PREMESSA ATTIVITA RICHIESTE. 1 di 5

Transcript

1 CAPITOLATO SPECIALE D APPALTO PER L AFFIDAMENTO DEL SERVIZIO DI AGGIORNAMENTO DEL DPS E ASSISTENZA NELL ATTUAZIONE DEL CODICE IN MATERIA DI PROTEZIONE DEI DATI PERSONALI PREMESSA L ASL della Provincia di Varese intende affidare per un triennio il Servizio in oggetto a soggetto esterno che abbia la competenza e la preparazione professionale specialistica per supportare l ASL nella redazione e implementazione del Documento Programmatico sulla Sicurezza. L Aggiudicatario dovrà aver cura di Aggiornare il DPS e per questo analizzare la realtà aziendale, realizzare l Analisi dei Rischi e quindi definire delle Procedure di Sicurezza conseguenti. ATTIVITA RICHIESTE 1) Aggiornamento, implementazione e redazione del DPS al 31/03/2010, 31/03/2011, 31/03/ ) Aggiornamento dell Analisi dei Rischi utilizzando la metodologia CRAMM (già adottata dall ASL di Varese nelle precedenti analisi dei rischi e relativa identificazione delle misure di sicurezza da realizzare per la loro eliminazione) oppure altra metodologia di cui devono essere indicate le specifiche tecniche, e comunque rispondente alla normativa richiesta per l attuazione del Codice in materia di protezione dei dati personali. Tale Analisi dei Rischi sarà da allegare al DPS aggiornato al 31/03/2010, 31/03/2011, 31/03/2012 con particolare riguardo alle modificazioni nell organizzazione aziendale oltre che ai sistemi informativi/informatici. L ASL già censisce e classifica i Trattamenti di dati personali e i relativi Strumenti Informatici utilizzati per il Trattamento (software applicativi, elaboratori, rete informatica, ecc.). 3) Valutazione/Aggiornamento/Estensione delle procedure tecniche/amministrative esistenti per la verifica della corretta applicazione delle misure previste dagli artt. da 33 a 36 del Codice in materia di protezione dei dati personali conformi all allegato B, anche medianti supporti informativi sviluppati e forniti dall aggiudicatario. 4) Redazione e aggiornamento delle istruzione di lavoro necessarie per adempiere alle misure minime richieste dall allegato B al D.Lgs. 196/2003 e in applicazione ai provvedimenti dell Autorità Garante della Privacy (es. Definizione di Policy di Sicurezza, Procedura gestione Back-up, Accessi, Log centralizzati, Attività Amministratori di Sistema, Controllo e custodia atti e documenti ecc.). 5) Formazione e addestramento delle risorse umane, di almeno 12 giornate nel triennio, in funzione dei profili di personale individuati e interessati (Responsabili del Trattamento, Incaricati del Trattamento, Amministratori di Sistema e personale informatico del S.I.A. - Sistemi Informativi Aziendali), anche mediante supporti informativi/informatici sviluppati e forniti dall aggiudicatario utili ad una formazione continua del personale anche rivolta ai neo assunti. 6) Supporto nel corso di eventuali visite da parte dell Autorità Garante per la Protezione dei dati Personali. 7) Consultazione via e telefonica con il referente del Servizio in oggetto per l intera durata del contratto per la risoluzione di problematiche di particolare rilevanza giuridico, amministrativa, tecnica. 8) Predisposizione di Report Trimestrali sullo stato di avanzamento delle attività svolte corredati di ogni elemento utile per una valutazione sempre puntuale ed aggiornata da parte dell ASL. 1 di 5

2 Informazioni tecniche ed altri elementi utili sulle dimensioni e articolazioni aziendali sono reperibili attraverso la consultazione del sito Web dell ASL all indirizzo e nella successiva sezione Stato Tecnologico. STATO TECNOLOGICO Presso L ASL di Varese sono presenti numero 46 sedi territoriali dislocate sul territorio provinciale. Tutte le sedi sono collegate alla rete dati aziendale con il centro stella situato nella sede centrale a Varese in via O. Rossi, tramite una Intranet aziendale, su Rete MPLS in Convenzione SPC-CNIPA gestita da Telecom, mentre tutti i collegamenti ad Internet avvengono tramite un unica linea presente in sede centrale protetta da un Firewall installato su 2 server in cluster. La gestione dei router per i collegamenti tra le sedi territoriali e la sede centrale è di competenza di Telecom Italia che ci garantisce tutta la parte di sicurezza mentre è a carico dell UO Sistemi Informativi Aziendali (SIA) dell ASL la gestione degli switch (circa 70). Inoltre sono gestiti dall UO SIA dell ASL anche numero 7 router, tutti presenti presso la sede centrale, utilizzati per: - la gestione di accessi RAS tramite linee ISDN - il centro stella della rete Intranet - il collegamento con la rete Extranet regionale (CRS-SISS) - il collegamento con l Azienda Ospedaliera di Varese per la gestione dello screening mammografico - la gestione di collegamenti VPN via Internet per il collegamento da remoto con le aziende fornitrici di software che collaborano con l ASL In azienda sono presenti indicativamente 950 PC Client tutti collegati alla rete aziendale. I PC sono presenti con una percentuale del 50% presso la sede centrale di Varese via O. Rossi dislocati in 11 palazzine collegate al centro stella della rete aziendale LAN tramite fibra ottica; un 30% delle postazioni è presente presso le sedi distrettuali del territorio provinciale (Varese via Monterosa, Busto Arsizio, Laveno, Luino, Gallarate, Sesto Calende, Saronno, Tradate, Castellanza, Arcisate, Azzate, Somma Lombardo) e il rimanente 20% dei PC è dislocato sulle 33 sedi territoriali di minori dimensioni. Inoltre è in corso di predisposizione un collegamento con ponte radio con tunnel cifrato tra due padiglioni della sede centrale. Attualmente è anche in corso di avviamento l installazione di un Appliance di accentramento Log (ArcSight) per il controllo degli accessi ai sistemi da parte degli Amministratori di Sistema, per adempiere alle nuove disposizione del Garante in merito. Come anticipato precedentemente il sistema di protezione perimetrale della rete aziendale è gestito tramite due server in cluster tra loro con software Firewall Checkpoint. Il software gestisce tutta la sicurezza da e verso Internet, l accesso tramite VPN da parte dei fornitori di software aziendali per la loro manutenzione/gestione e l accesso a n. 3 siti Web aziendali utilizzati per informazione verso i cittadini ( Inoltre sono presenti indicativamente altri 7 applicativi Web di tipo sanitario e/o amministrativo accessibili dall interno della Intranet aziendale. 2 di 5

3 In azienda è presente un sistema Antivirus/Antispamming (Symantec Enterprise 10.0) centralizzato con automazione del servizio di aggiornamento e scansione delle perifiche con anche la funzione di Antivirus/Antispam sui server di posta elettronica (Exchange 2003). Per quanto riguarda i Gestori di Database aziendali sono presenti sia Oracle (versione 9 e 10) che SQL Server Entrambi i Gestori di Database sono installati su server collegati alla SAN e i Database risiedono su uno storage modello HP EVA Di seguito è riportata la lista dei server aziendali con la loro funzionalità. Sistema operativo Windows 2003 Enterprise Programma Descrizione Tipo DB Posizione DB db sql server, str, SIAIA, formazione, tirocini universitari, consultori DB: contabilità lavori pubblici, gestione anagrafica imprese alimentari, formazione, tirocini universitari, consultori familiari, protocollo generale, Windows 2003 Enterprise db sql server, str, SIAIA, formazione, tirocini universitari, consultori DB: contabilità lavori pubblici, gestione anagrafica imprese alimentari, formazione, tirocini universitari, consultori familiari, protocollo generale, UNIX Tru64 5.1b Oracolo, assistant oliamm, paghe, iriswin, proteus, butterfly, dip. DB: Datawarehouse aziendale (amministrativo, sanitaio, sociale), assistenza protesica maggiore DB: contabilità aziendale, gestione giuridico/economico del personale, gestione presenze, gestione protesica minore, gestione invalidi civili, gestione dip. Oracle 10 UNIX Tru64 5.1b oliamm, paghe, iriswin, proteus, butterfly, dip. DB: contabilità aziendale, gestione giuridico/economico del personale, gestione presenze, gestione protesica minore, gestione invalidi civili, gestione dip. concerto rilevazione presenze msaccess 2000 locale Sisl dipartimento medico 3 di 5

4 exchange 2003 cluster posta elettronica proprietario microsoft exchange 2003 cluster posta elettronica proprietario microsoft exchange 2003 front end posta elettronica Oracolo (dwh-bi) application server Datawarehouse e business intelligence Oracle 10 gestione servizio tossicodipendenze aslvaapache assistant assistenza protesica maggiore Oracle 10 delibere, fluper, psichiatria flussi personale, gestione dati psichiatria msaccess 2000 e aslvaweb01, interpro proteus, butterfly, assistenza ced protocollo generale, gestione protesica minore, invalidi, gestione assistenza tecnica oracle 9, adi assistenza domiciliare integrata MS Domain Controller, server dns, server wins, web dpm gestione dominio windows, gestione web dipartimento screening 2000 screening mammografico e colon retto 4 di 5

5 apache web, db e db server locale iis web DataBase Alzheimer, Gestione Assistenza Tecnica, DataBase RCCV digital unix 4.0f altavista firewall 98 firewall cluster checkpoint firewall cluster checkpoint server dns pubblico gestioni connessioni e accessi da/per internet gestioni connessioni e accessi da/per internet savcn gestione vaccinazioni Oracle 10 DURATA DEL CONTRATTO PENALI NORMA DI RINVIO Il contratto avrà durata triennale a decorrere da quella stabilita nel contratto stesso (presumibilmente 1 gennaio 2010). In caso di inadempimento parziale o totale degli obblighi derivanti dall affidamento del servizio all Impresa affidataria potrà essere applicata, a discrezione dell ASL, una penale per un importo da un minimo di Euro 150,00 ad un massimo di Euro 1.000,00; l A.S.L inoltre potrà garantire il servizio mediante altro operatore addebitando i costi all impresa inadempiente. L inadempimento sarà contestato con nota scritta; le giustificazioni fornite dal fornitore (nel termine massimo di sette giorni dal ricevimento della contestazione) saranno discrezionalmente valutate dall ASL. Dopo tre contestazioni o per gravi inadempimenti (la gravità dell inadempimento è discrezionalmente valutata dall ASL) o per ingiustificate interruzioni di servizio (la giustificazione dell interruzione è discrezionalmente valutata dall ASL) si potrà procedere alla immediata risoluzione del contratto mediante semplice comunicazione scritta (inviata tramite raccomandata all Impresa affidataria) ed eventualmente alla richiesta di risarcimento danni a carico dell impresa inadempiente. Per l applicazione delle penali l ASL potrà rivalersi sugli importi dovuti e/o sulla cauzione definitiva. Per quanto non previsto dalla documentazione di gara si rinvia al D.Lgs. 163/2006 testo vigente e al Codice Civile. Sottoscritto per integrale accettazione Il Responsabile legale dell Impresa o suo delegato N.B.: siglare ogni foglio e firmare per esteso in calce al documento 5 di 5