 
 
 
 
 
 
ANEXO 10 - ANEXO TÉCNICO   
SUMINISTRO , INSTALACIÓN CONFIGURACIÓN Y SOPORTE DE SOLUCIÓN DE PROXY EN LA NUBE Y 
CONFIANZA CERO QUE PERMITA ASEGURAR EL TRÁFICO DE NAVEGACIÓN A INTERNET; CONTROL, 
ASEGURAMIENTO Y EL ACCESO SEGURO A APLICATIVOS MISIONALES DEL MINISTERIO DE 
RELACIONES EXTERIORES  
 NUME RAL 
 
  
NOMBRE   
DESCRIPCIÓN  
 
 
 
 
 
 
1  
 
 
 
 
Suministro, 
Configuración y 
Soporte de una 
Solución de Proxy en 
la Nube  
 
 
 La Entidad  requiere de un servicio de  Sistema de Nombres de Dominio ( DNS )  seguro  
y proxy en la nube  para la comunicación de sus usuarios y servicios hacia Internet, 
mediante la redirección de la resolución de nombres a un servicio de resolución de 
dominio (DNS recursivo).  
Tipo de Licenciamiento: Suscripción Anual  
Cantidad de Licencias: 1 500 
Vigencia del  servicio / licencias /soporte : 12 meses a partir de la fecha de activación de 
las licencias.  
 
o La solución debe poder ser configurada en los filtros de protección contra dominios 
maliciosos de manera ágil y sin necesidad de equipos a instalar en las oficinas 
locales, obteniendo protección inmediata solo apuntando los DNS hacia el servicio 
de la nube con el que se cuenta.  
o La infraestructura de DNS debe contar con un 99.99% de disponibilidad y debe 
contar con la implementación de protocolos de anycast r outing en todos sus 
puntos de presencia para proveer una transición entre datacenters que proveen 
la solución en caso de falla.  
o La solución debe soportar de  DNS sobre HTTPS de ahora en adelante 
denominado DoH.  
o La infraestructura no deberá depender de apunt ar a diferentes DNS en función de 
la localización geográfica. Todos deberán funcionar con dominios y direcciones IP 
únicos.  
o Contar con una infraestructura global que identifique las relaciones entre 
dominios, direcciones IP, redes y Malware en el Internet.  Estos patrones deben 
permitir identificar infraestructuras de ataques de manera automática para poder 
prevenir al usuario de ir a destinos maliciosos.  
o La solución debe contener llamados a dominios de comando y control 
independiente del protocolo usado por  la amenaza.  
o La solución deberá contar con mecanismos de bloqueos configurables separados 
para reputaciones de dominios con base en categorías tradicionales y bloqueos 
específicos para dominios de Malware, Botnets, Phishing y otros relacionados con 
amenaza s. 
 
 
 
 
 
 
o Identificar ataques de tipo DNS como Fast Flux, DNS Hijacking o DGA  (ataque de 
algoritmo de degeneración de dominio) . 
o Identificar túneles de red privada virtual   de ahora en adelante denominado VPN 
sobre protocolo DNS.  
o Se deberá proveer toda la información relevante a un dominio desde un único 
portal, como por ejemplo:  
▪ Tiempo de vida  de ahora en adelante denominado TTL. 
▪ Geolocalización.  
▪ Información de tipo Whois.  
▪ Información de registro.  
▪ Gráfica de peticiones del dominio a nivel global.  
▪ Gráfica d e peticiones del dominio a nivel local y su comparación a nivel 
global para identificar amenazas dirigidas o campañas de SPAM, Botnet y 
similares.  
▪ Co-ocurrencia de dominios.  
▪ Sistemas autónomos (AS por sus siglas en inglés).  
▪ Capacidad de buscar dominios med iante expresiones regulares.  
o La solución deberá poder contar con la opción de instalar con un cliente ligero que 
permita identificar amenazas en los equipos portátiles independientemente de la 
red en la que se encuentren.  
o La solución deberá contar con un c liente para PCs con sistemas operativos 
Windows 8.1, Windows 10, Windows 11 y Mac.  
o Se deberá contar con la capacidad de montar un servidor local que permita la 
integración con la red local e identificar los equipos internos originadores de tráfico 
malicios o mediante la interceptación de sus consultas de DNS.  
o El servidor local deberá poder integrarse con un servicio de Directorio Activo para 
identificar al usuario que origina el tráfico malicioso.  
o La solución debe estar en la capacidad de detectar y bloquear dominios nuevos 
de DNS a nivel global en un rango de 24 horas y en caso de que estos dominios 
sean considerados como riesgosos, de forma automática, se deben pasar estas 
conexiones al motor web (HTTP y HTTPS) para inspección profunda vía las 
funci onalidades de proxy incluidas.  
o La solución deberá permitir al administrador poder comparar las solicitudes hacia 
un dominio específico que provenga de la institución con las solicitudes que se 
hacen en el resto del tráfico que cursa a través de la solución  misma de manera 
global, permitiendo comparar e identificar posibles ataques objetivos hacia la 
institución.  
o La solución deberá contar con un API de integración con otras herramientas, con 
integraciones ya hechas y la capacidad de desarrollar las integraci ones propias.  
o La solución debe poder ser integrada de manera nativa con la solución de 
SecureX de la Entidad, así como con la solución de Confianza Cero incluida en el 
presente anexo.  
 
 
 
 
 
 
o Se deberá contar con una herramienta que ayude a generar reportes dentro  del 
mismo portal para identificar los dominios maliciosos más solicitados.  
o Se debe tener la capacidad de descubrir y bloquear aplicaciones usadas en la red 
interna (servidores, equipos de escritorio y dispositivos de internet de las cosas - 
IoT) que gener en conexiones a internet, independiente del protodolo de red usado 
(TCP - Protocolo control de trasmisión y UDP  - Protocolo de datagrama de 
usuarios ) mediante la inspección de los dominios usuados por las mismas.  
o Se debe tener la capacidad de inspeccionar el tráfico HTTP y HTTPS (descifrado) 
de forma dínamica y automática para dominios clasificados por el motor de DNS 
como riesgosos realizando una inspección de su contenido mediante motores AV 
(antivirus) y Malware Avanzado.  
o Se debe tener la ca pacidad de bloquear dominios asociados con Malware, 
Phishing, Botnets, Criptomining, DNS dinámicos y otras amenazas desde la capa 
de DNS.  
o Se debe poder ejercer controles (control de contenido, control de aplicaciones y 
analisis de amenazas) en dispositivos  que no permitan la instación de software 
(IoT, ambientes críticos, etc) mediante la inspección de sus requerimientos DNS.  
o La solución debe analizar previamente los dominios de los requerimientos web 
(HTTPS y HTTPS) mediante la inspección de las consultas DNS generadas con 
el fin de poder bloquear amenazas antes de iniciar sesiones TCP y reducir al 
máximo el intercambio de paquetes necesarios para para ejercer el control.  
o La solución debe contar con funcionalidades de CASB  (Gestores de Seguridad 
para el Acc eso a la Nube)  para office 365, G -suite y Slack.  
o Se deben poder crear políticas de capas 3 y 4 para bloquear direcciones IP, 
puertos y protocolos específicos.  
o El servicio debe permitir configurar políticas de protección a nivel de capa 7, 
incluyendo Sistem a de Prevención de Intrusos en la misma plataforma.  
o La solución debe incluir un servicio de análisis avanzado de malware en archivos 
sospechosos (Sandboxing) con capacidad de análisis de muestras ilimitadas.  
o La solución deberá permitir la configuración en línea de políticas que puedan 
detectar y prevenir la fuga de datos sensibles de la Entidad.  
o El oferente debe entregar a conformidad la herramienta configurada, y con los 
casos de uso definidos por la Entidad, operativos en los ambientes productivos.  
 
Servi cio de soporte de una solución de proxy en la nube por un año  
 
Nivel de soporte:  
 
o La herramienta debe contar una solución de soporte con atención las 24 horas del 
día, los 7 días de la semana sin necesidad de clasificar un problema antes de 
ponerse en contacto con el fabricante.  
 
 
 
 
 
 
o Un ingeniero/a será el contacto principal y además será el encargado de resolver 
los problemas de la solución, ya sea un producto, varios productos o varios 
proveedores.  
o El ingeniero/a a cargo deberá contar con experiencia en la s soluciones de 
seguridad y como interactúan.  
o Cola priorizada de solicitudes de servicio sobre soporte básico.  
o Respuesta en 30 minutos para casos de severidad 1 y 2.  
o Debe recomendar acciones para abordar problemas conocidos más allá del 
alcance del caso or iginal.  
 
 
 
 
 
 
 
 
2  
 
 
 
 
 
 
Suministro, 
Configuración y 
Soporte de una 
Solución de Confianza 
Cero para el Acceso a 
los Aplicativos de la 
Entidad . Se debe suministrar una solución que permita agregar una capa adicional a la que 
cuenta la Entidad respecto de la seguridad a las aplicaci ones  que se encuentren en las 
premisas  de la Entidad y brinde la protección de múltiples factores de autenticación a 
los usuarios , así com o la validación de salud del equipo desde donde se genera la 
conexión . 
Tipo de Licenciamiento: Suscripción Anual  
Cantidad de Licencias: 1 500 
Vigencia del servicio / licencias / soporte : 12 meses a partir de la fecha de activación de 
las licencias.  
 
La solución propuesta deberá cumplir al menos con los siguientes requerimientos 
generales:  
 
o Deberá funcionar en modalidad SaaS - software como servicio, incluyendo su 
consola de administración, para un despliegue sencillo y rápido.  
o Deberá prove er confianza a nivel de usuario y dispositivo para las aplicaciones 
que defina la Entidad.  
o Deberá estar nombrada como líder en el reporte de Forrester Zero Trust eXtended 
Ecosystem Platform Providers del año Q3 20201. 
o Clara visibilidad de los datos de las tendencias de acceso a través de un único 
panel de control.  
 
La solución deberá contar con las siguientes funciones de múltiple factor de 
autenticación de usuario:  
 
o Deberá proveer una interfaz simple para el usuario en sus dispositivos móviles, 
mediant e la cual puedan realizar la autenticación a las aplicaciones del Ministerio 
de Relaciones Exteriores  
 
1 https://f.hubspotusercontent10.net/hubfs/2241716/Zero%20Trust/forrester -ztx-report -2020.pdf   
 
 
 
 
 
 
o Deberá permitir la implementación de softoken en el dispositivo móvil y de forma 
adicional permitir agregar tokens físicos de ser necesario.  
o Deberá entregar la flexibilidad a los usuarios para funcionar al menos con los 
siguientes mecanismos de autenticación:  
▪ Notificación push al dispositivo móvil, sea Android ó IOS.  
▪ Llamada telefónica  
▪ Código OTP.  
▪ Mensaje SMS.  
 
o Deberá ser capaz de integrar aplicacione s aprovechando capacidades de Single 
Sign On (SSO) para facilitar la gestión de credenciales.  
o Deberá permitir asegurar el acceso a distintas aplicaciones, ya sea en nube, tipo 
SaaS, como en premisas.  
o Deberá permitir asegurar el acceso a servicios RDP y SSH  en premisas, sin 
necesidad de conexión VPN, pero garantizando el acceso a los funcionarios 
especificados haciendo uso de sus credenciales de dominio y el doble factor de 
autenticación.  
o La solución debe estar en cumplimiento con las mejores prácticas según  PCI-DSS 
(Estándar de seguridad de datos) , ISO 27001  (Organización Internacional de 
Normalización) , NIST 800 (Instituto Nacional de Estándares y Tecnología) y 
OWASP (metodología de seguridad de código abierto y colaborativa que se utiliza 
como referente para auditorias de seguridad de aplicaciones web) como mínimo.  
o Debe ingerir los registros (logs) de autenticación y crear una línea de base de 
acceso normal de usuario s y dispositivos dentro de un entorno corporativo y 
destacar la actividad potencialmente sospechosa en torno a credenciales 
comprometidas, toma de cuentas o abuso de acceso a aplicaciones.  
 
La solución deberá contar con las siguientes funciones de segurida d del dispositivo:  
 
o Deberá tener la capacidad de proveer visibilidad de todos los dispositivos 
administrados para garantizar que cumplan con los controles de seguridad, antes 
de otorgarles acceso a las aplicaciones.  
o Se requiere soportar el inicio de sesión segura en Windows de forma offline, quiere 
decir que la solución debe permitir a los usuarios ingresar de forma segura al 
sistema aun cuando no es posible tener conexión al sistema de gestión vía 
passcode o security key (U2f).  
o Los administradores de ben poder generar códigos de bypass temporales para 
usuarios específicos como método de respaldo en caso de falla de los métodos 
establecidos.  
o La herramienta debe poder soportar hardware tokens.  
o Deberá ser capaz de monitorear e identificar los dispositivos  riesgosos.  
o Deberá ser capaz de visualizar el estado de salud de laptops y desktops.  
 
 
 
 
 
 
o Deberá ser capaz de visualizar el estado de salud de terminales móviles.  
o La aplicación debe poder soportar su instalación en dispositivos móviles diferentes 
a celulares, c omo tablets.  
o Deberá tener la capacidad de generar una autenticación adaptativa, aplicando 
políticas de seguridad de acceso basadas en el riesgo de usuario, dispositivo y 
aplicación.  
o Deberá ser capaz de asignar y reforzar políticas de seguridad, sea en form a global 
o por aplicación.  
o Deberá ser capaz de reforzar políticas de seguridad en función de la ubicación del 
usuario.  
o Deberá ser capaz de reforzar políticas en función de un grupo de usuarios.  
o Deberá ser capaz de bloquear solicitudes de redes anónimas.  
o Deberá ser capaz de reforzar políticas en función del estado de salud de laptops 
y desktops, como por ejemplo software no actualizado, firewall personal.  
o Deberá ser capaz de notificar a los usuarios para la remediación de sus 
dispositivos.  
o Debe realizar un i nventario de todos los puntos finales de los usuarios y 
proporcionar datos sobre el sistema operativo, la plataforma, el navegador y las 
versiones de los plug -ins. 
o Integrarse de forma nativa con:  
 
▪ Cisco Secure Client  
▪ Cisco Secure Firewall  
▪ Cisco Umbrella  
▪ Cisco Zero Trust Security  
 
o El oferente debe entregar a conformidad la herramienta configurada, y con los 
casos de uso definidos por la Entidad, operativos en los ambientes productivos.  
 
La solución debe poder ser integrada de manera nativa con la solución de SecureX 
(plataforma de seguridad nativa en la nube que unifica la visibilidad, permite la 
automatización y fortalece su seguridad en la red, los computadores, la nube y las 
aplicacion es) de la Entidad, así como con la solución de Proxy en la Nube incluida en 
el presente anexo.  
 
Servicio de soporte de una solución de confianza cero para el acceso a los 
aplicativos de la Entidad por un año  
 
Nivel de soporte:  
o La herramienta debe contar un a solución de soporte con atención las 24 horas del 
día, los 7 días de la semana sin necesidad de clasificar un problema antes de 
ponerse en contacto con el fabricante.  
 
 
 
 
 
 
o Un ingeniero/a será el contacto principal y además será el encargado de resolver 
los pr oblemas de la solución, ya sea un producto, varios productos o varios 
proveedores.  
o El ingeniero/a cargo deberá contar con experiencia en las soluciones de seguridad 
y como interactúan.  
o Cola priorizada de solicitudes de servicio sobre soporte básico.  
o Respue sta en 30 minutos para casos de severidad 1 y 2.  
o Debe recomendar acciones para abordar problemas conocidos más allá del 
alcance del caso original.  
 
 
 
 
3  
Documentación e  
Informes Eventos  Al terminar la implementación el oferente deberá entregar  un informe ejecutivo que 
permita realizar un seguimiento a la gestión del servicio y los eventos detectados por 
las soluciones ofertadas, detallando los eventos más relevantes, tendencias y 
recomendaciones , labores ejecutadas y el estado en el que se encuentra  el servicio, y 
paso a paso de la configuración y administración de la herramienta.  
 
El contratista debe entregar un informe donde debe dar respuesta a cada ítem del anexo 
técnico.  
El proponente adjudi catario entregará toda la documentación que sirvan de base para 
la operación, monitoreo y configuración del servicio.  
 
Entregrar informe final de cada servicio : 
o Con topologías, diagramas de conexión, inventarios, hojas de vida de cada uno 
de los servicios soportados y recomendaciones de mejora.  
o Documento explicativo en donde se informe al final del Proyecto los datos exactos 
de la configuración, implementación y operación de los servicios.  
o Copia de respaldo (backups) de las configuraciones realizadas en las plataformas.  
o Realizar transferencia de conocimiento de la implementación y solución instalada 
a los funcionarios asignados por el supervisor del contrato.  
 
 
 
 
4  
 
Recurso Humano  La Entidad debe garantizar que el recurso humano tenga conocimiento y la experiencia 
necesaria para realizar las actividades de ejecución, implementación y soporte de las 
soluciones adquiridas con el fin de que garantice el objeto a contratar.  
 
o Gerente de Proyecto:  
Un (1) profesional: en Ingeniería Electrónica y/o Eléctrica y/o Mecatrónica y/o 
Ingeniería Mecánica, y/o Sistemas o profesión a fines, especialista en gerencia de 
proyectos, y/o certificado PMP  
 
Deberá acreditar un mínimo de dos (2) años como experiencia relacionada con el objeto 
del proce so, contados a partir de la fecha de  terminación de materias  y hasta la fecha 
del cierre del presente proceso.   
 
 
 
 
 
 
 
Este perfil deberá garantizar que las actividades se cumplan dentro del periodo de 
ejecución del contrato y además deberá : 
 
Realizar gestión de  tiempo de las actividades a realizar . 
Deberá gestionar el recurso humano asignado al proyecto.  
Deberá entregar informes de implementación, configuración y puesta en marcha , en 
caso de materializarse riesgos que comprometa la ejecución del proceso, deberá 
gestionar los riesgos del mismo.  
 
EXPERIENCIA ESPECIFICA : El profesional propuesto deberá allegar certificaciones 
que acrediten mínimo dos (2) años de experiencia verificables como director de 
proyectos relacionados con el objeto del contrato . 
 
Este recurs o deberá realizar plan de trabajo de entrega instalación configuración y 
puesta en marcha de las soluciones adquiridas en presente proceso.  
 
o Ingeniero Soluciones de Seguridad:  Un (1) Ingeniero electrónico,  
telecomunicaciones, de sistemas, o carreras afines con experiencia de al menos 
cinco años,  estar certificado como  CCNP  (Certificación Cisco de red Profesional)  
en SEGURIDAD y/o CCIE (nivel experto de certificación de Cisco) EN 
SEGURIDAD, ISO 27001:2013, encargado  de realizar la implement ación, 
configuración y puesta en funcionamiento de la soluciones proxy en la nube y 
solución de confianza cero para acceso a los aplicativos de la Entidad,  
recomendar los casos de uso a personalizar en las herramientas de acuerdo a las 
buenas prácticas de l fabricante y  a la necesidad de la Entidad.  
 
El Ingeniero deberá contar con experiencia mínima de cinco (5) años en   
implementación y/o soporte técnico en seguridad  de redes de datos y su  respectiva 
matrícula profesional vigente . 
 
La certificación profe sional se comenzará a contar a partir de la fecha de terminación 
de materias profesional y hasta la fecha del cierre del presente proceso   
 
NOTA 1. Las hojas de vida del personal mínimo requerido, junto con todos los soportes 
de experiencia y de estudios, deberán presentarse al inicio del contrato para la revisión 
y aprobación del supervisor del contrato designado por la Entidad.  
Los soportes que el contratista debe adjuntar, respecto del personal requerido es el 
siguiente:  
▪ Hoja de vida  
▪ Copia de la cedula de ciudadanía  
 
 
 
 
 
 
▪ Fotocopia legible del título profesional o del acta de grado,  
▪ Certificación expedida por la institución de educación superior en la qu e se indique 
la fecha de terminación y aprobación de materias correspondientes al pensum 
académico de educación superior (cuando haya lugar a ello)  
▪ Fotocopia legible del diploma de posgrado, o del acta de grado del posgrado (si 
se tiene postgrado).  
▪ Fotoco pia legible de la tarjeta profesional. Sólo se deberá anexar la tarjeta 
profesional para los profesionales que la ley les establezca este requisito para 
ejercer su profesión.  
▪ Certificación vigente emitida por el fabricante Cisco, CCNP en SEGURIDAD y/o 
CCIE  EN SEGURIDAD .   
▪ Certificaciones de soporte de experiencia.  
5  
 
Certificaciones  
 
 
 Es menester de la Entidad asegurar la disponibilidad de los servicios tecnológicos de la 
misma, además de garantizar que el contratista tenga el recurso humano necesario 
disponible con los conocimientos y habilidades técnicas especializadas en la en la 
implementación y configuración de las soluciones ofertadas relacionadas con 
arquitecturas avanzadas de seguridad, así mismo garantizar un acompañamiento eficaz   
con relación al soporte técnico requerido, razón por la cual el contratista deberá estar 
certificado en junto con su personal en la categoría Gold del fabricante Cisco.  
 
▪ Certificación expedida directamente por el fabricante Cisco donde se indique de 
manera explícita que el Partner se encuentra certificado como Gold en alguna de 
estas categorías Integrator o Select Provider de CISCO; y a su vez aportar 
certificación como especialista en:  
 
o Advanced Security Architecture Specialization  
o Advanced Enterprise Netwo rks Architecture Specialization  
o Advanced Customer Experience Specialization  
 
En caso de presentarse en Consorcio o Unión temporal, TODOS los integrantes 
deberán estar certificados como partner CISCO en la Categoría Gold.  
 
Las certificaciones deben haber si do expedidas dentro de los treinta (30) días calendario 
anteriores al cierre del proceso. No se admiten certificaciones de mayoristas o terceros 
que no sean directas del fabricante.  
 
Nota:  las certificaciones deben continuar vigentes durante la ejecución d el contrato  
6 Cobertura  El contratista debe garantizar que el servicio de soporte, mantenimiento preventivo y 
correctivos en todas las sedes ubicadas en Bogotá y Cartagena  
7 Garantía  El contratista debe otorgar los servicios de garantía y soporte del licenciamiento por un 
año. 
 
 
 
 
 
 
8 Horarios  La Entidad debe garantizar la disponibilidad de los servicios los 365 días del año, en 
modalidad 7x24, por esta razón el contratista deberá garantizar disponibilidad del 
recurso humano a cualquier hora del día, cuando se genere una solicitud de soporte o 
atención de un incidente.  
Todas las labores de configuración y puesta en funcionamiento, que impliquen negación 
de algún servicio informático, se realizarán en horario no hábil programados 
conjuntamente entre el proponente adjudicatario y la Entidad. Estos tiempos podrían 
ser horas nocturnas, sábados o domingos, sin incurrir en costos adicionales para la 
Entidad.  
 
 
 
    
 
FIRMA DEL PROPONENTE  
 
   
DATOS DEL REPRESENTANTE LEGAL  
Nombre:  
C.C. No.    
DATOS DEL PROPONENTE  
Nombre:  NIT:   
Dirección:  Tel. Fijo:    
Ciudad:  Celular:    
Email:  
 