Costa Rica | Licenciar software “donado” de ciberseguridad terminó costando más de $3 millones
CRHOY Erick Murillo
El licenciamiento del software “donado” para enfrentar los ciberataques de ransomware de los que es blanco el país desde hace un año por parte de los grupos Conti y Hive, terminó costando más de 3 millones de dólares.
Así se desprende de la adjudicación Compra de Licencia Informática para la Mitigación del Ataque Informático con Filtrado de Solicitudes de Nombre de Dominio (DNS) publicada en el Sistema de Compras Públicas (Sicop), por un monto exacto de $2.451.152 a favor del Consorcio Datasys-Vinet.
Se trata de 100 mil licencias de Umbrella de Cisco, compradas mediante un procedimiento por excepción.
En un principio, la compañía tecnológica le donó al país las licencias del programa, cuya vigencia vencía el pasado 19 de febrero, por lo que si se quería seguir usando por parte del Gobierno, debía actualizarse a cambio del pago respectivo.
El otro software es MicroClaudia (desarrollado por el Centro Criptológico Nacional (CCN-CERT) de España), adjudicado en un concurso público por vía de excepción de emergencia, según los procedimientos de contratación que realiza la Comisión Nacional de Emergencia (CNE).
Dicho procedimiento se adjudicó por un monto de 517.500 euros también para 100.000 licencias con un costo 5.175 euros cada una por funcionario anual (es decir, el equivalente a 562.548 dólares al tipo de cambio actual), distribuidas en el Estado para ministerios, entidades adscritas y servicios esenciales.
De esta manera el total del monto de los 2 programas es de $3.013.700 anuales, el año entrante tendría que renovarse las licencias si se va a seguir usando en el sector público.
Pero el Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (Micitt) y la CNE aclararon que “el costo del licenciamiento y el plazo depende de cada contratación; en efecto el plazo de la contratación actual vencerá en el año 2024 y será necesario adquirirlas nuevamente o dejar de utilizarlas.
Es importante destacar que el trabajo de Micitt y la adquisición de licencias con apoyo de la CNE es temporal y no se pretende continuar extendiendo la compra de licencias, pues cada institución tendrá que destinar presupuesto para adquirir estas u otras soluciones en el futuro”.
Proceso desierto
En el caso del servicio administrado para filtrado Web, CNE y Micitt indicaron que “se trató de un concurso público por vía de excepción, caso de emergencia en acatamiento de los procedimientos de contratación que realiza la CNE. En un primer concurso presentaron ofertas dos empresas, una de ellas con solución de Umbrella y la otra con una propuesta de Cloudflare; sin embargo, este proceso se declaró desierto.
Nuevamente se realizó el procedimiento bajo la contratación N° 2023PX-000011- 0006500001, para este proceso, participan dos empresas con solución Umbrella de Cisco. En dicho procedimiento de contratación, ambas cumplen técnicamente con lo solicitado en el cartel, pero se toma la oferta más económica“.
En este segundo proceso licitatorio solo participaron 2 oferentes que ofrecían la marca Cisco y se establecían las siguientes condiciones:
24/7
Acerca de en cuántas computadoras se ha instalado el software y en qué instituciones, la cartera tecnológica explicó que acuerdo con el panel de control que está siendo utilizado en el CSIRT-CR en Micitt, actualmente se reportan 50 entidades.
“Como parte del proceso, cada institución informó la cantidad de licencias que requiere para cubrir sus necesidades institucionales y como resultado se obtienen 100.000 licencias. En este momento las instituciones están siendo monitoreadas por el personal del CSIRT-CR 24 horas al día, 7 días a la semana”, indicaron.
Añadieron que Umbrella y MicroClaudia son 2 herramientas complementarias que están siendo utilizadas activamente para monitorear un grupo de instituciones de gobierno.
“Es precisamente, gracias al uso de esas herramientas que se han brindado alertas a instituciones como Recope, Ministerio de Justicia y otros en los últimos días (importante recordar que se trató de alertas y no de vulnerabilidades explotadas, precisamente gracias a las herramientas, procesos y trabajo que se ha venido liderando desde Micitt, con la participación de otras instituciones)”, detalló el Ministerio.
¿Descuento por volumen?
Finalmente, Micitt defendió el presupuesto para licenciar las aplicaciones. “Este costo se cancela por una única vez para una cobertura de 12 meses, considerando la relevancia de contar con herramientas que permitan mejorar las condiciones de ciberseguridad actuales en las diferentes instituciones, se trata de precio bajo. El objetivo final debe estar claro, pues se trata del resguardo de la seguridad de las instituciones públicas del país”.
Y aunque no se obtuvo una rebaja por volumen, Micitt considera que el descuento lo obtuvo el Estado al realizar un único procedimiento de contratación a un solo precio y no contrataciones por separado con las diferentes instituciones.
“En el momento de la emergencia, tener diferentes ofertas, diferentes proveedores y diferentes herramientas tecnológicas, las cuales tendrían que ser utilizadas por un grupo pequeño de personas, genera dificultades operativas que hacen difícil trabajar de manera ágil y eficiente“, concluyó la entidad.