Primera cuestión -> Son acumulativos, obteniendo hasta 0,5 puntos cuando se oferte una bolsa de horas superior a 48 horas. Segunda cuestión -> Únicamente el expertise de ciberseguridad requerido mediante bolsa de horas en el contrato será la securización de las tecnologías SAP presentes y los elementos de entorno asociados. Tercera cuestión -> Solo se debería puntuar acciones de los componentes del fabricante SAP, no del resto de componentes asociados a ecosistema SAP.

Se confirma que solo tectnologias SAP

Se confirma que solo tecnologías SAP, pero se incluyen las tecnologías que son directamente necesarias como requisito para el funcionamiento de SAP, tales como BBDD y sistemas operativos en los que se ejecuta SAP cuando la versión de estos no está soportada por el fabricante.

Hay un error ortográfico al incorporar centésimas en las puntuaciones no se deben tener en cuenta, la puntuación correcta sería: - D.1 0,1 puntos - D.2 0,1 puntos - D.3 0,2 puntos - D.4 0,2 puntos - D.5 0,2 puntos

El adjudicatario debe ser capaz de aportar recomendaciones relacionadas con tecnologías de seguridad como IDS, IPS, SIEM o EDR, aunque no formen parte directa de la mitigación estándar de una vulnerabilidad SAP, pero si de forma transversal. En un entorno SAP, muchas vulnerabilidades (por ejemplo, en SAP NetWeaver, SAP Gateway o interfaces RFC) no solo dependen de la aplicación en sí, sino también de cómo se monitoriza, protege y expone el sistema dentro del ecosistema corporativo. Por ello, se espera que el adjudicatario complemente las medidas clásicas (como aplicación de SAP Notes, ajustes de parámetros de seguridad o revisiones de roles) con casos de uso o configuraciones de alto nivel en herramientas de seguridad existentes. Por ejemplo: - En SIEM, definir casos de uso como la detección de accesos anómalos a transacciones críticas (SE38, SM59, SU01) o la correlación de eventos de login fallido en SAP con actividad sospechosa en red. - En EDR, identificar comportamientos anómalos en servidores donde corre SAP (por ejemplo, ejecución de binarios no autorizados en el host del Application Server). - En IPS/IDS, recomendar reglas para detectar tráfico sospechoso hacia puertos SAP (32XX, 33XX, 48XX) o intentos de explotación conocidos sobre protocolos SAP (DIAG, RFC, HTTP). Sin embargo, el nivel de detalle esperado no debería implicar la entrega de configuraciones complejas listas para producción (como reglas específicas para cada SIEM o IPS), sino más bien: - Descripción clara del caso de uso de seguridad, explicando qué se debe detectar o prevenir. - Indicadores técnicos clave, como IPs, patrones de comportamiento, tipos de logs SAP (SM20, STAD, Security Audit Log). - Recomendaciones de implementación, alineadas con buenas prácticas, pero adaptables a las herramientas concretas de Correos.

Las guías de fortificación deben incluir a todos los productos objeto del contrato y durante la vida del contrato se deberán mantener actualizadas. La puntuación del subcriterio A.4 se consigue cuando estas guías están personalizadas para el entorno de trabajo de Correos.

Los sistemas SAP On Premise están informados en el apartado "2.Catálogo de productos a renovar el mantenimiento y soporte" del Anexo 1, así como los módulos y la versión instalada.

El nº de tikect's medio abierto a SAP, en los últimos años, es de 60 por año. En relación al mantenimiento correctivo, configuración y evolutivos funcionales, está fuera del alcance del presente pliego.

Sí, la interpretación es correcta.

Sí, la interpretación es correcta.

Área financiera: 1.400 usuarios Área RRHH: 7.600 usuarios Área Comercial: 4.000 usuarios

En los tikects abiertos SAP, son relativos a deficiencias del sw y/o a la configuración de los sistemas, para la corrección de estas deficiencias puede ser por cambios en la configuración o parches que corrijan el sw, corresponde al soporte, mantenimiento correctivo y evolutivo menor, todo ello en el ámbito de la funcionalidad estándar del sistema. En la respuesta anterior, se explicita a la parte funcional, que corresponde a las configuraciones y ampliaciones funcionales realizadas en el sistema para dar soporte a los procesos de negocio.

el nº de usuarios que actualmente estan usandeo estos sistemas es el siguiente: Área financiera: 1.400 usuarios Área RRHH: 7.600 usuarios Área Comercial: 4.000 usuarios

En este momento no se pueden mantener reuniones, si se disponen de dudas técnicas se deben de incluir por la misma vía que la consulta actual, por la plataforma de contratación de Correos (PCC). Con respecto al sistema SAP Solution Manager (SOLMAN), está fuera del alcance de este pliego

Consideramos que el el tiempo, aunque ajustado, es suficiente para recibir propuestas sólidas.

En 2025 el volumen de incidencias con SAP fueron: Low: 10 Medium: 59 High: 23 Very High: 2

En 2025 el volumen de incidencias con SAP fueron: Low: 10 Medium: 59 High: 23 Very High: 2"

No disponemos de esa información

No, No existe ninguna actualmente

Cada licitante debe proponer la suya.

La Monitorización se realiza con herramientas propias de Correos La herramienta de Tiketing para la prestación de este servicio y el el seguimiento de la misma, debe proporcionarla el adjudicatario

No disponemos de esa información

Por el tipo de servicio, ninguna

Dado que la Herramienta de tiketing, la proporciona el adjudicatario, la gestión interna y clasificación de los tikect, es responsabilidad del adjudicatario

No