DIREZIONE GENERALE ORGANIZZAZIONE

DIREZIONE GENERALE ORGANIZZAZIONE GARA PER L AFFIDAMENTO DEI SERVIZI IN OUTSOURCING DI ASSISTENZA DEL PROTOCOLLO INFORMATICO E DELLA GESTIONE DOCUMENTALE DEL MINISTERO DEI BENI E DELLE ATTIVITÀ CULTURALI E DEL TURISMO CAPITOLATO TECNICO Riferimenti Indirizzo: Via del Collegio Romano, 27 00187 ROMA. e-mail espi@beniculturali.it e-mail marco.coluzzi@beniculturali.it tel. 0667232882 fax 0667232946 Capitolato Tecnico Pag. 1 di 34

INDICE 1 Premessa 4 2 Oggetto della fornitura 5 3 Il contesto 6 3.1 Linee generali del progetto 6 3.2 Quadro normativo di riferimento 6 4 Attività propedeutiche alla gestione della fornitura 8 5 Modalità di esecuzione della fornitura 9 5.1 Regole generali della fornitura 9 5.2 Attività ed infrastrutture per l erogazione del servizio. 9 5.2.1 Attività propedeutiche 9 5.3 Attività per l erogazione del servizio. 10 5.3.1 Struttura del Data Center del Fornitore 10 5.3.2 Locali 10 5.3.3 Connettività di Rete 11 5.3.4 Hardware e software di base 11 5.3.5 Server dedicati 12 5.3.6 Sistemi di storage 12 5.3.7 Software applicativo 13 5.4 Punto di accesso ai servizi 13 5.5 Sistema di controllo dei livelli di servizio 14 5.6 Requisiti e descrizione dei servizi 16 5.6.1 Requisiti di comunicazione di rete 16 5.6.1.1 Requisiti dei server 16 5.6.2 Requisiti di continuità del servizio 16 5.6.3 Requisiti organizzativi 16 5.7 Servizi di gestione dei sistemi e dell applicazione 16 5.7.1 Gestione dei Sistemi 16 5.7.2 Configuration Management 17 Capitolato Tecnico Pag. 2 di 34

5.7.3 Registrazione dello stato di configurazione. 17 5.7.4 Problem management 18 5.7.5 Amministrazione database 18 5.8 Manutenzione adeguativa ed evolutiva 18 5.9 Firma Digitale e scambi con altre Amministrazioni 20 5.10 Impronta del documento informatico 20 5.11 SUE - Sistema informativo Uffici Esportazione. 21 5.11.1 Funzionalità del SUE 21 5.12 Bacheca di amministrazione 22 5.13 Help desk 23 5.14 Sistema di rendicontazione sull utilizzo del servizio 24 5.14.1 Rendicontazione 24 5.15 Disaster Recovery 24 5.16 Qualità 25 5.16.1 Piano della qualità 25 5.17 Penali 25 5.18 Piani di Sicurezza 25 5.18.1 Piani di Sicurezza del Data center del Fornitotre 25 5.18.2 Piano di sicurezza per il trattamento dei documenti elettronici 26 6 Durata, affiancamento, passaggio di consegne 26 7 Piano di migrazione e collaudo 27 8 Parametri per il dimensionamento 27 8.1 Dimensionamento dei server 28 8.2 Dimensionamento dell Help desk 29 9 Monitoraggio, garanzia e professionalità 29 9.1 Organizzazione del lavoro e monitoraggio 29 9.2 Garanzia 29 9.3 Profili professionali 29 10 Terminologia 33 11 Acronimi 34 Capitolato Tecnico Pag. 3 di 34

1 Premessa Il presente Capitolato ha lo scopo di definire i requisiti tecnico-operativi relativi alla fornitura del servizio, i parametri necessari al dimensionamento e all identificazione dei costi, le modalità di erogazione, la qualità, i livelli di servizio richiesti e adeguati al mantenimento del Sistema di protocollo informatico ESPI (Estensione Protocollo Informatico). Inoltre, il Capitolato ha lo scopo di definire i requisiti relativi alla manutenzione applicativa e alla gestione dei servizi di supporto agli utenti. Di seguito con il termine Outsourcer ci si riferisce alla società attualmente fornitrice del servizio di outsourcing; con Fornitore alla società, ovvero a una RTI o consorzio, aggiudicataria della fornitura; con Amministrazione Contraente (AC) o Ministero o MIBACT al Ministero dei beni e delle attività culturali e del turismo; con il termine AOO ci si riferisce alle Aree Organizzative Omogenee del Ministero definite con D.D. 8 ottobre 2009, n.2; con il termine Gruppo di Coordinamento (GC) ci si riferisce al personale facente parte del Servizio di cui all art. 61 del DPR 445/2000, incaricato dalla Direzione Generale per l organizzazione gli affari generali l innovazione il bilancio ed il personale di coordinare la gestione del servizio di protocollo informatico per l Amministrazione Contraente. Il capitolato si completa dei seguenti allegati: Allegato 1: Allegato 2: Allegato 3: Allegato 4: Allegato 5: Allegato 6: Organigramma del Ministero ed elenco delle AOO Descrizione delle funzionalità applicative, delle caratteristiche tecnologiche del Sistema applicativo ESPI presso l Outsourcer attuale e relative piattaforme attualmente in uso Requisiti di qualità e livelli di servizio specifici della fornitura Descrizione dell infrastruttura ICT del MIBACT Curricula vitae dei soggetti offerti Identificazione nominativa curricula offerti Il capitolato è disponibile sul sito istituzionale del MIBACT www.beniculturali.it al link Gare, appalti e concorsi. Capitolato Tecnico Pag. 4 di 34

2 Oggetto della fornitura Oggetto della fornitura è l affidamento del servizio in outsourcing del protocollo informatico del MIBACT. Tale servizio è erogato attraverso l applicativo informatico denominato ESPI, di proprietà del Ministero. Il servizio si articola nelle seguenti attività: a) gestione e manutenzione del sistema di protocollo informatico secondo i livelli di servizio attuali (cfr. Allegato 3); b) manutenzione evolutiva, adeguativa e migliorativa del sistema; c) manutenzione correttiva; d) avvio del sistema di protocollazione informatica nelle AOO non ancora operative e nelle AOO derivanti dalla riorganizzazione dell AC, ovvero di nuova costituzione; e) associazione e diffusione di servizi e applicazioni da integrare con il sistema di protocollo; f) gestione della PEC e della documentazione elettronica allegata; g) verifica e visualizzazione dei documenti firmati digitalmente; h) servizio di help-desk e assistenza funzionale agli utenti; Per le modalità di esecuzione della fornitura si rimanda al capitolo 5 del presente capitolato. Capitolato Tecnico Pag. 5 di 34

3 Il contesto 3.1 Linee generali del progetto L applicativo ESPI è stato sviluppato dal Ministero nel 2003 ed è stato diffuso in modalità ASP agli Uffici centrali e periferici, attraverso i canali connettivi del Servizio Pubblico di Connettività (SPC). Nel servizio sono compresi assistenza in linea, disponibilità di un numero verde e l accesso al sito web dedicato all attività. Per la gestione del protocollo informatico, ogni AOO è identificata univocamente e accede all applicativo attraverso il nodo centrale della Rete Privata Virtuale (RPV), allocato presso la sede del Collegio Romano. L Outsourcer eroga il servizio attraverso un infrastruttura fisica modulare e dedicata a tutto il processo, dislocata presso la sua sede principale, in ambiente dedicato. Ad integrazione delle funzionalità del sistema di protocollo previste dalla normativa, il Ministero ha sviluppato due applicativi strettamente collegati a ESPI, denominati Bacheca di amministrazione (Bacheca) e Sistema informativo degli Uffici Esportazioni (SUE). I due applicativi svolgono processi che necessitano dell interazione con ESPI. Il fornitore provvederà esclusivamente a mantenere la connessione tra ESPI e i suddetti applicativi. La gestione di Bacheca e SUE non è oggetto di questa fornitura. 3.2 Quadro normativo di riferimento Si riportano di seguito le norme principali che regolano il Servizio di protocollo informatico: L. 7 agosto 1990, n. 241 Nuove norme sul procedimento amministrativo e di diritto di accesso ai documenti amministrativi ; DPR 28 dicembre 2000, n. 445: Testo unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa; D.lgs. 30 giugno 2003 n. 196: Codice in materia di protezione dei dati personali ; DPR 11 febbraio 2005, n. 68 Regolamento recante disposizioni per l'utilizzo della posta elettronica certificata ; D.lgs. 7 marzo 2005, n. 82 Codice dell Amministrazione digitale (CAD); D.lgs. 4 aprile 2006, n 159; DPCM 22 febbraio 2013, recante «Regole tecniche in materia di generazione, apposizione e verifica delle firme elettroniche avanzate, qualificate e digitali, ai sensi degli articoli 20, comma 3, 24, comma 4, 28, comma 3, 32, comma 3, lettera b), 35, comma 2, 36, comma 2, e 71; DPCM 3 dicembre 2013, recante «Regole tecniche in materia di sistema di conservazione ai sensi degli articoli 20, commi 3 e 5-bis, 23-ter, comma 4, 43, commi 1 e 3, 44, 44-bis e 71, comma 1, del Codice dell'amministrazione digitale di cui al decreto legislativo n. 82 del 2005; DPCM 3 dicembre 2013, recante «Regole tecniche per il protocollo informatico ai sensi degli articoli 40- bis, 41, 47, 57-bis e 71, del Codice dell'amministrazione digitale di cui al decreto legislativo n. 82 del 2005; Capitolato Tecnico Pag. 6 di 34

DPCM 13 novembre 2014: Regole tecniche in materia di formazione, trasmissione, conservazione, copia, duplicazione, riproduzione e validazione temporale dei documenti informatici, nonché di formazione e conservazione dei documenti informatici delle pubbliche amministrazioni ai sensi degli articoli 20,22,23-bis,23-ter,40, comma 1,41 e 71, comma1, del codice dell amministrazione digitale, di cui al decreto legislativo n.82 del 2005. Per quanto non espressamente indicato nel presente capitolato si rinvia alle norme vigenti in materia o che saranno emanate nel corso di esecutività del contratto. Capitolato Tecnico Pag. 7 di 34

4 Attività propedeutiche alla gestione della fornitura All inizio della fornitura l AC consegnerà alla società vincitrice della presente gara il codice sorgente di ESPI, corredato della relativa documentazione tecnica. I servizi di conduzione, manutenzione e supporto agli utenti dovranno essere erogati presso la sede che il Fornitore indicherà nell offerta. In fase di aggiudicazione provvisoria l AC si riserva di verificare l idoneità dei luoghi da cui saranno erogati i servizi, in particolare: i sistemi di sicurezza attiva e passiva del DATA CENTER; i sistemi di storage dedicati alla salvaguardia dei dati; luoghi e sistemi per la gestione dei servizi di supporto all utenza, etc. L AC si riserva altresì la possibilità di effettuare visite periodiche, con preavviso di 24 ore, per verificare gli standard definiti in offerta, ovvero previsti dalle norme vigenti, che disciplinano l amministrazione digitale, la salvaguardia e la tutela dei dati nonché la sicurezza e la salute dei lavoratori sul luogo di lavoro. L AC affiderà al vincitore di questa gara la gestione dell infrastruttura generale e del servizio di protocollo informatico. Le descrizioni dell architettura e delle funzionalità applicative del sistema ESPI sono fornite nell allegato 2). Nei primi 10 (dieci) giorni lavorativi di validità del contratto è prevista una fase transitoria durante la quale l AC, l Outsourcer attuale e il Fornitore risultato vincitore della gara collaboreranno per individuare le procedure organizzative, operative e le relative attività di avviamento del servizio. Alla fine della fase transitoria i soggetti interessati dovranno produrre il documento di collaudo che attesti l avvenuto passaggio di consegne dall Outsourcer uscente al Fornitore entrante, e l effettivo funzionamento del sistema. L efficienza del servizio sarà verificata con i referenti che l AC individuerà durante la fase transitoria. Capitolato Tecnico Pag. 8 di 34

5 Modalità di esecuzione della fornitura 5.1 Regole generali della fornitura I servizi oggetto della fornitura dovranno essere erogati secondo gli standard previsti nel Piano della Qualità di cui all allegato 3. L AC consegnerà l applicativo ESPI (codice sorgente) al Fornitore per l erogazione del servizio alle AOO entro 5 (cinque) giorni dalla stipula del Contratto. Il Fornitore, fermo restando quanto definito nel capitolo 5 del presente capitolato, a sue spese, entro il termine massimo di 20 giorni dalla suddetta data, potrà effettuare le verifiche e i test sull applicativo che riterrà opportuni. Decorso tale termine senza che siano stati sollevati rilievi, verrà redatto un verbale di accettazione dell applicativo in contraddittorio con l AC. In caso di rilievi, accertati in contraddittorio con l AC, che potrà avvalersi di risorse professionali anche esterne alla propria organizzazione, saranno stabiliti tempi e modi per la risoluzione dei difetti riscontrati. Successivamente alla data di accettazione, gli eventuali ulteriori difetti che dovessero emergere saranno considerati dall AC come attività di manutenzione correttiva che sarà a carico ed onere del Fornitore. L applicativo in esercizio, la documentazione tecnica e quella ad uso degli utenti, saranno consegnati all AC senza oneri aggiuntivi, ogni qual volta questa ne faccia richiesta, e comunque al termine del periodo contrattuale. La documentazione dovrà essere prodotta utilizzando il pacchetto Microsoft; essa sarà consegnata in formato elettronico e ove richiesto cartaceo entro e non oltre 5 (cinque) giorni dalla notifica. 5.2 Attività ed infrastrutture per l erogazione del servizio. 5.2.1 Attività propedeutiche La documentazione consegnata al Fornitore, in aggiunta a quella allegata al presente capitolato, comprenderà: a) Schema concettuale, logico, fisico e dizionario dati; b) Manuale Utente; c) Lista oggetti software; L avvio della fornitura sarà regolata, sulla base di quanto descritto al capitolo 3, dal Piano di Avviamento generale della fornitura, che sarà redatto dal Fornitore. Tale piano dovrà essere approvato dall AC. L'installazione e la configurazione del sistema è completamente a carico del Fornitore. L AC effettuerà il collaudo generale concernente il funzionamento dell applicativo e dell infrastruttura implementata presso il Data Center del Fornitore. Capitolato Tecnico Pag. 9 di 34

5.3 Attività per l erogazione del servizio. 5.3.1 Struttura del Data Center del Fornitore Il Fornitore dovrà assicurare all interno del proprio Data Center i requisiti minimi descritti di seguito, in relazione a: a) Locali; b) Connettività di rete; c) Hardware e software di base; d) Server dedicati; e) Sistemi di storage; f) Software applicativo. Il Fornitore dovrà predisporre e mantenere aggiornato il Manuale di installazione e gestione, il Registro della configurazione ed il Piano di Gestione della configurazione. Tale documentazione deve essere fornita all AC con cadenza quadrimestrale. Le apparecchiature presenti nel Data Center devono avere caratteristiche di modularità, scalabilità e affidabilità. Per il dimensionamento dei server, della banda di connessione e dello storage necessari all erogazione del servizio si deve tener conto delle informazioni contenute nella tabella del capitolo 6.2. Il Fornitore, nell erogazione dei servizi richiesti, sarà tenuto ad adeguare i suddetti requisiti, qualora dovessero emergere nuove esigenze da parte dall AC. 5.3.2 Locali Il Data Center deve prevedere la disponibilità dello spazio necessario all'erogazione del servizio, in un ambiente protetto e sicuro, caratterizzato da: a) Sistema di controllo degli accessi, ad accesso singolo, mediante smart card personale ovvero dispositivo alternativo; b) Sistema di rilevazione e spegnimento incendio con sensori e rilevatori di fumo, collocati sia sotto il pavimento flottante che a soffitto; c) Sistema di condizionamento in grado di mantenere una temperatura di funzionamento ed una percentuale di umidità ideale al corretto funzionamento dei sistemi; d) Impianto elettrico di potenza adeguata e ridondato con gruppi di continuità e generatori elettrici indipendenti; il passaggio da energia normale a energia di emergenza deve essere automatico e trasparente per tutte le apparecchiature comprese nel Data Center. Il Fornitore dovrà prevedere tutte le attività necessarie alla predisposizione dei locali rispetto alla crescita delle apparecchiature HW che saranno ospitate nel Data Center. Sarà a carico del Fornitore l'adeguamento Capitolato Tecnico Pag. 10 di 34

dei sistemi presenti nel Data Center, quali ad esempio: impianto elettrico, impianto di condizionamento, generatori elettrici, punti di interconnessione. Gli spazi dedicati al Data Center indicato in offerta dovranno essere allestiti e predisposti per la collocazione degli armadi rack, delle postazioni operatore e di tutto ciò che sia necessario alle operazioni di gestione sistemistica. 5.3.3 Connettività di Rete La rete del Data Center deve essere realizzata in modo tale che ogni punto d interconnessione possa essere completamente ridondato sia a livello fisico che logico. Il Fornitore dovrà prevedere tutte le attività necessarie all'adeguamento dell'infrastruttura di rete in caso di aumento delle apparecchiature HW connesse. L'erogazione del servizio a tutte le AOO dovrà avvenire secondo l'infrastruttura di trasporto descritta nell'allegato 2. Il Fornitore dovrà garantire un collegamento con la RPV del MIBACT adeguatamente dimensionato, per assicurare la qualità del servizio verso le AOO ad essa collegate. La banda di trasmissione dei dati implementata tra il Fornitore e la RPV del MIBACT dovrà essere adeguata in base all entità delle transazioni richieste da ciascuna AOO e, comunque, dovrà essere in grado di garantire i livelli di servizio contrattuali. Di tale attività il fornitore dovrà periodicamente fornire un report analitico all AC. 5.3.4 Hardware e software di base Le apparecchiature hardware e i relativi software saranno a carico del Fornitore. Essi dovranno essere ospitati nel Data Center proposto in offerta. I server utilizzati per l applicativo e per l archiviazione dei dati dovranno essere server dedicati. L utilizzo di server virtuali dovrà prevedere un Piano di adeguato dimensionamento e un Piano relativo alla sicurezza dei dati, entrambi condivisi con i referenti tecnici dall AC. Tutti i server fisici e virtuali necessari alla corretta erogazione del servizio dovranno essere contenuti nello spazio fisico dedicato al Data Center. Gli stessi dovranno prevedere ridondanze hardware (ventole, alimentatori, ecc.) e software, necessarie per raggiungere i livelli di servizio specificati. Tali ridondanze saranno mirate a minimizzare i tempi di fermo dovuti a malfunzionamenti. Il Fornitore dovrà installare e configurare le postazioni dedicate alle attività di gestione dei sistemi, dislocate nel Data Center. Il software e i prodotti installati sui server dovranno essere obbligatoriamente aggiornati alla ultima versione di sicurezza, definita dal produttore come di livello critico". Tali aggiornamenti, rilasciati e Capitolato Tecnico Pag. 11 di 34

pubblicati sui siti internet dei relativi produttori, dovranno essere installati nei tempi specificati nel paragrafo "Requisiti di sicurezza". Il Data Center dovrà essere dotato di strumenti di gestione della sicurezza e di monitoraggio del traffico. Si riporta l'elenco delle attività principali previste: a) Installazione e configurazione di uno o più sistemi modulari facilmente espandibili (ad esempio cluster, multi-processore, server virtuali, ecc.) per l'erogazione dei servizi infrastrutturali quali Configuration Management, CRM e tutti i sistemi necessari all'erogazione dei servizi specificati nel presente capitolato; b) Installazione e configurazione di sistemi di security-content-inspection quali antivirus e IDS (Intrusion Detection System) in grado di analizzare il traffico in transito; c) Installazione e configurazione dei server dedicati all'ambiente di esercizio relativo ai servizi di cui al presente capitolato; d) Realizzazione delle funzionalità infrastrutturali di bilanciamento del carico tra i sistemi. 5.3.5 Server dedicati I server ospitati nel Data Center dovranno prevedere almeno le seguenti caratteristiche: a) Alimentazione ridondata; b) Dischi di sistema ridondati; c) Architettura dei singoli sistemi in architettura modulare e scalabile; d) Ridondanza dei dati; e) Memoria RAM protetta con funzionalità di Error Checking and Control (ECC). 5.3.6 Sistemi di storage I sistemi di storage che conterranno i dati necessari all erogazione del servizio dovranno prevedere le seguenti caratteristiche: a) Protezione dei dati con tecnologia RAID di livello 5; b) Disponibilità di un server omologo che effettui copia dei dati e della loro struttura (base dati replicata e sincronizzata); c) frequenza giornaliera automatica di Backup dei dati, di tipo incrementale, da effettuarsi sul server attivo, e mantenimento degli stessi in locali protetti; d) trasferimento del backup su supporto dedicati ogni giorno lavorativo e conservazione delle copie in appositi armadi blindati; e) trasferimento giornaliero dei dati di backup, mediante procedura automatizzata, in un edificio distinto da quello ove è presente la base dati originale ( Disaster recovery ). Il Fornitore dovrà Capitolato Tecnico Pag. 12 di 34

comunicare tempestivamente l allocazione fisica dei dispositivi di storage atti a salvaguardare la disponibilità e integrità dei dati e a dare tempestiva comunicazione ad ogni variazione di allocazione; f) previsione di procedure di prova per il ripristino del backup, con cadenza quadrimestrale, sia dalla sede in esercizio, sia dalla sede preposta al Disaster Recovery. Tale attività dovrà essere verificata direttamente dall AC, per mezzo del gruppo di coordinamento, attraverso reportistica che attesti il volume dei dati, i tempi di ripristino, le procedure di allineamento dei dati sui server di produzione in relazione a tutte le AOO, ovvero solo ad una o ad una serie, evidenziandone i tempi medi di esercizio. 5.3.7 Software applicativo Successivamente all impianto del Data Center proposto in offerta, il Fornitore deve provvedere all installazione del pacchetto software ESPI necessario all erogazione del servizio. In questa fase dovrà essere predisposto il Registro di Configurazione così come descritto nel paragrafo relativo al Configuration Management. 5.4 Punto di accesso ai servizi Il Punto di accesso unificato per la fruizione dell applicazione da parte di tutte le AOO è il Portale (costituito da un insieme di pagine web dedicate); il portale trova la sua collocazione nell ambito della Intranet del MIBACT, alla URL http://espi.rpv.beniculturali.it. Il Fornitore dovrà provvedere alla manutenzione, gestione e aggiornamento del Portale, secondo le indicazioni dell AC. Alla presa in carico del servizio, il nuovo Fornitore verificherà i contenuti del sito in accordo con i referenti dell AC e, se necessario, ne aggiornerà i contenuti. Sono riportate di seguito le componenti e le funzionalità del Portale : a) Componente dedicata ai servizi. Essa costituisce il punto di ingresso ai servizi, alla documentazione d uso e a eventuali altre componenti, quali ad esempio Frequently Asked Questions (FAQ). b) componente dedicata al Content Management. Essa permette di inserire, a valle di un processo di autorizzazione, i contenuti da pubblicare sul Portale (articoli, notizie, documenti, etc.). c) componente dedicata al business intelligence. Essa ha lo scopo di raccogliere le informazioni relative ai dati dell Indice della Pubblica Amministrazione delle singole AOO, al fine di supportare scopi direzionali e per il controllo di gestione. L accesso al portale dovrà tener conto dei tempi di riposta per l apertura delle pagine web, ed inoltre delle infrastrutture e piattaforme in uso presso l AC, descritte nel presente paragrafo (cfr. allegato 4) e di quelle in uso presso l outsourcer attuale (cfr. all. 2), garantendo i livelli di servizio attesi (cfr. all. 3). Capitolato Tecnico Pag. 13 di 34

5.5 Sistema di controllo dei livelli di servizio E richiesto al Fornitore di mettere a punto un sistema integrato per consentire all Amministrazione Contraente, per la parte di propria competenza, di monitorare la conformità ai livelli di servizio contrattuali, con particolare riferimento ai volumi e ai contenuti delle richieste di assistenza di I e II livello, da parte degli utenti, consentendo l accesso, da parte dell AC, al CRM del Fornitore. Tale sistema dovrà comprendere la gestione di una apposita base dati della qualità del servizio, organizzata in una componente analitica, al fine di produrre report ed analisi statistiche, ed in una componente sintetica, contenente le viste, che consenta l agevole costituzione di reportistica specifica per singola AOO. L'inserimento e l'aggiornamento della base dati è a carico del Fornitore; essa dovrà contenere tutti i dati relativi alla qualità del servizio erogati (vedi All. 3). Il sistema di controllo dovrà consentire la consultazione diretta della banca dati, da parte dell AC e la generazione guidata di report, grafici e query complesse. Tali funzioni saranno rese disponibili sul Portale e accessibili attraverso apposite utenze assegnate dal Fornitore ad ogni singola AOO, che avrà a disposizione i soli dati di propria competenza. Il sistema di controllo dovrà tener conto, inoltre, delle attuali infrastrutture e piattaforme in uso presso l AC (cfr. allegato 4) e di quelle in uso presso l outsourcer attuale (cfr. allegato 2), garantendo i livelli di servizio attesi (cfr. allegato 3). Il sistema e la banca dati devono consentire un agevole consultazione dei dati in modalità web, tramite l accesso al Portale. Il Fornitore procederà alla realizzazione del sistema sulla base del progetto proposto. Il servizio deve prevedere il rilascio della Rendicontazione dei livelli di servizio, che dia evidenza oggettiva della qualità dei servizi erogati nel rispetto del Sistema di controllo dei livelli di servizio definito nell Allegato 3. Tale documentazione ha lo scopo di permettere il controllo sull andamento delle prestazioni per prevenire eventuali criticità, e di fornire le informazioni puntuali riguardanti ciascuno degli indicatori definiti per misurare i livelli di servizio ed i contenuti indicati nell Allegato 3. Tale documentazione deve essere resa disponibile all AC sul Portale entro il giorno 15 del mese successivo al periodo di riferimento; verrà presa come riferimento per l eventuale calcolo delle penali. La valutazione dei livelli di servizio verrà effettuata dall AC per i servizi di propria competenza. Il Fornitore deve essere disponibile a esportare le informazioni contenute nel Sistema di controllo dei livelli di servizio nei più comuni formati di mercato. In caso di mancato rispetto dei livelli di servizio l AC applicherà le penali sulla base di quanto contrattualmente definito. Capitolato Tecnico Pag. 14 di 34

5.6 Requisiti e descrizione dei servizi I requisiti per la sicurezza dei servizi definiti in questo capitolato sono da intendersi come requisiti minimi. Laddove i requisiti non specifichino in modo univoco una modalità di fornitura del servizio o di un suo elemento, il Fornitore evidenzierà nel progetto tecnico le modalità che intende adottare per la fornitura di quel servizio o elemento. Il Fornitore presenterà i propri piani di sicurezza in conformità con quanto richiesto nel paragrafo Piani di sicurezza evidenziando eventuali aspetti che superano i requisiti minimi di sicurezza indicati nel capitolato. 5.6.1 Requisiti di comunicazione in rete All interno del Data Center del Fornitore dovrà essere prevista la rete di interconnessione tra l AC (nodo centrale del MIBACT dove sono attestate telematicamente tutte le AOO) e il Fornitore medesimo dedicata ai servizi di protocollo informatico, e su tale rete di interconnessione saranno attestati tutti gli apparati HW che comporranno il sistema. Tale rete dovrà essere dotata di sistemi di protezione firewall, IDS e antivirus. Tutte le connessioni tra il Fornitore e l AC devono garantire adeguati livelli di sicurezza utilizzando, in accordo con l AC, idonei strumenti quali ad esempio reti private virtuali (VPN) o Secure Socket Layer (SSL/TLS). Tali connessioni, inoltre, dovranno garantire l identificazione e l'autenticazione degli utenti. Capitolato Tecnico Pag. 15 di 34

5.6.1.1 Requisiti dei Server Il sistema operativo dei server che erogano il servizio deve soddisfare i requisiti di seguito descritti. Il sistema operativo dell elaboratore, su cui viene realizzato il sistema di protocollo informatico, deve assicurare: a) l univoca identificazione ed autenticazione degli utenti; b) la protezione delle informazioni relative a ciascun utente nei confronti degli altri; c) la garanzia di accesso alle risorse esclusivamente agli utenti abilitati; d) la registrazione delle attività rilevanti ai fini della sicurezza svolte da ciascun utente, in modo tale da garantirne la identificazione. I server preposti all'erogazione del servizio ESPI dovranno essere dedicati, o il Fornitore dovrà presentare una soluzione alternativa che garantisca i medesimi livelli di sicurezza. Per ogni AOO dovrà essere garantita l indipendenza e la protezione (isolamento) dei dati. I server dislocati presso il Data Center dovranno prevedere dei meccanismi di sicurezza fisica che impediscano il furto on-site dei dati (es. blocco di tutte le periferiche rimovibili scrivibili lettori CD-ROM e DVD, dispositivi USB, disabilitazione del boot da periferiche rimovibili). Gli aggiornamenti di sistema che risolvano problematiche di sicurezza critiche per i sistemi esposti (OS server, web server, etc.) dovranno essere installati entro 48 ore dalla disponibilità degli aggiornamenti correttivi stessi. 5.6.2 Requisiti di continuità del servizio Il Fornitore dovrà assicurare la continuità del servizio in base ai livelli di servizio definiti nell allegato 4. 5.6.3 Requisiti organizzativi Il Fornitore deve nominare un proprio Responsabile della sicurezza nell erogazione del servizio protocollo. Il Fornitore deve garantire che i sistemi necessari all'erogazione del servizio siano gestiti solo da personale qualificato. Il mantenimento della sicurezza del sistema nel tempo è soggetto a audit periodici indipendenti. Gli audit, il cui costo è a carico del Fornitore, avranno frequenza semestrale, verranno svolti da organizzazioni selezionate su proposta del Fornitore, con l approvazione dell AC e si svolgeranno con una rappresentanza dell AC. 5.7 Servizi di gestione dei sistemi e dell applicazione 5.7.1 Gestione dei Sistemi Il Fornitore è tenuto a mantenere operativi, efficienti e funzionali i server necessari all'erogazione del servizio, nel rispetto dei livelli di servizio indicati. Capitolato Tecnico Pag. 16 di 34