# Software gestione vulnerabilità e Spazi Finanziari **URL:** \ **Category:** Piano Triennale\ **Created:** [26 Marzo 2018, 11:56am UTC](https://forum.italia.it/t/software-gestione-vulnerabilita-e-spazi-finanziari/2804 "2018-03-26T11:56:22Z")\ **Posts on this page:** 10\ **Page:** 1
**Author:** ![Dario](https://forum.italia.it/letter_avatar_proxy/v4/letter/d/bc79bd/32.png) [@Dario](https://forum.italia.it/u/Dario)\ **Post date:** [26 Marzo 2018, 11:56am UTC](https://forum.italia.it/t/software-gestione-vulnerabilita-e-spazi-finanziari/2804/1 "2018-03-26T11:56:22Z")
Buongiorno a tutti. Una domanda in relazione a quanto scritto [qui](http://www.rgs.mef.gov.it/VERSIONE-I/in_vetrina/dettaglio.html?resourceType=/VERSIONE-I/_documenti/in_vetrina/elem_0010.html). Noi vogliamo dotarci di un software per la gestione delle vulnerabilità. Abbiamo anche ottenuto finanziamenti relativi agli “spazi finanziari” citati nel documento linkato, dove però si parla in a-ter di “investimenti… relativi a sviluppo software …”, per poi citare “interventi finalizzati all’attuazione delle restanti azioni contenute all’interno del Piano triennale” (capitolo 8). La domanda è: il pagamento del canone di un software di gestione di vulnerabilità rientra negli investimenti coperti da questi finanziamenti? A me, leggendolo, onestamente verrebbe da rispondere no… Grazie Dario ---
**Author:** ![damiano\_verzulli](https://forum.italia.it/user_avatar/forum.italia.it/damiano_verzulli/32/808_2.png) [@damiano\_verzulli](https://forum.italia.it/u/damiano_verzulli)\ **Post date:** [26 Marzo 2018, 1:24pm UTC](https://forum.italia.it/t/software-gestione-vulnerabilita-e-spazi-finanziari/2804/2 "2018-03-26T13:24:04Z")
> [@Dario](#): > > […] > Noi vogliamo dotarci di un software per la gestione delle vulnerabilità. > […] > La domanda è: il pagamento del canone di un software di gestione di vulnerabilità rientra… > […] Posso chiedere cosa si intende, esattamente, per “software di gestione di vulnerabilità”? Saluti, DV ---
**Author:** ![Andrea\_Tironi1](https://forum.italia.it/user_avatar/forum.italia.it/andrea_tironi1/32/4594_2.png) [@Andrea\_Tironi1](https://forum.italia.it/u/Andrea_Tironi1)\ **Post date:** [26 Marzo 2018, 1:33pm UTC](https://forum.italia.it/t/software-gestione-vulnerabilita-e-spazi-finanziari/2804/3 "2018-03-26T13:33:30Z")
Un software di gestione vulnerabilità credo si intenda un software in grado di verificare periodicamente i sistemi in utilizzo e rilevare se necessitano di patching. D’altra parte il tema indicato da @DarioB è relativo al canone non tanto alla tipologia di software, mi pare di capire. Andrea ---
**Author:** ![DarioB](https://forum.italia.it/user_avatar/forum.italia.it/dariob/32/557_2.png) [@DarioB](https://forum.italia.it/u/DarioB)\ **Post date:** [26 Marzo 2018, 1:46pm UTC](https://forum.italia.it/t/software-gestione-vulnerabilita-e-spazi-finanziari/2804/4 "2018-03-26T13:46:07Z")
Si, il problema posto è più di natura “contabile” e di bilancio, sulla possibilità di utilizzo dei fondi “concessi” attraverso appunto gli spazi finanziari posto che quel genere di software viene generalmente fornito a canone (quindi spese correnti) ---
**Author:** ![damiano\_verzulli](https://forum.italia.it/user_avatar/forum.italia.it/damiano_verzulli/32/808_2.png) [@damiano\_verzulli](https://forum.italia.it/u/damiano_verzulli)\ **Post date:** [26 Marzo 2018, 9:55pm UTC](https://forum.italia.it/t/software-gestione-vulnerabilita-e-spazi-finanziari/2804/5 "2018-03-26T21:55:11Z")
> [@Andrea\_Tironi1](#): > > Un software di gestione vulnerabilità credo si intenda un software in grado di verificare periodicamente i sistemi in utilizzo e rilevare se necessitano di patching. > […] Quindi, supponendo che la mia infrastruttura sia fatta da: 1. un paio di hypervisor (VMware; HypherV; o anche RHEV o ProxMox) in esecuzione su hardware Intel (es.: DELL, HP, Fujitsu, SuperMicro, etc.); 2. un paio di VM con sopra Windows Server 2012 e una infrastruttura Active-Directory (e quindi i servizi DNS, DHCP, etc.); 3. un file server, anch’esso basato su architettura Win (su un’altra VM); 4. una decina di client (Win7 o Win10), tutti a dominio, con sopra una relase di office (qualunque) + un client di posta (qualunque) + uno strumento di protezione dell’end-point (qualunque) + qualche software ad-hoc (es.: un “cad” per l’ufficio tecnico); 5. una VM per l’installazione della console centralizzata di protezione degli end-point; 6. una VM per WSUS che mi aiuta nel deploy degli aggiornamenti; 7. una VM Linux (CentOS) che utilizzo per pubblicare “on-line”, su INTERNET, un servizio WEB di qualche tipo, implementato attraverso un noto CMS (tipo WordPress o Joomla corredati da qualche plugin, o magari anche qualcosa di più “pesante” tipo una verticalizzazione di LifeRay installato sopra JBOSS/WildFire) il tutto: 1. interconnesso attraverso una semplice LAN (una sola subnet ed un solo switch fisico), protetta da un “firewall” hardware (Cisco, Fortinet, Zyxel, Juniper, o anche PFSense); 2. protetto da una adeguata infrastruttura di backup (il cui server e’ installato su una ulteriore VM ad-hoc ed il cui storage e’ demandato ad un classico “NAS” locale alla subnet) lo strumento software di cui parliamo, ossia il “_software di gestione di vulnerabilità_”, è qualcosa che mi avvisa, in un lasso di tempo “ragionevole” (ore? giorni? settimane?) delle vulnerabilità note: - relative all’hardware fisico (patch di sicurezza rilasciate dal vendor dell’hardware [aggiornamento BIOS e altri firmware, firmware Controller, firmware NIC, etc.]; - relative all’hypervisor (patch rilasciate dal vendor dell’hypervisor, ed alle quali ho diritto di avere accesso in quanto regolare detentore delle “subscription” legate al prodotto che utilizzo); - relative al Sistema Operativo (server, client; rilasciate da Microsoft o dal team di CentOS relativamente alla VM Linux); - relative alle componenti applicative in esecuzione sui client (Office Automation, CAD, Client di Posta, applicativi gestionali, etc.); - relative agli applicativi in esecuzione sulla VM Linux (security fix di WordPress/Joomla e dei plugin utilizzati; security fix di tutto lo stack Java da LifeRay in giù fino alla versione del JDK); - relative alle versioni del software/firmware in esecuzione sul firewall; - relative alle versioni del software/firmware in esecuzione sullo switch di rete; - relative alle versioni del software/firmware in esecuzione su NAS che ospita i backup. Se è questo di cui parliamo… allora --dal mio personale punto di vista-- lo strumento di cui parliamo è certamente degno di (molta) attenzione (positiva). Viceversa, se lo strumento di cui parliamo è qualcosa di diverso (ad esempio: è qualcosa che lavora a mo’ di “sonda”, girando su una VM e lanciando periodicamente dei network-scan sulla mia subnet evidenziando “porte aperte”, “servizi esposti” e “vulnerabilita’” identificate tramite pattern più o meno preconfigurati [Es.: versione di WordPress vulnerabile]), a quel punto il mio (personale) giudizio **CAMBIA** drasticamente. In questo caso suggerirei di valutare meglio le problematiche di sicurezza interne, riflettendo sul fatto che “la falsa sicurezza è peggiore della certezza dell’insicurezza” (frase non mia, ma che condivido al 100%). In ogni caso (e chiudo), il tema è comunque importante perchè… indipendentemente dal tipo di software (“funziona bene” vs. “funziona male”; “fa cose utili” vs. “fa cose semiinutili”; “mi fa stare [falsamente] sicuro” vs. “contribuisce significativamente ad alzare il livello di sicurezza della mia infrastruttura”), quel software “costerà” e bisognerà pagarlo (a pensarci bene, l’unica cosa certa, finora, è che quel software “costa”). Un saluto, DV ---
**Author:** ![damiano\_verzulli](https://forum.italia.it/user_avatar/forum.italia.it/damiano_verzulli/32/808_2.png) [@damiano\_verzulli](https://forum.italia.it/u/damiano_verzulli)\ **Post date:** [26 Marzo 2018, 9:58pm UTC](https://forum.italia.it/t/software-gestione-vulnerabilita-e-spazi-finanziari/2804/6 "2018-03-26T21:58:23Z")
> [@DarioB](#): > > Si, il problema posto è più di natura “contabile” e di bilancio… Io la leggevo da un punto di vista diverso. La mail di Dario esordiva cosi’: > [@Dario](#): > > Noi vogliamo dotarci di un software per la gestione delle vulnerabilità. e chiaramente una possibile soluzione (al problema contabile) è… **NON** dotarsi di tale software 🙂 Bye, DV ---
**Author:** ![Dario](https://forum.italia.it/letter_avatar_proxy/v4/letter/d/bc79bd/32.png) [@Dario](https://forum.italia.it/u/Dario)\ **Post date:** [27 Marzo 2018, 6:59am UTC](https://forum.italia.it/t/software-gestione-vulnerabilita-e-spazi-finanziari/2804/7 "2018-03-27T06:59:37Z")
La domanda in realtà è: - desideriamo un software, il quale si paga a canone; - siamo rientrati negli “spazi finanziari” dove si parla di investimenti etc. (vedi sopra) =\> il software a canone rientra negli investimenti descritti dagli spazi finanziari? Grazie ---
**Author:** ![Michele\_Marucco](https://forum.italia.it/letter_avatar_proxy/v4/letter/m/ee59a6/32.png) [@Michele\_Marucco](https://forum.italia.it/u/Michele_Marucco)\ **Post date:** [27 Marzo 2018, 7:23am UTC](https://forum.italia.it/t/software-gestione-vulnerabilita-e-spazi-finanziari/2804/8 "2018-03-27T07:23:54Z")
> [@Dario](#): > > =\> il software a canone rientra negli investimenti descritti dagli spazi finanziari Se intendi che la spesa è un investimento e va sul Titolo Secondo non credo, i servizi e canoni vanno sulla spesa corrente. ---
**Author:** ![Dario](https://forum.italia.it/letter_avatar_proxy/v4/letter/d/bc79bd/32.png) [@Dario](https://forum.italia.it/u/Dario)\ **Post date:** [27 Marzo 2018, 7:38am UTC](https://forum.italia.it/t/software-gestione-vulnerabilita-e-spazi-finanziari/2804/9 "2018-03-27T07:38:47Z")
Anche secondo me… Il testo dice: ``` a-ter) spese per investimenti finalizzati all’attuazione del Piano triennale per l'informatica nella > pubblica amministrazione, di cui all’articolo 1, comma 513, della legge 28 dicembre 2015, n. 208, relativi allo sviluppo software e alla manutenzione evolutiva, ivi compresi la progettazione, la realizzazione, il collaudo, l’installazione e l’avviamento presso l’ente locale di software sviluppato ad hoc o di software pre-esistente e reingegnerizzato, la personalizzazione di software applicativo già in dotazione dell’ente locale o sviluppato per conto di altra unità organizzativa e riutilizzato, tenendo conto del seguente ordine prioritario: 1) [...] 2) interventi finalizzati all'attuazione delle restanti azioni contenute all'interno del Piano triennale per l’informatica nella pubblica amministrazione; ``` Il software mi permetterebbe di terminare la copertura delle Misure Minime, ma qui parla di investimenti, ed è per questo che chiedevo… Grazie Dario ---
**Author:** ![ggentili](https://forum.italia.it/user_avatar/forum.italia.it/ggentili/32/33_2.png) [@ggentili](https://forum.italia.it/u/ggentili)\ **Post date:** [27 Marzo 2018, 8:29am UTC](https://forum.italia.it/t/software-gestione-vulnerabilita-e-spazi-finanziari/2804/10 "2018-03-27T08:29:23Z")
avevo già evidenziato questo problema quasi un anno fa qui… > [@Spesa in sicurezza da tagliare?](https://forum.italia.it/t/spesa-in-sicurezza-da-tagliare/1025): > > Seguendo le indicazioni del Piano in merito alla taglio del 50% della spesa corrente, si possono verificare situazioni paradossali legate alla attuale classificazione delle voci di bilancio dettata dal d.lgs. n.118/2011 Nello specifico, i servizi di sicurezza informatica sono inseriti dentro la voce “U.1.03.02.19.000 SERVIZI INFORMATICI E DI TELECOMUNICAZIONI” e quindi risultano spesa corrente per gli uffici ragioneria, bilancio e controllo di gestione di ogni ente. Lo stesso problema si pone … le spese in sicurezza informatica (così come quelle in servizi cloud) sono oggi considerate spesa corrente OPEX (quindi non investimenti CAPEX) … e quindi sono da tagliare al 50%