1) esiste un documento che contenga un maggiore dettaglio, soprattutto quantitativo, dei servizi indicati dalla voce "pivoting da fornitori" fino al termine dell'elenco?
Verrà definita una lista di possibili fornitori prima dell’inizio delle attività allineandosi con l’Unità UICT del Gestore dell’Esercizio.

1. Nelle specifiche della gara c'è scritto di indicare esclusivamente il prezzo, ciò esclude l'elaborazione di un Annex Tecnico esplicativo dei servizi, è corretto?
RISPOSTA: È prevista la redazione di n. 2 report: un primo report intermedio in cui si descriveranno le prove da eseguire, le modalità di esecuzione, ecc.; un report finale che descriverà i risultati delle analisi, lo stato dei sistemi, le eventuali problematiche presenti e le possibili modalità di risoluzione.

2. Sono contemplati tutti i fornitori o verrà fornita una specifica lista dei fornitori per cui è consentito il "pivoting"?
RISPOSTA: Verrà definita una lista di possibili fornitori prima dell’inizio delle attività allineandosi con l’Unità UICT del Gestore dell’Esercizio.

3. Il volo dei droni nello spazio aereo è consentito?
RISPOSTA: No

4. DoS/DDoS, sono previste limitazioni sul volume e la durata dell’attacco per evitare potenziali impatti significativi?
RISPOSTA: In generale no. È di interesse stimare la durata dell’attacco prima di avere un impatto “misurabile” sui sistemi. Misurabile è da intendersi non solo come messa fuori servizio dei sistemi ma anche rallentamento che non consente la gestione ordinaria delle attività.

La richiesta di offerta chiede di svolgere verifiche di sicurezza sui “sistemi del gestore dell'Esercizio a servizio della Sala Decisionale”, senza fornire alcuna indicazione in merito a tale ambito. Per meglio individuare le attività da svolgere e valutarne il relativo effort, si prega di fornire informazioni in merito a: numerosità e tipologia dei sistemi coinvolti, n. di server presenti, n. indirizzi IP, device di networking e firewalling coinvolti, architetture e principali tecnologie in ambito, ecc.
La parte ced è composta da 2 datacenter in cluster più un sito remoto di disaster recovery, si utilizza sistema di virtualizzazione vmware, per la parte storage insiste un metrocuster netapp, i sistemi di rete sono su vendor cisco, extreme e fortinet. Ulteriori dettagli verranno forniti solo in una successiva fase.
Nel documento viene esplicitato che le attività di verifica richieste risultano essere state già eseguite. Si prega di voler fornire una stima di massima dell’effort complessivo che tali verifiche già svolte hanno comportato la prima volta.
Circa 20gg uomo.
Si prega di precisare se le attività di verifica previste potranno essere svolte dal Fornitore operando da remoto (es. accedendo via VPN alle reti IP coinvolte), o se è necessario operare direttamente presso i siti del Consorzio coinvolti.
Si può fare da remoto, tranne parte residuale delle attività di social engineer.
In merito alle verifiche da svolgere in generale, ed in particolare riguardo l’eventuale “Pivoting da fornitori”, si chiede conferma che tali attività possano essere svolte, previa sottoscrizione di apposita manleva da parte del Consorzio Venezia Nuova, durante il normale orario lavorativo (es. 9:00 – 18:00) senza richiedere effort extra-time.
Ok, a discrezione del fornitore.
In merito all’attività di “Attack Reconnaissance Simulation”, si chiede conferma che tale simulazione debba prendere in considerazione un singolo sistema ed una sola tipologia di attacco.
Ok, a discrezione del fornitore.
Circa la “Verifica IP Pubblici”, la richiesta di offerta precisa che il “Focus” debba essere su circa 10 IP. Si chiede conferma che gli eventuali ulteriori indirizzi IP pubblici, ove presenti, non debbano essere verificati in alcun modo.
Ok, a discrezione del fornitore.
In merito al Cloud, si prega di precisare cosa si intenda per “1 Servizio”.
1 applicativo saas in cloud.
Per quanto riguarda le “Web Application”, si chiede conferma che per “4 Target” si intenda la necessità di verificare n. 4 URL radice.
Si conferma.
Riguardo le verifiche in ambito “IOT - OT – IIOT – SCADA”, si chiede di precisare il tipo di connettività prevista per i 25 dispositivi in scope.
Parte in rete LAN cablata, parte in rete LAN wireless, parte tramite provider telefonico.
In relazione alle attività inerenti Remote Social Engineering, Phishing, Smishing, Vishing, Quishing, Business Email Compromise (BEC), Social Media Intelligence (SOCMINT), Typosquatting/URL Hijacking, Physical Attack e Tailgating, si prega di voler dare indicazioni dimensionali in merito alle verifiche richieste.
Non è chiara la domanda, se il parametro dimensionale richiesto è effort in gg/uomo o altro.
Si prega di chiarire cosa sia richiesto esattamente in termini di “Impersonification – Su Impianti”.
Si intende che l’attaccante contatta il bersaglio fingendosi altro.