CLASSIFICAZIONE DEL DOCUMENTO: CONSIP PUBLIC

GARA A PROCEDURA APERTA PER LA CONCLUSIONE DI UN ACCORDO QUADRO, AI SENSI DEL D.LGS. 50/2016 E S.M.I., SUDDIVISA IN 2 LOTTI E AVENTE AD OGGETTO L’AFFIDAMENTO DI SERVIZI DI SICUREZZA DA REMOTO, DI COMPLIANCE E CONTROLLO PER LE PUBBLICHE AMMINISTRAZIONI – ID 2296

LOTTO 1

APPENDICE 1 AL CAPITOLATO TECNICO SPECIALE INDICATORI DI QUALITA’

Principali modifiche intervenute dalla pubblicazione del documento “ID 2296 - Condizioni di Fornitura” relativo all’avviso di preinformazione pubblicato sulla GUUE n. S-143 del 27/07/2021

PARAGRAFI

AMBITO

3.13

Modifiche inerenti l’entrata in vigore del

D.L. 77/2021.

INDICE

30

1 SCOPO DEL DOCUMENTO

Il presente documento definisce il livello di qualità minimo atteso della fornitura, attraverso la definizione degli obiettivi di qualità, la misura del loro raggiungimento e il dettaglio delle azioni contrattuali da applicare in caso di mancato rispetto dei valori soglia (indicatori di qualità).

In particolare, di seguito sono descritti gli indicatori di qualità relativi ai servizi di Sicurezza da remoto

(Lotto 1).

L’impresa potrà integrare i presenti indicatori nell’ambito dell’offerta tecnica presentata ai fini dell’aggiudicazione dell’Accordo Quadro, secondo i criteri indicati nel Capitolato d’Oneri.

Il mancato rispetto dei valori di soglia migliorativi sarà sanzionato con la penale “Mancato rispetto degli impegni assunti in offerta tecnica”.

Si precisa che, su richiesta della Consip e/o dell’Amministrazione Contraente, il Fornitore dovrà fornire i dati elementari utilizzati per il calcolo degli indicatori.

Tali dati dovranno essere forniti in un formato elaborabile con i prodotti di office automation in uso presso Consip e/o l’Amministrazione Contraente. Inoltre, il Fornitore dovrà mettere a disposizione di Consip e delle Amministrazioni Contraenti, senza oneri aggiuntivi, uno strumento per la fruizione dei suddetti contenuti, integrato con il Portale della Fornitura.

Relativamente alle penali per ritardo, si precisa inoltre che deve considerarsi ritardo anche il caso in cui il Fornitore esegua le prestazioni relative allo specifico indicatore in modo anche solo parzialmente difforme dalle disposizioni di cui al Capitolato Tecnico e all’Offerta tecnica. In tal caso, le Amministrazioni applicheranno al Fornitore le penali di cui allo specifico indicatore sino alla data in cui la fornitura inizierà ad essere eseguita in modo effettivamente conforme, fatto salvo il risarcimento del maggior danno.

2 MATRICE DI CORRISPONDENZA INDICATORI DI QUALITÀ ED AZIONI CONTRATTUALI

Indicatori di Qualità	Azione Contrattuale
Indicatori di Qualità	Rilievo	Penale
ARCO – Adeguatezza del personale impiegato nei ruoli contrattuali		X
RSER – Impegni assunti in offerta tecnica		X
RICD – Consegna della documentazione		X
PFIN – Adeguatezza del Personale impiegati nella erogazione dei servizi	X
CERT – Personale certificato		X
E ETOP –Turnover del Personale		X
RLFN – Rilievi sulla fornitura		X
SLSC – Slittamento di una scadenza contrattuale	X	X
NAPP - Non approvazione di documenti		X
TAIN – Tempo di attivazione degli interventi		X
PFSM - Prestazione firma digitale remota, sigillo elettronico e marca temporale		X
CTNC – Casi di test negativi in collaudo	X
GSCO – Giorni di sospensione del collaudo		X
USSS – Uptime dei servizi oggetto di fornitura e degli strumenti a supporto		X
ATPF – Attivazione Portale di Fornitura		X
HDCG – Percentuale di chiamate in ingresso gestite dall’Help Desk		X
HDPC – Tempo di presa in carico delle richieste da parte dell’Help Desk		X

Indicatori di Qualità	Azione Contrattuale
Indicatori di Qualità	Rilievo	Penale
HDTR – Tempo di risoluzione delle richieste da parte dell’Help Desk		X
TIIS - Tempo di prima investigazione per incidenti di sicurezza		X
TCIS – Tempo di primo contenimento per incidenti di sicurezza		X

3 INDICATORI DI QUALITÀ

3.1 ARCO – Adeguatezza del personale impiegato nei ruoli contrattuali

L’indicatore misura il numero di risorse nei ruoli di Responsabile unico delle attività contrattuali e di Referenti tecnici per l’erogazione dei servizi che, nel corso della fornitura, l’Amministrazione Contraente abbia ritenuto non rispondente al profilo professionale richiesto nel Capitolato Tecnico Generale in coerenza con l’Appendice 2 Figure Professionali, richiedendone la sostituzione.

Aspetto da valutare	Numero di risorse ritenute inadeguate dall’Amministrazione
Unità di misura	Risorsa inadeguata	Fonte dati	E-mail Lettere Verbali
Periodo di riferimento	Semestre precedente la rilevazione	Frequenza di misurazione	Semestrale
Dati da rilevare	N_ris_inad = Numero di responsabili sostituiti per inadeguatezza su richiesta dell’Amministrazione
Regole di campionamento	Nessuna
Formula	ARCO = N_ris_inad
Regole di arrotondamento	Nessuna
Valore di soglia	ARCO = 0
Azioni contrattuali	Il mancato rispetto del valore soglia comporterà per ogni risorsa sostituita rispetto al valore soglia l’applicazione della penale “Ruoli contrattuali del contratto esecutivo inadeguati” pari all’1‰ dell’importo del Contratto esecutivo.

Applicazione

Amministrazione Contraente

Eccezioni

Nessuna

3.2 RSER – Impegni assunti in offerta tecnica

L’indicatore di qualità verifica il numero di impegni assunti dal Fornitore in offerta tecnica, afferenti obbligazioni contrattuali non adempiute nei tempi e/o nei modi rappresentati nel Contratto esecutivo e relativi allegati e/o tracciati sui Piani di lavoro, qualora non presidiate da specifici indicatori.

Aspetto da valutare	Numero di impegni assunti dal Fornitore in offerta tecnica non adempiuti
Unità di misura	Impegno	Fonte dati	Comunicazioni Note Amministrazione
Periodo di riferimento	Trimestre precedente la rilevazione(1)	Frequenza di misurazione	Trimestrale
Dati da rilevare	N_RSER = Numero impegni assunti dal Fornitore in offerta tecnica
Regole di campionamento	Nessuna
Formula	RSER = N_RSER
Regole di arrotondamento	Nessuna
Valore di soglia	RSER = 0
Azioni contrattuali	Il mancato rispetto del valore di soglia comporterà per ogni rilievo di scostamento rispetto al valore soglia l’applicazione della penale “Impegni assunti in offerta tecnica”, pari all’1‰, dell’importo del Contratto esecutivo.
Applicazione	Amministrazione Contraente
Eccezioni	Nessuna

3.3 RICD – Consegna della documentazione

L’indicatore di qualità verifica il tempo del Fornitore nel produrre e fornire all’Amministrazione Contraente, i documenti contrattuali del Contratto esecutivo nei tempi e/o nei modi rappresentati nel Contratto esecutivo e relativi allegati e/o tracciati sui Piani di lavoro, ove non presidiate da specifici indicatori. A titolo esemplificativo e non esaustivo si rappresentano di seguito alcuni documenti, il cui ritardo nella trasmissione può determinare l’applicazione di penali:

• Piano di subentro;

• Piani di qualità;

• Piani di lavoro di ciascun servizio (a corpo o continuativo);

• Piano di migrazione, ove previsto

• Piano di trasferimento di know-how;

• I CV del Team di lavoro

• I deliverable obbligatori di ciascun servizio salva differente indicazione dell’Amministrazione nel Piano di qualità.

Aspetto da valutare	Numero di giorni lavorativi di ritardo nella consegna di documentazione
Unità di misura	Xxxxxx lavorativi	Fonte dati	Comunicazioni Note Amministrazione Verbali di riunioni
Periodo di riferimento	Trimestre precedente la rilevazione	Frequenza di misurazione	Trimestrale
Dati da rilevare	N_RIT = Numero giorni lavorativi di ritardo nella consegna
Regole di campionamento	Nessuna
Formula	RICD = N_RIT
Regole di arrotondamento	Nessuna
Valore di soglia	RICD = 1
Azioni contrattuali	Il mancato rispetto del valore di soglia comporterà per ogni giorno solare di ritardo rispetto al valore soglia l’applicazione della penale “Ritardo Consegna Documentazione”, pari a € 1.000 (mille).
Applicazione	Amministrazione Contraente
Eccezioni	Nessuna

3.4 PFIN – Adeguatezza del Personale impiegato per l’erogazione dei servizi

L’indicatore misura il numero di risorse nei ruoli diversi da Responsabile unico delle attività contrattuali e Responsabili tecnici per l’erogazione dei servizi che, nel corso della fornitura, l’Amministrazione Contraente abbia ritenuto non rispondenti al profilo professionale richiesto nell’Appendice 2 Figure Professionali o offerto, richiedendone la sostituzione.

Aspetto da valutare	Numero di risorse ritenute dall’Amministrazione non rispondenti ai requisiti
Unità di misura	Xxxxxxx non rispondente	Fonte dati	E-mail Lettere Verbali
Periodo di riferimento	Semestre precedente la rilevazione	Frequenza di misurazione	Semestrale
Dati da rilevare	N_ris_inad = Numero di risorse sostituite su richiesta dell’Amministrazione perché non rispondenti ai requisiti
Regole di campionamento	Nessuna
Formula	PFIN = N_ris_inad
Regole di arrotondamento	Nessuna
Valore di soglia	PFIN = 1
Azioni contrattuali	Nel caso di non rispetto del valore di soglia verrà emesso un Rilievo sulla fornitura per ogni risorsa eccedente il valore di soglia, incrementando l’indicatore RLFN.
Applicazione	Amministrazione Contraente
Eccezioni	Nessuna

3.5 CERT – Personale certificato ‌

L’indicatore misura il numero di risorse professionali non certificate impiegate in ciascun Contratto esecutivo, rispetto a quanto previsto nel Capitolato Tecnico e relative Appendici.

Aspetto da valutare	Numero di risorse impiegate non certificate
Unità di misura	Risorsa non certificata	Fonte dati	Piano Operativo E-mail Lettere Verbali di riunione
Periodo di riferimento	Trimestre precedente la rilevazione	Frequenza di misurazione	Trimestrale
Dati da rilevare	N_ris_non_cert = Numero di risorse, impiegate in ciascun Contratto esecutivo, non certificate rispetto a quanto previsto nel Capitolato Tecnico e Appendici
Regole di campionamento	Nessuna
Formula	CERT = N_ris_non_cert
Regole di arrotondamento	Nessuna
Valore di soglia	CERT = 0
Azioni contrattuali	Il mancato rispetto del valore di soglia comporterà per ogni risorsa non certificata eccedente il valore di soglia l’applicazione della penale “Mancato rispetto della quantità personale certificato” pari a € 2.000 (duemila).
Applicazione	Amministrazione Contraente
Eccezioni	Nessuna

3.6 ETOP –Turnover del Personale

L’indicatore misura il numero di sostituzioni delle risorse impiegate (inclusi i responsabili tecnici dell’erogazione del servizio), su iniziativa del Fornitore e/o non autorizzate dall’Amministrazione Contraente.

Aspetto da valutare	Numero di risorse sostituite su iniziativa del Fornitore
Unità di misura	Risorse	Fonte dati	E-mail lettere verbali
Periodo di riferimento	Semestre precedente la rilevazione	Frequenza di misurazione	Semestrale
Dati da rilevare	Numero risorse sostituite su iniziativa del Fornitore (Nrisorse_sostituite)
Regole di campionamento	Nessuna
Formula	ETOP = Nrisorse_sostituite
Regole di arrotondamento	Nessuna
Valore di soglia	ETOPW = 1
Azioni contrattuali	Il mancato rispetto del valore soglia comporterà per ogni risorsa aggiuntiva rispetto al valore soglia l’applicazione della penale “Eccesso di turnover del personale” pari a € 2.000 (duemila).
Applicazione	Amministrazione Contraente
Eccezioni	• Eventuali sostituzioni finalizzate ad un migliore funzionamento dei servizi/attività, purché preventivamente approvate dai referenti dell’Amministrazione, non contribuiscono al raggiungimento del valore soglia. • Eventuali sostituzioni operate a fronte di dimissioni/licenziamento di risorse impegnate nell’erogazione dei servizi non contribuiscono al raggiungimento del valore soglia purché sia rispettata almeno una delle seguenti condizioni: a) ciascuna sostituzione sia effettuata nel rispetto dei termini del preavviso; b) ciascuna sostituzione deve essere preventivamente approvata dall’Amministrazione; c) ciascuna dimissione sia opportunamente documentata.

3.7 RLFN – Rilievi sulla fornitura

L’indicatore di qualità conteggia le non conformità rilevate, dall’Amministrazione Contraente, tramite rilievo per obbligazioni contrattuali non adempiute nei tempi e nei modi rappresentati nella documentazione contrattuale, siano esse presidiate da specifici indicatori o meno.

Aspetto da valutare	Numero di rilievi emessi per non conformità della fornitura afferenti obbligazioni contrattuali non adempiute nei tempi e/o nei modi rappresentati nel Contratto esecutivo e relativi allegati e/o tracciati sui Piani di lavoro
Unità di misura	Rilievo sulla fornitura	Fonte dati	Comunicazioni Note di rilievo
Periodo di riferimento	Trimestre precedente la rilevazione	Frequenza di misurazione	Trimestrale
Dati da rilevare	N_rilievi_forn = Numero rilievi emessi sulla fornitura
Regole di campionamento	Nessuna
Formula	RLFN = N_rilievi_forn
Regole di arrotondamento	Nessuna
Valore di soglia	RLFN = 3
Azioni contrattuali	Per ogni rilievo eccedente la soglia prevista per l’indicatore, si applicherà la penale “Eccesso di Rilievi sulla fornitura” pari all’1‰ dell’importo del Contratto esecutivo.
Applicazione	Amministrazione Contraente
Eccezioni	Nessuna

3.8 SLSC – Slittamento di una scadenza contrattuale ‌

L’indicatore di qualità misura il rispetto di scadenze temporali pianificate e/o derivanti dalla documentazione contrattuale e/o dall’offerta tecnica dell’aggiudicatario, comprensivo della consegna dei singoli deliverable di fornitura.

Aspetto da valutare	Rispetto di una scadenza pianificata per la consegna di un deliverable
Unità di misura	Xxxxxx lavorativo	Fonte dati	Documentazione di pianificazione
Periodo di riferimento	Trimestre precedente la rilevazione	Frequenza di misurazione	Ad evento all’interno del periodo di riferimento
Dati da rilevare	Data_prev = Data di consegna contrattualmente prevista Data_eff = Data di consegna effettiva
Regole di campionamento	Nessuna
Formula	SLSC = Data_eff – Data_prev
Regole di arrotondamento	Nessuna
Valore di soglia	SLSC = 2
Azioni contrattuali	Il mancato rispetto del valore di soglia comporterà per ogni giorno lavorativo di ritardo o frazione l’applicazione della penale “Slittamento di una scadenza contrattuale" pari all’0,5‰ dell’importo del Contratto esecutivo. Il mancato rispetto del valore di soglia comporterà anche l’emissione di un Rilievo per ciascun giorno lavorativo di ritardo, incrementando l’indicatore RLFN.
Applicazione	Amministrazione Contraente
Eccezioni	Nessuna

3.9 NAPP - Non approvazione di documenti

L’indicatore si applica alla mancata approvazione di un documento basilare per le attività della fornitura. Sono inderogabilmente basilari almeno i seguenti documenti:

- deliverable di fornitura

- il Piano di lavoro generale

- il Piano della qualità generale

- i Curricula delle risorse da impiegare

- I verbali di stato di avanzamento lavori – SAL.

Nel corso della fornitura l’Amministrazione potrà indicare ulteriori documenti.

Aspetto da valutare	Completezza, accuratezza, coerenza e rispetto degli standard dell’Amministrazione e linee guida degli Organismi di Controllo (qualora applicabile).
Unità di misura	Documento	Fonte dati	E-mail lettere verbali
Periodo di riferimento	Trimestre precedente la rilevazione	Frequenza di misurazione	Ad evento all’interno del periodo di riferimento
Dati da rilevare	Nr di documenti (deliverables) non approvati (Doc_NotApproved)
Regole di campionamento	Nessuna
Formula	NAPP = Doc_NotApproved
Regole di arrotondamento	Nessuna
Valore di soglia	NAPP = 1
Azioni contrattuali	Il superamento del valore soglia, comporterà per ogni documento aggiuntivo rispetto al valore soglia l’applicazione della penale “Non approvazione di documenti”, pari all’1‰ dell’importo contrattuale del Contratto esecutivo.
Applicazione	Amministrazione Contraente
Eccezioni	Nessuna

3.10 TAIN – Attivazione degli interventi

L’indicatore misura la tempestività di attivazione degli interventi relativi ai servizi previsti nel Contratto esecutivo, a partire dalla richiesta dell’Amministrazione.

Aspetto da valutare

Il tempo di attivazione degli interventi a partire dalla richiesta dell’Amministrazione

Unità di misura

Giorni lavorativi

Fonte dati

Strumenti di comunicazione

E-mail, lettere, verbali

Periodo di riferimento

Durata della fornitura

Periodi per verifiche di conformità

Frequenza di misurazione

mensile

Dati da rilevare

Per ciascun intervento vanno rilevati

- Data della richiesta di attivazione di un intervento (Data_rich_int)

- Data di attivazione dell’intervento (Data_attiv_int)

Regole di

campionamento

Nessuna

Formula

TAIN = Data_attiv_int - Data_rich_int

Regole di

arrotondamento

Nessuna

Valore di soglia

Per interventi pianificati nel Piano di Lavoro Generale:

TAIN = 0

negli altri casi:

TAIN <= 5 giorni lavorativi

Azioni contrattuali

Per ogni 5 giorni lavorativi o frazione eccedenti il valore di soglia l’Amministrazione applicherà la penale “Ritardo nell’attivazione dell’intervento” pari all’1‰ dell’importo del contratto esecutivo.

Applicazione

Amministrazione Contraente

Eccezioni

Nessuna

3.11 PFSM – Prestazione firma digitale remota, sigillo elettronico e validazione temporale elettronica qualificata

L’indicatore PFSM misura le prestazioni richieste in termini di numero di operazioni completate al secondo. L’indicatore si applica ai servizi Firma digitale remota, Sigillo elettronico e Validazione temporale elettronica qualificata.

Aspetto da valutare	Numero di operazioni (firme e/o marcature) completate nell’unità di tempo nel rispetto del valore di soglia di prestazione definito nel numero operazioni massime attese
Unità di misura	Percentuale	Fonte dati	Sistema di monitoraggio
Periodo di riferimento	Trimestre precedente la rilevazione	Frequenza di misurazione	Oraria
Dati da rilevare	Numero di operazioni completate (NRC) e numero richieste ricevute dal sistema (NRR) su base oraria; Numero massimo di operazioni da eseguire nell’ora di riferimento (OPUT); SLA= (prestazione firme/sec) * 3600 SE NRR >= SLA -> OPUT=SLA SE NRR<= SLA -> OPUT=NRR
Regole di campionamento	Per l’intero periodo di osservazione vengono contabilizzate ogni ora il numero di operazioni completate (NRC) e quelle richieste (NRR)
Formula	PFSM = 100% SE NRC >= OPUT PFSM = (NRC/OPUT) x 100 SE NRC < OPUT
Regole di arrotondamento	Il risultato della misura va arrotondato come descritto nel paragrafo arrotondamenti
Valore di soglia	PFSM = 97%
Azioni contrattuali	Il mancato rispetto del valore di soglia comporterà l’applicazione della penale “Mancata prestazione firma digitale remota, sigillo elettronico e Validazione temporale elettronica qualificata” pari all’ 1‰ dell’importo complessivo del servizio di riferimento del contratto esecutivo di fornitura per ogni ora in cui lo scostamento in diminuzione risulta maggiore all’1,0% rispetto al valore di soglia.
Applicazione	Amministrazione Contraente
Eccezioni	Nessuna

Esempio n. 1: Prestazione 1 operazione/secondo -> SLA = 1 * 3.600 = 3.600 Numero operazioni richieste in 1 ora NRR = 3.500 -> OPUT = 3.500 Numero operazioni completate in 1 ora NRC = 3.500

NRC >= OPUT -> PFSM = 100% -> Nessuna penale

Esempio n. 2: Prestazione 1 operazione/secondo -> SLA = 1 * 3.600 = 3.600 Numero operazioni richieste in 1 ora NRR = 3.700 -> OPUT = 3.600 Numero operazioni completate in 1 ora NRC = 3.450

NRC < OPUT -> PFSM = (3.450/3.600) x 100 = 95,83% -> Applicazione Penale

3.12 CTNC – Casi di test negativi in collaudo

L’indicatore misura l’affidabilità per i servizi richiesti, in relazione ai casi di test rieseguiti con esito negativo dal Fornitore in fase di collaudo.

L’indicatore si applica al Collaudo funzionale e di configurazione.

Aspetto da valutare	Casi di test eseguiti con successo dal Fornitore appartenenti al piano di test che, se rieseguiti durante il collaudo di servizio, danno esito negativo.
Unità di misura	Casi di test eseguiti in collaudo con esito negativo	Fonte dati	Documentazione di collaudo Piani di test
Periodo di riferimento	Durata della fase di collaudo	Frequenza di misurazione	Al termine del collaudo
Dati da rilevare	Numero casi di test eseguiti con successo dal fornitore e che in collaudo hanno dato esito negativo (Ntest_notok)
Regole di campionamento	Nessuna
Formula	CTNC = Ntest_notok
Regole di arrotondamento	Nessuna
Valore di soglia	CTNC = 0
Azioni contrattuali	Il mancato rispetto del valore di soglia comporterà l’emissione di un Rilievo sulla fornitura incrementando l’indicatore RLFN
Applicazione	Amministrazione Contraente e Consip
Eccezioni	Nessuna

3.13 GSCO – Giorni di sospensione del collaudo

L’indicatore misura il numero di giorni complessivo di sospensione del collaudo di un servizio per cause imputabili al Fornitore.

L’indicatore si applica al Collaudo funzionale e di configurazione.

Aspetto da valutare	Numero di giorni complessivo di sospensione del collaudo di un servizio per cause imputabili al Fornitore
Unità di misura	Xxxxxx lavorativi	Fonte dati	Lettera di sospensione del collaudo Lettera di ripresa del collaudo
Periodo di riferimento	Durata della fase di collaudo	Frequenza di misurazione	Al termine del collaudo
Dati da rilevare	Numero di giorni di sospensione del collaudo (Nsosp)
Regole di campionamento	Si applica a tutte le sospensioni del collaudo (sia per la prima sia per le successive)
Formula	GSCO = Nsosp
Regole di arrotondamento	Nessuna
Valore di soglia	GSCO = 0
Azioni contrattuali	Per il collaudo funzionale: Per ogni giorno lavorativo eccedente la soglia, Consip applicherà la penale “Giorni di sospensione del collaudo” pari a € 5.000 (cinquemila). Per il collaudo di configurazione: Per ogni giorno lavorativo eccedente la soglia, l’Amministrazione applicherà la penale “Giorni di sospensione del collaudo” pari allo 0,3‰ (ovvero in caso di Contratti esecutivi cd. PNRR o PNC si intenderà 0,6‰) dell’importo complessivo del servizio di riferimento nel Contratto esecutivo di fornitura.
Applicazione	Amministrazione Contraente e Consip
Eccezioni	Nessuna

3.14 USSS – Tempo di disponibilità dei servizi oggetto di fornitura e degli strumenti a supporto

L’indicatore misura la disponibilità dei servizi richiesti dall’Amministrazione e degli strumenti di supporto resi disponibili dal Fornitore per l’erogazione dei servizi stessi per l’intera durata contrattuale tra cui:

• Strumenti e tecnologie a supporto dei seguenti servizi da remoto:

o Security Operation Center (SOC)

o Next Generation Firewall,

o Web Application Firewall

o Navigazione internet e posta elettronica

o Protezione end point

o Gestione dell’identità e l’accesso utente

o Gestione continua delle vulnerabilità di sicurezza

o Threat intelligence e Vulnerability data feed

o Certificati SSL

o Firma digitale remota

o Sigillo elettronico

o Timbro elettronico

o Validazione temporale elettronica qualificata

• Il Portale di Governo della Fornitura,

• Il Sistema di Trouble Ticketing.

Aspetto da valutare

Disponibilità della infrastruttura (hardware e software) per la erogazione dei servizi oggetto di fornitura e degli strumenti a supporto.

Unità di misura

Minuti

Fonte dati

Strumenti di monitoraggio e controllo (i.e. Sistema di Trouble Ticketing, SLAM …)

Periodo di riferimento

Trimestre precedente la rilevazione

Frequenza di misurazione

Mensile

Dati da rilevare

• Intervallo di tempo di indisponibilità dell’infrastruttura non operativa (T_down)

• Intervallo di tempo di riferimento (1 mese) (T_tot)

Regole di campionamento

Nessuna

Formula

USSS = (1- (T_down/T_tot)) x 100 Dove

T _ down = ∑dj

j =1

con M pari al numero di disservizi e dj la durata (espressa in minuti) del disservizio j-esimo e T_tot=(24x60X365)/12.

Regole di arrotondamento	Il risultato della misura va arrotondato come descritto nel paragrafo “Arrotondamenti”.
Valore di soglia	USSS >= 98,85%
Azioni contrattuali	Per ogni 0,01% (zerovirgolazerouno per cento) in diminuzione rispetto al valore soglia, si applicherà la penale “Indisponibilità dei servizi oggetto di fornitura e degli strumenti a supporto“: - per i servizi da remoto, pari allo 0,5‰ (zerovirgolacinque per mille) dell’importo complessivo del servizio di riferimento nel Contratto esecutivo di fornitura; - per gli strumenti a supporto, pari a € 30,00 (trenta).
Applicazione	Amministrazione Contraente
Eccezioni	Nessuna

3.15 ATPF – Attivazione Portale di Fornitura

L’indicatore verifica il tempo di attivazione del “Portale della Fornitura”.

Aspetto da valutare	Attivazione del Portale di Fornitura
Unità di misura	Giorni solari	Fonte dati	Comunicazioni Fornitore Note Amministrazione Verbali di riunioni
Periodo di riferimento	Mese precedente la consegna	Frequenza di misurazione	Alla Consegna
Dati da rilevare	Vengono rilevati: - Data prevista di attivazione del Portale (Data_prev) - Data effettiva di attivazione del Portale (Data_eff)
Regole di campionamento	Nessuna
Formula	ATT_PORT = Data_eff – Data_prev
Regole di arrotondamento	Nessuna
Valore di soglia	ATT_PORT <= 1
Azioni contrattuali	Il mancato rispetto del valore di soglia comporterà per ogni giorno solare di ritardo rispetto al valore soglia l’applicazione della penale “Mancata attivazione del Portale di Fornitura”, pari a € 1.000 (mille).
Applicazione	Consip
Eccezioni	Nessuna

3.16 HDCG – Percentuale di chiamate in ingresso gestite dall’Help Desk

Con questo indicatore si misura il numero di chiamate telefoniche che hanno ottenuto risposta entro il tempo stabilito contrattualmente.

Aspetto da valutare	tempo che intercorre tra la richiesta di contatto con l’operatore e il contatto. Per richiesta di contatto si intende l’ingresso della chiamata telefonica in coda operatore.
Unità di misura	Percentuale	Fonte dati	Piattaforma Telefonica
Periodo di osservazione	Trimestre precedente la rilevazione	Frequenza di misurazione	Trimestrale
Dati da rilevare	• Numero di chiamate totali in ingresso nell’arco del periodo di osservazione (CROT) • Numero di chiamate connesse con l’operatore entro 60” (sessanta secondi) (CRON)
Regole di campionamento	Vanno considerate tutte le chiamate nel periodo preso in esame
Formula	HDCG = CRON X100 CROT
Regole di arrotondamento	Il risultato della misura va arrotondato come descritto nel paragrafo “Arrotondamenti”.
Valore di soglia	HDCG ≥ 95%
Azioni contrattuali	Per ogni punto percentuale in diminuzione rispetto al valore soglia, si applicherà la penale “mancata risposta di chiamate in ingresso gestite dall’Help Desk“ pari a € 300,00 (trecento).
Applicazione	Amministrazione Contraente
Eccezioni	NA

3.17 HDPC – Tempo di presa in carico delle richieste da parte dell’Help Desk

L’indicatore misura la tempestività di presa in carico delle richieste multicanale ricevute da parte dell’Help-Desk e relative a:

• richiesta informazioni;

• segnalazioni di incidenti di sicurezza;

• segnalazione di anomalie/malfunzioni;

Aspetto da valutare	Tempo di presa in carico della singola richiesta
Unità di misura	Punto percentuale	Fonte dati	Strumenti di monitoraggio e controllo (i.e. Sistema di Trouble Ticketing, SLAM …)
Periodo di riferimento	Trimestre precedente la rilevazione	Frequenza di misurazione	Trimestrale
Dati elementari da rilevare	• Data e Ora (hh/mm/ss) dell’invio della richiesta (Data_invio_ric) • Data Ora (hh/mm/ss) della effettiva presa in carico della richiesta (Data_presaincarico_ric) • Numero di richieste prese in carico (N_richieste_presaincarico) • Numero totale di richieste (N_richieste)
Regole di campionamento	Nessuna
Formule	dove: T_presaincarico = Data_presaincarico_ric - Data_invio_ric
Regole di arrotondamento	Il risultato della misura va arrotondato come descritto nel paragrafo “Arrotondamenti”.
Valore di soglia	HDPC >= 95%
Azioni contrattuali	Il mancato raggiungimento del valore di soglia comporterà l’applicazione della penale “Mancata presa in carico delle richieste da parte dell’Help Desk” pari a € 20 (venti), per ogni punto percentuale in diminuzione rispetto al valore soglia.
Applicazione	Amministrazione Contraente
Eccezioni	Nessuna

3.18 HDTR – Tempo di risoluzione delle richieste da parte dell’Help Desk

L’indicatore misura la tempestività nell’esecuzione delle attività necessarie alla risoluzione delle segnalazioni ricevute tramite il servizio di Help Desk e relative ad anomalie/malfunzioni e/o richiesta di informazioni. Sono compresi, comprese le richieste aperte in automatico dagli Strumenti di monitoraggio e controllo.

Per la rilevazione dell’indicatore di qualità si fa riferimento al tempo di risoluzione massimo ed effettivo, ed è misurato dal momento dell’apertura di ciascun ticket fino alla sua chiusura tecnica, al netto del tempo durante il quale ciascun ticket è posto in pending.

Per la rilevazione dell’indicatore sono conteggiati i ticket chiusi nel periodo di riferimento. Il tempo di risoluzione massimo varia in funzione della priorità attribuita al problema:

• Priorità 1: problema di tipo bloccante, per cui è impedito agli utenti l’utilizzo dei servizi ed alle eventuali componenti funzionali dei singoli servizi;

• Priorità 2: problema per cui è impedito agli utenti l’utilizzo di una funzione del servizio in alcune specifiche condizioni (ad esempio per alcuni dati di input);

• Priorità 3: richiesta di tipo informativo per cui risulta difficoltoso per gli utenti l’utilizzo di una funzione del servizio o sono necessarie ulteriori informazioni (o materiale documentale a supporto) o richiese relative a problematiche amministrative/contrattuali.

Si precisa che la priorità inizialmente attribuita potrà comunque essere modificata su richiesta dei referenti dell'Amministrazione. A titolo esemplificativo e non esaustivo, tra gli eventi che potrebbero comportare una richiesta in tal senso si possono citare:

• la concomitanza di molteplici segnalazioni di disservizio riconducibili alla stessa causa;

• la sussistenza di situazioni di particolare criticità per l’Amministrazione (per esempio, la prossimità di scadenze di importanza significativa).

La seguente tabella indica i tempi massimi di risoluzione in funzione della priorità attribuita al problema.

Priorità del problema	T_limite - Tempo massimo di risoluzione (ore lavorative)
Priorità 1	≤ 4 ore
Priorità 2	≤ 8 ore
Priorità 3	≤ 12 ore

Aspetto da valutare	Percentuale di richieste risolte entro i tempi massimi previsti, dipendenti dalla priorità attribuita alle richieste stesse.
Unità di misura	Punto percentuale	Fonte dati	Strumenti di monitoraggio e controllo (i.e. Sistema di Trouble Ticketing, SLAM …)
Periodo di riferimento	Trimestre precedente la rilevazione	Frequenza di misurazione	Trimestrale
Dati elementari da rilevare	• Data Ora (hh/mm/ss) della effettiva presa in carico (Data_aper_ric) • Data Ora (hh/mm/ss) della risoluzione (Data_riso_ric) • Tempo di pending complessivo (T_pending) • Numero totale di richieste (N_richieste)
Regole di campionamento	Nessuna
Formule	dove: T_risoluzione = Data_risol_ric – Data_aper_ric - T_pending
Regole di arrotondamento	Il risultato della misura va arrotondato come descritto nel paragrafo “Arrotondamenti”.
Valore di soglia	HDTR1 >= 98% HDTR2 >= 96% HDTR3 >= 94%
Azioni contrattuali	Il mancato raggiungimento del valore di soglia per XXXX0, XXXX0, XXXX0 comporterà l’applicazione della penale “Mancata risoluzione delle richieste da parte dell’Help Desk” pari a € 50,00 (cinquanta) per ogni punto percentuale in diminuzione rispetto al valore soglia.
Applicazione	Amministrazione Contraente
Eccezioni	Nessuna

3.19 TIIS – Tempo di prima investigazione per incidenti di sicurezza

L’indicatore di qualità misura il rispetto del tempo di prima investigazione del Fornitore a fronte della segnalazione di incidenti di sicurezza all’Help Desk sia da parte dell’Amministrazione che in modo automatico dal servizio di Security Operation Center (SOC), come descritto nel capitolo 6 del Capitolato tecnico speciale.

L’indicatore si applica al processo di gestione degli incidenti di sicurezza nell’ambito del servizio di SOC L’esito di tale analisi dovrà indicare se la segnalazione sia effettivamente riconducibile ad un incidente di sicurezza oppure si tratti di un falso positivo.

La prima investigazione prende avvio successivamente alla fase di presa in carico della segnalazione di incidente di sicurezza da parte dell’Help-Desk e si conclude con la trasmissione da parte del Fornitore al referente tecnico dell’Amministrazione del documento “prima investigazione” esplicativo dei primi elementi e della natura dell’incidente di sicurezza.

Nella tabella seguente si riporta la classificazione degli incidenti di sicurezza per livello di gravità:

Gravità dell’incidente di sicurezza

Descrizione

0 - ALTISSIMA

L’incidente è provocato dall’impiego non autorizzato di tecniche utili a manipolare, interrompere o distruggere i sistemi, i servizi o i dati.

1 - ALTA

L’incidente di sicurezza non presenta nessuna delle condizioni che porti alla catalogazione gravità “altissima”.

L’incidente di sicurezza ha comportato:

• perdita di confidenzialità o integrità;

• perdita e/o corruzione dati irreversibile;

• perdita e/o compromissione di chiavi di cifratura e/o certificati;

• perdita e/o compromissione di credenziali utenti;

• evidenza di impiego non autorizzato di tecniche, condotte dall’interno della rete, utili ad ottenere permessi di livello superiore (privilege escalation);

• evidenza dell’impiego non autorizzato di tecniche, condotte dall’interno della rete, utili ad ottenere persistenza di codice malevolo o d’accesso (persistence);

• evidenza dell’impiego non autorizzato di tecniche attraverso cui sono stati effettivamente elusi i sistemi di sicurezza (defence evasion);

• evidenza di comunicazioni non autorizzate verso l’esterno della rete (command and control);

• evidenza dell’impiego non autorizzato di tecniche, condotte dall’interno della rete, utili a effettuare attività di ricognizione (discovery);

• evidenza dell’impiego non autorizzato di tecniche utili ad acquisire, dall’interno della rete, credenziali valide per l’autenticazione alle risorse di rete o ne rinviene copie non autorizzate (credential access);

• evidenza dell’impiego non autorizzato di tecniche utili ad accedere o eseguire codice tra risorse interne della rete (lateral movement);

• evidenza dell’impiego non autorizzato di tecniche utili a raccogliere, dall’interno della rete, dati di interesse di terze

parti o ne rinviene copie non autorizzate (collection);

• evidenza dell’impiego non autorizzato di tecniche utili ad esfiltrare dati dall’interno della rete verso risorse esterne (exfiltration).

2 - MEDIA

L’incidente non presenta nessuna condizione che porti alla catalogazione gravità “altissima e alta”.

Il grado di compromissione di servizi e/o sistemi è di una certa rilevanza e possono essere rilevati danni sugli asset di una certa consistenza.

Il ripristino ha tempi che non compromettono la continuità del servizio

L’incidente presenta una tra le seguenti condizioni:

• Compromissione di server

• Degrado di prestazioni relativo ai servizi offerti dall’Amministrazione con conseguente perdita di produttività da parte degli utilizzatori

• Attacchi che provocano il funzionamento parziale o intermittente della rete

• Impossibilità tecnica di fornire uno o più servizi critici ad un elevato numero di utenti per intervalli di tempo inferiori ai 30 minuti di tempo ripetuti su più giornate

• Impossibilità tecnica di fornire uno o più servizi critici ad una piccola parte di utenti per un periodo di tempo superiore ai 30

minuti di tempo nell’arco di una o più minuti ei tempo nell’arco di una o più giornate

• Basso impatto in termini di perdita economica, di immagine e/o reputazione nei confronti degli utenti

3 - BASSA

L’incidente non presenta nessuna condizione che porti alla catalogazione gravità “altissima, alta o media”.

Non vengono compromessi asset o servizi. L’incidente presenta le seguenti condizioni:

• Interruzione dell’attività lavorativa di un numero ristretto di dipendenti e per un breve periodo di tempo.

• Contaminazioni da virus in un medesimo sito ma comunque identificate dai sistemi anti-malware

• Nessuna o limitata perdita di operatività o di business da parte di un ridotto numero di dipendenti.

Nella tabella seguente si riportano i relativi tempi massimi di consegna del documento “prima investigazione” per livello di gravità dell’incidente di sicurezza.

Gravità dell’incidente di sicurezza	Tempo massimo di consegna della “prima investigazione”
0 - ALTISSIMA	≤ 1 ora
1 – ALTA	≤ 4 ore
2 - MEDIA	≤ 6 ore
3 - BASSA	≤ 8 ore

Aspetto da valutare

Rispetto di una scadenza per la consegna del documento “prima investigazione”

Unità di misura

ora solare

Fonte dati

Strumenti di

monitoraggio e controllo (i.e. Sistema di Trouble Ticketing, SIEM

…)

Periodo di riferimento

Trimestre precedente la rilevazione

Frequenza di misurazione

Ad evento all’interno del periodo di riferimento

Dati da rilevare

Data_prevj = Data Ora di consegna prevista

Data_effj = Data Ora di consegna effettiva

J= 0, 1,2, 3

Regole di campionamento

Nessuna

Formula

TIISj = Data_effj – Data_prevj

J= 0,1,2, 3

Regole di arrotondamento

Nessuna

Valore di soglia

TIISj = 0

J= 0,1,2, 3

Azioni contrattuali

Il mancato rispetto del valore di soglia comporterà per ogni ora solare o frazione di ritardo eccedente il valore di soglia si applicherà la penale “Mancato rispetto del tempo di prima investigazione per incidenti di sicurezza" pari all’1‰ dell’importo del Contratto esecutivo.

Il mancato rispetto del valore di soglia comporterà anche l’emissione di un Rilievo per ciascun giorno lavorativo di ritardo, incrementando l’indicatore RLFN.

Applicazione

Amministrazione Contraente

Eccezioni

Nessuna

3.20 TCIS – Tempo di segnalazione delle azioni di primo contenimento per incidenti di sicurezza

L’indicatore di qualità misura il rispetto del tempo di segnalazione delle azioni di primo contenimento del Fornitore a fronte della segnalazione all’Help Desk, sia da parte dell’Amministrazione che in modo automatico dal servizio di Security Operation Center (SOC) e prima investigazione di incidenti di sicurezza, come descritto nel capitolo 6 del Capitolato tecnico speciale.

L’indicatore si applica al processo di gestione degli incidenti di sicurezza nell’ambito del servizio di SOC. L’attività di segnalazione primo contenimento prende avvio successivamente alla fase di prima investigazione e si conclude con la trasmissione da parte del Fornitore al referente tecnico dell’Amministrazione del documento “azioni di primo contenimento”.

Per la classificazione degli incidenti di sicurezza per livello di gravità si faccia riferimento alla tabella descritta precedentemente per ll’indicatore TIIS.

Nella tabella seguente si riportano i relativi tempi massimi di consegna del documento “azioni di primo contenimento” per livello di gravità dell’incidente di sicurezza.

Gravità dell’incidente di sicurezza	Tempo massimo di consegna delle segnalazioni delle “azioni di primo contenimento”
0 – ALTISSIMA	≤ 4 ore
1 – ALTA	≤ 8 ore
2 - MEDIA	≤ 12 ore
3 - BASSA	≤ 16 ore

Aspetto da valutare

Rispetto di una scadenza per la consegna del documento “segnalazione di azioni di primo contenimento”

Unità di misura

ora lavorativa

Fonte dati

Strumenti di

monitoraggio e controllo (i.e. Sistema di Trouble Ticketing, SLAM

…)

Periodo di riferimento

Trimestre precedente la rilevazione

Frequenza di misurazione

Ad evento all’interno del periodo di riferimento

Dati da rilevare

Data_prevj = Data Ora di consegna prevista

Data_effj = Data Ora di consegna effettiva

J= 0,1,2, 3

Regole di campionamento

Nessuna

Formula

TIISj = Data_effj – Data_prevj

J= 0,1,2, 3

Regole di arrotondamento

Nessuna

Valore di soglia

TIISj = 0

J= 0,1,2, 3

Azioni contrattuali

Il mancato rispetto del valore di soglia comporterà per ogni ora solare di ritardo o frazione eccedente il valore di soglia si applicherà la penale “Mancato rispetto del tempo di primo contenimento per incidenti di sicurezza" pari all’1‰ dell’importo del Contratto esecutivo.

Il mancato rispetto del valore di soglia comporterà anche l’emissione di un Rilievo per ciascun giorno lavorativo di ritardo, incrementando l’indicatore RLFN.

Applicazione

Amministrazione Contraente

Eccezioni

Nessuna

4 ARROTONDAMENTI

Ai fini del calcolo dello scostamento tra le percentuali misurate e quelle contrattuali, le prime dovranno essere arrotondate nel modo seguente:

• aumento o riduzione del 5%: si arrotonda allo 0% per scostamenti compresi tra lo 0,00% e 2,49% ed al 5% per scostamenti superiori;

• aumento o riduzione dell’1%: si arrotonda allo 0% per scostamenti compresi tra lo 0,00% e lo 0,49% ed all’1% per scostamenti superiori;

• aumento o riduzione del 0,5%: si arrotonda allo 0% per scostamenti compresi tra lo 0,000% e 0,249% ed al 0,5% per scostamenti superiori;

• aumento o riduzione dello 0,1%: si arrotonda allo 0% per scostamenti compresi tra lo 0,000% e lo 0,049% ed allo 0,1% per scostamenti superiori;

• aumento o riduzione del 0,01%: si arrotonda allo 0% per scostamenti compresi tra lo 0,0000% e 0,0049% ed al 0,01% per scostamenti superiori.

Document Metadata

Table of Contents

CLASSIFICAZIONE DEL DOCUMENTO: CONSIP PUBLIC

Document Metadata