Un contratto di assistenza informatica efficace dovrebbe chiarire prima di tutto che cosa viene gestito, con quali modalità e con quali responsabilità.
Non serve soltanto a stabilire un costo: definisce il perimetro degli asset e dei servizi coperti, i canali di assistenza, le attività comprese, le eventuali esclusioni e il modo in cui vengono gestiti cambiamenti, incidenti e richieste fuori perimetro.
Per un’azienda, questi elementi sono importanti perché riducono le ambiguità operative e permettono di sapere in anticipo come verrà gestita l’infrastruttura IT.
Definire con precisione il perimetro del servizio
Il primo elemento da verificare è il perimetro contrattuale.
È opportuno che il contratto, oppure un allegato tecnico aggiornabile, identifichi gli asset e i servizi compresi nell’assistenza.
A seconda dell’infrastruttura possono rientrare, per esempio:
- server fisici e virtuali;
- workstation e notebook;
- firewall, switch e access point;
- sistemi di storage;
- applicazioni e servizi gestiti;
- sedi aziendali e utenti remoti;
- componenti software oggetto di manutenzione.
Non basta però creare un inventario iniziale. Il contratto dovrebbe anche stabilire come viene aggiornato il perimetro quando entrano nuovi dispositivi, vengono dismessi sistemi esistenti o cambia l’architettura aziendale.
È utile definire inoltre eventuali requisiti minimi per l’assistenza, ad esempio lo stato di supporto dei sistemi operativi o dell’hardware da parte del produttore.
Un perimetro chiaro permette sia al cliente sia al fornitore di sapere quali attività rientrano nel servizio ordinario e quali richiedono invece una valutazione separata.
Per approfondire questo modello operativo è possibile consultare la sezione dedicata alla gestione proattiva dell’infrastruttura IT.
Canali di assistenza e tracciabilità delle richieste
Un altro elemento importante riguarda il modo in cui vengono aperte e gestite le richieste.
Il contratto dovrebbe identificare i canali ufficiali di assistenza e le modalità con cui viene mantenuta la tracciabilità degli interventi.
Un sistema di ticketing, per esempio, può registrare:
- data e ora della richiesta;
- utente che l’ha aperta;
- descrizione del problema;
- dispositivo o servizio coinvolto;
- stato della lavorazione;
- attività eseguite;
- eventuali note tecniche;
- cronologia della richiesta.
La tracciabilità è utile non soltanto per seguire l’avanzamento di un singolo ticket, ma anche per ricostruire nel tempo anomalie ricorrenti, modifiche e interventi effettuati sull’infrastruttura.
Il contratto può inoltre prevedere criteri di classificazione delle richieste in funzione della loro natura e dell’impatto sull’operatività.
Le categorie possono essere utilizzate per definire percorsi di escalation verso le competenze tecniche necessarie, senza attribuire automaticamente livelli di servizio o tempi di risposta che non siano espressamente previsti dall’accordo.
Manutenzione preventiva, supporto break-fix e modelli ibridi
Non esiste un unico modello di assistenza IT.
Tra gli approcci che un contratto può disciplinare ci sono il supporto a chiamata — spesso indicato come break-fix — e la manutenzione preventiva. Le due modalità possono anche convivere all’interno dello stesso accordo.
Nel modello prevalentemente reattivo, l’intervento viene richiesto quando si verifica un problema.
La manutenzione preventiva prevede invece attività pianificate o ricorrenti finalizzate a mantenere sotto controllo lo stato dei sistemi compresi nel perimetro.
A seconda di quanto concordato possono rientrare, ad esempio:
- verifica dello stato dei sistemi e dei principali eventi tecnici;
- patch management di sistemi operativi e dispositivi;
- verifica dello stato operativo di servizi e apparati;
- controllo dell’esito dei job di backup;
- verifica dello stato degli agenti di sicurezza;
- individuazione di configurazioni obsolete;
- attività periodiche di manutenzione.
È importante distinguere attività che spesso vengono confuse.
Verificare che un job di backup sia terminato correttamente, ad esempio, non equivale a verificare l’integrità completa dei dati e non sostituisce un test di ripristino. Frequenza e modalità di questi controlli devono essere definite nel servizio.
Allo stesso modo, “monitoraggio” non significa necessariamente presidio umano continuativo: strumenti, frequenza dei controlli e modalità di intervento devono essere descritti nel perimetro concordato.
Un costo prevedibile per il servizio ordinario
Nel modello adottato da Flanker, quando l’assistenza viene erogata tramite canone e perimetro definito, il costo ordinario del servizio è noto preventivamente e può quindi essere inserito nel budget annuale dell’azienda.
Questo non significa che ogni possibile attività IT sia automaticamente compresa.
Il contratto deve distinguere chiaramente:
- attività incluse nel canone;
- attività fuori perimetro;
- eventuali prestazioni a consumo;
- trasferte, se applicabili;
- attività progettuali;
- eventuali servizi aggiuntivi.
La prevedibilità riguarda quindi il perimetro ordinario concordato, mentre variazioni infrastrutturali o attività straordinarie possono essere gestite separatamente secondo quanto previsto dal contratto.
Sicurezza e trattamento dei dati personali
L’assistenza informatica può comportare, in funzione delle attività affidate al fornitore, l’accesso a dati personali o informazioni aziendali riservate.
Per questo motivo il rapporto contrattuale deve essere coordinato con gli adempimenti applicabili in materia di protezione dei dati.
Quando il fornitore tratta dati personali per conto del cliente, e ricorrono quindi i presupposti per qualificarlo come responsabile del trattamento, il rapporto deve essere disciplinato secondo quanto previsto dall’articolo 28 del Regolamento (UE) 2016/679.
La qualificazione dei ruoli privacy dipende però dalle attività effettivamente svolte: non deriva automaticamente dal fatto che esista un contratto di assistenza informatica.
L’accordo o l’atto giuridico applicabile può disciplinare, tra gli altri elementi:
- oggetto e durata del trattamento;
- natura e finalità delle attività svolte;
- categorie di dati e interessati;
- istruzioni documentate del titolare;
- obblighi di riservatezza;
- misure tecniche e organizzative di sicurezza;
- eventuali sub-responsabili;
- assistenza al titolare;
- gestione delle violazioni dei dati personali;
- restituzione o cancellazione dei dati quando applicabile.
Il contenuto concreto dipende comunque dai trattamenti effettivamente affidati e dalle responsabilità delle parti.
Anche la gestione degli accessi amministrativi e dei relativi log dovrebbe essere valutata in funzione delle attività svolte, dei sistemi interessati, delle policy interne e delle disposizioni applicabili.
Certificazioni e competenze del fornitore
Tra gli elementi che un’azienda può valutare nella scelta del partner IT ci sono anche le certificazioni aziendali e le competenze tecniche documentate.
Flanker Srl è titolare delle certificazioni ISO 9001:2015 e ISO/IEC 27001:2022, pubblicate nella sezione dedicata del sito.
Il loro valore deve però essere interpretato correttamente: le certificazioni si applicano esclusivamente al campo indicato nei rispettivi certificati e non costituiscono una garanzia automatica sul risultato di ogni singolo servizio.
Analogamente, le certificazioni tecniche del personale possono essere consultate nella pagina dedicata alle competenze, considerando sempre l’ambito specifico del relativo attestato.
Certificazioni e qualifiche sono quindi elementi di valutazione, non sostituti dell’analisi del servizio, del contratto e delle competenze effettivamente necessarie.
Attività fuori perimetro
Un contratto chiaro dovrebbe distinguere anche ciò che non è compreso nel servizio ordinario.
Tra le attività che possono essere classificate come fuori perimetro, a titolo esemplificativo, possono rientrare:
- migrazioni infrastrutturali rilevanti;
- introduzione di nuove piattaforme;
- allestimento di nuove sedi;
- cablaggi strutturati;
- interventi su sistemi fuori supporto;
- progetti non previsti dal perimetro originario;
- attività richieste al di fuori delle condizioni concordate.
Non esiste però un elenco valido per tutti i contratti: ciò che è incluso o escluso dipende dal servizio effettivamente acquistato.
Il contratto può definire quando è richiesto un preventivo separato, eventuali soglie di autorizzazione e procedure specifiche per attività urgenti.
È utile distinguere anche:
- attività fuori perimetro;
- interventi fuori dalle normali finestre operative;
- eventuali costi di trasferta;
- criteri per modificare il canone quando cambia il numero di sistemi gestiti.
Questa chiarezza evita che una semplice variazione infrastrutturale diventi motivo di interpretazioni diverse tra cliente e fornitore.
Durata, rinnovo e uscita dal rapporto
Un aspetto spesso sottovalutato riguarda ciò che accade quando il contratto cambia o termina.
È utile definire:
- durata;
- modalità di rinnovo;
- termini di recesso;
- restituzione della documentazione tecnica;
- gestione delle credenziali e degli accessi;
- eventuale cancellazione o restituzione dei dati;
- attività necessarie per il passaggio a un nuovo fornitore.
Una buona gestione dell’uscita dal rapporto riduce il rischio che informazioni, credenziali o conoscenze tecniche indispensabili rimangano concentrate esclusivamente presso il precedente fornitore.
Checklist: cosa controllare prima di firmare
Prima di sottoscrivere un contratto di assistenza IT può essere utile verificare almeno questi elementi:
- Perimetro: quali sistemi e servizi sono coperti?
- Inventario: come vengono censiti e aggiornati gli asset?
- Canali: come vengono aperte e tracciate le richieste?
- Escalation: come vengono gestiti problemi con diverso impatto?
- Manutenzione: quali attività preventive sono comprese?
- Monitoraggio: cosa viene realmente controllato e con quale frequenza?
- Backup: vengono controllati i job, le copie o anche i ripristini?
- Sicurezza: quali responsabilità competono al cliente e quali al fornitore?
- Privacy: il fornitore tratta dati personali per conto dell’azienda?
- Costi: cosa è compreso nel canone?
- Fuori perimetro: come vengono autorizzate le attività aggiuntive?
- Uscita: come vengono gestiti dati, accessi e documentazione alla cessazione del rapporto?
La qualità di un contratto di assistenza IT non dipende dal numero di pagine, ma dalla capacità di rendere comprensibili perimetro, responsabilità e modalità operative.
Per questo la valutazione dovrebbe partire dall’infrastruttura reale dell’azienda e dal livello di gestione necessario, evitando sia contratti troppo generici sia promesse operative non definite in modo verificabile.
