Pregão Correios nº 26000458/2026 - SE/CS - Contratação de empresa especializada para prestação de serviços contínuos de Centro de Operações de Segurança (SOC - Security Operations Center), incluindo o respectivo repasse de conhecimento. IMPORTANTE: ao registrar as propostas, atentar para o item 6.9 e seus subitens, sob pena de desclassificação. A Licitação será realizada pela CPL-BSB. O valor estimado da contratação é sigiloso e será divulgado após o encerramento da fase de lances. (REGISTRAR VALOR TOTAL DO LOTE - SUGERIMOS MINUCIOSA LEITURA DO EDITAL E SEUS ANEXOS)

ESPECIFICAÇÃO TÉCNICA - ET - Nº 67829224 GSIC-DESID 1. OBJETO 1.1. Contratação de empresa especializada para prestação de serviços contínuos de Centro de Operações de Segurança (SOC - Security Operations Center ), conforme o detalhamento constante no Quadro 1, incluindo o respectivo repasse de conhecimento : LOTE ITEM DESCRIÇÃO DOS SERVIÇOS MODALIDADE UM* QUANTIDADE 1 1 Serviço de Gerenciamento de Vulnerabilidades Nuvem ou Híbrida Unidade 1 2 Serviço de Monitoramento, Visibilidade e Resposta a Ataques Cibernéticos Nuvem ou Híbrida Unidade 1 3 Serviço de Testes de Invasão Nuvem ou Híbrida URL ou IP 820 4 Serviço de Inteligência Aplicada à Segurança Nuvem ou Híbrida Unidade 1 QUADRO 1: Serviços do objeto da contratação. * UM - Unidade de Medida = Unidade, URL ( Uniform Resource Locator ) ou IP ( Internet Protocol) . 2. MODALIDADE, LOCAL DE ENTREGA/INSTALAÇÃO, EXECUÇÃO DOS SERVIÇOS 2.1. A CONTRATADA poderá optar por uma das seguintes modalidades de implantação da infraestrutura principal do SOC: I - Nuvem Privada: ferramentas hospedadas em datacenter próprio ou infraestrutura virtualizada dedicada da CONTRATADA, externa aos Centros Corporativo de Dados (CCDs) da CONTRATANTE ; II - Nuvem Pública: ferramentas hospedadas em provedor de nuvem pública; III - Híbrida: combinação das modalidades de nuvem (I e/ou II) e instalação de componentes de coleta e envio de logs nos CCDs CS e SPM. 2.1.1. No caso de modalidade híbrida, os componentes de coleta e envio de logs (agentes, coletores, sensores, dentre outros necessários), deverão ser fornecidos, instalados e mantidos pela CONTRATADA, sem ônus adicional para a CONTRATANTE. 2.1.2. Caso a CONTRATADA opte pela instalação de componentes referenciados no subitem 2.1.1. nos CCDs, os locais de entrega e instalação são:

a) Datacenter CS (Correios Sede): Localizado em Brasília/DF; e b) Datacenter SPM (São Paulo Metropolitana): Localizado em São Paulo/SP. 2.2. A execução dos serviços contratados deverá ser realizada prioritariamente de forma remota, admitindo-se a prestação presencial de forma excepcional, mediante estrita necessidade. Hipótese em que as atividades deverão observar o horário de expediente da CONTRATANTE, de segunda a sexta-feira, no horário das 08h às 18h. 3. DOS PRAZOS DA FASE CONTRATUAL 3.1. FASES CONTRATUAIS E ENTREGA DO SERVIÇO 3.1.1. A prestação continuada/demanda dos serviços descritos nos itens indicados no Quadro 1, terá início somente após a emissão do Termo de Aceite da sua respectiva implantação; 3.2. PLANO DE TRABALHO (PDT) 3.2.1. Entrega do PDT pela CONTRATADA: até 40 (quarenta) dias úteis após a solicitação da CONTRATANTE; 3.2.2. Aceite ou recusa do PDT pelos Correios: até 5 (cinco) dias úteis após a conclusão da etapa pela CONTRATADA; 3.2.3. Adequação do PDT pela CONTRATADA: até 5 (cinco) dias úteis após a recusa do PDT; 3.2.4. Aceite da adequação do PDT pelos Correios: até 5 (cinco) dias úteis após a adequação do PDT. 3.3. IMPLANTAÇÃO 3.3.1. O prazo para implantação de cada serviço contratado terá início a partir da data da respectiva solicitação formal da CONTRATANTE. 3.3.2. IMPLANTAÇÃO - SERVIÇO DE GERENCIAMENTO DE VULNERABILIDADES 3.3.2.1. IMPLANTAÇÃO DO SERVIÇO DE GERENCIAMENTO DE VULNERABILIDADES pela CONTRATADA: Até 42 (quarenta e dois) dias úteis após solicitação da CONTRATANTE; 3.3.2.2. Aceite ou recusa da IMPLANTAÇÃO DO SERVIÇO DE GERENCIAMENTO DE VULNERABILIDADES pelos Correios: Até 15 (quinze) dias úteis após a conclusão da etapa pela CONTRATADA; 3.3.2.3. Adequação da IMPLANTAÇÃO DO SERVIÇO DE GERENCIAMENTO DE VULNERABILIDADES pela CONTRATADA: Até 21 (vinte e um) dias úteis após a recusa da IMPLANTAÇÃO DO SERVIÇO DE GERENCIAMENTO DE VULNERABILIDADES; 3.3.2.4. Aceite da adequação pelos Correios: Até 10 (dez) dias úteis após adequação da IMPLANTAÇÃO DO SERVIÇO DE GERENCIAMENTO DE VULNERABILIDADES. 3.3.3. IMPLANTAÇÃO - SERVIÇO DE MONITORAMENTO, VISIBILIDADE E RESPOSTA À ATAQUES CIBERNÉTICOS 3.3.3.1. IMPLANTAÇÃO DO SERVIÇO DE MONITORAMENTO, VISIBILIDADE E RESPOSTA À ATAQUES CIBERNÉTICOS pela CONTRATADA: Até 126 (cento e vinte e seis) dias úteis após solicitação da CONTRATANTE; 3.3.3.2. Aceite ou recusa da IMPLANTAÇÃO DO SERVIÇO DE MONITORAMENTO, VISIBILIDADE E RESPOSTA À ATAQUES CIBERNÉTICOS pelos Correios: Até 15 (quinze) dias úteis após a conclusão da etapa pela CONTRATADA; 3.3.3.3. Adequação da IMPLANTAÇÃO DO SERVIÇO DE MONITORAMENTO, VISIBILIDADE E RESPOSTA À ATAQUES CIBERNÉTICOS pela CONTRATADA: Até 42 (quarenta e dois) dias úteis após a recusa da IMPLANTAÇÃO DO SERVIÇO DE MONITORAMENTO, VISIBILIDADE E RESPOSTA À ATAQUES CIBERNÉTICOS; 3.3.3.4. Aceite da adequação pelos Correios: Até 15 (quinze) dias úteis após adequação da IMPLANTAÇÃO DO SERVIÇO DE MONITORAMENTO, VISIBILIDADE E RESPOSTA À ATAQUES CIBERNÉTICOS. 3.3.4. AS BUILT - SERVIÇO DE MONITORAMENTO, VISIBILIDADE E RESPOSTA À ATAQUES CIBERNÉTICOS

3.3.4.1. A entrega da documentação técnica (As Built) será exigível apenas na hipótese de a CONTRATADA optar pela instalação de componentes de coleta e envio de logs nos CCDs CS e SPM. 3.3.4.2. Entrega do AS BUILT DO SERVIÇO DE MONITORAMENTO, VISIBILIDADE E RESPOSTA À ATAQUES CIBERNÉTICOS: Até 10 (dez) dias úteis após solicitação da CONTRATANTE; 3.3.4.3. Aceite ou recusa do AS BUILT DO SERVIÇO DE MONITORAMENTO, VISIBILIDADE E RESPOSTA À ATAQUES CIBERNÉTICOS pelos Correios: Até 5 (cinco) dias úteis após a entrega do AS BUILT DO SERVIÇO DE MONITORAMENTO, VISIBILIDADE E RESPOSTA À ATAQUES CIBERNÉTICOS pela CONTRATADA; 3.3.4.4. Adequação do AS BUILT DO SERVIÇO DE MONITORAMENTO, VISIBILIDADE E RESPOSTA À ATAQUES CIBERNÉTICOS pela CONTRATADA: Até 5 (cinco) dias úteis após a recusa do AS BUILT DO SERVIÇO DE MONITORAMENTO, VISIBILIDADE E RESPOSTA À ATAQUES CIBERNÉTICOS; 3.3.4.5. Aceite da adequação pelos Correios: Até 5 (cinco) dias úteis após adequação do AS BUILT DO SERVIÇO DE MONITORAMENTO, VISIBILIDADE E RESPOSTA À ATAQUES CIBERNÉTICOS. 3.3.5. IMPLANTAÇÃO - SERVIÇO DE TESTE DE INVASÃO 3.3.5.1. IMPLANTAÇÃO DO SERVIÇO DE TESTE DE INVASÃO pela CONTRATADA: Até 5 (cinco) dias úteis após solicitação da CONTRATANTE; 3.3.5.2. Aceite ou recusa da IMPLANTAÇÃO DO SERVIÇO DE TESTE DE INVASÃO pelos Correios: Até 5 (cinco) dias úteis após a conclusão da etapa pela CONTRATADA; 3.3.5.3. Adequação da IMPLANTAÇÃO DO SERVIÇO DE TESTE DE INVASÃO pela CONTRATADA: Até 5 (cinco) dias úteis após a recusa da IMPLANTAÇÃO DO SERVIÇO DE TESTE DE INVASÃO; 3.3.5.4. Aceite da adequação pelos Correios: Até 5 (cinco) dias úteis após adequação da IMPLANTAÇÃO DO SERVIÇO DE TESTE DE INVASÃO. 3.3.6. IMPLANTAÇÃO - SERVIÇO DE INTELIGÊNCIA APLICADA À SEGURANÇA 3.3.6.1. IMPLANTAÇÃO DO SERVIÇO DE INTELIGÊNCIA APLICADA À SEGURANÇA pela CONTRATADA: Até 10 (dez) dias úteis após solicitação da CONTRATANTE; 3.3.6.2. Aceite ou recusa da IMPLANTAÇÃO DO SERVIÇO DE INTELIGÊNCIA APLICADA À SEGURANÇA pelos Correios: Até 5 (cinco) dias úteis após a conclusão da etapa pela CONTRATADA; 3.3.6.3. Adequação da IMPLANTAÇÃO DO SERVIÇO DE INTELIGÊNCIA APLICADA À SEGURANÇA pela CONTRATADA: Até 5 (cinco) dias úteis após a recusa da IMPLANTAÇÃO DO SERVIÇO DE INTELIGÊNCIA APLICADA À SEGURANÇA; 3.3.6.4. Aceite da adequação da IMPLANTAÇÃO DO SERVIÇO DE INTELIGÊNCIA APLICADA À SEGURANÇA pelos Correios: Até 5 (cinco) dias úteis após adequação da IMPLANTAÇÃO DO SERVIÇO DE INTELIGÊNCIA APLICADA À SEGURANÇA. 3.4. CRITÉRIOS OBJETIVOS DE ACEITE DA FASE DE IMPLANTAÇÃO 3.4.1. O aceite da fase de implantação e das demais entregas correlatas pela CONTRATANTE estará condicionado à apresentação, pela CONTRATADA, do Relatório Técnico de Implantação e à sua respectiva aprovação pela CONTRATANTE. O referido documento deverá comprovar, de forma clara, objetiva e inequívoca, o pleno atendimento a todos os requisitos estabelecidos neste Edital, contendo, no mínimo: a) Evidências de con fi guração e instalação: capturas de tela ( prints ), arquivos de con fi guração ( logs/scripts ) e diagramas que demonstrem o ambiente implantado em conformidade com as especi fi cações técnicas; b) Evidências de testes: relatórios de execução de testes funcionais, de desempenho e de segurança, demonstrando o comportamento esperado da solução e as vulnerabilidades identi fi cadas; c) Rastreabilidade: mapeamento explícito vinculando cada evidência técnica apresentada ao respectivo item do Edital e seus anexos.

4. PDT - PLANO DE TRABALHO 4.1. A de fi nição e a elaboração do PDT deverão observar as diretrizes a seguir: a) Deverá ser alocada 1 (uma) equipe de pelo menos 2 (dois) técnicos da CONTRATADA nas dependências da CONTRATANTE, em Brasília-DF, para de fi nição e elaboração do Plano de Trabalho. b) A equipe da CONTRATADA deverá permanecer das 8h às 12h e das 14h às 18h em dias úteis durante o período de elaboração do Plano de Trabalho, podendo haver fl exibilização do horário de permanência, em comum acordo entre as partes. 4.2. O PDT deverá ser elaborado pela CONTRATADA em língua Portuguesa (Brasil) e submetido via sistema SEI, devendo contemplar, no mínimo: 4.2.1. Estratégia e Metodologia Operacional a) Estratégia e metodologia de trabalho para a prestação dos serviços; b) Identi fi cação detalhada dos serviços e soluções ofertadas; c) Mapeamento dos riscos relacionados à implantação dos serviços de SOC no ambiente da CONTRATANTE; d) De fi nição da matriz RACI, bem como os pontos de contato responsáveis pela atuação colaborativa entre as equipes da CONTRATANTE e CONTRATADA. Este requisito deverá ser incluído no anexo do PDT; e) Inventário de dados pessoais; f) Elaboração do Relatório de Impacto à Proteção de Dados Pessoais (RIPD). 4.2.2. Arquitetura a) Plano de integração dos serviços fornecidos com a infraestrutura da CONTRATANTE, incluindo arquitetura lógica e física, quando couber; b) Detalhamento de software e, quando couber, hardware (incluindo fabricante, versão, banco de dados e requisitos de sistema), devidamente comprovados por documentação o fi cial do fabricante, para atendimento da volumetria de Logs prevista de 2 TB/dia; c) Relação de necessidades de ajustes nos ativos da CONTRATANTE (servidores, fi rewalls ) essenciais ao pleno funcionamento da solução, observando o princípio do menor privilégio; d) Detalhamento dos parâmetros dos indicadores de segurança e do score de nível de proteção do ambiente da CONTRATANTE. 4.2.2.1. A documentação técnica deverá ser entregue em Português ou, excepcionalmente, em Inglês. 4.2.3. Operação a) Mapeamento das credenciais privilegiadas necessárias para a execução dos serviços; b) Modelo de documentação de casos de uso e playbooks ; c) Mapeamento inicial dos de casos de uso e playbooks observando o ambiente tecnológico da CONTRATANTE; d) Fluxo de alteração/revisão de playbook ; e) Apresentação de, no mínimo, dois playbooks . 4.2.4. Cronograma a) Cronograma de atividades com prazos para todas as etapas de execução e entregas; b) Relação nominal da equipe técnica da CONTRATADA, identi fi cando papéis e responsabilidades.

4.2.5. Plano de Repasse de Conhecimento a) Proposta de cronograma e conteúdo (teórico e prático), detalhando a operação dos serviços e a forma de atuação da CONTRATANTE pós-implantação. 4.2.6. Portabilidade dos Dados a) Método de conversão contínua das regras de correlação e detecção customizadas para os formatos abertos SIGMA e YARA; b) Modelo de codi fi cação estruturada (JSON/YAML) e o padrão de documentação descritiva ( fl uxogramas e árvores de decisão) que serão adotados para mapear os procedimentos operacionais de resposta a incidentes; c) Apresentação da estrutura de dados em formato JSON que será utilizada para a exportação e salvaguarda de todo o histórico analítico de incidentes do período; d) A proposta da árvore de diretórios e o procedimento de homologação periódica junto à fi scalização, assegurando a integridade e a legibilidade dos dados no repositório indicado pela CONTRATANTE. 4.2.7. Embora o PDT aprovado pela CONTRATANTE seja um documento orientador para a execução das demais etapas do contrato, alterações de execução, previamente de fi nidas nele, serão permitidas, mediante aceitação da CONTRATANTE, por meio de documento aditivo ao PDT inicialmente aprovado; 4.2.8. Em caso de recusa do PDT, a CONTRATADA deverá reapresentá-lo com as correções indicadas para nova avaliação dentro do prazo estabelcido no item 3.2.3. O tempo necessário para as eventuais adequações será considerado parte integrante do "Prazo Contratada", não havendo prazo adicional. 5. ATRIBUTOS TÉCNICOS DOS SERVIÇOS 5.1. ATRIBUTOS GERAIS 5.1.1. O SOC tem por objetivo a prestação dos serviços de Gerenciamento de Vulnerabilidades; Monitoramento, Visibilidade e Resposta a Ataques Cibernéticos; Testes de Invasão; e Inteligência Aplicada à Segurança, além da realização de ações proativas voltadas à proteção do parque computacional da CONTRATANTE. 5.1.2. Para a prestação dos serviços de SOC, a CONTRATADA deverá abranger o parque tecnológico da CONTRATANTE, conforme Plataforma Computacional da CONTRATANTE vigente na data de assinatura do contrato, contemplando tecnologias, processos e pessoas. Visto que a Plataforma Computacional constitui referência dinâmica, a CONTRATADA deverá absorver eventuais atualizações ao longo da vigência contratual, garantindo a continuidade e qualidade dos serviços.

FIGURA 1: Topologia dos serviços SOC. MODALIDADE LOCALIZAÇÃO DA INFRAESTRUTURA LINK DEDICADO RESPONSÁVEL PELA INFRAESTRUTURA CONFORMIDADE LGPD Nuvem Privada Datacenter/nuvem da CONTRATADA Obrigatório CONTRATADA CONTRATADA Nuvem Pública Infraestrutura em nuvem pública Obrigatório CONTRATADA CONTRATADA Híbrido Misto (CONTRATADA + CCDs da CONTRATANTE) Obrigatório CONTRATADA CONTRATADA QUADRO 2: Modalidades de prestação dos serviços. 5.1.3. Em cenários de infraestrutura compartilhada, a CONTRATADA deverá comprovar segregação lógica e/ou física, isolamento de credenciais, separação de pipelines de coleta, e controles de acesso por contexto ( tenant ), prevenindo acesso cruzado.

5.1.4. Os serviços, independentemente da modalidade a ser entregue, deverão ser integrados ao ambiente tecnológico da CONTRATANTE, preferencialmente de forma nativa. Sua implementação não poderá causar degradação de desempenho ou gerar indisponibilidade no ambiente tecnológico da CONTRATANTE. 5.1.5. A estrutura do SOC, bem como todo o armazenamento, processamento, correlação, retenção e análise de dados, eventos, logs e evidências de segurança utilizados na prestação dos serviços, deverá estar localizada e operar exclusivamente em território brasileiro. O ambiente deverá adotar arquitetura de alta disponibilidade, com redundância total de componentes e dos links de comunicação, garantindo a continuidade dos serviços. A CONTRATADA deverá assegurar o monitoramento ininterrupto da disponibilidade e do desempenho do ambiente de TIC empregado na execução do contrato. 5.1.6. Para a comunicação entre os CCDs e o ambiente da CONTRATADA, deverá ser provido link dedicado, devidamente dimensionado para evitar a degradação do link de internet da CONTRATANTE. A conectividade deverá atender os requisitos: a) Modalidades MPLS VPN (IPSec), Direct Connect/ExpressRoute ou Circuito L2/L3; b) Criptogra fi a AES-256; c) Disponibilidade ≥ 99,7% e latência ≤ 50ms. 5.1.7. Além da criptogra fi a em trânsito, a CONTRATADA deverá assegurar criptogra fi a de dados em repouso (incluindo logs , artefatos e backups ), com gestão de chaves em mecanismo dedicado (ex.: HSM/KMS ou equivalente), com segregação de funções e trilhas de auditoria. 5.1.8. Todas as necessidades de hardware ( racks , cabeamento, conectores, servidores) , licenciamento de software, implantação, instalação, integração, suporte técnico e atualizações das soluções serão de responsabilidade integral da CONTRATADA. 5.1.9. A CONTRATADA deverá disponibilizar acesso à interface de monitoramento ininterrupto dos serviços, em conformidade com os SLAs ( Service Level Agreement ou Acordo de Nível de Serviço) de fi nidos nesta Especi fi cação Técnica. 5.1.10. A CONTRATADA deverá disponibilizar painéis dinâmicos ( dashboards ) em tempo real, apresentando indicadores de segurança e um score de nível de proteção do ambiente da CONTRATANTE. A CONTRATANTE poderá solicitar a criação ou adequação de painéis conforme suas necessidades. 5.1.10.1. O score de nível de proteção deverá possuir metodologia de cálculo previamente de fi nida, objetiva, auditável e homologada pela CONTRATANTE, incluindo critérios, pesos, periodicidade e fontes de dados utilizadas. 5.1.11. O gerenciamento dos serviços deverá permitir a utilização de per fi s de acesso distintos, para a administração de funcionalidades e o acesso a logs , bem como implementar autenticação de duplo fator (2FA) e registro e noti fi cação, em tempo real, de tentativas de autenticação mal sucedidas. 5.1.12. A CONTRATADA deverá aplicar controles de acesso e revogação imediata quando houver desligamento/substituição de recurso humano envolvido na prestação dos serviços. 5.1.13. Os controles de segurança dos serviços de SOC deverão ser realizados de forma a garantir a conformidade regulatória com: a) Lei de Direitos Autorais (Lei nº 9.610/1998); b) Lei Nº 13.709/2018 (Lei Geral de Proteção de Dados); c) Decreto nº 12.572, de 04 de agosto de 2025 (Política Nacional de Segurança da Informação); d) Instrução Normativa (IN) GSI/PR nº 1, de 27 de maio de 2020 (Estrutura de Gestão da Segurança da Informação); e) Instrução Normativa (IN) GSI/PR nº 3, de 28 de maio de 2021; f) Instrução Normativa (IN) GSI/PR nº 5, de 30 de agosto de 2021; g) Instrução Normativa (IN) GSI/PR nº 8, de 06 de outubro de 2025; h) Padrões ISO/IEC 27000, 27001, 27002, 27701, 29151, 29134, NIST CSF e MITRE ATT&CK.

5.2. SERVIÇO DE GERENCIAMENTO DE VULNERABILIDADES 5.2.1. O serviço deverá ser prestado em regime 24x7 (vinte e quatro horas por dia, sete dias por semana, incluindo feriados), contemplando os ativos apresentados na Plataforma Computacional e Lista de Ativos da CONTRATANTE, a serem diponibilizados à CONTRATADA na fase do PDT. TIPO DE ATIVO QUANTITATIVO Servidores (Físicos e Virtuais) 2.933 Ativos de rede e segurança 132 TOTAL 3.065 QUADRO 3 : Quantitativo de ativos. 5.2.2. As varreduras deverão ocorrer com periodicidade de 30 (trinta) dias corridos ou sob demanda da CONTRATANTE, mantendo-se o histórico integral de execução. 5.2.3. Realizar análises em sistemas operacionais, protocolos e dispositivos de rede (cabeados e wireless ), ambientes de nuvem, banco de dados, servidores físicos, virtuais e contêineres. A análise deve incluir a veri fi cação de hot fi xes, service packs , registros, serviços p eer-to-peer e portas habilitadas. 5.2.4. Realizar varreduras em busca de vulnerabilidades e exploits nos ativos, de modo intrusivo (ativo) e não intrusivo (passivo), mediante acordo prévio com a CONTRATANTE. 5.2.5. O serviço deve possuir capacidade de con fi guração de credenciais (usuário e senha) para realização de varreduras autenticadas em sistemas operacionais 5.2.6. Quanto as aplicações web , as análises devem contemplar tanto as aplicações monitoradas pelo serviço de Observabilidade em uso pela CONTRATANTE quanto aquelas não abrangidas por esse serviço, utilizando, quando aplicável, os levantamentos existentes e demais ferramentas de análise de vulnerabilidade como insumos complementares, incluindo a indicação de recomendações de solução. 5.2.7. O serviço deve possuir capacidade de de fi nir templates de con fi guração e de agendamento de scans . 5.2.8. O serviço deve possuir de fi nição de, no mínimo, 4 (quatro) níveis de criticidade de vulnerabilidades (crítico, alto, médio e baixo), que permitam medir o nível de risco dos recursos e sistemas encontrados. 5.2.9. O serviço deve permitir realizar alterações na classi fi cação dos ativos (atribuição de pesos distintos), podendo sobrescrever a classi fi cação atribuída automaticamente pelo serviço, conforme de fi nição da CONTRATANTE. 5.2.10. Permitir o acompanhamento histórico do nível de exposição da organização, por meio da implantação de um Gerenciamento Contínuo de Vulnerabilidades (GCV), de responsabilidade da CONTRATADA, abrangendo, no mínimo, indicadores de descoberta, priorização e remediação. 5.2.11. Possuir acompanhamento e permitir à CONTRATANTE a consulta da evolução das remediações realizadas nas vulnerabilidades encontradas. 5.2.12. Atualizar a lista dos ativos monitorados conforme solicitação da CONTRATANTE, contendo informações históricas sobre serviços e vulnerabilidades encontradas, por ativo. 5.2.13. Possuir gerenciamento por interface web (WebUI) via HTTPS ( Secure Hypertext Transfer Protocol ) ou console grá fi ca centralizada, para aplicação das políticas de segurança, administração e controle das funcionalidades dos serviços. 5.2.14. O serviço deverá ser compatível com versões estáveis e seguras do padrão Security Content Automation Protocol - SCAP e possuir integração com a base de dados de vulnerabilidades Common Vulnerabilities and Exposures - CVE. 5.2.15. Dispor de API ou conectores para integração com soluções de terceiros.

5.2.16. A CONTRATADA deverá noti fi car à CONTRATANTE, no prazo estabelecido no item 5.9 - ACORDO DE NÍVEL DE SERVIÇO - SLA, sobre a divulgação de vulnerabilidades de criticidade alta ou crítica - assim consideradas aquelas com pontuação igual ou superior a 7.0 no CVSS ( Common Vulnerabily Scoring System) Base Score - identi fi cadas em, no mínimo: a) bancos de dados universais e órgãos governamentais (como MITRE/NVD, CISA/KEV e CTIR Gov); b) boletins e alertas de segurança dos fabricantes dos ativos de hardware e software que compõem o parque tecnológico da CONTRATANTE, conforme apresentado na Plataforma Computacional e Lista de Ativos. 5.2.16.1. A noti fi cação deve ser formalizada, por chamado no ITSM da CONTRATADA, e conter, no mínimo: a identi fi cação do CVE, a descrição do impacto potencial para o ambiente da CONTRATANTE e a indicação dos ativos afetados. 5.2.16.2. Juntamente com a noti fi cação, a CONTRATADA deverá apresentar: medidas de correção (ex: aplicação de patches /atualizações) ou, na impossibilidade temporária desta, medidas de mitigação/contorno. 5.3. SERVIÇO DE MONITORAMENTO, VISIBILIDADE E RESPOSTA À ATAQUES CIBERNÉTICOS 5.3.1. O serviço deverá ser prestado em regime 24x7x365 (vinte e quatro horas por dia, sete dias por semana, incluindo feriados), contemplando todos os ativos apresentados na Plataforma Computacional e Lista de Ativos da CONTRATANTE. 5.3.2. A CONTRATADA deverá atuar na detecção, triagem, análise e resposta a incidentes de segurança, incluindo a de fi nição, criação e atualização de casos de uso e playbooks , sob as diretrizes e validações da CONTRATANTE. 5.3.3. Para suporte às atividades de monitoramento e resposta a eventos e incidentes de segurança, a CONTRATADA deverá realizar a coleta, normalização, fi ltragem, redução, agregação, priorização, processamento, armazenamento e correlacão de logs, assegurando o correto funcionamento, a e fi ciência e a con fi abilidade dos serviços prestados. 5.3.4. Os eventos deverão ser triados sob a classi fi cação Crítica, Alta, Média, Baixa ou Consulta, conforme descrito na Quadro 4. A criticidade de um evento somente poderá ser alterada com o respectivo aceite da CONTRATANTE. CRITICIDADE DESCRIÇÃO 1 – Crítica Impacto total e imediato. Interrupção de um dos sistemas classi fi cados como críticos na Análise de Impacto no Negócio (AIN). Violação massiva de dados sensíveis. 2 – Alta Impacto severo em um dos sistemas classi fi cados como críticos na AIN, mas com contorno temporário. Risco alto de escalada. 3 – Média Impacto moderado em um dos sistemas classi fi cados como críticos na AIN ou qualquer impacto nos demais sistemas. 4 – Baixa Impacto mínimo. Eventos que são bloqueados automaticamente ou tentativas sem sucesso. 5 – Consulta Elucidação de dúvidas, parametrizações, investigação de supostos erros e indicação de melhores práticas de uso da Licença. QUADRO 4 - Criticidade dos eventos de segurança. 5.3.5. O serviço deverá compreender, no mínimo, as seguintes camadas funcionais: a) Camada de coleta e triagem: I - Coletar informações de segurança em tempo real e realizar a gestão de eventos, a partir dos ativos de TIC do ambiente da CONTRATANTE monitorados;

II - Triagem de alertas; III - Execução dos playbooks ; b) Camada de análise, correlacionamento e detecção: I - Análise e correlacionamento de dados coletados, incluindo, no mínimo: Análise de comportamento de usuário; Análise de tráfego em nuvem; Análise de inteligência de ameaças cibernéticas; Análise de tráfego de aplicações web . Execução dos playbooks ; II - Detecção de incidente: Abertura de incidente no sistema ITSM da CONTRATADA; Execução dos playbooks ; Direcionamento para equipe responsável (2° nível da CONTRATADA ou ETIR Correios). c) Camada de resposta: I - incidentes de qualquer criticidade: atuação do 2° nível da CONTRATADA Execução dos playbooks ; Acionamento da ETIR Correios. 5.3.6. A CONTRATADA deverá elaborar casos de uso e respectivos playbooks (MPO - Manual de Procedimento Operacional), contendo, no mínimo: a) Identi fi cação: nome do cenário, objetivo, escopo; b) Gatilhos: condições de início; c) Fluxo de resposta: identi fi cação, contenção, erradicação, recuperação; d) Matriz RACI; e) Plano de comunicação e escalação; f) Atividades pós-incidente e lições aprendidas. 5.3.7. Alterações em casos de uso, regras e playbooks deverão seguir o fl uxo de aprovação, conforme de fi nido no PDT, com versão, justi fi cativa, evidências e rollback . 5.3.8. Compete à equipe técnica da CONTRATADA, mediante prévia aprovação da CONTRATANTE: a) Criar e con fi gurar conectores para coleta de logs e eventos dos ativos de TI; b) Criar alertas para noti fi cação acerca de eventos que possam ser classi fi cados como incidentes de segurança;