Expediente: DEMA-2026-027
Adquisición e Instalación de licencias de software para
herramientas de ciberseguridad destinadas a evaluar el estado de
seguridad de los sistemas de información y comunicación de los
organismos gubernamentales ucranianos, mediante análisis de
vulnerabilidades y pruebas de penetración.
Código interno FIAP: 253500 Cybersecurity Ukraine
PLIEGO DE PRESCRIPCIONES TÉCNICAS
1. OBJETO DEL CONTRATO
Adquisición e Instalación de licencias de software para herramientas de ciberseguridad
destinadas a evaluar el estado de seguridad de los sistemas de información y comunicación de
los organismos gubernamentales ucranianos, mediante análisis de vulnerabilidades y pruebas
de penetración.
2. REQUISITOS TÉCNICOS MÍNIMOS DE LOS SUMINISTROS.
2.1. Alcance de la solución
El contrato incluye una solución compuesta por:
• Suministro de licencias de software de ciberseguridad
• Servicios de soporte técnico asociados.
La solución cubre:
• Escaneo de vulnerabilidades web
• Pruebas de penetración en aplicaciones web
• Escaneo de vulnerabilidades de red
2.2. Soporte técnico
El soporte técnico del proveedor está incluido durante la vigencia de las licencias incluyendo
soporte estándar del proveedor
2.3. Herramientas Incluidas
Elemento Requisitos
Acunetix On Premise Premium Enterprise Web Vulnerability Scanner
Especificaciones técnicas:
• Validez de la licencia: 3 años
Un escáner de • Sin límite en el número total de direcciones web.
búsqueda de
vulnerabilidades Soporta las siguientes funcionalidades:
de red de un • Tiene una consola web y es accesible a través de un navegador web.
recurso web • Tiene una herramienta que registra la secuencia de entrada, la edita y la
(como Acunetix reproduce durante el escaneo.
On Premise • Tiene la capacidad de crear automáticamente reglas de protección de
Premium firewall de aplicaciones web.
Enterprise) • Tiene un generador de informes de cumplimiento integrado: PCI DSS,
OWASP Top 10, ISO 27001 y HIPAA.
• Forma tendencias y prioriza vulnerabilidades identificadas.
• Proporciona opciones de servicio para la detección de vulnerabilidades
fuera de banda.
V1_2026-04-14
Expediente: DEMA-2026-027
Adquisición e Instalación de licencias de software para
herramientas de ciberseguridad destinadas a evaluar el estado de
seguridad de los sistemas de información y comunicación de los
organismos gubernamentales ucranianos, mediante análisis de
vulnerabilidades y pruebas de penetración.
Código interno FIAP: 253500 Cybersecurity Ukraine
• Acepta importación de datos en los siguientes formatos: URL (.txt),
Swagger, .JSon, .YAML o .YML, .wsdl, BURP guardado (.xml) y archivos
de estado, Selenium, .html, .side o .HAR.
Soporta los siguientes métodos de escaneo automático:
• Detecta más de 7.000 vulnerabilidades.
• Detecta automáticamente durante el escaneo inyección SQL, Cross-Site
Scripting, inyección de entidad externa XML (XXE), CSRF y todas sus
variantes, inyección XML/SOAP ciega a un servidor de terceros, XSS
ciego, ataque de encabezado de host, fuera de banda, ejecución remota
de código, inyección SQL fuera de banda, inyección de encabezado
SMTP, falsificación de solicitudes del lado del servidor.
• Identifica vulnerabilidades TLS/SSL, vulnerabilidades de servidor web y
otras configuraciones incorrectas.
• Escanea automáticamente todos los archivos del sitio web utilizando una
forma especial de autenticación u otras herramientas especiales de
control de acceso y gestión de sesiones.
• Escanea todas las páginas web, incluidas aquellas incrustadas en HTML5
y JavaScript.
• Actúa como un escáner de vulnerabilidades Java, examinando
aplicaciones web construidas con bibliotecas populares, incluidas
bibliotecas Java como Spring, Struts y Java Server Faces (JSF).
• Repite las acciones del usuario para ejecutar scripts como un navegador
(tiene una herramienta integrada como Logic Recorder).
• Utiliza el motor antivirus para escanear firmas de virus maliciosos en el
objetivo escaneado.
Burp Suite Professional Web Application Scanner
Especificaciones técnicas:
• Validez de la licencia: 3 años
• Número de usuarios 17
Escáner de • Los resultados del escaneo se almacenan solo en el ordenador local
vulnerabilidades • Detección de vulnerabilidades contenidas en OWASP Top 10,
de red de identificación de amenazas de inyección SQL, cross-site scripting
recursos web (CSS/XSS), scripts CGI vulnerables, contraseñas débiles y errores de
(como Burp configuración.
Suite
Professional) Soporta las siguientes funcionalidades:
• Proxy agente
• Escaneo de recursos web
• Intruder - una herramienta para llevar a cabo ataques
• Repeater.
• Sequencer.
Escáner de Network Vulnerability Scanner (type of Nessus Vulnerability Scanner)
vulnerabilidades System for detecting vulnerabilities in system and application software (e.g.,
de red (como TSC Nessus Tenable.sc - Scanner(s) Included - Annual)
Nessus
Vulnerability Especificaciones técnicas:
Scanner) • Validez de la licencia: 3 años
V1_2026-04-14
Expediente: DEMA-2026-027
Adquisición e Instalación de licencias de software para
herramientas de ciberseguridad destinadas a evaluar el estado de
seguridad de los sistemas de información y comunicación de los
organismos gubernamentales ucranianos, mediante análisis de
vulnerabilidades y pruebas de penetración.
Código interno FIAP: 253500 Cybersecurity Ukraine
Soporta las siguientes funcionalidades:
• Configuración de políticas de escaneo según necesidades propias
• Gestión del complejo de software mediante interfaz web utilizando
conexión segura HTTPS
• Capacidad de importar/exportar resultados de escaneo
• Planificación de escaneo
• Capacidad de escribir y usar comprobaciones propias
• Capacidad de auditar configuraciones y disponibilidad de parches en
sistemas Windows, Unix / Linux, dispositivos Cisco y bases de datos
Network Vulnerability Scanner (type of Nexpose Vulnerability Scanner)
Nexpose Enterprise Network Vulnerability Scanner
Especificaciones técnicas:
• Validez de la licencia: 3 años
• Los resultados del escaneo se almacenan solo en el ordenador local
• Escaneo simultáneo de al menos 512 ordenadores, a saber: servidores y
estaciones de trabajo con Windows/Linux/Mac OS y equipos de red.
Escáner de
vulnerabilidades Soporta las siguientes funcionalidades:
de red (como • Escaneo de recursos web
Nexpose • Configuración de políticas de escaneo según necesidades propias
Vulnerability • Posibilidad de actualización automática desde Internet y posibilidad
Scanner) obligatoria de actualización sin acceso a Internet
• Los resultados del escaneo se almacenan solo en el ordenador local; el
almacenamiento de resultados en Internet no es aceptable
• Capacidad de integración bidireccional con soluciones que realizan
pruebas de penetración para validar vulnerabilidades detectadas y
devolver información a la consola de gestión sobre el éxito de la
penetración mediante vulnerabilidades
• Capacidad de importar plantillas de informes creadas con software de
terceros.
3. PLAN DE TRABAJO
La ejecución del contrato se llevará a cabo en base a diferentes fases o hitos, cada uno
incluyendo un conjunto de actividades que deben completarse, y cuyos entregables, definidos
en la sección siguiente, serán validados por FIAP para proceder a la facturación. A continuación,
se presenta el calendario propuesto para las diferentes tareas:
Calendario
HITO Descripción del hito y sus entregables
de entrega
El contratista deberá proporcionar documentación
que certifique el origen legal y la autenticidad de las
Hito 1: Entrega de
licencias suministradas. Esta documentación debe Primeras 1 - 2
documentación de
ser emitida por el fabricante o un distribuidor semanas de
origen y autenticidad
autorizado, garantizando que las licencias son ejecución
de las licencias
oficiales, válidas y cumplen con los requisitos legales
aplicables.
Hito 2: Entrega de El contratista deberá proporcionar documentación Primeras 1 - 2
documentación de completa de trazabilidad de licencias, incluyendo semanas de
legalidad y autorización del fabricante o certificación de socio, ejecución
V1_2026-04-14
Expediente: DEMA-2026-027
Adquisición e Instalación de licencias de software para
herramientas de ciberseguridad destinadas a evaluar el estado de
seguridad de los sistemas de información y comunicación de los
organismos gubernamentales ucranianos, mediante análisis de
vulnerabilidades y pruebas de penetración.
Código interno FIAP: 253500 Cybersecurity Ukraine
trazabilidad de prueba de propiedad de la licencia, certificado de
licencias origen y facturas emitidas a través de canales
oficiales autorizados. Este conjunto de documentos
permitirá verificar el estatus legal y la correcta
procedencia de las licencias.
El contratista deberá emitir la factura proforma
correspondiente al suministro de las licencias, de
Hito 3: Emisión de Antes de la
acuerdo con las condiciones económicas
factura proforma instalación
contractuales, como paso previo a la facturación final
y a la ejecución de los pagos establecidos.
El contratista deberá suministrar las licencias de
Hito 4: Entrega e software y proceder a su instalación en la Primeras 1 - 2
instalación de infraestructura designada por SSSCIP. Esta fase semanas de
licencias incluye la correcta configuración inicial de las ejecución
herramientas para su despliegue operativo.
Una vez instaladas las licencias, el contratista
Hito 5: Verificación deberá verificar su correcto funcionamiento en los
del correcto sistemas informáticos. Como resultado, se entregará Después de la
funcionamiento e un informe de activación que confirme que las instalación
informe de activación herramientas están completamente operativas y
disponibles para su uso.
4. ENTREGABLES
Los productos y entregables derivados de este contrato incluyen tanto elementos tangibles como
resultados operativos vinculados a la implementación efectiva de las herramientas adquiridas.
El contratista deberá proporcionar:
• Documentación que certifique el origen legal y la autenticidad de las licencias, emitida
por el fabricante o distribuidor autorizado.
o Documentación de trazabilidad de licencias, incluyendo
o Autorización del fabricante o certificación de socio
o Prueba de propiedad de la licencia
o Certificado de origen
• Instalación de las soluciones en la infraestructura designada
• Informe de instalación y activación de las herramientas
No se permitirá la reproducción o cesión a terceros sin autorización expresa.
Toda la documentación entregada deberá denominarse según la nomenclatura y formato
establecidos, y deberá ser validada y aprobada por FIAP. El contratista se compromete a realizar
tantas revisiones y entregas como sean necesarias hasta que dicha documentación cumpla con
las necesidades de FIAP.
Todos los entregables generados durante la ejecución del contrato son propiedad de FIAP, y el
contratista no podrá conservarlos, obtener copias ni proporcionarlos a terceros sin autorización
expresa de FIAP.
5. RESULTADOS OPERATIVOS ESPERADOS
La implementación de las licencias de software permitirá:
V1_2026-04-14
Expediente: DEMA-2026-027
Adquisición e Instalación de licencias de software para
herramientas de ciberseguridad destinadas a evaluar el estado de
seguridad de los sistemas de información y comunicación de los
organismos gubernamentales ucranianos, mediante análisis de
vulnerabilidades y pruebas de penetración.
Código interno FIAP: 253500 Cybersecurity Ukraine
• Aumentar el nivel de seguridad de los sistemas de información del sector público
mediante la detección temprana de vulnerabilidades
• Facilitar la identificación de posibles amenazas y la adopción de respuestas oportunas
• Establecer un enfoque sistemático para el análisis de vulnerabilidades
Este enfoque estará alineado con las mejores prácticas internacionales y estándares
reconocidos, incluyendo:
• NIST
• ISO/IEC 27001
• OWASP
Asimismo, el uso de estas herramientas contribuirá a:
• Mejorar los procesos de detección de vulnerabilidades
• Reducir la probabilidad de ciberataques exitosos contra autoridades estatales e
infraestructuras críticas
• Garantizar la continuidad y estabilidad de los servicios críticos
• Fortalecer la confianza en el sistema nacional de ciberseguridad
La ejecución del contrato permitirá:
• El desarrollo de capacidades técnicas del personal de seguridad de la información
• La adquisición de experiencia práctica en el uso de herramientas avanzadas de
evaluación de seguridad
• La mejora del conocimiento sobre técnicas modernas de ataque y medidas de protección
6. MODELO DE USO DE LICENCIA
A efectos de correcta implementación y dimensionamiento operativo, se establece el siguiente
modelo de uso de licencias:
• Burp Suite Professional: licencias asignadas a usuarios nominales
• Acunetix On Premise Premium Enterprise: instalaciones totales permitidas (no
simultáneas)
• Nessus Vulnerability Scanner: licenciamiento basado en número de escáneres
• Nexpose: capacidad de escaneo basada en número de IPs concurrentes (512 IPs)
7. SOPORTE INCLUIDO EN LA LICENCIA
El soporte técnico se proporcionará durante el período del contrato, incluyendo soporte del
proveedor de acuerdo con los términos de la licencia.
Incluye:
• Gestión de incidencias
• Actualizaciones de seguridad y parches
El adjudicatario deberá disponer de un servicio estándar de acompañamiento asociado al
suministro de licencias, que incluya soporte administrativo y soporte técnico en caso de
necesidad puntual durante la vigencia del contrato, sin asignación de personal exclusivo ni
servicios personalizados.
Como condición inherente al suministro, el adjudicatario deberá proporcionar un servicio básico
de soporte durante toda la vigencia del contrato, que incluya la atención de consultas
administrativas puntuales y la resolución de incidencias técnicas derivadas del uso de las
V1_2026-04-14
Expediente: DEMA-2026-027
Adquisición e Instalación de licencias de software para
herramientas de ciberseguridad destinadas a evaluar el estado de
seguridad de los sistemas de información y comunicación de los
organismos gubernamentales ucranianos, mediante análisis de
vulnerabilidades y pruebas de penetración.
Código interno FIAP: 253500 Cybersecurity Ukraine
licencias, sin que ello implique la asignación de personal exclusivo, interlocución permanente o
prestación de servicios personalizados. Dicho soporte se entenderá como un servicio estándar
propio del suministro, orientado exclusivamente a garantizar el correcto funcionamiento de las
licencias durante el periodo contractual.
8. MODELO DE COMUNICACIÓN, CONTROL DE CALIDAD Y MONITOREO DE LA
EJECUCIÓN
La organización y ejecución del servicio deberá permitir un seguimiento formal, estableciendo
períodos para la evaluación de la calidad del trabajo realizado. Se especificará la persona o
personas autorizadas para las relaciones con FIAP, sin perjuicio de la responsabilidad de la
empresa, garantizando el correcto uso de los materiales e información manejados, con la
obligación de mantener la confidencialidad incluso después de la finalización del contrato hasta
que dicha información pierda su carácter confidencial o sea autorizada por FIAP.
El contratista será responsable de la calidad técnica del trabajo realizado y de los servicios
prestados, así como de las consecuencias para FIAP o terceros derivadas de omisiones, errores,
métodos inadecuados o conclusiones incorrectas en la ejecución del contrato.
Durante la ejecución, FIAP mantendrá comunicación regular con el contratista, incluyendo
reuniones periódicas (y siempre que lo solicite FIAP), permitiendo el adecuado seguimiento y
desempeño de las funciones asignadas. El contratista deberá garantizar el cumplimiento de las
condiciones técnicas y de solvencia establecidas en el contrato, en particular:
Mantenimiento de los recursos humanos y materiales comprometidos
• Ejecución del trabajo según el programa previsto
• Resolución de incidencias y puntos pendientes
• Cumplimiento de los plazos de entrega, identificando causas y responsabilidades en
caso de desviaciones
9. LUGAR DE PRESTACIÓN / SUMINISTRO
El suministro e instalación de las licencias se realizará on-premise dentro de la infraestructura
del SSSCIP en Ucrania y con conformidad de FIAP
El soporte técnico se proporcionará según las necesidades operativas del SSSCIP y con
conformidad de FIAP
10. MIGRACIÓN DE DATOS
En caso de que el adjudicatario del contrato oferte una licencia equivalente a las aquí descritas
y actualmente en funcionamiento, le corresponde, incluido en el precio, realizar toda la migración
de datos a su costa.
En Madrid, a fecha de firma,
V1_2026-04-14
La vista PDF está disponible solo para usuarios registrados.