Ufficio I Acquisti IT e servizi amministrativi
Roma, 26 marzo 2020 RELAZIONE
Oggetto: procedura di adesione al contratto quadro SPC Lotto 2 per i servizi di gestione delle identità digitali e sicurezza applicativa.
R.T.I. Leonardo S.p.A./IBM Italia S.p.A./Fastweb S.p.A./Sistemi Informativi S.r.l.
CUI S01165400589202000007
Trattazione
Premesso che alla Consip S.p.A., nel rispetto dell’articolo 20, comma 4, del D.L. n.
83/2012, come convertito con modificazioni dalla Legge 7 agosto 2012, n. 134, sono state affidate “le attività amministrative, contrattuali e strumentali già attribuite a DigitPA, ai fini della realizzazione e gestione dei progetti in materia di informatica”
e che, l’art. 4, comma 3-quater, del D.L. n. 95/2012, come convertito con modificazioni dalla Legge 135/2012, ha stabilito che la Consip medesima svolge le attività di centrale di committenza relativamente ai contratti-quadro per l'acquisizione di applicativi e per l'erogazione di servizi informatici ai sensi dell'articolo 1, c. 192, della legge 30/12/2004, n. 311”.
Al riguardo, Consip ha indetto in data 28/12/2013 una gara a procedura ristretta suddivisa in 4 lotti per l’affidamento dei “servizi di Cloud Computing, di Sicurezza, di Realizzazione di Portali e Servizi on-line e di Cooperazione Applicativa per le Pubbliche Amministrazioni” nell’ambito del Sistema pubblico di connettività SPC.
In data 19/05/2016, Consip informava sul proprio sito che il lotto 2 di detta procedura ristretta era stato aggiudicato al raggruppamento formato dalle società Leonardo S.p.A. (già Finmeccanica S.p.A) in qualità di mandataria, IBM Italia S.p.A., Fastweb S.p.A. e Sistemi Informativi S.r.l., in qualità di mandanti.
Successivamente, in data 20 luglio 2016 Consip e il R.T.I. hanno sottoscritto l’accordo quadro di durata pari a 60 mesi al quale le pubbliche amministrazioni possono aderire con la stipula di contratti esecutivi di durata massima che va dalla data stipula fino alla scadenza del contratto quadro (19 luglio 2021).
Ciò posto, in considerazione della tematica inerente la sicurezza di tutti i sistemi applicativi particolarmente delicata, questa amministrazione ha individuato servizi nell’ambito di quelli offerti dal contratto quadro citato ed ha raccolto le
2
specifiche esigenze degli uffici di cui si riportano di seguito le macro rappresentazioni:
Vulnerability Assessment: per il servizio di tipo infrastrutturale per il perimetro di riferimento dell’Amministrazione per disporre di un quadro completo delle vulnerabilità presenti all’interno della propria infrastruttura IT, tramite lo svolgimento di verifiche tecniche orientate alla sicurezza, al fine di ricavarne indicazioni sulle potenziali debolezze e lacune che potrebbero essere sfruttate e su ulteriori interventi che occorre porre in essere per aumentarne la robustezza.
Data Base Security: per garantire un elevato livello di sicurezza del patrimonio informativo durante l’utilizzo dei dati memorizzati nelle banche dati presenti all’interno delle infrastrutture. Per ottenere questo risultato è necessario eseguire continuamente attività di valutazione della sicurezza del patrimonio informativo, in grado di identificare immediatamente qualsiasi tipo di carenza e anomalia ponendovi rimedio.
Web Application Firewall Next Generation Firewall (WAF): per il potenziamento delle tecnologie dedicate alla sicurezza della propria infrastruttura IT, con estensione della soluzione di Web Application Firewall consistente nel:
- Raddoppio dei link di collegamento traffico Internet. È previsto, in tempi brevi, l’aggiunta di un secondo link 10G che affianchi quello esistente, per ragioni di disponibilità, mantenendo invariata la capacità di traffico;
- Monitoraggio delle applicazioni Intranet. Si vuole estendere la protezione del WAF anche al parco applicazioni Web Intranet. Ciò comporta l’inserimento del WAF nei link provenienti dalle sedi geografiche e dalla MAN DCOD;
- Monitoraggio del traffico Infranet. Una parte del traffico verso le applicazioni Internet proviene in realtà dalla rete di interconnessione delle pubbliche amministrazioni (SPC); è quindi opportuno che anche questo link venga monitorato dal WAF;
- Monitoraggio del traffico degli ambienti di certificazione (ed eventualmente di collaudo e sviluppo) Aumento di capacità. L’attuale traffico Internet è di circa 1 Gbps; la capacità delle sonde è pari a 2 Gbps.
Monitoraggio:
- Monitoring & Alerting;
- Reporting;
- Log Management.
Il Monitoring & Alerting comprende l’identificazione di eventuali incidenti, ossia la fase in cui un attacco o presunta violazione venga individuata e circoscritta.
Reporting comprende due tipologie di report:
- Executive Summary, un rapporto di sintesi destinato prevalentemente al
3
management e al personale non tecnico per una comprensione immediata degli attacchi riscontrati.
- Technical Report, un rapporto tecnico con tutte le indicazioni necessarie per la comprensione dei problemi riscontrati, per la loro classificazione in termini di severità e per l’identificazione delle misure più idonee da adottare per la loro risoluzione;
- Log Management comprende la raccolta dei dati registrati nei log dei dispositivi controllati.
Servizi di supporto.
A tal fine, il R.T.I ha fornito il supporto a questa amministrazione per la stesura del piano dei fabbisogni, previsto nell’ambito degli adempimenti precontrattuali e ai sensi degli art. 7 del contratto quadro. Detto piano (trasmesso in data 24 marzo 2020) completo di valorizzazione economica costituirà il progetto dei fabbisogni, secondo le modalità stabilite nel Capitolato Tecnico parte generale all’art. 7.2.
Tale progetto, dopo essere approvato da questa stazione appaltante, formerà oggetto del provvedimento con il quale sarà autorizzata la stipula del contratto esecutivo e - ai sensi dell’art. 4, comma 3-quater, del D.L. 6 luglio 2012, n. 95 il contributo di cui all’art. 18, comma 3, D.Lgs. 1 dicembre 2009, n. 177,, convertito con modificazioni in legge 7 agosto 2012, n. 135 - il contributo di cui all’art. 18, comma 3, D.Lgs. 1 dicembre 2009, n. 177, come disciplinato dal D.P.C.M. 23 giugno 2010, dovuto per i contratti esecutivi di accordi o contratti quadro di acquisizione di beni e servizi informatici e telematici.
Conclusioni
Per quanto sopra esposto, in conformità a quanto previsto dalle norme sull'ordinamento amministrativo-contabile, in attuazione dell’articolo 43 del regolamento di organizzazione, approvate dal Presidente con determinazione del 16 gennaio 2013, n.10 e s.m. e i., si rende necessario autorizzare nell’ambito del Sistema Pubblico di Connettività SPC Lotto 2 per i servizi di gestione delle identità digitali e sicurezza applicativa:
- tutte le attività preparatorie per l’approvazione del progetto dei fabbisogni, ai fini dell’adesione al contratto quadro mediante stipula del contratto esecutivo con il R.T.I. Leonardo S.p.A./IBM Italia S.p.A./Fastweb S.p.A./ Sistemi Informativi S.r.l. con un importo massimo complessivo pari a circa € 6.500.000,00 oneri fiscali esclusi, per una durata va dalla data di sottoscrizione al termine ultimo del contratto quadro.
Con apposito successivo provvedimento, si provvederà alla quantificazione della spesa definita con il progetto dei fabbisogni, agli impegni da assumere sull’esercizio
4
2020 e ad autorizzare il contributo di cui all’art. 18, comma 3, D.Lgs. 1 dicembre 2009, n. 177.
F.to Il Dirigente dell’ufficio I dott.
Pietro D. Perrone
