Renovación y actualización del licenciamiento del antivirus institucional basado en la solución ESET para la protección de equipos y servidores

 

3. REQUISITOS DE ADMISIBILIDAD

 

• Forma de cotizar. El oferente debe cotizar el precio unitario y total del servicio, según las especificaciones técnicas indicadas en el punto 2. El precio debe incluir el impuesto al valor agregado IVA en su tarifa reducida de un 2% (artículo 11 numeral 2d Ley 9635). Debe presentar el desglose del precio del servicio e impuesto. El precio debe ser firme y definitivo. Si en el pliego de condiciones se pide un desglose de los tributos que afectan la propuesta y esta no lo indica, se presume que el monto total cotizado los contempla, incluyendo tasas, sobretasas, aranceles de importación y demás impuestos del mercado local. Debe presentar el siguiente desglose:

 

Línea	Cantidad	Descripción del servicio	Precio unitario	Precio total
1	600	Renovación y actualización del Licenciamiento Bundle ESET Protect (en nube)
Subtotal:
IVA (2%)
Precio total:

• El oferente debe presentar el desglose de la estructura del precio tanto en valores absolutos como porcentuales ajustándose a la estructura que se detalla en el siguiente cuadro:

 

Concepto	Valor Absoluto	Valor Porcentual
Costos Directos
Mano de obra:
Insumos:
Subcontratos: *
Costos Indirectos
Mano de obra:
Insumos:
Imprevistos**
Utilidad
Total precio cotizado (antes de IVA)**		100%

* Cuando aplique, en dicho caso debe estar indicado en el formulario de oferta en SICOP.

**El porcentaje correspondiente al IVA no forma parte del desglose porcentual del precio.

       De conformidad con el artículo 8 del Reglamento de Reajuste de Precios en Contratos de Obra Pública y Revisión de Precios en Contratos de Bienes y Servicios N° 44937-H-MICIT-MIDEPLAN, el oferente debe aportar en la oferta la información de todos los índices de precios oficiales, sean específicos o similares, de los costos directos e indirectos de la estructura del precio, los cuales deberán estar estrechamente vinculados con la variación de los costos que desea medir. Cuando no exista un índice de precios, especifico oficial o uno similar, el oferente deberá advertirlo así en su oferta, y se podrá aplicar el método analítico documental.

       En aquellos casos en que no exista un índice de precios del costo directo, debido a que dicho costo fue ofertado en una moneda distinta a la unidad monetaria legalmente establecida en el país de origen del citado costo, ello por motivos de exigencias del proveedor del insumo o servicio, el oferente deberá aportar en la oferta, la prueba pertinente y suficiente que acredite tal exigencia.

       Cuando no exista un índice de precios oficial, específico o similar, que represente las variaciones de un determinado costo indirecto, el oferente deberá advertirlo así en su oferta y se podrá proponer como índice general el Índice de Precios al Consumidor (IPC) del país de origen del costo.

 

• El oferente debe indicar marca, versión o edición del software, y el número de parte de la solución ofertada, debe incluir la literatura técnica, puede incluir folletos, catálogos u otras especificaciones incluso en otro idioma en el entendido de que en caso de existir dudas en el proceso de análisis la administración prevendrá la presentación de las traducciones correspondientes.

 

• El oferente debe indicar el plazo de entrega en días hábiles, el plazo de entrega no puede ser superior a treinta días hábiles, el cual se tendrá por iniciado al día hábil siguiente a la notificación del contrato en SICOP.

 

• El oferente debe indicar la garantía del servicio, la cual debe ser de al menos un año.

 

• El oferente debe demostrar que está autorizado para vender, instalar y poner en funcionamiento las soluciones de la marca del sistema ofertado (Controlador de medios digitales), y debe garantizar el cumplimiento de las garantías correspondientes. En caso de no ser representante o distribuidor directo del fabricante, el oferente podrá presentar una carta emitida por un distribuidor autorizado por el fabricante, en la cual se respalde su condición autorizado, con capacidad comprobada para comercializar, integrar, instalar y respaldar los equipos ofertados en el país. Dicha carta deberá indicar explícitamente que el oferente actúa con autorización dentro del canal oficial de distribución de la marca y tendrá una fecha de emisión no mayor a tres meses al momento de presentación de la oferta.

 

• El oferente debe presentar una carta emitida por el fabricante, haciendo constar que cuenta como mínimo con cinco (5) años continuos o consecutivos sin interrupciones de contrato de ser distribuidor e implementador de la marca en Costa Rica. La carta del fabricante que indique años de distribución o implementación en otro país que no sea Costa Rica no será tomada en cuenta y se procederá a descalificar la oferta.
• El oferente debe presentar una carta emitida por el fabricante haciendo constar que es distribuidor directo autorizado, por al menos 5 años en el mercado nacional distribuyendo el producto de la marca ofertada, además, debe indicar el grado o categorización del Partner (Gold, Silver, Bronze). La carta debe tener como máximo 60 días de emitida.
• El oferente debe presentar la documentación (carta del fabricante o declaración jurada) demostrando que cuenta con un centro de asistencia para el control de futuros incidentes y seguimiento. El mismo debe ser centralizado y disponible dentro o fuera del territorio nacional.
• El oferente deberá incluir medidas de Instalación originales provistas por el fabricante, evidenciables mediante la entrega de una copia del certificado de originalidad provisto por el fabricante.
• El oferente deberá garantizar que el licenciamiento ofertado posee al menos 10 años de vigencia en el mercado de productos de seguridad y productos relacionados. Deberá entregar una carta del fabricante que lo acredite.
• El oferente deberá garantizar soporte técnico mediante su página web, el mismo deberá contar con sistema automatizado de tickets, que permita el reporte, revisión y ejecución de los casos de soporte registrados en la misma plataforma. El sistema deberá permitir la creación de usuarios para el cliente final e ingreso seguro a la plataforma. Se deberá adjuntar el enlace o dirección electrónica para demostrar que se cumple con estos requisitos.

 

• Experiencia general: El oferente debe contar con al menos diez (10) años de experiencia en el mercado brindando servicios de venta, integración, instalación, capacitación y soporte de soluciones similares a la ofertada, preferiblemente de la misma marca. En caso de no ser distribuidor directo, podrá acreditar su experiencia como integrador de productos adquiridos a través de canales oficiales, siempre y cuando demuestre haber ejecutado proyectos de naturaleza y complejidad similar. Para acreditar dicha experiencia, debe presentar una declaración jurada debidamente firmada, indicando los años de experiencia en este tipo de servicios y soluciones.
• Experiencia Específica. El oferente debe contar con al menos cinco (5) contratos ejecutados a partir del año 2015, que incluyan la venta, instalación, implementación y soporte de soluciones, referencias comerciales del sector público o privado de instituciones y/o empresas que cuenten con producto igual o similar al ofertado suministrado por el oferente en más de 500 estaciones de trabajo, debe indicar al menos la siguiente información:

 

• Nombre de la institución o empresa donde brindó el servicio
• Descripción del servicio brindado (incluir marca de los equipos del sistema central y cantidad de los equipos adquiridos e instalados)
• Fecha de ejecución del contrato
• Nombre del contacto
• Teléfono del contacto (debe ser el número directo)
• Correo electrónico del contacto

 

Las cartas deben hacer referencia al oferente tal y como este hace constar su nombre en la oferta, no se aceptarán cartas que hagan referencia a terceros; En caso que la carta no indique el dato de los equipos, el oferente puede aportar la orden de compra o copia del contrato donde se señale los datos, junto con la carta de experiencia. Dichos trabajos deben ser aquella experiencia positiva donde se cumpla a satisfacción las necesidades de los distintos clientes. El Conare se reserva el derecho de verificar la veracidad y autenticidad de la información contenida en las cartas, para determinar si toma como experiencia positiva, esto es parte del estudio técnico, para lo cual podrá hacer consultas a los números de teléfono o por correo electrónico consignados en la carta, si la información no puede ser confirmada con la información suministrada o exista contradicciones, no se considerará dicho contrato para acreditar experiencia específica, de llegarse a determinar la existencia de información falsa descalificará al oferente.

 

• El oferente debe presentar el currículo y copia de los atestados de al menos (3) tres técnicos en una disciplina afín a computación o informática, esto con el fin de que la administración se garantice la funcionalidad y soporte requerido. El personal debe cumplir los siguientes requisitos mínimos:

 

1. Certificados por parte del fabricante de la marca de la solución ofertada, debe presentar una carta del fabricante donde se indiquen los nombres, o certificados emitidos por el fabricante. Al menos uno de ellos debe contar con al menos 5 años de certificado (a demostrar con el título solicitado).

 

• La vigencia de la oferta debe ser mínimo de 12 días hábiles a partir de la fecha límite fijada para la recepción de ofertas.

 

2. OBJETO DEL CONCURSO

 

Partida	Línea	Cantidad	Descripción del Bien
1	1	600	Renovación y actualización del Licenciamiento Bundle ESET Protect (en nube)

 

 

2.1.     Especificaciones técnicas

 

• El licenciamiento deberá poseer garantía y cobertura sobre los sistemas operativos indicados como requeridos (endpoints & servidores, incluyendo servidor de administración de la solución), se acepta un solo y único lote de licenciamiento que involucre a todos los sistemas indicados; puntualmente deberá ocuparse una única clave de activación, llave o similar para todos los productos contratados e indicados como compatiblemente requeridos
• El licenciamiento deberá ser administrado en su totalidad por una única consola de administración.
• Todos los productos incluidos para los sistemas operativos indicados como compatibles deberán ser administrados integralmente desde una única consola validada e implementada en la red interna corporativa
• La solución deberá incluir múltiples capas de seguridad, las cuales deberán operar en forma conjunta, o en su defecto tener capacidad de proteger independientemente si alguna de ellas no detecta en un momento dado el vector de compromiso; dicho de otra forma, deberá garantizar proteger al endpoint final con diferentes métodos de protección y múltiples capas de seguridad comprobables según documentación de fabricante
• La solución deberá incluir múltiples capas de seguridad para los diversos componentes ofertados, dicha capacidad debe garantizarse para la tecnología de telemetría de datos, cloudsandboxing, protección email y/o protección para Office365+GoogleWorkspace según corresponda acorde al licenciamiento y cobertura solicitada
• La instalación de la solución podrá realizarse tanto localmente como remotamente desde su consola administrativa. En el término local se requiere la precompilación de un paquete todo-en-uno para la instalación del producto el cual contenga las preconfiguraciones y niveles de seguridad básicos aplicables a las estaciones de trabajo. Así mismo, incorporar en un solo paso la unión y sincronización hacia la consola administrativa
• Deben incluirse medios de Instalación originales provistas por el fabricante, evidenciables mediante certificado de originalidad provisto por el fabricante y entregado con las mismas
• El fabricante de la solución deberá poseer oficinas de representación y/o comercialización dentro de territorio nacional.
• El fabricante de la solución deberá poseer certificación ISO/IEC 27001:2013 vigente tanto para su sede central (HQ) así como para la gestión y el desarrollo de los productos ofertados en el presente evento
• El fabricante de la solución deberá poseer certificación ISO 9001:2015 vigente tanto para su sede central (HQ) así como para la gestión y el desarrollo de los productos ofertados en el presente evento
• El fabricante de la solución deberá poseer al menos 10 años de experiencia en la comercialización e implementación de productos de seguridad basados en tecnologías ESET
• El fabricante de la solución deberá poseer una política de fin de ciclo definida (EOL) visible en su documentación y/o sitios web específicos del fabricante, de forma tal que permita con total transparencia delimitar productos y versiones que pueden ocuparse dentro del licenciamiento por contratarse.

 

a)       Soporte Técnico sobre la solución:

• El oferente deberá garantizar y manifestar expresamente que todo tipo de soporte técnico solicitado será brindado por el propio oferente o por el fabricante, en cualesquiera de sus modalidades.
• Deberá tener disponibilidad 24 x 7 x 365 y sin costos adicionales para el CONARE. De igual forma, deberá garantizar que no se aplique ninguna restricción por horas de servicio.
• La solución ofertada deberá ofrecer la posibilidad de soporte técnico directo, tanto por parte del oferente como del fabricante, en idioma español, en formato 24 x 7x 365, ya sea en forma presencial, remota, chat en línea, correo electrónico y/o vía telefónica mediante número local.

 

b)       Consola y Servidor de administración:

 

• Funcionalmente deberá poder implementarse en cada sistema operativo requerido como compatible, así como primordialmente deberá incorporar garantía de compatibilidad extendida para sistemas operativos de 64bits:
• Microsoft Windows® 10, 11 o superior
• Microsoft Windows Server 2016 o superior
• Ubuntu LTS 20+, RedHat 8+, Rocky 9+, Debian 10+
• Virtual Appliance compatible con al menos VMware vSphere/ESXi & Microsoft Hyper-V
• Funcionalmente deberá permitir importar o exportar configuraciones del producto de manera fácil, vía archivos xml livianos y transportables, dicha funcionalidad deberá garantizarse tanto para estaciones de trabajo como servidores
• Toda configuración del producto en general deberá poder realizarse desde la consola administrativa, así como funcionalmente podrá gestionarse integralmente desde una única consola administrativa centralizada. Queda implícitamente descrito todos los productos adquiridos deberán administrarse desde una sola consola de administración, no importando el sistema operativo sobre el cual hayan sido implementados
• Nativamente la consola de administración deberá poseer soporte para equipos y/o servidores clonados sean estos físicos o virtuales, de forma tal que el identificador por disco o volumen de disco no constituya un problema para identificar individualmente cada equipo administrado
• Nativamente la consola de administración deberá poseer capacidad de aislar de red estaciones finales del tipo Windows, Linux y/o macOS, de forma tal que se pueden aislar rápidamente durante incidentes de seguridad a fin de evitar la propagación de amenazas y mejorar la protección en entornos multiplataforma
• El servidor de administración deberá permitir la auditoría de tareas y plantillas de grupos dinámicos, a fin de proporcionar visibilidad clara de los cambios de configuración y la eliminación de tareas y/o plantillas de grupos
• El servidor de administración deberá garantizar lenguaje español como nativo para su interfaz web y gráficos asociados, de igual manera la interfaz de administración deberá garantizar al menos otorgar visibilidad total en los lenguajes:
  • Inglés (Estados Unidos)
  • Español (España)
  • Portugués (Brasil)
  • Cualquier otro idioma que garantice flexibilidad idiomática con la finalidad en caso de integrar algún proveedor del extranjero o SOC internacional
• El servidor de administración y la consola administrativa deberá basarse totalmente en modelo de servicio basado en la nube, de forma tal de no requerir espacio físico o equipo alguno donde esta funja como nodo central para la administración de la totalidad del licenciamiento requerido
• El servicio contratado deberá otorgarse totalmente en modalidad nube, dicho de otra forma, no deberá requerir instalación alguna de componentes de administración interna, salvo sean requeridos repositorios o contenedores de actualizaciones internamente

 

• El centro de datos en la nube donde se albergue consola/servidor deberá utilizar criptografía sólida para proteger los datos de los clientes durante el transporte fuera del sitio desde el entorno de la nube (por ejemplo, en tránsito a un almacenamiento de datos de respaldo físico), de forma tal que garantice la seguridad de la información contenida dentro del mismo servidor/consola de administración
• La comunicación entre el agente de conexión y servidor de administración en la nube deberá realizarse mediante puerto TCP 443 utilizando medidas de seguridad de transporte cifrado TLS y no interceptable en el medio, es decir protocolo de comunicación entre agente y servidor debe ser cifrado adicional al canal cifrado de comunicación TLS ocupado
• El servidor de administración y la consola deberán utilizar una única instancia de hardware en forma privada, la cual no deberá compartir recursos con un tercero, de forma tal que cada instancia de acceso sea totalmente independiente de otros clientes.
• La consola de administración deberá funcionalmente ofrecer protección contra ataques de fuerza bruta, inactivando acceso a la fuente origen (IP) que ha causado afección, así como deberá integrar funcionalidades extendidas de seguridad por medio integración de doble factor de autenticación
• El servidor de administración y la consola administrativa deberán ofrecer una consolidada y completa administración de los productos adquiridos, así como en su totalidad indicar el estado, configuraciones y políticas aplicadas de cada uno de los nodos internos ligados a dicha consola de administración
• El servidor de administración y la consola administrativa deberán ofrecer diversos y variados roles de acceso mediante grupos de usuarios con el fin de definir niveles de acceso a administración de los diferentes recursos que dicha consola administrativa ofrezca a los administradores TI internamente
• El servidor de administración y la consola administrativa deberán provisionar acceso web mediante servidor de aplicaciones JAVA, facilitando navegación y uso desde la mayoría de los navegadores web disponibles al momento dentro de la institución
• La consola de administración deberá operar en su totalidad en modalidad web, así como integralmente deberá estar desarrollada y compilada sobre código JAVA
• El servidor de administración y la consola administrativa deberán ofrecer la posibilidad de segmentación para grandes redes mediante nodos de sincronización remota; de tal forma de facilitar la administración y sincronización de los clientes remotos, dichos nodos de sincronización podrán obrar como gestores de firmas, repositorios locales de instaladores, así como receptores de políticas y estados de los clientes locales
• La consola de administración deberá ser totalmente web, así como funcionalmente deberá ser compatible con cualquier navegador web tanto en sistemas operativos Microsoft, GNU/Linux, Mac OS y/o cualquier otro que a conveniencia pueda ocuparse para el acceso a dicha consola de administración
• La consola de administración web deberá garantizarse para al menos los siguientes navegadores sin requerir la instalación de algún plugin y/o complemento adicional dentro del mismo navegador o bien dentro del computador ocupado para la gestión de consola administrativa:
• Mozilla Firefox
• Microsoft Edge
• Google Chrome
• Safari
• Opera
• La consola de administración web deberá ofrecer por completo administración para todos los productos ofertados independientemente del sistema operativo donde esta implementado, de forma tal que en su totalidad y absolutamente todos los productos sean administrados desde una sola interfaz web
• La consola de administración deberá incorporar tableros accesibles desde cualquier navegador web y desde cualquier punto dentro o fuera de la red local; no debe requerir para dicha operación el uso de IIS o motor diferente al integrado nativamente por la solución
• La consola de administración no deberá requerir de la existencia de un Dominio de Autenticación de Usuarios para su buen funcionamiento o como condicionante de operación; sin embargo, deberá permitir administrar clientes antivirus en distintos grupos de trabajo o multi-dominios ya existentes
• La consola de administración web no deberá requerir para su funcionamiento u operar sobre plataformas ASP, JSP o PHP; dicho de otra forma, la consola de administración no deberá basarse en ninguna de las tecnologías indicadas anteriormente
• La consola de administración deberá soportar y manejar múltiples tipos de licencias del producto de seguridad, en diferentes cantidades de equipos y fechas de expiración
• La consola de administración no deberá requerir el uso de MMC (Microsoft Management Console) para el funcionamiento de la misma o como requisito de instalación
• En términos de una correcta administración se requiere que una configuración establecida para un determinado cliente (endpoint) pueda ser exportada en formato de fichero XML, tanto desde la Consola de Administración, como desde el mismo cliente, para poder ser importada en otros clientes en caso de ser necesario
• Se deberá provisionar método para la instalación remota desatendida ya sea ocupando autenticación local o vía un directorio de autenticación, no importando si esta se realiza en dominio o en grupos de trabajo
• La consola y el servidor de administración no deben requerir System Center Configuration Manager (SCCM), CM12, CM0, ConfigMgr, Configuration Manager o similar para uso de consola administrativa y/o servidor de administración
• El servidor central de administración (consola/servidor) deberá ser compatible a nivel de almacenamiento de registros (logs) con base de datos MySQL y SQL Server; dicha compatibilidad deberá garantizar funcionamiento correcto con versiones “libre de pago” de dichas bases de datos (MySQL Community Edition & MS SQL Server Express)
• El servidor central de administración deberá proveer compatibilidad con SYSLOG en forma nativa, de tal forma que los eventos ocurridos en los clientes puedan ser interpretados por un syslog server
• La consola y el servidor de administración no deberán requerir Microsoft Message Queue como requisito para instalación y/o operación
• La consola/servidor deberá provisionar doble factor de autenticación (2FA) para su interfaz web de administración; nativamente deberá ofertarse al menos en forma gratuita hasta cinco operadores, así como no deberá requerir de hardware/software que requiera pago o licenciamiento adicional
• Funcionalmente la consola/servidor deberá desplegar inventario de Hardware/Software instalado en cada estación de trabajo o servidor donde sea desplegada solución de seguridad
• Funcionalmente la consola/servidor deberá permitir enviar comandos o secuencias de líneas de script, particularmente dicha funcionalidad deberá permitir ejecución de al menos:
• Powershell
• Comandos de pila CMD (bat)
• Cscript / VBScript
• MSIEXEC scripts
• Entre otros
• Funcionalmente la consola/servidor de administración deberá permitir actualizaciones automáticas para producto de seguridad tanto para las estaciones de trabajo final, así como para los servidores y sus respectivos sistemas operativos solicitados para cobertura final (Windows, Linux, MacOS)
• Funcionalmente la consola/servidor deberá permitir gestionar notificaciones automatizadas ante eventos de seguridad y/o condicionantes de coincidencia que pueda definir el administrador final de la misma
• La consola/servidor deberá facultar log auditable que registre cualquier alteración, modificación y/o eliminación de políticas, equipos, configuraciones y/o demás actividades realizadas dentro de la misma.

 

c)       Cliente Endpoint

 

• Funcionalmente deberá integrar capacidades extendidas de respuesta que involucren a su vez tecnología de múltiples capas de protección integradas en el mismo producto ofertado, dicho de otra forma, funcionalmente deberá documentarse con información pública del fabricante, dicho producto funcionalmente integre al menos quince (15) capas diferentes de múltiple nivel de protección incorporada al mismo
• El producto deberá ser totalmente gestionado, así como compatible con consola de administración interna ocupada para el efecto, formalmente se deberá certificar compatibilidad desde sitio de fabricante donde se corrobore que el producto ofertado sea totalmente compatible con la consola de seguridad ocupada internamente, así como funcionalmente corresponda en nombre y desarrollador de producto al mismo fabricante de producto ofertado.
• El producto deberá ofrecer binarios firmados y/o compatibles con Microsoft Azure Code Signing, dicho de otra forma, no se aceptará componentes obsoletos de firma cruzada no soportados por sistemas operativos Microsoft al momento.
• Deberá incorporar protección en tiempo real contra todo tipo de malware; incluyendo virus, gusanos, troyanos, spyware, phishing, rootkit, adware, riskware, keyloggers, ransomware y/o otros códigos maliciosos nuevos y desconocidos. Específicamente para dicho fin no deberá depender de que el Sistema Operativo del “Endpoint/Cliente” tenga las actualizaciones y Service Pack al día
• Deberá incorporar protección contra virus boot, virus macros, virus residentes en RAM, virus de acción directa, virus encriptados, virus polimórficos, virus de FAT, ransomware, así como cualquier otro tipo de código malicioso en general
• Deberá integrar sandbox incorporado en el propio producto, con el objetivo de contener amenazas, emularlas, detectarlas y eliminarlas; dicha protección en particular deberá ser capaz de observar el comportamiento en tiempo real de cualquier binario en memoria operativa (RAM), siendo capaz de detectar basado en patrones de comportamiento & ML amenazas nuevas y desconocidas del tipo 0Day, APT’s y/o cualquier tipo de código malicioso emergente
• Deberá incorporar motor de inteligencia basado en tecnología de última generación ADN proactiva y precisa, dicho motor debe ser propio y no de terceros fabricantes y/o colaboraciones externas ajenas al fabricante
• Deberá incorporar detección de virus en archivos compactados o empaquetados, sin importar el número de niveles de compresión, en los formatos: .zip, .rar, .arj, .cab, .lzh, .tar, .gz, ace, izh, upx y/o otros
• Deberá integrar micro actualización de componentes, de forma tal que permita actualizar en forma automática a una versión superior sin intervención del administrador o bien algún comando de implementación remota, dicha funcionalidad deberá permitir instalar dicha actualización hasta el próximo reinicio de equipo garantizando una actualización exitosa y sin corromper algún componente del producto de seguridad
• Deberá permitir automáticamente actualizaciones de seguridad y estabilidad para el producto de seguridad, mismas que deberán distribuirse automáticamente a las versiones compatibles de forma tal que le permitan actualizar versiones afectadas por alguna vulnerabilidad y/o bien versiones de correcciones mayores que puedan afectar el rendimiento u operatividad de los equipos donde esta implementada solución, dicha funcionalidad debe estar describa por fabricante en su documentación así como ser transparente en su política de actualización de producto
• Integralmente hablando producto instalado en el computador no deberá presentar fragmentación para su correcto funcionamiento (múltiples módulos instalados en el computador reflejados en programas instalados “Agregar/Quitar Programas” no serán aceptados, exceptuando únicamente al agente de conexión)
• Deberá permitir importar o exportar configuraciones de clientes de manera fácil, vía archivos xml livianos y transportables
• Deberá incorporar capacidad de poder enviar a los centros de soporte técnico las muestras de virus o códigos maliciosos, con la finalidad de que puedan ser analizados y/o clasificados para su contingencia inmediata directamente desde la interfaz gráfica
• Deberá incorporar capacidad de generar casos de soporte directamente desde la interfaz gráfica de la solución de forma tal que simplifique cualquier requerimiento de apoyo técnico directamente desde el producto instalado en el computador o servidor protegido con la solución de seguridad
• Deberá integrar compatibilidad con tecnología Intel TDT (Intel Threat Detection Technology) basada en hardware que ayude a reforzar detecciones en memoria operativa, así como permita mejorar la protección contra el ransowmare y apoye a mantener un alto rendimiento general del sistema, deberá figurar en la documentación de fabricante y/o sitios oficiales del mismo.
• Deberá incorporar chequeo y control de Actualizaciones para Microsoft Windows, dicho control debe ser capaz de ser configurado para reportar diferentes niveles de actualización o desactivar el informe de las mismas, de igual manera deberá facilitar parchar actualizaciones Microsoft en forma forzada mediante tareas automatizadas y/o bien bajo petición del administrador de la solución.
• Toda configuración a nivel de clientes, deberá poder ser posible realizarse desde consola administrativa y funcionalmente podrá gestionarse integralmente desde una única consola administrativa centralizada.
• Deberá integrar interfaz gráfica de usuario con modo oscuro incorporado, producto deberá permitir seleccionar esquema de colores claros u oscuros para dicha interfaz de usuario final.
• Deberá incorporar compatibilidad nativa en su interfaz gráfica con dispositivos que integren tecnología TouchScreen.
• La solución deberá incluir múltiples capas de seguridad, que deberán operar en forma conjunta y en su defecto tener capacidad de proteger independientemente si alguna de ellas no detecta en un momento dado el vector de compromiso; dicho de otra forma, deberá garantizar proteger al endpoint final con diferentes métodos de protección y múltiples capas de seguridad comprobables según documentación de fabricante.
• La solución deberá incluir tecnología de múltiples capas de protección livesense, dicha información deberá ser visible en cada sitio web y/o documentación del fabricante
• Deberá poder comprobarse dentro de la documentación de fabricante o sitio web internacional del mismo las diferentes capas de protección embebidas al producto de seguridad ofertado, dichas capas de seguridad deberán integrar al menos las siguientes características:
  • Aprendizaje Automatico basado en Machine Learning (Deep Learning, LSTM & Neural Networks)
  • Diferentes algoritmos de clasificación ML basados en múltiples modelos de decisión (LinearSVM, Random Forest, XGboost, entre otros)
  • Inspección conductual avanzada (Deep Behavioral Inspection)
  • Protección UEFI / BIOS & Scanner UEFI
  • Integración de protección Intel Threat Detection Technology (TDT)
  • Tecnología de protección ADN y/o Basada en Genética de Códigos Maliciosos
  • Inteligencia de amenazas (telemetría) basada en nube
  • Detección y bloqueo de comportamiento (HIPS)
  • Exploit Blocker a nivel host y de red
  • Emulación por Sandboxing
  • Exploración avanzada de memoria (memoria RAM)
  • Protección contra ataques basados en scripts
  • Interfaz de Análisis Antimalware (AMSI)
  • Antiransomware
  • Ransomware Remediation & Rollback
  • Protección contra Phishing / Malware a nivel URL
  • Protección contra Botnets
  • Protección de capa de red para todo tipo de tráfico
  • Protección contra ataques de red (Incluyendo capacidades de IDS/IPS)
  • Control de dispositivos
  • Protección contra ataques de fuerza bruta
• Tecnología integrada en el producto relacionada con Machine Learning y/o Redes Neurales deberá poseer al menos 25 años de antigüedad y desarrollo, garantizando de dicha forma dichos algoritmos, modelos de clasificación y/o inteligencia de amenazas no impacten negativamente a los sistemas protegidos así como minimicen la cantidad de falsos positivos siendo estos cercanos a 0 o menor al 0.5% en pruebas de campo relacionadas, de similar manera el tiempo de madurez requerido para motores de inteligencia de amenazas avanzados deberá aportar expertis provista por dicha tecnología de vanguardia de forma tal que permita integrar nuevos modelos de prevención, detección y respuesta incluyendo pero no limitando modelos de DeepLearning y/o IA (Inteligencia Artificial) según el fabricante de solución lo considere necesario
• Deberá incorporar protección a nivel Kernel, previniendo la desactivación y/o alteración por un tercero y/o código malicioso
• Deberá incorporar auto-protección del núcleo y componentes de la suite de seguridad a nivel ASLR & DEP, así como funcionalmente no requiera de instalación de modulo y/o componente de sistema adicional reflejado en programas instalados “Agregar/Quitar Programas”
• Deberá incorporar protección en tiempo real contra cualquier alteración al estado del kernel de la suite de seguridad, imposibilitando detenerlo o dejarlo inoperativo para protección del computador donde ha sido implementado
• Deberá integrar protección nativa de aprendizaje automático, la cual deberá incluir mecanismos de simulación/detección mediante redes neurales y al menos seis algoritmos de clasificación integrados, dicho módulo de protección deberá coadyuvar en la detección de cualquier tipo de código malicioso nuevo y/o desconocido; así como funcionalmente no debe requerir de la instalación de cualquier modulo y/o componente de sistema adicional reflejado en programas instalados “Agregar/Quitar Programas”
• Deberá integrar protección nativa a nivel UEFI que permita comprobar y aplicar seguridad para el entorno previo al inicio y arranque del equipo, dicho modulo deberá detectar componentes maliciosos en el firmware (UEFI/BIOS); funcionalmente no debe requerir de la instalación de cualquier modulo y/o componente de sistema adicional reflejado en programas instalados “Agregar/Quitar Programas”
• Deberá incorporar capacidad de protección por contraseña de acceso al propio motor antivirus, a fin de que no pueda ser alterada configuración de la propia solución y/o alteración al estado de protección del computador
• La instalación del producto podrá realizarse tanto localmente como remotamente desde su consola administrativa; en el término local se entiende se requiere precompilación de un paquete todo-en-uno para la instalación del producto el cual contenga las preconfiguraciones y niveles de seguridad básicos aplicables a la estación de trabajo, así mismo incorpore en un solo paso la unión y sincronización a consola administrativa
• Deberá incorporar resolución automática para reinicios pendientes, sean estos de actualizaciones de producto, actualizaciones de software de terceros y/o bien actualizaciones de sistema operativo, deberá al menos permitir:
  • Posponer el reinicio a petición del usuario
  • Reiniciar forzadamente el computador
  • Permitir definir tiempos de reinicio y/o tiempos que el usuario puede posponer el reinicio
• La comunicación entre clientes administrados y servidor de administración deberá realizarse mediante conexión SSL cifrada; dicha conexión deberá ser evidente y descrita en el log de estado del agente de conexión mediante cualquier navegador web para fines de validación o auditoria
• El agente de conexión deberá provisionar log transaccional de referencia, así como en forma simultánea deberá mostrar su estado de conexión y descripción general de sincronizaciones a servidor administrativo; dicho log deberá ser accesible desde cualquier navegador web y en forma dinámica deberá variar en forma automática a fin de evidenciar cualquier problema de comunicación o falla de transferencia y/o comunicación cifrada en la línea del tiempo
• El agente de conexión deberá reportar en forma precisa todo software de terceros y/o fabricante contratado ubicado en el computador que figure como instalado en el equipo donde ha sido instalado
• El agente de conexión deberá reportar en forma precisa todo hardware instalado en el computador donde ha sido instalado, reportando con precisión todo lo referente al hardware presente
• El agente de conexión deberá reportar en forma precisa el identificador o número de serie del equipo de cómputo en general, así como deberá proporcionar información sobre BIOS/UEFI instalado en el computador de forma tal que permita determinar inclusive la versión de firmware exacta de dicho componente de hardware
• El agente de conexión deberá soportar instalación de software de terceros, no delimitando e incluyendo cualquier aplicativo (EXE) que desee ejecutarse o instalarse en los computadores administrados
• El agente de conexión deberá soportar la ejecución de comandos remotos en cada equipo donde sea desplegado, para al menos:
  • Scripts basados en powershell (Windows)
  • Scripts basados en Command Line (CMD - Windows)
• Scripts basados en Command Console (Linux)

 

d)       Sistemas Operativos Compatibles

 

• Deberá incorporar garantía de compatibilidad extendida para al menos los siguientes sistemas operativos:
  • Microsoft Windows® 11+, 10
  • Microsoft Windows Server 2025, 2022, 2019, 2016, 2012R2
  • macOS Big Sur (11) hasta macOS Sequoia (15)
  • RedHat, Debian, Ubuntu LTS, & Rocky, así como la mayoría de distribuciones basadas en gestor de paquetes RPM y DEB con kernel Linux v4.14 o superior
  • Android 5 o superior
• Deberá garantizar compatibilidad con diferentes tipos de procesadores según corresponda el sistema operativo, por lo mínimo se deberá garantizar compatibilidad:
  • Sistema Operativo Windows: Intel o AMD x86 / x64 & ARM64
  • Sistema Operativo Mac OS: Intel 64-bits, Apple ARM 64-bits
  • Sistema Operativo Linux: Intel/AMD x64
  • Sistema Operativo Android: ARMv7 e x86 Intel Atom
• Deberá incorporar garantía de compatibilidad y no afección para las siguientes versiones de servidores de correo electrónico:
• Microsoft Exchange Server 2019, 2016, 2013, 2010 SP3
• IBM Domino versión 6.5.4 y posteriores HCL Domino versión 11 / 12

 

 

 

 

e)       Actualizaciones de Seguridad

 

• Las actualizaciones rutinarias de los modelos inteligentes de aprendizaje deberán de ser pequeñas e incrementales, tanto para actualizaciones rutinarias como para repositorios de distribución y/o cache local de actualizaciones. Se consideran como pequeñas e incrementales a las actualizaciones rutinarias menores a 500Kb por cada módulo de seguridad inteligente.
• Funcionalmente una actualización rutinaria, debe ser capaz de actualizar modelos de detección y aprendizaje, módulos y/o componentes del sistema de seguridad, no incluyendo, pero no limitando la versión de familia del producto contratado y/o futuras versiones del producto adjudicado.
• Deberá incorporar capacidad para que un cliente instalado (endpoint) pueda convertirse en repositorio de actualizaciones (mirror), con el fin de poder actualizar otros clientes desde este o poder extraer los archivos de actualización y trasladarlos manualmente a otros clientes “stand-alone”; funcionalmente no debe requerir la instalación de módulos adicionales para tales fines, así como no deberá reflejarse como componente adicional en “Agregar/Quitar Programas”.
• Deberá poseer factibilidad para actualizar de forma manual todos sus componentes y definiciones de módulos de seguridad sin ningún tipo de conectividad a red, es decir, en status “stand-alone”.
• Las actualizaciones de distribución de firmas rutinarias (repositorios de firmas de seguridad) deberán proveerse a los clientes endpoint internos, mediante servicio HTTP/HTTPS incluido en el propio motor del producto instalado así mismo deberá poder ofrecerse métodos de autenticación básica o vía NTLM a fin de proteger contra el acceso de terceros a firmas de distribución local; dicha opción deberá integrarse mas no quedar limitada y/o restringida como medio para distribución de firmas mediante motores FTP/Shares de terceros; funcionalmente no debe requerir la instalación de módulos adicionales para tales fines así como no deberá reflejarse como componente adicional en “Agregar/Quitar Programas”.
• Las actualizaciones diarias y rutinarias de los componentes del producto se deberán realizar en tiempo real desde Internet o vía LAN Server (mirror), en forma automática y sin necesidad de intervención del usuario.
• Producto deberá poder actualizar automáticamente desde una unidad extraíble que contenga los ficheros rutinarios de actualización sin intervención alguna del usuario local o bien del personal técnico.
• Las actualizaciones de seguridad deberán proveer mecanismo de contención y/o mitigación de riesgos del tipo CVE incluidos o determinados para el producto, de forma tal que ante la existencia de una vulnerabilidad en el software contratado automáticamente el producto de seguridad deberá integrar mecanismo de contención y actualización para la versión posterior estable que mitigue en caso dicha falencia de seguridad (es aceptable reinicio forzoso desde consola de administración y/o bien automatizada mediante disparadores automáticos de condiciones fijados por el administrador de producto final).
• Las actualizaciones de seguridad asociadas al producto final deberán garantizar en forma directa la automatización de mantenimiento a las últimas versiones de fabricante provistas, dichas actualizaciones deberán garantizar mantener al día cada uno de los componentes asociados al producto por contratarse garantizando de dicha forma contar con las últimas versiones de los productos contratados desplegadas internamente y mantenerlos funcionalmente operativos así como soportados por rutina de actualización de fabricante final.

 

f)        Host-based Intrusion Prevention System

 

• Deberá incorporar tecnología de control HIPS para estaciones de trabajo y servidores sobre plataforma Microsoft Windows, así como funcionalmente no deberá requerir de instalación de modulo y/o componente de sistema adicional reflejado en programas instalados “Agregar/Quitar Programas”.
• Deberá incorporar HIPS con capacidades avanzadas de protección que funcionalmente sea capaz de realizar las siguientes acciones básicas requeridas:
  • Bloquear archivos y/o aplicaciones para ejecución
  • Permitir ejecutar archivos y/o aplicaciones basadas en rutas de acceso y/o ficheros en particular
  • Bloquear archivos y/o carpetas contra escritura y/o acceso
  • Permitir escritura y/o acceso para archivos y/o carpetas
  • Bloquear escritura y/o modificación a llaves del registro de sistema
• Deberá incorporar tecnología avanzada que permita prevenir la explotación de vulnerabilidades en las aplicaciones más comunes; principalmente pero no limitado control de explotación para navegadores web, PDF, clientes de correo electrónico, aplicaciones MS Office & Java.
• Deberá incorporar motor de inspección avanzada en memoria operativa que brinde protección contra el malware moderno que ocupa técnicas de cifrado y/o ofuscación.
• Deberá incorporar protección avanzada contra la deshabilitación y/o modificación del propio motor de protección antivirus por parte de terceros y/o algún código malicioso, dicha función deberá reflejarse en el componente HIPS del producto ofertado.
• Deberá incorporar protección especializada contra ataques del tipo ransomware, la misma deberá ser explícitamente visible dentro del apartado de configuración del producto final adquirido; específicamente el módulo especializado para la prevención del ransomware deberá detectar y bloquear procesos cuyo comportamiento encuadre con la conducta del ransomware en general.
• La protección contra ransomware deberá detectar todo tipo de ransomware en general, una vez detectado deberá finalizar su proceso y ubicarlo en cuarentena, funcionalmente deberá permitir corrección automática de ransomware de forma tal que deberá realizar copias de seguridad y recuperar archivos dañados.
• Funcionalmente la protección contra ransomware deberá ofrecer capacidad de definir tipos de ficheros protegidos contra los cuales se hará respaldo automatizado en caso de algún ataque de ransomware facilitando con ello su restauración inmediata ante un ataque o afección del tipo ransomware.
• Funcionalmente la protección contra ransomware no deberá basarse en protección de copias ocultas de Windows (VSS) si no en cambio deberá soportarse mecanismo propio de fabricante por contratar, con la finalidad de contrarestar el riesgo de pérdida de información asociada en un incidente del tipo ransomware.

 

g)       Firewall & Network Intrusion Detection and Prevention System

 

• Deberá integrar protección nativa contra ataques de fuerza bruta, de forma tal que un IP detectado como atacante deberá ser en listado en una lista negra por un periodo de tiempo considerable y definido directamente por el fabricante de solución de seguridad
• Deberá incorporar firewall/cortafuegos avanzado integrado directamente a la solución de seguridad por contratarse, el mismo deberá ofrecer funcionalidad de protección de doble vía capaz de filtrar bidireccionalmente el tráfico de red ya sea este entrante o saliente, no deberá requerir de instalación de modulo y/o componente de sistema adicional reflejado en programas instalados “Agregar/Quitar Programas”.
• El firewall/cortafuegos incorporado deberá ser totalmente administrable desde solución local o desde consola administrativa, así como deberá poseer modo de solución rápida a problemas comunes guiados intuitivamente desde la propia interfaz del producto.
• Firewall/Cortafuegos incorporado deberá poseer facilidad para la definición de redes de confianza mediante parámetros de detección que faculten identificar si en realidad dispositivo protegido se encuentra en una red “segura” o bien se requiere un modo superior de protección en una red nueva y desconocida.
• Deberá incorporar IDS & IPS (Intrusion Detection System and Intrusion Prevention System) de host para la prevención de acceso no autorizado al computador a nivel de capa de red, funcionalmente no deberá requerir de instalación de modulo y/o componente de sistema adicional reflejado en programas instalados “Agregar/Quitar Programas”.
• Deberá incorporar protección anti “BOTNETS”, la cual faculte a la solución bloquear el acceso y comunicación a una red botnet así como alertar al usuario de dicha acción y anomalía detectada; funcionalmente no deberá requerir de instalación de modulo y/o componente de sistema adicional reflejado en programas instalados “Agregar/Quitar Programas.
• Deberá incorporar control de vulnerabilidades a nivel de capa de red, el cual deberá inspeccionar y proteger a los protocolos más ampliamente utilizados SMB, RPC y RDP; evitando con dicho fin la propagación del malware, ataques de red dirigidos y la explotación de vulnerabilidades para las que un parche de seguridad aún no está disponible o ha sido desplegado, funcionalmente no deberá requerir de instalación de modulo y/o componente de sistema adicional reflejado en programas instalados “Agregar/Quitar Programas”
• Deberá integrar capacidad de listas negras para la prevención de acceso por parte de actores maliciosos hacia equipos publicados sobre el internet o con acceso a segmentos públicos del internet, dicho de otra forma, deberá otorgar capacidades extendidas de red que permitan delimitar el acceso de un tercero al equipo protegido si este está intentando acceso al recurso desde una IP pública comprometida y en lista negra del fabricante del producto de seguridad
• Deberá integrar capacidad extendida para el bloqueo de al menos:
  • Recursos administrativos de sistema (IPC$, C$, entre otros)
  • Impresores y recursos compartidos
  • Versiones obsoletas o inseguras de SMB / RPC
  • Ejecución de binarios dados desde recursos SMB
  • Ejecución de binarios dados desde recursos SMB fuera de la zona de confianza o bien desde redes externas a la red declarada como segura
  • Conexiones SMB no seguras o sin seguridad extendida habitada
  • Servicio del Registro Remoto
  • Servicio del Local Security Authority
  • Servicio del Service Control Manager
  • Tráfico NetBios / SSDP
• Funcionalmente debe incluir cortafuegos incorporado y deberá ser capaz de prevenir escaneo de puertos sea sobre protocolo TPC o UDP, así como deberá detectar tráfico malicioso del tipo ARP o posesión de los paquetes ARP como tal.
• Funcionalmente el cortafuego deberá poseer capacidad de definir tiempos de bloqueo establecidos para tráfico detectado como anómalo o malicioso, por defecto al menos deberá permitir fijar 10min de bloqueo al host origen (malicioso o atacante).

 

h)       Filtrado de Red y/o Protocolos de Comunicación

 

• Se requiere que la solución incorpore capacidad de filtrado de protocolos, para todo el tráfico de red; teniendo opción de analizar todo tipo de comunicación saliente/entrante. Funcionalmente no deberá requerir de instalación de modulo y/o componente de sistema adicional reflejado en programas instalados “Agregar/Quitar Programas”.
• Se requiere que la solución incorpore escaneo y limpieza de paquetes en tráfico HTTP, FTP, SMTP y POP3 tanto en los servidores como en las computadoras personales
• Se requiere que la solución incorpore filtrado e inspección de protocolos seguros (HTTPS, SMPTS, POP3S, FTPS, entre otros), funcionalmente hablando debe ser capaz de filtrar cualquier comunicación de red segura, así como no debe requerir de instalación y/o módulo reflejado en componentes de programa en “Agregar quitar Programas -> Panel de Control”.
• Deberá integrar protección en los navegadores instalados dentro del equipo protegido, de forma tal que permita adoptar un enfoque de confianza cero en el mismo considerando todo lo que sea navegado en cualquier navegador sea considerado como riesgoso o no conocido.
• Deberá integrar protección en los navegadores instalados dentro del equipo protegido, de forma tal que permita evitar técnicas de man-in-middle así como faculte proveer características extendidas de protección, garantizando al menos lo siguiente relacionado al propio navegador:
  • Protección de memoria
  • Protección del teclado
  • Protección del portapapeles
  • Protección de memoria
  • Análisis de Script del Navegador
• Se requiere que la solución incorpore capacidad de excluir aplicaciones, direcciones IP y/o rangos de direcciones del filtrado de protocolos e inspección al tráfico de red.
• Se requiere que la solución incorpore capacidad de analizar todo el tráfico de red o bien indicar puertos y/o aplicaciones en particular a inspeccionar a nivel de filtrado de protocolos.
• Se requiere que la solución incorpore filtrado básico para listas URL y/o IP de acceso; de tal forma que se pueda controlar efectivamente accesos a los listados estáticos definidos, ya sean sobre comunicación en texto plano (HTTP) o sobre protocolos seguros (HTTPS); funcionalmente no deberá requerir de instalación de modulo y/o componente de sistema adicional reflejado en programas instalados “Agregar/Quitar Programas”.
• Se requiere que la solución incorpore plugin para el filtrado, análisis y detección antimalware en los clientes de correo electrónico Microsoft Outlook, Windows Mail & Windows Live Mail; no debe requerir de instalación y/o módulo reflejado en componentes de programa en “Agregar quitar Programas -> Panel de Control”.
• Se requiere que la solución incorpore tecnología avanzada que integre capas de seguridad previa al host a fin de prevenir la explotación de vulnerabilidades a nivel de red desde host remotos o locales, en forma explícita se requiere proteger el endpoint final contra vulnerabilidades conocidas que puedan afectar a nivel de red aun así no exista parche local instalado en el equipo que desea protegerse, no debe requerir de instalación y/o módulo reflejada en componentes de programa en “Agregar quitar Programas -> Panel de Control”.
• Funcionalmente deberá garantizar la inspección de tráfico SSL para al menos los navegadores web instalados en el computador, dicho de otra forma, deberá poseer capacidad de análisis para el tráfico https y/o comunicaciones asociadas al mismo.

 

   i)         Web Filtering & Antispam

 Deberá integrar capacidad de Filtrado Web basado en categorías, siendo posible definir políticas basadas en grupos de usuario y/o usuarios (tanto a nivel AD como también mediante autenticación local), no deberá requerir de instalación y/o módulo reflejado en componentes de programa en “Agregar quitar Programas -> Panel de Control”.

• Deberá integrar capacidad de Filtrado Web mediante grupos de categorías, haciendo factible el agrupamiento de múltiples y diferentes categorías de inspección URL para una misma regla de navegación.
• Faculte permitir y/o denegar el acceso a URL estáticos mediante reglas configuradas en el Filtrado Web.
• Deberá proveer posibilidad de agrupamiento en políticas de filtrado URL, siendo factible sumar diferencialmente los accesos y/o denegaciones a fin de aplicar una política final de maquina o grupo de usuarios.
• Deberá integrar capacidad para la generación de logs y sincronización de los mismos a consola corporativa, de acuerdo a cada una de las acciones tomadas en concordancia con la regla URL definida ya sea bloqueo o permisión según sea el caso; dicho log deberá contener toda la información detallada desde el URL bloqueado/permitido hasta el usuario/equipo detectado así como hora/fecha y descripción integra del evento; no debe requerir de instalación y/o módulo reflejado en componentes de programa en “Agregar quitar Programas -> Panel de Control”.
• Deberá integrar capacidad Filtrado Web sobre sitios URL que ocupen protocolo seguro (HTTPS), no deberá requerir de instalación y/o módulo reflejado en componentes de programa en “Agregar quitar Programas -> Panel de Control”.
• Toda regla y/o política para el control URL, deberá poder ser fijada por horarios, días de la semana en particular y/o por usuarios en específico.
• Funcionalmente deberá garantizar protección URL anti phishing para el acceso web y/o mensajes recibidos mediante correo electrónico en cualquiera de las aplicaciones requeridas como compatibles (Microsoft Outlook, Windows Mail & Windows Live Mail).
• Deberá incorporar solución antispam y poseer filtrado para protocolo SMTP, POP3 & IMAP en forma transparente e integrada al producto sin requerir instalación de módulos y/o agentes en el computador, no debe requerir de instalación y/o módulo reflejado en componentes de programa en “Agregar quitar Programas -> Panel de Control”.
• Deberá incorporar plugin para el filtrado, análisis y clasificación antispam en los clientes de correo electrónico Microsoft Outlook, Windows Mail & Windows Live Mail; no debe requerir de instalación y/o módulo reflejado en componentes de programa en “Agregar quitar Programas -> Panel de Control”.
• Deberá proveer capacidad de generar listas blancas/negras para el filtrado del correo electrónico en la estación de trabajo final y en los clientes de correo electrónico indiciados como compatibles, dicha acción deberá de ser posible realizarse desde el propio producto y/o consola de administración, así como permitirá definir dominios y/o direcciones en cada uno de estos apartados.
• Deberá proveer capacidad de protección antimalware, anti-phishing y antispam para todo lo referido con protección email sobre las aplicaciones requeridas como compatibles (Microsoft Outlook, Windows Mail & Windows Live Mail).

j)         Device Control

 Deberá incorporar capacidades de “Device Control” administrables ya sea localmente o en forma remota desde su consola administrativa, no debe requerir de instalación y/o módulo reflejado en componentes de programa en “Agregar quitar Programas -> Panel de Control”.

• Deberá incorporar capacidades de “Device Control” avanzadas, con el fin de delimitar, denegar o permitir dispositivos portátiles y/o medios extraíbles tales como:
• Dispositivos de almacenamiento USB
• Dispositivos ópticos CD/DVD
• Impresoras USB
• Dispositivos de almacenamiento Firewire
• Dispositivos Bluetooth
• Tarjetas lectoras de memoria
• Dispositivos de imagen
• Modems
• Puertos LPT/COM
• Dispositivos portátiles (móviles)
• Deberá incorporar funciones avanzadas para el control de dispositivos siendo posible aplicar reglas con el fin de delimitar, denegar o permitir de acuerdo a las siguientes condiciones del dispositivo periférico conectado:
• Marca
• Modelo
• Serie
• Deberá incorporar funciones avanzadas para el control dispositivos siendo capaz de asignar políticas de acuerdo con grupos de trabajo local o grupos dinámicos mediante un Directorio Activo; así mismo provea extensión de operación por usuario local y/o usuarios de un Directorio Activo.
• Deberá incorporar funciones avanzadas para el control de dispositivos mediante grupos de “dispositivos”, siendo posible asignar reglas y/o directrices mediante grupos preestablecidos de dispositivos con el fin de facilitar administración, así como el control adecuado de los dispositivos conectados a las estaciones de trabajo.
• Toda regla y/o política para el control de dispositivos, deberá poder ser fijada por horarios, días de la semana en particular y/o por usuarios en específico.

 

k)       Cloud Sandboxing

 

• Deberá incorporar tecnología de detección en tiempo real basada en la nube, con el fin de prevenir ataques 0-Day y/o campañas de propagación de malware lanzadas globalmente; dicho alcance deberá garantizarse para correo electrónico, así como todo tipo de tráfico de red, tanto para reputación de archivos, así como vínculos URL.
• Funcionalmente la integración de tecnología “Cloud Protection” no deberá requerir de instalación de modulo y/o componente de sistema adicional reflejado en programas instalados “Agregar/Quitar Programas”.
• Deberá incorporar tecnología basada en la nube y en tiempo real, que permita al usuario operador del endpoint verificar la reputación de los procesos activos y de los archivos directamente desde la interfaz del programa o desde el menú contextual.
• Deberá incorporar tecnología en la nube para la detección de código nuevo y emergente, posibilitando detección del código malicioso y/o vínculo URL inclusive previo al lanzamiento de firmas antivirus de detección estándar.
• Deberá incorporar tecnología “Antiphishing”, de tal forma que prevenga al usuario de los intentos de adquirir contraseñas, datos bancarios y/o otra información sensible por parte de los sitios web falsos, haciéndose pasar por los legítimos; funcionalmente no debe requerir la instalación de módulos adicionales para tales fines, así como no deberá reflejarse como componente adicional en “Agregar/Quitar Programas”.
• Funcionalmente la tecnología de protección basada en la nube deberá basarse en telemetría de datos integrada para al menos un billón de computadores globalmente, dicho de otra forma, deberá garantizar capacidad de integración para al menos la cantidad de endpoints descritos con la finalidad de aportar capacidad extendida de telemetría de datos y DeepLearning de última generación.
• Funcionalmente la tecnología de protección basada en la nube deberá otorgar capacidad de protección zero-trust con la finalidad de impedir ejecución inmediata de ficheros descargados desde el internet, trasmitidos mediante dispositivos periféricos y/o transportados mediante carpetas de red, dicho de otra manera, deberá garantizar dicha tecnología confirme la inocuidad de los mismos previo al uso y/o ejecución de dichos ficheros.
• Funcionalmente la tecnología de protección basada en la nube deberá otorgar capacidad de definir tiempo máximo de espera para la validación del resultado obtenido por la emulación sandboxing realizada por el mismo, dicho de otra forma, deberá funcionalmente permitir establecer tiempo máximo que un fichero deberá ser retrasado para el acceso y/o ejecución del mismo dentro del computador.
• Funcionalmente la tecnología de protección basada en la nube deberá otorgar visibilidad de cada fichero enviado a la misma, así como en forma precisa indicar el veredicto obtenido mediante la emulación sandboxing cloud, de igual manera en caso de ser detectado un objeto malicioso deberá permitir obtener visibilidad del resultado de emulación del mismo, siendo capaz de identificar el mecanismo y razón por la cual fue detectado como malicioso.
• Funcionalmente la tecnología de protección basada en la nube deberá soportar sistemas operativos del tipo Windows, Linux & MacOS de forma tal que la misma pueda ser habilitada con una simple tarea de configuración desde la consola/servidor central de administración sin requerir o valerse de software adicional instalado en el computador.
• Funcionalmente la tecnología de protección basada en la nube deberá proveer automáticamente protección a todos los dispositivos ligados al licenciamiento adquirido de forma tal que ante una nueva y desconocida detección realizada por dicho componente en cualesquiera de los dispositivos protegidos permita proveer protección automática al resto de los mismos sin necesidad o intervención manual alguna de los operadores de la solución, constituyendo de forma tal una capa de defensa automática identificada como Detection and Response dentro del framework de seguridad Gartner Adaptive Security Architecture (ASA).

 

l)         Cifrado de Disco

 

• El agente de conexión deberá ser capaz de validar el estado de cifrado del computador, de forma tal que permita identificar con facilidad cualquier equipo no cifrado o asegurado correctamente mediante cifrado asimétrico AES de al menos 256 bits.
• Nativamente deberá ofrecer capacidad de cifrado de disco duro completo con tecnología privativa para sistemas operativos del tipo Windows, no se acepta gestión de Bitlocker o similar.
• Deberá permitir cifrar automáticamente desde la consola de administración, de forma tal que la solución sea capaz de cifrar cualquier dispositivo gestionado desde la misma y nativamente sea soportado para los sistemas operativos requeridos como compatibles.
• Nativamente deberá ofrecer capacidad de cifrado de disco duro completo para Mac OS, para dicho efecto deberá garantizarse total compatibilidad File Vault .
• Al menos deberá garantizarse compatibilidad de cifrado de disco con los siguientes sistemas operativos:
  • Windows 10 & Windows 11
  • Mac OS v10.14 al 14.0
• Deberá soportarse en forma explícita modo UEFI del disco duro, con la finalidad de otorgar mayor seguridad en el arranque y manejo del dispositivo.
• Deberá permitir crear y gestionar políticas para la configuración del cifrado de disco, siendo capaz de otorgar diversas funcionalidades integradas al producto.
• Funcionalmente deberá permitir desactivar pre-boot login de forma tal que no solicite una contraseña de acceso al dispositivo cifrado.
• Deberá permitir uso de TPM para el cifrado de disco sobre estaciones de trabajo que ejecuten sistema operativo Windows.
• Deberá otorgar compatibilidad con discos que habiliten funcionalidad OPAL sobre estaciones de trabajo que ejecuten sistema operativo Windows.
• Sobre estaciones de trabajo que ejecuten sistema operativo Windows, deberá al menos garantizar lo siguiente para la gestión de usuarios y contraseñas:
  • Definir complejidad de contraseña, de forma tal que requiera obligatoriamente el uso de caracteres especiales, mayúsculas, minúsculas y/o números
  • Limitar intentos de contraseña incorrecta, así como permitir establecer el máximo número de intentos fallidos previo a bloqueo temporal del acceso a disco cifrado
  • Definir caducidad de contraseña y permitir establecer una antigüedad máxima permitida para la misma
  • Permitir ocupar contraseñas (códigos) de recuperación desde la consola central de protección y permitir definir el número máximo códigos de recuperación por estación de trabajo
• Deberá permitir fijar contraseñas de recuperación en caso de un olvido accidental de contraseña de cifrado y/o bien algún bloqueo asociado a la misma, este mecanismo de recuperación debe ser posible tanto para estaciones Windows y Mac OS.
• Deberá otorgar mecanismo de descifrado forzado desde un medio extraíble y/o bien secuencia de comandos aplicable según corresponda y según sea el caso para estaciones de trabajo Windows o Mac OS.
• Deberá permitir descifrar desde la consola de administración cualquier dispositivo previamente cifrado con la solución, sea una estación Windows o Mac OS.

 

m)     Protección nativa para Microsoft Exchange Server

 

• Deberá integrar protección para la capa de transporte del correo electrónico provisionado por Servidor Microsoft Exchange en forma totalmente transparente, dicha funcionalidad deberá realizarla tanto para el correo saliente como el correo entrante sin requerir la instalación y/o modulo reflejada en componentes de programa en “Agregar quitar Programas -> Panel de Control”.
• Deberá integrar protección Antimalware, Antispam, Anti-Phishing & Análisis mediante cloud sandboxing para todo correo electrónico enviado y/o recibido mediante Servidor Microsoft Exchange, no deberá requerir de instalación y/o módulo reflejado en componentes de programa en “Agregar quitar Programas -> Panel de Control”
• Deberá integrar protección antimalware para la base de datos embebida a Microsoft Exchange, de forma tal que pueda protegerse cada buzón de usuario e inclusive realizar análisis retrospectivo para los buzones de correo electrónico que pudiesen haber recibido código malicioso previo a la instalación de dicha solución de seguridad; no debe requerir de instalación y/o módulo reflejado en componentes de programa en “Agregar quitar Programas -> Panel de Control”.
• Deberá integrar protección antimalware integrada directamente a la base de datos ocupada por Microsoft Exchange, que de forma tal proteja del envió/recepción de código malicioso inclusive cuando se ocupa portal web provisionado por Microsoft Exchange (OWA); no debe requerir de instalación y/o módulo reflejado en componentes de programa en “Agregar quitar Programas -> Panel de Control”
• Deberá integrar funcionalmente protección a nivel de transporte para Microsoft Exchange, de forma tal que al menos pueda realizar lo siguiente:
  • Filtrar correos electrónicos basado en el tipo de documento adjunto (identificador por tipo de ficheros)
  • Filtrar correos electrónicos basado en el contenido del adjunto (identificador de ficheros por tipo y uso)
  • Filtrar correos electrónicos basado en el contenido del cuerpo del mensaje (body message), de forma tal que pueda identificar características, texto o similar contenido en el mismo
  • Filtrar correos electrónicos por tipo de extensión (filtrado de extensiones permitidas)
  • Filtrar correos electrónicos por tamaño del mensaje
  • Filtrar correos electrónicos que hayan sido enviados a múltiples usuarios (cadenas de mensaje)
  • Delimitar cadenas de mensajes o bien identificar y bloquear por medio de contadores cualquier tipo de correo electrónico que encuadre en identificación de cadenas de mensajes (dirigido en forma específica una cantidad de usuarios por definir y totalmente variable, ej: 10, 30, 33 destinatarios en un solo mensaje)
• Deberá incorporar solución antispam a nivel endpoint y poseer filtrado para protocolos SMTP, POP3 & IMAP en forma transparente e integrada al producto sin requerir instalación de módulos y/o agentes en el computador.

 

n)       Protección en la nube para Microsoft 365 & Google Workspace

 

• Deberá incorporar motor de inspección multicapa basado en la nube que permita otorgar protección contra las diferentes amenazas modernas que ocupan técnicas de cifrado y/o ofuscación, de forma tal que permita proteger e integrarse nativamente con plataformas Office 365 mediante servicio SaaS integrado directamente al tenant de Microsoft 365 y/o integrarse nativamente con Google Workspace para protección de Google Drive y Google Mail.
• El nivel de alcance y protección en la nube al menos deberá garantizarse e integrarse en forma fácil y precisa con las plataformas:
  • Microsoft OneDrive for Business
  • Microsoft Exchange Online
  • Microsoft Sharepoint Online
  • Microsoft Teams
  • Google Workspace (Google Mail & Google Drive)
• Deberá otorgar compatibilidad de protección para al menos los planes Microsoft 365:
  • Planes de Microsoft 365 Education
    • Microsoft 365 A3
    • Microsoft 365 A5
  • Planes de Exchange Online
    • Exchange Online (Plan 1)
    • Exchange Online (Plan 2)
    • Microsoft 365 Business Standard
  • Planes de OneDrive
    • OneDrive for Business (Plan 1)
    • OneDrive for Business (Plan 2)
    • Microsoft 365 Business Basic
    • Microsoft 365 Business Standard
  • Deberá otorgar compatibilidad de protección para al menos los planes Google Workspace:
    • Business Starter
    • Business Standard
    • Business Plus
    • Enterprise

 

• Solución por contratarse deberá cubrir la totalidad de usuarios solicitados para protección en la nube para las aplicaciones en la nube para Microsoft 365 & Google Workspace, de forma tal que garantizará la inspección de todo correo electrónico y/o fichero almacenado sobre Microsoft OneDrive for Business & Sharepoint Online y/o bien Google Mail & Google Drive.
• Deberá incorporar tecnología de detección en tiempo real basada en la nube, con el fin de prevenir ataques 0-Day y/o campañas de propagación de malware lanzadas globalmente; dicho alcance deberá garantizarse para correo electrónico, así como todo tipo de tráfico de red, tanto para reputación de archivos, así como vínculos URL.
• Funcionalmente integración de tecnología “Cloud Protection deberá integrarse mediante API Cloud ofertada mediante modelo Software-as-a-Service (SaaS).
• Deberá incorporar tecnología sandboxing basada en la nube que integre al menos tres modelos de aprendizaje deep-learning (Deep Machine Learning) así como al menos seis modelos de clasificación para cada modelo Deep Machine Learning aplicado.
• Deberá garantizar protección integrada mediante API cloud para cualquier tipo de fichero mediante análisis cloud sandboxing, así como automáticamente y sin intervención alguna del usuario clasifique, detecte y/o elimine cualquier código malicioso nuevo o desconocido.
• Deberá incorporar tecnología en la nube para la detección de código nuevo y emergente, posibilitando detección del código malicioso y/o vínculo URL inclusive previo al lanzamiento de firmas antivirus de detección estándar.
• Deberá incorporar tecnología “Antiphishing”, de tal forma que prevenga al usuario de los intentos de adquirir contraseñas, datos bancarios y/o otra información sensible por parte de los sitios web falsos, haciéndose pasar por los legítimos.
• La solución debe proveer una auditoria detallada de las acciones ejecutadas sean estas para tratamiento antispam, antivirus y/o phishing, no importando y no delimitando acciones tomadas para Microsoft OneDrive for Business & Microsoft Sharepoint Online así como para Google Drive & Google Mail.

 

• Deberá integrar funcionalmente protección para la capa de transporte del correo electrónico provisionado por Servidor Microsoft Exchange Online (Office365) & Google Workspace (Gmail) en forma totalmente transparente, dicha funcionalidad deberá realizarla tanto para el correo saliente como el correo entrante sin requerir la instalación y/o modulo reflejada en cualquier computador interno a la red y visible desde componentes de programa en “Agregar quitar Programas -> Panel de Control¨.
• Deberá integrar funcionalmente protección Antimalware, Antispam, Anti-Phishing & Análisis mediante cloud sandboxing para todo correo electrónico enviado y/o recibido mediante Servidor Microsoft Exchange Online y/o Google Mail.
• Deberá proveer capacidad de generar listas blancas/negras para el filtrado del correo electrónico en la estación de trabajo final y en los clientes de correo electrónico indiciados como compatibles; dicha acción deberá de ser posible realizarse desde el propio producto y/o consola de administración, así como permitirá definir dominios y/o direcciones en cada uno de estos apartados.
• Deberá provisionar cuarentena centralizada para archivos de Exchange Online, OneDrive, Teams, Sitios de SharePoint, Google Drive y/o Google Mail, misma que deberá provisionar al menos 30 días de retención garantizada.
• Deberá provisionar administración de cuarentena sencilla para los mensajes de correo electrónico, de los archivos adjuntos, así como de los archivos de Exchange Online, OneDrive, Teams, Sitios de SharePoint, Google Drive y/o Google Mail.

 

o)       Vulnerability & Patch Management

 

• Deberá garantizar gestión de vulnerabilidades y parcheo de aplicaciones para al menos los siguientes sistemas operativos:
  • Microsoft Windows 10, 11
  • Microsoft Windows Server 2012R2, 2016, 2019, 2022

 

• Deberá garantizar gestión de vulnerabilidades y parcheo de aplicaciones en cada estación y/o servidor donde sea requerido, para dicho efecto no deberá requerir la instalación de ningún componente adicional en el computador o bien de complementos o plugin adicionales para dicha gestión, en otras palabras, se requiere la gestión de parches y vulnerabilidades este integrada en el propio producto de seguridad ofertado.
• Deberá permitir visualizar a nivel de vulnerabilidades todo lo relacionado con el riesgo de aplicaciones y sus consideraciones descriptivas, de forma tal que deberá al menos garantizar otorgar visibilidad de al menos lo siguiente:
  • Nombre de la aplicación
  • Versión de la aplicación
  • Fabricante de la aplicación
  • Puntuación de Riesgo (0 – 100)
  • CVE de Referencia
  • Categoría de Vulnerabilidad (Aplicación o Sistema Operativo)
  • Información detallada por equipo, por grupo de equipos y/o por totalidad de equipos
• Deberá proporcionar listado público de aplicaciones cubiertas por el gestor de vulnerabilidades y parcheo de aplicaciones, el mismo deberá de poder ser visible desde un sitio web propio del fabricante de solución.
• Deberá provisionar gestor de parcheo para cobertura de las vulnerabilidades descubiertas internamente, sean estas de aplicaciones o de sistema operativo según corresponda cobertura para cada uno de los sistemas operativos requeridos al efecto.
• Deberá provisionar opciones de parcheo automatizado, de forma tal que permita definir estrategia de parcheo y actualización internamente, sean totales o bien delimitadas para determinadas aplicaciones que se consideren como seguras para actualización automatizada, en general solución deberá permitir diferentes estrategias de actualización según sea necesario por cada sistema involucrado internamente.

 

 

• Deberá provisionar actualizaciones automáticas para sistemas operativos indicados como requeridos, de forma tal que permita definir actualizar sea todas las actualizaciones necesarias o bien definir solo actualizaciones críticas de seguridad aplicables al sistema.
• Deberá permitir definir horarios de inspección de versión de vulnerabilidades de aplicaciones y/o sistema operativo, de forma tal que permita definir rangos horarios aplicables donde solución puede corroborar actualizaciones pendientes sean del sistema operativo y/o aplicaciones instaladas soportadas por el gestor de vulnerabilidades.
• Deberá permitir definir tiempos de reinicio si en caso la actualización de aplicación o de sistema operativo requiere realizarlo, dicha acción deberá dimensionar posibilitar al usuario de cancelar un reinicio y/o bien forzarlo a realizarlo en determinado momento.
• Toda gestión de parcheo de aplicaciones y sistema operativo, deberá garantizarse independientemente si la solución deja de funcionar en un momento determinado, dicho de otra forma, no se aceptan virtual patching (parches virtuales) o contenedores de CVE, la solución deseada debe ser identificada como gestor de actualizaciones y parcheo para aplicaciones y/o extensible para los sistemas operativos indicados como compatibles.

 

2.2.     Condiciones generales

 

• Programación, configuración, instalación y puesta en marcha:
  • La solución debe ser configurada y programada en su totalidad.
  • La solución debe ser instalada y puesta en marcha en su totalidad.
  • Se deben hacer todas las pruebas funcionales y operativas.
  • La solución debe incluir la inducción inicial en procedimientos de uso para el personal que el ATIC indique, de al menos 2 horas para al menos 6 personas.

 

• El contratista deberá entregar la documentación con los pasos de instalación física, configuración de hardware/software (incluyendo imágenes anotadas y parámetros clave), pruebas de funcionamiento y archivos de configuración exportables. La documentación debe estar en formato editable y PDF, con evidencia fotográfica de las conexiones y configuraciones finales.

 

Soporte

• Medios de Soporte técnico durante los años de contrato, bajo los siguientes esquemas: correo electrónico, llamada telefónica, chat, asistencia remota, página web, y presencial; con un tiempo de respuesta máximo de 24 horas suministrado directamente por el oferente y se podrá suministrar también directo del Fabricante. Cuando sea asistencia remota se garantiza el nivel de privacidad mediante canales SSL de grado empresarial y se utiliza tecnología auditable en caso de requerirse bitácoras de atención.
• El soporte técnico debe ser brindado en idioma español.
  • El oferente deberá garantizar en totalidad de forma y por escrito que todo tipo de soporte técnico solicitado por esta institución ya sea con el propio ofertante y/o con el fabricante en cualesquiera de sus modalidades 24x7x365 sea totalmente gratuito, así como garantice en su totalidad no aplique ninguna restricción por horas de servicio o similar aplicable.
  • Solución a contratarse requiere soporte técnico directo del fabricante y que este pueda prestarlo localmente dentro de territorio nacional en formato 24x7x365; el mismo en sus modalidades deberá garantizarse ya sea en forma presencial, remota, chat en línea, correo electrónico y/o vía telefónica mediante número local.
  • El oferente deberá incluir una revisión de consola de forma trimestral.
  • El oferente debe garantizar la ejecución de Charlas de Concientización a los usuarios finales de la institución con el objetivo de aumentar el conocimiento de los mismos en temas varios de Seguridad Informática a elegir por la Administración. Esta charla deberá ser impartida de manera presencial o remoto, sin que esto represente un costo adicional para la CONARE

 

2.3.     Vigencia del contrato

El contrato tendrá una vigencia de un año, a partir de la comunicación del contrato en SICOP, que será la orden de inicio de la contratación, con posibilidad de prórroga por un período igual, hasta un máximo de cuatro años. El contratista será evaluado por el administrador del contrato, al finalizar el período, y será la justificación para la prórroga respectiva, la prórroga se dará siempre que el servicio recibido sea a satisfacción según lo estipulado en este pliego de condiciones. En caso de que la institución decida no prorrogar el contrato, lo notificará por escrito al contratista.

 

2.4.     Presupuesto estimado

El presupuesto estimado anual es de ¢ 10,883,308.00 que en un contrato de vigencia continuada a 4 años máximo se estima un monto total de ¢43.533.232,00.

 

1. CONDICIONES GENERALES

 

• El Consejo Nacional de Rectores (Conare) recibirá ofertas de manera electrónica, por medio de la plataforma SICOP, para la contratación del servicio de renovación de licenciamiento del antivirus institucional basado en la solución ESET para la protección de equipos y servidores.

  

• La oferta debe estar debidamente firmada por la persona facultada para ello.

 

• El oferente debe encontrarse al día en los pagos correspondiente a las cuotas obrero-patronales con la Caja Costarricense de Seguro Social, el Fondo de Desarrollo Social Asignaciones Familiares (Fodesaf) e impuestos ante la Dirección General de la Tributación Directa. La Administración realizará las verificaciones correspondientes.

 

• La administración asume que el oferente al estar registrado como proveedor de bienes, servicios y obras en el SICOP, mantiene vigente las declaraciones juradas previstas en el artículo 18 y 29 de la Ley General de Contratación Pública tanto para oferentes como para subcontratistas, por lo tanto, deberá indicar en su oferta que la información contenida en las declaraciones juradas se mantiene invariable.

 

• Para esta contratación no se están solicitando documentos que puedan catalogarse como información sensible, por lo que se les solicita a los oferentes no registrar en SICOP la oferta como confidencial. En el caso que un oferente considere que la información aportada es de carácter confidencial, deberá indicarlo en el sistema digital unificado con sus motivos y sustento jurídico con la finalidad de cumplir lo preceptuado en el artículo 15 de la Ley General de Contratación Pública. Dentro de los cinco días hábiles siguientes a la advertencia de confidencialidad, mediante acto motivado, la Administración señalará si procede o no la declaratoria de confidencialidad y, en caso de que así proceda, realizará un resumen del contenido de los documentos sin revelar los aspectos confidenciales e indicará por cuánto plazo ha de mantenerse esta. Durante el lapso de los cinco días antes señalado, la información se tendrá como confidencial.