Favor indicar la cantidad total aproximada de activos que deberán ser licenciados y evaluados por la solución durante la vigencia del contrato, detallando en lo posible la distribución entre estaciones de trabajo, notebooks, servidores físicos y/o virtuales, dispositivos de red, appliances y otros activos.
De:
Aponte de Fischer, Nelida Rafaela
80070889-0 - Corporation Sekiura S.A.C.E.I
Consulta:
Favor indicar la cantidad total aproximada de activos que deberán ser licenciados y evaluados por la solución durante la vigencia del contrato, detallando en lo posible la distribución entre estaciones de trabajo, notebooks, servidores físicos y/o virtuales, dispositivos de red, appliances y otros activos.
El Pliego de Bases y Condiciones establece de manera expresa el alcance de licenciamiento: 264 activos de TI, con capacidad de crecimiento de hasta un 30 % sin costo adicional. Asimismo, detalla los tipos de activos que la solución debe poder escanear (sistemas operativos Windows Server, Linux y Unix; dispositivos de red; hipervisores y entornos virtualizados; bases de datos; servidores web y aplicaciones; dispositivos de almacenamiento SAN/NAS; infraestructura crítica; y contenedores Docker). No se requiere, para la presentación de ofertas, una distribución exacta por categoría de activos. El volumen total y los tipos listados constituyen el parámetro suficiente para el dimensionamiento de la solución. Cualquier detalle adicional de distribución interna será suministrado a los oferentes durante la visita técnica obligatoria presencial a realizarse en la sede del Palacio de Justicia (Dirección de Ciberseguridad y Protección de la Información - DCPI), conforme a lo previsto en el PBC. Decisión: Se mantiene el requisito sin modificación.
2
Plantillas preconfiguradas
Respecto al requisito de "Al menos 400 plantillas listas para usar en diferentes escenarios de escaneo", favor aclarar si se considerarán equivalentes las políticas, perfiles, controles, firmas, plugins, configuraciones o plantillas predefinidas provistas por la solución, siempre que permitan cubrir los distintos escenarios técnicos requeridos.
De:
Aponte de Fischer, Nelida Rafaela
80070889-0 - Corporation Sekiura S.A.C.E.I
Consulta:
Respecto al requisito de "Al menos 400 plantillas listas para usar en diferentes escenarios de escaneo", favor aclarar si se considerarán equivalentes las políticas, perfiles, controles, firmas, plugins, configuraciones o plantillas predefinidas provistas por la solución, siempre que permitan cubrir los distintos escenarios técnicos requeridos.
Se mantiene el requisito de "al menos 400 plantillas listas para usar en diferentes escenarios de escaneo" como indicador mínimo de madurez y amplitud de la base de conocimiento de la solución. El término "plantilla" debe entenderse en su sentido funcional y técnico: configuración predeterminada de escaneo que permite ejecutar análisis sobre distintos escenarios (sistemas operativos, dispositivos de red, bases de datos, aplicaciones, hipervisores, contenedores, etc.) sin necesidad de construir manualmente desde cero cada parámetro. Dado que las distintas soluciones del mercado denominan este mismo concepto de formas diferentes (Scan Template, Policy, Option Profile, Scan Profile u otras denominaciones equivalentes), se aceptará el cómputo de aquellos elementos preconfigurados de la plataforma ofertada que cumplan la función descrita, cualquiera sea el nombre técnico que el fabricante les asigne. El oferente deberá acreditar en su oferta técnica la cantidad de dichos elementos preconfigurados y su correspondencia con los tipos de activos listados en el PBC. El umbral mínimo de 400 se mantiene como criterio cuantitativo de evaluación. Decisión: Para mayor aclaración, remitirse a adenda del PBC.
3
Arquitectura de implementación
Respecto a las expresiones "Despliegue del software en infraestructura local de la CSJ" y "Configuración del servidor de administración", favor aclarar si se requiere que la totalidad de la plataforma, incluyendo consola de administración y almacenamiento de datos, se encuentre alojada dentro de la infraestructura de la CSJ, o si se admite una arquitectura SaaS/Cloud con agentes, scanners o appliances instalados localmente. Asimismo, favor indicar si se requiere alta disponibilidad o redundancia de dichos componentes.
De:
Aponte de Fischer, Nelida Rafaela
80070889-0 - Corporation Sekiura S.A.C.E.I
Consulta:
Respecto a las expresiones "Despliegue del software en infraestructura local de la CSJ" y "Configuración del servidor de administración", favor aclarar si se requiere que la totalidad de la plataforma, incluyendo consola de administración y almacenamiento de datos, se encuentre alojada dentro de la infraestructura de la CSJ, o si se admite una arquitectura SaaS/Cloud con agentes, scanners o appliances instalados localmente. Asimismo, favor indicar si se requiere alta disponibilidad o redundancia de dichos componentes.
El Pliego de Bases y Condiciones establece de manera expresa el "Despliegue del software en infraestructura local de la CSJ" y la "Configuración del servidor de administración". Esto implica que la consola de administración y el procesamiento central de los resultados (incluidos el almacenamiento y la gestión de los datos generados por los escaneos) deben poder instalarse y operarse dentro de la infraestructura de la Corte Suprema de Justicia. Se admite la utilización de agentes, scanners o appliances instalados localmente como complemento al despliegue local, cuando la solución lo requiera o aporte valor técnico. No se admite una arquitectura exclusivamente SaaS/Cloud en la que la consola de administración, el almacenamiento de datos y el procesamiento central de los resultados residan íntegramente fuera de la infraestructura de la CSJ (en la nube del fabricante u otro entorno externo). Componentes de tipo proxy, caché o gateway local (como mecanismos de agregación de tráfico de agentes hacia una plataforma externa) no sustituyen el requisito de que el servidor de administración y el procesamiento central se encuentren desplegados en infraestructura local de la CSJ. No se exige alta disponibilidad o redundancia formal más allá de las capacidades estándar que la solución ofrezca de manera nativa. Decisión: Para mayor aclaración, remitirse a Adenda del PBC.
4
Detección de malware
Respecto al requisito de "Detección de software malicioso conocido", favor aclarar si se requiere detección directa de archivos o procesos maliciosos en los equipos, o si se considera suficiente la identificación de vulnerabilidades, indicadores y exposiciones asociadas a malware conocido dentro del proceso de gestión de vulnerabilidades.
De:
Aponte de Fischer, Nelida Rafaela
80070889-0 - Corporation Sekiura S.A.C.E.I
Consulta:
Respecto al requisito de "Detección de software malicioso conocido", favor aclarar si se requiere detección directa de archivos o procesos maliciosos en los equipos, o si se considera suficiente la identificación de vulnerabilidades, indicadores y exposiciones asociadas a malware conocido dentro del proceso de gestión de vulnerabilidades.
La funcionalidad se refiere a la capacidad de la plataforma de identificar software malicioso conocido (indicadores de compromiso, hashes de archivos maliciosos conocidos, binarios o procesos asociados a malware conocido) en el contexto de los escaneos de vulnerabilidades, preferentemente mediante escaneos autenticados. No se exige un motor antivirus o antimalware en tiempo real equiparable a una solución EDR. Se trata de una capacidad de detección integrada al proceso de descubrimiento (discovery) y evaluación de vulnerabilidades, no de protección endpoint en tiempo real. Se recuerda que el oferente dispone de la columna "Especificaciones Técnicas Ofertadas" para indicar la forma en la cual cumple con el requisito en cuestión. Decisión: Se mantiene el requisito con la precisión de alcance señalada. Sin Adenda
5
Integraciones requeridas
Considerando que las EETT requieren "Integración con la infraestructura existente de la CSJ", favor especificar las plataformas o sistemas con los cuales se espera integración, tales como Active Directory, SIEM, SOC, sistemas de tickets u otras herramientas.
De:
Aponte de Fischer, Nelida Rafaela
80070889-0 - Corporation Sekiura S.A.C.E.I
Consulta:
Considerando que las EETT requieren "Integración con la infraestructura existente de la CSJ", favor especificar las plataformas o sistemas con los cuales se espera integración, tales como Active Directory, SIEM, SOC, sistemas de tickets u otras herramientas.
La integración con la infraestructura existente de la CSJ se refiere, de manera general, a la capacidad de la solución de interoperar con los sistemas institucionales que resulten necesarios para su correcta operación (por ejemplo, directorio activo para autenticación de usuarios de la consola, y mecanismos estándar de exportación o envío de alertas). Los detalles específicos de las plataformas y modalidades de integración constituyen información operativa y de carácter sensible y se precisarán durante la visita técnica obligatoria presencial y en la fase de implementación, a fin de adaptar la solución a la arquitectura real de la institución sin generar obligaciones de alcance indefinido en la etapa de presentación de ofertas. Las integraciones específicas que excedan la puesta a punto básica podrán cubrirse, según corresponda, con las horas de soporte técnico especializado previstas en el PBC. Decisión: Se mantiene el requisito, con la precisión de que el detalle operativo se definirá en la visita técnica e implementación.
6
Escaneos autenticados
Favor confirmar si la infraestructura permitirá la realización de escaneos autenticados mediante credenciales o mecanismos equivalentes para la evaluación de vulnerabilidades, parches faltantes y configuraciones de los sistemas operativos y dispositivos.
De:
Aponte de Fischer, Nelida Rafaela
80070889-0 - Corporation Sekiura S.A.C.E.I
Consulta:
Favor confirmar si la infraestructura permitirá la realización de escaneos autenticados mediante credenciales o mecanismos equivalentes para la evaluación de vulnerabilidades, parches faltantes y configuraciones de los sistemas operativos y dispositivos.
Se confirma que la infraestructura de la CSJ permitirá la realización de escaneos autenticados mediante credenciales o mecanismos equivalentes, en la medida en que resulten necesarios para una evaluación completa de vulnerabilidades, parches faltantes y configuraciones. Las condiciones de acceso y la gestión de credenciales se coordinarán con la DCPI durante la implementación, respetando las políticas de seguridad institucional. Decisión: Se confirma la viabilidad de escaneos autenticados. Remitirse a Adenda del PBC.
7
Uso de agentes
Considerando que las EETT establecen "Configuración de agentes en estaciones de trabajo (si aplica)", favor confirmar si se admite el uso de agentes instalados en endpoints y servidores como complemento al escaneo de red y, en caso afirmativo, indicar la cantidad aproximada de equipos en los cuales se prevé su instalación.
De:
Aponte de Fischer, Nelida Rafaela
80070889-0 - Corporation Sekiura S.A.C.E.I
Consulta:
Considerando que las EETT establecen "Configuración de agentes en estaciones de trabajo (si aplica)", favor confirmar si se admite el uso de agentes instalados en endpoints y servidores como complemento al escaneo de red y, en caso afirmativo, indicar la cantidad aproximada de equipos en los cuales se prevé su instalación.
Se confirma que el uso de agentes es opcional ("si aplica") y se admite como complemento al escaneo de red cuando la solución lo requiera o cuando aporte valor técnico. La cantidad aproximada de equipos en los que se instalarán agentes, de ser el caso, se definirá durante la fase de implementación y/o se informará en la visita técnica obligatoria, conforme a la arquitectura real de la CSJ y a las recomendaciones técnicas de la solución adjudicada. Como cantidad tope, el Pliego de Bases y Condiciones establece de manera expresa 264 activos de TI, con capacidad de crecimiento de hasta un 30 % sin costo adicional. Decisión: Se mantiene el requisito sin modificación.
8
Activos internos, externos y ubicación
Favor indicar la cantidad aproximada de activos internos y de direcciones IP públicas que deberán ser objeto de escaneo, así como si los mismos se encuentran concentrados en una única sede o distribuidos entre distintas sedes, circunscripciones judiciales, centros de datos o redes independientes.
De:
Aponte de Fischer, Nelida Rafaela
80070889-0 - Corporation Sekiura S.A.C.E.I
Consulta:
Favor indicar la cantidad aproximada de activos internos y de direcciones IP públicas que deberán ser objeto de escaneo, así como si los mismos se encuentran concentrados en una única sede o distribuidos entre distintas sedes, circunscripciones judiciales, centros de datos o redes independientes.
El PBC define el alcance por el volumen total de 264 activos (+30 %) y los tipos de activos listados, sin exigir una diferenciación formal entre activos internos y externos ni un inventario detallado de direcciones IP públicas para la presentación de ofertas. La distribución geográfica (sede única o múltiples sedes/circunscripciones) y la eventual existencia de activos externos constituyen información de carácter operativo y sensible. Dichos detalles serán suministrados a los oferentes durante la visita técnica obligatoria presencial a realizarse en la sede del Palacio de Justicia (DCPI). Decisión: Se mantiene el alcance establecido en el PBC. La información detallada se brindará en la visita técnica
9
Frecuencia y ventana de escaneo
Favor indicar la periodicidad mínima esperada para los análisis de vulnerabilidades y si existe alguna ventana horaria determinada dentro de la cual deban completarse los escaneos.
De:
Aponte de Fischer, Nelida Rafaela
80070889-0 - Corporation Sekiura S.A.C.E.I
Consulta:
Favor indicar la periodicidad mínima esperada para los análisis de vulnerabilidades y si existe alguna ventana horaria determinada dentro de la cual deban completarse los escaneos.
El PBC no establece una periodicidad mínima fija ni una ventana horaria obligatoria para la ejecución de los escaneos. La frecuencia y las ventanas de ejecución se acordarán operativamente con la DCPI durante la vigencia del contrato, considerando el impacto en la continuidad de los servicios judiciales y las mejores prácticas de la solución adjudicada. Decisión: No se modifica el PBC.
10
Aplicaciones web, nube y contenedores
Respecto al requisito de "Identificación de fallas en aplicaciones y sistemas", favor aclarar si el alcance contempla análisis dinámico de aplicaciones web publicadas. Asimismo, favor indicar si deberán ser evaluados activos alojados en nube pública o privada, contenedores, imágenes de contenedores o plataformas de orquestación.
De:
Aponte de Fischer, Nelida Rafaela
80070889-0 - Corporation Sekiura S.A.C.E.I
Consulta:
Respecto al requisito de "Identificación de fallas en aplicaciones y sistemas", favor aclarar si el alcance contempla análisis dinámico de aplicaciones web publicadas. Asimismo, favor indicar si deberán ser evaluados activos alojados en nube pública o privada, contenedores, imágenes de contenedores o plataformas de orquestación.
El PBC incluye expresamente "Servidores web y aplicaciones" y "Contenedores Docker" dentro de los tipos de activos soportados. La identificación de fallas en aplicaciones y sistemas contempla el análisis de aplicaciones web en la medida de las capacidades propias de una solución de vulnerability management, así como de contenedores. Respecto a activos en nube pública o privada, la solución debe poder evaluar aquellos que formen parte de los 264 activos licenciados y resulten alcanzables técnica y contractualmente. Los detalles de alcance específico se precisarán en la visita técnica y durante la implementación. Decisión: Se mantiene el requisito.