ADQUISICIÓN DE PLATAFORMA DE PRUEBAS DE PENETRACIÓN AUTOMATIZADAS Y VALIDACIÓN CONTINUA DE SEGURIDAD. · Instituto Dominicano de las Telecomunicaciones
La Circular No. 01, fechada el 15 de octubre de 2026, responde once consultas sobre el alcance y los requisitos técnicos de la plataforma de pruebas de penetración automatizadas. Precisa cómo se computan los 700 objetivos, qué métodos de validación se aceptan y qué condiciones deben mantenerse para las capacidades de seguridad, las integraciones, la consola y los registros.
Leído a la luz de la Ley 47-25 y su reglamento, que rige el proceso por su fecha de convocatoria.
Lectura con inteligencia artificial propietaria de Notifacto (9 nov de 2026). Puede contener errores: verifica cada dato en el original.
| Sección | Antes | Después | Efecto |
|---|---|---|---|
| Objetivos específicos de la contratación, pág. 5Cómputo de los 700 objetivos licenciados | Licenciamiento con capacidad para evaluar hasta 700 objetivos o direcciones IP activas en simultáneo; se mencionaba la integración con Microsoft 365. | Los 700 objetivos incluyen endpoints, nodos e identidades asociadas al tenant de Office 365 y a los servicios en la nube Azure. | Aclara |
| Aspectos técnicos de la plataforma, pág. 12Emulación de malware y validación de controles | La solución debía emular de manera segura comportamiento de malware y código malicioso en memoria para validar EDR y antivirus. | Se acepta la validación de EDR/XDR/EPP/antivirus mediante emulación segura de comportamiento adversario, siempre que incluya capacidad para ejecutar o validar técnicas en memoria. | Aclara |
| Aspectos técnicos de la plataforma, pág. 12Validación de técnicas de evasión | La solución debía evaluar controles frente a técnicas de ofuscación, cifrado o ejecución directa en memoria. | Se acepta validar controles de endpoint con scripts de evaluación mapeados a MITRE ATT&CK y simulaciones de malware, midiendo técnicas bloqueadas y no bloqueadas. | Aclara |
| Aspectos técnicos de la plataforma, pág. 12Detección de canales C2 | La solución debía simular comunicaciones hacia servidores externos de Comando y Control para comprobar detección y bloqueo. | Se acepta validar movimiento no autorizado de información si la prueba contempla explícitamente la detección y el bloqueo de canales C2. | Aclara |
| Aspectos técnicos de la plataforma, pág. 12Remediación focalizada y priorizada | La solución debía generar directrices para identificar puntos de estrangulamiento donde una acción correctiva interrumpa múltiples vectores de ataque. | Las directrices y estrategias de remediación se basan en la identificación del riesgo y la explotabilidad. | Aclara |
| Aspectos técnicos de la plataforma, pág. 13Ubicación de consola y registros | Se requería una consola web y retención segura de registros históricos, sin especificar en esos requisitos su ubicación. | La consola y los registros deben residir on premise; la conexión a la nube se limita a actualizaciones de la plataforma. | Endurece |
| Sección 16.1.2, tabla de requerimientos técnicosValidación de seguridad en capa de correo | La solución debía evaluar exposición de controles de correo e identidades en la nube frente a suplantación, mecanismos de autenticación y uso malicioso de tokens. | Se acepta proveer esa exposición mediante integración por API con plataformas especializadas, siempre que la solución entregue el resultado de validación exigido. | Aclara |
| Sección 16.1.2, tabla de requerimientos técnicosOrquestación y automatización de la remediación | La plataforma debía incluir un componente nativo para consolidar, deduplicar y enriquecer hallazgos y convertir rutas de ataque en flujos automatizados. | Se confirman como nativas las capacidades de consolidación y orquestación; las API e integraciones con VM y SOAR se aceptan como valor añadido. | Aclara |
| Sección 16.1.2, tabla de requerimientos técnicosParada de emergencia y limpieza de pruebas | La solución debía detener cualquier ataque o simulación y limpiar automáticamente instrucciones, scripts temporales o código inyectado en memoria. | Se confirma que los exploits inofensivos y la capacidad de pausar o detener la prueba desde el dashboard son compatibles, manteniendo parada centralizada y limpieza automatizada. | Aclara |
| Sección 16.1.2, tabla de requerimientos técnicosValidación de credenciales de Dark/Deep Web | La solución debía integrar fuentes de inteligencia para identificar credenciales comprometidas y validar su impacto en el perímetro institucional y Active Directory. | Se admite integración por API con plataformas de inteligencia de terceros, siempre que permita validar de forma controlada el impacto de las filtraciones y no se limite a listarlas. | Aclara |
Fuente: Dirección General de Contrataciones Públicas y Portal Transaccional, con copia guardada por Notifacto. Las señales se detectan con inteligencia artificial propietaria de Notifacto: son motivos para mirar, no acusaciones, y pueden contener errores. La ley de cada señal, con ChatLeyes. Cómo funciona