La Circular No. 01, fechada el 15 de octubre de 2026, responde once consultas sobre el alcance y los requisitos técnicos de la plataforma. Aclara que el límite de 700 objetivos incluye endpoints, nodos e identidades asociadas a Office 365 y Azure; además precisa las condiciones de validación de malware, técnicas de evasión, C2, remediación e integraciones. Establece que la consola y los registros deben residir on premise, limita la conexión a la nube a actualizaciones y admite ciertas integraciones mediante API.
Leído a la luz de la Ley 47-25 y su reglamento, que rige el proceso por su fecha de convocatoria.
Lectura con inteligencia artificial propietaria de Notifacto (9 nov de 2026). Puede contener errores: verifica cada dato en el original.
El documento modifica el pliego y elimina o debilita requisitos que servían para verificar a los oferentes: La respuesta permite una metodología alternativa sin indicar expresamente que deba comprobarse cada una de las técnicas enumeradas en la especificación original.; Se permite que la evaluación dependa de una plataforma especializada externa, en vez de exigir que la capacidad de evaluación esté incorporada en la solución ofrecida; se mantiene el requisito de entregar el resultado..
Qué dice la ley: Ley 47-25, art. 104 · con ChatLeyes
Ley 47-25, artículo 104 — Adendas o enmiendas a los pliegos de condiciones
Artículo 104.- Adendas o enmiendas a los pliegos de condiciones. La institución contratante podrá realizar adendas al pliego de condiciones, cuando resulte necesario adicionar condiciones o especificaciones; o enmiendas, cuando resulte necesario modificar condiciones o especificaciones previstas. Párrafo I.- Las adendas o enmiendas del pliego de condiciones no podrán alterar sustancialmente los términos originales y el objeto del contrato. Párrafo II.- Si la adición o modificación se realiza de manera posterior al setenta y cinco por ciento (75%) del plazo para la recepción de ofertas, deberá extenderse el plazo para presentarlas de manera proporcional a la complejidad del cambio…
La respuesta convierte la ubicación on premise de la consola y los registros, y el uso de la nube solo para actualizaciones, en condiciones expresas. Aunque invoca confidencialidad y soberanía de datos, esta limitación puede excluir soluciones alojadas en la nube; conviene verificar su sustento técnico y el efecto en la competencia.
“La consola debe ser on premise. La conexión a la nube deberá ser únicamente para actualización de la plataforma, teniendo en cuenta que las certificaciones internacionales y el cifrado de datos son obligatorios. … Los registros deben…” (pág. 3)
Qué dice la ley: Ley 47-25, art. 4 · Ley 47-25, art. 91 · con ChatLeyes
Ley 47-25, artículo 4 — Principios
Artículo 4.- Principios. Las contrataciones públicas sujetas a la aplicación de la presente ley se regirán por los principios siguientes: 1) Principio de economía y flexibilidad. Las normas establecerán reglas claras y objetivas para asegurar la selección de la propuesta evaluada más conveniente técnica y económicamente; además, se contemplarán regulaciones que contribuyan a una mayor economía en la preparación de las propuestas y de los contratos. 2) Principio de eficiencia: Se seleccionará la oferta que más convenga a la satisfacción del interés general y el cumplimiento de los fines y cometidos de la administración, tomando en cuenta criterios de inclusión y desarrollo sostenible. Las…
Ley 47-25, artículo 91 — Determinación de especificaciones técnicas
Artículo 91.- Determinación de especificaciones técnicas. Las especificaciones técnicas que resulten de los estudios previos deberán garantizar que la descripción del objeto contractual sea objetiva, funcional y genérica, indicando sus características técnicas, de calidad y de funcionamiento, para lo cual deberán tomarse en cuenta las descripciones técnicas de normas avaladas nacional o internacionalmente. Párrafo I.- Las instituciones contratantes no podrán preparar, adoptar o aplicar especificaciones técnicas que tengan como propósito o efecto generar obstáculos innecesarios a la participación. Párrafo II.- No deberán exigirse o mencionarse marcas o nombres comerciales, diseños o modelos,…
Cambios que introduce (10)
Sección
Antes
Después
Efecto
Objetivos específicos, pág. 5Alcance del límite de 700 objetivos
El licenciamiento contempla hasta 700 objetivos o direcciones IP activas en simultáneo; se preguntó cuántos ambientes o tenants de Office 365 existen.
El límite de 700 incluye endpoints o nodos e identidades asociadas al tenant de Office 365 y a los servicios en la nube Azure.
Aclara
Aspectos técnicos, pág. 12Emulación de malware en memoria
La especificación exige emular de manera segura malware y código malicioso en memoria para verificar herramientas de protección locales.
Se acepta emulación segura de comportamiento adversario para validar EDR/XDR/EPP/antivirus, siempre que incluya capacidad de ejecutar o validar técnicas en memoria como parte de las pruebas.
Relaja
Aspectos técnicos, pág. 12Validación de técnicas de evasión
La especificación exige evaluar protección ante técnicas de ofuscación, cifrado o ejecución directa en memoria.
Se acepta validar controles Endpoint mediante assessment scripts mapeados a MITRE ATT&CK y simulaciones de malware, midiendo técnicas bloqueadas y no bloqueadas.
RelajaQuita un control: La respuesta permite una metodología alternativa sin indicar expresamente que deba comprobarse cada una de las técnicas enumeradas en la especificación original.
Aspectos técnicos, pág. 12Detección de canales C2
La especificación exige simular comunicaciones hacia servidores externos C2 para comprobar detección y bloqueo del tráfico.
Se admite validar movimiento no autorizado de información, siempre que la prueba contemple explícitamente detección y bloqueo de canales C2.
Aclara
Aspectos técnicos, pág. 12Remediación focalizada y priorizada
La solución debe generar directrices para identificar puntos de estrangulamiento donde una acción correctiva interrumpa múltiples vectores de ataque.
La respuesta define las directrices y estrategias de remediación como basadas en la identificación del riesgo y la explotabilidad.
Aclara
Aspectos técnicos, págs. 13 y 16.1.2Ubicación de consola y registros
Se requería una consola web y retención segura de registros conforme a parámetros del administrador, sin que las especificaciones citadas fijaran dónde debían alojarse.
La consola y los registros deben residir on premise; la conexión a la nube se limita a actualizaciones de la plataforma.
Fuente: Dirección General de Contrataciones Públicas y Portal Transaccional, con copia guardada por Notifacto. Las señales se detectan con inteligencia artificial propietaria de Notifacto: son motivos para mirar, no acusaciones, y pueden contener errores. La ley de cada señal, con ChatLeyes. Cómo funciona
Sección 16.1.2, validación de seguridad en capa de correoIntegración para validar exposición de correo e identidades
La solución debe evaluar la exposición de los controles de correo y de las identidades en la nube frente a suplantación, mecanismos de autenticación y uso malicioso de tokens.
Se acepta proveer la exposición mediante integración por API con plataformas especializadas, siempre que la solución entregue el resultado de validación requerido.
RelajaQuita un control: Se permite que la evaluación dependa de una plataforma especializada externa, en vez de exigir que la capacidad de evaluación esté incorporada en la solución ofrecida; se mantiene el requisito de entregar el resultado.
Sección 16.1.2, módulo de orquestación y automatización de la remediaciónCapacidades nativas e integraciones VM/SOAR
La plataforma debía incluir un componente nativo para consolidar, deduplicar y enriquecer hallazgos y convertir rutas de ataque en flujos automatizados.
Se confirma que la consolidación y la orquestación deben ser nativas; las API e integraciones con VM y SOAR se aceptan como valor añadido.
Aclara
Sección 16.1.2, mecanismo de parada de emergencia y limpiezaParada y limpieza automatizadas de pruebas
La solución debe detener inmediatamente ataques o simulaciones mediante un mecanismo centralizado y limpiar automáticamente instrucciones, scripts temporales o código inyectado en memoria.
Se considera compatible el uso de exploits inofensivos y la posibilidad de pausar o detener la prueba desde el dashboard, siempre que la parada sea centralizada y la limpieza automatizada.
Aclara
Sección 16.1.2, validación de credenciales de la Dark/Deep WebFuentes externas de inteligencia de amenazas
La solución debe integrar fuentes de inteligencia para identificar credenciales comprometidas y validar controladamente su impacto en el perímetro institucional y Active Directory.
Se admiten plataformas de inteligencia de terceros integradas mediante API, siempre que permitan validar controladamente el impacto de las filtraciones y no se limiten a listar credenciales.