description: PRESTACION DE ASESORAMIENTO Y ASISTENCIA EN CUESTIONES RELACIONADAS CON LA GESTION DE LOS RECURSOS INFORMATICOS DE LAS SOCIEDADES O INSTITUCIONES COMO, LA CONSULTORIA EN MATERIA DE SISTEMAS DE SEGURIDAD

description: Por cumplir con la integridad de la oferta, requisitos mínimos solicitadas en los Pliegos, y porque su propuesta representa el mejor costo, de acuerdo a lo definido en el número 19 del artículo 6 de la Ley Orgánica del Sistema Nacional de Contratación Pública.

description: PRESTACION DE ASESORAMIENTO Y ASISTENCIA EN CUESTIONES RELACIONADAS CON LA GESTION DE LOS RECURSOS INFORMATICOS DE LAS SOCIEDADES O INSTITUCIONES COMO, LA CONSULTORIA EN MATERIA DE SISTEMAS DE SEGURIDAD

description: PRESTACION DE ASESORAMIENTO Y ASISTENCIA EN CUESTIONES RELACIONADAS CON LA GESTION DE LOS RECURSOS INFORMATICOS DE LAS SOCIEDADES O INSTITUCIONES COMO, LA CONSULTORIA EN MATERIA DE SISTEMAS DE SEGURIDAD

description: PRESTACION DE ASESORAMIENTO Y ASISTENCIA EN CUESTIONES RELACIONADAS CON LA GESTION DE LOS RECURSOS INFORMATICOS DE LAS SOCIEDADES O INSTITUCIONES COMO, LA CONSULTORIA EN MATERIA DE SISTEMAS DE SEGURIDAD

title: LCC-BCE-2024-001-2457

answer: AKROS SI CUMPLE ENTIENDE Y PRESENTA TODO LO SOLICITADO POR LA ENTIDAD EN CONVALIDACIONES

description: El Oferente presenta la siguiente documentación:?33-53-17CARTA DE COMPROMISO EQUIPO MINIMO-signed.pdf??33-53-23 COMPROMISO DE PARTICIPACION DEL PERSONAL TECNICO-signed.pdf??33-53-24 ush_oferta_compromisodelprofesional-signed.pdf?En el Numeral 4.1.1. del Pliego del proceso de contratación se detalla la integridad de la oferta y como se evaluará considerando la presentación de los Formularios y requisitos mínimos previstos en el pliego:?? II Formulario de compromiso de participación del personal técnico y hoja de vida2.1 Compromiso del personal asignado al proyecto2.2 Hoja de vida del personal técnico clave asignado al proyecto ??El Formulario 2.1 Compromiso del personal asignado al proyecto, presentado por el oferente no se encuentra firmado por el personal técnico clave.CONVALIDACIÓN SOLICITADAA fin de verificar el compromiso de participación del personal técnico, el oferente deberá presentar el Formulario de compromiso de participación del personal técnico y hoja de vida

answer: Pregunta 26En cuanto a la titulación académica del personal técnico, específicamente para el Especialistade Campo en Hackeo Ético, es aceptable presentar títulos de Ingeniero en Ciencias de la Seguridad, Tecnólogo en Informática con mención en Análisis de Sistemas, y Técnico Superior en Informática con mención en Programación de Sistemas?Fecha Pregunta: 2024-08-30 11:19:25Aclaración 12:Es procedente presentar títulos de Ingeniero en Ciencias de la Seguridad, Tecnólogo en Informática con mención en Análisis de Sistemas, y Técnico Superior en Informática con mención en Programación de Sistemas

description: ACLARACION

answer: Pregunta 24En el término de referencia, en el apartado 18.2 "Equipo Mínimo", se menciona que se requiere una herramienta de software para la Respuesta ante Incidentes. Podemos cumplir con este requisito utilizando una herramienta de análisis forense? Por favor, confirmar.Fecha Pregunta: 2024-08-30 11:17:30Aclaración 11:Se aceptará la presentación de la herramienta de análisis forense, para acreditar el cumplimiento del  18.2 Equipo Mínimo: "Descripción: Herramienta de software Característica:  para respuesta ante incidentes?

description: ACLARACION

answer: Pregunta 21En el apartado 18.7 "Otros parámetros resueltos por la entidad", Es aceptable que para elEspecialista de Campo en Análisis de Vulnerabilidades se acepten certificaciones como OSWP y eJPT Junior Penetration Tester?Fecha Pregunta: 2024-08-30 11:15:53Aclaración 10:Se receptará únicamente para la certificación eJPT Junior Penetration Tester, de conformidad al numeral 18.7 en los Términos de Referencia establece: ?o afines con la función requerida.?

description: ACLARACION

answer: Pregunta 18En el apartado 18.7 "Otros parámetros resueltos por la entidad?, Es aceptable que para el Líder o Gerente de Proyecto se acepten certificaciones como ITIL Expert Certificate in IT Service Management, Certified ISO/IEC 27001 Lead Implementer y Certified Information Systems Auditor CISA?Fecha Pregunta: 2024-08-30 11:14:14Aclaración 9:Es procedente, de conformidad al numeral 18.7 en los Términos de Referencia establece: ?o una similar relacionada con la función de líder de proyectos.?

description: ACLARACION

answer: Pregunta 17Para cumplir con la experiencia especifica, se aceptarán actas de entrega o certificados deproyectos como: servicio de análisis de postura de seguridad?Fecha Pregunta: 2024-08-30 11:13:39Aclaración 8:se receptará experiencia específica en proyectos relacionados con: pruebas de penetración y análisis de vulnerabilidades de seguridad de la información.

description: ACLARACION

answer: Pregunta 3 Con respecto a la experiencia especifica confimar si la experiencia debe ser sobre consultorías en temas relacionados al desarrollo de manejo de incidentes de ciberseguridad y planes de recuperación de desastres.?Fecha Pregunta: 2024-08-28 14:29:28Aclaración 7:Con respecto a la experiencia específica solicitada es en consultorías en temas relacionados al desarrollo de manejo de incidentes de ciberseguridad y planes de recuperación de desastres, sin embargo, se receptará en proyectos relacionados con pruebas de penetración y análisis de vulnerabilidades de seguridad de la información debido a que es parte del objeto de contratación.

description: ACLARACION

answer: Aclaración 6:Se aceptará para el Especialista de respuesta a incidentes certificación en herramientas de respuesta a incidentes, así como ISO 27001 Senior Lead Implementer, ISO 27005 Senior Lead Risk Manager, CISA, CEH.

description: ACLARACION

answer: Aclaración 4:Se aceptará para el Especialista de campo para análisis de vulnerabilidades, certificaciones en herramientas de análisis de vulnerabilidades, así como ISO 27001 Senior Lead Implementer, ISO 27005 Senior Lead Risk Manager, CISA.

description: ACLARACION

answer: Se acepta como titulación la Maestría en Ciberseguridadpara el líder de proyectos.

description: ACLARACION

answer: Aclaración 2Los 50 activos de infraestructura tecnológica y 10 sistemas o aplicaciones del BCE deben ser evaluados al menos una vez o bajo demanda durante los 730 días.

description: ACLARACION

answer: Aclaración 1Los oferentes deben incluir en su oferta los requerimientos para el despliegue de la solución, ya sea a través de agentes u otro medio no intrusivo, esto se lo va a llevar a cabo en un ambiente controlado.

description: ACLARACION

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que si se aceptará como adicional al requisito mínimo requerido, es decir solo para el puntaje, de conformidad al numeral 18.7 Otros parámetros resueltos por la entidad en los Términos de Referencia indica: ?Certificación en alguno de los siguientes temas: Certified Information Systems Security Professional (CISSP), Certified Incident Handler (CIH),GIAC Certified Incident Handler (GCIH), forma GIAC Security Essentials Certification (GSEC), o afines con la función requerida..?En este sentido es procedente para la evaluación por puntaje en certificados adicionales para la sumatoria de puntos de conformidad al numeral 18.12.6 Otros parámetros resueltos por la entidad (10 puntos).

name: RADICAL ALTERNATIVAS DE AVANZADA ALTRADICALAVAN CIA. LTDA

description: Se solicita que para el Especialista de respuesta a incidentes se permita adicionalmente a las ya solicitadas en la página 44 certificación en herramientas de respuesta a incidentes, así como ISO 27001 Senior Lead Implementer, ISO 27005 Senior Lead Risk Manager, CISA,  CEH, mismas que son relacionadas con las actividades propias del análisis solicitado.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que si se aceptará como adicional al requisito mínimo requerido, es decir solo para el puntaje, de conformidad al numeral 18.7 Otros parámetros resueltos por la entidad en los Términos de Referencia indica: ?Especialista de Campo para el hackeo ético: Certificación en alguno de los siguientes temas: Certified Ethical Hacker (CEH) práctico, Offensive Security Certified Professional (OSCP), Certified Red Team Professional (CRTP),Penetration Tester (GPEN), o afines con la función requerida.?En este sentido es procedente para la evaluación por puntaje en certificados adicionales para la sumatoria de puntos de conformidad al numeral 18.12.6 Otros parámetros resueltos por la entidad (10 puntos).

description: Se solicita que para el Especialista de campo para hackeo ético se permita adicionalmente a las ya solicitadas en la página 44 certificación en herramientas de hackeo ético, así como ISO 27001 Senior Lead Implementer,  ISO 27005 Senior Lead Risk Manager, CISA, mismas que son relacionadas con las actividades propias del análisis solicitado.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que no es mandatorio, de conformidad con el numeral 9 Ejecución del Hackeo Ético en los Términos de Referencia indica: ?Realización de pruebas de penetración de manera controlada y segura para explotar las vulnerabilidades identificadas.? Las pruebas deben realizarse en ambientes controlados y en coordinación con el Administrador del contrato.

description: Estimada entidad favor confirmar si es mandatorio incluir en la oferta los requerimientos para el despliegue de la solución, ya sea a través de agentes u otro medio no intrusivo ya que el Hackeo ético se lo puede realizar sin necesidad de instalar agentes.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que si se aceptará como adicional al requisito mínimo requerido, es decir solo para el puntaje, de conformidad al numeral 18.7 Otros parámetros resueltos por la entidad en los Términos de Referencia indica: ?Especialista de Campo para análisis de vulnerabilidades Certificación en alguno de los siguientes temas: Certified Ethical Hacker (CEH) teórico, Offensive Security Certified Professional (OSCP), Certified Red Team Operator (CRTO), CREST Registered Tester (CRT), o afines con la función requerida.?Así también, es procedente para la evaluación por puntaje en certificados adicionales para la sumatoria de puntos de conformidad al numeral 18.12.6 Otros parámetros resueltos por la entidad (10 puntos).

description: Se solicita que para el Especialista de campo para análisis de vulnerabilidades se permita adicionalmente a las ya indicadas en la página 44 certificación en herramientas de análisis de vulnerabilidades, así como ISO 27001 Senior Lead Implementer,  ISO 27005 Senior Lead Risk Manager,  CISA, mismas que son relacionadas con las actividades propias del análisis solicitado.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que se deben evaluar las herramientas de punto final y aproximadamente 5 equipos de puntos finales.De conformidad con el numeral 9 Ejecución del Hackeo Ético indica: ?Realización de pruebas de penetración de manera controlada y segura para explotar las vulnerabilidades identificadas.? Las pruebas deben realizarse en ambientes controlados y en coordinación con el Administrador del contrato.En el numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia indica: "Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equipo técnico del Banco Central del Ecuador. Los insumos que se remitirán al contratista son los siguientes:?Detalle

description: Estimada entidad favor confirmar cuantos puntos finales se va a Evaluar a través de la simulación de los siguientes vectores de ataque.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que se aceptará el título de maestría en Ciberseguridad para el líder de proyectos.?

description: Se solicita que para el Líder del Proyecto se permita una maestría en Ciberseguridad ya que permitiría tener un mejor conocimiento sobre el alcance del proyecto y de la metodología que se requiere para gestionar los diferentes entregables, favor confirmar si es aceptada nuestra solicitud

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que no es procedente, primero se realizará el análisis de vulnerabilidades y con los entregables descritos en el producto a, se procederá a ejecutar las pruebas de hackeo ético de conformidad al numeral 9. METODOLOGÍA DE TRABAJO en los Términos de Referencia indica:?(?) Análisis de Vulnerabilidades (Semestral)Hackeo Ético (Después del Análisis de Vulnerabilidades)?Así también, los 50 activos de infraestructura tecnológica y 10 sistemas o aplicaciones del BCE deben ser evaluados al menos una vez o bajo demanda durante los 730 días.

description: Estimada entidad favor confirmar si el Ethical hacking y el análisis de vulnerabilidades iniciaran al mismo tiempo y se realizara sobre los mismo activos.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, es procedente de conformidad al numeral 11.1 Características del Servicio en los Términos de Referencia en el producto a ?Plan de análisis de vulnerabilidades (Identificar y analizar debilidades de seguridad en la infraestructura tecnológica y las aplicaciones web del BCE)? indica:?El escaneo de vulnerabilidades se lo realizara de manera semestral y debe incluir revisión de seguridad de las configuraciones, versiones de sistemas operativos y aplicativos, para el desarrollo de un plan de remediación?

description: Estimada entidad haciendo referencia al punto Escaneo de vulnerabilidades favor confirmar si el punto "incluir revisión de seguridad de las configuraciones" hacen referencia a una evaluación de hardening.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que el análisis es interno y externo, de conformidad con el numeral 11.1 Características del Servicio en los Términos de Referencia en el producto a ?Plan de análisis de vulnerabilidades (Identificar y analizar debilidades de seguridad en la infraestructura tecnológica y las aplicaciones web del BCE)? indica: ?El análisis, tanto interno como externo, se llevará a cabo de forma hibrida (remota y en sitio) y en modalidades de caja negra y caja gris, previa coordinación con el administrador del contrato.?En el numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia indica: "Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equip

description: Estimada entidad haciendo referencia al punto Escaneo de vulnerabilidades favor confirmar si los 50 activos de infraestructura tecnológica son internos o externos

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que el tiempo de respuesta de máximo de una hora se refiere al período a partir desde la notificación del incidente o consulta por parte del BCE al contratista, quién deberá confirmar la recepción, conforme al numeral 11.2 en los Términos de Referencia indica:?Tiempos de Respuesta El contratista deberá devolver una llamada o correo electrónico (esquema call back basic (llamada de retorno)) al contacto designado por el CONTRATANTE en un tiempo no mayor a una (1) hora después de recibida la notificación del incidente.?A partir de la recepción empieza a correr el tiempo del SLA.

description: Estimada entidad favor confirmar si los tiempos para los SLA inician desde que BCE escala vía correo electrónico un incidente de seguridad al oferente.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que el numeral 11.1 Características del servicio en los Términos de Referencia en el producto c ?Plan de remediación y análisis de resultados del producto a y b?  señala: ?Re-test bajo demanda tras la implementación de medidas correctivas.?En este sentido, se llevará a cabo un re-test únicamente en aquellos activos donde se haya confirmado la aplicación de medidas correctivas y por solicitud del Administrador del Contrato.

description: En la página 22, en la sección: "Re-test bajo demanda tras la implementación de medidas correctivas", en caso de que sea necesario.  Cuál es número máximo de re-test a ser realizados durante la ejecución del contrato? Existe un número máximo de activos a evaluar por cada re-test?, adicionalmente Se entiende que el re-test solo contempla vulnerabilidades de severidad crítica y alta?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que debe ser presencial y que aproximadamente es para cinco personas, de conformidad con el numeral 11.1 Características del Servicio en los Términos de Referencia indica: "Cronograma de transferencia de conocimientos (...) Transferencia de conocimientos de 16 horas acerca de Blue Team que se coordinara para el segundo semestre contados al siguiente día de la firma del contrato. (...) Transferencia de conocimientos de 16 horas acerca de Red Team que se coordinara para el tercer semestre contados al siguiente día de la firma del contrato."

description: En la página 21, en la sección: "Entrenamiento de al menos 16 horas de las herramientas de Red Team?",Cuál es el número de funcionarios para el entrenamiento? y El entrenamiento es presencial, virtual, hibrido?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que se deben evaluar las herramientas de punto final y aproximadamente 5 equipos de puntos finales.De conformidad con el numeral 9 Ejecución del Hackeo Ético indica: ?Realización de pruebas de penetración de manera controlada y segura para explotar las vulnerabilidades identificadas.? Las pruebas deben realizarse en ambientes controlados y en coordinación con el Administrador del contrato.En el numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia indica: "Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equipo técnico del Banco Central del Ecuador. Los insumos que se remitirán al contratista son los siguientes:?Detalle

description: En la página 21, en la sección: "Evaluación de los sistemas de control de navegación mediante la simulación de los siguientes escenarios".Se dotará de una computadora hardenizada acorde a las políticas del BCE al equipo consultor para evaluar los controles de navegación, o el equipo consultor realizará esta evaluación con su propia infraestructura equipos, elemento activo de red, etc?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que se deben evaluar las herramientas de punto final, en coordinación con el Administrador de Contrato y de conformidad con el numeral 9 Ejecución del Hackeo Ético indica: ?Realización de pruebas de penetración de manera controlada y segura para explotar las vulnerabilidades identificadas.? Las pruebas deben realizarse en ambientes controlados y en coordinación con el Administrador del contrato

description: En la página 21, en la sección: "Evaluar las herramientas de protección de punto final a través de la simulación de los siguientes vectores de ataque",Se realizará la simulación en activos controlados de prueba de propiedad del cliente y el equipo consultor tendrá acceso controlado a las herramientas de protección de punto final?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que no se especifica un número mínimo de pruebas que deben ejecutarse debido a que, se debe realizar en esta fase el ?Hackeo Ético (Explotación y Escalamiento de Privilegios)? lo que implica efectuar varias pruebas para la explotación de vulnerabilidades, de conformidad al numeral 11.1 Características del Servicio en los Términos de Referencia en el producto b ?Pruebas de hackeo ético? indica:?Evaluación de controles de seguridad en aplicaciones web, servicios expuestos a Internet y validar/negar su explotación a través de la simulación de los vectores de ataque por ejemplo sin limitarse a:oCommand InjectionoXML InjectionoSQL InjectionoFile InclusionoPath Traversal.?

description: En la página 21, en el apartado: "Evaluación de controles de seguridad en aplicaciones web...",Se entiende que la ejecución de las pruebas es según sea factible acorde al activo evaluado Existe un número mínimo de pruebas a ser ejecutadas sobre cada activo o cuáles serán las pruebas a cumplirse obligatoriamente?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que se debe indicar los diferentes tratamientos de riesgo en la metodología y considerar que el análisis contempla debilidades identificadas descartando falsos positivos por parte del Contratista, acompañamiento y asesoramiento en el plan de remediación,  de conformidad con el numeral 11.1 "Características del Servicio" en el producto c ?Plan de remediación y análisis de resultados del producto a y b? en los Términos de Referencia indica:?Acompañamiento y asesoramiento para la solución y cierre de brechas del plan de remediación en el caso que se requiera o por solicitud del administrador de contrato.?Así también, en el numeral 18.6 ?Metodología y Cronograma de ejecución. - La firma consultora, deberá presentar la propuesta metodológica que se ajuste a los productos de los términos de referencia planteados por el BCE, que le permita cumplir con los objetivos propuestos para la ejecución

description: De no poderse implementar las recomendaciones emitidas por el equipo consultor, el BCE asumirá el riesgo o que acción tomará al respecto?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que es procedente, considerar que el análisis contempla debilidades identificadas descartando falsos positivos por parte del Contratista y acompañamiento y asesoramiento en el plan de remediación; de conformidad con el numeral 11.1 "Características del Servicio" del producto a y b en los Términos de Referencia en su parte pertinente señala:?Informe técnico de vulnerabilidades, lista completa de vulnerabilidades, debilidades identificadas (No falsos positivos), impacto potencial y recomendaciones detalladas.??Informe técnico de pruebas de penetración éticas con detalles de hallazgos críticos y altos, debilidades identificadas (No falsos positivos), pasos seguidos para su explotación y evidencias del proceso de penetración?.Así también, en el producto c ?Plan de remediación y análisis de resultados del producto a y b? en los Términos de Referencia indica:?Plan de remediación y análisis

description: El equipo técnico del BCE realizará las implementaciones de las recomendaciones acorde a su análisis de la factibilidad técnica de implementación de las mismas en su infraestructura?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que es procedente, considerar que el análisis contempla debilidades identificadas descartando falsos positivos por parte del Contratista y acompañamiento y asesoramiento en el plan de remediación; de conformidad con el numeral 11.1 "Características del Servicio" del producto a y b en los Términos de Referencia en su parte pertinente señala:?Informe técnico de vulnerabilidades, lista completa de vulnerabilidades, debilidades identificadas (No falsos positivos), impacto potencial y recomendaciones detalladas.??Informe técnico de pruebas de penetración éticas con detalles de hallazgos críticos y altos, debilidades identificadas (No falsos positivos), pasos seguidos para su explotación y evidencias del proceso de penetración?.Así también, en el producto c ?Plan de remediación y análisis de resultados del producto a y b? en los Términos de Referencia indica:?Plan de remediación y análisis

description: En la página 20 en la tabla se indica ?? remediación de debilidades de seguridad vulnerabilidades??, La remediación de las vulnerabilidades debe ser contemplada en base al análisis por parte del equipo técnico del BCE sobre la factibilidad de la implementación de las recomendaciones emitidas por el equipo consultor

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que su entendimiento es correcto, de conformidad al numeral 11.1 Características del Servicio en los Términos de Referencia en el producto a ?Plan de análisis de vulnerabilidades (Identificar y analizar debilidades de seguridad en la infraestructura tecnológica y las aplicaciones web del BCE)? indica:?El escaneo de vulnerabilidades se lo realizara de manera semestral y debe incluir revisión de seguridad de las configuraciones, versiones de sistemas operativos y aplicativos, para el desarrollo de un plan de remediación?

description: En la página 20 en la tabla se indica ?? revisión de seguridad de las configuraciones??,2.A nuestro entendimiento, esto se refiere a: usuarios y contraseñas predeterminadas, identificación de puertos y servicios innecesarios, según la descripción servidor web, servidor de base de datos, servidor de aplicación, etc. del activo de infraestructura tecnológica. Es nuestro entendimiento correcto?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que la información se entregará conforma al numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia indica: "Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equipo técnico del Banco Central del Ecuador. Los insumos que se remitirán al contratista son los siguientes:?Detalle de activos tecnológicos que van a ser evaluados en la consultoría.?

description: En la página 20 en la tabla se indica "?10 sistemas o aplicaciones del BCE.?,1.Cuál es el detalle y tipo transaccional, portal de usuarios, portal de educación de usuarios, etc. de los 10 sistemas o aplicaciones?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que de conformidad al numeral  11.1 Características del Servicio en los Términos de Referencia en el literal d indica:?Informe de al menos 20 takedowns por año de eventos detectados acerca de actividades sospechosas de ciberseguridad e imagen digital?

description: En los Términos de Referencia numeral 11.  PRODUCTOS ESPERADOS, sub numeral 11.1 Características del Servicio, literal d en ENTREGABLE se establece: ?Informe de al menos 20 takedowns por año de eventos detectados acerca de actividades sospechosas de ciberseguridad e imagen digital ?Por favor determinar el número de  takedowns por año de eventos detectados acerca de actividades sospechosas de ciberseguridad e imagen digital

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que el número de horas es el determinado en el numeral 11.1 Características del Servicio en los Términos de Referencia indica: "Cronograma de transferencia de conocimientos (...) Transferencia de conocimientos de 16 horas acerca de Red Team que se coordinara para el tercer semestre contados al siguiente día de la firma del contrato."

description: En los Términos de Referencia numeral 11.  PRODUCTOS ESPERADOS, sub numeral 11.1 Características del Servicio, literal b en ENTREGABLE se establece: ?Transferencia de conocimientos de al menos 16 horas en las operaciones de red          team,    impartida    por    personal certificado.? Por favor determinar el número de horas para la Transferencia de conocimientos en las operaciones de red team

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que el número de horas de conformidad con el numeral 11.1 Características del Servicio en los Términos de Referencia indica: "Cronograma de transferencia de conocimientos (...) Transferencia de conocimientos de 16 horas acerca de Blue Team que se coordinara para el segundo semestre contados al siguiente día de la firma del contrato. (...)

description: En los Términos de Referencia numeral 11.  PRODUCTOS ESPERADOS, sub numeral 11.1 Características del Servicio, literal a en ENTREGABLE se establece: ?Transferencia de conocimientos de al menos 16 horas en las operaciones de blue team, impartida por personal certificado.? Por favor determinar el número de horas para la Transferencia de conocimientos en las operaciones de blue team

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que la remediación de debilidades de seguridad será ejecutada por el BCE con el acompañamiento y asesoramiento de la consultora, de conformidad al numeral 11.1 "Características del Servicio" del producto c ?Plan de remediación y análisis de resultados del producto a y b? en los Términos de Referencia indica:?Plan de remediación y análisis de resultados del producto a y b?, ?Se deberá generar una base de conocimientos donde se permita realizar consultas posteriores, donde se pueda visualizar el análisis de resultados de los simulacros de explotación y escaneos de vulnerabilidades, incluyendo la priorización y jerarquización de estas vulnerabilidades ejecutadas en el producto a y b.?  y ?Acompañamiento y asesoramiento para la solución y cierre de brechas del plan de remediación en el caso que se requiera o por solicitud del administrador de contrato.?En los entregables se tiene: ?Base de c

description: En los Términos de Referencia numeral 11.  PRODUCTOS ESPERADOS, sub numeral 11.1 Características del Servicio, literal a en CARACTERÍSTICAS DEL PRODUCTO se establece: ?Se llevará a cabo la identificación y remediación de debilidades de seguridad vulnerabilidades en al menos 50 activos de infraestructura tecnológica y 10 sistemas o aplicaciones del BCE. ? entendemos que los recursos necesarios para la remediación es responsabilidad del BCE, favor ratificar o rectificar nuestro entendimiento. Adicionalmente por favor determinar exactamente cuántos activos y sistemas se debe identificar y remediar debilidades de seguridad

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que la infraestructura se encuentra en Quito y Guayaquil  y no se especifica el número ni tipo de activos debido a que es una respuesta frente a un ataque cibernético, y en este caso de materializarse el incidente de seguridad se deberá realizar la atención y ejecución de conformidad al numeral 11.1 Características de servicio en los Términos de referencia en el producto e ?Informe de Respuesta ante incidentes o entrenamiento en análisis forense o acompañamiento del producto c? señala que:  ?(?) al menos investigación, análisis forense, entre otros; reportados bajo demanda por el administrador de contrato acerca de incidentes de seguridad, que incluye la identificación, recopilación y análisis de datos pertinentes, junto con la presentación de informes detallados.?

description: En el documento términos de referencia en la página 22 en la tabla se indica ?? Respuesta ante incidentes de equipos informáticos del BCE que incluya al menos investigación, análisis forense,?? se solicita al BCE que confirme el número y tipo de activos sobre los cuales se podrá requerir el análisis forense y si estos activos pertenecen a la matriz del Banco o están ubicados a nivel nacional confirmar ubicaciones.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted,  que se debe coordinar con el Administrador de Contrato para dar cumplimiento al producto, de conformidad al numeral 11.1 Características de servicio en los Términos de referencia en el producto e ?Informe de Respuesta ante incidentes o entrenamiento en análisis forense o acompañamiento del producto c? señala que:?En caso de no consumirse las horas del servicio (respuesta ante incidentes) estas serán intercambiables con horas de entrenamiento en respuesta a incidentes previa coordinación con el administrador de contrato dictadas por personal certificado de la contratista?

description: En el documento términos de referencia en la página 22 en la tabla se indica ?? 100 horas de soporte para realizar los informes de respuesta ante incidentes que incluirá investigación forense previa coordinación con el administrador de contrato con análisis detallado y hallazgos clave?? se solicita al BCE que confirme si que en caso de que no se presenten incidentes en cada trimestre se pueda realizar una capacitación de 12 horas.  De esta forma no acumular horas al final del contrato

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que no se especifica criterios o métricas de evaluación de conformidad con el numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia indica:"Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equipo técnico del Banco Central del Ecuador (?).?

description: En el documento términos de referencia en la página 22 en la tabla se indica ?? 100 horas de soporte para realizar los informes de respuesta ante incidentes que incluirá investigación forense previa coordinación con el administrador de contrato con análisis detallado y hallazgos clave?? se solicita al BCE que confirme qué criterios específicos de evaluación o métricas se usarán para determinar el uso efectivo de estas 100 horas, asegurando que los informes y la atención a incidentes cumplan con las expectativas del BCE

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que es una respuesta frente a un ataque cibernético,  y en este caso de materializarse el incidente de seguridad se deberá realizar la atención y ejecución de conformidad al numeral 11.1 Características de servicio en los Términos de referencia en el producto e ?Informe de Respuesta ante incidentes o entrenamiento en análisis forense o acompañamiento del producto c? señala que:  ?(?) al menos investigación, análisis forense, entre otros; reportados bajo demanda por el administrador de contrato acerca de incidentes de seguridad, que incluye la identificación, recopilación y análisis de datos pertinentes, junto con la presentación de informes detallados.?

description: En el documento términos de referencia en la página 22 en la tabla se indica ?? 100 horas de soporte para realizar los informes de respuesta ante incidentes que incluirá investigación forense previa coordinación con el administrador de contrato con análisis detallado y hallazgos clave?? se solicita al BCE que señale ejemplos o escenarios de incidentes para los cuales se espera utilizar estas 100 horas, para entender mejor el tipo de soporte esperado

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted,  que de conformidad al numeral 11.1 Características de servicio en los Términos de referencia en el producto e ?Informe de Respuesta ante incidentes o entrenamiento en análisis forense o acompañamiento del producto c? señala que:  ?100 horas de soporte para realizar los informes de respuesta ante incidentes que incluirá investigación forense previa coordinación con el administrador de contrato con análisis detallado y hallazgos clave.? Las horas se pueden ajustar según lo que requiera el incidente y el informe, los tiempos de respuesta se encuentran establecidos por tipo de severidad: emergencia, intermedio y básico, en conformidad en el numeral 11. 2 Acuerdo de Nivel de Servicios (Service Level Agreement – SLA) ?Tiempos de Respuesta? ?Emergencia: Tiempo análisis Doce (12) horas después de la respuesta inicial, Intermedio: Tiempo análisis Cuarenta y ocho (48) horas después de la respuest

description: En el documento términos de referencia en la página 22 en la tabla se indica ?? 100 horas de soporte para realizar los informes de respuesta ante incidentes que incluirá investigación forense previa coordinación con el administrador de contrato con análisis detallado y hallazgos clave?? se solicita al BCE que confirme si hay una distribución específica de las 100 horas entre la atención de incidentes y la elaboración de informes, o si estas horas se pueden utilizar de manera flexible según las necesidades

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que no se especifica el alcance debido a que es una respuesta frente a un ataque cibernético,  y en este caso de materializarse el incidente de seguridad se deberá realizar la atención y ejecución de conformidad al numeral 11.1 Características de servicio en los Términos de referencia en el producto e ?Informe de Respuesta ante incidentes o entrenamiento en análisis forense o acompañamiento del producto c? señala que:  ?(?) al menos investigación, análisis forense, entre otros; reportados bajo demanda por el administrador de contrato acerca de incidentes de seguridad, que incluye la identificación, recopilación y análisis de datos pertinentes, junto con la presentación de informes detallados.?

description: En el documento términos de referencia en la página 22 en la tabla se indica ?? Respuesta ante incidentes de equipos informáticos del BCE que incluya al menos investigación, análisis forense, entre otros reportados bajo demanda por el administrador de contrato acerca de incidentes de seguridad, que incluye la identificación, recopilación y análisis de datos pertinentes, junto con la presentación de informes detallados...?, se solicita al BCE nos confirme el alcance esperado al indicar el término de ?entre otros? ya que resulta ambiguo  y no permite conocer el alcance esperado y sugieren un alcance abierto

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que no se especifica el alcance debido a que es una respuesta frente a un ataque cibernético,  y en este caso de materializarse el incidente de seguridad se deberá realizar la atención y ejecución de conformidad al numeral 11.1 Características de servicio en los Términos de referencia en el producto e ?Informe de Respuesta ante incidentes o entrenamiento en análisis forense o acompañamiento del producto c? señala que:  ?(?) al menos investigación, análisis forense, entre otros; reportados bajo demanda por el administrador de contrato acerca de incidentes de seguridad, que incluye la identificación, recopilación y análisis de datos pertinentes, junto con la presentación de informes detallados.?

description: En el documento términos de referencia en la página 22 en la tabla se indica ?? Respuesta ante incidentes de equipos informáticos del BCE que incluya al menos investigación, análisis forense, entre otros reportados bajo demanda por el administrador de contrato acerca de incidentes de seguridad, que incluye la identificación, recopilación y análisis de datos pertinentes, junto con la presentación de informes detallados...?, se solicita al BCE nos confirme el alcance esperado al indicar el términos de ?al menos? ya que entendemos son mandatorios los análisis que se solicitan investigación, análisis forense...

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que no se especifica el alcance debido a que es una respuesta frente a un ataque cibernético,  y en este caso de materializarse el incidente de seguridad se deberá realizar la atención y ejecución de conformidad al numeral 11.1  Características de servicio en los Términos de referencia en el producto e ?Informe de Respuesta ante incidentes o entrenamiento en análisis forense o acompañamiento del producto c? señala que: ?Respuesta ante incidentes de equipos informáticos del BCE que incluya al menos investigación, análisis forense, entre otros; reportados bajo demanda por el administrador de contrato acerca de incidentes de seguridad, que incluye la identificación, recopilación y análisis de datos pertinentes, junto con la presentación de informes detallados.  100 horas de soporte para realizar los informes de respuesta ante incidentes que incluirá investigación forense previa coordinación c

description: En el documento términos de referencia en la página 22 en la tabla se indica ?? Respuesta ante incidentes..?, se solicita al BCE nos confirme el alcance esperado de la respuesta a incidentes

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que de conformidad al numeral 11.1 Características de servicio en los Términos de referencia en el producto e ?Informe de Respuesta ante incidentes o entrenamiento en análisis forense o acompañamiento del producto c? indica que el entrenamiento debe cubrir: ?Respuesta ante incidentes de equipos informáticos que incluya al menos investigación, análisis forense,  la identificación, recopilación y análisis de datos pertinentes(?)?. Esto aplica ?En caso de no consumirse las horas del servicio (respuesta ante incidentes) estas serán intercambiables con horas de entrenamiento en respuesta a incidentes previa coordinación con el administrador de contrato dictadas por personal certificado de la contratista?

description: En el documento términos de referencia en la página 22 en la tabla se indica ?? entrenamiento en análisis forense?, se solicita al BCE nos confirme el alcance esperado del entrenamiento en análisis forense

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que no se especifica en los Términos de Referencia el tipo de licenciamiento a utilizarse, Los oferentes deben cumplir lo determiando en el numeral 18.2 Equipo mínimo: "Herramienta de software Para análisis vulnerabilidades infraestructura y aplicaciones web; Herramienta de software Para  hackeo ético y simulación de ataques; Herramienta de software Para respuesta ante incidentes".

description: En el documento términos de referencia en la sección 11.1 Características del Servicio para los literales a, b, c y d, se entiende que el BCE está solicitando que las herramientas que se utilicen sean licenciadas de uso comercial, confirmar si nuestro entendimiento es correcto, o caso contrario ampliar el alcance esperado del servicio de consultoría

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que se debe registrar a una cuenta designada por el Administrador del Contrato para recibir suscripciones a fuentes oficiales de vulnerabilidades Zero Days y boletines de seguridad relacionadas con la infraestructura tecnológica de la Institución, previa coordinación con el Administrador del contrato. El uso de este servicio es exclusivo para uso interno de la Institución.En el numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia indica: "Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equipo técnico del Banco Central del Ecuador."

description: En el documento términos de referencia en la página 22 en la tabla se indica: " Suscripciones a fuentes oficiales de vulnerabilidades Zero Days y boletines de seguridad a una cuenta designada por el Administrador del Contrato. ", se solicita al BCE indique a que se hace referencia, como se va a utilizar consumir y el alcance esperado ya que lo solicitado en el punto es un servicio con suscripción

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que el numeral 11.1 Características del servicio en los Términos de Referencia en el producto c ?Plan de remediación y análisis de resultados del producto a y b?  señala: ?Re-test bajo demanda tras la implementación de medidas correctivas.?En este sentido, se llevará a cabo un re-test únicamente en aquellos activos donde se haya confirmado la aplicación de medidas correctivas y por solicitud del Administrador del Contrato.

description: En el documento términos de referencia en la página 22 en la tabla se indica: "Re-test bajo demanda tras la implementación de medidas correctivas", el re-test bajo demanda es un esfuerzo que debe ser considerado y dimensionado  y en ese contexto entendemos que hasta que el BCE realice las actividades de remediación correspondientes debe plantear la periodicidad del retest ejemplo cada tres meses de todos los activos con vulnerabilidades detectadas como críticas y altas luego de la ejecución de las pruebas, confirmar si nuestro entendimiento es correcto, caso contrario indicar la periodicidad  o cantidad de retest tomando en consideración que dentro del proceso se solicita  cada seis meses las pruebas para los productos a y b

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que el numeral 11.1 Características del servicio en los Términos de Referencia en el producto c ?Plan de remediación y análisis de resultados del producto a y b?  señala: ?Re-test bajo demanda tras la implementación de medidas correctivas.?En tal sentido, este re-test se llevará a cabo únicamente en aquellos activos donde se haya confirmado la aplicación de medidas correctivas

description: En el documento términos de referencia en la página 22 en la tabla se indica: "Re-test bajo demanda tras la implementación de medidas correctivas", entendemos que el re-test contempla aquellos activos con vulnerabilidades detectadas como críticas y altas, confirmar si nuestro entendimiento es correcto

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, de conformidad al numeral 11.1 Características del servicio en los Términos de Referencia en el producto c ?Plan de remediación y análisis de resultados del producto a y b? señala:?Se deberá generar una base de conocimientos donde se permita realizar consultas posteriores, donde se pueda visualizar el análisis de resultados de los simulacros de explotación y escaneos de vulnerabilidades, incluyendo la priorización y jerarquización de estas vulnerabilidades ejecutadas en el producto a y b.Acompañamiento y asesoramiento para la solución y cierre de brechas del plan de remediación en el caso que se requiera o por solicitud del administrador de contrato.?Y en los entregables: ?Base de conocimientos para consultas posteriores de los productos a y b.Plan de remediación con acciones prioritarias, responsabilidades y cronograma para las vulnerabilidades críticas y altas.(?)?

description: En el documento términos de referencia en la página 21 en la tabla se indica: "Base de conocimientos para consultas posteriores de los productos a y b.", se solicita al BCE indique claramente cuál es el alcance esperado de la base de conocimiento solicitada

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que el BCE proporcionará un lugar de trabajo para las pruebas de penetración internas, de conformidad con el numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia, que indica:"Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equipo técnico del Banco Central del Ecuador. Los insumos que se remitirán al contratista son los siguientes:(?)Se proporcionará un lugar de trabajo para las pruebas de penetración internas.?

description: En el documento términos de referencia en la página 21 en la tabla se indica: "Evaluación de los sistemas de control de navegación mediante la simulación de los siguientes escenarios", entendemos que el equipo consultor tendrá un equipo dentro de la red del BCE para evaluar estos controles, confirmar si nuestro entendimiento es correcto

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que se deben evaluar las herramientas de punto final y aproximadamente 5 equipos de puntos finales.De conformidad con el numeral 9 Ejecución del Hackeo Ético indica: ?Realización de pruebas de penetración de manera controlada y segura para explotar las vulnerabilidades identificadas.? Las pruebas deben realizarse en ambientes controlados y en coordinación con el Administrador del contrato.En el numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia indica: "Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equipo técnico del Banco Central del Ecuador. Los insumos que se remitirán al contratista son los siguientes:?Detalle

description: En el documento términos de referencia en la página 21 en la tabla se indica ?Evaluar las herramientas de protección de punto final a través de la simulación de los siguientes vectores de ataque:?", se solicita a BCE se confirme si la simulación se realizará en un activo en un ambiente controlado proporcionado por del BCE y si el BCE facilitará el acceso a las herramientas de protección de punto final que dispone actualmente

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que no se especifica un número mínimo de pruebas que deben ejecutarse debido a que, se debe realizar en esta fase el ?Hackeo Ético (Explotación y Escalamiento de Privilegios)? lo que implica efectuar varias pruebas para la explotación de vulnerabilidades, de conformidad al numeral 11.1 Características del Servicio en los Términos de Referencia en el producto b ?Pruebas de hackeo ético? indica:?Evaluación de controles de seguridad en aplicaciones web, servicios expuestos a Internet y validar/negar su explotación a través de la simulación de los vectores de ataque por ejemplo sin limitarse a:oCommand InjectionoXML InjectionoSQL InjectionoFile InclusionoPath Traversal.?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que si el entendimiento es correcto, de conformidad al numeral 11.1 Características del Servicio en los Términos de Referencia debido que en esta fase se debe realizar el ?Hackeo Ético (Explotación y Escalamiento de Privilegios)?.

description: En el documento términos de referencia en la página 21 en la tabla se indica en el apartado b : "Evaluación de controles de seguridad en aplicaciones web...", entendemos que la ejecución de estas pruebas es según sea factible de acuerdo con el activo evaluado, confirmar si nuestro entendimiento es correcto

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que no se especifica un número mínimo de pruebas que deben ejecutarse debido a que, se debe realizar en esta fase el ?Hackeo Ético (Explotación y Escalamiento de Privilegios)? lo que implica efectuar varias pruebas para la explotación de vulnerabilidades, de conformidad al numeral 11.1 Características del Servicio en los Términos de Referencia en el producto b ?Pruebas de hackeo ético? indica:?Evaluación de controles de seguridad en aplicaciones web, servicios expuestos a Internet y validar/negar su explotación a través de la simulación de los vectores de ataque por ejemplo sin limitarse a:oCommand InjectionoXML InjectionoSQL InjectionoFile InclusionoPath Traversal.?

description: En el documento términos de referencia en la página 21 en la tabla se indica en el apartado b : "Evaluación de controles de seguridad en aplicaciones web...", se solicita a al BCE indique si existe un número mínimo de pruebas que deban ser ejecutadas y si las indicadas solo son un ejemplo o son mandatarias.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que  de conformidad al numeral 11.1 Características del Servicio en los Términos de Referencia, el contratista deberáentregar  manuales, guías, documentación, certificados de aprobación, entre otros para la trasferencia de conocimientos.?

description: En el documento términos de referencia en la página 20 y 21 en la tabla se indica " Manuales, guías, documentación", lo solicitado por el BCE es un servicio, en ese contexto no se entrega herramientas para generar lo que se indica, por lo que entendemos que estos entregables no aplicarían, confirmar si nuestro entendimiento es correcto, o caso contrario detallar el alcance esperado

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que los 50 activos de infraestructura tecnológica y 10 sistemas o aplicaciones del BCE deben ser evaluados al menos una vez o bajo demanda durante los 730 días de conformidad al numeral 13 Plazo en los Términos de Referencia, indica en el producto a ?Plan de análisis de vulnerabilidades (Identificar y analizar debilidades de seguridad en la infraestructura tecnológica y las aplicaciones web del BCE)?  : 30 días calendario contados a partir del siguiente día de la suscripción del contrato (Para el primer pago se entregará informes parciales). Estas tareas se llevarán a cabo cada 6 meses (180 días), contados a partir del siguiente día de la suscripción del contrato.En el producto b ?Pruebas de hackeo ético? : Estas tareas se llevarán a cabo cada 6 meses (180 días), contados a partir del siguiente día de la suscripción del contrato. Producto c: Re-test bajo demanda tras la implementación de

description: En el documento términos de referencia en la página 20 en la tabla se indica ?Se llevará a cabo la identificación y remediación de debilidades de seguridad vulnerabilidades en al menos 50 activos de infraestructura tecnológica y 10 sistemas o aplicaciones del BCE.?, se solicita el BCE indique claramente la periodicidad con la que se requiere se realice eta evaluación

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, el objetivo no es realizar la hardenización de servidores. Según el numeral 11.1 "Características del Servicio" del producto c ?Plan de remediación y análisis de resultados del producto a y b?  en los Términos de Referencia indica:?Plan de remediación y análisis de resultados del producto a y b?, ?Se deberá generar una base de conocimientos donde se permita realizar consultas posteriores, donde se pueda visualizar el análisis de resultados de los simulacros de explotación y escaneos de vulnerabilidades, incluyendo la priorización y jerarquización de estas vulnerabilidades ejecutadas en el producto a y b.?  y ?Acompañamiento y asesoramiento para la solución y cierre de brechas del plan de remediación en el caso que se requiera o por solicitud del administrador de contrato.?

description: En el documento términos de referencia en la página 20 en la tabla se indica ??.y debe incluir revisión de seguridad de las configuraciones, versiones de sistemas operativos y aplicativos, para el desarrollo de un plan de remediación.? es de nuestro entendimiento que, dentro de la revisión indicada, no se hace referencia ni tiene como objetivo la ejecución de hardenización de servidores ya que es otro servicio y debe ser delimitado en el alcance del presente proceso, confirmar si nuestro entendimiento es correcto.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que es correcto su entendimiento, de conformidad con el numeral 11.1 Características del Servicio producto c de los Términos de Referencia indica:?Se deberá generar una base de conocimientos donde se permita realizar consultas posteriores, donde se pueda visualizar el análisis de resultados de los simulacros de explotación y escaneos de vulnerabilidades, incluyendo la priorización y jerarquización de estas vulnerabilidades ejecutadas en el producto a y b.  (?) Base de conocimientos para consultas posteriores de los productos a y b. Plan de remediación con acciones prioritarias, responsabilidades y cronograma para las vulnerabilidades críticas y altas.?

description: En el documento términos de referencia en la página 20 en la tabla se indica ??.y debe incluir revisión de seguridad de las configuraciones, versiones de sistemas operativos y aplicativos, para el desarrollo de un plan de remediación.? es de nuestro entendimiento que esto se refiere a usuarios y contraseñas predeterminadas, así como la identificación de puertos y servicios innecesarios, según la descripción y tipo de activo confirmar si nuestro entendimiento es correcto

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, es procedente, de conformidad con el numeral 11.1 Características del Servicio, producto a ?Plan de análisis de vulnerabilidades (Identificar y analizar debilidades de seguridad en la infraestructura tecnológica y las aplicaciones web del BCE)?   de los Términos de Referencia, caja negra externo y caja gris interno.

description: En el documento términos de referencia en la página 20 en la tabla se indica ?El análisis, tanto interno como externo, se llevará a cabo de forma hibrida remota y en sitio y en modalidades de caja negra y caja gris, previa coordinación con el administrador del contrato.? entendemos que al indicar caja negra se refiere a los activos externos y caja gris a los activos internos, confirmar si nuestro entendimiento es correcto caso contrario indicar claramente el tipo de modalidad que se requiere tanto para el análisis interno como externo

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que las pruebas deben realizarse en modalidad de caja negra y gris en el análisis externo e interno, en ambos casos es factible realizar las pruebas de manera presencial y remota en coordinación con el Administrador del contrato, de conformidad al numeral 11.1 Características del servicio en los Términos de Referencia del producto a ?Plan de análisis de vulnerabilidades (Identificar y analizar debilidades de seguridad en la infraestructura tecnológica y las aplicaciones web del BCE)? señala que: "El análisis, tanto interno como externo, se llevará a cabo de forma hibrida (remota y en sitio) y en modalidades de caja negra y caja gris, previa coordinación con el administrador del contrato".

description: En el documento términos de referencia en la página 20 en la tabla se indica ?El análisis, tanto interno como externo, se llevará a cabo de forma hibrida remota y en sitio y en modalidades de caja negra y caja gris, previa coordinación con el administrador del contrato.? se solicita al BCE indique con claridad el tipo de modalidad tanto para los activos internos como los externos que se requiere analizar.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que el análisis es interno y externo, de conformidad con el numeral 11.1 Características del Servicio en los Términos de Referencia en el producto a ?Plan de análisis de vulnerabilidades (Identificar y analizar debilidades de seguridad en la infraestructura tecnológica y las aplicaciones web del BCE)? indica: ?El análisis, tanto interno como externo, se llevará a cabo de forma hibrida (remota y en sitio) y en modalidades de caja negra y caja gris, previa coordinación con el administrador del contrato.?En el numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia indica: "Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equip

description: En el documento términos de referencia en la página 20 en la tabla se indica ?Se llevará a cabo la identificación y remediación de debilidades de seguridad vulnerabilidades en al menos 50 activos de infraestructura tecnológica y 10 sistemas o aplicaciones del BCE.?, entendemos que los 10 sistemas o aplicaciones se refiere al análisis externo de 10 aplicaciones web, confirmar su nuestro entendimiento es correcto

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que si es procedente la remediación de debilidades de seguridad será ejecutada por el BCE con el acompañamiento y asesoramiento de la consultora, de conformidad con el numeral 11.1 Características del Servicio de los Términos de Referencia en el producto c. ?Plan de remediación y análisis de resultados del producto a y b?  ?Acompañamiento y asesoramiento para la solución y cierre de brechas del plan de remediación en el caso que se requiera o por solicitud del administrador de contrato.?

description: En el documento términos de referencia en la página 20 en la tabla se indica ?Se llevará a cabo la identificación y remediación de debilidades de seguridad vulnerabilidades en al menos 50 activos de infraestructura tecnológica y 10 sistemas o aplicaciones del BCE.?, entendemos que la remediación de debilidades de seguridad vulnerabilidades será ejecutada por el BCE en base al plan de remediación solicitado en el literal c de la tabla ?Plan de remediación y análisis de resultados del producto a y b?, confirmar su nuestro entendimiento es correcto.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que el Banco si permitirá desplegar agentes de manera controlada y segura en ventanas de mantenimiento de ser el caso en coordinación con el Administrador de Contrato,  de conformidad al numeral 11.1 Características del Servicio en el producto b ?Pruebas de hackeo ético? de los Términos de Referencia indica: ?La contratista debe incluir en su oferta los requerimientos para el despliegue de la solución, ya sea a través de agentes u otro medio no intrusivo.?

description: En la página 21,en la sección: " La contratista debe incluir en su oferta los requerimientos para el despliegue de la solución, ya sea a través de agentes u otro medio no intrusivo": De ser el caso de usar herramientas opensource, El banco permitirá desplegar agentes de estas herramientas asumiendo el riesgo e impacto sobre el entorno en el cual se ejecutaran las respectivas evaluaciones ysimulaciones?.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que en este proces de Consultoría no se determinó un parámetro de evaluación del VAE.

description: Estimada entidad contratante, cuál es el VAE mínimo requerido en este proceso.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted,  que de conformidad con el artículo 38 de la LOSNCP ?Personas Naturales que pueden ejercer la Consultoría.- Para que los consultores individuales, nacionales o extranjeros, puedan ejercer actividades de consultoría, deberán tener por lo menos título profesional de tercer nivel conferido por una institución de Educación Superior del Ecuador, o del extranjero, en cuyo caso deberá estar reconocido en el país conforme a la Ley.Los consultores individuales extranjeros cuyos títulos no se encuentren registrados en el Ecuador que celebren contratos de consultoría cuyo plazo sea de hasta seis meses; deberán presentar el título profesional conferido por una entidad de educación superior del extranjero, igual tratamiento se dará al consultor individual nacional que haya obtenido el título de tercer nivel o cuarto nivel en el extranjero.?, se podrá presentar copia simple del título obtenido en el e

description: Estimada entidad contratante, por favor confirmar si es posible participar con personal técnico extranjero, presentando únicamente una copia simple del título obtenido por dicho personal y en el caso de ser adjudicados presentar el título apostillado

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, de conformidad al numeral 18.4   Experiencia mínima del personal técnico en los Términos de Referencia se deberá presentar el ?instrumento o medio por el cual se comprobará certificados de trabajo, actas de entrega recepción de proyectos en trabajos similares con el objeto de la contratación, que avalen la experiencia profesional?, del empleador.

description: Estimada entidad contratante, en referencia a la experiencia del personal técnico, por favor aclarar si es posible presentar certificado de experiencia generado por el mismo proveedor a su personal, certificando la experiencia de dicho personal.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que la información se entregará de conformidad con el numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia:: "Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equipo técnico del Banco Central del Ecuador. Los insumos que se remitirán al contratista son los siguientes:?Detalle de activos tecnológicos que van a ser evaluados en la consultoría.?

description: Estimada entidad favor para el servicio de Plan de protección de imagen y marca digital del BCE Protección de imagen digital y marca del BCE contra actividades sospechosas favor compartir:Numero de palabras clave, dominios a monitorear en deep dark web, el numero de marcas a monitorear, numero de portales web y numero de redes sociales en el caso de requerir.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que es sobre el mismo alcance que son 50 activos de infraestructura tecnológica y 10 sistemas o aplicaciones del BCE, de conformidad al numeral 11.1 Características del servicio producto a ?Plan de análisis de vulnerabilidades (Identificar y analizar debilidades de seguridad en la infraestructura tecnológica y las aplicaciones web del BCE)? ,  en los Términos de Referencia, ?se llevará a cabo la identificación y remediación de debilidades de seguridad (vulnerabilidades) en al menos 50 activos de infraestructura tecnológica y 10 sistemas o aplicaciones del BCE.?

description: Estimada entidad favor confirmar si el Plan de análisis de vulnerabilidades Identificar y analizar debilidades de seguridad en la infraestructura tecnológica y las aplicaciones web del BCE y las `pruebas de hacking etico se realizara sobre el mismo alcance de activos, o seran sobre activos distintos y tambien confirmar si se ejecutaran a la par.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, , que la información se entregará de conformidad con el numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia: "Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equipo técnico del Banco Central del Ecuador. Los insumos que se remitirán al contratista son los siguientes:?Detalle de activos tecnológicos que van a ser evaluados en la consultoría.?

description: Estimada entidad favor confirmar el número de activos Cuantos equipos, fw, laptops para el Hackeo Ético Explotación y Escalamiento de Privilegios

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, , que la información se entregará de conformidad con el numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia: "Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equipo técnico del Banco Central del Ecuador. Los insumos que se remitirán al contratista son los siguientes:?Detalle de activos tecnológicos que van a ser evaluados en la consultoría.? Así también en el numeral 11.1 Características del servicio producto a ?Plan de análisis de vulnerabilidades (Identificar y analizar debilidades de seguridad en la infraestructura tecnológica y las aplicaciones web del BCE)?   señala:?El análisis, tanto interno como externo, se llev

description: Estimada entidad favor confirmar el numero de activos Cuantos equipos, fw, laptops formaran parte del El análisis, tanto interno como externo, se llevará a cabo de forma hibrida remota y en sitio.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, , que la información se entregará de conformidad con el numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia,: "Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equipo técnico del Banco Central del Ecuador. Los insumos que se remitirán al contratista son los siguientes:?Detalle de activos tecnológicos que van a ser evaluados en la consultoría.?

description: Estimada entidad favor confirmar que tipo de 10 sistemas o aplicaciones tiene BCE, son aplicaciones web?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que aproximadamente es para cinco personas y el número de horas de conformidad con el numeral 11.1 Características del Servicio en los Términos de Referencia indica: "Cronograma de transferencia de conocimientos (...) Transferencia de conocimientos de 16 horas acerca de Blue Team que se coordinara para el segundo semestre contados al siguiente día de la firma del contrato. (...) Transferencia de conocimientos de 16 horas acerca de Red Team que se coordinara para el tercer semestre contados al siguiente día de la firma del contrato."

description: Estimada entidad favor confirmar cuantas y el número de horas para Trasferencia de conocimientos coordinadas.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, , que la información se entregará de conformidad con el numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia indica: "Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equipo técnico del Banco Central del Ecuador. Los insumos que se remitirán al contratista son los siguientes:?Detalle de activos tecnológicos que van a ser evaluados en la consultoría. ?Se proporcionará un lugar de trabajo para las pruebas de penetración internas."

description: Estimada entidad referente al punto: Protección y Monitoreo de marca BCE contra actividades sospechosas. Facilitar la información de sus redes sociales para el seguimiento y protección de marca.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que se deben evaluar las herramientas de punto final y aproximadamente 5 equipos de puntos finales.La información se entregará de conformidad con el numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia indica: "Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equipo técnico del Banco Central del Ecuador. Los insumos que se remitirán al contratista son los siguientes:?Detalle de activos tecnológicos que van a ser evaluados en la consultoría. ?Se proporcionará un lugar de trabajo para las pruebas de penetración internas."En el numeral 11.1 Características del servicio en el producto b ?Pruebas de hackeo ético?  señala:?

description: Estimada entidad haciendo referencia al punto Pruebas de Penetración Éticas detallar si se evaluara solo la consola central protección de punto final o cuantos puntos finales requerien que se evaluen con los vectores descritos.Estimada entidad haciendo referencia al punto Pruebas de Penetración Éticas confirmar si BCE asignara un equipo para cumplir los siguientes puntos:Conexión de punto final hacia sitios asociados con phishing.o Conexión de punto final hacia sitios de Comando y Control.o Conexión de punto final hacia sitios restringidos pornografía, juegos, entre otros.o Descarga HTTPS de archivos infectados con ransomware,gusanos, exploits.o Validación de políticas de descarga por tipo de archivo.De no ser así dar mayor contexto de este punto.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que si se aceptará , de conformidad con el numeral 18.5.1 Experiencia General en los Términos de Referencia: "en proyectos de consultoría en informática, auditoría en sistemas de información, gobierno y mantenimiento de tecnología y protección de activos de la información (?)".

description: Para cumplir con la experiencia general, se aceptarán actas de entrega o certificados de proyectos como: ?Consultoría para la Asesoría Técnica en el Análisis de Riesgos Cibernéticos en Elementos Internos y Externos?, ?Consultoría en Seguridad Informática – Ethical Hacking ? y ?Análisis de Riesgo de Seguridad de la Información y Evaluación Basada en Hacking Ético?? Por favor, confirmar.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que si es procedente presentar el título de Ingeniero en Teleinformática.

description: Para la titulación académica del personal técnico, específicamente para el Especialista de Campo en Respuesta ante Incidentes, es aceptable presentar el título de Ingeniero en Teleinformática?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, Es procedente, de conformidad al numeral 18.3 Personal técnico mínimo en los Términos de Referencia: "Tercer nivel Terminado" (...) "Título de Informática, Redes y Comunicaciones, Sistemas Informáticos, Administración empresas, Telecomunicaciones."

description: En cuanto a la titulación académica del personal técnico, específicamente para el Especialista de Campo en Hackeo Ético, es aceptable presentar títulos de Ingeniero en Ciencias de la Seguridad, Tecnólogo en Informática con mención en Análisis de Sistemas, y Técnico Superior en Informática con mención en Programación de Sistemas?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, es procedente, que se aceptará la presentación de la herramienta de análisis forense, para acreditar el cumplimiento del de conformidad con el numeral 18.2 Equipo Mínimo: "Descripción: Herramienta de software Característica:  para respuesta ante incidentes?

description: En el término de referencia, en el apartado de productos esperados bajo ?Producto e Informe de Respuesta ante Incidentes o Entrenamiento en Análisis Forense o Acompañamiento del Producto?, el servicio de respuesta a incidentes incluirá análisis forense como parte del mismo, o el análisis forense se utilizará únicamente si no se consumen las 100 horas de respuesta a incidentes?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, es procedente, de conformidad con el numeral 18.2 Equipo Mínimo: "Descripción: Herramienta de software Característica:  para respuesta ante incidentes?

description: En el término de referencia, en el apartado 18.2 "Equipo Mínimo", se menciona que se requiere una herramienta de software para la Respuesta ante Incidentes. Podemos cumplir con este requisito utilizando una herramienta de análisis forense? Por favor, confirmar.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que no se aceptará la presentación del certificado de Autopsy Digital Forensics Certification para el Especialista de Campo en Hackeo Ético. Los oferentes deberán presentar los certificados de conformidad con el numeral 18.7 en los Términos de Referencia que establece: ?Certificación en alguno de los siguientes temas: Certified Ethical Hacker (CEH) práctico, Offensive Security Certified Professional (OSCP), Certified Red Team Professional (CRTP), Penetration Tester (GPEN), o afines con la función requerida.?

description: En el apartado 18.7 "Otros parámetros resueltos por la entidad", es posible incluir el certificado de Autopsy Digital Forensics Certification para el Especialista de Campo en Hackeo Ético?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que en el numeral 11.1 Características del Servicio de los Términos de Referencia en el producto e indica: ?(?) O en caso de consumirse las horas de servicio (respuesta ante incidentes) se podrá utilizar horas del producto c ?en las horas de acompañamiento y asesoramiento para la remediación?.  Una vez consumidas todas las horas de soporte contratadas tanto del producto c y e ya no se aplicará el SLA.

description: El acuerdo de nivel de servicio SLA aplicable al "Producto e Respuesta ante Incidentes" se mantendrá siempre y cuando se utilicen las 100 horas de respuesta a incidentes indicadas en el apartado del producto? En caso de que se agoten las 100 horas asignadas por la entidad, el cumplimiento de las SLA dejaría de ser aplicable? Por favor, confirmar.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, si es procedente únicamente para la certificación eJPT Junior Penetration Tester, de conformidad al numeral 18.7 en los Términos de Referencia establece: ?o afines con la función requerida.?

description: En el apartado 18.7 "Otros parámetros resueltos por la entidad", Es aceptable que para el Especialista de Campo en Análisis de Vulnerabilidades se acepten certificaciones como OSWP y eJPT Junior Penetration Tester?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que el numeral 11.1 Características del Servicio del producto ?e) Informe de Respuesta ante incidentes o entrenamiento en análisis forense o acompañamiento del producto c?, que se encuentra en el Término de Referencia hace referencia a incidentes cibernéticos.

description: En el término de referencia, en el apartado de productos esperados bajo ?Producto e Informe de Respuesta ante incidentes o entrenamiento en análisis forense o acompañamiento del producto? Qué tipo de incidentes se deberán abordar? Estamos hablando de incidentes de seguridad específicos, fallos en el sistema, ataques cibernéticos, o algún otro tipo de incidente relacionado con los equipos informáticos del BCE?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, no se aceptarán las certificaciones de EHCA, EHE, CNSP y Cyber Security Foundation para el Especialista de Campo en Respuesta ante Incidentes. Sin embargo, puede presentar dichas certificaciones para la evaluación por puntaje en certificados adicionales para la sumatoria de puntos, de conformidad al numeral 18.12.6 Otros parámetros resueltos por la entidad (10 puntos).

description: En el apartado 18.7 "Otros parámetros resueltos por la entidad", se podrán incluir certificaciones como EHCA, EHE, CNSP y Cyber Security Foundation para el Especialista de Campo en Respuesta ante Incidentes?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, si es procedente, de conformidad al numeral 18.7 en los Términos de Referencia establece: ?o una similar relacionada con la función de líder de proyectos.?

description: En el apartado 18.7 "Otros parámetros resueltos por la entidad?, Es aceptable que para el Líder o Gerente de Proyecto se acepten certificaciones como ITIL Expert Certificate in IT Service Management, Certified ISO/IEC 27001 Lead Implementer y Certified Information Systems Auditor CISA?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que las transferencias de conocimientos se realizarán de manera presencial.

description: Para cumplir con la experiencia especifica, se aceptarán actas de entrega o certificados de proyectos como: servicio de análisis de postura de seguridad?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que las transferencias de conocimientos se realizarán de manera presencial.

description: Las 16 horas de transferencia de conocimiento para el Producto A y las 16 horas para el Producto B podrán ser impartidas de forma virtual?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que aproximadamente son 10 activos externos y 40 activos internos, entre ellos 5 equipos de puntos finales. Aproximadamente 5 aplicaciones expuestas a internet, 1 aplicación móvil y 4 sistemas internos, de conformidad con el numeral 10. INFORMACIÓN QUE DISPONE LA ENTIDAD en los Términos de Referencia indica: "Una vez suscrito el contrato, el Banco Central del Ecuador, por intermedio del administrador del contrato entregará los insumos necesarios que requiera la contratista para la ejecución del contrato previa coordinación con los responsables de los activos de información y de ser necesario con el equipo técnico del Banco Central del Ecuador. Los insumos que se remitirán al contratista son los siguientes:?Detalle de activos tecnológicos que van a ser evaluados en la consultoría.?

description: En el término de referencia, en el apartado de productos esperados bajo ?Producto a Plan de análisis de vulnerabilidades?, se indica que se debe realizar un análisis en al menos 50 activos de infraestructura tecnológica y 10 sistemas o aplicaciones del BCE. Podría especificar cuántos de estos 50 activos son internos y cuántos son externos? Además, de los 10 sistemas o aplicaciones del BCE, cuántos son aplicaciones web expuestas a Internet? Por último, dentro de los 50 activos, cuántos son puntos finales?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, las ofertas se presentarán conforme lo establecido en el artículo 74.-presentación de ofertas del RGLOSNCP, que indica: ?(?) la oferta se deberá presentar únicamente a través del portal COMPRASPÚBLICAS hasta la fecha límite para su presentación, debidamente firmada electrónicamente (?)?.

description: En caso de que se permita la entrega de las ofertas técnicas y económicas de forma electrónica a través del Portal Institucional del Servicio Nacional de Contratación Pública, sería necesario aún presentar los sobres físicos con las ofertas? Por favor, confirmar.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, las ofertas se presentarán conforme lo establecido en el artículo 74.-presentación de ofertas del RGLOSNCP, que indica: ?(?) la oferta se deberá presentar únicamente a través del portal COMPRASPÚBLICAS hasta la fecha límite para su presentación, debidamente firmada electrónicamente (?)?.

description: En el modelo de pliego de los procedimientos de consultoría, específicamente en la página 4, apartado 1.3 "Presentación y apertura de ofertas", se menciona que las ofertas deben presentarse de forma física en la entidad contratante y a través del Portal Institucional del Servicio Nacional de Contratación Pública. Es posible realizar la entrega de las ofertas de forma electrónica únicamente, o es necesario presentarlas también en formato físico?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que si se receptará la orden de compra, la misma que debe estar relacionado a la experiencia general y específica del objeto de contratación conforme el numeral 18.5.1: ?(?) copias simples de las actas entrega recepción definitiva o certificados de recepción a satisfacción o conformidad? y 18.5.2: ?(?) deberá presentar copias simples de las actas entrega recepción definitiva o certificados de recepción a satisfacción o conformidad, que acredite la experiencia solicitada dentro de dicho período? en los Términos de Referencia.

description: Para cumplir Experiencia General y Especifica, se pueden entregar ordenes de compra.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, las ofertas se presentarán conforme lo establecido en el artículo 74.-presentación de ofertas del RGLOSNCP, que indica: ?(?) la oferta se deberá presentar únicamente a través del portal COMPRASPÚBLICAS hasta la fecha límite para su presentación, debidamente firmada electrónicamente (?)?.

description: confirmar si la oferta se debe entregar de manera fisica, en caso de ser de esta manera por favor confirmar la dirección de entrega.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, se aceptará la herramienta si esta permite visualizar la documentación y evidencias durante el manejo del incidente de conformidad al numeral 18.2 en los Términos de Referencia.

description: Respecto al punto 18.2 Equipo mínimo. Por favor aclarar  nuestro entendimiento si como herramienta para atención a respuesta ante incidentes se aceptará una herramienta de mesa de servicios en la que se gestionará la canalización de tickets de incidentes.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a ust3ed, que aplica a días calendario, de lunes a viernes incluido feriados.

description: Adicionalmente de acuerdo al punto 11.2 el tiempo de respuesta inicial por favor indicar que la disponibilidad de 8x5 durante los 730 días aplica a día laborables.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, el tiempo de respuesta de máximo de una hora se refiere al período a partir de la notificación del incidente o consulta por parte del BCE al contratista, quién deberá confirmar la recepción, conforme al numeral 11.2 en los Términos de Referencia.

description: De acuerdo al punto 11.2 Acuerdo de Nivel de Servicios, en el apartado ?Contestar la primera llamada referente a la solución o alguna otra inquietud del cliente acerca del producto e Respuesta ante Incidentes.? Considerando que se entregarán canales de comunicación el tiempo definido para atención no será mayor a 1 hora. Por favor confirmar que el contestar la primera llamada se refiere a que el requerimiento será atendido en el tiempo menor a 1 hora.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que la transferencia de conocimientos debe realizarse por cada producto solicitado en los Términos de Referencia, en el numeral 11.1 del producto a ?Transferencia de conocimientos de al menos 16 horas en las operaciones de blue team, impartida por personal certificado.? y b ?Transferencia de conocimientos de al menos 16 horas en las operaciones de red team, impartida por personal certificado.? en el Cronograma de transferencia de conocimientos.

description: Da acuerdo al punto 11.1 Características del servicio. Considerando los puntos de transferencia de conocimiento de cada producto. Por favor confirmar si todo el conocimiento indicado con sus temas específicos puede consolidarse en una capacitación, curso, o taller macro de igual o mayor duración de la solicitada en la que se entregarán certificados, talleres, trabajos y evaluaciones. Considerando los puntos específicos de conocimiento y ampliando a otras áreas de ciberseguridad como un valor agregado. Por lo tanto se entregaría este curso, taller o capacitación consolidada como entregable del total de actividades de transferencia de conocimiento.

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, las ofertas se presentarán conforme lo establecido en el artículo 74.-presentación de ofertas del RGLOSNCP, que indica: ?(?) la oferta se deberá presentar únicamente a través del portal COMPRASPÚBLICAS hasta la fecha límite para su presentación, debidamente firmada electrónicamente (?)?.

description: Indicar si la oferta debe presentarse físicamente o solo a través del SOCE de forma electrónica

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, Que de conformidad con el artículo 38 de la LOSNCP, (?) Los consultores individuales extranjeros cuyos títulos no se encuentren registrados en el Ecuador que celebren contratos de consultoría cuyo plazo sea de hasta seis meses; deberán presentar el título profesional conferido por una entidad de educación superior del extranjero, igual tratamiento se dará al consultor individual nacional que haya obtenido el título de tercer nivel o cuarto nivel en el extranjero?. En tal sentido, los oferentes podrán entregar una copia simple del título profesional conferido por la entidad de educación superior del extranjero.

description: Según el Numeral 18.3 Personal técnico mínimo: "Para el caso de personas extranjeras, deben presentar un certificado donde se compruebe la titulación obtenida"Puede una persona ecuatoriana presentar un titulo obtenido fuera del Ecuador y no se encuentre registrado en el Senescyt?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que se podrá presentar copias simples de contratos para acreditar la experiencia general y específica.

description: Con respecto a la experiencia general y especifica se pueden presentar contratos?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que si se receptará la experiencia específica solicitada en consultoría en temas relacionados al desarrollo de manejo de incidentes de ciberseguridad y planes de recuperación de desastres.

description: Con respecto a la experiencia especifica confimar si la experiencia debe ser sobre consultorías en temas relacionados al desarrollo de manejo deincidentes de ciberseguridad y planes de recuperación de desastres.?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que se debe acreditar experiencia general en proyectos de consultoría en informática, auditoría en sistemas de información, gobierno y mantenimiento de tecnología y protección de activos de la información, conforme lo determinado en el numeral 18.5.1 Experiencia General de los Términos de Referencia.?El oferente deberá acreditar la experiencia general por un monto mínimo de USD 26.202,34 (Veinte y seis mil doscientos dos con 34/100 dólares de los Estados Unidos de América) en proyectos de consultoría en informática, auditoría en sistemas de información, gobierno y mantenimiento de tecnología y protección de activos de la información, dentro de los 15 años previos a la publicación del procedimiento de contratación, para lo cual deberá presentar copias simples de las actas entrega recepción definitiva o certificados de recepción a satisfacción o conformidad, que acredite la experiencia so

description: Con relacion a la experiencia general confirmar si los certificados que se deben presentar es: consultorías en temas relacionados a ciberseguridad?

answer: Estimado oferente con respecto a su pregunta planteada, esta Comisión se permite indicar a usted, que de conformidad con el numeral 18.5.1 Experiencia General de los Términos de Referencia, se puede presentar proyectos de consultoría en informática, auditoría en sistemas de información, gobierno y mantenimiento de tecnología y protección de activos de la información?El oferente deberá acreditar la experiencia general por un monto mínimo de USD 26.202,34 (Veinte y seis mil doscientos dos con 34/100 dólares de los Estados Unidos de América) en proyectos de consultoría en informática, auditoría en sistemas de información, gobierno y mantenimiento de tecnología y protección de activos de la información, dentro de los 15 años previos a la publicación del procedimiento de contratación, para lo cual deberá presentar copias simples de las actas entrega recepción definitiva o certificados de recepción a satisfacción o conformidad, que acredite la experiencia solicitada dentro de dicho período?

description: Estimados con respecto a la experiencia general confirmar si se pueden presentar proyectos de consultoría en informática o auditoría en sistemas de información, gobierno omantenimiento de tecnología y/o protección de activos de la información.

description: CONSULTORIA INTELIGENCIA CIBERNETICA PARA EL HACKEO ETICO MONITOREO Y ANALISIS DE CIBERINCIDENTES

BANCO CENTRAL DEL ECUADOR

streetAddress: Av. 10 de Agosto y Briceño Briceño N11-539 SAN BLAS

legalName: BANCO CENTRAL DEL ECUADOR

ANKA ÑAWI CONSULTORES ANKAÑAWI S.A.

streetAddress: BENJAMIN CARRION EMILIO ROMERO MENENDEZ S/N GUAYAQUIL, CABECERA CANTONAL Y CAPITAL PROVINCIAL

legalName: ANKA ÑAWI CONSULTORES ANKAÑAWI S.A.

GRUPO MICROSISTEMAS JOVICHSA S.A.

streetAddress: NACIONES UNIDAS AMAZONAS 1014 SANTA BARBARA

legalName: GRUPO MICROSISTEMAS JOVICHSA S.A.

AKROS CIA. LTDA.

streetAddress: AV. 12 DE OCTUBRE ORELLANA N26-48 EL BEATERIO

legalName: AKROS CIA. LTDA.

streetAddress: AV. PONCE CARRASCO DIEGO DE ALMAGRO E8-06 LA VICENTINA

legalName: RADICAL ALTERNATIVAS DE AVANZADA ALTRADICALAVAN CIA. LTDA

rationale: CONSULTORIA INTELIGENCIA CIBERNETICA PARA EL HACKEO ETICO MONITOREO Y ANALISIS DE CIBERINCIDENTES


name: CUERPO DE BOMBEROS DEL CANTON LAGO AGRIO

Unidad

currency: USD

scheme: SERCOP

description: FISCALIZACION DE OBRAS DE INGENIERIA CIVIL

scheme: CPC

description: FISCALIZACION DE OBRAS DE INGENIERIA

description: Por cumplir con las especificaciones técnicas de la entidad contratante.

description: FISCALIZACION DE OBRAS DE INGENIERIA

title: LCC-CBCLA-2025-01-87780

status: active

description: FISCALIZACIÓN DE LA OBRA “CONSTRUCCIÓN DE DOS TORRES, CANCHA DE INDOR FUTBOL Y PISCINA SEMI OLIMPICA EN ESTACION DE BOMBEROS DEL SECTOR OESTE DE LA CIUDAD DE NUEVA LOJA”

awardCriteria: ratedCriteria

procurementMethod: limited

eligibilityCriteria: Otros,Experiencia General,Experiencia Específica,Experiencia Personal Técnico,Instrumentos y equipos disponibl,Metodología y cronograma de ejecución

mainProcurementCategory: services

procurementMethodDetails: Lista corta

roles: buyer procuringEntity

region: SUCUMBIOS

locality: LAGO AGRIO

countryName: ECUADOR

streetAddress: Jorge Añazco 318 12 de Febrero y Francisco de Orellana 318 NUEVA LOJA, CABECERA CANTONAL Y CAPITAL PROVINCIAL

scheme: EC-RUC

MEDINA IÑAGUAZO ELVIS EFREN

roles: tenderer supplier

region: EL ORO

locality: MACHALA

streetAddress: .  S/N MACHALA, CABECERA CANTONAL Y CAPITAL PROVINCIAL

legalName: MEDINA IÑAGUAZO ELVIS EFREN

PERERO CEDEÑO JEAN CARLOS

region: MANABI

locality: PORTOVIEJO

streetAddress: AV. AMÉRICA AV. 5 DE JUNIO Y GARCIA MORENO S/N COLON

legalName: PERERO CEDEÑO JEAN CARLOS

status: terminated

initiationType: tender