3195 - Servicio de Ethical Hacking

5.1. Requisitos de experiencia
El oferente deberá contar con al menos tres (03) proyectos recibidos de forma definitiva y a satisfacción, en la ejecución de las pruebas de seguridad (pentesting) sobre aplicativos móviles y componentes asociados (API y Webservices). Los tres proyectos, deben tener una antigüedad máxima de 5 años y estos deben haber sido realizados en instituciones o empresas costarricenses. Para lo cual debe presentar una constancia. (Completar anexo #1).
5.2. Acuerdo de Servicio
El adjudicatario deberá garantizar mediante la presentación de una constancia o mediante un acuerdo de Service Level Agreement (SLA), que el servicio solicitado en estos términos de referencia cuente con garantía durante todo el plazo de ejecución contractual.
5.3. Perfil del personal
El oferente debe contar con un equipo multidisciplinario, y a nivel técnico del servicio por contratar, deberá estar conformado por al menos tres (03) personas profesionales diferentes, con el siguiente perfil: Perfil del personal Profesión Descripción
Dos (02) Ingenieros de ciberseguridad
A)Grado académico (mínimo) de Bachillerato en Ingeniería de Sistemas de Información, bachiller en informática empresarial, bachillerato en ciencias de la computación, o las carreras detalladas por Servicio Civil de la página 03 apartado denominado “Ingeniería de Software hasta su finalización en la página 05 del documento disponible en el siguiente enlace: https://www.dgsc.go.cr/ts_clases/Manuales/2%20Manual%20%20de%20%20Especialidades%20actualizado%20al%2023-6-2025/GESTION%20DE%20TECNOLOGIAS%20DE%20INFORMACION%20Y%20COMUNICACION.pdf. Debe aportar fotocopia del título académico.
B) El profesional debe contar con al menos experiencia de dos (02) años ejecutando pruebas de pentesting en aplicaciones móviles y api o webservices. Aportar constancia (Completar anexo #1).
C)Deberá contar con al menos una (1) de las siguientes certificaciones o documento idóneo para avalar su conocimiento en las pruebas de penetración:
 Certified Ethical Hacking (CEH)
 Offensive Security OSCP
 CompTIA PenTest+ *Todas las certificaciones anteriores deben poder ser comprobadas mediante una consulta web u otro método electrónico ante el ente certificador.
Un (01) Administrador de proyectos
A. Grado académico (mínimo) de Maestría en Dirección o gestión de Proyectos. Aportar fotocopia del título académico.
B. El profesional deberá demostrar su participación en al menos tres (03) proyectos de ciberseguridad en los últimos 3 años y aportar constancia (Completar anexo #1)
C. Deberá contar con al menos una (1) de las siguientes certificaciones o documento idóneo para avalar su conocimiento en proyectos/ciberseguridad:
*Certificación de CISM (Certified Information Security Manager).
*Certificación CISSP (Certified Information Systems Security Professional).
*Certificación PMP (Project Manager Profesional)
*SCRUM Master
*Todas las certificaciones anteriores deben poder ser comprobadas mediante una consulta web u otro método electrónico ante el ente certificador.
Ante la ausencia por cualquier índole de los profesionales solicitados, la empresa deberá tomar las medidas de contingencias previo aval de la institución para garantizar la continuidad del proyecto, además de sustituir con las mismas capacidades o superiores profesionales y técnicas, notificar, así como presentar la propuesta al fiscalizador asignado y este verificar el cumplimiento de requisitos para poder dar el aval. En caso de suceder el hecho, se debe informar de inmediato al fiscalizador asignado sobre la situación acontecida y no deberá generar costos u horas adicionales para la inducción del nuevo profesional.

3.1. Productos y actividades.
El servicio por adquirir debe cumplir las siguientes características:
A) Fase de Planificación:
El proveedor del servicio debe crear el cronograma para la ejecución del pentesting del aplicativo Móvil y componentes asociados. Donde se identifique claramente el plazo de ejecución, los responsables, fechas de inicio y final, actividades planteadas y entregables.
Realizar sesiones que se consideren necesarias entre el oferente y el INEC para la prestación adecuada del servicio durante la planificación para corroborar el alcance, definir roles de los involucrados y tiempo; así como ampliar los detalles técnicos requeridos para el servicio o aclara dudas.
Aspectos Generales del Servicio Pentesting en aplicativo móvil y componentes asociados.
El oferente debe realizar pruebas de ciberseguridad tipo “caja gris” sobre el siguiente alcance: Cantidad Alcance Descripción Resultado esperado
1
IP
Servidor de Aplicativos
Informe de los Hallazgos de Ciberseguridad
1
Aplicativo móvil
Sistema para la recolección de encuestas
2
URL (API)
APIs externos.
*2 endpoints
1
URL (Webservice)
Sistema transaccional que permite la obtención y trasferencia de información.
*41 endpoints
El cuadro anterior contiene los aspectos técnicos mínimos del alcance de esta contratación, adicionalmente los accesos de usuarios, permisos de seguridad, instalador del aplicativo móvil serán brindados solamente al adjudicatario, lo anterior por temas de seguridad.
La empresa contratada debe: • Realizar pruebas de seguridad con alguna (o conjunto de herramientas) que permitan obtener una visión externa/interna del nivel de seguridad.
• Alinear las pruebas, informes, conclusiones y soluciones más viables de las fallas y vulnerabilidades con base en las mejores prácticas de estándares y metodologías internacionales reconocidas como : NIST (National Institute of Standards and Technology) ,OWASP (Open Web Application Security Project) ,ISO 27001 (Sistemas Gestión de la Seguridad de la Información) .Se pueden incorporar otras prácticas acordadas entre el oferente y el INEC.
• Realizar escaneo automatizados de Dynamic Application Security Testing (DAST) y Static Application Security Testing (SAST) al alcance definido anteriormente.
• Considerar en las pruebas de seguridad aspectos de integración entre el Aplicativo Móvil y componentes asociados tales como:
1) Comunicación entre ambos. 2) Validación de controles de seguridad perimetrales WAF.
3) Evasión a controles de seguridad móviles.
4) Se pueden incorporar otros aspectos de integración acordadas entre el oferente y el INEC.
• En caso de identificar una vulnerabilidad de alto riesgo (critica), esta deberá comunicarse de forma inmediata al fiscalizador del contrato.
• Brindar acompañamiento durante los treinta (30) días hábiles de duración de la prueba, con el objetivo de apoyar al equipo técnico del INEC en el proceso de adopción de resolución de hallazgos.
B) Fase de Ejecución al Aplicativo Móvil
El oferente debe:
1) Realizar una evaluación de seguridad que permita revisar e identificar las fallas de seguridad del aplicativo móvil nativo desarrollado en el marco de código abierto Android con el lenguaje de programación de código abierto Java dicha aplicación será ejecutada en un dispositivo móviles (Tablet o celulares) con sistema operativo Android.
2) Simular diversos tipos de ataques automáticos y manuales, basados que se encuentran en de OWASP MASVS (Mobile Application Security Verification Standard), con el fin de evaluar cómo el sistema responde a intentos de explotación y para identificar posibles puntos de entrada para atacantes, el objetivo es proporcionar una evaluación realista de la seguridad de la aplicación. 3) Realizar pruebas de seguridad manuales de autenticación en el aplicativo móvil.
4) Realizar las pruebas de seguridad al aplicativo Móvil basándose en el estándar de OWASP MASVS (Mobile Application Security Verification Standard), el oferente debe utilizar la versión más reciente de este estándar internacional. 5) Penetrar la seguridad del aplicativo móvil sin generar cambios o acciones que pongan en riesgo la operación del sistema definido en este documento.
6) Se deben realizar al menos dos sesiones entre el oferente y el INEC para la prestación adecuada del servicio durante la ejecución de la prueba y adicional las que se consideren necesarias durante el proceso de contratación, las cuales abarcan: consulta, seguimiento para ampliar los detalles técnicos requeridos y aclarar consultas que surjan derivadas de esta prueba.
C)Fase de Ejecución al API (interfaz de programación de aplicaciones):
El oferente debe realizar:
1) Una evaluación de seguridad que permita revisar e identificar las fallas en la API, la cual está desarrollada en la tecnología .Net Core 8 o superior.
2) Realizar las pruebas de seguridad en la API basándose en el estándar internacional OWASP API Security Top 10, el oferente debe utilizar la versión más reciente de este estándar internacional.
3) Penetrar la seguridad del API sin generar cambios o acciones que pongan en riesgo la la operación del sistema definido en este documento. 4) Se deben realizar al menos dos sesiones entre el oferente y el INEC para la prestación adecuada del servicio durante la ejecución de la prueba y adicional las que se consideren necesarias durante el proceso de contratación, las cuales abarcan: consulta, seguimiento para ampliar los detalles técnicos requeridos y aclarar consultas que surjan derivadas de esta prueba.
D)Fase de Ejecución al Webservice: El oferencte debe:
1) Realizar una evaluación de seguridad que permita revisar e identificar las fallas de seguridad en el Webservice (SOAP) desarrollado en la tecnología .Net Core 8 o superior.
2) Realizar las pruebas de seguridad en la API basándose en el estándar internacional OWASP API Security Top 10, el oferente debe utilizar la versión más reciente de este estándar internacional.
3) Penetrar la seguridad del webservice sin generar cambios o acciones que pongan en riesgo la operación del sistema y el alcance definido en este documento.
4) Se deben realizar al menos dos sesiones entre el oferente y el INEC para la prestación adecuada del servicio durante la ejecución de la prueba y adicional las que se consideren necesarias durante el proceso de contratación, las cuales abarcan: consulta, seguimiento para ampliar los detalles técnicos requeridos y aclarar consultas que surjan derivadas de esta prueba.
E) Fase del Informe y retroalimentación
El oferente debe elaborar: 1) El informe técnico debe identificar, clasificar y documentar las fallas o vulnerabilidades encontradas y adjuntar evidencia técnica de cada una, en los formatos DOCX o PDF. Cabe la posibilidad que el informe de los hallazgos pueda presentarse mediante una plataforma web que cumpla con los estándares internacionales de seguridad, este debe ser utilizado sin ningún tipo de licenciamiento o costo adicional para el INEC, aun así, la plataforma debe tener la posibilidad de exportar el informe en los formatos, DOCX o PDF. 2) El informe que entregue el oferente debe contener como mínimo: la identificación, clasificación/tipo, origen y prioridad de cada falla o vulnerabilidad, así como la evidencia (imágenes, logs y los que se consideren necesarios) y las recomendaciones o métodos de mitigación para cada falla o vulnerabilidad identificada.
3) Brindar una presentación técnica detallada de manera virtual, duración mínima de dos horas, al Departamento de Tecnologías de Información (DTI) del INEC, de los hallazgos encontrados en la prueba, con recomendaciones para solventar los mismos.
4) El proveedor del servicio debe brindar una presentación ejecutiva virtual de una duración de dos horas mínimo, de los hallazgos al equipo de usuarios expertos del sistema con recomendaciones para solventar los hallazgos.
Entregables:
A continuación, la siguiente tabla enlista los entregables de este servicio: Fase Entregable
Planificación
• Cronograma de seguimiento.
• Minutas de sesiones.
Ejecución
• Minutas de sesiones
Informe
• Informe técnico de hallazgos.
• Presentación técnica de hallazgos.
• Presentación ejecutiva de hallazgos. • Una vez finalizado el contrato de servicios y el INEC haber recibido conforme los entregables, el oferente en un plazo máximo de 8 días naturales deberá presentar una constancia de que ha procedido a borrar todo archivo digital, e información que haya entregado el INEC a su representada, como insumo para el cumplimiento de los términos contractuales.
• El proveedor debe informar al INEC sobre cualquier violación a la seguridad de la información y ciberseguridad que afecte sus operaciones o sus negocios.
• El contratista debe cumplir con requisitos mínimos de seguridad en sus equipos, debe adjuntar una constancia de los siguientes puntos:
• Antivirus de paga instalado y actualizado a la versión más reciente,
• Sistemas operativos Windows 10 o superior, con las actualizaciones instaladas.
• Sistemas operativos Linux, con las actualizaciones instaladas.
• Política de contraseñas seguras (al menos 10 caracteres, donde se combine números, letras y caracteres especiales).
• Las herramientas utilizadas para realizar el pentesting deben contar con controles de seguridad y elementos de configuración gestionadas por el equipo que ejecute las pruebas.
• La empresa oferente debe limitarse al alcance de la ejecución de las pruebas de ciberseguridad que se definen en este documento. 3.2. Tiempo de ejecución o plazo de entrega.
El servicio deber ser realizada en Costa Rica para el Departamento de Tecnologías de Información (DTI) del Instituto Nacional de Estadística y Censos, durante 1 mes a partir del día hábil siguiente de notificado el contrato en SICOP. Salvo que el fiscalizador asignado a este cartel y el contratista en mutuo acuerdo definan un tiempo mayor.

Aspectos legales de obligatorio cumplimiento:

1. Aportar junto con la oferta la “Licencia Municipal (Patente)” de su actividad comercial, conforme al artículo 88.- del Código Municipal. En caso de profesionales que ejercen liberalmente su profesión, aportar el documento idóneo que acredite dicha condición.

1. Aportar junto con la oferta “Permiso sanitario de funcionamiento para establecimientos industriales, comerciales o de servicios”, vigente a la fecha de la apertura de ofertas.

1. En caso de resultar adjudicado en firme, deberá aportar la Póliza de seguro de riesgos del trabajo, en un plazo no mayor de 8 días hábiles contados a partir de la notificación. Dicha póliza debe relacionarse con la actividad adjudicada, estar vigente durante el plazo contratado hasta la recepción definitiva y cubrir la prestación del bien o servicio adjudicado. En caso de que el tipo de servicio se catalogue como proyecto de construcción, deberá declarar el proyecto ante el INS conforme lo exige la Norma Técnica aplicable para esa póliza.

1. Declaración Jurada del Registro de Proveedores SICOP: En atención al artículo 32.- del RLGCP “Requisitos para integrar el Registro Electrónico Oficial de Proveedores y Subcontratistas” y al pronunciamiento de la Dirección General de Contratación Pública “MH-DCoP-OF-0038-2024”, todo oferente deberá contar con la Declaración Jurada que requiere la “Información de Registro de Proveedor” en SICOP y mantenerla actualizada, caso contrario se declarará su oferta como incompleta y excluida del concurso por ser un elemento no subsanable.

Aspectos generales:

1. Reajuste y/o Revisión de Precios: En materia de reajuste y/o revisión de precios para la presente contratación, aplicará las disposiciones establecidas en el artículo 43 de la LGCP y los artículos 102, 103, 107 y 109 del RLGCP en lo atinente y lo definido en el Decreto Ejecutivo No. 44937-H-MICITT-MIDEPLAN:  Reglamento para el Reajuste Precios en los Contratos de Obra Pública y la Revisión de Precios en los Contratos de Bienes y Servicios.

Para eventuales gestiones de revisión o reajuste de precios, deberá siempre tramitarse por medio del SICOP, acreditando lo establecido en el artículo 6 del indicado reglamento, relacionado con la documentación de soporte para la determinación de los reajustes o las revisiones de precios en un contrato, a saber:

1. a) La estructura de cada precio, tanto en valores absolutos como porcentuales.
2. b) Las fórmulas matemáticas específicas del reajuste o la revisión de precios de un contrato.
3. c) Las estimaciones periódicas de avance de obra o las valoraciones de pago por la entrega de los bienes o la prestación de servicios, según corresponda, aprobadas por la Administración para el correspondiente pago.
4. d) El programa de trabajo vigente de la obra, el cronograma vigente, o la documentación equivalente generada en el proceso de contratación, en los que consten las fechas acordadas entre las partes, según corresponda.
5. e) Los valores de los índices de precios correspondientes al mes calendario conforme a la ejecución de la línea o del renglón de pago establecida en el programa de trabajo vigente, o el mes calendario de la entrega de bienes o prestación del servicio conforme al cronograma vigente con las fechas acordadas por las partes, asociados a cada uno de los costos directos e indirectos de la estructura de cada precio.
6. f) Los valores de los índices de precios correspondientes al mes calendario de la oferta.
7. g) En casos excepcionales, en que se aplique el método analítico-documental, la documentación probatoria (factura con su respectivo depósito o transferencia) que acredite la compra o la adquisición del insumo, así como aquella documentación presentada en la oferta (factura preforma o documento equivalente) que da sustento al precio cotizado.
8. h) Información acerca del otorgamiento de amortizaciones del pago anticipado o los adelantos de pagos, cuando corresponda.

1. Directriz N°44 H: En aplicación de la Directriz N° 44-H y lo definido en el oficio MH-DCoP-OF-0678-2024 de la Dirección de Contratación Pública, se solicita presentar oferta prioritariamente en moneda nacional. Cualquier oferta que se presente en moneda extranjera será convertida, para efectos comparativos de análisis y selección de ofertas, al colón en los términos dispuestos por el artículo 41 de la LGCP, ante lo cual, de llegar a ser favorecido ese oferente con una adjudicación, el contrato se pactará y formalizará en colones costarricenses.

1. Presupuesto Detallado del Adjudicatario: En atención al artículo 103.- del RLGCP, el presupuesto detallado de la obra, bien o servicio contratado deberá ser presentado únicamente por el adjudicatario dentro del plazo de ocho días hábiles posteriores a la firmeza de la adjudicación y antes de la suscripción del contrato. Lo anterior, aplica para cualquier modalidad de cotización y tipo de contrato.

Lo anterior, a excepción del procedimiento de capacitación abierta de acuerdo al criterio MH-DCoP-OF- 0408-2025.

El presupuesto detallado desglosará los componentes de cada actividad o unidad de la obra, unidad del bien, o unidad de servicio, según corresponda, indicando al menos sus costos directos, que considere como mínimo los recursos de materiales, mano de obra con el detalle de cargas sociales, equipos y maquinaria e identificación de los subcontratos, sus costos indirectos, su utilidad e imprevistos.

El detalle sugerido debe contener como mínimo lo siguiente:

1. Subcontratación: Conforme al artículo 133. Subcontratación del RLGCP, el oferente podrá subcontratar hasta en un cincuenta por ciento (50%) del monto adjudicado, lo cual procederá únicamente para la realización de cuestiones especializadas y ello no relevará al contratista de su responsabilidad.

El contratista no podrá alegar en ningún caso cláusulas de confidencialidad con sus

subcontratistas para brindar información que le sea solicitada, con las salvedades de la Ley

General de Contratación Pública.

Con la oferta se aportará un listado de las empresas subcontratadas. En ese detalle, se

indicarán los nombres de todas las personas físicas y jurídicas con las cuales se va a

subcontratar, incluyendo su porcentaje de participación en las prestaciones a realizar y se

aportará una certificación de los titulares del capital social y de los representantes legales

de aquellas.

1. Compromiso de Confidencialidad: Con la sola presentación de su oferta el oferente se compromete a que toda la información utilizada, manipulada o creada en el transcurso de esta vinculación contractual es propiedad del INEC, en consecuencia, la información no será utilizada por el contratista para su propio uso o beneficio y será mantenida en estricta confidencialidad, usándola solo para los fines contratados. Por lo anterior, el contratista no podrá copiar, ceder, donar, prestar, enajenar o facilitar por ningún medio para uso de terceros o en beneficio propio la información que se genere o que llegue a conocer con motivo de la ejecución la Contratación, por lo que tampoco podrá reproducir, modificar, publicar, divulgar o entregar a terceros, independientemente de su finalidad, dicha información, facultando al INEC a iniciar los procesos administrativos o judiciales que correspondan según de evidencie un incumplimiento a los anteriormente señalado.

1. Precio: En relación con el precio se considerará inaceptable en aplicación de los artículos 106.- precio inaceptable y articulo 44.- Razonabilidad del precio, del Reglamento a la Ley General de Contratación Pública, en un rango +-25%, salvo justificación del oferente como lo indica la normativa.

1. Por el solo hecho de presentar su oferta en el presente concurso, el oferente admite conocer, aceptar y cumplir plenamente con los términos y las condiciones del concurso, incluidas las aclaraciones o modificaciones que lleguen a aplicarse.

1. El contrato que se llegue a suscribir entre las partes no generará responsabilidad laboral alguna para la Administración.

1. La garantía de cumplimiento cuando se solicite, deberá rendirse por medio del Sistema Unificado de Compras (SICOP), conforme a la normativa.

1. El adjudicatario en caso de no poder cumplir con el plazo de entrega establecido, previo a que este se venza, deberá solicitar de forma justificada la prórroga por medio de SICOP, de acuerdo al parámetro normativo.

1. Gestión de recepción provisional y definitiva El adjudicatario deber realizar la gestión de recepción provisional y definitiva y la gestión de pago, por medio del SICOP conforme lo establecido normativamente.

Para efectos financieros y contables del INEC, deberá además remitir la factura electrónica al correo electrónico facturas@inec.go.cr .  La factura electrónica debe cumplir con los requisitos que exige el Ministerio de Hacienda y deberá indicar en el detalle el nombre y número de procedimiento de contratación administrativa que gestiona y el número de orden de pedido cuando corresponda.

1. Forma de pago: el INEC pagará dentro de un plazo de 30 días naturales siguientes al acto que declara la recepción definitiva y presentada la respectiva factura legalizada por parte del adjudicatario. En caso de que se adjudique una oferta presentada en moneda extranjera, se pagará de acuerdo al tipo de cambio del Banco Central de Costa Rica.

1. Garantía: El oferente deberá indicar un correo electrónico exclusivo para atención a los reclamos de garantía técnica o de funcionamiento, cuando aplique.

1. Documentos confidenciales: De conformidad con lo establecido en los artículos 15 de la Ley General de Contratación Pública (LGCP) y 30 de su reglamento (RLGCP), cuando se deban presentar documentos que por su naturaleza deben ser considerados o tratados como confidenciales, se debe tener en consideración lo siguiente:

• El oferente que considere o requiera que algunos de sus documentos deban ser tratados como confidenciales, deberá aportar la justificación correspondiente en su oferta, indicando el motivo y sustento jurídico que respalde la confidencialidad en los archivos anexos.
• El motivo y sustento jurídico debe ser plasmado directa y expresamente en el apartado “Observaciones/ detalle de otros impuestos/ otros costos”, que se muestra al momento de confeccionar su oferta en SICOP:

En caso de que el archivo se envíe como documento confidencial y no se establezca la debida justificación y sustento jurídico conforme a lo anteriormente indicado, la Administración queda facultada para rechazar la solicitud y proceder a cambiar la condición del documento a no confidencial, no asumiendo el INEC responsabilidad alguna por las eventuales consecuencias que ello implique.

Los argumentos que sean expuestos en el apartado anteriormente mencionado, que motivan el establecer un documento como confidencial, serán valorados por la Administración conforme el artículo 15 LGCP y artículo 30 RLGCP, mediando para tal efecto un acto motivado suscrito por funcionario competente y con apego al principio de transparencia, que deberá señalar si procede o no la declaratoria de confidencialidad del o los documentos que se hayan consignado bajo la condición de confidenciales.

1. Principio deber de probidad: en atención a la normativa en Compras Públicas, así como, de la Ley contra la Corrupción y el Enriquecimiento Ilícito en la Función Pública y su reglamento, al Reglamento Autónomo de Servicio del INEC y al Código de Ética del INEC, entre otras normas conexas, los funcionarios del INEC deben actuar con rectitud y honradez, ante lo cual, deben exteriorizar una conducta honesta procurando con su trabajo satisfacer el interés de la colectividad, desechando todo provecho o ventaja personal, sea en forma directa o a través de terceras personas. Por lo anterior, se proclama que los funcionarios institucionales que directa o indirectamente se relacionan con los procedimientos de compras públicas, no van a recibir, por ninguna circunstancia, dádivas, obsequios, favores, pagos, regalos, premios o recompensas, que les ofrezcan proveedores, personas terceras o funcionarios públicos interesados, como retribución por la comisión, omisión, demora o premura de actos propios de su puesto o cargo. Adicionalmente, se informa que los funcionarios del INEC, además de conocer la responsabilidad disciplinaria y civil de sus actos, son conocedores de la eventual responsabilidad penal que le atañe de conformidad con los delitos regulados en los artículos 347, 348, 350, 353 y 355 del Código Penal, que disponen la prohibición absoluta de que los funcionarios públicos reciban dádivas, obsequios o cualquier tipo de beneficios en el ejercicio de su cargo. Además, los funcionarios del INEC, son conocedores de los alcances del artículo 352 del Código Penal que dispone de una penalidad para el corruptor que ofrezca esas dádivas, con penas de prisión de 1 y hasta 11 años según el tipo de delito, por lo que procederán a denunciar cualquier tipo de acto de corrupción que se le pretenda brindar, ofrecer o facilitar, de forma directa o indirecta.

Edgar Montero Acuña

Coordinador, Unidad de Proveeduría