Con el apoyo de :

Convocatoria vence: 04 de junio de 2026 a las 10:00 horas

• Financiado por: Unión Europea

Publicada: 22 de mayo de 2026

Objetivos de la contratación: Fortalecer la seguridad del ciclo de vida de desarrollo de software mediante la identificación y gestión de activos de información, la implementación de controles y estándares de seguridad (incluyendo gestión de vulnerabilidades y hardening de contenedores), el establecimiento de procesos de monitoreo y respuesta ante eventos de seguridad, y la capacitación continua de los desarrolladores en prácticas seguras, con el fin de reducir riesgos y garantizar la integridad, confidencialidad y disponibilidad de las aplicaciones.

Perfil del consultor(a):

a) Profesional graduado de Ingeniería/Licenciatura de Sistemas o carreras afines.
b) Al menos 5 años de experiencia trabajando en áreas de seguridad de la información, con participación en iniciativas de seguridad en desarrollo de software, DevSecOps o seguridad de aplicaciones.
c) Experiencia de al menos 3 años en seguridad de contenedores, de tecnologías como Docker, Kubernetes y con guías de hardening reconocidas.
d) Experiencia de al menos 3 años en identificación y gestión de vulnerabilidades en aplicaciones, incluyendo clasificación, priorización y seguimiento de remediación.
e) Experiencia de al menos 1 año en diseño o impartición de capacitaciones técnicas en seguridad dirigidas a equipos de desarrollo.
f) Al menos 1 certificación de las siguientes:
- 1. Certified Ethical Hacker (CEH)
- 2. GIAC Web Application Penetration Tester (GWAPT)
- 3. CISSP
- 4. CCSP O certificaciones equivalentes en seguridad de aplicaciones o DevSecOps.

Actividades esperadas de la consultoría requerida: Cómo mínimo se deberá realizar las siguientes actividades para el logro de los objetivos de la consultoría:

Elaborar inventario de activos de información de desarrollo
- a. Identificar activos del proceso de desarrollo
- b. Identificar propietarios
- c. Documentar ubicación
- d. Clasificar información
Elaborar procedimiento de gestión de vulnerabilidades de software
- a. Detección de vulnerabilidades
- b. Registro (elaborar formato de modelo de registro de vulnerabilidades)
- c. Clasificación
- d. Asignación
- e. SLA de remediación
- f. Remediación de vulnerabilidades
- g. Proceso de seguimiento
- h. Verificación
- i. Cierre
Definir estándar de hardening de contenedores
- a. Analizar uso actual de contenedores
- b. Identificar riesgos de seguridad
- c. Definir estándares de hardening
- d. Definir escaneo de imágenes
- e. Definir buenas prácticas de construcción de imágenes
Procedimiento de monitoreo de seguridad en desarrollo
- a. Identificar eventos de seguridad relevantes en el proceso de desarrollo
- b. Definir fuentes de logs aplicables
- c. Definir que revisar y con qué frecuencia
- d. Definir responsables y proceso de escalamiento
Capacitación a desarrolladores
- a. Seguridad en la cadena de suministro del software
- b. Codificación segura
- c. Manejo de secretos
- d. Seguridad en APIs
Otras actividades que se requieran para alcanzar los objetivos de la presente consultoría e indicadas por el Director de la DTIC.

Productos o entregables esperados: Presentar plan de trabajo a los 5 días de firma del contrato indicando los productos requeridos como sigue:

Producto 1 Informe de los activos de información del área de desarrollo
- Levantar un inventario de activos de tecnologías de la información tipo CMDB de las 18 plataformas regionales que interactúan con la PDCC orientado a temas de ciberseguridad, identificando propietarios, su ubicación y Clasificando la información.
Producto 2 Procedimiento de gestión de vulnerabilidades de las plataformas informáticas críticas
- Crear y publicar un Procedimiento para gestión de vulnerabilidades del software desarrollado realizando ajustes correspondientes para su aprobación y creando una plantilla de registro de estas.
Producto 3 Documento de estandarización de seguridad para contenedores
- Crear procedimiento de hardening para contenedores, como también su correspondiente plantilla estas plantillas deben de haber sido al menos en aplicada en uno de cada tipo de contenedor existente.
Producto 4 Procedimiento de monitoreo de seguridad para desarrollo
- Crear y publicar el procedimiento de monitoreo de seguridad para desarrollo realizando los ajustes correspondientes para su publicación y creando las plantillas de registro necesarias para estos. Así como un Informe estableciendo los logs que generan las herramientas y que se debe monitorear, conexiones, entre otras que propongan con base a las mejores prácticas.
Producto 5 Material de capacitación
- Brindar una capacitación de 20 horas, entregando material que cubra los temas de: seguridad en la cadena de suministro del software, codificación segura, manejo de secretos, seguridad en APIs, realizar laboratorios y pruebas prácticas. Y transferencia de conocimientos de las tareas realizadas.
Producto 6 Revisión y ajustes de entregables
- Informe final conteniendo la evidencia de ajustes y pruebas de cumplimiento del hardening aplicado.