Ȯ. 0;.". ~- '~ j'~ Procura della Repubblica presso il Tribunale di Nola. Documento Tecnico

Ȯ. 0;.". ~- '~ j'~ Procura della Repubblica presso il Tribunale di Nola Per l'acquisizione dei servizi di noleggio a supporto delle attività di intercettazione di telecomunicazioni Premessa La Procura della Repubblica di Nola ha l'obiettivo di acquisire alcuni dei servizi necessari all'effettuazione delle operazioni di intercettazione di telecomunicazione con le modalità di cui al presente documento tecnico. Il Fornitore, sulla base del presente documento, dovrà presentare una offerta tecnica ed economica che descriva nel dettaglio le modalità e le caratteristiche dei servizi offerti, nonché le infrastrutture necessarie per la loro erogazione. L'offerta, ai fini di confronto, deve essere formulata in conformità all'indice riportato nel presente documento e costituirà la componente tecnica dell'offerta complessiva da sottoporre alla di questo ufficio. Definizioni e acronimi Nell'ambito del presente documento sono usati i seguenti termini ed acronimi: Amministrazione Ufficio PM PG GIP DM Operatore Contratto quadro Fornitore Operazione Intercettazione Amministrazione centrale della Giustizia Pubblico Ministero Polizia Giudiziaria Giudice per le Indagini Preliminari Decreto Ministeriale Operatore di telecomunicazioni cioè impresa autorizzata a fornire una rete pubblica di telecomunicazioni Contratto sulla base del quale sono erogati i semzl oggetto del presente capitolato Impresa fornitrice del servizio di intercettazione Operazione di intercettazione di telecomunicazioni; nel presente capitolato con il termine operazione si intende indicare la somma delle attività, realizzate nel periodo temporale stabilito dal decreto di intercettazione, necessarie a porre sotto controllo una utenza di telecomunicazioni ai fini di indagine. singola intercettazione e memorizzazione di una comunicazione e dei suoi dati esterni. ;,,~,~_~~4r~'-;< ~flij.~\i.i~~,

Ascolto Bersaglio Sale di ascolto C.I.T. Posto di Ascolto CC Dati esterni Listino Repertorio LAN, Local Area Network LAN remota ISDN ISDN/BRI ISDNIPRI operazione di ascolto e visualizzazione dei dati risultato di una operazione di intercettazione di telecomunicazione Utenza di telecomunicazione posta sotto intercettazione I locali della Procura in cui confluiscono i flussi informativi provenienti dagli operatori. Centro di Intercettazioni di telecomunicazioni, i locali destinati ad accogliere i sistemi informatizzati di intercettazione oggetto del presente capitolato e, di norma, comprendenti le sale di ascolto Postazione del sistema dedicata all'ascolto e visualizzazione dei dati risultato di una operazione di intercettazione Contenuto della Comunicazione Dati che caratterizzano ed individuano la comunicazione intercettata. Sono anche detti, con una terminologia più tecnica, dati correlati alla comunicazione decreto interministeriale del 26 aprile 2001, pubblicato sulla G. U. 7/5/2001, n. 104, è il listino con cui sono stabiliti i corrispettivi per le prestazioni obbligatorie per gli operatori di telecomunicazione sino all' approvazione del Repertorio tecnico, in via di definizione, in cui sono elencati gli obblighi e i corrispettivi per gli operatori di telecomunicazione così come previsto dal nuovo Codice delle Comunicazioni Apparati e collegamenti che realizzano una rete di comunicazione tra computers interna ad un edificio LAN interconnessa tramite apparati router con un'altra LAN tramite un collegamento geografico Integrated Services Digitai Network, rete basata su servizi trasmessivi digitali. Basic Rate Interface, connessione digitale basata su due canali B aventi capacità trasmissiva ciascuno di 64 Kbit/secondo e un canale D a 12 Kbits/secondo di segnalazione. PriInary Rate Interface, connessione digitale a 2 Megabit/secondo per la raccolta del traffico configurabile da un minimo di 15 canali B e un canale D di segnalazione ad un massimo di 30 canali B ed un canale D. Pagina 2 di 231

Ci Il servizio di intercettazione oggetto della presente riguarda i flussi informativi provenienti dai seguenti operatori: Telecom TIM Vodafone Omnitel Wind H3G (contenuto e dati esterni); (contenuto e dati esterni); (contenuto e dati esterni); (solo contenuto); (contenuto e dati esterni). E, sempre al momento, i seguenti servizi: telefonia fissa, telefonia mobile TACS, GSM, GPRS, UMTS, Decodifica traffico internet, decodifica servizio fax, servizi di invio messaggi di testo SMS, servizi di invio videomessaggi MMS; servizio di localizzazione I flussi informativi dei diversi operatori seguono diversi protocolli trasmissivi, (oggi proprietari di ognuno, ma tutti comunque assimilabili agli standard ETSI e saranno resi disponibili al Fornitore aggiudicatario della presente indagine. L'emanazione del Repertorio, potrà comportare la modifica dei protocolli attuali e l'introduzione di ulteriori rispettando l'aderenza agli standard ETSI. I protocolli, del tipo User to USer Tranfer Protocol (UUS TP), sono utilizzati per il trasferimento dei dati correlati alle chiamate dai dispositivi per le intercettazioni giudiziarie istallati presso gli operatori a quelli presenti presso gli Uffici (CIT). La figura seguente illustra lo scenario di riferimento nella distribuzione a scopo di giustizia. dei servizi di intercettazione Pagina 3 di 231

Acquisizione -.., dei servizi di noleggio a supporto delle attività di intercettazione di Rete Operatore IIF Dati Comunica zio INI Dominio dell'operatore Dati Amministrativi Dati Correlati IRI Contenuto Comunicazioni CC I\~~ Dominio dell'ag Hll : HI2... ). o. H13. LEMF LI handover interface IIF = intemal interception funetion 1NI = internai network interface Intercettazioni HIl = administrative information Hl2 = intercept related information [IRI] H13 = content of communication [CC] Giudiziarie Pagina 4 di 231

Oggetto della fornitura La fornitura consiste nella disponibilità dei seguenti servizi: 1. noleggio di apparati per l'intercettazione di telecomunicazioni locali e remote (In tale servizio è compresa la disponibilità dei posti di ascolto remoti dei router con cui effettuare il collegamento ed il collegamento stesso ma non la LAN remota. La tecnologia ISDN è il requisito tecnologico minimo per la realizzazione del collegamento) mediante l'installazione, la configurazione e le funzionalità di un sistema informatizzato di telecomunicazioni dimensionato secondo i criteri di cui al presente documento, rispondente ai requisiti funzionali, architetturali e di sicurezza di seguito riportati, in grado di erogare il servizio di intercettazione con i livelli di servizio richiesti; 2. formazione del personale che gestirà ed utilizzerà il sistema informatizzato 3. manutenzione correttiva, adattativa ed evolutiva del sistema 4. assistenza all'esercizio operativo del sistema 5. dismissione del sistema e la consegna della documentazione necessaria alla lettura dei dati dopo la fine del rapporto contrattuale. 6. Affiancamento al personale dell'ufficio, nella fase di avviamento, di personale tecnico del Fornitore da utilizzare limitatamente al monte di giorni/uomo richiesti. I costi delle linee ISDN e/o dati, necessarie al trasporto delle comunicazioni intercettate in locale ed in remoto, nonchè i loro dati esterni, fanno parte della presente fornitura. La LAN, necessaria alla connessione delle componenti del sistema informativo, è parte della presente fornitura. Sarà cura della ditta provvedere al cablaggio fisico ed alla interconnessione a livello di LAN tra i server e la/e sale di ascolto. Il servizio di intercettazione di telecomunicazioni mediante l'installazione, la configurazione e le funzionalità di un sistema informatizzato. Il servizio di intercettazione di telecomunicazione prevede la istallazione di un sistema nei locali del CIT individuati dall'ufficio di Procura; tutte le componenti del sistema dovranno essere esclusivamente installate nei predetti locali. Non è concesso che il sistema su cui si effettueranno le operazioni abbia elementi, sia hardware che software, collocati al di fuori degli spazi individuati dall'ufficio fatto salvo gli apparati di interconnessione e le postazioni di ascolto ubicati presso la sede remota Il sistema sarà quindi configurato nella sua funzionalità tecnica, dal Fornitore. Il Fornitore dovrà indicare, in fase di offerta, il numero massimo di postazioni di ascolto che il sistema potrà gestire senza riconfigurazioni o potenziamenti hardware. Inoltre il Fornitore dovrà indicare il numero massimo di postazioni ottenibili con una riconfigurazione o potenzi amento hardware del sistema. Il sistema informatizzato sarà installato presso il CIT della procura di Nola. Pagina 5 di 23 I

Specifiche funzionali Acquisizione dei sen;izi di noleggio a supporto delle attività di intercettazione di telecomunicazioni Le fasi esecutive, del processo di gestione di una operazione di intercettazione, da parte dell'ufficio di Procura (trascurando per mera necessità di sintesi la descrizione del processo di autorizzazione o convalida del Giudice in quanto ininfluente ai fini del presente documento), sono descritte nella figura che segue. Decreti di disposizione o di proroga per l'operazione Attivazione operazione o sua proroga Pubblico Ministero Personale dell'ufficio Si Registrazione ai fini contabili dell' esecuzione dell' operazione o della sua proroga Memorizzazione, ascolto e visualizzazione delle comunicazioni consegnate dagli operatori di telecomunicazione E' neccesario estendere il periodo di indagine? No Personale di Polizia Giudiziaria Chiusura di una operazione ed archi viazione delle comunicazioni dei dati memorizzati e Personale dell'ufficio Emissione riscontri contabili per la congruità delle fatturazioni Il sistema informatizzato, richiesto all'offerente, deve poter essere di supporto nelle differenti fasi e per i diversi fini rappresentati. L'emissione del decreto (di disposizione o proroga) è competenza del PM che, ottenuta l'autorizzazione o la successiva convalida del GIP, investe della sua esecuzione il personale Pagina 6 di 23 I

Amministrativo ed il personale di Polizia Giudiziaria delegata alle indagini. Il sistema informatizzato deve quindi disporre di funzioni che permettano la: o Gestione dell'operazione (per il personale Amministrativo addetto alla gestione operativa); o Gestione dell'indagine (per il personale della Polizia Giudiziaria delegato alle indagini); o Gestione amministrativa dei decreti (per il personale amministrativo addetto alla gestione contabile). Con un maggiore dettaglio le precedenti funzioni si realizzano con la composizione di ulteriori funzioni. Come requisito minimo esse sono: Gestione dell'operazione (per il personale Amministrativo addetto alla gestione operativa): o Attivare una operazione; o Controllare l'operazione (gestione richieste di attivazione, gestione scadenze e proroghe); o Chiudere una operazione; o Gestire la sicurezza e creare utenze (assegnare il decreto ad un gruppo di ascolto); o Produrre copie, anche parziali, per gli aventi diritto del1e informazioni risultato di una operazione identificando e tracciandone il destinatario; o Archiviare le informazioni ottenute al termine di una operazione (le informazioni risultato di una operazione devono essere archiviate su un supporto mentre i dati prodotti dai PG nel corso del1'indagine devono essere archiviati su un altro supporto); o Rispondere ad interrogazioni sul10 stato del1e operazioni, quali: o visualizzare il numero delle memorizzazioni effettuate, o visualizzare le memorizzazioni per periodo, o verificare quale sia il gruppo di ascolto della PG assegnatario, o verificare il numero del1e copie prodotte e il destinatario di tali copie; o Gestire e monitorare l'intero sistema, ovvero: o effettuare il monitoraggio sugli elementi architetturali del sistema e dei suoi coliegamenti per verificame efficienza, funzionalità e tasso di occupazione di banda; o effettuare il monitoraggio dei log di sistema per prevenire guasti o l'utilizzo non corretto del1e risorse del sistema; o salvare ed ordinare i files di log del sistema; o ripristinare il corretto stato del sistema dopo eventuali situazioni di cattivo funzionamento; o rilasciare nuove versioni del software di base o applicativo; Gestione dell 'indagine (per il personale del1a Polizia Giudiziaria delegato al1e indagini): o produrre le annotazioni relative al1e comunicazioni visionate o ascoltate (bozze di verbali o trascrizioni); o consultare le memorizzazioni, gestione annotazioni, visualizzazione di data e ora di ricezione, visualizzazione del tipo di comunicazione (voce, fax, SMS, etc. etc.); o ordinare le memorizzazioni secondo differenti criteri; o avvisare del1'inizio di una o più memorizzazioni; o cambiare a discrezione la comunicazione in ascolto con un'altra; o disporre di uno strumento di elaborazione dei files audio per migliorarne l'ascoltabilità tramite filtraggi fonici o equalizzazioni (la memorizzazione originale non deve essere però modificata); o mandare in stampa i dati di cui l'operatore ha diritto. Pagina 7 di 231

I o Per gli operatori di telefonia mobile il sistema deve visualizzare i seguenti dati (TACS; GSM; GPRS; UMTS): o Chiamato, o Chiamante, o Data e ora di inizio gglmmlaaaa/ hh/mm1ss, o Cella, direzione e coordinate del bersaglio, o Cella, direzione e coordinate dell'altro, o Centrale del bersaglio; o Centrale dell'altro; o Tracciamento del bersaglio; o Data e ora di fine ggimm/aaaa hh/mmlss; o Conferenza a tre; o Durata; o Numero IMEI; o Visualizzazione in chiaro degli SMS; o Visualizzazione in chiaro delle trasmissioni dati in GPRS e UMTS, o Visualizzazione in chiaro delle trasmissioni WAP ed Internet (GSM; GPRS; UMTS); o Numero IMPSI; o Visualizzazione in chiaro degli MMS (GSM; GPRS; UMTS); o Per gli operatori di telefonia fissa il sistema deve visualizzare i dati; o Chiamato; o Chiamante; o Data e ora di inizio gglmmlaaaa hh!mmlss; o Data e ora di fine gglmmlaaaa hh/mm1ss; o Durata; o Visualizzazione in chiaro degli SMS; o Nr. Telefonico della cabina pubblica; o Ubicazione fisica della cabina; o Nr. Della carta prepagata, carta di credito o equipollente; o Gestire la chiamata a tre; o Positioning della chiamata sulla base dei dati GPS/GSM forniti dall'operatore telefonico; o Analisi dei dati di traffico con possibilità di incrocio tra utenze diverse. Gestione amministrativa dei decreti (per il personale Amministrativo addetto alla gestione contabile). o Annotare i periodi di intercettazione per decreto (di esecuzione o proroga), per bersaglio e per tipologia di intercettazione al fine di contabilizzare gli impegni verso gli operatori e verso il Fornitore del sistema; o Consuntivare in funzione degli impegni contabilizzati, del Listino e del contratto quadro di fornitura del servizio, i corrispettivi al fine di fornire un supporto alla verifica di congruità con quelli richiesti dagli operatori e dal Fornitore del sistema. Il sistema, inoltre, deve soddisfare i seguenti requisiti: o consentire l'accesso agli utenti, sia amministrativi che di PG secondo i requisiti minimi di sicurezza di seguito riportati; o poter assegnare al personale di PG uno o più bersagli; o poter gestire la chiamata trattenuta; 1-. Pagina 8 di 231

indicare se un numero corrisponde ad un centro servizi;. o o salvare i pacchetti dati nel formato originale con cui sono consegnati; o riconoscere il caso di utilizzo di carte prepagate nazionali o internazionali; o riconoscere le comunicazioni DTMF; o riconoscere e gestire la fonia chiamante e la fonia chiamata su canali separati; o gestire correttamente la segnalazione del verso della chiamata; o permettere l'ascolto simultaneamente alla memorizzazione; o catturare e decodificare i fax; o catturare e decodificare il traffico internet; o implementare un meccanismo di protezione logica sul componente di mernorizzazione centralizzata delle informazioni intercettate atto a garantire l'integrità della stessa; o inserire propri originali; riferimenti temporali sulle memorizzazioni, senza alterare le informazioni o garantire nella fase di archiviazione su supporto la conformità e l'integrità della copia delle comunicazioni e dei loro dati esterni ricevuti dagli operatori con quelle presenti sulla componente di memorizzazione centralizzata meglio specificati nel seguito; o utilizzare un campionamento e codifica che non alteri la qualità della fonia; o permettere la classificazione delle telefonate per tipologia di importanza; o permettere di isolare conversazioni memorizzate o parti di esse e quindi memorizzarle su supporto esterno; o possedere un livello di affidabilità, mediante apposite ridondanze architetturali, che soddisfi elevati livelli di servizio, come nel seguito meglio descritto; o essere predisposto per l'archiviazione su più supporti di memorizzazione; o possedere una autonomia in caso di interruzione di energia elettrica (tramite Unit Power of Supply UPS) non inferiore a 20 minuti e tale da consentire la corretta chiusura del sistema. Specifiche architetturali L'architettura richiesta prevede un sistema accentrato di memorizzazione ed archiviazione. La struttura prevede una componente di memorizzazione ed archiviazione dei dati e delle fonie centralizzata che poi comunica attraverso una rete locale con un certo numero di posti di ascolto basati su personal computer. Sui personal computer saranno svolte le operazioni di ascolto ed analisi. Lo schema logico dell'architettura richiesta è riportato nel disegno che segue. Pagina 9 di 23 I

ISDN PROCURA interfaccia di telecomunicazione componente di memcrizzqzione centralizzata clelle infoffll(jzioni intercettate 10cal Area Netwark componente di post proce,;,;ing componente di memorizzazione dei dati risultata clelle attività clella P6 componente di memorizzazione dei archiviazione dati nece,;,;ari alle $U tiupporto clei dati - atti"jtà ammininratitle risultata dell 'operazione di intercettazione I I I I I I I con,;olle di gestione pustazioni di ascolto con,;olle onministrativa I ~ I I I I ROUTER I I I I I ROVTEI? ROUTE/l I r- - - - sala d'ascolto della PGesterne -~ -~ alla Procura ~- _Ir- (opziona/e) - - - -~ -~ --- _Ie- r- e- - t--~ L-- -~ _Iposfazùmi di ascolta postaz fan; di ascolta (PoJjzia Giudiziaria) (Palizia Giudiziaria) Pagina lodi 23 I

Oltre alle funzionalità richieste per le singole componenti, di seguito dettagliate, il sistema deve essere configurato in modo tale che non sia possibile alcuna perdita di informazione. Ovvero le componenti devono essere dimensionate in modo tale che tutte le informazioni ricevute dal componente di interfaccia di telecomunicazione siano correttamente ed integralmente memorizzate nel componente di memorizzazione centralizzata delle informazioni intercettate. Interfaccia di telecomunicazione Il componente hardware e software di interfaccia di telecomunicazioni dovrà ricevere i contenuti della comunicazione intercettata ed i suoi dati esterni trasmessi dagli operatori sui collegamenti ISDN esistenti con gli stessi. Le informazioni ricevute da questo elemento saranno quindi relative sia alla parte contenuto della "comunicazione" intercettata che alla parte dati esterni la comunicazione (se trasmessi sui collegamenti ISDN) per la qualificazione dei partecipanti alla comunicazione o per la visualizzazione dei servizi supplementari attivati dal bersaglio. La comunicazione ed i dati esterni saranno decodificati e correlati dal componente di interfaccia rispettando le specifiche dei protocolli successivamente specificati. Componente di memorizzazione centralizzata delle informazioni intercettate. Il componente di memorizzazione centralizzata riceve dall'interfaccia di telecomunicazione e quindi memorizza tutte le informazioni ottenute nel corso di una operazione di intercettazione. Le funzioni di tale componente sono: o collocare nella specifica area di memoria tutte le comunicazioni intercettate ed i dati esterni delle stesse nell' ambito di una operazione; o garantire l'accesso in sola modalità consultazione, alle comunicazioni intercettate o ai dati esterni delle stesse, solo alle persone opportunamente autorizzate; o garantire, mediante meccanismi di protezione logica, l'integrità della memorizzazione delle comunicazioni intercettate e dei dati esterni delle stesse; o conservare le comunicazioni intercettate ed i dati esterni delle stesse con opportuni meccanismi che non consentano perdita di informazioni; o inoltrare alle postazioni di ascolto presenti in sala di ascolto in tempo reale le comunicazioni intercettate ed i loro dati esterni. Questa ultima funzione ha due possibili modalità di esecuzione: o non è presente in sala un PG autorizzato, ovvero per la comunicazione ed i dati esterni da inoltrare non è considerato necessario l'ascolto e la visualizzazione in tempo reale, in questo caso la comunicazione ed i dati esterni intercettati saranno semplicemente memorizzati sul componente di memorizzazione; o è presente in sala almeno un PG autorizzato alla sua ricezione e per l'intercettazione è considerato necessario l'ascolto e visualizzazione in tempo reale, in questo caso, la comunicazione ed i suoi relativi dati esterni, oltre ad essere memorizzati sul componente di memorizzazione, devono essere inoltrati alla (alle) postazioni di ascolto dove è presente il personale di PG in attesa. Componente di memorizzazione dei dati risultato delle attività della PG. In tale componente saranno memorizzati i dati prodotti dal personale di PG durante le indagini (ad esempio la bozza del verbale di intercettazione, trascrizioni parziali o appunti). Le funzioni di questo componente sono di garantire l'accesso in lettura e l'accesso in scrittura alle sole persone opportunamente autorizzate e la corretta conservazione dei dati in esso contenuti. I Pagina I I di 23 I

I o Componente di memorizzazione per i dati necessari alle attività Amministrative. I dati che saranno contenuti in questo componente sono: I. i dati che consentono l'attivazione di una operazione, la sua gestione e quindi la sua chiusura; 2. i dati necessari alla gestione contabile delle operazioni. Inoltre in questo elemento sono memorizzate le informazioni del Listino e i dati relativi al contratto di fornitura del sistema per permettere la contabilizzazione automatica (funzione del decreto, della durata e della tipologia del1'operazione) degli importi al fine di fornire supporto alla verifica di congruità con i corrispettivi richiesti dagli operatori e dal Fornitore del sistema. Componente di post processing. Un componente specializzato permette di elaborare i dati ottenuti come risultato di una intercettazione tramite decodifiche o filtraggi (ad esempio per le comunicazioni Fax o per comunicazioni particolarmente disturbate). Queste elaborazioni devono essere realizzate senza alterare il contenuto della comunicazione originale. Archiviazione su supporto esterno dei dati risultato dell'operazione di intercettazione. Al termine formale del1'operazione tutti i dati raccolti per essa saranno archiviati su un supporto esterno la cui integrità sia comunque assicurata, e cancellati dal sistema informatizzato. I dati prodotti dal personale di PG saranno archiviati, su loro richiesta, su analogo supporto distinto da quel10 in cui saranno archiviate le prove acquisite nel corso dell'operazione. Anche questi dati saranno completamente e definitivamente rimossi dal sistema. Postazioni di ascolto. La postazione di ascolto sarà disponibile agli operatori di PG per svolgere le attività connesse allo svolgimento delle operazioni. Le funzioni che dovrà supportare questo componente saranno le funzioni che abilitano lo svolgimento delle attività come l'ascolto e la visualizzazione, in tempo reale, dei dati provenienti dalle comunicazioni intercettate, la possibilità di recuperare dati relativi a comunicazioni intercettate in precedenza, la possibilità di redigere appunti ed operare trascrizioni in formato elettronico delle comunicazioni intercettate. Deve essere presente una funzione che permetta di associare tali informazioni a una o più comunicazioni intercettate. Consolle di Gestione. La Consolle di Gestione è sotto la responsabilità dell'ufficio e possiede le funzioni descritte in precedenza. In particolare si pone l'attenzione sulla funzione di sicurezza associata a questa consolle. Infatti con le configurazioni attuate da questa componente sono allocate risorse macchina e sono definiti i diritti di accesso ai dati ed alle funzioni per le persone chiamate ad operare. La Consolle di Gestione è installata presso i locali del CIT e non è remota rispetto al sistema. L'accesso alle funzioni della consol1e di Gestione deve avvenire tramite una procedura di autenticazione. Consolle Amministrativa. La consolle Amministrativa è sotto la responsabilità dell'ufficio ; per il suo tramite il personale dell 'Ufficio ha la possibilità di ottenere un consuntivo economico rispetto gli impegni che dovrà congruire agli Operatori ed al Fornitore. Con le funzioni di questa consolle saranno associati ai decreti i bersagli e la durata della loro intercettazione. Sarà poi possibile gestire le proroghe per singolo decreto o singolo bersaglio in modo tale da avere chiaro l'impegno economico complessivo 1 Pagina 12 di 231

che sarà fatturato dagli operatori e dal Fornitore del sistema per ogni decreto e per ogni bersaglio. Le informazioni così ottenute permetteranno una più semplice ed agevole attività di verifica e successiva evasione delle fatture ricevute dall'ufficio. Questo ufficio, in considerazione del rilevantissimo numero di bersagli, della delicatezza del servizio e dell' elevato grado di efficienza da assicurare Specifiche di sicurezza I dati trattati e le operazioni svolte nel settore delle intercettazioni di telecomunicazioni sono coperti da segreto istruttorio. Il grado di attenzione, con cui avvicinare la materia, deve essere tale da garantire che si mettano in atto tutte le misure di tutela al rispetto del segreto e dell'integrità dell'informazione. Il sistema oggetto della presente indagine non è deputato alla tenuta del registro modo 37, ovvero del registro riservato dove devono essere annotate le operazioni di intercettazione di telecomunicazione. Il Fornitore è tenuto a fornire il servizio in modo tale che si conformi, comunque, alle regole minime di sicurezza di seguito individuate: l. l'operatore non deve poter cancellare nessun dato volutamente o per errore prima della cessazione del servizio; 2. le postazioni utilizzate per l'intercettazione, laddove realizzate con PC commerciali, devono essere inibite all'uso delle periferiche (Floppy, CD-ROM, porte USB ecc.); l'unica postazione che può estrarre dati dal sistema deve essere quella di masterizzazione. 3. deve essere previsto un server NTP per la definizione esatta dell' orario di sistema; 4. il tempo massimo di trasmissione dei dati tra la sede remota e la sede master deve essere in "tempo reale", dove per "tempo reale" si intende un ritardo massimo di 5 secondi; ciò al fine di dimensionare opportunamente i canali trasmessi vi. Individuazione degli elementi costituenti il sistema informativo fornito Il Fornitore è tenuto a fornire nell'offerta un documento di configurazione contenente gli elementi hardware e software costituenti il sistema che si accinge a fornire. Il documento di configurazione conterrà informazioni atte a individuare e identificare in modo chiaro e definito i seguenti aspetti: o hardware: le apparecchiature informatiche necessarie al sistema e tutte le infrastrutture di comumcazlone; o software di base: i sistemi operativi, il software delle basi di dati, il software necessario al funzionamento dei servizi; o software applicativo: i programmi utilizzati dal personale del CIT per espletare le funzioni richieste o basi dati: i file in cui sono memorizzate le informazioni di pertinenza del CIT; o informazioni inerenti le modalità di comunicazione quali router, firewall, proxy; Pagina 13 di 231

Acquisizione :., dei servizi di noleggio a supporto delle attività di intercettazione di Elenco delle Apparecchiature Per ogni elemento del sistema informativo (postazioni di ascolto, consolle, server, etc) - devono essere indicate le informazioni riguardanti: o identificativo univoco; o tipo di elemento; o modello e caratteristiche hardware; o sistema operativo o qualunque altra informazione necessaria ad identificare lo specifico elemento tipico. Caratteristiche del sistema per il controllo degli accessi informatici Il sistema dovrà essere munito di una procedura di autenticazione che permetta di identificare gli utenti del sistema. Solo gli utenti identificati avranno accesso alle risorse del sistema. A tal fine dovrà essere possibile: o accedere alle risorse del sistema informativo tramite una procedura di autenticazione che permetta di ottenere uno specifico insieme di privilegi, detto "profilo"; o rispettare la regola del "minimo privilegio" nella definizione dei profili, ossia assegnare ad ogni profilo solo i privilegi strettamente indispensabili per svolgere i compiti assegnatigli; o definire a livello di sistema, a livello di DBMS ed a livello applicativo gruppi e utenti prevedendo che ad ogni gruppo corrisponda un solo profilo, mentre ad un utente possano essere associati più profili; o definire almeno un gruppo per amministratori, utenti interni (personale amministrativo) e utenti esterni (personale di PG) a livello sistema, almeno un gruppo per amministratori ed utenti al livello DBMS ed almeno un gruppo per ogni tipologia di utenza a livello applicativo, sia quindi per il personale di PG che per il personale amministrativo; o che le procedure di autenticazione non prevedano il passaggio della parola chiave in chiaro sulla rete. o In aggiunta all' autenticazione mediante profilo accedere alle postazioni mediante l'utilizzo di un sistema di smart-card. Il Fornitore deve rendere, inoltre, possibile al personale dell'ufficio di definire procedure per: o assegnare ad ogni utente del sistema il proprio identificativo e la propria parola chiave; o aggiornare la parole chiave; o aggiungere, disabilitare, o modificare i profili di gruppi o utenti. Caratteristiche del sistema abilitanti il suo monitoraggio Al fine di prevenire situazioni di mal funzionamento o di violazione di sicurezza del sistema, è necessario che lo stesso effettui il tracci amento di tutti i mal funzionamenti che si sono verificati sulle sue unità fisiche, anche se recuperati dal sistema, e tutti i tentativi di accesso effettuati, riusciti o falliti, a livello di sistema, di database management system ed applicativo. Il tracciamento relativo ai mal funzionamenti sarà gestito dal Fornitore mentre il tracciamento relativo ai tentativi di accesso, separatamente per quelli riusciti e per quelli falliti dovrà essere reso disponibile all'ufficio. Pagina 14 di 231

La formazione del personale dell'ufficio Il servizio di formazione ha lo scopo di illustrare le funzionalità e della PG e di renderlo in grado di operare in autonomia. del sistema al personale dell 'Ufficio Per questo servizio si devono prevedere differenti categorie di utenti e differenti modalità di erogazione. Gli utenti del servizio di formazione Gli utenti coinvolti nella formazione saranno personale dell'ufficio e personale di PG. Quindi il servizio di formazione deve prevedere la presenza di tre tipologie di discenti: l. Personale che deve possedere le competenze per la gestione operativa del sistema (consolle di gestione), nel numero di persone; 2. Personale che deve possedere le competenze per la gestione amministrativa delle operazioni (consolle amministrativa); nel numero di persone; 3. Personale che deve possedere le competenze per l'uso del sistema come mezzo per la realizzazione delle operazioni; nel numero di persone. Il personale da formare sarà indicato dall'ufficio; per la sua formazione deve essere formulato nell'offerta tecnica un piano di formazione con indicati i contenuti delle sessioni formative ed i relativi giorni previsti. Le sessioni formative saranno effettuate nella sede del CIT. La manutenzione del sistema I servizi di manutenzione presentati in questo paragrafo saranno attivi per tutto il periodo di vigenza contrattuale tra l'ufficio ed il Fornitore. In generale i servizi di manutenzione evolutiva, adattiva e correttiva saranno svolti in orari concordati con l'ufficio anche notturni, evitando di interrompere il regolare funzionamento del CIT. La manutenzione da remoto (con apparati o per il tramite di apparati al di fuori dell'ufficio) è vietata. Manutenzione evolutiva L'esecuzione di interventi di manutenzione evolutiva può dipendere da differenti esigenze, quali: o riconfigurazioni derivanti dalla necessità di aumentare le postazioni di ascolto; o riconfigurazioni derivanti da insufficienti livelli di servizio o da insufficienti livelli di affidabilità o insufficienti prestazioni; o nuovi servizi di telecomunicazioni o evoluzione degli esistenti; o modifica dei protocolli di telecomunicazione; o nuove funzionalità richieste dall'ufficio di Procura. Pagina 15 di 231

I Il Fornitore dovrà garantire che tutti gli interventi di manutenzione evolutiva, sia effettuati di iniziativa che su richiesta dell'ufficio, che comportino modifiche tecnologiche e/o funzionali avvengano senza modificare l'operatività del sistema e senza danneggiare i dati memorizzati nello stesso prima di tali interventi. Manutenzione ordinaria I servizi di manutenzione ordinaria comprendono la manutenzione adattativa e correttiva sono compresi nel servizio e sono erogati di iniziativa del Fornitore o su richiesta dell 'Ufficio. La manutenzione ordinaria è relativa all'aggiornamento dell 'hardware, del software di base e del software applicativo in modo che il sistema sia costantemente aggiornato e privo di errori e malfunzionamenti in tutte le sue componenti, ivi comprese le postazioni di ascolto. L'assistenza all'esercizio operativo del sistema (Help desk) Il Fornitore deve rendere disponibile un centro di assistenza telefonico indicato con il termine "Help desk" al quale l'ufficio possa segnalare guasti o mal funzionamenti e le relative richieste di intervento; tale servizio dovrà essere attivo per tutto il periodo di vigenza contrattuale tra l'ufficio ed il Fornitore. Il ServlZlO di "Help desk" darà risposta alle richieste di assistenza, inoltrate dal personale amministrativo o di Polizia Giudiziaria, attraverso l'intervento telefonico di personale specializzato. Tale personale risolverà, con indicazioni e suggerimenti, i problemi rappresentati dagli utenti quando possibile, altrimenti attiverà le procedure per determinare l'intervento "on site" mediante il personale addetto alla manutenzione. Non è consentito l'uso di strumenti di controllo da remoto delle postazioni di ascolto o di altri componenti del sistema. In particolare il servizio dovrà provvedere a: o accogliere e registrare le richieste di assistenza; o risolvere i problemi più ricorrenti, di non elevata complessità; o smistare a strutture di assistenza specifiche la risoluzione dei problemi non risolvibili; o chiudere l'intervento registrandone il risultato; o controllare i processi di risoluzione attivati e verificarne gli esiti; o rendicontare l'ufficio sullo stato dell'intervento; o analizzare le statistiche sugli interventi, al fine di identificare i fabbisogni e definire azioni di prevenzione dei problemi. La dismissione del sistema Tale evento si verifica alla fine dell'eventuale rapporto contrattuale tra il Fornitore e questa Procura. Quindici (15) giorni lavorativi precedenti la data del termine per il rapporto contrattuale il Fornitore è tenuto a comunicare ali 'Ufficio la sua disponibilità a rimuovere il sistema. Ottenuta l'autorizzazione a procedere il Fornitore attenderà la chiusura di tutte le operazioni attive sul sistema I Pagina 16 di 231

O.. Acquisizione dei servizi di noleggio a supporto delle attività di intercettazione di I. alla data di comunicazione e l'archiviazione su supporto di tutti i dati presenti sul sistema; quindi, procederà alla distruzione di ogni elemento o dato informatico presente nel sistema. Al termine del contratto quadro, ovvero dell'ultima archiviazione, rimuoverà il sistema dai locali messi a disposizione dall'ufficio e riconsegnerà gli stessi nello stato in cui sono stati ricevuti. Il Fornitore permetterà ali 'Ufficio prima della rimozione la completa ispezione del sistema per verificare che ogni elemento o dato informativo presente sullo stesso sia stato distrutto.. Ogni spesa di imballaggio, trasporto o spedizione conseguente alla rimozione è a carico del Fornitore. Affiancamento al personale dell'ufficio Il Fornitore dovrà rendere disponibile su richiesta dell'ufficio proprio personale tecnico affinché il personale amministrativo dell'ufficio sia affiancato, nella conduzione della consolle di gestione e della consolle amministrativa Remotizzazione dell'ascolto Il Fornitore, laddove richiesto dall'ufficio, collegherà la LAN del sistema informatizzato, tramite router, alla LAN presente nella sala di ascolto della PG remota. Pagina 17 di 231 I

Manutenzione evolutiva Gli interventi di manutenzione evolutiva saranno eseguiti su iniziativa del Fornitore, in relazione ad esigenze rilevate dallo stesso, o su richiesta dell'ufficio. Gli interventi di manutenzione devono essere eseguiti senza fermo del sistema, e la loro pianificazione temporale, in merito alla loro durata ed al loro momento di esecuzione, deve essere sottoposta alla approvazione dell'ufficio. Tutti gli intereventi effettuati dovranno risultare da un apposito verbale firmato dal Responsabile di progetto del Fornitore e dal Referente dell'ufficio. Tutti gli interventi che implicano una modifica della configurazione (hardware o software) del sistema devono essere completati, entro venti giorni lavorativi dal termine degli stessi, allineando la documentazione in possesso dell 'Ufficio. Manutenzione ordinaria Per quanto riguarda la manutenzione adattativa e correttiva le stesse sono attuate su segnalazione dell'ufficio all'help desk o su iniziativa del Fornitore, per intervenire con aggiornamenti al software di base o su anomalie non bloccanti, ovvero, su richiesta dell'ufficio a fronte di malfunzionamenti bloccanti l'attività di intercettazione. L'assistenza all'utilizzo operativo del servizio (Help desk) Il servizio dovrà essere attivo tramite risposta telefonica dal lunedì al sabato non festivi dalle ore 8.00 alle ore 20.00. Per erogare il servizio il Fornitore provvederà ad attivare un numero telefonico. Oltre tale orario dovrà essere attiva una casella di posta elettronica, un fax ed una segreteria telefonica per ricevere le richieste di assistenza. Il servizio è attivato da una richiesta di assistenza da parte di un Ufficio. L'Help desk eroga una funzione di assistenza di primo livello che può risolvere direttamente il problema, se in grado di farlo, rigettare la richiesta in quanto non di sua competenza o provvedere a smistare la richiesta alle altre strutture di assistenza del Fornitore disponibili. In ogni caso l'help desk deve aprire formalmente una richiesta di intervento che chiuderà quando l'intervento sarà completato con la avvenuta soddisfazione della richiesta. Affiancamento al personale dell'ufficio L'Ufficio potrà decidere di avvalersi delle giornate uomo quotate dal Fornitore in sede di offerta per il periodo di tempo che riterrà necessario sino ad esaurimento del montante che avrà contrattualizzato. Con l'espressione giornate uomo si considerano otto ore di lavoro anche non consecutive ed anche utilizzate in giorni diversi. Pagina 18 di 231

-.. Ci L'affiancamento verrà utilizzato durante l'orario 8.30-13.00 e 14.00-17.30 giorni festivi compresi e dovrà essere garantita una reperibilità telefonica nelle ore restanti. Il Fornitore espleterà questo servizio fornendo sue risorse specializzate, per le mansioni previste, che nella loro attività saranno tenute al rispetto delle disposizioni emanate dall'ufficio. Qualora le risorse fomite non risultassero idonee allo svolgimento delle mansioni richieste l'ufficio potrà richiederne la sostituzione che, in questa eventualità, dovrà avvenire entro 5 giorni lavorativi dalla medesima. Remotizzazione dell'ascolto Il Fornitore, se richiesto, dovrà collegare il sistema con le postazioni di ascolto della Polizia Giudiziaria. Tale collegamento sarà realizzato a cura del Fornitore con appositi routers. Il Fornitore sarà tenuto, altresì, ad installare le postazioni di ascolto remote sulle LAN presenti nei locali che gli verranno messi a disposizione. In considerazione della delicatezza delle intercettazioni trattate, del numero elevato, del numero significativo di postazioni di ascolto remotizzate, questo ufficio darà particolare importanza all'utilizzo di canali di comunicazione sicuri e dedicati al servizio, in luogo di canali commutati o di altra tipologia. Parametri dimensionali Il Fornitore è tenuto a dimensionare il Sistema offerto sulla base dei seguenti parametri dimensionali dell'ufficio. l. Componente interfaccia di telecomunìcazioni: deve essere in grado di gestire, senza perdita di informazioni, fino a flussi PRI ognuno da 32 canali a 64 Kbit al momento della consegna,.fino a flussi PRI ognuno da 32 canali a 64 Kbit senza riconfigurazione, fino a _ flussi PRI ognuno da 32 canali a 64 Kbit con riconfigurazione, decodificare i protocolli trasmissivi e consegnare la comunicazione ed i dati esterni alla stessa al componente di memorizzazione accertato in tempo reale 2. Componenti di memorizzazione accentrata: devono essere in grado di gestire almeno sino a: _ profili diversi decreti di intercettazione bersagli diversi --- ore di comunicazione 3. Numero di bersagli al giorno: deve essere possibile intercettare giornalmente sino a bersagli 4. Numero di posti di ascolto: il sistema deve essere in grado di gestire sino a: posti al momento della consegna posti senza riconfigurazione posti con riconfigurazione 5. Numero di stampanti di rete: devono essere installate fino ad un massimo di n. stampanti Pagina 19 di 23 I

et 6. Numero di unità di masterizzazione: devono essere installate fino ad un massimo di n. postazioni di masterizzazione. 7. Montante massimo di giorni/uomo richiesti per l'assistenza specialistica in fase di avvio del servizio di intercettazione di telecomunicazioni: 8. Numero di posti di ascolto remoti: sedi Pagina 20 di 231