Ministero dello Sviluppo Economico UFFICIO PER GLI AFFARI GENERALI E PER LE RISORSE Capitolato tecnico relativo alla gara per l affidamento dello sviluppo di un sistema software di gestione e ottimizzazione dei processi interni, per il miglioramento della produttività e dell informatizzazione della DG-PMI-EC CIG N. 3193330347 APPENDICE 1 AL CAPITOLATO TECNICO DESCRIZIONE DEL CONTESTO TECNOLOGICO ED APPLICATIVO MISE Appendice 1 al Capitolato tecnico Pagina 1 di 20
Sommario Premessa... 4 Scenario tecnologico di riferimento... 4 Infrastruttura del Sistema Informativo del MiSE... 5 Le sedi ed i Centri Elaborazione Dati (CED)... 5 La rete... 6 La rete geografica... 6 La rete locale... 7 Le reti dei servizi... 8 Le connessioni a Intranet/Infranet... 8 Le reti WiFi... 9 Sistema multimediale... 9 Infrastruttura Client... 9 Hardware... 10 Software... 10 Altre apparecchiature periferiche... 11 "Server Farm" e apparecchiature centrali... 11 I servizi infrastrutturali... 12 DHCP... 12 DNS... 12 Active Directory... 13 La posta elettronica... 13 MISE Appendice 1 al Capitolato tecnico Pagina 2 di 20
Ministero dello Sviluppo Economico UFFICIO PER GLI AFFARI GENERALI E PER LE RISORSE Capitolato tecnico relativo alla gara per l affidamento dello sviluppo di un sistema software di gestione e ottimizzazione dei processi interni, per il miglioramento della produttività e dell informatizzazione della DG-PMI-EC CIG N. 3193330347 La condivisione files... 14 Navigazione Internet... 14 Database e gestore di contenuti... 14 Infrastrutture di sicurezza... 15 La sicurezza perimetrale... 15 La sicurezza client... 15 L autenticazione... 16 Accessi esterni... 16 Backup... 16 Le applicazioni... 17 Il protocollo informatico... 17 Intranet... 17 Sito web... 17 PREMA... 18 SIIE... 18 Sistema Presenze... 18 SICOOP e PARIX... 18 TuOpreventivatOre... 19 Sicoge... 19 SPT... 19 Sistemi in via d introduzione... 19 MISE Appendice 1 al Capitolato tecnico Pagina 3 di 20
Premessa II presente documento è inserito quale appendice alla documentazione di gara per meglio far comprendere al Fornitore il contesto tecnologico in cui dovrà operare, descrive le infrastrutture e gli ambienti che costituiscono il Sistema Informativo del Ministero dello Sviluppo Economico. La disamina non è esaustiva ma indicativa ed orientata a delineare in forma qualitativa gli elementi essenziali dell infrastruttura, scelta motivate dalla volontà di non esporre la sicurezza informatica del Dicastero. Eventuali ulteriori informazioni potranno essere fornite, previa valutazione del Responsabile dei sistemi informativi, a personale individuato. Tutte le tecnologie elencate nel presente documento fanno riferimento a prodotti di mercato e vengono citate per fornire una descrizione quanto più accurata dei sistemi in esercizio. Per quanto riguarda il parco applicativo dell'amministrazione nel seguito del documento sono riportate le seguenti informazioni: contesto tecnologico di riferimento in cui avviene lo sviluppo di software applicativo; l'elenco delle applicazioni in esercizio alla data. La situazione descritta è quella nota alla data di predisposizione del presente documento. Ad inizio fornitura saranno comunicate eventuali variazioni, ferma restando la facoltà per MiSE di effettuare ulteriori modifiche nel corso della durata contrattuale, al fine di operare ottimizzazioni dei servizi. Scenario tecnologico di riferimento Nel seguito vengono descritte le caratteristiche dell'ambiente tecnologico del Ministero dello Sviluppo Economico (MiSE), relativamente al proprio Sistema Informativo. Il MiSE si riserva di variare tali ambienti, di aggiornare i prodotti software, come pure di definire nuove modalità di utilizzo dei sistemi. Di seguito uno schema riassuntivo del parco hardware presente alla data presso le sedi del MiSE. Parco Hardware Servizi - Funzione Quantità Personal Computer Informatica individuale 3500 Server Linux ( 32 e 64 bit ) Server per applicazioni generali: DataBase, WEB, E-Mail, applicativi, gateway applicativi, gestione; Mail Relay, Telpress, archivio dati. 70 MISE Appendice 1 al Capitolato tecnico Pagina 4 di 20
Ministero dello Sviluppo Economico UFFICIO PER GLI AFFARI GENERALI E PER LE RISORSE Capitolato tecnico relativo alla gara per l affidamento dello sviluppo di un sistema software di gestione e ottimizzazione dei processi interni, per il miglioramento della produttività e dell informatizzazione della DG-PMI-EC CIG N. 3193330347 Server Windows ( 2000, 2003, 2008 ) ADS, gestione presenze, applicazioni gestionali 20 Apparati per la sicurezza perimetrale Cisco ASA Soniwall NSA 5500 4 2 Apparati per Videoconferenza Conference Room 1 Stampanti Individuali, di gruppo 2500 Scanner Individuali, di gruppo e di grandi dimensioni 1000 Blackberry e dispositivi mobili Individuali per utenti con esigenze specifiche 80 Infrastruttura del Sistema Informativo del MiSE Le sedi ed i Centri Elaborazione Dati (CED) Le sedi dalle quali sono erogati i servizi centralizzati sono attualmente tre e si trovano: Roma via Molise Roma viale America Roma viale Boston Le sedi dispongono di un Centro di Elaborazione Dati (CED) con specifiche funzionalità: Via Molise - Il CED é il nodo informatico centrale del MiSE, in esso sono concentrati tutti i servizi e le funzionalità necessarie alla raccolta, elaborazione ed erogazione delle informazioni di carattere Istituzionale. In questo CED si trovano gli apparati per la connettività locale e geografica che compongono la rete MiSE, oltre a tutti i server necessari alle attività di elaborazione. E' inoltre presente una infrastruttura per il controllo degli accessi. Viale America - Il CED della sede di Viale America contiene principalmente gli apparati di connettività locale e geografica con gli Ispettorati delle Comunicazioni dislocati sul territori, non ha autonomia per quanto riguarda dati e applicazioni, offre i servizi di Active Directory, share di rete e navigazione Internet per il solo Dipartimento Comunicazioni. Viale Boston Il CED è funzionale al solo edificio in cui è collocato e offre servizi infrastrutturali, è ivi collocata una applicazione denominata SIIE. MISE Appendice 1 al Capitolato tecnico Pagina 5 di 20
La fornitura elettrica dei locali CED è assicurata da gruppi di continuità (UPS) ridondati. Gli UPS non sono dedicati esclusivamente all'alimentazione elettrica dei CED ma alimentano anche ascensori, nonché desktop e stampanti attestati su linea privilegiata. Per il raffrescamento degli ambienti sono presenti degli impianti di climatizzazione autonomi. La sala CED della sede di Roma, è dotata di un impianto antincendio a saturazione di gas inerte che interviene automaticamente in caso di allarme. L'accesso a questi locali è controllato al fine di permettere l'ingresso solo alle persone autorizzate. La rete Il sistema informativo del Ministero dello Sviluppo Economico si basa su una Intranet estesa a tutti gli edifici del Dicastero, i nodi centrali sono localizzati nella città di Roma, pertanto per le sedi collocate nell area metropolitana, nel seguito, si indicherà esclusivamente il nome della via in cui sono ubicate. La rete è autonoma e gestita direttamente tuttavia due Direzioni Generali sono attestate sulla rete del Ministero dell Economia e delle Finanze la cui gestione è a carico di CONSIP e per tanto non è oggetti della descrizione del presente documento. Si precisa che l infrastruttura di network nasce dalla fusione delle reti di tre differenti Ministeri ciascuno attribuito ad un diverso provider SPC e ciascuno originariamente dotato di un CED autonomo; l interazione tra tali infrastrutture e le connessioni alle reti esterne verranno successivamente dettagliate. Per le descrizioni riguardanti il sistema SPC si fa riferimento al contratto quadro per i servizi di connettività interoperabilità di base. La Intranet è costituita da reti lan locali agli edifici, collegamenti geografici e metropolitani sulla città di Roma, inoltre in alcune sedi vengono erogati servizi interni all utenza e servizi rivolti ad Internet ed alla Infranet (SPC) pertanto sono presenti reti di server farm e dmz. Si sottolinea inoltre l estrema dinamicità del network del Ministero in quanto sono in corso azioni volte all unificazione reale dell intera infrastruttura. La rete geografica La rete estesa del Ministero raggiunge tutte le sedi con modalità differenti: Connessioni tramite il provider SPC assegnato: le sedi periferiche collocate nei capoluoghi di provincia e di regione sono connesse attraverso un link di tipo L3 tramite il provider Fastweb, la banda disponibile varia tra 512 Kb e 2 Mb in relazione all utenza presente nel sito. Fanno eccezione le connessioni verso le sedi di Avellino, Bologna che sono connesse secondo le medesime modalità ma sfruttando il provider PathNet. La sede di Viale America è connessa al provider Fastweb, mentre quella di Via Molise al provider PathNet, pertanto le periferie attestate ai due diversi gestori hanno come unico nodo di comunicazione, rispettivamente, il CED. Nella città di Roma sussistono alcune sedi connesse tramite provider, la tabella seguente ne riassume le caratteristiche: MISE Appendice 1 al Capitolato tecnico Pagina 6 di 20
Ministero dello Sviluppo Economico UFFICIO PER GLI AFFARI GENERALI E PER LE RISORSE Capitolato tecnico relativo alla gara per l affidamento dello sviluppo di un sistema software di gestione e ottimizzazione dei processi interni, per il miglioramento della produttività e dell informatizzazione della DG-PMI-EC CIG N. 3193330347 Sede Provide Banda disponibile Largo Brazzà Fastweb Via del Giorgione Viale Bosio Viale Trastevere Via Benedetto Croce PathNet PathNet Fastweb PathNet Connessioni dirette proprietarie: o La sede di Viale America e quella di Viale Boston sono connesse in fibra ottica proprietaria con un canale a 2 GB, sussiste anche una connessione tramite ponte laser via etere che tuttavia al momento non è utilizzata. o La sede di Via Molise e la sede di Via Liguria sono connesse tramite un ponte laser di portata 100 Mb. o La sede di via Molise e quella di via Sallustiana sono connesse tramite un link wifi su banda dedicata e tramite una connessione su provider PathNet che al momento è in dismissione. Connessione tramite VPN su Internet: le sedi di Via Molise e di Viale America sono connesse tramite una VPN IPSEC realizzata tra gli apparati di sicurezza perimetrale dei due edifici. Non sono presenti router, se non quelli di proprietà e sotto la gestione del fornitore di connettività, pertanto la rete può essere categorizzata come un infrastruttura totalmente basata su switch. Il piano di indirizzamento IP è univoco sulla rete e coinvolge le classi B private 10.184.0.0/8, 10.80.0.0/8 e 10.x.0.0/x segmentate in differenti classi C secondo logiche di opportunità, sicurezza, organizzazione ed con lo scopo di contenere il traffico. Per talune esigenze specifiche sono utilizzate classi private non ruotate all interno del network. La rete locale La rete locale e di tipo FLAT, cioé costituita da switch layer 2 e suddivisa in varie LAN Virtuali (VLAN), il protocollo di comunicazione usato é l IP. L'architettura di rete realizzata permette di operare e gestire tutta l'infrastruttura come una unica LAN (Local Area Network), incluso il link geografico. MISE Appendice 1 al Capitolato tecnico Pagina 7 di 20
Gli apparati di rete sono tutti switch Layer 2, fatta eccezione per gli switch utilizzati come centrostella, situato in ciascuna sede, che supportano anche il Layer 3 (routing), necessario per la comunicazione tra le varie VLAN. Le reti dei client sono organizzate in VLAN su tutte le sedi ed in via generale ciascuna network ha uno spazio di indirizzamento consistente in una classe C che individua uno piano dello stabile presso cui è collocata. Le dorsali sono costituite con collegamenti in fibra, in taluni casi ridondati, ma non sono implementati meccanismi di multi path o protocolli di spanning tree. I punti rete attivi sono circa 3500 e non sono implementate politiche di NAC. Esistono alcune reti wifi isolate e controllate centralmente per esigenze specifiche Le reti dei servizi I servizi erogati all utenza e quelli esposti sulla rete pubblica sono collocati in network individuate all interno del citato piano di indirizzamento ed attestate su apparati switch connessi in cascata o tramite cavi stack. La dislocazione fisica dei sistemi è individuata nei CED (via Molise, viale America, viale Boston, via del Giorgione). Gli apparati attivi, in ragione dei successivi acquisti, non costituiscono un parco omogeneo per tipologia, fornitore e release, tuttavia la politica implementata è quella di mantenere le configurazioni basilari nell ottica di poter rapidamente sostituire apparati guasti. Non sono implementate politiche di NAC o di restrizione sull accesso dei dispositivi fisici in quanto i server sono collocati in ambienti isolati, non accessibili al pubblico e controllati. Le connessioni a Intranet/Infranet Le tre sedi Via Molise, Viale America e Viale Boston hanno una connessione diretta ad Internet ed alla Infranet rispettivamente tramite i provider PathNet, Fastweb e BT. In particolare quest ultima è in via di dismissione. La connessione è di tipo L5 in tutti e tre i casi. Via Molise: l attuale contratto prevede che il provider fornisca la connettività e la sicurezza perimetrale che viene realizzata con un application firewall Fortinet; il provider gestisce la classe di indirizzamento pubblica (88.49.250.32-88.49.250.63) pubblicando le risorse tramite nat. A cascata l Amministrazione ha posto un sistema di firewalling perimetrale ed un sistema IPS, tuttavia, allo stato, vengono propagati gli indirizzi interni fino al gateway del provider. L Amministrazione sta conducendo un progetto volto a riorganizzare la sicurezza ed affrancarsi dal gestore di connettività. Viale America: il provider fornisce esclusivamente la connettività, tutti gli aspetti di gestione dell indirizzamento pubblico e di sicurezza sono gestiti direttamente dall Amministrazione. MISE Appendice 1 al Capitolato tecnico Pagina 8 di 20
Ministero dello Sviluppo Economico UFFICIO PER GLI AFFARI GENERALI E PER LE RISORSE Capitolato tecnico relativo alla gara per l affidamento dello sviluppo di un sistema software di gestione e ottimizzazione dei processi interni, per il miglioramento della produttività e dell informatizzazione della DG-PMI-EC CIG N. 3193330347 Viale Boston: il contratto in vigore prevede che il provider fornisca anche la sicurezza perimetrale, l Amministrazione non ha interposto ulteriori gateway. Le reti WiFi Sono presenti in alcune sedi delle reti lan Wireless (WiFi) che allo stato vengono gestite in forma locale. È allo studio una soluzione per la gestione centralizzata e sicura delle connessioni di questo tipo. In particolare presso la sede di via Molise è presente una rete wifi, esterna rispetto alle network di palazzo, ad uso dei visitatori. Per tali scopi l Amministrazione si è dotata di un meccanismo di registrazioni degli utenti e di rilascio di credenziali temporanee. Sistema multimediale Presso due sale di rappresentanza del Ministero è stato installato un sistema audio video (comprensivo di mixer e di luci) di qualità broadband. Tale sistema, comprendente anche diversi schermi connessi in rete, è in grado di trasmettere streming sulla rete. Infrastruttura Client Le postazioni di lavoro del Ministero constano in circa 3500 client di cui 800 circa distribuiti sul territorio nazionale (capoluoghi di provincia e regione). L asset completo è in fase di acquisizione, non vi è omogeneità in ordine all hardware, software e validità della garanzia. A ciascun utente è di norma assegnato un desktop, collegato alla rete locale, presso la sede nella quale opera. Sono distribuiti compuer portatili ed un certo numero di PDL è utilizzato per attrezzare le sale corsi informatizzate delle due sedi e per la partecipazione ad eventi ricorrenti, quali il "forum" delle Pubbliche Amministrazioni. Tutte le PDL hanno come sistema operativo Windows XP aggiornato alla SP3 e sono in grado di supportare indifferentemente sia il modello d'elaborazione di tipo client/server sia quello web-oriented. La configurazione e le applicazioni installate presenti su ciascuna PDL, sono state predefinite e certificate in laboratorio, per velocizzare l'installazione/configurazione di nuove PDL. La gestione e il controllo degli accessi alle PDL Windows XP si basa su Active Directory, utilizzando poi meccanismi di sincronizzazione automatici, realizzati internamente, per allineare le credenziali con l'ambiente Unix, Oracle, etc.. Nelle sedi del MiSE sono utilizzate stampanti laser di tipo personale, workgroup ed enterprise. Tutte le stampanti sono collegate alla rete locale e possono essere utilizzate da ciascuna PDL. In particolare, le stampanti di gruppo, alle quali appartengono anche un certo numero di stampanti a colori, sono condivise nell'ambito delle unità organizzative (Divisioni e Uffici) e delle rispettive segreterie; le stampanti più grandi MISE Appendice 1 al Capitolato tecnico Pagina 9 di 20
sono condivise a livello di piano dell'edificio e le stampanti "personali" sono utilizzate nella stanza da una o più persone. Hardware Le postazioni di lavoro hanno prevalentemente un età non superiore a 3 anni, circa 800 pc risultano coperti da garanzia fino al 2012, per gli altri prevalentemente la garanzia è già scaduta. Sono in esercizio taluni computer più vecchi di quanto sopra indicato. La configurazione minima dei sistemi distribuiti agli utenti del Ministero prevede 250 MB di RAM e 300 GB di hard disk. Nel corso del 2010 le rotture occorse hanno riguardato principalmente i moduli di alimentazione e qualche disco. Sono distribuite circa 2500 stampanti laser personali di varia marca, la copertura della garanzia è assimilabile a quanto già detto per i pc. Presso il Ministero sono installate circa 400 etichettatrici usate per il sistema di protocollo informatico; agli stessi scopi e per un numero equivalente di postazioni sono in uso scanner piani e verticali. Software Prevalentemente sulle postazioni del Ministero è installato il sistema operativo Windows XP Professional, non vi è un piano di migrazione a Windows 7 Professional, tuttavia i nuovi sistemi vengono distribuiti con tale piattaforma. Il sistema operativo è installato in modalità OEM, per quasi tutti i modelli di postazione distribuiti è disponibile il CD di ripristino. Per la produttività individuale, sulle postazioni di lavoro, sono installati tutti o alcuni dei seguenti software: - MS Office 2000, 2003, 2007 e 2010 Professional e Standard (taluni software necessitano di versioni non aggiornate degli applicativi) - OpenOffice - Thunderbird - Internet Explorer 6,7 e 8 (taluni software necessitano di versioni non aggiornate dell applicativo) - Acrobat Reader o Foxit Reader. Per far fronte ad esigenze specifiche possono essere installati altri software. Allo stato non è stato redatto un catalogo dei software disponibili. Su talune postazioni di lavoro sono installate applicazioni basate su infrastruttura ormai datata (ad esempio MS Access 2000) per le quali, tuttavia, allo stato non è prevista una migrazione a nuova tecnologia. MISE Appendice 1 al Capitolato tecnico Pagina 10 di 20
Ministero dello Sviluppo Economico UFFICIO PER GLI AFFARI GENERALI E PER LE RISORSE Capitolato tecnico relativo alla gara per l affidamento dello sviluppo di un sistema software di gestione e ottimizzazione dei processi interni, per il miglioramento della produttività e dell informatizzazione della DG-PMI-EC CIG N. 3193330347 L Amministrazione non ha un contratto Enterprise Agreement con la società Microsoft ma l Amministrazione possiede un numero di licenze adeguato a far fronte alle esigenze. Software quali: - I plugin del sistema di protocollo informatico; - L agent di gestione dell asset (Symantec - Altiris); - L antivirus (Symantec SEP); sono stati installati sfruttando le possibilità di software distribution dell Active Directory, integrate da script realizzati ad hoc. Altre apparecchiature periferiche Fanno parte della componente periferica del sistema informativo del MiSE altre apparecchiature accessorie, utilizzate di solito presso le segreterie delle diverse strutture organizzative o presso utenze con specificità tali da richiederne un uso continuativo. Si tratta per la maggior parte di dispositivi di scansione (scanners) di piccole e medie prestazioni. Sono anche disponibili presso le due sedi 6 scanner ad alte prestazioni con postazione di lavoro dedicata. "Server Farm" e apparecchiature centrali Come già anticipato, la Server Farm del MiSE è ubicata nella sede di via Molise. Gli elaboratori centrali ospitano vari sottosistemi applicativi: sviluppati "in-house" per il supporto informatizzato di attività istituzionali; sviluppati "in-house" o acquistati sul mercato per lo svolgimento d'attività di supporto, database server, mail server, web server, application server, document management system, etc.). L Amministrazione è dotata di due infrastrutture di virtualizzazione su tecnologia VMWare Infrastructure 3. Presso il CED di Via Molise il datastore associate all infrastruttura virtuale è costituito da una SAN (Storage Area Network) connessa su canale ethernet dedicato sfruttando il protocollo iscsi. Presso il CED di Viale Boston il datastore è connesso in modalità fiber channel. L infrastruttura virtuale ospita diversi servizi tra cui alcuni classificabili come business critical. Laddove le prestazioni richiedano maggiore potenza di calcolo o accesso particolarmente performate ai sottosistemi di storage, i servizi vengono erogati tramite server fisici. MISE Appendice 1 al Capitolato tecnico Pagina 11 di 20
In ragione delle successive acquisizioni e dell unificazioni dei sistemi informativi dei tre ex Dicasteri il parco hardware disponibile presso i CED è multi brendand, in particolare sono implementati sistemi a 32 e 64 bit su architettura Intel e AMD. I server meno recenti sono frutto di acquisizioni effettuate nel 2006 e non tutti sono coperti da garanzia. Alcuni elaboratori, in relazione con la criticità dei servizi ospitati, sono configurati in alta affidabilità sui dati, con utilizzo di tecnologie di mirroring dei dischi magnetici. Alcuni dei nuovi elaboratori saranno configurati in alta affidabilità anche per la continuità di servizio, con la recente adozione di tecnologie di clustering e di load balancing. La progressiva integrazione delle reti dei tre ex Dicasteri sta vedendo accentrarsi i servizi a fattore comune nel CED di Via Molise, tuttavia la disponibilità di altri ambienti attrezzati nelle altre sedi verrà progressivamente sfruttata per creare sistemi di backup o di business continuity. I servizi infrastrutturali DHCP Il servizio di distribuzione dinamica degli indirizzi IP è attivo per tutte le sedi di Roma ad esclusione di Viale America, Viale Trastevere e largo Brazzà. Poiché il servizio è stato introdotto recentemente,per evitare l impatto sull operatività quotidiana, non è stato possibile riorganizzare completamente le sottoreti riservando range specifici per gli apparati (ad esempio stampanti) ed altri per i Pc. Sono configurate reservation associate al mac address per fornire a taluni dispositivi sempre lo stesso indirizzo IP. Come opzioni aggiuntive il server DHCP distribuisce i DNS di riferimento, i server WINS e il percorso del file WPAD. DNS L infrastruttura DNS del Ministero, allo stato, risulta complessa. I client hanno come DNS primario e secondario i domani controller dei domini entro cui sono inseriti; per i pc non connessi all infrastruttura Active Directory si fa riferimento a quelli del dominio presente nella sede. Le zone primarie gestite dall Amministrazione sono: Verso la Intranet: - map.it - mincomes.it - comunicazioni.local - risorse.mise MISE Appendice 1 al Capitolato tecnico Pagina 12 di 20
Ministero dello Sviluppo Economico UFFICIO PER GLI AFFARI GENERALI E PER LE RISORSE Capitolato tecnico relativo alla gara per l affidamento dello sviluppo di un sistema software di gestione e ottimizzazione dei processi interni, per il miglioramento della produttività e dell informatizzazione della DG-PMI-EC CIG N. 3193330347 - rete.risorse.mise - sviluppoeconomico.gov.it Verso Internet e Infranet sviluppoeconomico.gov.it (è in fase di migrazione comunicazioni.it) La zona sviluppoeconomico.gov.it è configurata per fornire indirizzi pubblici se interrogata dall esterno della rete ed indirizzi in classe privata per i client e server della Intranet. Tale zona (su cui sono pubblicati tutti i servizi centrali) risiede presso il CED di Via Molise ma è presente come zona secondaria su tutti i DNS dell infrastruttura. Sul lato pubblico la zona è autoritativa verso Internte, ma allo stato non lo è verso la Infranet, infatti il DNS autoritativo è gestito dal provider PathNet che periodicamente scarica gli aggiornamenti dal DNS del Ministero. Anche le zone risorse.mise e rete.risorse.mise sono funzionali all erogazione di servizi interni e propagate come secondarie sugli altri DNS. Active Directory Il sistema informativo del Ministero consta di diversi domini Active Directory: - Dominio Windows 2000 map.it per la sede di Via Molise e per tutte le sedi che vi fanno diretto riferimento; - Dominio Windows 2003 comunicazioni.local per la sede di Viale America e per tutte le sedi che vi fanno riferimento; - Dominio Windows 2000 mincomes.it per la sede di viale Boston; - Dominio XXXXX per la sede di Via del Giorgione. Sui domini, ciascuno per l area di pertinenza, sono registrati sia i client che gli account utente; non vi è un largo uso di policy né di gruppi di sicurezza. È in fase di realizzazione l unificazione dei domini verso l Active Directory 2008 rete.risorse.mise, su tale infrastruttura sono già presenti tutti gli account dei dipendenti e viene utilizzata quale punto di autenticazione per le applicazioni centralizzate. Il dominio è in replica con una infrastruttura ADAM al fine di fornire un servizio LDAP con schema esteso rispetto a quello standard dell Active Directory. La creazione, sospensione e revoca degli account è gestita secondo una policy interna. La posta elettronica Il dominio di posta elettronica gestito dall Amministrazione è @sviluppoeconomico.gov.it, i profili mail sono rilasciati secondo le policy interne e sono prevalentamente di tipo personale. L infrastruttura di posta elettronica, in fase di revisione, si compone di due parti distinte insistenti sullo stesso dominio: MISE Appendice 1 al Capitolato tecnico Pagina 13 di 20
Architettura Open Source, basata sui prodotti Postfix, Currier e Roundcube, che eroga i servizi su protocolli standard Inetrnet (SMTP, IMAP, POP3 e HTTPS), fruibile da tutti gli utenti ma solo all interno della Intranet; Architettura Exchange, basata sulla versione 2010 del prodotto, che eroga servizi in modalità MAPI, OWA e Active Sync, fruibile dai soli utenti che hanno necessità di condivisione di caselle di posta elettronica, calendari e contatti o utilizzano la posta elettronica su dispositivi mobili. L Amministrazione individua per ciascun utente quale sistema impiegare. MTA centrale per i client e per l architettura Exchange, su protocollo SMTP, è l infrastruttura Open Source che costituisce anche il relay per l inoltro agli indirizzi esterni. Su tale nodo è collocato il sistema AntiSPAM (SpamAssassin). L LDAP di riferimento è l ADAM di cui si fa cenno nel paragrafo dell Active Directory. L Amministrazione ha registrato un dominio di posta elettronica certificata (PEC) @pec. sviluppoeconomico.gov.it gestito dal un provider esterno. Gli utenti accedono alle cassette di posta elettronica prevalentemente tramite browser in modalità HTTPS, tuttavia è allo studio la possibilità di fruire del sistema anche tramite client di posta con protocolli SMTP e POP3S. La condivisione files La condivisione file non è uno strumento fortemente utilizzato dagli utenti, esistono tuttavia talune cartelle collocate su server locali che sono in fase di accentramento. L obiettivo finale è quello di fornire ad ogni struttura del Ministero un area di rete ove condividere file. A tale scopo è in fase di realizzazione una infrastruttura basata su SAN (Storage Area Network) con interfaccia MS Share Point Server. Navigazione Internet In generale la fruizione dei servizi pubblicati su Internet e Infranet avviene tramite proxy. Stante i diversi provider ed al fine di ottimizzare l uso della banda disponibile sono previsti due accessi ad Interent: presso il CED di Via Molise tramite proxy Squid e presso il CED di Viale America tramite proxy MS ISA Server 2006. La policy interna prevede la temporanea memorizzazione dei log di navigazione e l autenticazione dell utente che accede alle risorse. Le predisposizioni tecniche per realizzare quanto previsto sono in fase di studio. Sui sistemi Squid sono impostati dei filtri sul contenuto della navigazione, il prodotto utilizzato è DansGuardian. Database e gestore di contenuti In linea generale non è stata costituita una database farm e cisacuna applicazione ha un proprio motore, tuttavia è in fase di realizzazione un accentramento delle basi di dati costituite su sistemi Microsoft. MISE Appendice 1 al Capitolato tecnico Pagina 14 di 20
Ministero dello Sviluppo Economico UFFICIO PER GLI AFFARI GENERALI E PER LE RISORSE Capitolato tecnico relativo alla gara per l affidamento dello sviluppo di un sistema software di gestione e ottimizzazione dei processi interni, per il miglioramento della produttività e dell informatizzazione della DG-PMI-EC CIG N. 3193330347 È stato realizzato un cluster MS SQL 2005 verso cui convergeranno tutte le applicazioni. Le tecnologie di DBMS implementate presso l Amministrazione sono varie, in particolare MySQL (anche in cluster in sicronia tra più motori), Oracle (in cluster), postgress e MS SQL (nelle version Express, 2005 e 2008). Sono inoltre implementati il CMS Joomla! ed il document manager Alfresco. Infrastrutture di sicurezza La sicurezza informatica del Ministero è implementata tramite l uso di sistemi hardware e software e l applicazione di procedure formalizzate o rientranti nella prassi. La rivisitazione dell intero sistema informativo prevede una profonda rivoluzione di tale aspetto non sempre favorevolmente recepita dagli utenti. Rientrano i tale branca tutte le attività di gestione quotidiana volte a prevenire, contenere o eliminare ogni possibile minaccia di malfunzionamento, uso improprio o perdita dei dati del sistema informatico dell Amministrazione. La sicurezza perimetrale La politica in via di realizzazione prevede che non sia possibile alcun tipo di accesso diretto alle risorse presenti sulla rete pubblica da parte dei client della rete del Ministero. Tale caratteristica viene raggiunta attraverso una architettura di rete che vede come elemento centrale un firewall applicativo che gestisce i flussi informativi tra le diverse sottoreti. Vi è inoltre una separazione fisica tra le reti client, la DMZ, le reti di servizio e quella di accesso ad Internet. In virtù di tale architettura ogni comunicazione transita attraverso un sistema di gateway applicativi che hanno la funzione logica di ottimizzare e controllare il contenuto dello scambio dati. L Amministrazione sta attuando un progressivo affrancamento dalla gestione della sicurezza perimetrale da parte del provider. La sicurezza client Ciascun client dell Amministrazione è dotato di antivirus distribuito tramite policy Active Directory ovvero installato manualmente. È in corso una migrazione (ultimata all 80%) verso il sistema antivirus Symante SEP con un unico server centrale che controlla la distribuzione degli aggiornamenti e l applicazione delle policy. Non sono implementate politiche di NAC o personal firewall. L antivirus è configurato per monitorare la posta elettronica in ingresso ed in uscita dal client. MISE Appendice 1 al Capitolato tecnico Pagina 15 di 20
L autenticazione L Amministrazione basa la politica di accesso alle risorse sull individuazione dell utente, l autenticazione pertanto è elemento centrale nell architettura di sicurezza. Il sistema informativo del Ministero basa sull Active Directory il proprio repository centrale ed unico delle utenze. L attuale fase di standardizzazione prevede che gli utenti siano definiti sui domini locali afferenti ai tre ex Dicasteri per il logon sulle postazioni di lavoro e l accesso ai file condivisi. I servizi centralizzati (protocollo informatico, posta elettronica, telelavoro etc.) hanno quale dominio di riferimento rete.risorse.mise che in futuro diventerà il dominio unico di tutta l Amministrazione. Tale infrastruttura Active Directory censisce già tutti gli account esistenti. Sono previste specifiche policy per il rilascio, revoca e sospensione degli account. Sono individuati specifici profili e modalità per l accesso ai sistemi con le prerogative di Amministratore di Sistema. Accessi esterni Al fine di soddisfare particolari esigenze quali: Progetti di telelavoro; Accesso alle risorse della Intranet anche al di fuori degli orari di servizio; Gestione dell infrastruttura anche al di fuori degli orari di servizio il Ministero si è dotato di un gateway che permette l instaurazione di un tunnel SSL over http tra un client esterno alla rete ed un servizio interno non pubblicato. Tale sistema (di marca Sonicwall) permette delle politiche molto stringenti che combinano controlli sulle credenziali dell utente, sulla risorsa e sullo stato di sicurezza del pc da cui si accede. Ciò al fine di tutelare la sicurezza dei sistemi informativi senza tuttavia precludere la possibilità data dalle moderne tecnologie di lavorare in mobilità. Backup Il sistema centralizzato di backup allo stato si basa sulla tecnologia Tivoli Storage Manager. Non sono applicati agent specifici per prodotti particolari ma viene effettuata la mera copia dei file d interesse. È in fase di implementazione il sistema Symantec NetBackup che sfrutta una coppia di tape library mono drive connessa tramite canali in fiber channel. Il backup viene effettuato, secondo politiche fisse, nel solo CED di Via Molise. MISE Appendice 1 al Capitolato tecnico Pagina 16 di 20
Ministero dello Sviluppo Economico UFFICIO PER GLI AFFARI GENERALI E PER LE RISORSE Capitolato tecnico relativo alla gara per l affidamento dello sviluppo di un sistema software di gestione e ottimizzazione dei processi interni, per il miglioramento della produttività e dell informatizzazione della DG-PMI-EC CIG N. 3193330347 Le applicazioni Il sistema informativo del Ministero si compone di diverse applicazioni. Talune gestite in forma centralizzata altre invece in ambito dipartimentale. Il presente documento si sofferma solo su quelle afferenti alla gestione centralizzata e su quelle di principale interesse, pertanto non ha la pretesa di essere esaustivo. Le applicazioni sono rivolte a differenti bacini d utenza, ve ne sono per gli utenti interni, per il pubblico e per utenze esterne specifiche. Tale distinzione verrà specificata nella successiva descrizione di ciascun sistema. Il protocollo informatico Il sistema di Protocollo Informatico del Ministero è basato sul sistema denominato Protocollo ASP realizzato da CNIPA ed erogato in modalità ASP a favore delle Pubbliche Amministrazioni. Il Ministero, sfruttando l opzione del riuso del software, ha customizzato taluni elementi del prodotto per adattarlo alle proprie esigenze ed alla propria infrastruttura informatica. Tuttavia le funzioni essenziali, l interazione con l utente e la logica di business è rimasta invariata. L applicazione è rivolta all utenza interna ed espone interfacce web services che ne permettono l interazione con altre applicazioni quali ad esempio SICOOP e PREMA. Intranet Il Ministero si è dotato di un portale Intranet per la diffusione delle informazioni ai dipendenti, tale strumento realizzato su tecnologia Joomla! costituisce il punto d accesso a tutte le risorse web presenti nel sistema informativo. L aggiornamento dei contenuti è a carico dell Ufficio relazioni con il pubblico. È in progetto la realizzazione di un sistema sicuro per fornire ai dipendenti un accesso al portale anche da reti esterne a quelle del Ministero. Sito web Il sito web del Ministero attualmente in esercizio è in fase di revisione. Si basa su piattaforma PHP ed un CMS proprietario. Il nuovo portale unificato, invece, sarà realizzato su una personalizzazione di Joomla! e prevederà l accesso redazionale protetto, la piena ridondanza dei componenti e funzionalità in sola lettura per i contenuti pubblicati. MISE Appendice 1 al Capitolato tecnico Pagina 17 di 20
PREMA Il sistema denominato PREMA costituisce il back end del sistema esposto dal portale Impresa.gov per la gestione telematica dei concorsi a premio. Il sistema sfrutta una Porta di Dominio (PDD) per lo scambio dati con il citato portale, dialoga, invece, direttamente tramite web services con il protocollo informatico. La trattazione delle pratiche avviene tramite un interfaccia web fruita da alcuni utenti del Ministero. Sotto il profilo tecnologico l applicazione si basa su piattaforma Open Source (apache, tomcat, potgress) SIIE Il sistema di interoperabilità import export (SIIE) è collocato presso la sede di viale Boston e gestirà i rilasci dei titoli per l importazione e l esportazione di beni agroalimentari. Il sistema, in fase di rilascio, è realizzato su architettura Microsoft e dialoga con i sistemi dell Agenzia delle Dogane tramite web services, e verrà utilizzato dalle imprese di settore tramite interfaccia web. Il sistema interagisce applicativamente con un software di back end denominato SIECA. È in corso uno studio per esporlo sul portale Impresa.gov. Sistema Presenze Sistema di controllo delle presenze e gestione delle comunicazioni di malattia. Il software, su licenza Solari di Udine, si compone di un database Microsoft SQL ed un applicazione server web. Sono implementati job schedulati per l esportazione dei dati. SICOOP e PARIX SICOOP è l'applicazione sviluppata basata sull applicativo con Folium. Gestisce l'attività di vigilanza sulle società cooperative. La utilizzano: - tutti gli ispettori sul territorio (800 ca) per visionare i fascicoli delle cooperative e per inviarci i verbali delle ispezioni; - personale del Ministero per esaminare i verbali degli ispettori, gestire i pagamenti dei compensi, ed altre fuzioni. PARIX è l'interfaccia per la consultazione del db Registro Imprese (che alimenta anche SICOOP) che fornita da Infocamere. MISE Appendice 1 al Capitolato tecnico Pagina 18 di 20
Ministero dello Sviluppo Economico UFFICIO PER GLI AFFARI GENERALI E PER LE RISORSE Capitolato tecnico relativo alla gara per l affidamento dello sviluppo di un sistema software di gestione e ottimizzazione dei processi interni, per il miglioramento della produttività e dell informatizzazione della DG-PMI-EC CIG N. 3193330347 COSE è un applicazione che raccoglie i dati dell'albo delle cooperative (gestito da Infocamere) li integra e li elabora con quelli del Registro Imprese, con quelli dell'agenzia delle entrate e con quelli delle Associazioni di rappresentanza del movimento cooperativo. Viene utilizzata prevalentemente dagli ispettori per effettuare visure camerali e da svariati Uffici della DG. TuOpreventivatOre TuOpreventivatOre è lo strumento per confrontare - in base alla loro convenienza economica i preventivi r.c auto di tutte le imprese presenti sul mercato. Il servizio gestito dal MiSE è gratuito e anonimo, per usufruirne l'utente deve effettuare una registrazione dove basta fornire un indirizzo e-mail valido dove ricevere i preventivi. Il progetto TuOpreventivatOre è un architettura basata su 8 server, 4 dedicati all ambiente di produzione e 4 dedicati all ambiente di test, tutti i server sono virtuali ed utilizzano Linux REDHAT EE, risiedono sulla piattaforma vmware. L ambiente di test è utilizzato dalle compagnie di assicurazioni per testare le tariffe assicurative, l accesso all applicativo è filtrato attraverso gli indirizzi IP comunicati dalle compagnie. Sicoge L Amministrazione, per la gestione della contabilità, si avvale di un software denominato SICOGE erogato in modalità ASP dalla Ragioneria Generale dello Stato. Attualmente non vi sono interazioni con tale strumento e gli utenti del Ministero vi accedono direttamente. A questa Amministrazione è delegato, principalmente, il compito di gestire le autorizzazioni all accesso, lettura e scrittura, sui vari capitoli e di fornire supporto agli utenti interni. La Ragioneria Generale dello Stato mette inoltre a disposizione un sistema del tutto analogo con dati fittizi per effettuare test e training. Eventuali ulteriori informazioni possono essere reperite sul sito del Ministero dell economie e delle finanze. SPT L Amministrazione, per la gestione degli stipendi, si avvale del software erogato in modalità ASP denominato SPT. A questa Amministrazione è delegato il compito di fornire supporto agli utenti. Eventuali ulteriori informazioni possono essere reperite sul sito del Ministero dell economie e delle finanze. Sistemi in via d introduzione MISE Appendice 1 al Capitolato tecnico Pagina 19 di 20
Nelle politiche di sviluppo del sistema informativo del Ministero sono stati individuati alcuni progetti che saranno implementati entro i prossimi 12 mesi. Di seguito se ne delineano le principali caratteristiche sottolineando il fatto che l attuale fase non permette di descrive li in maniera esaustiva Anagrafica del personale: sistema di gestione del personale del Ministero in modalità integrata con altri applicativi; Sistema di gestione della spesa: sistema per la rendicontazione, programmazione e controllo delle spese a fattor comune del Ministero; Sistema di gestione delle richieste: workflow di gestione web di richieste a carattere informatico; Videoconferenza: sistema di videoconferenza tra postazioni e conference room. MISE Appendice 1 al Capitolato tecnico Pagina 20 di 20