3. CONDICIONES TÉCNICAS
3.1 REQUERIMIENTOS
Servicio Soporte y Mantenimiento de la Plataforma de Comunicación y Seguridad Firewall y Balanceador de Carga (F5), Monitoreo de Ciberseguridad y Vulnerabilidades, por un plazo de entrega dequince (15) meses.
3.2. ESPECIFICACIONES TÉCNICAS
Son aquellos aspectos de carácter técnico o formal que en caso de no cumplirse por un oferente ameritará su descalificación inmediata del concurso, por relacionarse con aspectos imprescindibles e insustituibles del requerimiento. Para esta contratación esos elementos son los siguientes:
3.2.1 DESCRIPCIÓN DE LOS SERVICIOS
Objeto de la Contratación
La presente licitación tiene por objeto la contratación del servicio especializado de soporte técnico para la operación, administración y mantenimiento de la infraestructura de comunicaciones y ciberseguridad Firewall y Balanceador de Carga (F5) institucional, con el fin de garantizar la continuidad operativa, disponibilidad y adecuado funcionamiento de los dispositivos y servicios que soporta esta plataforma tecnológica de la Empresa.
El servicio deberá contemplar la provisión de personal técnico especializado en infraestructura de equipos firewall y Balanceador de Carga (F5) BIG-IP, mediante la asignación de dos técnicos residentes, los cuales realizarán las labores de de monitoreo y de administración, responsables de la atención de incidentes, ejecución de tareas de mantenimiento operativo, seguimiento de requerimientos técnicos y apoyo en la gestión diaria de la infraestructura, atención especializada en sitio en cualquier terminal de RECOPE. Además de un recurso de guardia para la atención de incidentes complejos, análisis técnico avanzado, implementación de cambios en la infraestructura de equipos de comunicación y seguridad perimetral y apoyo en actividades que requieran un mayor nivel de especialización.
La presente contratación consta de una única línea que se detalla a continuación:
PARTIDA N°1:
Línea N. 1: Servicio de soporte técnico especializado para monitoreo, administración y mantenimiento de la infraestructura de equipos de comunicaciones y seguridad Firewalls y F5 de la empresa, además de atención de incidentes y nuevas implementaciones de alta complejidad, como también análisis técnico avanzado de vulnerabilidades y ejecución de remediaciones.
Nota: Las condiciones correspondientes a la ejecución de la contratación se detallan en el apartado 3.6 “CONDICIONES APLICABLES PARA LA EJECUCIÓN CONTRACTUAL”, sección “3.6.6. Condiciones técnicas que El (la) contratista debe realizar”.
3.3. RANGOS DE TOLERANCIA
Para esta contratación y de conformidad con lo establecido en el artículo 44 inciso b) del Reglamento a la Ley General de Contratación Pública, se establecen los siguientes rangos de tolerancia:
|
Monto Estimado de la única Partida
(plazo 15 meses)
|
Rango mínimo de tolerancia
|
Rango máximo de tolerancia
|
|
$610 200,00
|
-10% del monto estimado
|
+10% del monto estimado
|
3.4. PRESUPUESTO DETALLADO
El(la) adjudicatario, deberá presentar dentro del plazo estipulado en las condiciones especiales de este documento, el presupuesto detallado, conforme el siguiente detalle:
|
PRESUPUESTO DETALLADO
|
|
COMPONENTES
|
MONTO
|
VALOR PORCENTUAL
|
|
|
|
|
|
Costos Directos
|
0,00
|
0%
|
|
Recursos materiales
|
0,00
|
0%
|
|
Mano de obra directa
|
0,00
|
0%
|
|
Cargas sociales
|
0,00
|
0%
|
|
Equipos y maquinaria
|
0,00
|
0%
|
|
Insumos directos
|
0,00
|
0%
|
|
Otros gastos directos
|
0,00
|
0%
|
|
Subcontratos
|
0,00
|
0%
|
|
|
|
|
|
Costos Indirectos
|
0,00
|
0%
|
|
Mano de obra indirecta
|
0,00
|
0%
|
|
Insumos indirectos
|
0,00
|
0%
|
|
Otros gastos indirectos
|
0,00
|
0%
|
|
|
|
|
|
Utilidad
|
0,00
|
0%
|
|
Imprevistos
|
0,00
|
0%
|
|
|
|
|
|
PRECIO DEL CONTRATO
|
0,00
|
0%
|
3.5. SISTEMA DE EVALUACIÓN DE LA OFERTA
3.5.1. Cláusulas de Admisibilidad.
1. El o la oferente deberán presentar en el detalle de su oferta, el desglose de la estructura del precio según lo indicado en el apartado 1.4 de este pliego de condiciones, para lo cual debe completar la siguiente información:
|
Componente del Precio
|
Detalle costos asociados
|
Valor Absoluto
|
Valor Porcentual
|
Índice Oficial Aplicable
|
|
Costos directos
|
|
0,00
|
0%
|
|
|
Costos indirectos
|
|
0,00
|
0%
|
|
|
Utilidad
|
|
0,00
|
0%
|
(*)
|
|
Imprevistos
|
|
0,00
|
0%
|
(*)
|
|
TOTAL
|
|
0,00
|
100%
|
|
(*) En cuanto al Índice Oficial Aplicable no aplica indicación alguna, ya que según el artículo 107 del Reglamento a la Ley de Contratación Pública, estos rubros no son sujeto de reajuste ni revisión de precios. Todos los demás apartados de la tabla deben ser aportados.
Nota: En caso de no resultar aplicable algún componente del precio, se deberá justificar el motivo por el cual no se establece valor alguno en el ítem respectivo. Cuando no se establezca el índice oficial aplicable, deberá indicar la razón por la cual no se contempla. Debe de incluir todos los componentes del precio.
2. Experiencia del oferente: Deberá demostrar una experiencia de cuatro (4) años, en la provisión del servicio de gestión operativa, soporte y mantenimiento de la plataforma de comunicaciones basada en dispositivos Firewall y balanceador de carga. La experiencia en dicha cantidad de años deberá ser acreditada con servicios realizados a entidades públicas o privadas a partir del 01 de enero del 2016.
Dicha experiencia será admisible únicamente si las actividades ejecutadas en los contratos presentados son similares a los requerimientos estipulados en el apartado “3.6.6. Condiciones técnicas que El (la) contratista debe realizar”. Se definen como contratos similares aquellos que se hayan ejecutado con actividades que involucren la administración, soporte y monitoreo de la infraestructura de redes y seguridad.
Para comprobar la experiencia requerida, deberán adjuntar en su oferta una carta emitida por el cliente, donde demuestre el tiempo de experiencia.
Esta carta deberá presentar la siguiente información:
2.1. Fecha de emisión.
2.2. Datos del Cliente: Nombre empresa, dirección, teléfono, nombre del contrato.
2.3. Periodo del servicio brindado.
2.4. Nombre del responsable del contrato por parte del cliente.
2.5. Objeto del servicio.
2.6. Numero de contratación en SICOP (cuando el servicio fue contratado por una entidad del Estado).
2.7. Cantidad de usuarios que reciben el servicio contratado.
2.8. Cantidad de equipos de comunicaciones y seguridad atendidos.
2.9. Esquemas de horarios atención en la contratación (8x5, 24x7)
2.10. Cantidad de sedes a nivel nacional atendidas con la contratación.
2.11. Debe indicar claramente la descripción de los servicios brindados al cliente.
2.12. Indica si hubo sanciones o incumplimientos contractuales.
2.13. Firma del representante de la empresa y cargo que ocupa.
2.14. La descripción de los servicios descritos en la carta debe estar en concordancia con los servicios requeridos del objeto de esta contratación. En caso contrario la carta no será tomada en cuenta para acreditar la experiencia.
Justificación de los años de experiencia:
Los cuatro (4) años de experiencia para el (la) oferente se fundamenta técnicamente en que este periodo no es una cifra arbitraria, sino que responde a los siguientes criterios de idoneidad y gestión de riesgos:
Complejidad Operativa y Continuidad de Misión Crítica: El objeto de esta contratación no es un soporte técnico estándar; abarca la atención de 11 terminales estratégicas, incluyendo el muelle petrolero y aeropuertos nacionales, cuya operación es de 24/7. Cuatro años de experiencia garantizan que el oferente ha superado al menos un ciclo completo de contratación de largo plazo en entornos de similar complejidad, demostrando madurez logística y técnica para manejar la infraestructura crítica de RECOPE.
Principio de Valor por el Dinero (Art. 8 LGCP): Conforme al Art. 94 del RLGCP, la experiencia es una condición de admisibilidad para asegurar la calidad. Solicitar 4 años de experiencia en entornos similares al objeto de esta contratación es necesaria para sostener el servicio durante todo el periodo contractual, minimizando el riesgo de abandono o quiebra técnica.
Mitigación de Riesgos Institucionales: La curva de aprendizaje en la gestión de la infraestructura de comunicaciones de las 11 terminales bajo estándares y ciberseguridad requiere un respaldo de experiencia comprobada. Menos años de experiencia aumentarían la vulnerabilidad de RECOPE ante oferentes inexpertos en la gestión de servicios masivos, lo cual vulnera el deber de protección de la plataforma tecnológica de comunicaciones institucional.
Sustento Legal: Esta exigencia se ampara en el artículo 94 del RLGCP, el cual facultan a la Administración para establecer requisitos que aseguren la calidad y solvencia, siempre que sean proporcionales a la magnitud del servicio, como ocurre en este caso.
Los 4 años actúan como el umbral mínimo de seguridad para garantizar que RECOPE no sea el escenario de experimentación de empresas nuevas, sino que el servicio sea ejecutado por un aliado estratégico con capacidad probada.
3. Personal técnico y Supervisor requerido en la etapa de ejecución contractual:
El oferente deberá aportar junto con su oferta la carta de compromiso donde manifieste que dispondrá del personal requerido en este objeto contractual para desarrollar las labores de ejecución contractual definidas. La Administración exigirá la documentación física comprobatoria (títulos, hojas de vida, certificaciones) al contratista, una vez dada la orden de inicio de la ejecución del contrato..
Dado que los requerimientos definidos para el personal técnico son condiciones invariables del pliego de condiciones de conformidad con el numeral 91 del RLGCP, el incumplimiento de los perfiles en dicha etapa será causal de resolución contractual.
Los requisitos técnicos y académicos del personal se detallan en el apartado 3.6 “CONDICIONES APLICABLES PARA LA EJECUCIÓN CONTRACTUAL”, sección “3.6.6. Condiciones técnicas que El(la) contratista debe realizar.”
3.5.2. Factores de Evaluación:
Para efectos de la evaluación de las ofertas se tomarán en cuenta los siguientes factores:
|
Nº Ítem
|
Factores Fundamentales
|
PORCENTAJE
|
|
1
|
Precio
|
80%
|
|
2
|
Criterio Social
|
15%
|
|
3
|
Código de Ética
|
3%
|
|
4
|
Condición PYME
|
2%
|
A. Criterio Precio:80%
El primer factor para evaluar es el precio, el cual tendrá un peso de valoración del 80% y se calculará de la siguiente manera:
|
Criterio Precio. Valor 80%
|
Puntuación
|
|
Precio menor (PM) ofrecido, multiplicado por el valor de puntuación (80), dividido entre el Precio Ofrecido (PO). Esto da como resultado la puntuación obtenida por el oferente.
(PM*80) / PO
|
(PM*80) / PO
|
B. Criterio Experiencia: 15%
Este factor tendrá un valor de 15% y será calculado conforme a la siguiente distribución:
|
Experiencia del Oferente y capacidad operativa. Valor 15%
|
Puntuación máxima
|
|
1. Ponderación por años de experiencia: se asignará un puntaje de acuerdo con los años de experiencia según la siguiente ponderación:
- De 4 años y 6 meses a menos de 5 años: 1%
- De 5 años a menos de 10 años = 3%
- De 10 años = 5%
|
5%
|
|
2. Ponderación por capacidad operativa: Se asignará un puntaje de acuerdo con el volumen por contrato de dispositivos de Seguridad Perimetral (Firewalls) y Balanceadores (F5) que hayan estado dentro del alcance del servicio, según la siguiente ponderación:
Volumen de dispositivos Firewalls:
- Entre 2 a 9 Firewalls = 0,5%
- Entre 10 a 19 Firewalls = 1%
- Entre 20 o más Firewalls = 3%
Balanceadores F5:
- Entre 1 a 2 F5´s = 0,5%
- Entre 3 a más F5´s = 2%
|
5%
|
|
3. Ponderación por complejidad operativa: Se asignará un puntaje por contrato de acuerdo con la complejidad operativa, considerando para tal efecto múltiples sedes a nivel nacional (entiéndase como múltiples sedes la ubicación de infraestructura de una misma entidad en diferentes partes del territorio nacional) y esquemas de horarios, según la siguiente ponderación:
- Contratos tipo multi sede:
- De 2 a 5 sedes = 1%
- De 6 a 10 sedes = 3%
- Contratos con esquemas de atención horaria:
- Solo esquema de 8x5 = 1%
- Varios esquemas= 2%
(para la obtención del puntaje de “varios esquemas” deberá acreditar al menos un horario de atención adicional al 8x5)
|
5%
|
La Administración evaluará la experiencia del oferente considerando la ejecución exitosa de contratos similares al de esta contratación.
Debe entenderse como servicios similares aquellos contratos que acrediten la prestación de servicios continuos de administración, soporte técnico, operación y monitoreo de infraestructuras de ciberseguridad y entrega de aplicaciones, contemplando como mínimo las siguientes actividades:
● Administración de Seguridad Perimetral: Operación, configuración y soporte de Firewalls de la marca Palo Alto Networks.
● Entrega de Aplicaciones: Administración, soporte y configuración de plataformas de balanceo de carga y aplicaciones de la marca F5 Networks.
● Gestión Centralizada: Experiencia en el uso de consolas de administración centralizada (tales como Panorama o BIG-IQ) para la orquestación de políticas, control de respaldos y gestión del ciclo de vida de los equipos.
● Alta Disponibilidad (HA): Experiencia comprobada en el mantenimiento, sincronización y pruebas de contingencia en entornos de clústeres y alta disponibilidad (Active/Standby o Active/Active).
● Gestión Integral del Ciclo de Vida: Ejecución de actualizaciones de firmware (ej. PAN-OS, TMOS), mitigación de vulnerabilidades (CVEs), aplicación de parches de seguridad y gestión de reemplazo de hardware (RMA).
● Resolución de Incidentes: Atención de incidentes, análisis de tráfico, resolución de problemas de conectividad y escalamiento técnico directo con los fabricantes.
Para la asignación del puntaje, el oferente deberá presentar como evidencia:
1. Constancias de experiencia del oferente y capacidad operativa
Deberá aportar la cantidad de constancias que considere necesarias para obtener los puntos indicados anteriormente según la cantidad de años con permanencia en el mercado, realizando servicios similares. Dichas certificaciones deben ser emitidas por el receptor del servicio (público o privado) y firmadas por la autoridad competente, indicando claramente:
Objeto del contrato: Detalle de las actividades de soporte realizadas.
Vigencia: Fecha de inicio y finalización.
Descripción del servicio contratado. (para ser tomado en cuenta dentro de la experiencia del oferente el servicio debe ser similar al objeto de esta contratación).
Entiéndase como similar la definición dada en el requerimiento de admisibilidad de la experiencia.
Desempeño: Calificación de 'Excelente' o 'Satisfactorio' (o indicación expresa de que el servicio se cumplió a entera satisfacción).
En cuanto al factor denominado capacidad operativa se asignará un puntaje de acuerdo con el volumen de dispositivos de Seguridad Perimetral (Firewalls) y Balanceadores (F5) por entidad ya sea pública o privada, conforme al detalle indicado anteriormente. Por lo cual debe de aportar el oferente la información que considere necesarias para obtener los puntos indicados.
La Administración se reserva la facultad de verificar la veracidad de la información con los contactos de referencia indicados en las certificaciones.
No se otorgará puntaje a certificaciones que omitan datos esenciales o que se refieran a objetos contractuales no relacionados con el servicio requerido en el objeto de esta contratación.
C. Criterio social – Compromiso ético del oferente: valoración 3%
Este factor para evaluar es el compromiso social, el cual tendrá un peso de valoración del 3% y se calculará de la siguiente manera:
|
Criterio: Compromiso ético del oferente.
Valor 3%
|
Puntuación máxima
|
|
Aporta código de ética:1%
Aporta evidencia que el código ha sido socializado entre los empleados: 2%.
|
3%
|
Se otorgará el 3% en la evaluación inicial a quienes se acrediten aportando el Código de Ética o Conducta Empresarial vigente, debidamente aprobado por su alta gerencia, el cual debe contener lineamientos explícitos para la prevención y detección de corrupción, soborno y abuso de accesos privilegiados. Para demostrar la veracidad de que dicho código ha sido socializado con todo el personal, el(la) oferente deberá presentar una certificación emitida por la dependencia interna competente, la cual debe estar respaldada obligatoriamente por un registro que permita la validación de este aspecto a efectos de otorgar la puntuación respectiva, como por ejemplo: reporte de cumplimiento que detalle: las fechas de las últimas jornadas de capacitación realizadas en el año previo a la oferta, el porcentaje de cobertura de la planilla (adjuntando un ejemplo del comprobante de asistencia o registro de finalización de curso virtual) y la ubicación de los canales de denuncia internos.
D. Criterio económico – Condición de empresa PYME: valoración 2%
|
Criterio: Condición de empresa PYME.
Valor 2%
|
Puntuación
|
|
No aporta certificación: 0%
Aporta certificación: 2%.
|
2%
|
Pymes. se otorgará un puntaje de 2 % a aquellos oferentes que se encuentren debidamente registrados ante el MEIC como PYME, en línea con lo indicado en el Artículo N°4 de la Política Nacional de Compras Públicas Sustentables, decreto N° 91-MH-MINAE-MEIC-MTSS como parte de la promoción de la participación de PYMES y la Ley N° 8262 Ley de fortalecimiento de las pequeñas y medianas empresas y sus reformas.
En aplicación del artículo 23 de la Ley General de Contratación Pública y 74 de su Reglamento, RECOPE verificará la condición PYME de los oferentes por los medios que el Ministerio de Economía, Industria y Comercio disponga al efecto.
En caso de cumplir se le adjudicará 2 puntos, de lo contrario no se adjudicarán puntos para este factor.
Ponderación final de los factores de evaluación:
|
PONDERACION FINAL DE CRITERIOS EVALUADOS POR OFERTA
|
PUNTAJE
|
|
Precio
|
80
|
|
Experiencia del oferente
|
15
|
|
Compromiso ético del oferente
|
3
|
|
Condición de empresa PYME
|
2
|
|
Total
|
100%
|
3.6. CONDICIONES APLICABLES PARA LA EJECUCIÓN CONTRACTUAL
3.6.1. Forma de pago: Se cancelará mensualmente por período vencido y contra factura.
3.6.2. Lugar de entrega: Todas las instalaciones de RECOPE.
3.6.3. Plazo de entrega: quince (15) meses.
3.6.4. Plazo de Ejecución, Fase de Transición y Comprobación de Idoneidad del Personal.
De la Orden de Inicio y la Fase de Transición:
Una vez que emitida la Orden de Inicio, se marcará de forma inmediata el arranque de una Fase de Transición y Alistamiento obligatoria de quince (15) días hábiles.
Esta fase tiene un carácter estrictamente preparatorio y de control técnico, por lo que no generará costo alguno para RECOPE, ni facultará al contratista a cobrar suma o mensualidad alguna durante su vigencia. El plazo contractual de operación comercial y el derecho al cobro del servicio iniciarán formalmente al día hábil siguiente de haberse aprobado por escrito esta fase.
De la entrega y validación de atestados del personal técnico:
Como condición invariable para la continuidad del contrato (según lo dispuesto en el artículo 91 del RLGCP), el(la) contratista debe cumplir obligatoriamente con el siguiente procedimiento durante la Fase de Transición:
Del día 1 al 5 hábil: El (la) contratista debe presentar ante el Administrador del Contrato la totalidad de los currículums, títulos académicos y certificaciones de la planilla definitiva de los profesionales y técnicos requeridos. Esta documentación física debe coincidir de manera exacta con el perfil requerido en el pliego de condiciones.
Del día 6 al 8 hábil: El (la) Administrador del Contrato revisará la documentación y emitirá el aval o rechazo motivado del personal propuesto.
En caso de que algún técnico no cumpla con el perfil, el (la) contratista dispondrá de un plazo único e improrrogable de tres (3) días hábiles para sustituir al personal por uno que sí cumpla a cabalidad con los atestados, dentro del margen total de la transición.
Del día 12 al 15 hábiles: Una vez avalado el personal, se procederá con estipulado en el apartado “3.6.5. Plazo de entrega”. Finalizado lo descrito en el apartado Plazo de entrega, se continuará con la entrega de accesos de red, configuración de credenciales.
Efectos del Incumplimiento en la Fase de Transición:
Si al finalizar el día cinco (5) hábil de la Fase de Transición el(la) contratista no entrega la documentación solicitada, o si al vencer el plazo total de quince (15) días hábiles no logra acreditar que el 100% de su personal cumple de forma estricta con las condiciones del pliego, la Administración no autorizará la continuidad efectiva del servicio.
Dicha situación se tipificará como un incumplimiento grave de las condiciones invariables del pliego de condiciones imputable al contratista, lo que facultará a RECOPE para suspender la fase, e iniciar de inmediato el procedimiento de resolución contractual por incumplimiento , sin que el(la) contratista pueda alegar falta de tiempo o indefensión.
3.6.5. Plazo de entrega: un día después de la orden de inicio.
La prestación efectiva del servicio se emitirá hasta que el Órgano Fiscalizador acredite y notifique el cumplimiento a la Dirección de Proveeduría de los requisitos previos indicados a continuación:
● Validación final de las certificaciones del personal técnico asignado (conforme a lo solicitado en el apartado de Perfiles del Personal).
● Firma de los Acuerdos Administrativos.
● Entrega de la matriz de escalamiento técnico y contactos operativos.
● Presentación de las pólizas vigentes exigidas y comprobante de estar al día con la CCSS.
● Formalización y entrega de accesos lógicos (VPN, Panorama, BIG-IQ) y físicos (carnets) para el personal del contratista.
El (la) contratista deberá cumplir con los requisitos previos antes de iniciar la prestación efectiva del servicio, en caso de resultar aplicable. A partir de la notificación de la orden de inicio en SICOP, el contratista dispondrá de 10 días naturales para completar dichos trámites; este periodo de preparación no será facturable. El tiempo de entrega del servicio iniciará formalmente un día después del cumplimiento a satisfacción de estos requisitos.
3.6.6. Condiciones técnicas que El (la) contratista debe realizar:
Dimensionamiento y Cobertura del Servicio.
Sección A:
A cerca de los requisitos técnicos del personal.
1. Personal técnico:
1.1 Personal técnico de Monitoreo: El (la) contratista debe aportar un técnico certificado en CrowdStrike, F5 y Palo Alto.
Cada técnico debe cumplir con la siguiente preparación académica y técnica:
● Certificación técnica: contar con certificación vigente en CrowdStrike: Falcon Administrador Learning Plan, F5: BIG-IP Setup y Palo Alto: Certified Security Operations Professional, deben presentar copia del título o certificación que lo acredite.
Experiencia: deberán contar con dos (2) años de experiencia en las siguientes tareas:
● Monitoreo y análisis de eventos de seguridad, alertas de endpoints y tráfico de red.
● Operación y monitoreo continuo de consolas de ciberseguridad (plataformas CrowdStrike, Firewalls NGFW y equipos F5).
● Detección, atención inicial y escalamiento de incidentes de seguridad (operaciones de SOC) y disponibilidad de la infraestructura.
Para comprobar este requisito, el(la) contratista debe aportar la prueba idónea que consiste en presentar una carta del representante legal de la empresa para cada técnico donde de acredite la experiencia indicando lo siguiente:
● Nombre de la empresa donde brindó el servicio.
● Fecha de inicio y finalización de las labores.
● Descripción de las tareas ejecutadas.
● Datos del responsable de contrato por parte de la empresa a la cual se le brindó el servicio como el nombre, puesto de trabajo, teléfono, correo electrónico.
1.2 Personal técnico de nivel 1: El (la) contratista debe aportar un técnico certificado en Palo Alto y F5.
Cada técnico debe cumplir con la siguiente preparación académica y técnica:
● Certificación técnica: contar con certificación vigente en Palo Alto Networks Certified Next-Generation Firewall Engineer y F5 Certified Administrator BIG-Ip (F5-CA, BIG-IP), deben presentar copia del título o certificación que lo acredite.
Experiencia: deberán contar con dos (2) años de experiencia en las siguientes tareas:
● Administración y configuración de equipos Firewall.
● Administración y configuración de soluciones F5 Networks.
● Atención de incidentes en infraestructura de seguridad perimetral y balanceo de carga/entrega de aplicaciones.
Para comprobar este requisito, el(la) contratista debe aportar la prueba idónea que consiste en presentar una carta del representante legal de la empresa para cada técnico donde de acredite la experiencia indicando lo siguiente:
● Nombre de la empresa donde brindó el servicio.
● Fecha de inicio y finalización de las labores.
● Descripción de las tareas ejecutadas.
● Datos del responsable de contrato por parte de la empresa a la cual se le brindó el servicio como el nombre, puesto de trabajo, teléfono, correo electrónico.
1.3 Personal técnico de nivel 2: El (la) contratista debe disponer de un (1) ingeniero certificado en Palo Alto y F5. Debe cumplir con la siguiente preparación académica y técnica:
● Certificación técnica: contar con certificación vigente en Palo Alto Networks Certified Next-Generation Firewall Engineer y F5 Certified Administrator BIG-Ip (F5-CA, BIG-IP), deben presentar copia del título o certificación que lo acredite.
Experiencia: debe contar con tres (3) años de experiencia en las siguientes tareas:
● Diagnóstico avanzado de fallas en plataformas de seguridad perimetral (Firewalls) y soluciones F5 Networks.
● Configuración avanzada de políticas de seguridad, objetos, zonas, balanceo de carga, perfiles de seguridad, así como puertos y aplicaciones.
● Análisis técnico, tunning y optimización de la infraestructura de seguridad y entrega de servicios.
Para comprobar este requisito, el(la) contratista debe aportar la prueba idónea que consiste en presentar una carta del representante legal de la empresa para cada técnico donde de acredite la experiencia indicando lo siguiente:
● Nombre de la empresa donde brindó el servicio.
● Fecha de inicio y finalización de las labores.
● Descripción de las tareas ejecutadas.
● Datos del responsable de contrato por parte de la empresa a la cual se le brindó el servicio como el nombre, puesto de trabajo, teléfono, correo electrónico.
Sección B:
A cerca de la desmejora del personal contratado.
En caso de que el Supervisor del Contrato RECOPE, en cualquier momento de la ejecución del servicio, detecte que el(la) contratista mantiene personal profesional o técnico menos calificado de lo exigido en el pliego de condiciones (por ejemplo, que no cumpla con los años de experiencia requeridos, las certificaciones solicitadas o el grado académico), documentará la falta y ordenará su inmediata sustitución.
El(la) contratista estará obligado a realizar la sustitución por un perfil que sí cumpla en el plazo máximo e improrrogable de los tres (3) días hábiles siguientes al recibo de la notificación orden escrita dictada por el Administrador del Contrato.
Asimismo, por el solo hecho de detectarse personal menos calificado, se aplicará al contratista una multa, por cada día de calendario en que el personal no calificado estuvo laborando o hasta que se haga efectiva su sustitución reglamentaria. El detalle de la multa se encuentra el punto N. 4. “Penalidad por incumplimiento en la sustitución del personal” en el apartado Cláusula por defectuosa ejecución, ubicado al final del pliego de condiciones.
Prohibición de desmejora del personal:
En ningún momento, ni al inicio, ni durante toda la vigencia de la ejecución contractual, el(la) contratista podrá desmejorar los requisitos de los profesionales y técnicos establecidos en este pliego de condiciones y en el contrato. El personal que se asigne o sustituya en el futuro deberá poseer calificaciones y experiencia iguales o superiores a las exigidas. Cualquier intento o acción de desmejora de los perfiles será catalogado automáticamente por RECOPE como un incumplimiento grave, facultando a la Administración a iniciar el procedimiento de resolución contractual por culpa del contratista y la ejecución de las garantías correspondientes.
Sección C:
A cerca de requisitos no funcionales de los técnicos Residentes:
● El (la) contratista debe atender la gestión operación y soporte de toda la infraestructura de comunicaciones Firewall y balanceador de carga (F5) de RECOPE en todas las terminales y sitios de la institución.
● El( la) contratista debe suministrar al menos un (1) técnico de nivel 1 y que estén residentes en sitio.
● El (la) contratista debe suministrar al menos un (1) técnico responsable del monitoreo.
● El (la) técnico de monitoreo debe atender en sitio las labores bajo el esquema de horario 24x7x365.
● El (la) técnico de nivel 1 debe atender en sitio las labores bajo el esquema de horario de 8x5 (8 horas x 5 días) de lunes a viernes.
● Los técnicos sitio deberán atender los incidentes que surjan en cualquier terminal de RECOPE por vía remota o en sitio según corresponda.
● Modalidad de Soporte Presencial (Técnicos Residentes)
Horario Base: El (la) contratista suministrará dos (2) técnicos residentes en sitio uno de monitoreo 24x7x365 y otro de Soporte y Administración de Nivel 1 8x5.
Sección D:
A cerca de los requisitos funcionales Gestión Operativa y Soporte.
Los técnicos nivel 1 y nivel 2: El (la) técnico residente 8x5 (nivel 1) y de guardia 24x7 (nivel 1 o nivel 2) serán responsables de la ejecución de las actividades técnicas asociadas a la operación, administración y soporte de la infraestructura de comunicaciones Firewall y Balanceador de Carga (F5), incluyendo, pero no limitado a:
● Atención y resolución de incidentes de nivel 1 y nivel 2 en plataformas de Firewall y Balanceador de Carga (F5) Networks.
● Ejecución de configuraciones en equipos de seguridad perimetral (Firewalls) y soluciones de balanceo/entrega de aplicaciones (F5).
● Implementación de cambios programados en la infraestructura de seguridad Firewalls y F5, conforme a los planes de trabajo aprobados. Para estos y cualquier otro trabajo de implementación adicionales programados debe utilizarse el recurso de guardia.
● Si las labores de alguna atención de incidentes o trabajos programados que se extiendan del horario del residente (8x5) debe ser atendido por el recurso de guardia cumpliendo con los tiempos y condiciones de SLA definidos.
● Gestión y aplicación de actualizaciones de firmware, software y bases de datos de firmas de seguridad.
● Participación en el control de cambios y validación post-implementación.
● Apoyo en la continuidad operativa de los servicios de seguridad perimetral y balanceo de tráfico.
● Asimismo, deberá coordinar y apoyarse con el técnico de monitoreo en las actividades relacionadas con la supervisión de la infraestructura de seguridad y F5, análisis de eventos (logs y tráfico) y validación del estado operativo de los equipos, cuando corresponda.
Ambos técnicos deberán operar de forma coordinada, asegurando la atención integral de los incidentes desde su detección hasta su resolución y validación.
El (la) contratista es responsable de ejecutar, de manera enunciativa más no limitativa, las siguientes actividades:
El(la) contratista además de operar y administrar las herramientas e Firewall Palo Alto, Panorama y BIG-IQ, debe ejecutar actividades orientadas a su optimización y maduración de la herramienta incluyendo:
● Operación y monitoreo diario de las herramientas.
● Optimización de las herramientas.
● Estabilizar parámetros, alarmas, eventos, entre otros.
Reporte Mensual (Entregables obligatorios): El(la) contratista debe entregar un reporte mensual donde debe incluir:
● Disponibilidad por sitio.
● Top de incidentes.
● Análisis de eventos.
● Alarmas relevantes vrs irrelevantes.
● Utilización de enlaces.
● Todos los indicadores y las metas solicitadas en la sección anterior.
● Recomendaciones técnicas.
Gestión de monitoreo y operación de los equipos firewall y Balanceador de Carga (F5): El(la) contratista debe ejecutar el monitoreo de la operación de la infraestructura de comunicaciones de firewall y Balanceador de Carga (F5), garantizando la detección temprana de incidentes, el análisis de comportamiento de los equipos de seguridad y la estabilidad operativa de los servicios:
● Monitoreo de la estabilidad infraestructura de comunicaciones.
● Seguimiento de eventos y alarmas.
● Análisis de disponibilidad de enlaces.
● Análisis básico de desempeño de la inspección de tráfico y balanceo de carga.
● Análisis de eventos de sistema, autenticación y configuración.
● Identificación de accesos no autorizados o intentos de acceso.
● Detección de cambios no planificados en configuraciones.
● Identificación de errores críticos o eventos recurrentes.
● Registro y reporte de hallazgos relevantes.
● Seguimiento y ejecución de Respaldos.
● Ejecución de acciones correctivas o escalamiento según corresponda.
Gestión de configuraciones y respaldos: El técnico residente de operación debe:
● Configuración de las tareas de respaldos de los equipos
● Verificación de integridad de los respaldos
● Control de versiones de configuraciones.
Gestión de firmware y sistemas operativos de seguridad (PAN-OS, TMOS)
● Verificación de versiones de firmware.
● Análisis de avisos del fabricante.
● Ejecución de actualizaciones aprobadas.
● Validación posterior a las actualizaciones.
Gestión de capacidad de los recursos de los equipos
● Análisis de ancho de banda consumido en las interfaces de los firewalls y F5.
● Análisis de consumo de los recursos.
● Generación de recomendaciones de mejora de capacidad.
Gestión de vulnerabilidades y seguridad de red
● Revisión de avisos de seguridad del fabricante.
● Identificación de vulnerabilidades en la infraestructura.
● Recomendaciones técnicas para mitigación.
Soporte en mantenimientos programados
● Ejecución de actividades técnicas durante ventanas de mantenimiento.
● Aplicar configuraciones.
● Ejecutar scripts.
● Validar conectividad.
● Aplicación de cambios aprobados.
● Validación posterior a cambios.
Gestión de Pruebas de restauración.
● Ejecución de las pruebas de restauración.
● Validación funcional del equipo restaurado en laboratorio.
● Coordinar la instalación física del equipo restaurado en el ambiente de producción.
● Verificación del funcionamiento y servicios del equipo.
Gestión de la continuidad operativa técnica: El técnico de operación o apoyo, del contratista, debe proponer de forma periódica mejoras técnicas orientadas a la optimización de la infraestructura de comunicaciones incluyendo:
● Configuraciones de equipos.
● Diseño de arquitectura de seguridad y balanceo.
● Arquitectura.
● Seguridad.
● Operación.
● Estas propuestas deberán:
▪ Estar debidamente justificadas bajo el criterio técnico.
▪ Incluir análisis de impacto, riesgos y mitigación.
▪ Indicar beneficios esperados.
▪ Contemplar plan de implementación
● Las mejoras complejas deben ser escalados al especialista Nivel 2.
● Todas las mejoras deben ser aprobadas por RECOPE y deberán ser implementadas por El(la) contratista como parte del servicio, sin costo adicional, siempre que se encuentren dentro del alcance contractual.
Restauración del estado Operativo: El (la) contratista debe garantizar que, posterior a cualquier intervención, mantenimiento, actualización o reemplazo:
● Los equipos de comunicaciones queden en estado operativo normal y totalmente funcionales.
● Se mantenga la continuidad de los servicios.
● Para ello El(la) contratista debe:
▪ Validar la operación de los servicios afectados.
▪ Ejecutar pruebas post implementación.
▪ Confirmar la estabilidad de las comunicaciones de los equipos.
● La indisponibilidad posterior a una intervención será considerada como incidente atribuible al contratista, salvo causas debidamente justificadas y aprobadas por la Administración.
● El técnico Nivel 1 será responsable de la validación técnica.
● Especialista en Nivel 2, será responsable de la validación de incidentes complejos, cuando aplique.
Gestión integral de respaldos:
● Ejecución de respaldo: es responsable el técnico residente de operación.
▪ Configuraciones.
▪ Firmware.
▪ Versiones de software.
▪ Licenciamiento.
● Además, debe ejecutar respaldos:
▪ En los periodos definidos (diario, semanal, mensual, según el requerimiento definido por RECOPE)
▪ Antes de cualquier cambio.
▪ Posterior a los cambios implementados exitosamente.
▪ Relanzar todos los respaldos fallidos en forma diaria.
● Asegurar el almacenamiento de los respaldos.
● Garantizar: es responsable el técnico residente de operación.
▪ Integridad de los respaldos.
▪ Disponibilidad para restauración inmediata.
▪ Control de versiones.
● Realizar pruebas de restauración periódicas según requerimiento de RECOPE.
● Documentar los resultados de las pruebas, esta documentación debe ser parte de los reportes mensuales para la gestión del pago mensual por el servicio.
Sustitución y reemplazo de equipos de comunicaciones: el técnico residente de operación debe:
● Ejecutar la sustitución de equipos o componentes suministrados por RECOPE.
● Realizar la instalación física y lógica.
● Aplicar configuraciones necesarias.
● Integrar el equipo a la red operativa.
● Además, debe:
▪ Validar conectividad y operación.
▪ Actualizar documentación técnica.
▪ Asegurar continuidad del servicio.
▪ Agregar los equipos a la herramienta Panorama o BIG-IQ.
● La sustitución deberá ejecutarse conforme a:
▪ Plan de trabajo aprobado.
▪ Ventanas de mantenimiento definidas.
● El técnico residente de operación deberá validar en la herramienta Panorama o BIG-IQ el estado y funcionamiento satisfactorio de los equipos.
● En los casos complejos de Firewall y Balanceador de Carga (F5), el técnico Nivel 1 debe escalar la tarea al especialista en Nivel 2 quien tiene la total responsabilidad de este apartado #22 y podrá recibir la colaboración validación del técnico residente.
● Documentar los resultados de las sustituciones y reemplazos, esta documentación debe ser parte de los reportes mensuales para la gestión del pago mensual por el servicio.
Escalamiento a fabricante: El(la) contratista debe escalar al fabricante (por ejemplo, soporte técnico de Palo Alto y F5 Networking) cualquier incidente que:
● No pueda ser resuelto en los tiempos establecidos en los SLA.
● Supere su capacidad técnica.
● Requiera intervención del fabricante.
● El(la) contratista debe:
▪ Abrir y gestionar el caso ante el fabricante.
▪ Dar seguimiento continuo hasta su resolución.
▪ Mantener informada a RECOPE sobre el estado del caso.
▪ Documentar las acciones realizadas y la solución aplicada.
▪ Incluir en el reporte mensual el caso y la solución.
● El escalamiento deberá realizarse dentro de un plazo máximo definido según la severidad del incidente.
● El escalamiento básico como problemas en descargas de firmwares, softwares, entre otros puede ser realizado por el técnico residente de operación.
● El escalamiento para la gestión técnica con el fabricante debe ser realizado por el especialista en Nivel 2.
Control de cambios: El técnico residente de operación o apoyo dEl(la) contratista debe:
● Elaborar un plan de trabajo previo a la ejecución de cualquier actividad que implique cambios en la infraestructura.
● Coordinar con RECOPE, las ventanas de mantenimiento.
● El plan de trabajo debe incluir como mínimo:
▪ Descripción de la actividad.
▪ Alcance técnico.
▪ Equipos afectados.
▪ Análisis de impacto, riesgos y mitigación.
▪ Plan de ejecución.
▪ Plan de reversión o rollback.
▪ Tiempo estimado.
▪ Responsables.
● El plan de trabajo debe ser:
▪ Revisado por el administrador del contrato.
▪ Ajustado según observaciones.
▪ Aprobado previo a su ejecución.
● Los cambios complejos deben ser escalados al especialista Nivel 2.
● Ningún cambio podrá ejecutarse sin aprobación formal de RECOPE.
Toda actividad que implique cambios en la infraestructura deberá contar con trazabilidad, aprobación previa y validación posterior, siendo responsabilidad del(la) contratista garantizar la estabilidad del servicio.
Gestión y atención de incidentes de seguridad: El(la) contratista debe atender todos los incidentes de la infraestructura de seguridad institucional, ejecutando de manera obligatoria y secuencial, como mínimo, las siguientes actividades:
● Detección y notificación
▪ Detectar incidentes a través de la herramienta institucional de monitoreo o por reporte de usuario.
▪ Registrar el incidente en la herramienta definida.
▪ Notificar a las áreas correspondientes conforme a la criticidad del evento.
● Clasificación y evaluación
● Clasificar el incidente según su nivel de severidad (crítico, alto, medio, bajo).
● Evaluar el impacto en la operación institucional (usuarios, servicios, sedes afectadas).
● Contención del incidente
● Ejecutar acciones inmediatas orientadas a aislar la causa del problema.
● Implementar medidas que eviten la propagación del incidente en la red
.
Diagnóstico y resolución
● Realizar el análisis técnico para determinar la causa raíz del incidente.
● Implementar una solución temporal o definitiva en el menor tiempo posible, conforme a los SLA establecidos.
● Escalar al especialista Nivel 2, el incidente cuando supere la capacidad del nivel de atención correspondiente y debe notificar a RECOPE.
Comunicación
● Mantener comunicación continua con las áreas afectadas y con la Administración.
● Informar el estado del incidente, avances y tiempos estimados de resolución.
Cierre y documentación
● Verificar la restauración del servicio afectado.
● Documentar el incidente, incluyendo causa raíz, acciones ejecutadas y solución aplicada.
Análisis post - incidente
● El especialista Nivel 2 debe elaborar un análisis post -incidente en caso de eventos críticos o recurrentes.
● Proponer acciones correctivas y preventivas para evitar la recurrencia.
Gestión predictiva y preventiva de la infraestructura: El(la) contratista debe ejecutar actividades de análisis predictivo y preventivo sobre la infraestructura de comunicaciones, tanto a nivel de hardware como de software, incluyendo:
● Revisión periódica del estado de salud de los equipos (CPU, memoria, interfaces, temperatura, errores)
● Identificación de condiciones anómalas o degradación progresiva
● Análisis de tendencias de comportamiento de los dispositivos.
● Detección anticipada de fallas potenciales.
● Generación de alertas preventivas.
● Ejecución de acciones correctivas o escalamiento oportuno según el nivel de complejidad.
Gestionar y actualizar la documentación técnica de la infraestructura, para ello El(la) contratista debe:
● Mantener actualizado el inventario técnico de la infraestructura de comunicaciones y seguridad, dentro de la herramienta de gestión Panorama, BIG-IQ entre otras.
● Documentar como mínimo:
▪ Ubicación
▪ Nombre del equipo
▪ Dirección IP
▪ Sistema operativo / firmware
▪ Marca y modelo
▪ Serie.
▪ Número de activo.
▪ Rol en la red
▪ Versiones y actualizaciones
▪ Estado de garantía
▪ Agentes o servicios habilitados.
▪ Nombre de la terminal.
▪ Departamento.
▪ Numero de activo.
● Mantener actualizados los diagramas:
▪ físicos
▪ lógicos
● Reflejar en la documentación todos los cambios realizados.
● Garantizar que la documentación se mantenga bajo los estándares definidos por la institución.
● Entregar reportes periódicos actualizados cuando surjan cambio o cuando Recope lo requiera.
El técnico residente de monitoreo: El técnico residente de monitoreo es responsable de la supervisión continua 24/7/365 de la operación de la infraestructura de comunicaciones y seguridad, garantizando la detección temprana de incidentes, el análisis de comportamiento del tráfico y la estabilidad operativa de los servicios mediante las herramientas de gestión centralizada CrowdStrike, Firewalls (Panorama), equipos F5 (BIG-IQ) y de 5 consolas de monitoreo adicionales, brindadas por RECOPE:
● Monitoreo de disponibilidad, capacidad y desempeño de los equipos.
● Monitoreo de la estabilidad de la infraestructura de seguridad y F5.
● Seguimiento de eventos, logs de tráfico, amenazas y alarmas.
● Análisis de disponibilidad de servicios, nodos de balanceo y túneles VPN.
● Análisis básico de desempeño de los equipos (procesamiento, memoria, sesiones concurrentes, SSL offloading).
● Análisis de eventos maliciosos de sistema, ejecucución, autenticación y configuración en CrowdStrike, Panorama y BIG-IQ.
● Identificación de accesos no autorizados, intentos de acceso o bloqueos por políticas de seguridad.
● Detección de cambios no planificados en políticas y configuraciones.
● Identificación de errores críticos o eventos de seguridad recurrentes.
● Registro y reporte de hallazgos relevantes.
● Seguimiento de Respaldos y de vencimientos de certificados.
● Ejecución de escalamiento según corresponda.
● Deberá utilizar la herramienta institucional de monitoreo basada en la plataforma Firewall Palo Alto, Panorama, Crowdstrike, BIG-IQ y 5 consolas adicionales propiedad de RECOPE, como medio principal para la supervisión, análisis y gestión operativa de la infraestructura de comunicaciones y seguridad.
Gestión administrativa: El(la) contratista debe cumplir con:
● Canales de comunicación:
▪ proporcionar cuentas de correo corporativo del personal asignado.
▪ designar un responsable técnico del contrato.
▪ establecer canales formales de comunicación.
Acceso a la infraestructura tecnológica: El(la) contratista y su personal técnico deberán:
● Firmar los acuerdos administrativos requeridos.
● Cumplir con las políticas de seguridad de RECOPE.
● Utilizar los accesos asignados exclusivamente para fines del servicio.
● El incumplimiento será considerado falta grave.
Transferencia de conocimiento: El(la) contratista debe brindar, cuando sea requerido por RECOPE, sesiones de inducción técnica de al menos 8 horas, que incluyan:
● Operación de la infraestructura.
● Configuraciones relevantes.
● Atención de incidentes.
● Buenas prácticas implementadas.
● Entregar material de apoyo.
● Documentar la transferencia impartida.
● La transferencia puede ser impartida por el técnico residente de operación.
● Incluir en el reporte mensual un apartado de transferencia técnica, con los objetivos, temas abordados, información relevante y las personas que tuvieron participación.
Gestión de Sustitución del Personal: para la sustitución programada del personal técnico El(la) contratista debe:
● Notificar con al menos 8 días hábiles de anticipación.
● Presentar la documentación probatoria del perfil del recurso sustituto.
● Garantizar equivalencia o superioridad en experiencia y certificaciones.
● En caso de ausencia temporal de los técnicos residentes, El(la) contratista podrá asignar de forma excepcional al especialista de nivel 2, siempre que:
▪ Se garantice la continuidad operativa del servicio.
▪ No se afecte la disponibilidad del soporte especializado.
▪ No represente costos adicionales para RECOPE.
▪ Esta sustitución será de carácter temporal y no podrá utilizarse como mecanismo permanente para la prestación del servicio.
● El(la) contratista debe garantizar la sustitución del personal en un plazo máximo de:
▪ Un (3) días hábiles para ausencias no programadas.
▪ Cero (0) días (inmediata) para ausencias programadas (vacaciones, permisos), debiendo estar previamente cubiertas.
● La sustitución del personal requiere la aprobación previa de RECOPE.
● El(la) contratista debe garantizar la transferencia de conocimiento entre el personal sustituido y el sustituto, de forma que no se afecte la continuidad operativa del servicio.
● El incumplimiento en la sustitución del personal dentro de los plazos establecidos será considerado como falta del servicio y dará lugar a la aplicación de las penalidades correspondientes en la facturación del mes.
● Asimismo, por el solo hecho de detectarse personal faltante, se aplicará al contratista una multa, por cada día de calendario en que el personal no estuvo laborando o hasta que se haga efectiva su sustitución reglamentaria. El detalle de la multa se encuentra el punto 4. “Penalidad por incumplimiento en la sustitución del personal” en el apartado 3.7 Cláusula por defectuosa ejecución, ubicado al final del pliego de condiciones.
● Para toda la gestión Administrativa, RECOPE designará su contraparte técnica para el seguimiento del servicio.
● Todas las actividades descritas deberán ejecutarse de forma proactiva y no únicamente bajo demanda o ante la ocurrencia de incidentes.
● El(la) contratista debe evidenciar una mejora continua y verificable en la calidad del monitoreo y la gestión operativa de los equipos de comunicaciones y seguridad, mediante el cumplimiento sostenido de los indicadores de desempeño (KPI), niveles de servicio (SLA) y tiempos de escalamiento establecidos, así como a través de la reducción de incidentes no detectados oportunamente y la disminución de eventos irrelevantes o falsos positivos, tomando como referencia las métricas base definidas al inicio del contrato. Las penalidades por incumplimiento de estos indicadores: El(la) contratista debe cumplir con las metas planteadas en los indicadores anteriores, en caso contrario se le aplicaran las penalidades detalladas en el punto 1. Penalidad General por Desempeño (Indicador SLA Global) en la sección 3.7. CLÁUSULA POR DEFECTUOSA EJECUCIÓN.
Sección E:
Análisis de Vulnerabilidades Anual y Pruebas de Penetración (Pentesting) con Retest: El(la) contratista debe ejecutar, de forma obligatoria al menos una (1) vez, un servicio especializado de análisis de vulnerabilidades y pruebas de penetración sobre los activos críticos de la Empresa, incluyendo de manera vinculante la posterior verificación física de las correcciones (retest). Este servicio se ejecutará bajo las siguientes condiciones:
Modalidades de Ejecución:
● Análisis de Vulnerabilidades Interno: Escaneo completo a nivel de red interna que abarque servidores (Linux, Windows, Active Directory), estaciones de trabajo, routers, puntos de acceso y switches corporativos.
● Pruebas de Penetración (Caja Blanca): Simulación de ataques avanzados con conocimiento previo de la infraestructura (credenciales, diagramas o código) para representar escenarios de amenazas internas o atacantes con información privilegiada.
Cobertura Geográfica: Las pruebas de análisis y penetración abarcarán los activos críticos distribuidos en las siguientes ubicaciones institucionales (GAM y Regionales):
● Edificio Hernán Garrón Salazar (Presencial).
● Terminales de Moín, El Alto de Ochomogo, Barranca, Garita, Turrialba y Siquirres (Remoto).
● Planteles de Aeropuertos: Juan Santamaría, Daniel Oduber y Tobías Bolaños (Remoto).
Proceso Obligatorio de Retest (Verificación de Remediaciones):
● Una vez entregado el informe final de hallazgos, se procederá con las labores de mitigación. El(la) contratista está obligado contractualmente a realizar una fase de retest técnico para validar la efectividad de las correcciones implementadas.
● El retest se ejecutará de forma obligatoria dentro de un plazo de 60 a 90 días calendario posteriores a la entrega del informe original.
● Comprenderá la re-evaluación técnica de cada una de las vulnerabilidades que hayan sido clasificadas originalmente con niveles de criticidad Crítico, Alto y Medio, calculadas formalmente bajo los estándares internacionales CVSS v3.1 o v4.0.
● El(la) contratista emitirá un informe definitivo de retest detallando el estado de cada brecha (Corregida, Parcialmente Corregida, No Corregida o Nuevo Hallazgo). Este componente de validación se considera incluido en el costo ordinario de la tarifa plana mensual, por lo que no generará cobros adicionales de ninguna naturaleza.
Entregables del Servicio:
● Informe técnico detallado e informe ejecutivo que especifique la criticidad, recomendaciones de remediación y asignación de responsables.
● Sesión de trabajo técnica con RECOPE para la exposición y aclaración de dudas.
Plataforma de Detección y Remediación de Vulnerabilidades: El(la) contratista debe proveer, instalar, mantener y soportar localmente, durante toda la vigencia de la contratación, una plataforma avanzada para la gestión de vulnerabilidades con cobertura para 1.500 endpoints de la institución. Esta plataforma tecnológica deberá cumplir de forma obligatoria con los siguientes requisitos mínimos:
● Arquitectura y Agente Único: Operar bajo la modalidad de nube (SaaS) con consola única y unificada, bajo una arquitectura multitenant nativa que permita la segregación lógica de activos y múltiples roles de usuario.
▪ Requiere un agente único y liviano con paridad funcional total para los sistemas operativos Windows, Linux y macOS, apto para servidores y estaciones de trabajo con bajo consumo de recursos (CPU y memoria).
▪ El agente debe contar con capacidades de auto-actualización y modo desconectado (almacenamiento local de resultados y reenvío automático al restablecer la conectividad).
Funcionalidades y Motor de Riesgo:
● Brindar visibilidad, evaluación continua y detección de vulnerabilidades en tiempo real. Cualquier modificación del inventario de software o activos debe reflejarse instantáneamente en la consola.
● Poseer un motor de priorización contextual del riesgo que combine la criticidad del activo, la exposición a Internet, el contexto de negocio, las dependencias de la aplicación y la presencia de exploits activos en el mundo real.
● Capacidad de ejecutar parcheo virtual / protección sin parche en tiempo real para mitigar la explotación de software ante vulnerabilidades de día cero (Zero-Day), aplicaciones heredadas (legacy) o sistemas con ventanas de mantenimiento restringidas, empleando técnicas de protección en memoria.
● Permitir la remediación autónoma mediante la aplicación automatizada de correcciones según criterios de riesgo predefinidos, abarcando tanto actualizaciones del sistema operativo como un amplio catálogo de aplicaciones de terceros.
● Disponer de un repositorio y biblioteca de scripts públicos y propios (Bash, PowerShell) para tareas de mitigación, hardening de servidores y respuesta a incidentes, ejecutables de manera masiva o programada desde la consola única.
Sección F:
A cerca de la Matriz de SLA, escalamiento, medición.
● El(la) contratista debe considerar la siguiente clasificación de incidentes y propuesta de SLA’s por severidad.
Prioridad 1 – P1 (Crítico): Incidentes que provocan:
● Caída total de una o varias terminales.
● Pérdida total de conectividad perimetral.
● Indisponibilidad de servicios críticos de comunicación perimetral.
● Afectación generalizada de usuarios.
Prioridad 2 – P2 (Alto):
● Degradación significativa del servicio.
● Pérdida parcial de conectividad.
● Afectación de múltiples usuarios o servicios.
● Fallas en equipos o dispositivos de distribución.
Prioridad 3 – P3 (Medio):
● Incidentes que afectan usuarios o áreas específicas.
● Fallas no críticas.
Prioridad 4 – P4 (Bajo):
● Nuevas solicitudes de conectividad.
● Cambios menores como configuración para usuarios en filtrado de contenido y navegación, políticas específicas con puertos, Zonas de seguridad, interfaces virtuales, VLANs, entre otros.
● Incidentes sin impactos operativo inmediato.
Tiempos de atención (SLA’s): Los tiempos requeridos de respuesta, diagnóstico y solución conforme a cada nivel de prioridad se describen en la siguiente tabla.
|
Prioridad
|
Tiempo de respuesta
|
Tiempo de diagnóstico
|
Tiempo de solución o mitigación
|
|
P1
|
≤ 15 minutos
|
≤ 30 minutos
|
≤ 4 horas
|
|
P2
|
≤ 30 minutos
|
≤ 1 hora
|
≤ 8 horas
|
|
P3
|
≤ 1 hora
|
≤ 4 horas
|
≤ 24 horas
|
|
P4
|
≤ 4 horas
|
≤ 8 horas
|
≤ 72 horas
|
El tiempo de solución o mitigación, será considerado como satisfactorio cuando se logre restablecer el servicio en el tiempo fijado según la prioridad, aunque la causa raíz siga en análisis. Esto debe ser incluido en el reporte mensual.
El(la) contratista debe considerar que los incidentes de severidad P1 y P2 aplican 24x7x365 mediante el recurso de guardia. Los incidentes clasificados con estas prioridades y aquellos que no puedan ser resueltos en los tiempos de diagnóstico establecidos deberán ser escalados a soporte especializado Nivel 2.
Reglas para el escalamiento: El(la) contratista debe cumplir con los tiempos de escalamiento conforme a la prioridad establecida en la siguiente tabla:
|
Prioridad
|
Tiempo máximo de escalamiento
|
|
P1
|
≤ 15 minutos
|
|
P2
|
≤ 30 minutos
|
|
P3
|
≤ 1 hora
|
|
P4
|
≤ 4 horas
|
Condiciones obligatorias: El(la) contratista debe cumplir con las siguientes condiciones obligatorias para el escalamiento de los incidentes a soporte especializado Nivel 2 cuando:
● No se logre diagnóstico dentro del tiempo definido.
● Se requiera conocimiento avanzado en arquitectura y diagnóstico de fallas (troubleshooting), entre otros.
● Se trate de incidentes críticos (P1).
● Exista riesgo de incumplimiento de SLA’s.
INDICADOR SLA: parámetro para determinar la medición de cumplimiento.
Indicador del SLA: se calcula mediante la siguiente fórmula.
Cumplimiento = (Incidentes atendidos dentro del SLA / Total de incidentes) x100
Meta de cumplimiento: mensualmente ≥ 95%
Reglas de medición:
a. Cada incidente deberá contar con:
● Hora de registro.
● Hora de inicio de atención.
● Hora de diagnóstico.
● Hora de solución.
b. La medición será mensual.
c. Serán excluidos de la medición.
● Incidentes atribuibles a terceros (previa justificación).
● Mantenimientos programados aprobados.
Todos los incidentes serán registrados en la “Plataforma TIC”.
Penalidades por incumplimiento de SLA: El(la) contratista debe cumplir con las metas planteadas en los indicadores anteriores, en caso contrario se le aplicaran las penalidades detalladas en el punto 1 de la sección 3.7. CLÁUSULA POR DEFECTUOSA EJECUCIÓN.
El(la) contratista debe cumplir con los indicadores de desempeño, niveles de servicio (SLA) y entregables definidos, los cuales serán medidos de forma mensual y sujetos a penalidades en caso de incumplimiento.
Matriz de Niveles de soporte: La siguiente matriz define ejemplos de algunos tipos de incidentes asociados a la infraestructura basada en tecnologías de Palo Alto Networks y F5 Networks de RECOPE y su atención según el nivel de soporte.
|
Tipo de Incidente
|
Ejemplo
|
Nivel de atención inicial
|
Escalamiento
|
SLA típico
|
|
Firewall
|
Caída total de los equipos Pasivo y Activo
|
Residente
|
Nivel 2 inmediato
|
P1
|
|
Firewall
|
Caída de una interfaz. Caída del activo o pasivo
|
Residente
|
Nivel 2 si persiste
|
P2
|
|
Panorama
|
Fallos de sincronización
|
Residente
|
--
|
P2
|
|
Panorama
|
Fallos en las políticas específicas y comunes
|
Residente
|
Nivel 2
|
P1
|
|
BIG-IQ
|
Caída de BIG-IQ
|
Residente
|
Nivel 2 inmediato
|
P1
|
|
F5-BIGIP
|
Caída total de los equipos Pasivo y Activo
|
Residente
|
Nivel 2 inmediato
|
P1
|
|
F5-BIGIP
|
Caída de una interfaz. Caída del activo o pasivo
|
Residente
|
Nivel 2 si persiste
|
P2
|
Tipos se incidentes por complejidad.
● Nivel Operativo: serán atendidos por los técnicos residentes.
▪ Verificación de estado de interfaces.
▪ Reinicio de servicios.
▪ Validación de conectividad.
▪ Revisión de logs básicos.
▪ Cambios de configuración estándar.
● Nivel técnico: será atendido por el técnico residente, estos incidentes requieren un nivel avanzado de conocimiento y experiencia de los técnicos, los incidentes se relacionan con:
▪ Cambios en políticas y perfiles de seguridad.
▪ Ajustes de configuraciones.
▪ Aplicación de respaldos.
▪ Validación de flujos de tráfico y políticas de NAT.
● Nivel especializado: estos serán atendidos por el especialista Nivel 2 asignado a la guardia técnica, incluye los incidentes relacionados con:
▪ Análisis complejo de descifrado SSL/TLS.
▪ Identificación de errores o fallas (bugs)
▪ Troubleshooting avanzado.
▪ Configuraciones complejas de Subinterfaces, túneles VPN (IPSec/GlobalProtect) y enrutamiento.
▪ Configuraciones complejas en clústeres de Alta Disponibilidad (HA) de Firewalls
▪ Problemas intermitentes complejos.
▪ Rediseño de configuración.
▪ Análisis de tráfico.
▪ Incidentes no resueltos en nivel operativo.
Reglas obligatorias de asignación: Todo incidente deberá ser atendido inicialmente por el técnico residente, cuando el técnico residente no logre resolver en el tiempo estipulado en punto 2 Tiempos de Atención y el punto 5 Reglas de Escalamiento debe escalarse de forma inmediata.
Escalamiento de incidentes: El incidente deberá escalarse a soporte especializado cuando:
▪ Se clasifique como P1 y el técnico en sitio no logre resolverlo en el tiempo establecido.
▪ No se logre diagnóstico en el tiempo definido.
▪ Requiera análisis avanzado.
▪ Exista riesgo de impacto mayor.
Ejemplos de atención y escalamiento: se presentan algunos ejemplos, pero no se limitan a:
▪ Caso 1: Caída de equipos o interfaces (Firewall o F5).
▪ El técnico residente verifica el equipo.
▪ Se reinicia la interfaz.
▪ Se realiza la validación con el proveedor de servicio.
▪ Si la afectación no se debe al proveedor de servicios y no se resuelve.
▪ Se procede a escalar al especialista Nivel 2.
▪ Caso 2: cambio o configuración de Políticas y Parametrización.
▪ El técnico residente ejecuta el cambio o configuración requerida.
▪ Caso 3: Problemas de bloqueos o pérdidas de comunicación:
▪ El técnico residente realiza el diagnóstico.
▪ El técnico residente intenta resolver el incidente.
▪ El técnico residente no logra identificar la causa del incidente, pero reestablece el servicio a su normalidad, mediante solución temporal.
▪ El técnico residente puede escalar el caso al TAC de Palo Alto y F5.
▪ Si la causa raíz no se logró identificar se debe escalar al especialista Nivel 2.
▪ Caso 4: Configuración de F5.
▪ El técnico residente revisa y verifica.
▪ Si no resuelve, se procede a escalar al especialista Nivel 2.
Sección G:
A cerca del Control, Seguimiento y Fiscalización del Servicio.
Principio de Control: RECOPE realizará el control y fiscalización del servicio con base en evidencia objetiva, verificable y trazable, sustentada en herramientas institucionales, sistemas de registro y entregables del contratista.
Mecanismos de Control: Para la verificación del cumplimiento contractual se realizará mediante:
▪ Herramientas de Monitoreo: Estas herramientas serán las provistas por RECOPE.
▪ Plataformas institucionales CrowdStrike, Panorama, BIG-IQ y 5 consolas adicionales.
▪ Validación de:
▪ Bloqueos y tráfico.
▪ Eventos y alarmas.
▪ Desempeño de dispositivos.
▪ Cobertura del monitoreo.
▪ Sistema de gestión de incidentes (tickets): Todo incidente deberá ser registrado el sistema de gestión de tiquetes de RECOPE llamado Plataforma TIC.
▪ Cada tiquete incluirá como mínimo:
● Fecha y hora de registro.
● Clasificación (P1, P2, P3, P4).
● Descripción del incidente.
● Acciones realizadas.
● Hora de inicio de atención.
● Hora de diagnóstico.
● Hora de solución.
● Evidencia de cierre.
● Técnico que atiende.
▪ Roles y responsabilidades: Se establecen roles y responsabilidades para RECOPE y para el contratista.
▪ La Administración: se encargará de la supervisión.
● Validar cumplimiento de SLA y los indicadores de gestión (KPI).
● Validar el cumplimiento del objeto de esta contratación.
● Revisar reportes.
● Aplicar penalidades.
▪ Contratista: debe cumplir con:
● Ejecución de todas las actividades en este pliego.
● Registrar todas las actividades.
● Garantizar trazabilidad.
● Entregar reportes.
● Cumplir indicadores.
▪ Proceso de medición: La Administración podrá contrastar la información reportada con los registros de las herramientas institucionales.
▪ Frecuencia.
● Mensual.
● Cuando RECOPE lo requiera.
▪ Fuentes de información:
● Sistema de monitoreo CrowdStrike, Panorama y BIG-IQ.
● Sistema de la Plataforma de Servicios TIC.
● Reportes mensuales del contratista.
▪ Reportes obligatorios: El(la) contratista debe entregar un informe mensual que incluya al menos lo siguiente:
▪ Operación:
● Disponibilidad de los equipos de comunicaciones y seguridad.
● Incidentes atendidos.
● Cumplimiento de SLA.
● Cumplimientos de indicadores (KPI).
▪ Monitoreo:
● Eventos generados.
● Alarmas relevantes vs irrelevantes
● Cobertura de monitoreo.
● Calidad de Monitoreo.
● Disponibilidad de monitoreo.
▪ Capacidad y desempeño.
● Consumo de recursos de los equipos.
● Tendencias.
● Bloqueos y denegaciones.
▪ Respaldos:
● Ejecución.
● Integridad.
● Pruebas de recuperación.
▪ Soporte especializado Nivel 2:
● Incidentes atendidos.
● Resultados obtenidos.
▪ Recomendaciones:
● Mejoras técnicas.
● Riesgos identificados.
▪ Aplicación de penalidades.
● Se realizarán en forma mensual.
● Basada en los indicadores definidos.
● Sustentada en evidencia.
▪ Trazabilidad y auditoría: Todas las actividades ejecutadas deberán ser trazables y estar debidamente documentadas, RECOPE podrá:
● Solicitar evidencia.
● Realizar auditorías.
● Verificar registros históricos en Panorama o BIG-IQ y de la plataforma TIC.
▪ Control de calidad del servicio: El(la) contratista debe demostrar mejora continua en la calidad del servicio, mediante el análisis comparativo de indicadores a lo largo del tiempo.
Sección H:
A cerca de otras condiciones.
En caso de que RECOPE requiera coordinar alguna reunión al inicio de la contratación, el(la) contratista debe considerar lo siguiente:
▪ Cuando RECOPE lo considera necesario, podría solicitar una reunión de planificación, dos días hábiles después de recibida la orden de inicio, en el piso 6 del Hernán Garrón, el fin de programar sesiones de trabajo para el personal técnico, presentación de los involucrados en ambas partes, personal técnico, charla de seguridad y la entrega de los primeros entregables y documentación de la empresa solicitados para los permisos respectivos.
▪ RECOPE podría coordinar una reunión inicial o sesión de trabajo durante los siguientes 10 días hábiles con el personal técnico, para la inducción en los temas generales y específicos requeridos para la prestación del servicio y utilización de la plataforma Panorama y BIG-IQ.
▪ Debe presentarse a la sesión de trabajo con el personal técnico que aportarán para la prestación del servicio, en caso de ser una representación a criterio del contratista, queda bajo su responsabilidad retroalimentar a los técnicos que se ausenten en la inducción dada por RECOPE, para proporcionarles los temas técnicos y funcionales tratados, de forma que todos los técnicos del contratista cuenten con los mismos conocimientos, actualizaciones para la prestación del servicio adecuada y uniforme en todos los planteles.
▪ El (la) contratista es responsable de la gestión administrativa relacionada a su personal técnico asignado para la atención de las solicitudes de servicio y demás gastos o eventualidades que genere la prestación de los servicios técnicos.
El (la) contratista debe proporcionar el listado de su personal técnico y administrativo, para el seguimiento y control del contrato, en cuanto a los permisos de ingreso a las terminales y el escalamiento de las solicitudes o atención de incidentes.
Para el ingreso a cada terminal donde se debe brindar los servicios, El(la) contratista debe tomar en cuenta que su personal debe asistir a las charlas de seguridad, ya que debe presentar al ingreso la documentación actualizada y medidas de seguridad requeridas. Dichas charlas se deben gestionar antes del inicio de la ejecución contractual y ser renovadas en los tiempos que así lo requieran. Sin excepción, deben asistir a la charla de seguridad, esto es obligatorio para el ingreso y soporte técnico en cada terminal.
El(la) contratista debe asegurar que todo su personal asignado a brindar el servicio, cuenten con: pólizas solicitadas con el nombre y número de cédula de cada técnico, copia de la cédula, vestimenta completa acorde con lo establecido por el Departamento de Salud, Ambiente y Seguridad, la cual es la siguiente: camisa o camiseta de algodón con el logo de la empresa del contratista, pantalón de mezclilla largo, zapatos cerrados con puntera reforzada y suela antideslizante, casco de seguridad y chaleco reflectivo de seguridad.
El(la) contratista debe asegurar que su personal técnico cuente con el carné, firmado por el departamento de SAS y el supervisor del contrato, que lo identifique como personal del contratista con fotografía para que el oficial de seguridad de RECOPE verifique que es un técnico autorizado y con permiso de ingreso.
Si el un técnico asignado a ingresar a la terminal para la atención de los servicios no puede ingresar por incumplimiento en las medidas de seguridad como pólizas vencidas requeridas por el Departamento de Salud Ambiente y Seguridad (SAS), el contratista, se expone a una multa por defectuosa ejecución descrita en el punto 5 “incumplimiento de las medidas de seguridad”, en la sección CLÁUSULA POR DEFECTUOSA EJECUCIÓN.
El (la) contratista debe comunicar de inmediato a RECOPE, cuando un técnico deje de laborar para su representada o deje de prestar el servicio, esto para tomar las previsiones del caso en cuanto a seguridad, control de acceso, cierre de permisos y contactos, entre otros.
En caso de que RECOPE lo solicite, el(la) contratista debe atender una (1) vez al mes reuniones para dar seguimiento a diferentes actividades, con el fin de coordinar previa y posteriormente los trabajos asignados en la atención de los tiquetes o solicitudes. Esta reunión será con la jefatura del departamento o cualquier funcionario que este asigne y el supervisor del Contrato por parte de RECOPE. Las reuniones de seguimiento deberán llevar una bitácora la cual será leída y una vez aprobada deberá ser firmada por cada una de las partes.
El (la) contratista debe proporcionar todas las herramientas, equipos de cómputo y materiales de alta calidad que sus técnicos requieran para brindar los servicios.
RECOPE cuenta con un Sistema de Gestión de Seguridad de la Información (SGSI), basado en la norma ISO 27001, motivo por el cual El(la) contratista debe cumplir con cada uno de los controles definidos para la ejecución de sus labores, situación que debe manifestarse en la oferta. Esto incluye, pero no se limita, a la suscripción de los acuerdos de confidencialidad con su personal y la aceptación de la cláusula de patentes y confidencialidad del pliego de condiciones.
Los equipos de cómputo de los técnicos deben cumplir con las medidas básicas de seguridad (Sistema Operativo parchado, antivirus instalado y operando) antes de ser conectado a la red interna, lo cual debe ser garantizado por El(la) contratista mediante el Acuerdo Administrativo y será constatado por personal del Departamento de Mantenimiento y Soporte.
RECOPE no asume ninguna responsabilidad sobre daño o pérdida de información a los equipos del contratista.
3.7. CLÁUSULA POR DEFECTUOSA EJECUCIÓN.
Naturaleza y Objeto:
La presente cláusula establece el régimen de penalidades aplicable ante la ejecución defectuosa del servicio. Este esquema posee una naturaleza disuasoria y correctiva, mas no recaudatoria; su objetivo primordial es incentivar el cumplimiento riguroso de los Niveles de Servicio (SLA) y asegurar la eficiencia operativa durante toda la vigencia contractual.
Principios de la Potestad Sancionatoria:
Esta Unidad Técnica, en ejercicio de su criterio experto, ha determinado los porcentajes de penalización bajo los siguientes principios:
Proporcionalidad: Las sanciones se ajustan de manera equitativa a la magnitud del incumplimiento.
Razonabilidad: Se establecen umbrales que garantizan el cumplimiento del servicio sin incurrir en una carga de carácter confiscatorio.
Vinculación Directa: Existe una correlación técnica entre la penalidad y el nivel de impacto operativo (leve, moderado o grave) sobre la continuidad del servicio, la criticidad de la infraestructura y el giro sustantivo del negocio.
Jerarquización del Impacto:
Los indicadores asociados a la Continuidad Operativa y Gestión de Incidentes (SLA Global y P1) poseen el mayor peso sancionatorio. Esto responde a que cualquier degradación en estos parámetros impacta directamente en la plataforma de comunicaciones, los servicios críticos de la empresa y la disponibilidad de los sistemas de RECOPE.
Fundamento Técnico de los Indicadores:
El Nivel de Servicio (SLA) se define como el indicador rector del contrato. Su inobservancia compromete:
▪ La disponibilidad y estabilidad de los equipos de comunicaciones y seguridad institucional.
▪ La eficiencia de la operación técnica y administrativa.
▪ La resiliencia de los procesos críticos de la organización ante contingencias.
Las penalidades se aplicarán sobre el monto de la facturación mensual (sin IVA) del mes en que se produzca el incumplimiento, bajo las siguientes categorías:
1. Penalidad General por Desempeño (Indicador SLA Global)
Esta penalidad evalúa la eficiencia general del servicio contratado (Total de incidentes vs. atendidos en tiempo).
▪ ≥ 95%: Sin penalidad (Cumplimiento adecuado).
▪ ≥ 90% y < 95%: 2% de la facturación mensual.
▪ ≥ 85% y < 90%: 4% de la facturación mensual.
▪ < 85%: 6% de la facturación mensual.
2. Penalidades Específicas por Gravedad (Adicionales)
Se aplicarán de forma independiente al indicador global por su alto impacto operativo:
▪ Incidentes Críticos P1:
● Cada incidente P1 incumplido en su SLA: 2% adicional por evento.
● Más de 2 incidentes P1 incumplidos en el mismo mes: 5% adicional (sustituye al 2% anterior).
▪ Escalamiento Inoportuno:
● Incumplimiento en los tiempos máximos de escalamiento hacia el soporte especializado: 1% por cada evento.
3. Penalidades por Gestión Operativa y Preventiva
Se aplicarán por el incumplimiento de las metas establecidas en la Matriz de Penalidades:
|
Concepto
|
Meta
|
Penalidad
|
|
Cobertura de Monitoreo
|
≥ 95%
|
2% mensual
|
|
Detección Proactiva
|
≥ 80%
|
2% mensual
|
|
Calidad de Alarmas
|
≥ 70%
|
2% mensual
|
|
Gestión de Respaldos
|
≥ 95%
|
3% mensual
|
|
Integridad/Restauración
|
≥ 98%
|
3% mensual
|
|
Disponibilidad de Panorama o BIG-IQ
|
≥ 99%
|
1% mensual
|
|
Reporte Mensual
|
Entrega completa y oportuna
|
1% mensual
|
Reglas de Aplicación
▪ Acumulación: Todas las penalidades (Globales, Específicas y Operativas) son acumulativas entre sí.
▪ Límites: * La suma total de penalidades en un mes ordinario no excederá el 10% del monto facturado.
● Reincidencia: Si un mismo indicador se incumple por 2 o más meses consecutivos, el límite mensual se elevará hasta un 25% del monto facturado.
▪ Tope Contractual: El monto total acumulado por concepto de penalidades durante la vigencia del contrato no podrá superar el 25% del monto total adjudicado. Superar este tope será causal de resolución de contrato sin responsabilidad para la Institución.
Para la penalidad por sustitución del personal técnico, se define en esta Cláusula el concepto denominado monto de hora/multa, la suma de las multas no puede exceder el 25% del monto del contrato o de lo facturado mensualmente.
La multa se define tomando en cuenta los costos en que incurre RECOPE en atender con recursos propios la restauración del Servicio, de la siguiente manera:
Rubro: Costo mensual del salario base de Profesional 2
Costo: ¢706 597,00
Datos brindados por la Dirección Administrativa.
Para el cálculo de las sanciones pecuniarias, se establece el concepto de Costo de Hora/Multa (CHM), basado en el costo institucional de sustitución del servicio. Este se fija en ₡ 2 944,00(resultado de dividir el salario base de Profesional 2 de ₡706.597,00 entre 240 horas laborales promedios mensuales). Este monto se identifica como (CHM =₡ 2 944,00) en las penalidades.
Lo anterior, aplica en las siguientes condiciones de incumplimiento durante la ejecución del contrato:
4. Penalidad por incumplimiento en la sustitución del personal:
Cuando se presente renuncia, despido, incapacidad, vacaciones, o se detecte personal menos calificado al solicitado en el pliego y el técnico asignado debe ser sustituido y no se realiza causando afectación en el tiempo de respuesta y atención del servicio, el tiempo que dure esta condición será multiplicado por el concepto HORA/MULTA. Ejemplo: 2 horas de incumplimiento, 2x CHM = ₡5.888. Esta multa aplica en la facturación del mes afectado.”
5. Si por incumplimiento de las medidas de seguridad:
Técnico impedido de ingresar por falta de requisitos de seguridad o falta de sustitución por ausencias, el tiempo que dure el técnico en esta condición será multiplicado por el concepto HORA/MULTA. Ejemplo: 8 horas de incumplimiento, 8 x ₡2 944,00=₡23 552,00. Esta multa aplica en la facturación del mes afectado.