técnico Preliminar (SEI 9238964 e 9238967), suprindo as faltas porventura existentes."

Certifica-se que os requisitos apontados no art. 11 da IN SGD/ME nº 94, de 2022, foram revisados e encontram-se atendidos neste projeto de contratação.

"44. Continuando na análise da fase de Planejamento da Contratação, o Termo de Referência será elaborado pela Equipe de Planejamento da Contratação a partir do Estudo Técnico Preliminar. Deverá conter, no mínimo, consoante o artigo 12 da IN SGD/ME n°. 94/2022, as seguintes informações: I - definição do objeto da contratação, conforme art. 13 (isto é, deverá ser precisa, suficiente e clara, vedadas especificações que, por excessivas, irrelevantes ou desnecessárias, limitem ou frustrem a competição ou a realização do fornecimento da solução, e deverá conter a indicação do prazo de duração do contrato e, se for o caso, a possibilidade de sua prorrogação); II - código(s) do Catálogo de Materiais - Catmat ou do Catálogo de Serviços - Catser relacionado(s) a cada item da contratação, disponíveis no Portal de Compras do Governo federal; III - descrição da solução de TIC, conforme art. 14 (deverá conter, de forma detalhada, motivada e justificada, o quantitativo de bens e serviços necessários para a sua composição, considerado todo o ciclo de vida do objeto); IV - justificativa para contratação da solução, conforme art. 15; V - especificação dos requisitos da contratação, conforme art. 16; VI - definição das responsabilidades da contratante, da contratada e do órgão gerenciador da Ata de Registro de Preços, quando aplicável, conforme art. 17; VII - Modelo de Execução e Gestão do Contrato, conforme arts. 18 e 19; VIII - estimativas de preços da contratação, conforme art. 20; IX - adequação orçamentária e cronograma físico-financeiro, conforme art. 21; X - regime de execução do contrato, conforme art. 22; XI - critérios técnicos para seleção do fornecedor, conforme art. 23; e XII - índice de correção monetária, quando for o caso, conforme art. 24. Dito isso, recomenda-se que a área técnica realize minucioso cotejo entre os requisitos apontados no artigo 12 da Instrução Normativa nº. 94/2022, com todo o conteúdo do Termo de Referência 28/2023 (SEI 9284916), suprindo as faltas porventura existentes."

Certifica-se que os requisitos apontados no artigo 12 da Instrução Normativa nº. 94/2022, foram revisados e encontram-se atendidos no Termo de Referência 28/2023 (SEI 9284916).

"45. O Termo de Referência, a critério da Área Requisitante da solução ou da Área de TIC, poderá ser disponibilizado em consulta ou audiência pública, a fim de avaliar a completude e a coerência da especificação dos requisitos, a adequação e a exequibilidade dos critérios de aceitação, conforme disposto no artigo 21 da Lei nº. 14.133/2021.

46. Dessa maneira, fica aberta a possibilidade de a área requisitante avaliar a pertinência da medida legal."

A consulta ou audiência pública traria complexidades que atualmente a equipe de TI não está dimensionada para atender. Ademais, a equipe de planejamento da contratação buscou a definição de requisitos tecnológicos, primeiramente alinhados às necessidade de negócio e tecnológicas, mas também observando a maior competitividade possível do certame. Por fim, a fase de pesquisa de preços conduzida pela SAF/GTLC também cumpriu um papel fundamental para o balizamento dos requisitos da contratação, na medida em que a pesquisa de preço é feita de forma ampla e são informados todos requisitos da contratação. Com isso, as empresas podem fazer questionamentos ainda em tempo de avaliação e ajustes pela equipe de contratação.

Além disso, a presente contratação trata de aspectos técnicos e especializados, fundamentada em conhecimento técnico consolidado e com necessidade bem clara e específica. Durante a elaboração dos requisitos técnicos foram levados em consideração as melhores práticas e as necessidades específicas da ANAC, portanto a área requisitante entende ser dispensável esta medida.

"Por fim, quanto a esta primeira fase (Planejamento da Contratação), em que pese não terem sido localizados problemas ou incompatibilidades (somente algumas omissões, destacadas acima), recomenda-se que a Administração proceda criteriosa conferência para que o Estudo Técnico Preliminar, a Análise de Riscos e o Termo de Referência não deixem de contemplar quaisquer dos requisitos previstos na norma, isto é, aqueles apontados na Instrução Normativa SLTI n°. 94/2022."

Certifica-se que todos os artefatos foram revisados e encontram-se atendidos os requisitos apontados na Instrução Normativa SLTI n°. 94/2022.

"Buscando encerrar a análise da aplicação da Instrução Normativa n°. 94/2022, deve-se dizer que não poderão ser objeto de contratação mais de uma Solução de Tecnologia da Informação e Comunicação em um único contrato e os serviços dispostos no artigo 3º do Decreto nº. 9.507/2018, inclusive a gestão de processos de TIC e a gestão de segurança da informação. Igualmente, deverão ser observadas as vedações constantes dos artigos 4° [2]e 5° [3] da IN. A despeito disso, a Administração deverá confirmar a higidez do procedimento quanto a estes pontos."

Conforme justificativa apresentada no Termo de Referência, item 3.5 "Parcelamento da Solução de TIC", e descrita abaixo, a estratégia mais apropriada é o agrupamento dos itens da licitação em 2 (dois) grupos, compostos por soluções distintas e complementares, a saber: uma solução de firewall da categoria NGFW (Next-Generation Firewall), e outra solução de suporte técnico para firewall da categoria WAF (Web Application Firewall). Assim, o Termo de Referência traz, in verbis:

"3.6. Considerando as respectivas arquiteturas tecnológicas, a estratégia considerada mais apropriada para a aquisição é o agrupamento dos itens da licitação em 2 (dois) grupos. Nessa divisão, os itens compreendidos entre os números 1 a 5, os quais compõem o grupo 1, representam os firewalls de borda, soluções e serviços de segurança, voltados para atendimento da Sede, Centro de Treinamento e Representações Regionais de São Paulo/SP, São José dos Campos/SP e Rio de Janeiro/RJ. Esses equipamentos têm por objetivo proteger as redes da ANAC de acessos não autorizados, realizando a filtragem de pacotes, inspeção de conteúdos, controle de tráfegos de entrada e saída da rede, detecção e prevenção de intrusão, entre outros.

3.7. O grupo 2, representado pelo item de número 6, é composto pela renovação das licenças, suporte e assistência técnica dos Firewalls de Aplicação (WAF - Web Application Firewall), responsáveis por proteger as aplicações web da ANAC contra ataques mal-intencionados e tráfego de internet indesejado, incluindo bots, injeção e negação de serviço da camada de aplicações (DoS).

3.8. No contexto de segurança da informação, as soluções definidas nos grupos 1 e 2 são complementares, trabalhando em escopos diferentes e com requisitos particulares.

3.9. Dentre os itens que compõe o grupo 1, por exemplo, irá ofertar uma solução completa e se responsabilizará pela instalação e operacionalização dos equipamentos e soluções do seu grupo, de forma otimizada e integrada. Há diversas vantagens de cunho operacional e técnico favorecidos por tal modalidade.

3.10. Com relação aos aspectos operacionais, que corroboram para o agrupamento destes itens como proposto, há de se destacar os seguintes pontos:

3.11. Administração Centralizada dos Firewalls: facilita o controle de inventário, planejamento de capacidade e análise de falhas, mitigando os riscos envolvidos em eventuais ocorrências de incidentes.

3.12. Ponto Único de Contato: facilita a abertura e gerenciamento de chamados técnicos (corretivos e evolutivos) para o grupo em específico.

3.13. Em se tratando dos aspectos técnicos, merecem destaques as seguintes vantagens:

3.14. A empresa vencedora será responsável por implementar e manter operacional a solução definida em seu grupo. Neste sentido, a empresa deverá observar práticas e princípios que garantam a disponibilidade, segurança e interoperação da solução como um todo.

3.15. Assim, em eventuais situações de falhas, a fornecedora será a única responsável por isolar e tratar incidentes e problemas, independentemente do elemento em que isso venha a ocorrer. Sem sobreposição de equipamentos de empresas distintas, o processo de normalização do ambiente tende a se tornar mais célere e confiável.

3.16. Outro ponto é que se tem observado que muitas funcionalidades são apenas compatíveis entre equipamentos de um mesmo fabricante. Dessa forma, em um ambiente composto por equipamentos de um único fabricante, a otimização de configuração, desempenho e segurança, é garantida e suportada.

3.17. A não observância de tal critério de seleção pode vir a acarretar problemas de comunicação e de não ativação de funcionalidades específicas dos equipamentos, trazendo prejuízos técnicos e inviabilizando o uso otimizado dos equipamentos.

3.18. A Interdependência tecnológica entre os equipamentos possibilita o uso pleno de todas as suas funcionalidades e especificidades (protocolos de rede), em conjunto e quando necessário, possibilitando inclusive, o uso e ativação de funcionalidades não previstas nas RFCs (Requests For Comments) padrão, desenvolvidas pelos fabricantes com o intuito de melhorar o uso, gestão e performance de seus equipamentos, visando atender às necessidades técnicas do mercado.

3.19. A observância dos aspectos técnicos citados no item anterior não diminui a competitividade no processo licitatório em questão, pois se aplicam à todos os fabricantes de mercado que possuem soluções de segurança, tais como Check Point, Palo Alto, Fortinet, Forcepoint, etc.

3.20. Considerando todos os pontos analisados acima, entende-se como a melhor estratégia a divisão dos itens em 2 (dois) grupos, conforme proposto neste Termo de Referência. "

"64. Por derradeiro, o Decreto n º. 7.746, de 5 de junho de 2012, prevê que a Administração proceda “a adoção de práticas de sustentabilidade, que deverá ser justificada nos autos e preservar o caráter competitivo do certame” (art. 2º, parágrafo único). O mesmo regulamento prevê ainda, no artigo 3º que os critérios de sustentabilidade deverão constar como especificação técnica do objeto ou como obrigação da contratada. Portanto, a análise da Administração sobre a exigência de critérios e práticas de sustentabilidade deve ser realizada durante o planejamento da contratação, justificada nos autos e definida expressamente no edital.

65. É bom frisar que o Decreto determina que a Administração poderá adquirir bens e contratar serviços considerando critérios e práticas de sustentabilidade, que deverão ser objetivamente definidos no instrumento convocatório. O artigo 4° apresenta, dentre outras possibilidades, algumas diretrizes de sustentabilidade que poderão ser observadas na contração, ou seja:

I – baixo impacto sobre recursos naturais como flora, fauna, ar, solo e água;

II – preferência para materiais, tecnologias e matérias-primas de origem local;

III – maior eficiência na utilização de recursos naturais como água e energia;

VII – origem sustentável dos recursos naturais utilizados nos bens, nos serviços e nas obras; e

VIII - utilização de produtos florestais madeireiros e não madeireiros originários de manejo florestal sustentável ou de reflorestamento.

Por fim, está previsto no artigo 5º do Decreto que a administração pública federal direta, autárquica e fundacional e as empresas estatais dependentes poderão exigir no instrumento convocatório para a aquisição de bens que estes sejam constituídos por material renovável, reciclado, atóxico ou biodegradável, entre outros critérios de sustentabilidade.

66. Posto isso, para definição dos critérios e práticas de sustentabilidade, recomendam-se consultas ao artigo 6º da Instrução Normativa SLTI/MP nº. 1, de 2010, e ao Guia Nacional de Contratações Sustentáveis (4ª edição, revista, atualizada e ampliada. Agosto/2021), disponibilizado pela Consultoria-Geral da União no sítio https://www.gov.br/agu/ptbr/comunicacao/noticias/AGUGuiaNacionaldeContrataesSustentveis4edio.pdf.

67. Ressalte-se que a decisão de adquirir produto ou serviço com determinadas especificações ambientais, em detrimento de outros disponíveis no mercado, é ato administrativo que deve ser motivado após justificativa técnica elaborada com o auxílio de profissionais especializados. Com efeito, cabe à Procuradoria tão-somente alertar a Administração sobre as normas jurídicas vigentes que tratam sobre a sustentabilidade ambiental.

68. Quanto a este tema, foram localizadas disposições no Termo de Referência (item 4.14 do documento SEI 9284916). De todo modo, permanecem válidas as recomendações acima."

Quanto aos critérios e práticas de sustentabilidade, estes foram devidamente cumpridos nos itens "4.4. Requisitos Sociais, Ambientais e Culturais" e "4.14. Sustentabilidade" do Termo de Referência SEI 9284916), demonstrando a satisfatória conformidade com as diretrizes estabelecidas.

Ainda neste tema podemos citar o Plano de Gestão de Logística Sustentável – PLS da ANAC que foi estruturado em 09 (nove) temas iniciais, quais seja: material de consumo, energia elétrica, água e esgoto, coleta seletiva, qualidade de vida no ambiente de trabalho, compras e contratações sustentáveis e deslocamento de pessoal, vigilância e limpeza e conservação.

Dos nove temas apresentados pode-se verificar que apenas o tema "Compras e Contratações Sustentáveis" é passível de ter relação com o objeto tratado no presente processo, no que for pertinente. Nesse tocante, o PLS traz os seguintes critérios de sustentabilidade nas licitações:

Os requisitos do Plano de Logística Sustentável (PLS) da ANAC foram devidamente cumpridos em relação ao objeto da pretensa contratação.

Por oportuno, registra-se que foram verificadas oportunidades de melhoria da especificação técnica que poderão promover um aumento de competitividade. Ainda durante a fase de pesquisa de preços para formação do orçamento da contratação possíveis licitantes submeteram sugestões de adaptações na especificação técnica. Foram recebidas 5 sugestões. A equipe técnica do planejamento da contratação avaliaram criteriosamente cada umas das sugestões e consideram pertinentes apenas 2 delas.

Neste sentido, foram realizados o ajustes em 2 itens da especificação técnica, a saber:

Em razão do período de férias do integrante técnico da Contratação e Coordenador titular da CDRE/GEIT, Sr. Reginaldo Lira de Araujo, a análise do Parecer e elaboração desta Nota Técnica foi feita com o apoio do Sr. Guilherme Fernandes Menegazzo, Coordenador substituto da CDRE/GEIT. Observa-se que as recomendações do parecer não tiveram necessidade de avaliação de elementos estritamente técnicos. Em todo o caso, esta Nota Técnica será ratificada pelo fiscal técnico, quando do retorno da suas férias.

Todas as recomendações e ajustes relativas às necessidades da área demandante e de caráter técnica foram consideradas e respondidas.

**TABELA 1** - Relacionamento dos ajustes promovidos na especificação técnica da solução de firewall NGFW.
Redação anterior do item	Nova redação adotada
13.2.72. Deve permitir o armazenamento de logs sem limite de tempo nem limite da quantidade de logs armazenados. A solução deve prover ao menos o armazenamento de 100 Gb (cem) de logs diários;	13.2.72. Deve permitir o armazenamento de logs sem limite de tempo nem limite da quantidade de logs armazenados. A solução deve prover a licença de maior capacidade de armazenamento de logs suportada pelo equipamento, devendo ser superior a 12 (doze) GB de logs diário.
13.3.3. Deverá possuir throughput Threat Prevention de, no mínimo, 9 Gbps, com as funcionalidades de firewall, controle de aplicação, filtro web, IPS, antivírus, anti-malware e prevenção contra ameaças avançadas de dia-zero habilitadas e atuantes;	13.3.3. Deverá possuir throughput Threat Prevention de, no mínimo, 7 Gbps, com as funcionalidades de firewall, controle de aplicação, filtro web, IPS, antivírus, anti-malware e prevenção contra ameaças avançadas de dia-zero habilitadas e atuantes;

Foi ajustado o Termo de Referência Digital nº 28/2023 anexados a este processo de contratação (SEI nº 9356717).

Aprovo as informações contidas na presente nota técnica e solicito o encaminhado dos autos à Gerência Técnica de Licitações e Contratos para providências pertinentes.

Documento assinado eletronicamente por Felipe Santos Sarmanho, Gerente, em 22/11/2023, às 08:36, conforme horário oficial de Brasília, com fundamento no art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

Documento assinado eletronicamente por Guilherme Fernandes Menegazzo, Analista Administrativo, em 22/11/2023, às 08:46, conforme horário oficial de Brasília, com fundamento no art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

Documento assinado eletronicamente por Fernando André Coelho Mitkiewicz, Superintendente de Tecnologia da Informação, em 28/11/2023, às 10:08, conforme horário oficial de Brasília, com fundamento no art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

A autenticidade deste documento pode ser conferida no site https://sei.anac.gov.br/sei/autenticidade, informando o código verificador 9355370 e o código CRC 365D7A96.