Premessa¶

La presente Circolare e i relativi allegati definiscono, in attuazione a quanto previsto nel «Piano Triennale per l’informatica nella Pubblica Amministrazione 2017 - 2019», approvato con DPCM del 31 maggio 2017, i requisiti di qualificazione dei servizi SaaS erogabili sul Cloud della PA, nonché la relativa procedura di qualificazione. Il possesso dei predetti requisiti è presupposto per l’inserimento dei servizi SaaS nel Marketplace Cloud.

Ai sensi del Piano Triennale, gli obiettivi strategici nell’ambito della razionalizzazione delle infrastrutture fisiche sono costituiti da:

1. aumento della qualità dei servizi offerti in termini di sicurezza, resilienza, efficienza energetica e continuità di servizio;
2. realizzazione di un ambiente cloud della PA, riqualificando le risorse interne alla PA già esistenti o facendo ricorso a risorse di soggetti esterni qualificati;
3. risparmio di spesa derivante dal consolidamento dei data center e migrazione dei servizi verso tecnologie cloud.

Per il raggiungimento di tali obiettivi, AgID ha previsto, tra le altre attività, una specifica procedura di qualificazione dei servizi SaaS nell’ambito della strategia di evoluzione del modello Cloud della PA.

Tale procedura consentirà alle Amministrazioni di utilizzare, nell’ambito del Cloud della PA, servizi SaaS conformi ad un insieme di requisiti comuni definiti dalla presente Circolare.

Definizioni¶

Articolo 1 - Oggetto ed ambito di applicazione¶

La presente circolare definisce i requisiti e la procedura per la qualificazione dei servizi SaaS. Le disposizioni ivi contenute si applicano sia ai fornitori interessati ad offrire servizi SaaS alle PA, sia alle amministrazioni che intendono acquisire servizi SaaS.

In particolare come previsto dal Piano Triennale per l”informatica nella PA 2017 - 2019, con riferimento alle acquisizioni tramite Consip di servizi SaaS qualificati da AgID, si rimanda al documento “Disposizioni per il procurement dei servizi SaaS per il Cloud della PA” pubblicato da Consip e riportato nell’allegato «B» alla presente Circolare.

Articolo 2 – Il processo di qualificazione¶

Il soggetto richiedente può essere:

1. un fornitore privato di servizi SaaS che intende erogare tali servizi su una o più infrastrutture del Cloud della PA; il fornitore di servizi SaaS può essere esso stesso un CSP qualificato;
2. una PA che intende erogare servizi SaaS su una o più infrastrutture del Cloud della PA.

Il processo di qualificazione è articolato in tre fasi:

1. Richiesta di qualificazione;
2. Conseguimento della qualificazione
3. Mantenimento della qualificazione (Monitoraggio)

Nella tabella seguente sono riportati i principali attori coinvolti nel processo

di qualificazione ed il loro ruolo in termini di responsabilità (RACI) per ognuna delle fasi.

R= Responsible:  è colui che esegue le attività della fase
A= Accountable: è colui che è responsabile del risultato della fase
C= Consulted: è colui che deve essere consultato prima di una decisione
I= Informed:  è colui che  deve essere informato relativamente ad una decisione presa
O= Out of the loop: è colui che non partecipa nel contesto della fase

A supporto del processo di qualificazione è previsto l’utilizzo di una piattaforma AgID dedicata ed integrata con il Marketplace Cloud. Tale piattaforma consentirà, tra l’altro, l’accesso tramite SPID e la trasmissione telematica dei documenti ai sensi degli art. 45 e 65 comma 1/b del CAD secondo le modalità operative che saranno pubblicate sul sito https://cloud.italia.it.

Articolo 3 - Criterio di ammissibilità¶

Al momento della richiesta di qualificazione, i servizi SaaS proposti per la qualificazione devono essere erogati mediante una o più infrastrutture del Cloud della PA (PSN, Cloud SPC o CSP qualificato da AgID). Nel caso in cui l’infrastruttura Cloud sia privata e di proprietà del fornitore SaaS, tale infrastruttura deve essere qualificata come CSP da AgID ai sensi di quanto disposto dalla circolare «Criteri per la qualificazione dei Cloud Service Provider per la PA».

Articolo 4 - Requisiti per la qualificazione¶

Sulla base degli obiettivi definiti nel Piano Triennale, AgID ha individuato i requisiti per la qualificazione dei servizi SaaS, suddividendoli in:

1. Requisiti organizzativi;
2. Requisiti specifici.

Il dettaglio di tali requisiti è fornito all’interno dell’allegato «A» alla presente Circolare, denominato “Requisiti per la qualificazione dei servizi SaaS per il Cloud della PA”.

AgID si riserva la facoltà di modificare/aggiornare/integrare tali requisiti sulla base dell’evoluzione del contesto e delle tecnologie.

Articolo 5 - Fasi del processo di qualificazione.¶

Articolo 6 - Revoca della qualificazione¶

L’Agenzia nel caso di:

• perdita del criterio di ammissibilità;
• perdita di almeno uno dei requisiti di cui all”Allegato A;
• riscontro da parte dei competenti organi di violazioni di norme relative all’attività oggetto di qualificazione;

comunica al fornitore il preavviso di revoca della qualificazione del servizio con previsione di un termine per le eventuali controdeduzioni. Nel caso di infruttuoso esperimento del termine o mancato accoglimento delle controdeduzioni presentate, l”Agenzia procede alla revoca della qualificazione del servizio con provvedimento motivato, disponendone la contestuale eliminazione dal Marketplace Cloud, nonchè relativa pubblicità.

Nei casi di revoca della qualificazione SaaS, il fornitore non può presentare una nuova richiesta di qualificazione all’Agenzia se non siano venute meno le cause che hanno determinato la revoca.

Articolo 7 – Durata della qualificazione dei servizi SaaS.¶

Salvo i casi di revoca, la qualificazione dei servizi SaaS ha durata pari a 24 mesi a decorrere dalla data di iscrizione al Marketplace Cloud.

Articolo 8 - Disposizioni transitorie¶

Nelle more dell”attivazione della piattaforma dedicata la richiesta di qualificazione potrà essere sottomessa mediante le modalità pubblicate sul sito https://cloud.italia.it

Nelle more dell”attivazione del Marketplace Cloud l”elenco dei servizi SaaS qualificati sarà pubblicato sul sito https://cloud.italia.it

Articolo 9 - Disposizioni finali¶

La presente Circolare entra in vigore a partire da 30 giorni dalla data di pubblicazione nella Gazzetta Ufficiale della Repubblica italiana.

A decorrere da sei mesi dall”entrata in vigore della presente Circolare, le Amministrazioni acquisiscono esclusivamente servizi SaaS qualificati dall”Agenzia e pubblicati sul Marketplace Cloud.

Nei contratti aventi ad oggetto servizi SaaS qualificati, le Amministrazioni prevedono gli SLI obbligatori presenti nella tabella «Indicatori della Qualità del Servizio» di cui all”Allegato A.

La data di attivazione della piattaforma dedicata e del Marketplace Cloud sarà comunicata insieme alle modalità operative della procedura di qualificazione sul sito https://cloud.italia.it.

Allegati¶

ALLEGATO A «Requisiti per la qualificazione di servizi SaaS per il Cloud della PA»

ALLEGATO B «Disposizioni per il procurement dei servizi SaaS per il Cloud della PA»

Acronimi e definizioni¶

Si richiamano inoltre i concetti e le definizioni relativi al Cloud computing pubblicati dal National Institute of Standards and Technologies nel documento NIST Special Publication 800-145 «The NIST Definition of Cloud Computing», in particolare con riferimento a:

• Platform as a service (PaaS), Infrastructure as a Service (IaaS)
• Private Cloud, Community Cloud, Public Cloud, Hybrid Cloud
• le cinque caratteristiche essenziali del Cloud computing: on-demand self-service, broad network access, resource pooling, rapid elasticity, measured service.

Per maggiori dettagli si veda: http://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-145.pdf

Introduzione¶

Il presente documento allegato alla Circolare è stato redatto al fine di definire nel dettaglio i requisiti di cui all’art. 4 della Circolare che i CSP devono rispettare per ottenere la qualificazione dei servizi SaaS da parte di AgID.

I servizi SaaS soggetti a qualificazione riguardano applicativi software erogati secondo il paradigma SaaS e compatibili con il Cloud della PA. Dal punto di vista tecnico sono dunque individuati i seguenti soggetti che svolgono diversi ruoli durante e/o successivamente al processo di qualificazione:

• Fornitore Cloud, un CSP che eroga e amministra le risorse Cloud infrastrutturali di tipo IaaS e/o PaaS utilizzate dai servizi applicativi SaaS per l’erogazione del servizio e rispetto alle quali devono essere compatibili;
• Fornitore SaaS, un CSP che richiede la qualificazione della propria soluzione SaaS affinché sia disponibile all’acquisto da parte delle PA;
• Acquirente, PA che acquisisce e utilizza i servizi SaaS ed indirettamente le risorse IaaS e/o PaaS sottostanti erogate dal Fornitore Cloud.

E’ opportuno notare che le figure del Fornitore Cloud e del Fornitore SaaS possono in alcuni casi specifici coincidere con lo stesso soggetto.

Si intende, preliminarmente, fornire un quadro di riferimento riguardante le modalità di progettazione e realizzazione di una soluzione SaaS da parte dei CSP e il ciclo di vita di un servizio SaaS. Le definizioni del ciclo di vita e dei modelli di deployment che seguono sono altresì utili per contestualizzare e inquadrare i requisiti richiesti per la qualificazione delle soluzioni SaaS.

Ciclo di vita di un servizio SaaS

Una soluzione SaaS prevede un tipico ciclo di vita attraverso il quale viene resa disponibile agli utilizzatori (Acquirenti) da parte del Fornitore SaaS:

• Provisioning(Predisposizione), ossia la predisposizione delle risorse Cloud infrastrutturali necessarie all’installazione ed erogazione della soluzione SaaS. Le attività di predisposizione sono eseguite a cura del Fornitore SaaS nell’ambito dell’infrastruttura Cloud messa a disposizione dal Fornitore Cloud. Tipicamente si tratta di risorse virtuali di tipo computazionale, di storage e di rete; più in generale possono essere comprese risorse di tipo IaaS e/o PaaS;
• Deployment (Dispiegamento), fase in cui avviene da parte del Fornitore SaaS l’installazione e la configurazione dei moduli e componenti applicativi che costituiscono la soluzione SaaS;
• Esercizio, fase in cui la soluzione SaaS è fruibile da parte dell’Acquirente che è in grado di utilizzarla secondo quanto previsto contrattualmente;
• Manutenzione, fase costituita da brevi periodi temporali in cui la soluzione SaaS esce dalla fase di esercizio risultando non fruibile da parte dell’Acquirente in occasione di attività di aggiornamento, manutenzione o risoluzione di malfunzionamenti da parte del Fornitore SaaS oppure del Fornitore Cloud; al termine di tali brevi periodi si avrà nuovamente una regolare fase di esercizio;
• Disattivazione, fase di terminazione della fornitura in seguito alla quale la soluzione SaaS non sarà più utilizzabile dall’Acquirente.

Requisiti delle soluzioni SaaS¶

Ciò premesso, AgID, come indicato all’art. 4 della Circolare, ha classificato i requisiti per la qualificazione delle soluzioni SaaS come segue:

• Requisiti organizzativi (RO),
• Requisiti specifici.

Nell’ambito del presente allegato i requisiti specifici vengono ulteriormente raggruppati in:

• sicurezza (RS),
• performance e scalabilità (RPS),
• interoperabilità e portabilità (RIP),
• conformità legislativa (RCL).

Requisiti organizzativi¶

È richiesto che i fornitori di servizi SaaS siano in possesso di alcuni requisiti organizzativi tra cui:

• disponibilità di un servizio di supporto clienti strutturato ed in grado di coprire le esigenze operative che possono manifestarsi nel contesto dell’erogazione dei servizi proposti.
• disponibilità di un processo maturo e affidabile in grado di assicurare un continuo aggiornamento del software relativo alle soluzioni fornite in modalità SaaS.
• adozione delle «best-practice» del settore, nonché delle linee guida descritte in questo allegato tecnico per quanto riguarda lo sviluppo, configurazione e manutenzione del software utilizzato per implementare i servizi erogati.

Nello specifico, si riporta l’elenco dei requisiti organizzativi:

RO1 - Il Fornitore SaaS dovrà rendere disponibile, su richiesta, un account di test utilizzabile da AgID per effettuare ogni tipo di verifica che si renderà necessaria per il mantenimento della qualificazione.

RO2 - Il Fornitore SaaS mette a disposizione i necessari canali di comunicazione e sistemi di gestione (issue tracking) al fine di consentire all’Acquirente di segnalare anomalie, malfunzionamenti e potenziali pericoli per la sicurezza del servizio. Il Fornitore SaaS assicura procedure chiare e con tempistiche garantite per la presa in carico e gestione delle segnalazioni, garantendo all’Acquirente adeguata visibilità dei processi di tracking e supporto (con riferimento agli aspetti di interesse per l”Acquirente).

RO3 - Il Fornitore SaaS assicurara la disponibilità di manuali tecnici e guide d’uso (e/o altro materiale di supporto), ivi compresa la documentazione tecnica delle API e delle interfacce SOAP/REST, specificando se disponibili anche in lingua italiana.

RO4 - Il Fornitore SaaS garantisce la tempestiva disponibilità di informazioni all’Acquirente circa i cambiamenti e le migliorie introdotti in seguito ad aggiornamenti delle modalità di funzionamento e fruizione dei servizi SaaS erogati. In caso di interventi di manutenzione che comportino l”indisponibilità (anche parziale) del servizio, il Fornitore SaaS li comunica all”Acquirente con almeno 3 giorni lavorativi di anticipo utilizzando un canale di comunicazione diretto.

RO5 - Il Fornitore SaaS dichiara gli obiettivi (SLO) corrispondenti agli indicatori di servizio (SLI) identificati come obbligatori nella Tabella 1.1 «Indicatori della Qualità del Servizio» e ne garantisce il rispetto nei rapporti contrattuali con l”Acquirente (come previsto dall”art. 9 della Circolare). Il Fornitore SaaS può dichiarare eventuali ulteriori indicatori della medesima tabella, oppure indicarne di nuovi, che potranno essere inseriti (insieme agli specifici SLO) quali impegni sulla qualità del servizio nei rapporti contrattuali.

RO6 - Il Fornitore SaaS rende disponibile l’accesso a strumenti di monitoraggio e di logging, consentendo all”Acquirente di filtrare e limitare i risultati agli eventi di suo interesse.

RO7 - Il calcolo dei costi imputati all’Acquirente deve essere trasparente e accurato, rispettare le condizioni contrattuali ed essere monitorabile dall’Acquirente. In aggiunta, il Fornitore SaaS rende disponibile all’Acquirente una dashboard e delle API che permettono di acquisire le informazioni di dettaglio sulle metriche di «billing».

Il fornitore potrà dichiarare e documentare il possesso di ulteriori requisiti di tipo organizzativo e/o altre certificazioni tecniche che abbiano attinenza con la soluzione SaaS sottoposta alla procedura di qualificazione.

Requisiti specifici¶

I requisiti specifici riguardano le seguenti tematiche:

• sicurezza,
• performance e scalabilità,
• interoperabilità e portabilità,
• conformità legislativa.

Sicurezza¶

Il Fornitore SaaS, prima della messa in esercizio del servizio SaaS, deve garantire che il codice applicativo sia stato sviluppato seguendo i principi dello sviluppo sicuro. Il fornitore deve dichiarare se il software viene sottoposto a periodiche verifiche di sicurezza secondo il framework OWASP, in particolare a seguito di operazioni di manutenzione del servizio (aggiornamenti e modifiche).

Il Fornitore SaaS deve dotarsi di una adeguata organizzazione e di procedure operative in grado di gestire attività continue e documentabili di aggiornamenti e migliorie in tema di sicurezza. Deve inoltre gestire tempestivamente eventuali situazioni emergenziali.

Il Fornitore SaaS deve garantire che il verificarsi di incidenti di sicurezza oppure gravi disfunzioni del servizio (ad esempio nel caso di denial of service) siano prontamente rilevati e gestiti.

Di seguito è riportato il dettaglio dei requisiti di sicurezza:

RS1 - Il Fornitore SaaS dichiara se le componenti che costituiscono il servizio SaaS sono state sottoposte ai test OWASP con esito positivo.

RS2 - Il Fornitore SaaS dichiara di esserere in possesso della certificazione secondo lo standard ISO/IEC 27001 estesa con i controlli degli standard ISO/IEC 27017 e ISO/IEC 27018. La certificazione deve essere stata rilasciata da organismi nazionali di accreditamento riconosciuti dalla Unione Europea. In alternativa, il Fornitore SaaS effettua il CSA STAR Self-Assessment² con riferimento al servizio che intende qualificare (nella versione denominata CAIQ), ne produce la relativa documentazione e la rende pubblicamente consultabile sul proprio sito Web.

[2] Si veda https://cloudsecurityalliance.org/star/self-assessment/

Performance e scalabilità¶

Il Fornitore SaaS è tenuto a dichiarare la qualità offerta e l’affidabilità del servizio durante tutto il ciclo di vita. Le Amministrazioni Acquirenti sono tenute a verificare che le pattuizioni relative alla qualità del servizio costituiscano parte integrante del contratto di fornitura, all’interno del quale dovrà essere ricompresa una specifica sezione relativa ai «livelli di servizio garantiti» ovvero al Service Level Agreement (SLA).

Le Amministrazioni acquirenti assicurano che gli accordi relativi ai livelli di servizio garantiti (SLA) siano specificati mediante la quantificazione di un insieme di valori obiettivo (SLO) o intervalli di valori riferibili ad altrettanti specifici indicatori di performance, affidabilità, risultato (SLI). Sulla base di tali accordi il Fornitore SaaS risulterà impegnato a rispettare gli obiettivi dichiarati che dovranno essere monitorabili dall”Acquirente.

La sezione del contratto di fornitura relativa ai livelli di servizio garantiti include le penali compensative che il Fornitore SaaS corrisponde all’Acquirente in caso di mancato rispetto di uno o più valori obiettivo (SLO). I metodi di quantificazione e le condizioni di riconoscimento delle penali compensative sono inclusi nel contratto e sono allineati ai valori e alle condizioni di mercato riscontrabili per servizi analoghi o appartenenti alla medesima categoria.

Si richiama inoltre quanto previsto dallo standard ISO/IEC 19086-1:2016 per quanto concerne i livelli di servizio garantiti (SLA):

• deve essere inclusa la definizione chiara e non ambigua di tutti gli indicatori (SLI) e dei relativi valori obiettivo (SLO);
• lo SLA deve essere consultabile pubblicamente mediante l’accesso ad un apposito URL Web;
• devono essere riportate all’interno del SLA le definizioni di tutti i termini specifici riferiti al servizio offerto o di quelli particolarmente rilevanti per la comprensione dell’accordo;
• deve essere previsto esplicitamente che, se successivamente all’avvio della fornitura si dovesse rendere necessaria una qualsiasi modifica ai livelli di servizio garantiti, questa dovrà essere preventivamente notificata all’Acquirente per ottenerne la sua approvazione;

Il Fornitore SaaS produce e invia all”Acquirente un report periodico (almeno con cadenza mensile), contenente il riepilogo dell’andamento dei livelli di servizio nel periodo e che evidenzi gli eventuali sforamenti rispetto agli SLO e le penali compensative maturate.

Il Fornitore SaaS implementa delle politiche e dei piani operativi per garantire la continuità del servizio (business continuity). Inoltre, gestisce tempestivamente il ripristino dell’operatività del servizio in seguito ad eventi catastrofici o imprevisti (disaster recovery).

Il Fornitore SaaS, laddove applicabile, dichiara quali sono le condizioni massime di carico sopportabili dal servizio sia in termini di numero di utenti concorrenti che utilizzano il sistema e/o volume di richieste processabili. Nel caso in cui sia prevista la scalabilità automatica dell’applicativo, il Fornitore SaaS specifica e garantisce quali sono le condizioni e i tempi di attivazione delle istanze aggiuntive.

RPS1 - In aggiunta a quanto previsto nell”ambito del requisito RO5, il Fornitore SaaS descrive la performance del servizio utilizzando parametri tecnici oggettivi e misurabili, sfruttando ove possibile, gli indicatori (SLI) definiti nella direttiva ISO/IEC 19086-1:2016.

RPS2 - Il Fornitore SaaS dichiara che i servizi offerti sono soggetti ad opportuni processi di gestione della continuità operativa (business continuity) in cui sono previste azioni orientate al ripristino dell’operatività del servizio e dei dati da esso gestiti al verificarsi di eventi catastrofici/imprevisti, specificando l”applicazione delle buone pratiche presenti nello standard ISO/IEC 22313.

RPS3 - Nel caso in cui sia prevista la scalabilità automatica del servizio SaaS, il Fornitore SaaS indica le condizioni ed i tempi di attivazione delle risorse aggiuntive che vengono attivate per sopportare i maggiori carichi.

Interoperabilità e portabilità¶

I servizi SaaS devono consentire l’interoperabilità dei sistemi informativi fra le Amministrazioni pubbliche e fra gli altri applicativi in uso presso il medesimo Acquirente. A tal fine devono esporre opportune Application Programming Interface (API).

Tali API dovranno rifarsi alle migliori pratiche di gestione (API management), prevedendo in particolare la tracciabilità delle versioni disponibili, la tracciabilità delle richieste ricevute ed evase, la documentazione degli endpoint SOAP e/o REST disponibili e delle rispettive modalità di invocazione.

Deve essere sempre possibile la migrazione dell’Acquirente verso un altro Fornitore SaaS con conseguente eliminazione permanentemente dei propri dati al termine della procedura di migrazione. In aggiunta, il Fornitore SaaS dovrà documentare le procedure e modalità di reversibilità del servizio.

Dettaglio dei requisiti di interoperabilità e portabilità:

RIP1 - Il Fornitore SaaS dichiara che il servizio SaaS espone opportune Application Programming Interface (API) di tipo SOAP e/o REST associate alle funzionalità applicative, di gestione e configurazione del servizio.

RIP2 - Il Fornitore SaaS dichiara se il servizio SaaS è interoperabile con i servizi pubblici SPID e PagoPA.

RIP3 - Il Fornitore SaaS garantisce all”Acquirente la possibilità di estrarre in qualsiasi momento una copia completa di dati, metadati e documenti memorizzati dal servizio SaaS in formati pubblici e aperti.

RIP4 - Allo scopo di consentire la migrazione da un altro Fornitore SaaS o servizio SaaS, il Fornitore SaaS garantisce all”Acquirente la possibilità di importare i dati all”interno del servizio SaaS tramite formati pubblici e aperti.

RIP5 - Il Fornitore SaaS dettaglia le procedure per garantire la reversibilità del servizio SaaS.

Conformità legislativa¶

Il servizio SaaS deve rispettate le norme vigenti riguardanti la sicurezza e la riservatezza dei dati, anche in considerazione del fatto che il servizio prevede l’utilizzo di risorse di calcolo e di storage di tipo Cloud che non sono sotto il diretto e completo controllo dell’Acquirente.

Per consentire all’Acquirente di venire a conoscenza e valutare potenziali incompatibilità o restrizioni legislative, il Fornitore SaaS deve rendere noti gli eventuali Stati esteri in cui sono dislocati i data center, propri e/o dell’infrastruttura Cloud utilizzata, e tramite i quali verrà erogato anche parzialmente il servizio e/o all’interno dei quali transiteranno anche temporaneamente i dati gestiti dal servizio.

Dettaglio dei requisiti di conformità legislativa.

RCL1 - Il Fornitore SaaS specifica per quali aspetti il servizio SaaS è conforme agli obblighi e agli adempimenti previsti dalla normativa europea e italiana in materia di protezione dei dati personali.

RCL2 - Il Fornitore SaaS rende nota la localizzazione dei data center propri e dell’infrastruttura Cloud utilizzata per erogare anche parzialmente il servizio e/o all’interno dei quali transitano anche temporaneamente i dati gestiti dal servizio (ivi compresi i siti di disaster recovery e di backup), specificando quando la localizzazione sia all”interno del territorio nazionale, all”interno della UE o extra UE.

RCL3 - Il Fornitore SaaS, in caso di localizzazione dei data center in territorio extra UE, dichiara l”eventuale applicabilità di accordi bilaterali (ad es. Privacy Shield EU-USA, ecc.) volti alla salvaguardia dei dati elaborati, conservati ed a vario titolo gestiti per erogare il servizio.

Appendice 1¶

Appendice 2¶

Premessa¶

La presente Circolare e i relativi allegati definiscono, in attuazione a quanto previsto nel «Piano Triennale per l’informatica nella Pubblica amministrazione 2017- 2019», approvato con DPCM del 31 maggio 2017, i requisiti di qualificazione dei Cloud Service Provider (qui di seguito indicati semplicemente CSP), nonché la relativa procedura di qualificazione. Il possesso dei predetti requisiti è presupposto affinchè le infrastrutture e i servizi IaaS e PaaS erogati dal fornitore possano ricevere la qualificazione «CSP» nell”ambito del Cloud della Pa (NOTE: Per “Cloud della PA” ai fini della presente circolare, dei suoi allegati e delle successive integrazioni e/o modifiche si intende: l’insieme delle infrastrutture e servizi IaaS e PaaS erogati da Cloud SPC, dai PSN e dai CSP qualificati ai sensi di quanto disposto da questa Circolare.).

I CSP qualificati sono abilitati a richiedere l”inserimento nel Marketplace Cloud dei servizi IaaS e PaaS, nonchè i SaaS qualificati ai sensi della Circolare «Criteri per la qualificazione di servizi SaaS per il Cloud della PA».

Ai sensi del Piano Triennale, gli obiettivi strategici nell’ambito della razionalizzazione delle infrastrutture fisiche sono costituiti da:

1. aumento della qualità dei servizi offerti in termini di sicurezza, resilienza, efficienza energetica e continuità di servizio;
2. realizzazione di un ambiente Cloud della PA, riqualificando le risorse interne alla PA già esistenti o facendo ricorso a risorse di soggetti esterni qualificati;
3. risparmio di spesa derivante dal consolidamento dei data center e migrazione dei servizi verso tecnologie cloud.

Per il raggiungimento di tali obiettivi, AgID ha previsto, tra le altre attività, una specifica procedura di qualificazione dei CSP nell’ambito della strategia di evoluzione del modello Cloud della PA.

Tale procedura consentirà alle Amministrazioni di individuare, nell’ambito del Marketplace Cloud, servizi IaaS e PaaS conformi ad un insieme di requisiti comuni definiti dalla presente Circolare e dal relativo allegato.

Definizioni¶

Articolo 1 - Oggetto ed ambito di applicazione¶

La presente circolare definisce i requisiti e la procedura per la qualificazione dell”infrastruttura e dei servizi IaaS e PaaS dei Cloud Service Provider. Le disposizioni ivi contenute si applicano sia ai fornitori interessati ad offrire servizi IaaS e PaaS alle PA, sia alle amministrazioni che intendono acquisire servizi IaaS e PaaS erogati dai CSP nell”ambito del Cloud della PA.

In particolare come previsto dal Piano Triennale per l”informatica della PA 2017 - 2019, Consip provvede ad abilitare l’accesso agli strumenti del mercato elettronico / convenzioni / accordi quadro ai soli Cloud Service Provider che erogano servizi IaaS e PaaS qualificati da AgID.

Articolo 2 – Il processo di qualificazione¶

Il fornitore di servizi Cloud, che intende ottenere da AgID la qualificazione della propria infrastruttura, può richiedere la qualificazione CSP per:

1. erogare servizi di tipo Public Cloud (IaaS o PaaS) per la PA - Richiesta «Tipo A»;
2. erogare servizi SaaS da qualificare ai sensi della Circolare AgID «Criteri per la qualificazione di servizi SaaS per il Cloud della PA» utilizzando la propria infrastruttura Cloud - Richiesta «Tipo B»;
3. erogare tutti i servizi previsti nei punti precedenti - Richiesta «Tipo C».

Il processo di qualificazione è articolato in tre fasi:

1. Richiesta di qualificazione
2. Conseguimento della qualificazione
3. Mantenimento della qualificazione (Monitoraggio)

Nella tabella seguente sono riportati tutti gli attori coinvolti nel processo di qualificazione ed il loro ruolo in termini di responsabilità (RACI).

R= Responsible:  è colui che esegue le attività della fase
A= Accountable: è colui che è responsabile del risultato della fase
C= Consulted: è colui che deve essere consultato prima di una decisione
I= Informed:  è colui che  deve essere informato relativamente ad una decisione presa
O= Out of the loop: è colui che non partecipa nel contesto della fase

A supporto del processo di qualificazione è previsto l’utilizzo di una piattaforma AgID dedicata ed integrata con il Marketplace Cloud. Tale piattaforma consentirà, tra l’altro, l’accesso tramite SPID e la trasmissione telematica dei documenti ai sensi degli art. 45 e 65 comma 1/b del CAD secondo le modalità operative che saranno pubblicate sul sito https://cloud.italia.it.

Articolo 3 - Requisiti della qualificazione¶

I requisiti per la qualificazione si suddividono in:

1. Requisiti organizzativi;
2. Requisiti specifici.

Il dettaglio di tali requisiti differenziati per tipologia di richiesta (di cui all”art.2) è fornito all’interno dell’allegato «A» alla presente Circolare, denominato “Requisiti per la qualificazione dei Cloud Service Provider della PA”.

AgID si riserva la facoltà di modificare/aggiornare/integrare tali requisiti sulla base dell’evoluzione del contesto e delle tecnologie.

Articolo 4 - Fasi del processo di qualificazione.¶

Articolo 5 - Revoca della qualificazione¶

L’Agenzia nel caso di:

• perdita di almeno uno dei requisiti di cui all”Allegato A;
• riscontro da parte dei competenti organi di violazioni di norme relative all’attività oggetto di qualificazione;

comunica al fornitore il preavviso di revoca della qualificazione CSP con previsione di un termine per le eventuali controdeduzioni. Nel caso di infruttuoso esperimento del termine o mancato accoglimento delle controdeduzioni presentate, l”Agenzia procede alla revoca della qualificazione CSP con provvedimento motivato, disponendone la contestuale eliminazione dei servizi IaaS e PaaS dal Marketplace Cloud, nonchè la relativa annotazione della cancellazione del fornitore dal registro pubblico dei CSP qualificati, dandone adeguata pubblicità.

Nei casi di revoca della qualificazione CSP, il fornitore non può presentare una nuova richiesta di qualificazione all’Agenzia se non siano venute meno le cause che hanno determinato la revoca.

Articolo 6 – Durata della qualificazione CSP¶

Salvo i casi di revoca, la qualificazione CSP ha durata pari a 24 mesi a decorrere dalla data di iscrizione nel registro pubblico di cui all”articolo 4.

Articolo 7 - Disposizioni transitorie¶

Nelle more dell”attivazione della piattaforma dedicata la richiesta di qualificazione potrà essere sottomessa mediante le modalità pubblicate sul sito https://cloud.italia.it

Nelle more dell”attivazione del Marketplace Cloud l”elenco dei servizi IaaS/PaaS dei CSP qualificati sarà pubblicato sul sito https://cloud.italia.it

Articolo 8 - Disposizioni finali¶

La presente Circolare entra in vigore a partire da 30 giorni dalla data di pubblicazione nella Gazzetta Ufficiale della Repubblica italiana.

A decorrere da sei mesi dall”entrata in vigore della presente Circolare, le Amministrazioni acquisiscono esclusivamente servizi IaaS e PaaS qualificati e pubblicati sul Marketplace Cloud.

Nei contratti aventi ad oggetto servizi IaaS e PaaS qualificati, le Amministrazioni prevedono gli SLI obbligatori presenti nella tabella «Indicatori della Qualità del Servizio» di cui all”Allegato A.

La data di attivazione della piattaforma dedicata e del Marketplace Cloud sarà comunicata insieme alle modalità operative della procedura di qualificazione sul sito https://cloud.italia.it.

Allegati¶

ALLEGATO A «Requisiti per la qualificazione dei Cloud Service Provider della PA.»

Acronimi e definizioni¶

Si richiamano inoltre i concetti e le definizioni relativi al Cloud computing pubblicati dal National Institute of Standards and Technologies nel documento NIST Special Publication 800-145 «The NIST Definition of Cloud Computing» e quanto definito negli Standard ISO/IEC 17788:2014 e ISO/IEC 17789:2014 in particolare i concetti di:

• Software as a Service (SaaS), Platform as a service (PaaS), Infrastructure as a Service (IaaS)
• Private Cloud, Community Cloud, Public Cloud, Hybrid Cloud
• le caratteristiche essenziali del Cloud computing: on-demand self-service, broad network access, resource pooling, rapid elasticity, measured service.

Introduzione¶

Il presente documento definisce nel dettaglio i requisiti, di cui all’art. 3 della Circolare, che le infrastrutture e i servizi IaaS e PaaS del Fornitore Cloud devono rispettare per ottenere la qualificazione da parte di AgID quale «CSP qualificato per il Cloud della PA». Nella richiesta di qualificazione il Fornitore Cloud include le informazioni relative alla propria infrastruttura e può includere uno o più servizi IaaS/PaaS. Resta inteso che tutti i servizi per i quali è stata fatta richiesta di qualificazione devono possedere i requisiti di cui al presente allegato e dovranno essere conformi alla vigente disciplina nazionale e europea in materia di protezione dei dati personali (regolamento GDPR - General Data Protection Regulation - Regolamento UE 2016/679).

Sono individuati i seguenti soggetti come attori del processo di qualificazione:

• Fornitore Cloud o CSP, che fornisce, gestisce e amministra i l”infrastruttura e i servizi Cloud infrastrutturali di tipologia IaaS e/o PaaS, oggetto della qualificazione;
• Acquirente o CSC, PA che acquisisce e/o utilizza i servizi Cloud;
• Partner o CSN, è un soggetto terzo che può svolgere attività di supporto e/o di consulenza per conto del CSP. Qualora il partner agisse per conto del Fornitore Cloud per mezzo di opportuna delega e dandone visibilità, può richiedere la qualificazione per conto del CSP;
• AgID o Agenzia, Agenzia per l’Italia Digitale in qualità di soggetto responsabile della procedura di qualificazione.

Requisiti delle soluzioni Cloud¶

AgID, come indicato all’art. 3 della Circolare, ha classificato i requisiti per la qualificazione dei Cloud Service Provider e delle soluzioni Cloud come segue:

• Requisiti organizzativi (RO),
• Requisiti specifici.

Nell’ambito del presente allegato i requisiti specifici vengono ulteriormente raggruppati in:

• sicurezza (RS),
• privacy e protezione dei dati personali (RPP)
• performance e scalabilità (RPS),
• interoperabilità e portabilità (RIP),
• conformità legislativa (RCL).

Requisiti organizzativi¶

Il Fornitore Cloud produce la documentazione necessaria al fine di provare il rispetto dei seguenti requisiti organizzativi:

• di aver gestito in passato ed essere in grado di gestire «situazioni critiche» quali: operazioni di disaster recovery, verifica dell’integrità dei dati e eventuale recupero;
• di disporre di un adeguato sistema di gestione della qualità applicato all’erogazione dei servizi offerti.
• di disporre un servizio di supporto clienti strutturato (24x7) ed in grado di coprire le esigenze operative che possono manifestarsi nel contesto dell’erogazione dei servizi proposti.
• di aver adottato procedure formali che disciplinano attività quali:
  • gestione del cambiamento (change management);
  • gestione delle configurazioni (configuration management);
  • gestione degli incidenti (sicurezza e infrastruttura);
• di garantire trasparenza e semplicità dell’offerta economica nelle soluzioni contrattuali.

Gli standard di riferimento per questo insieme di requisiti sono quelli che appartengono alla famiglia ISO/IEC 20000, in particolare gli standard ISO/IEC 20000-1 e ISO/IEC TR 20000-9.

Al fine di garantire un’adeguata gestione della fornitura il Fornitore Cloud deve permettere all’Acquirente di amministrare in maniera strutturata e automatizzata le fasi di acquisto e di gestione/configurazione di ciascun servizio e, ove applicabile, di tutte le risorse/elementi/funzionalità associate (ad es. selezione dei template PaaS, configurazione dei server virtuali, gestione delle risorse di rete, ecc.), garantendo controlli di coerenza durante il processo.

Requisiti specifici¶

Il Fornitore Cloud deve dimostrare di essere in grado di erogare i servizi proposti dal punto di vista tecnologico, rispettando i requisiti specifici concernenti le seguenti tematiche:

• sicurezza, privacy e protezione dei dati (RSI)
• performance (RPE),
• interoperabilità e portabilità (RIP),
• conformità legislativa (RCL).

Appendice 1¶

Appendice 2¶